בהתחלה זה נראה כמו הצלחה. ביחידת שירות של ארגון ציבורי גדול העובדים התחילו להשתמש ב-AI באמת: ניסחו מיילים, קיבלו תקצירים, שיפרו טקסטים וניתחו פניות של לקוחות. "זה היה פשוט מדהים," סיפרה לי רותם, רפרנטית ביחידה. "תוך שנייה הבנתי מה הלקוח מרגיש, וניסחתי תשובה עניינית במקום להגיב מהבטן."
ואז, בבוקר אחד, הכול נעצר.
המקרה אמיתי. השמות והפרטים המזהים שונו.
בקצרה- מנהל אבטחת מידע אסר על שימוש ב-AI במייל אחד, בלי הסבר וחלופה, והשימוש עבר לטלפונים הפרטיים.
- הפתרון: "מסלול ירוק" — סיווג מידע בשלוש רמות, כלי ארגוני מאושר, השחרה ותקשורת לפני אכיפה.
- חסימה בלי חלופה לא מפסיקה שימוש. היא רק מוציאה אותו מטווח הראייה של הארגון.
המייל שסגר את הברז
מנהל אבטחת המידע שלח לכל העובדים הודעה קצרה: "לאור מקרים שהתגלו לאחרונה בחברה, החל מרגע זה חל איסור מוחלט להזין מידע למערכות AI חיצוניות, ואין לעשות בהן שימוש."
בלי הסבר מה קרה. בלי הנחיות איך להימנע מזה בעתיד. בלי חלופה. העובדים חזרו לשיטות הישנות, והמרמור התגלגל במסדרונות. הם הבינו את החשש מזליגת מידע, אבל השינוי היה מהיר מדי, קיצוני מדי, ובעיקר לא מוסבר.
הוא לא היה הראשון
החשש של מנהל האבטחה מוצדק לגמרי. ב-2023 Samsung אסרה על עובדיה להשתמש ב-ChatGPT ובכלים דומים, אחרי שעובדים הזינו לשירות מידע פנימי ורגיש. הבעיה היא לא ההחלטה להגן על המידע. הבעיה היא העיתוי והדרך: הנהלים היו צריכים להיכתב לפני שהכלים נכנסו לארגון, ובטח לפני שהעובדים הודרכו והתחילו להשתמש בהם.
מה קורה כשחוסמים בלי חלופה
חסימה מוחלטת לא מפסיקה את השימוש. היא מעבירה אותו למקום שבו לארגון אין שום שליטה: הטלפון הפרטי, החשבון האישי, המחשב בבית. העובדים שכבר ראו כמה זמן הכלי חוסך להם לא מוותרים עליו. הם פשוט מפסיקים לספר. ואז הארגון עובר מ"שימוש לא מנוהל" ל"שימוש מוסתר", וזה מצב גרוע יותר מבחינת אבטחת מידע.
"בינה מלאכותית היא לא סכנה. היא הזדמנות שדורשת אחריות וניהול. מנהל אבטחה שחוסם בלי להציע מסלול בטוח לא הגן על הארגון. הוא רק הוציא את הסיכון מטווח הראייה שלו." — ליאור אברהם, מייסד ארגון ה-AI הישראלי
איך היינו מונעים את זה: "המסלול הירוק"
במקרה כזה, הפתרון הוא לא לבחור בין אבטחה לבין שימוש, אלא לבנות מסלול שבו שניהם קיימים. כך בונים אותו:
- צוות משותף. אבטחת מידע, יחידת הדיגיטל, ההדרכה ואחראי הנהלים יושבים יחד. כל אחד מביא את הדרישות שלו, ואף אחד לא מחליט לבד.
- סיווג מידע פשוט. שלוש רמות שכל עובד מבין: מידע ציבורי (מותר בכל כלי), מידע פנימי (רק בכלי הארגוני המאושר), ומידע רגיש או אישי (לא מזינים בכלל, או רק אחרי השחרה).
- כלי ארגוני מאושר. גרסאות ארגוניות כמו ChatGPT Enterprise, Microsoft 365 Copilot או Gemini ל-Workspace מתחייבות לא לאמן מודלים על המידע של הארגון, ומאפשרות ניהול הרשאות ותיעוד.
- השחרת מידע. יש היום פתרונות שמשחירים פרטים מזהים לפני שהטקסט יוצא מהארגון, ויש מודלים שיכולים לרוץ על שרתי הארגון עצמו.
- תקשורת לפני אכיפה. אם בכל זאת צריך לעצור, מסבירים למה, אומרים מה מותר בינתיים, ונותנים תאריך לפתרון. עובד שמבין את הסיבה ישתף פעולה. עובד שמקבל איסור בלי הסבר ימצא דרך לעקוף.
סיווג מידע: מה מותר להזין
| סוג המידע | דוגמאות | איפה מותר |
|---|
| ציבורי | טקסט מהאתר, הודעה לעיתונות שפורסמה, מידע כללי | כל כלי |
| פנימי | נהלים, מצגות פנימיות, טיוטות מיילים | רק בכלי הארגוני המאושר |
| רגיש או אישי | פרטי לקוחות, מידע רפואי, שכר, קוד מקור, חוזים | לא מזינים, או רק אחרי השחרה ובאישור |
איך תדעו שזה קורה גם אצלכם
- אין מסמך כתוב שמגדיר מה מותר להזין לכלי AI ומה לא.
- אבטחת המידע לא הייתה שותפה בבחירת הכלים, או שמעה עליהם רק אחרי ההשקה.
- עובדים משתמשים בחשבונות אישיים, כי "בארגון זה חסום".
- ההחלטה הבאה על AI צפויה להתקבל אחרי אירוע, ולא לפניו.
מה אומרת הרגולציה בישראל
מאז אוגוסט 2025 בתוקף תיקון 13 לחוק הגנת הפרטיות, שהרחיב את סמכויות האכיפה והגדיל את הסיכון של ארגונים שמידע אישי דולף מהם. עובד שמדביק רשימת לקוחות לכלי AI בחשבון פרטי יוצר בדיוק את הסיכון הזה. לכן הפתרון הנכון הוא לא רק טכני: צריך מסמך מדיניות שמגדיר מה מותר, ותיעוד שהעובדים קיבלו ואישרו אותו.
תבנית: הודעה לעובדים כשצריך בכל זאת לעצור
לפעמים צריך לעצור שימוש מיד, למשל אחרי אירוע. גם אז אפשר לעשות את זה נכון. זו תבנית להודעה שמשאירה את העובדים בצד שלכם:
"בעקבות בדיקה שגרתית, אנחנו משהים זמנית את השימוש בכלי AI חיצוניים לעבודה עם מידע של הארגון. הסיבה: [הסבר קצר]. בינתיים מותר להמשיך להשתמש ב[הכלי המאושר / שימושים ללא מידע ארגוני]. עד [תאריך] נפרסם מדיניות מסודרת ורשימת כלים מאושרים. שאלות: [שם ופרטי קשר]."
תבנית מלאה של מדיניות שימוש ב-AI לעובדים, כולל טבלת סיווג מידע, תמצאו בערכת הטמעת ה-AI החינמית שלנו.
עוד כלים, מדריכים ומקרים בתחום תמצאו בעמוד AI ל-IT ואבטחת מידע, ותבניות מוכנות למדיניות ולנהלים בערכת הטמעת ה-AI החינמית שלנו.
השורה התחתונה
הארגון הזה עשה את הצעד הנכון בסדר הלא נכון. קודם הכניס כלים, אחר כך הדריך, ורק אחרי אירוע חשב על נהלים. אם מתחילים מהסוף, מנהלי אבטחה הופכים מ"מי שעוצר" ל"מי שמאפשר", והעובדים מקבלים כלי שהם יכולים להשתמש בו בלי לפחד. על הצד השני של אותו מטבע, השימוש שקורה מתחת לרדאר, כתבתי בכתבה על שכבת ה-DLP לעידן ה-AI.
