אבטחת מידע, תקינה, רגולציה, פרטיות וניהול סיכונים.
מאת רועי קיש – אינפוגארד מקבוצת עידור
אנחנו פוגשים היום יותר ויותר ארגונים שכבר משתמשים ב-AI, גם אם הם עדיין לא הגדירו לעצמם מדיניות מסודרת בנושא.
עובדים משתמשים בכלי Generative AI לניסוח מסמכים, סיכום פגישות, ניתוח נתונים וכתיבת קוד.
מחלקות שיווק מחברות AI למידע על לקוחות, צוותי שירות מטמיעים צ'אטבוטים, ויחידות עסקיות מתחילות להפעיל AI Agents עם גישה למערכות ולמידע ארגוני.
מבחינתנו ב-Infoguard, השאלה כבר אינה אם AI ייכנס לארגון. ברוב המקרים הוא כבר בפנים.
השאלה החשובה היא אחרת: מי מנהל אותו, מי מפקח עליו ומי אחראי כשמשהו משתבש?
רגולציה כבר אינה עניין לעתיד
בעולם הבינה המלאכותית הרגולציה מתקדמת מהר.
ה-EU AI Act ממחיש את המעבר מעקרונות כלליים למסגרת שמציבה דרישות ברורות יותר סביב שימוש במערכות AI. ככל שהמערכת משפיעה יותר על אנשים, זכויות או החלטות משמעותיות, כך הארגון נדרש ליותר בקרה, תיעוד, שקיפות ופיקוח.
אבל אנחנו באינפוגארד, כחברת אבטחת מידע, ממליצים לארגונים לא להסתכל רק על "רגולציית AI".
בפועל, שימוש ב-AI כבר פוגש חובות קיימות בתחומי פרטיות, אבטחת מידע, ניהול סיכונים, התקשרויות עם ספקים ואחריות הנהלה.
גם ארגון ישראלי שלא פועל ישירות תחת רגולציה אירופית צריך לשאול את עצמו מה קורה כאשר כלי AI מעבד מידע אישי, מקבל גישה למידע רגיש או משפיע על החלטות עסקיות.
מבחינתנו, זו כבר לא רק שאלה טכנולוגית. זו שאלה ניהולית.
פרטיות צריכה להיכנס כבר בשלב האפיון
אחת הנקודות שאנחנו מדגישים שוב ושוב היא שלא כדאי לחכות לסוף הפרויקט כדי לדבר על פרטיות.
אם מערכת AI מקבלת גישה ל-CRM, לתכתובות, למסמכי עובדים, לנתוני לקוחות או למידע עסקי רגיש, צריך לעצור ולשאול כמה שאלות בסיסיות:
- האם באמת צריך את כל המידע הזה?
- האם מותר להשתמש בו למטרה הזו?
- האם הוא עובר לספק חיצוני?
- היכן הוא נשמר?
- האם הוא משמש לאימון המודל?
- מי יכול לגשת אליו?
- מה קורה למידע כאשר מפסיקים להשתמש במערכת?
אלה בדיוק המקומות שבהם עקרונות כמו Privacy by Design, Data Minimization וניהול מחזור החיים של המידע הופכים ממשהו תיאורטי לתהליך עבודה.
אנחנו באינפוגארד מעדיפים לראות את שאלות הפרטיות נכנסות כבר בשלב בחינת ה-Use Case, ולא רק אחרי שהמערכת כבר עלתה לאוויר.
תקינה עוזרת להפוך Governance למשהו שאפשר לנהל
רגולציה יכולה לומר לנו מה נדרש. אבל הארגון עדיין צריך שיטה שתעזור לו לנהל את זה בפועל.
כאן נכנס ISO/IEC 42001 – התקן הבינלאומי למערכת ניהול בינה מלאכותית.
אנחנו רואים בו מסגרת חשובה משום שהוא מחייב את הארגון להסתכל על AI כמערכת ניהול שלמה: מדיניות, בעלי תפקידים, סיכונים, בקרות, יעדים, מעקב ושיפור מתמשך.
לצדו, ISO/IEC 27001 נותן את הבסיס לניהול אבטחת מידע, ו-ISO/IEC 27701 מוסיף את שכבת ניהול הפרטיות.
בפועל, שלושת העולמות מתחברים:
- ISO 27001 – איך אנחנו מנהלים אבטחת מידע.
- ISO 27701 – איך אנחנו מנהלים פרטיות ומידע אישי.
- ISO 42001 – איך אנחנו מנהלים מערכות AI והסיכונים הקשורים בהן.
מבחינתנו, זה חיבור טבעי. ארגון שכבר בנה תהליכי Governance טובים סביב אבטחת מידע ופרטיות לא צריך להתחיל מאפס, אבל הוא כן צריך להרחיב אותם לעולם הבינה המלאכותית, Agents וה-AI.
מדיניות AI היא הרבה יותר מרשימת כלים
אנחנו רואים לא מעט ארגונים שמתחילים נכון, אבל נעצרים מוקדם מדי.
הם מפרסמים רשימה של כלים מותרים ואסורים וחושבים שיש להם מדיניות AI.
זו התחלה, אבל Governance אמיתי צריך ללכת רחוק יותר.
אנחנו ממליצים להגדיר גם: איזה מידע מותר להזין לכלי AI, אילו שימושים דורשים אישור, איך בוחנים ספק חדש, מי רשאי לחבר AI למערכת ארגונית, מתי מערבים את ה-CISO, ה-DPO או הייעוץ המשפטי, ואילו החלטות מחייבות Human Oversight.
בנוסף, כדאי לייצר AI Inventory מסודר.
כלומר, לדעת אילו מערכות ושימושי AI קיימים, מי הבעלים שלהם, לאיזה מידע הם ניגשים ומה רמת הסיכון שלהם.
אי אפשר לנהל משהו שלא יודעים שקיים.
אז של מי האחריות?
זו אחת השאלות שאנחנו שומעים הכי הרבה.
התשובה היא שאי אפשר להטיל את כל האחריות על מחלקה אחת.
- IT מנהל את המערכות.
- CISO מנהל את סיכוני אבטחת המידע.
- DPO בוחן את היבטי הפרטיות.
- הייעוץ המשפטי עוסק ברגולציה ובהתקשרויות.
- היחידה העסקית היא בדרך כלל זו שמבקשת להפעיל ואחראית על ההשלכות העסקיות BIA.
לכן אנחנו ממליצים על אחריות משותפת, אבל ברורה.
לכל מערכת או Use Case משמעותי צריך להיות Owner. במקביל, הארגון צריך להחליט מי מחזיק באחריות הכוללת למדיניות AI ולניהול הסיכונים.
אנחנו אוהבים לבחון את זה באמצעות 4 שאלות פשוטות:
- מי אישר את השימוש?
- מי מפקח ומתעד?
- מי מנהל את הסיכון?
- מי אחראי אם משהו משתבש?
אם אין תשובה ברורה לארבעתן, כנראה שה-Governance עדיין לא מספיק בשל.
ומה עם העובדים?
גם המדיניות הטובה ביותר לא תעזור אם העובדים לא מכירים אותה.
אנחנו רואים היום סיכון הולך וגדל של Shadow AI – עובדים שמשתמשים בכלי AI שהארגון כלל אינו מודע אליהם.
לכן AI Literacy והדרכת עובדים צריכים להיות חלק מהתהליך.
עובדים צריכים לדעת איזה מידע אסור להזין, מתי תוצאה דורשת בדיקה אנושית ומתי כלי חדש חייב לעבור אישור.
בנוסף, ספק המנהל את שירותי ה-AI בצורה חיצונית ותקינה, מאפשר למנות או לצמצם את התופעה והסיכונים ולהכניס דפוסי עבודה למסגרות מבוקרות ומנוהלות.
איך אנחנו באינפוגארד מסתכלים על זה
אנחנו באינפוגארד מלווים ארגונים בנקודת החיבור שבין אבטחת מידע, פרטיות, רגולציה, תקינה וניהול סיכונים.
מבחינתנו, המעבר ל-AI לא ממציא מחדש את כללי המשחק. הוא דורש מהארגון לקחת את העקרונות שהוא כבר מכיר ולהרחיב אותם לעולם חדש, מהיר ודינמי יותר.
במסגרת שירותי אבטחת מידע לעסקים, אנחנו מסייעים לארגונים לחבר בין מדיניות AI, הערכות סיכונים, פרטיות, תקינה, אחריות ארגונית והדרכת עובדים – כדי שהטמעת AI תתבצע כתהליך מנוהל ולא כיוזמה מבודדת.
אז מאיפה מתחילים?
אנחנו ממליצים להתחיל פשוט:
- למפות את מערכות ושימושי הבינה המלאכותית הקיימים.
- לסווג אותם לפי מידע, הרשאות ורמת סיכון.
- להגדיר מדיניות AI וכללי פרטיות.
- לקבוע Owner ותהליך אישור לשימושים משמעותיים.
- לבחון פערים מול רגולציה ותקנים רלוונטיים.
השאלה כבר אינה אם הארגון ישתמש ב-AI.
השאלה היא האם הבינה המלאכותית מתקדמת מהר יותר ממערכת הניהול שסביבה.
מבחינתנו, AI Governance אינו מחסום לחדשנות. הוא מה שמאפשר לארגון לחדש בלי לוותר על שליטה, פרטיות ואחריות.
המאמר נכתב בשיתוף מומחי אבטחת המידע של חברת אינפוגארד.
מדריכים נוספים
- הטמעת בינה מלאכותית בארגון: המדריך המלא
- אובדן הריבונות: למה הארגון המודרני כבר לא שולט בעצמו
- בינה מלאכותית לעסקים: איפה זה באמת עובד
- 88+ כלי AI מומלצים
לא בטוחים איפה העסק שלכם עומד דיגיטלית?
שאלון קצר שמחזיר לכם ציון בשלות דיגיטלית, מזהה את הפערים הדחופים ומייצר המלצות מותאמות לעסק שלכם. בלי רישום, בלי להשאיר פרטים, תוצאה מיידית על המסך.
