רגולציית בינה מלאכותית בישראל: המדריך המתעדכן לארגונים, מנהלים ומפתחי AI

התשובה הקצרה

בישראל אין כיום "חוק AI" יחיד שמחליף את כל הדינים הקיימים. ארגון שמפתח או מפעיל מערכת בינה מלאכותית צריך לבדוק כמה שכבות במקביל: פרטיות ואבטחת מידע, מטרת השימוש במידע, שקיפות כלפי אנשים, פיקוח אנושי, זכויות עובדים ולקוחות, דיני צרכנות, קניין רוחני, כללים ענפיים והתחייבויות חוזיות. המלצת המדיניות הממשלתית שפורסמה בדצמבר 2023 הייתה לפעול בשלב זה במסגרת רגולציה ענפית ולא רוחבית. זהו מסמך מדיניות, ויש לבדוק אם פורסמו מאז חקיקה, הנחיות או כללים ענפיים חדשים. הכיוון שהוצג במסמך מבוסס על ניהול סיכונים, תוך שימוש בדינים קיימים ובהנחיות של רגולטורים.

תיקון מס' 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. לפי המדריך המקצועי של הרשות להגנת הפרטיות, מדובר ברפורמה מקיפה בדיני הפרטיות ובכלי האכיפה. הוא אינו חוק ייעודי לבינה מלאכותית, אך הוא עשוי לחול על עיבוד מידע אישי באמצעות מערכות AI.

המשמעות המעשית היא שלא מחכים לחוק חדש. כבר בשלב בחירת הכלי צריך לדעת איזה מידע נכנס אליו, לאן הוא עובר, מי יכול לראות אותו, אילו החלטות הוא משפיע עליהן, מה יקרה כאשר הוא טועה ואיך אדם יוכל לערער או לבקש בדיקה. דף זה נועד להיות נקודת מעקב אחת: מה השתנה, על מי זה משפיע ומה צריך לעשות עכשיו.

זהו דף מתעדכן. כל שינוי יסומן בתאריך, בקישור למקור ראשוני ובתיאור קצר של המשמעות המעשית לישראל.

למה רגולציית AI בישראל אינה רק שאלה למחלקה המשפטית?

מערכת AI נוגעת בתהליך עבודה שלם. כלי שמסכם שיחת שירות עשוי לעבד הקלטה ונתוני לקוח. מודל שמדרג מועמדים עשוי להשפיע על הזדמנות תעסוקתית. סוכן שמפעיל מערכות עשוי לקרוא מסמכים, לשלוח מידע או לבצע פעולה בשם עובד. לכן האחריות מחולקת בין הנהלה, משפטים, פרטיות, אבטחת מידע, מערכות מידע, משאבי אנוש, רכש ובעל התהליך העסקי.

הטעות הנפוצה היא לשאול רק "האם הכלי מאובטח?". השאלות הנכונות רחבות יותר:

1. האם מותר לנו להשתמש במידע למטרה הזאת? 2. האם האדם שממנו הגיע המידע מבין את השימוש? 3. האם הספק משתמש בקלט או בפלט לאימון, ניטור או שיפור השירות? 4. האם מידע עובר מחוץ לישראל או לקבלני משנה? 5. האם יש אדם שמוסמך לעצור, לתקן ולהסביר תוצאה? 6. האם נוכל לבדוק בדיעבד איזו גרסה, הוראה ומקור יצרו את ההחלטה? 7. האם הארגון יכול להמשיך לעבוד אם הכלי אינו זמין או משתנה?

ציר הזמן: אילו מקורות ישראליים צריך לעקוב אחריהם?

מסמכי מדיניות ממשלתיים

מסמך משרד החדשנות, המדע והטכנולוגיה בנושא עקרונות, מדיניות, רגולציה ואתיקה בתחום הבינה המלאכותית מציג גישה של ניהול סיכונים, התאמה ענפית והישענות על עקרונות בין-לאומיים. זה אינו היתר גורף להשתמש ב-AI. הוא מסגרת לחשיבה, בעוד החובות המחייבות עשויות להגיע מחוקים קיימים ומרגולטור ענפי.

פרטיות והגנת מידע

חוק הגנת הפרטיות, תקנות אבטחת מידע, תיקון 13 והנחיות הרשות להגנת הפרטיות רלוונטיים כאשר מערכת AI מעבדת מידע אישי. הרשות פרסמה מסמך המלצות לציבור הרחב על שימוש אישי ואחראי בסוכני בינה מלאכותית. זהו מסמך המלצות לצמצום סיכוני פרטיות, ולא תחליף לבדיקת החובות החלות על ארגון, מאגר מידע או שימוש ענפי. ארגון צריך להבחין בין מסמך מדיניות, טיוטת הנחיה, הנחיה סופית וחובה שנקבעה בדין. בדף המעקב יש לסמן את הסטטוס המדויק, ולא להציג טיוטה כאילו היא חוק מחייב.

רגולציה ענפית

בנקאות, ביטוח, בריאות, תקשורת, שירות ציבורי, חינוך ותשתיות כפופים לכללים נוספים. מערכת שמותר להפעיל לצורך כתיבת רעיונות שיווקיים אינה בהכרח מתאימה לחיתום, אבחון, קבלת החלטה על עובד או טיפול בפנייה רגישה. בעל התהליך חייב לזהות מראש את הרגולטור הענפי ואת הדרישות החוזיות שחלים עליו.

השפעה בין-לאומית

ארגונים ישראליים שמוכרים, מספקים שירות או מפעילים מערכות באירופה עשויים להיות מושפעים גם מחוק ה-AI האירופי ומדיני הגנת מידע באירופה. הקשר תלוי בתפקיד הארגון, בשוק, במערכת ובשימוש. אין להעתיק רשימת חובות אירופית לתהליך ישראלי בלי בדיקה, אך גם אין להניח שארגון ישראלי נמצא מחוץ לטווח רק מפני שמשרדיו בישראל.

מה המשמעות של תיקון 13 לארגון שמשתמש ב-AI?

תיקון 13 לחוק הגנת הפרטיות אינו "תיקון AI", אבל הוא מחדד את הצורך לנהל מידע אישי בצורה מסודרת ואת סיכוני האכיפה. מערכת AI עלולה להרחיב במהירות את היקף העיבוד: עובד מדביק מסמך מלא לצ'ט, צוות מעלה תמלילי שיחות, או סוכן מקבל גישה לתיבה ולמערכת לקוחות. במקרה כזה השאלה אינה רק מה המודל יודע לעשות, אלא האם הארגון יודע להסביר את מאגרי המידע, מטרות השימוש, ההרשאות, השמירה, ההעברה והמחיקה.

ארבע פעולות בסיסיות:

למפות את זרימת המידע מהמקור עד לפלט וללוגים.

לסווג מידע שאסור להכניס לכלי ציבורי או לא מאושר.

לקבוע תנאי רכש: שימוש לאימון, מיקום עיבוד, קבלני משנה, מחיקה, אירוע אבטחה ויציאה מהשירות.

לתעד החלטה: למה השימוש נחוץ, מה הסיכון, מי אישר ומהי הבקרה האנושית.

האם מותר לעובדים להשתמש ב-ChatGPT, Copilot, Gemini או כלי דומה?

אין תשובה אחת לכל ארגון ולכל גרסת מוצר. אפשר לאפשר שימוש רק לאחר שמגדירים כלים מאושרים, חשבונות ארגוניים, סוגי מידע מותרים, משימות מותרות ואסורות ודרך אימות. חשבון חינמי אישי אינו שקול בהכרח לסביבה ארגונית חוזית. גם בתוך מוצר ארגוני צריך לבדוק הגדרות שיתוף, חיבורי אפליקציות, שמירת שיחות והרשאות.

מדיניות קצרה שעובדים באמת יכולים לבצע עדיפה על מסמך ארוך שאיש אינו קורא. היא צריכה לענות על חמש שאלות: באילו כלים משתמשים, איזה מידע אסור, מתי חייבים לבדוק מקור, אילו החלטות נשארות בידי אדם, ולמי מדווחים על טעות או חשיפה.

האם חייבים לספר ללקוח שהוא מדבר עם AI?

גילוי ברור הוא נוהג מומלץ לשקיפות ולאמון, ובנסיבות מסוימות עשויות לחול חובות מכוח הדין, רגולציה ענפית או תנאי חוזה. אין להציג את ההמלצה כחובת גילוי ישראלית גורפת בלי מקור משפטי נקודתי. הוא חשוב במיוחד כשמערכת אוספת מידע, נותנת המלצה, משנה תנאי שירות או מסלימה החלטה. הגילוי צריך להיות שימושי: שהמערכת אוטומטית, מה היא יכולה לעשות, איך מגיעים לאדם ומה עושים במקרה של טעות. משפט עמום בתנאי שימוש אינו מחליף הסבר ברגע הנכון.

מהן מערכות בסיכון גבוה מבחינה ארגונית?

גם בלי רשימה ישראלית אחת, אפשר לבנות דירוג פנימי. הסיכון עולה כאשר המערכת:

משפיעה על קבלה לעבודה, שכר, קידום או סיום העסקה;

משפיעה על אשראי, ביטוח, בריאות, זכאות או שירות חיוני;

מעבדת מידע רגיש או מידע על קטינים;

מייצרת פרופיל, ציון או חיזוי על אדם;

מבצעת פעולה במערכת במקום רק להציע טקסט;

פועלת בהיקף גדול או קשה לתקן את הנזק שלה;

אינה מאפשרת הסבר, שחזור או ערעור מעשי.

במערכות כאלה נדרשים בדרך כלל אישור בכיר יותר, ניסוי מוגבל, בדיקות הטיה ואיכות, לוגים, מנגנון עצירה ובקרה אנושית אמיתית. "אדם בלולאה" אינו רק לחיצה אוטומטית על אישור. האדם צריך לקבל זמן, מידע וסמכות לשנות את התוצאה.

ערכת פעולה ל-30 יום

ימים 1-7: מיפוי

רכזו רשימה של כלי AI רשמיים ולא רשמיים. לכל כלי תעדו בעלים, משתמשים, משימה, סוגי מידע, ספק, חיבורים למערכות ותוצאה עסקית. אל תפתחו במבצע ענישה. המטרה היא לגלות שימוש קיים ולתת חלופה בטוחה.

ימים 8-14: סיווג

דרגו שימושים לפי השפעה על אנשים, רגישות מידע ויכולת תיקון. הפרידו בין יצירת טיוטה, המלצה לאדם ופעולה אוטונומית. הגדירו שימושים ירוקים, שימושים שדורשים אישור ושימושים שאסורים כרגע.

ימים 15-21: כללים וספקים

בחרו כלים מאושרים, השלימו בדיקת ספק וקבעו מדיניות קצרה. ודאו שבחוזה ובתצורה יש תשובות לאימון על מידע, שמירה, מחיקה, אירוע אבטחה, קבלני משנה ויצוא מידע. קבעו בעל תפקיד שמאשר חריגים.

ימים 22-30: בדיקה והדרכה

בנו סט תרחישים אמיתי בעברית. בדקו דיוק, מקורות, הטיה, פרטיות, נגישות ויכולת הסלמה. הדריכו עובדים לפי תפקיד, לא רק בסדנת מבוא כללית. הפעילו ערוץ לדיווח על תוצר שגוי או חשיפה ובדקו אותו בפועל.

טבלת המעקב החיה: עוגנים מתוארכים

מוצגים כאן רק אירועים מתוארכים שמגובים במקור ראשוני המקושר בתחתית הדף. כל עדכון עתידי יתווסף כאן עם תאריך, מקור ומשמעות מעשית.

תאריך | הגוף המפרסם | סוג העדכון | סטטוס | על מי משפיע | פעולה מומלצת

דצמבר 2023 | משרד החדשנות, המדע והטכנולוגיה | מסמך עקרונות, מדיניות, רגולציה ואתיקה ב-AI | מסמך מדיניות - לא חיקוק מחייב | כל ארגון שמפתח או מפעיל AI | לאמץ גישת ניהול סיכונים ולבדוק מול הרגולטור הענפי

14.8.2025 | הרשות להגנת הפרטיות | כניסת תיקון 13 לתוקף | בתוקף - דין מחייב | ארגונים שמעבדים מידע אישי, כולל דרך מערכות AI | לעדכן מדיניות פרטיות, מיפוי מאגרים ותנאי ספקים

ללא תאריך מוצג במסמך - יש לאמת בכל עדכון | הרשות להגנת הפרטיות | המלצות לשימוש בטוח בסוכני בינה מלאכותית | מסמך המלצות לציבור | ציבור וארגונים המשתמשים בסוכני AI | לצמצם מידע רגיש, להגדיר הרשאות ולתעד בדיקות

יומן שינויים של הדף

15.9.2026 - פרסום ראשון: מסגרת הרגולציה בישראל, תיקון 13, ערכת פעולה ל-30 יום וטבלת מעקב מתוארכת. כל עדכון עתידי יירשם כאן עם תאריך ומקור.

תבנית להעתקה: מלאי כלי AI בארגון

שדות לכל כלי: שם הכלי | גרסה וסוג חשבון | בעלים בארגון | משתמשים עיקריים | משימה מוגדרת | סוגי מידע שמותר להזין | ספק ומיקום עיבוד | חיבורים למערכות | האם הקלט משמש לאימון | תאריך בדיקה אחרון | סיווג: ירוק / דורש אישור / אסור.

כלל עבודה: כלי שלא במלאי אינו כלי מאושר. השימוש מתחדש רק אחרי רישום ובדיקה.

תבנית להעתקה: מדיניות שימוש בת עמוד

1. באילו כלים מותר להשתמש: [רשימת כלים מאושרים וסוג חשבון].

2. איזה מידע אסור להזין: מידע אישי רגיש, סודות מסחריים, מידע לקוחות - אלא אם אושר בכתב.

3. מתי חייבים לבדוק מקור: כל מספר, ציטוט, תאריך או טענה עובדתית לפני שימוש חיצוני.

4. אילו החלטות נשארות בידי אדם: קבלה לעבודה, שכר, אשראי, בריאות ופגיעה בזכויות.

5. למי מדווחים על טעות או חשיפה: [שם ותפקיד] ובאיזה ערוץ.