מדיניות שימוש ב-AI היא המסמך שקובע מה מותר, איזה מידע אסור להזין, מתי נדרשת בקרה אנושית ומי אחראי לפלט. מה חייב להיכלל בה, ולמה מדיניות שאוסרת הכול היא הכישלון הנפוץ ביותר.
עודכן
מדיניות שימוש בבינה מלאכותית בארגון היא מסמך פנימי שקובע שישה דברים: באילו כלי AI מותר להשתמש, איזה מידע אסור להזין להם, מתי פלט חייב בדיקה אנושית לפני שימוש, מה מתועד, מתי מגלים ללקוח או לצד שלישי שנעשה שימוש בכלי, ומה עושים כשמשהו משתבש. מדיניות שעובדת מתחילה מרשימת כלים מאושרים, ולא מאיסור גורף.
כשארגון נשאל מי אחראי לפלט של מערכת הבינה המלאכותית שלו, התשובה אמורה להיות כתובה במסמך אחד: מדיניות השימוש. ברוב הארגונים המסמך הזה לא קיים, או שהוא קיים ואיש אינו פועל לפיו. שתי הבעיות נראות שונות ומקורן זהה.
בהליך משפטי, בבדיקת נאותות או מול רגולטור, השאלה אינה אם השתמשתם בבינה מלאכותית. השאלה היא אם הייתה שיטה. מדיניות כתובה שמיושמת היא ההוכחה שהייתה. היעדרה הופך כל שימוש פרטני לאירוע שצריך להסביר בדיעבד.
הניסוח הזהיר ביותר הוא גם המסוכן ביותר. ארגון שאוסר שימוש בכלי בינה מלאכותית לא מונע את השימוש, הוא רק מוציא אותו מהשדה הנראה. העובדים ממשיכים, מחשבונות פרטיים, בכלים שאיש לא בדק, עם מידע שאיש לא אישר. זה נקרא AI צללים, וזה מצב גרוע בהרבה משימוש מוסדר.
מדיניות עובדת מתחילה מרשימת כלים מאושרים, ולא מאיסור.
רשימת הכלים המאושרים, בשמות, עם ציון מי מאשר תוספת לרשימה וכיצד.
הגדרה חדה של מידע אסור: מידע אישי, מידע רפואי, מסמכי לקוחות, סודות מסחריים וקוד קנייני. הניסוח צריך להיות קונקרטי. "מידע רגיש" אינו הנחיה, כי כל אחד מפרש אותו אחרת.
חובת בקרה אנושית, מדורגת לפי השלכה. פלט ששימש לניסוח פנימי אינו זהה לפלט שנשלח ללקוח או ששימש בסיס להחלטה. המדיניות צריכה לומר איפה עובר הגבול ומי חותם מעליו.
מה מבדיל בקרה אנושית אמיתית מחתימה על תוצר שאיש לא בדק מוסבר בפיקוח אנושי אפקטיבי על מערכות AI: איך מיישמים בפועל.
חובת תיעוד: מה תועד, איפה, ולכמה זמן. זו הנקודה שהכי מרבים לדלג עליה, והיא זו שקובעת בדיעבד.
כללי גילוי: מתי מיידעים לקוח או צד שלישי שנעשה שימוש בבינה מלאכותית. בחלק מהמקרים זו חובה משפטית, ובאחרים זו החלטה עסקית שעדיף לקבל מראש.
נוהל אירוע: מה עושים כשמידע דלף לכלי חיצוני, או כשפלט שגוי כבר יצא החוצה. נוהל שנכתב בזמן אמת נכתב גרוע.
מדיניות פנימית טובה אינה שווה הרבה אם הסכם הרישוי של הכלי אומר דבר אחר. שאלות שצריכות תשובה לפני האישור: האם הקלט משמש לאימון המודל, היכן מאוחסן המידע, מה תקופת השמירה, ומי נושא באחריות לפלט שגוי.
ברוב הסכמי הרישוי האחריות לפלט מוטלת על המשתמש. זה לגיטימי, אבל זה צריך להיות החלטה מודעת ולא גילוי מאוחר.
על ההבדל בין מודל ציבורי לסביבה ארגונית סגורה, ועל מה בודקים לפני שמזינים לכלי מידע של לקוח, ראו חיסיון לקוח ואבטחת מידע במחלקה המשפטית: מה לבדוק לפני שמזינים ל-AI.
מסמך שנשלח במייל ונקרא פעם אחת אינו מדיניות. שלושה דברים מבדילים בין מסמך שקיים למדיניות שפועלת: הדרכה קצרה וממוקדת ולא מצגת בת שעה, נקודת אישור אחת וברורה לתוספת כלי, ובדיקה תקופתית של הפער בין מה שכתוב למה שקורה.
הבדיקה התקופתית היא החשובה מכולן, כי ארגונים מאמצים כלים חדשים מהר בהרבה מהקצב שבו הם מעדכנים מסמכים.
ליווי ארגון בכתיבת מדיניות כזו, בהטמעתה ובבדיקה התקופתית שלה מתואר בעמוד הייעוץ והליווי בבינה מלאכותית.
הערה: אין באמור ייעוץ משפטי או תחליף לו, והוא אינו מהווה חוות דעת מחייבת. כל מקרה מחייב בחינה פרטנית מול עורך דין מוסמך.
רשימת כלים מאושרים ומי מאשר תוספת לה, הגדרה קונקרטית של מידע שאסור להזין, בקרה אנושית מדורגת לפי השלכת הפלט, חובת תיעוד, כללי גילוי ללקוח או לצד שלישי, ונוהל אירוע לדליפה או לפלט שגוי שכבר יצא החוצה.
לא. איסור גורף לא מונע את השימוש אלא מוציא אותו מהשדה הנראה: העובדים ממשיכים מחשבונות פרטיים ובכלים שאיש לא בדק. שימוש מוסדר, שמתחיל מרשימת כלים מאושרים, בטוח יותר.
אם הקלט משמש לאימון המודל, היכן המידע מאוחסן, מה תקופת השמירה, ומי נושא באחריות לפלט שגוי. ברוב הסכמי הרישוי האחריות לפלט מוטלת על המשתמש, וזו צריכה להיות החלטה מודעת.
כי בהליך משפטי, בבדיקת נאותות או מול רגולטור השאלה אינה אם הארגון השתמש בבינה מלאכותית, אלא אם הייתה לו שיטה. מדיניות כתובה שמיושמת בפועל היא ההוכחה שהייתה שיטה. בלעדיה, כל שימוש פרטני בכלי הופך לאירוע שצריך להסביר בדיעבד, בדיוק כשהכי קשה לשחזר מה נעשה ולמה.
בניסוח קונקרטי ולא כללי. המדיניות צריכה למנות את סוגי המידע עצמם: מידע אישי, מידע רפואי, מסמכי לקוחות, סודות מסחריים וקוד קנייני. הנחיה כמו ״לא להזין מידע רגיש״ אינה הנחיה של ממש, כי כל עובד מפרש אותה אחרת, ומה שלא הוגדר במפורש מוכרע בפועל לפי שיקול דעתו של כל עובד.
לפי ההשלכה של הפלט. טיוטה ששימשה לניסוח פנימי אינה דומה לפלט שנשלח ללקוח או שהפך לבסיס להחלטה, ולכן גם הבדיקה הנדרשת אינה זהה. המדיניות צריכה לקבוע היכן עובר הגבול בין הרמות ומי חותם על פלט שנמצא מעליו, כך שהאחריות לכל תוצר שיוצא מהארגון ידועה מראש.
המדיניות צריכה לקבוע מה מתעדים, היכן ולכמה זמן שומרים את התיעוד. זו הנקודה שארגונים מרבים לדלג עליה, והיא דווקא זו שקובעת בדיעבד: כשנשאלת השאלה איך נוצר מסמך או על מה נשענה החלטה, רק תיעוד שנשמר בזמן אמת מראה שהייתה בקרה ושהשימוש בכלי נעשה לפי שיטה.
את זה המדיניות צריכה לקבוע מראש. בחלק מהמקרים גילוי ללקוח או לצד שלישי הוא חובה משפטית, ובאחרים הוא החלטה עסקית. גם כשאין חובה, עדיף להחליט על כלל אחד לכל הארגון לפני שהשאלה עולה בעסקה מסוימת, ולא להשאיר לכל עובד לשקול בעצמו אם לספר, למי ובאיזה שלב.
פועלים לפי נוהל אירוע שנכתב מראש כחלק ממדיניות השימוש. הנוהל צריך לומר מה עושים כשמידע דלף לכלי חיצוני, וגם כשפלט שגוי כבר יצא מהארגון ללקוח או לצד שלישי. נוהל שמנסחים בזמן אמת, תחת הלחץ של האירוע עצמו, נכתב בדרך כלל גרוע, ולכן כותבים אותו לפני שהוא נדרש.
מי שהמדיניות מגדירה לכך. רשימת הכלים המאושרים צריכה להופיע במדיניות בשמות הכלים, לצד ציון מי מאשר תוספת לרשימה ובאיזה הליך. נקודת אישור אחת וברורה היא גם אחד הדברים שמבדילים בין מסמך שקיים על הנייר לבין מדיניות שפועלת, כי כך עובד שצריך כלי חדש יודע למי לפנות במקום להתחיל להשתמש בו בעצמו.
כי מסמך שנשלח ונקרא פעם אחת אינו מדיניות. שלושה דברים הופכים אותו למדיניות שפועלת: הדרכה קצרה וממוקדת במקום מצגת בת שעה, נקודת אישור אחת וברורה להוספת כלי, ובדיקה תקופתית של הפער בין מה שכתוב לבין מה שקורה בפועל. הבדיקה התקופתית חשובה מכולן, כי ארגונים מאמצים כלים חדשים מהר יותר מהקצב שבו הם מעדכנים מסמכים.
נושא: בינה מלאכותית וממשל סיכונים
השירות בתחום: ייעוץ וחוות דעת שנייה בנושא AI
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לתיאום פגישת ייעוץ
כל שינוי בקוד נבדק בשער פיתוח מאובטח לפי עקרונות OWASP Top 10, ISO/IEC 27001:2022 (A.8.28) ו-NIST SSDF. בדיקה אחרונה: 2.11.2026. פירוט הבקרות