צמצום סיכון המידע הארגוני בהטמעת מערכות בינה מלכותית בארגונים.

מאת אדיר נוריאל אוג' 2026

באפריל 2023 גילתה סמסונג שמהנדסים שלה הדביקו קוד מקור סודי ותמלולי ישיבות פנימיות לתוך ChatGPT – שלוש דליפות בתוך חודש. התגובה הייתה חסימה גורפת של כלי AI בכל החברה.
שנתיים וחצי אחרי, אני יכול להגיד לכם מניסיון של עשרות פרויקטי הטמעה: החסימה היא הטעות ההפוכה.
העובדים פשוט עוברים לטלפון הפרטי, והארגון מאבד גם את השליטה וגם את היתרון.

מאמר בנושא שימוש במכשירי טלפון פרטיים בארגונים ואתגרי BYOD

Shadow AI – הבעיה שכבר קיימת אצלכם

מחקרים בתחום מצביעים על כך שרוב העובדים שמשתמשים בכלי AI בעבודה עושים זאת בלי ידיעת ה-IT, וחלק ניכר מהמידע שמוזן לכלים הוא מידע רגיש:
נתוני לקוחות, קוד, מסמכים פיננסיים.

התופעה מכונה Shadow AI
זה לא מרד, זה עובדים שמנסים להספיק יותר. השאלה היא לא "האם משתמשים", אלא "האם יש למי שמשתמש כללים".

ארבעה צעדים שעובדים בפועל

1. מיפוי לפני מדיניות. שאלו את העובדים באילו כלים הם כבר משתמשים – בלי סנקציות. אי אפשר לנהל סיכון שלא רואים.

2. מדיניות של "מותר, כך" במקום "אסור". הגדירו אילו סוגי מידע מותר להזין לאילו כלים. מדיניות בת עמוד אחד שקוראים מנצחת נוהל בן 30 עמודים שלא.

3. DPA מול ספקי המודלים. גרסאות ה-Enterprise של הספקים הגדולים מציעות התחייבות לאי-אימון על הנתונים שלכם. אם הארגון מזין מידע אישי – זו לא המלצה, זו דרישת ציות: תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, הרחיב משמעותית את סמכויות האכיפה והקנסות, ו-GDPR רלוונטי לכל מי שנוגע בלקוחות אירופיים.

גם כאשר ספק מצהיר שהמידע הארגוני אינו משמש לאימון המודל, אין בכך לבדו כדי לסגור את סוגיית הפרטיות. ארגון צריך להבין מה נאסף, כמה זמן המידע נשמר, היכן הוא מעובד, האם קיימים Sub-processors, האם המידע מועבר מחוץ לישראל, מי יכול לגשת אליו ומה קורה למידע בסיום ההתקשרות.

מהזוית שלנו באינפוגארד – חוזה עם ספק AI אינו תחליף לבדיקת פרטיות

הנושא מקבל משנה חשיבות בישראל לאחר כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות ותחילת האכיפה והקנסות.
הרשות להגנת הפרטיות אף הבהירה שמידע אישי המעובד במערכות AI כפוף להוראות חוק הגנת הפרטיות, ובפרסומיה היא מדגישה את הסיכונים הכרוכים בהזנת מידע אישי למערכות Generative AI.
לכן נכון לבחון הטמעת AI גם דרך פריזמה של Privacy by Design, מזעור מידע, ניהול ספקים ותיעוד ההחלטות, ולא רק דרך תנאי הרישוי של המוצר.

4. סוכני AI מקבלים הרשאות כמו עובד חדש. הדור הנוכחי הוא כבר לא צ'אט אלא סוכני מכירות בינה מלאכותית שנוגעים ב-CRM ובדאטת לקוחות אמיתית. סוכן כזה צריך מינימום הרשאות, לוג פעולות ובן אדם בלולאה על פעולות רגישות – בדיוק כמו עובד בתקופת ניסיון.

מנקודת המבט שלנו באינפוגארד – מדיניות AI היא רק שכבה אחת

מניסיוננו באינפוגארד, מדיניות שימוש ב-AI אינה צריכה לעמוד בפני עצמה.
היא צריכה להתחבר ל:

• סיווג המידע הארגוני
• למדיניות הרשאות
• ניהול ספקים
• תהליכי אבטחת המידע קיימים
• הגנה על הפרטיות שכבר קיימים בארגון

אחרת, העובד אולי יודע באיזה כלי מותר להשתמש, אבל לא בהכרח יודע האם המסמך שהוא עומד להעלות כולל מידע אישי, מידע מסחרי רגיש או מידע שהארגון התחייב חוזית שלא להעביר לצד שלישי.

לכן, לצד מיפוי הכלים, מומלץ לבצע גם מיפוי תרחישי שימוש: מי משתמש ב-AI, לאיזו מטרה, איזה מידע נכנס למערכת, לאן הוא עשוי לעבור, מה נשמר אצל הספק ומהי רמת הנזק האפשרית במקרה של חשיפה. זה הופך את הדיון מ"איזה כלי מאשרים?" ל"איזה שימוש מאשרים ובאילו תנאים?" — וזה הבסיס לסקר סיכונים אפקטיבי.

גם ענקיות ה-AI רבות בדיוק על זה

הוויכוח על גבולות הוא לא תיאורטי – הוא מפצל את התעשייה עצמה.
אנתרופיק (Claude) קמה ב-2021 על ידי פורשי OpenAI בעקבות מחלוקת בדיוק על השאלה הזו: כמה מהר משחררים וכמה מגבילים.
ההבדל בגישות נשאר עד היום – אנתרופיק מחזיקה בקו המחמיר בתעשייה, ובתחילת 2026 אף סירבה לרכך את מגבלות השימוש שלה מול הפנטגון וספגה על כך ביטול חוזה של 200 מיליון דולר.
OpenAI, שדווקא מרככת בהדרגה את מגבלות התוכן שלה, התייצבה במקרה הזה לצד המתחרה והצהירה שיש לה "אותם קווים אדומים".

הלקח לארגון שלכם:
מדיניות ההגבלות של ספק המודל היא חלק מפרופיל הסיכון שלכם. בחרו ספק שהקווים האדומים שלו תואמים את דרישות הציות שלכם – כי כשהם מתנגשים, כפי שראה הפנטגון, הספק לא בהכרח יתקפל.

אפילו מי שיושב באמצע הנתיב המהיר הזה איבד את הסבלנות.
אלכס קארפ, מייסד-שותף ומנכ"ל פלנטיר – החברה שדרכה הפנטגון מריץ את Claude בפועל – תקף ביולי 2026 בראיון ל-CNBC את כל התעשייה: "האם באמת נמסור את שדה הקרב של המדינה הזו לדעת הקונצנזוס של עמק הסיליקון? זה מטורף לחלוטין."

הדעה שלי

"הארגונים שינצחו ב-2026 הם לא אלה שחסמו ולא אלה שהתירו הכל – אלא אלה שבנו תהליך מסודר שבו אבטחת המידע היא חלק מההטמעה מהיום הראשון, לא מחסום בסופה. את התהליך המלא, שלב אחר שלב, פירטתי במדריך הטמעת בינה מלאכותית בעסק – והצעד הראשון בו הוא בדיוק מה שתיארתי כאן: מיפוי לפני טכנולוגיה."

אדיר נוריאל הוא מייסד rainz.ai, המתמחה בהטמעת AI ואסטרטגיה דיגיטלית לעסקים.

מנקודת מבט של אבטחת המידע והפרטיות של אינפוגארד

האתגר בהטמעת AI ארגוני אינו מסתכם בבחירת המודל הנכון. מבחינת אבטחת מידע ופרטיות מדובר במערכת חדשה שנכנסת לשרשרת עיבוד המידע של הארגון, ולעיתים מקבלת גישה למידע רגיש, למערכות ליבה ולתהליכים עסקיים.
לכן נכון להתייחס אליה כחלק ממפת הסיכונים הארגונית:
לבצע סקר סיכונים ייעודי, לבחון את הספק ואת תנאי עיבוד המידע, להגדיר הרשאות ושימושים מותרים, לעדכן נהלים ולהבטיח בקרה והדרכת עובדים.

באינפוגארד אנחנו ממליצים לארגונים לא לבחור בין "לחסום AI" לבין "לאפשר AI", אלא לבנות מסגרת שימוש מבוקרת. המסגרת צריכה לחבר בין CISO, DPO, IT, משפטית והיחידות העסקיות, ולהגדיר מראש איזה מידע יכול להיכנס לכלי AI, באילו תנאים, מי מאשר שימושים חדשים וכיצד נבחנים סיכוני פרטיות ואבטחת מידע לאורך חיי המערכת.
כך ניתן ליהנות מהיתרונות של AI בלי להפוך את החדשנות ל-Shadow IT מסוג חדש.

איפה אנחנו באינפוגרד יכולים להוסיף ערך עם הבינה שלנו?

באינפוגארד אנחנו מלווים ארגונים בהטמעת AI כחלק ממערך אבטחת המידע, הפרטיות, ניהול הסיכונים והציות הארגוני ולא רק בהיבט הטכנולוגי.

הליווי יכול לכלול:
סקרי סיכונים ופערים למערכות AI, גיבוש מדיניות ונהלים, מיפוי מערכות וספקים, בחינת פרטיות ואבטחת מידע, הגדרת אחריות ובקרות, וכן היערכות לתקן ISO/IEC 42001 ולדרישות רגולטוריות דוגמת ה-EU AI Act – שנכנס לאכיפה ב-2/8/2026.

המשמעות היא בניית מסגרת AI Governance סדורה:
זיהוי וסיווג שימושי AI, בחינת רמת הסיכון של כל מערכת, הגדרת תהליכי אישור ובקרה, תיעוד, פיקוח אנושי, ניהול ספקים והטמעת עקרונות של Privacy ו־Security by Design.

המטרה היא שה-AI לא ינוהל כאוסף כלים נקודתיים, אלא כחלק אינטגרלי ממערך ניהול הסיכונים, אבטחת המידע, הפרטיות והציות של הארגון.

AI כבר הפך לחלק מהפעילות העסקית. עכשיו צריך לוודא שגם ה-Governance, התקינה והרגולציה מדביקים את הקצב.

יצירת קשר עם מומחים לאבטחת מידע ב-AI שלנו באינפוגארד

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה תחליף לייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי.
אנחנו מאמינים כי כל ארגון יחיד ומיוחד ולכן נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף אדיר נוריאל – מומחה הטמעת בינה מלאכותית וAI בארגונים, מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ועל ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).