ה-AI כבר בתוך הארגון. עכשיו מגיע החלק הקשה באמת: מי מנהל את הסיכון?

לפני שנה-שנתיים רוב השיחות שלנו עם ארגונים על AI התחילו בשאלה: "איך אפשר להשתמש בזה?"

היום השאלה כבר אחרת.

ארגונים לא מחכים. עובדים משתמשים ב-ChatGPT, Claude, Gemini וכלים נוספים. מחלקות שיווק מנתחות דאטה עם AI, מפתחים נעזרים במודלים לכתיבת קוד, מנהלים מעלים מסמכים לסיכום, צוותי שירות מטמיעים צ'אטבוטים, ו-AI Agents מתחילים לקבל גישה ל-CRM, למערכות ארגוניות ולמאגרי מידע.

במילים אחרות, ה-AI כבר נכנס בדלת.

וכאן אנחנו באינפוגארד מתחילים לשאול את השאלות שפחות נוח לשאול:

מי אישר את השימוש?
איזה מידע נכנס למערכת?
מי בדק את הספק?
האם העובדים יודעים מה אסור להעלות?
מי אחראי על פרטיות?
מי מנהל את הסיכון?
ומה קורה אם מחר מתברר שמערכת AI קיבלה גישה למידע שלא הייתה אמורה לראות?

אלה כבר לא שאלות של חדשנות. אלה שאלות של Governance.

הרגולציה סוגרת את הפער בין "אפשר" ל"מותר"

הבעיה בעולם ה-AI היא שהטכנולוגיה מתקדמת מהר יותר מרוב מנגנוני הניהול הארגוניים.

אבל הרגולציה מתחילה לסגור את הפער.

ה-EU AI Act הוא הדוגמה הבולטת ביותר. החוק האירופי נבנה בגישה מבוססת סיכון ומטיל דרישות שונות בהתאם לסוג המערכת, לאופן השימוש בה ולפוטנציאל ההשפעה שלה. נכון לאוגוסט 2026, חלק משמעותי מהוראות החוק כבר חל, כולל הוראות שקיפות מסוימות, בעוד יישום הוראות אחרות ממשיך בהדרגה.

מבחינתנו, המסר לארגונים חשוב יותר מהשאלה האם סעיף ספציפי חל עליהם מחר בבוקר.

הכיוון הרגולטורי ברור: אם ארגון משתמש ב-AI, מצופה ממנו לדעת איפה הוא משתמש בו, למה, על איזה מידע, תחת איזו אחריות ואילו בקרות מופעלות סביבו.

זו כבר לא סביבה שבה אפשר להגיד: "זה כלי שהעובדים התחילו להשתמש בו לבד".

ודווקא הפרטיות היא המקום שבו הרבה ארגונים מפספסים

אנחנו רואים ארגונים שמתייחסים ל-AI כאל מוצר טכנולוגי, אבל בפועל הוא קודם כל צרכן אדיר של מידע.

המערכת רוצה עוד דאטה.
עוד מסמכים.
עוד הקשר.
עוד מידע על לקוחות.
עוד מידע על עובדים.
עוד הרשאות.

ופה מתחיל הסיכון.

כאשר עובד מעתיק למודל AI תכתובת עם לקוח, מסמך רפואי, חוזה, קובץ משאבי אנוש או מידע עסקי, הוא אולי חושב שהוא "רק מבקש סיכום". מבחינת פרטיות ואבטחת מידע, לעומת זאת, התמונה מורכבת הרבה יותר.

הרשות להגנת הפרטיות בישראל כבר הזהירה מפני הסיכונים שבהזנת מידע אישי למערכות Generative AI והדגישה את החשיבות של הימנעות מחשיפת מידע שאינו נדרש.

אנחנו באינפוגארד ממליצים לארגונים לקחת את העיקרון הזה צעד קדימה.

לפני שמערכת AI מקבלת גישה למידע, צריך להבין:

האם השימוש במידע תואם למטרה שלשמה נאסף?
האם באמת צריך להעביר את כל המידע?
האם קיימת אפשרות לבצע Data Minimization?
האם הספק שומר את הנתונים?
האם הוא משתמש בהם לאימון?
האם המידע יוצא מחוץ לארגון או למדינה?
כמה זמן הוא נשמר?
ומי יכול לראות אותו?

בדיוק כאן Privacy by Design מפסיק להיות מושג יפה במצגת והופך לדרך עבודה.

AI Governance אינו נוהל של שני עמודים

אחת הטעויות שאנחנו רואים היא הניסיון "לפתור" את נושא ה-AI באמצעות מדיניות קצרה:

מותר ChatGPT Enterprise.
אסור חשבון פרטי.
לא מעלים מידע רגיש.

זה חשוב, אבל זה לא Governance.

Governance אמיתי מתחיל כאשר הארגון יודע לענות על שאלות כמו:

איזה מערכות AI קיימות אצלנו?
מי הבעלים שלהן?
אילו Use Cases קיימים?
לאיזה מידע הן מחוברות?
איזה ספק עומד מאחוריהן?
מה רמת הסיכון של כל שימוש?
ומי מוסמך לאשר שימוש חדש?

אחת ההמלצות הראשונות שלנו היא לבנות AI Inventory.

לא צריך להתחיל ממערכת ענקית. גם טבלה מסודרת יכולה לעשות שינוי משמעותי, כל עוד היא מכילה את מה שחשוב: המערכת, ה-Owner, המטרה, סוגי המידע, הספק, ההרשאות ורמת הסיכון.

כי בסופו של דבר יש כלל מאוד פשוט:

אי אפשר לנהל סיכון שאפילו לא יודעים שקיים.

כאן ISO/IEC 42001 נכנס לתמונה

אם AI Governance נשמע מופשט, ISO/IEC 42001 נותן לו מסגרת מאוד ברורה.

זהו התקן הבינלאומי למערכת ניהול בינה מלאכותית – Artificial Intelligence Management System, או AIMS – והוא נועד לארגונים שמפתחים, מספקים או משתמשים במערכות AI. ISO מגדיר אותו כמסגרת להקמה, יישום, תחזוקה ושיפור מתמשך של מערכת לניהול AI.

אנחנו אוהבים את הגישה הזאת מכיוון שהיא מחזירה את ה-AI למקום שארגונים כבר מכירים: מערכת ניהול.

לא "יש לנו מודל".
לא "קנינו Copilot".
לא "הטמענו Agent".

אלא:

יש מדיניות.
יש בעלי תפקידים.
יש הערכת סיכונים.
יש בקרות.
יש ניטור.
יש אחריות.
ויש תהליך לשיפור מתמשך.

עבור ארגון שכבר עובד עם ISO/IEC 27001, החיבור טבעי במיוחד. 27001 נותן מסגרת לניהול אבטחת מידע; ISO/IEC 27701 מוסיף שכבה של ניהול פרטיות; ו-42001 מביא את מערכת הניהול לעולם ה-AI.

התקנים לא מחליפים רגולציה. הם עוזרים לארגון להפוך רגולציה ועקרונות לתהליכים שחיים בפועל.

ואז מגיעה השאלה שכולם מנסים להעביר למישהו אחר: מי אחראי?

• ה-IT?
• ה-CISO?
• ה-DPO?
• היועץ המשפטי?
• מנהל הדיגיטל?
• מנהל החדשנות?

התשובה שלנו היא: כולם מעורבים, אבל מישהו חייב להיות בעל הבית.

• היחידה העסקית צריכה להיות אחראית על המטרה העסקית ועל ה-Use Case.
• ה-IT צריך להבין את האינטגרציות והמערכות.
• ה-CISO צריך לבחון אבטחת מידע, הרשאות וסיכוני ספק.
• ה-DPO צריך לבחון שימוש במידע אישי.
• Legal צריך להבין את הדרישות הרגולטוריות והחוזיות.
• והנהלה צריכה להחליט מי מקבל החלטה במקרה שהשיקולים מתנגשים.

אנחנו ממליצים שלכל מערכת AI משמעותית יהיה Owner ברור, ובמקביל יהיה גוף רוחבי – פורום AI Governance, ועדת סיכונים או מנגנון דומה – שמקבל החלטות ביחס לשימושים רגישים.

אנחנו משתמשים לא פעם בשלוש שאלות פשוטות:

מי אישר? מי מנהל את הסיכון? מי אחראי אם משהו משתבש?

אם התשובות אינן ברורות, זה בדרך כלל סימן שהארגון עדיין לא באמת מנהל את ה-AI שלו.

אחד הסיכונים הגדולים בכלל לא נמצא בפרויקטי ה-AI הרשמיים

הוא נמצא ב-Shadow AI.

עובד שמצא כלי חדש באינטרנט.
מנהל שמעלה מצגת למערכת חינמית כדי "רק לסכם אותה".
מפתח שמחבר API בלי תהליך אישור.
מחלקה שקונה שירות SaaS קטן בכרטיס אשראי ומכניסה אליו דאטה ארגוני.

כל אחד מהמקרים האלה נראה קטן. יחד הם יוצרים שכבת טכנולוגיה שלמה שהארגון לא מכיר.

לכן הדרכת עובדים ו-AI Literacy הן לא תוספת נחמדה. הן חלק מה-Governance.

עובדים צריכים לדעת לא רק איך להשתמש ב-AI, אלא גם מתי לעצור ולשאול.

אז מה אנחנו ממליצים לעשות מחר בבוקר?

לא להתחיל מפרויקט של שנה.

אנחנו באינפוגארד מעדיפים להתחיל מתמונה אמיתית של הארגון.

ממפים את השימושים הקיימים.
מסווגים אותם לפי רמת סיכון.
מגדירים כללים למידע ולפרטיות.
בודקים ספקים.
קובעים Owner.
מגדירים מנגנון לאישור Use Cases חדשים.
ומדריכים את העובדים.

רק אחר כך מחליטים עד כמה רוצים להתקדם למסגרת פורמלית כמו ISO/IEC 42001.

איך אנחנו באינפוגארד משתלבים בתהליך

אנחנו באינפוגארד עובדים בדיוק בנקודת המפגש הזו — בין טכנולוגיה, ניהול סיכונים, פרטיות, תקינה ורגולציה.

במסגרת שירותי אבטחת מידע לעסקים אנחנו מסייעים לארגונים לבחון את תמונת הסיכון הקיימת, לבנות מדיניות, להסדיר אחריות, לבצע הערכות סיכונים ולחבר את השימוש ב-AI למסגרות אבטחת המידע והפרטיות שכבר פועלות בארגון.

המטרה מבחינתנו אינה לעצור את ה-AI.

בדיוק להפך.

אנחנו רוצים שארגונים יוכלו להשתמש בו, להרחיב אותו ולייצר ממנו ערך – בלי להגיע בעוד שנה למצב שבו אף אחד לא יודע אילו מערכות פועלות, איזה מידע הוזן אליהן ומי היה אמור להיות אחראי.

החדשנות כבר כאן. עכשיו צריך לבנות לה מסגרת

AI Governance נשמע לפעמים כמו עוד שכבת בירוקרטיה.

אנחנו מסתכלים עליו הפוך.

ככל שה-AI הופך עצמאי יותר, מחובר יותר למידע ומעורב יותר בהחלטות, כך הארגון צריך פחות אילתורים ויותר בהירות.

מי רשאי לעשות מה.
איזה מידע מותר לחשוף.
איזה סיכון אנחנו מוכנים לקחת.
מתי נדרש אדם בתהליך.
ומי עומד מאחורי ההחלטה.

הארגונים שיצליחו עם AI לא יהיו בהכרח אלה שאימצו אותו ראשונים.

הם יהיו אלה שידעו לאמץ אותו מהר מבלי לאבד שליטה בדרך.

כי בסופו של דבר, AI Governance אינו נועד להגן על הארגון מפני חדשנות. הוא נועד לאפשר לארגון לחדש בביטחון.

יצירת קשר עם מומחי אבטחת המידע של אינפוגארד

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי רועי קיש, אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).