AI Governance בארגון:
מה ההנהלה מחליטה לפני שאתם מרחיבים את השימוש
בקצרה: לפני שאתם מרחיבים שימוש ב-AI בארגון, ההנהלה מחליטה ארבעה דברים: מי אחראי, מה מותר, מי מאשר בקשות וחריגים, ואיך היא יודעת מה קורה בפועל. מסמך מדיניות עונה רק על השאלה השנייה.
בינה מלאכותית (AI) כבר נמצאת אצלכם בארגון, בקופיילוט או בקלוד או בג׳מיני, ו-AI governance (בעברית: ממשל AI בארגון) מסדר את ההחלטות סביבה.
אני עובד ומכשיר על Gen AI מתחילת 2022, ועד היום העברתי 264 מפגשים ב-112 ארגונים (נכון לאוקטובר 2026). את רוב הדוגמאות לקחתי מ-Copilot, כי רוב העבודה שלי בארגונים איתו, והשאלות חלות על כל כלי. זה לא ייעוץ משפטי, והרגולציה כאן מצוטטת ממסמכים רשמיים.
AI governance בקצרה: ארבע שאלות שההנהלה עונה עליהן
AI governance (בעברית: ממשל AI) הוא מכלול ההחלטות שמגדירות בארגון מי אחראי על השימוש ב-AI, מה מותר, מי מאשר בקשות וחריגים, ואיך הארגון עוקב אחרי מה שקורה בפועל. מסמך מדיניות הוא חלק אחד מזה.
ארבע השאלות הן דרך לסדר את החומר (לא מסגרת רשמית של גוף כלשהו, ובטח לא תקן). הן יוצאות ממה ש-Microsoft ובנק ישראל כותבים. כל שאלה בלי תשובה היא אחד מסיכוני ה-AI להנהלה: אין בעלים, אין כללים, אין מי שמאשר, ואין מי שרואה.
1מי אחראי
מי מחזיק באחריות על השימוש ב-AI, ברמת ההנהלה וברמת הפלטפורמה.
2מה מותר
אילו כלים ואילו נתונים, ומה קורה כשצריך חריג. כאן נכנס מסמך המדיניות.
3מי מאשר
בקשות לכלים, לרישיונות ולחריגים: מי אומר כן ומי אומר לא.
4איך היא יודעת
איזה דיווח מגיע להנהלה, וכמה הוא מראה את מה שקורה בפועל. אם צריך מישהו שילווה את ההנהלה בכל ארבע, זה ייעוץ והטמעת AI בארגון.
מי אחראי: תפקידים לפני טכנולוגיה
ההנהלה קובעת כיוון ואחריות, ו-IT ואבטחת מידע מפעילים את הבקרות על הפלטפורמה. נכון לאוקטובר 2026, לפי עמוד ההטמעה של Microsoft, צוות ההטמעה של Copilot כולל נותן חסות מההנהלה, אבטחה, ממשל ושגריר אימוץ, ו-Microsoft מציעה להקים מועצת AI עם מנהיגים מכל הארגון. בבנקים, הוראה 369 של הפיקוח על הבנקים (21.8.2024) קובעת שניהול סיכוני מודלים, כולל מודלי בינה מלאכותית, כולל פיקוח של הדירקטוריון וההנהלה הבכירה.
ומי מוביל בפועל? מה שאני רואה בשטח: לרוב זה שילוב של מחלקת ה-IT, ובעיקר ה-CTO או ה-CIO, ביחד עם משאבי אנוש. זה משתנה בין ארגונים, ולפעמים התפעול או מחלקה אחרת מובילים. הרבה תלוי באנשים (איזה סמנכ״ל נמשך לתחום, מבין אותו ורוצה להוביל אותו), וזה מתחבר למה שאני מאמין בו: אימוץ AI הוא בעיה של אנשים ולא של טכנולוגיה. איך נראה מודל עבודה בין הנהלה, IT ויחידות יש בעמוד נפרד.
מה מותר ומה אסור: כאן נכנסת המדיניות
מדיניות שימוש קובעת מה מותר ומה אסור לעובדים. זה שימוש מאושר ב-AI: אילו כלים, אילו נתונים, ומה קורה כשצריך חריג. AI governance הוא יותר רחב מזה.
את המסמך לא אכתוב כאן. תבנית מוכנה יש בתבנית מדיניות שימוש ב-AI (והגרסה באנגלית של התבנית), ויש גם נוהל שימוש ב-AI בארגון.
מי מאשר מה: דוגמה אחת, רישיון Copilot
בשיטה של אייל מרקוס (כן, שלי) המנהל הישיר של העובד מאשר את הבקשה בבדיקה מהירה, תוך כמה ימים, IT רק מקצה את הרישיון, ורכישה עצמית חסומה. בחרתי ברישיון כי הוא מראה איך החלטת הנהלה נראית ביום-יום. עוד בעמוד מי מקבל רישיון Copilot.
1ההנהלה ומובילי ה-AI קודם
מנהלים וקבוצת מובילי ה-AI של הארגון מקבלים רישיונות בתשלום, ומחויבים ללמוד ולהשתמש. מי שמשתמש בגרסה המלאה הוא גם הדוגמה האישית, וגם מי שיכול לשפוט בקשות של אחרים.
2כולם מתחילים בחינמי
כל השאר מתחילים ב-Copilot Chat החינמי. הם מבקשים רישיון בתשלום כשהם נתקעים במגבלה אמיתית.
3המנהל הישיר מאשר מהר
הוא מוודא, בבדיקה קצרה, שהעובד באמת משתמש ב-Copilot Chat ושהמגבלה אמיתית. אחרי זה IT מקצה, וכל התהליך אמור לקחת כמה ימים בודדים, לא שבועות או חודשים. אין כלל של "מי שלא משתמש מאבד את הרישיון".
4IT חוסם רכישה עצמית
אני ממליץ למנהלי ה-IT לחסום רכישה עצמית של Copilot, כדי שכל רישיון בתשלום יעבור במסלול הזה. נכון לאוקטובר 2026, לפי Microsoft, בארגון שחסם רכישה עצמית הבקשות מגיעות ללשונית Requests בעמוד Licenses במרכז הניהול של Microsoft 365 (Microsoft מתעדת את המנגנון, את המסלול הזה אני ממליץ).
והדרכה היא מה שהופך רישיון Copilot לשווה את הכסף (עוד בהטמעת Microsoft Copilot בארגון).
הנתונים לפני הכלי: מה Copilot רואה
נכון לאוקטובר 2026, לפי Microsoft Learn, Copilot ניגש רק לנתונים שהמשתמש מורשה לגשת אליהם, ותוכן ששותף יותר מדי או מנוהל בצורה לא טובה יכול להשפיע על התוצאות ולהגדיל סיכון. זה oversharing (שיתוף יתר: קבצים שנפתחו ליותר אנשים ממה שצריך).
ההמשך הוא מסקנה ולא ציטוט של Microsoft: ניהול סיכוני AI מתחיל בבדיקת ההרשאות לפני שאתם מרחיבים, וזו החלטה של ההנהלה ולא רק משימה של IT. נכון לאוקטובר 2026, יש במרכז הניהול של Microsoft 365 לוח אבטחה ל-Copilot, שמתמקד בהגנה על נתונים, ב-oversharing ובתאימות.
הפירוט בoversharing ב-Copilot ובאבטחה ופרטיות ב-Copilot.
איך ההנהלה יודעת מה קורה: מדידה ודיווח
נכון לאוקטובר 2026, Microsoft מגדירה את הבקרות של Copilot בשלושה עמודי תווך: אבטחה וממשל, בקרות ניהול, ומדידה ודיווח. את המדידה עושה Copilot Dashboard, עם מדדי מוכנות, אימוץ, השפעה ותחושת המשתמשים, על 28 הימים האחרונים ועם עיכוד של עד שישה ימים.
בבנקים זה כתוב בהוראה 369: הדירקטוריון מקבל דיווח על בסיס קבוע על סיכוני מודלים מהותיים. בארגון שאינו בנק אין חובה כזו, אבל אפשר לשאול בישיבת הנהלה: איזה דוח מגיע אלינו, כל כמה זמן, ומי מחליט מה לעשות כשהוא מראה משהו לא טוב. אם המספרים תקועים, תקראו למה אימוץ נתקע.
ארגון תחת רגולציה: מה כבר כתוב
AI ברגולציה מחמירה בישראל נראה כרגע ככה (נכון לאוקטובר 2026, כדוגמאות מבנקאות ושוק ההון בלבד):
1משרד החדשנות ומשרד המשפטים, 14.12.2023
מסמך "עקרונות מדיניות, רגולציה ואתיקה בתחום הבינה המלאכותית". זה מסמך מדיניות ולא חוק, והוא קובע שהרגולציה תיעשה באופן ענפי ולא רוחבי. לפי מבקר המדינה (נובמבר 2024), הממשלה טרם אישרה אותו. המסמך המלא.
2בנק ישראל, הוראה 369, 21.8.2024
"ניהול סיכוני מודלים" חל גם על מודלי בינה מלאכותית, וכולל פיקוח של הדירקטוריון וההנהלה הבכירה. ההוראה נכנסה לתוקף ב-21.8.2025. נוסח ההוראה.
3רשות ניירות ערך, אוקטובר 2024
דוח ביניים להערות הציבור, "בינה מלאכותית בסקטור הפיננסי", עם פרקים על ממשל ועל אחריות. שווה לבדוק באתר הרשות אם יצאה גרסה סופית. הדוח.
4הרשות להגנת הפרטיות, 28.4.2025
טיוטת הנחיה על יישום חוק הגנת הפרטיות על מערכות AI. שווה לבדוק אם פורסמה גרסה סופית.
יש גם תקן ISO 42001, "מערכת לניהול בינה מלאכותית", שמכון התקנים הישראלי מציג בעמוד משלו. תבדקו מה חל עליכם עם היועץ המשפטי (ואם אתם שואלים מה דירקטוריון שואל על כל זה, יש הרצאת AI לדירקטוריון).
שאלות נפוצות על AI governance
מה זה AI governance בארגון?
AI governance (בעברית: ממשל AI) הוא מכלול ההחלטות שמגדירות בארגון מי אחראי על השימוש ב-AI, מה מותר, מי מאשר בקשות וחריגים, ואיך הארגון עוקב אחרי מה שקורה בפועל. מסמך מדיניות הוא חלק אחד מזה.
מי בארגון אחראי על AI governance?
ההנהלה קובעת כיוון ואחריות, ו-IT ואבטחת מידע מפעילים את הבקרות על הפלטפורמה. נכון לאוקטובר 2026, לפי עמוד ההטמעה של Microsoft, צוות ההטמעה של Copilot כולל נותן חסות מההנהלה, והיא מציעה להקים מועצת AI עם מנהיגים מכל הארגון. בבנקים, הוראה 369 קובעת שניהול סיכוני מודלים, כולל מודלי AI, כולל פיקוח של הדירקטוריון וההנהלה הבכירה.
מה ההבדל בין מדיניות שימוש ב-AI לבין AI governance?
מדיניות שימוש קובעת מה מותר ומה אסור לעובדים. AI governance כולל גם תפקידים, מי מאשר בקשות וחריגים, ואיך הארגון בודק שהכללים נשמרים. תבנית מדיניות מוכנה יש בעמוד תבנית מדיניות שימוש ב-AI בארגון.
האם בישראל יש חוק שמחייב AI governance?
נכון לאוקטובר 2026, המסמך המרכזי בישראל הוא מסמך מדיניות מדצמבר 2023 של משרד החדשנות ומשרד המשפטים, ולא חוק. הוא קובע שהרגולציה תיעשה באופן ענפי ולא רוחבי (לפי מבקר המדינה, נובמבר 2024, הממשלה טרם אישרה אותו). כללים מחייבים קיימים בתחומים מסוימים, למשל הוראה 369 לבנקים, שנכנסה לתוקף באוגוסט 2025. תבדקו עם היועץ המשפטי מה חל על הארגון שלכם.
למה Copilot הוא עניין של ממשל נתונים והרשאות?
נכון לאוקטובר 2026, לפי Microsoft Learn, Copilot ניגש רק לנתונים שהמשתמש מורשה לגשת אליהם, ותוכן ששותף יותר מדי או מנוהל בצורה לא טובה יכול להשפיע על התוצאות ולהגדיל סיכון. לכן בדיקת ההרשאות היא החלטה של ההנהלה לפני הרחבת השימוש, ולא רק משימה של IT.
מי מאשר בקשה לרישיון Copilot בארגון?
בשיטה של אייל מרקוס, המנהל הישיר מאשר את הבקשה מהר, אחרי בדיקה שהעובד משתמש ב-Copilot Chat החינמי ונתקע במגבלה אמיתית, ו-IT רק מקצה את הרישיון, הכול תוך כמה ימים בודדים. אייל ממליץ לחסום רכישה עצמית, כדי שכל רישיון בתשלום יעבור במסלול הזה. נכון לאוקטובר 2026, לפי Microsoft, בארגון שחסם רכישה עצמית הבקשות מגיעות ללשונית Requests בעמוד Licenses במרכז הניהול של Microsoft 365.
רוצים לעבור על זה עם ההנהלה שלכם?
תשאירו פרטים, ואחזור אליכם לשיחה קצרה. בעיני המשוחדות (אני מוכר ייעוץ והדרכה בדיוק על זה) שווה לעבור על ארבע השאלות עם ההנהלה, עם ייעוץ AI לארגונים או בלעדיו.