מדיניות שימוש בבינה מלאכותית בארגון היא המסמך שהכי הרבה ארגונים דוחים, והכי הרבה עובדים צריכים. בלעדיו קורה אחד משניים: אנשים לא משתמשים בכלום מחשש לעשות טעות, או שהם משתמשים בכלים פרטיים בלי לספר לאף אחד. השני גרוע יותר, כי אז המידע הארגוני יוצא ואין לכם שום שליטה או ידיעה על זה.
הבשורה הטובה: המסמך הזה לא צריך להיות ארוך. שלושה עמודים בעברית פשוטה עובדים טוב יותר מנייר משפטי של שלושים עמוד שאף אחד לא יקרא.
שלוש השאלות שהמסמך חייב לענות עליהן
1. אילו כלים מאושרים. רשימה שמית, לא קטגוריה. "כלי AI מאושרים על ידי הארגון" זו לא תשובה שעובד יכול לפעול לפיה. וחשוב לכלול גם את הכלים שכבר יש ברישיון, כי הרבה עובדים לא יודעים שמותר להם.
2. איזה מידע אסור להכניס. כאן צריך להיות קונקרטי. מידע רפואי, פרטי לקוחות מזוהים, קוד מקור, מסמכים משפטיים בהליך, נתוני שכר. רשימה קצרה של דוגמאות ממשיות עובדת טוב יותר מהגדרה עקרונית של "מידע רגיש", כי כל אחד מפרש אותה אחרת.
3. מה עושים כשלא בטוחים. השאלה שהכי מזניחים ושהכי חשובה בפועל. צריך להיות שם, במסמך, לאיזה אדם או כתובת פונים. בלי זה, עובד שלא בטוח פשוט יחליט לבד, ובדרך כלל לרעת הארגון.
העיקרון שבתי המשפט כבר קבעו: האחריות נשארת אצל האדם
זה חשוב, ולא רק משפטית. פסיקה בישראל כבר הדגישה את הצורך במעורבות ובקרה אנושית לאורך כל השימוש, ואת העיקרון שהאחריות לתוצאה הסופית לא נעלמת בגלל שהשתמשתם בכלי טכנולוגי.
מבחינה מעשית זה אומר שהמדיניות צריכה לקבוע איפה נדרשת בדיקה אנושית לפני שתוצר יוצא החוצה. לא על הכל, כי אז אף אחד לא יעמוד בזה, אלא על מה שיוצא ללקוח, למשקיע, לרגולטור או לציבור.
מה לא לעשות
לא לאסור הכל. מדיניות שאוסרת שימוש בכלי AI לא מפסיקה את השימוש, היא רק מעבירה אותו למכשירים הפרטיים של העובדים. זה נקרא Shadow AI וזה קיים בכל ארגון שאוסר, בלי יוצא מן הכלל…
לא לכתוב את זה בשפה משפטית. המסמך מיועד לעובד באגף התפעול, לא ליועץ המשפטי. אם צריך לקרוא פסקה פעמיים כדי להבין אם מותר, היא נכשלה.
לא להשאיר את זה סטטי. התחום זז מהר, וכלים מקבלים יכולות חדשות כל כמה חודשים. מדיניות שנכתבה פעם אחת ולא נגעו בה הופכת ללא רלוונטית ואז מתעלמים ממנה גם בחלקים שכן נכונים. עדכון רבעוני בפורום ההנהלה פותר את זה.
איפה זה יושב ביחס לשאר הנהלים
מדיניות AI לא עומדת לבד. היא צריכה להתחבר למדיניות הפרטיות הקיימת, לנהלי אבטחת המידע, ולניהול הסיכונים הכללי. ארגונים שכותבים אותה כמסמך מנותק מגלים מהר סתירות מול נהלים קיימים, וסתירה כזו היא בדיוק מה שגורם לעובד להתעלם משניהם.
מי כותב את זה
לא היועץ המשפטי לבד, ולא ה-IT לבד. שילוב של השניים עם מישהו שמבין מה הכלים באמת עושים, ועם נציג מהאגפים שיגיד אם זה ישים בשטח.
בתהליכי ליווי אני מביא את הטיוטה הראשונית ואת הידע על מה הכלים באמת עושים ולא עושים, והארגון מתאים אותה לרגולציה ולנהלים שלו. זה חלק מהשלב הראשון בתהליך, כי בלי זה ההדרכות תקועות. פירוט בעמוד ייעוץ והטמעת AI בארגונים.
מה קורה כשאבטחת המידע עוד לא אישרה
זה מצב נפוץ מאוד: יש רישיונות, והם יושבים בצד כי שאלת המידע לא הוכרעה. העיכוב לגיטימי, אבל הוא חייב לוח זמנים, אחרת הוא הופך לתירוץ קבוע ואז הרישיונות פשוט מבוזבזים חודשים.
מה שעובד בינתיים: להתחיל בהכשרות על מה שכן מותר, ובמקביל להריץ את תהליך האישור עם תאריך יעד. אין שום סיבה שהשניים לא ירוצו במקביל.
שאלות נפוצות
מה צריך לכלול במדיניות שימוש ב-AI בארגון?
שלושה דברים: רשימה שמית של כלים מאושרים, רשימה קונקרטית של סוגי מידע שאסור להכניס, ושם של אדם או כתובת לפנייה כשלא בטוחים. כל השאר הוא תוספת.
כמה ארוכה צריכה להיות מדיניות AI?
קצרה. שניים עד שלושה עמודים בעברית פשוטה. מסמך משפטי ארוך לא נקרא, ומדיניות שלא נקראת שווה בדיוק כמו מדיניות שלא קיימת.
אפשר פשוט לאסור שימוש בכלי AI?
אפשר, וזה בדרך כלל לא עובד. איסור גורף מעביר את השימוש למכשירים הפרטיים של העובדים, ואז המידע יוצא בלי שום בקרה או ידיעה. עדיף לאשר כלים מסוימים ולהגדיר גבולות ברורים.
מי אחראי על תוצר שנוצר בעזרת AI?
האדם והארגון. פסיקה בישראל הדגישה שהאחריות לתוצאה הסופית לא נעלמת בגלל שימוש בכלי טכנולוגי, ושנדרשת מעורבות ובקרה אנושית. מבחינה מעשית, המדיניות צריכה להגדיר איפה נדרשת בדיקה אנושית לפני שתוצר יוצא החוצה.
כל כמה זמן מעדכנים את המדיניות?
אחת לרבעון, בדרך כלל במסגרת פורום ההנהלה. הכלים מקבלים יכולות חדשות בקצב מהיר, ומדיניות שלא מתעדכנת הופכת לא רלוונטית ואז מתעלמים ממנה גם בחלקים שנכונים.
מה עושים עד שאבטחת המידע מאשרת?
מתחילים בהכשרות על מה שכן מותר, ובמקביל מריצים את תהליך האישור עם תאריך יעד. מה שלא עובד זה להמתין בלי תאריך, כי אז הרישיונות יושבים בצד חודשים.
