בינה מלאכותית בארגון: מה חוק הגנת הפרטיות מחייב חברות בישראל?

בינה מלאכותית בעסק -ההזדמנות ברורה, החובות פחות.

השנים האחרונות מתאפיינות במהפכת הבינה המלאכותית, וכולם רוצים להיות חלק ממנה, גם מדינת ישראל. כבר בדצמבר 2023 פרסמו משרד החדשנות, המדע והטכנולוגיה ומשרד המשפטים את מסמך המדיניות הרשמי "עקרונות מדיניות, רגולציה ואתיקה בתחום הבינה המלאכותית, וביוני 2026 התקבלה החלטת ממשלה שעניינה האצת הבינה המלאכותית בישראל וביסוס הובלתה העולמית.

כמו המדינה, גם עסקים רבים ממהרים לשלב AI בפעילותם: בשירות לקוחות, בשיווק, בגיוס עובדים ובמוצר עצמו. אבל אילו חובות משפטיות חלות על אותן חברות? ומהם הסיכונים הרגולטוריים שבדרך?

והנה הנקודה שרוב העסקים מפספסים: בישראל אין כיום חוק או תקנות ייעודיים לבינה מלאכותית. זו מדיניות מוצהרת, המדינה בחרה ברגולציה ענפית וגמישה, לא בחקיקה רוחבית. אבל "אין חוק AI" לא אומר "אין רגולציה". בפועל, הרגולציה העיקרית החלה על בינה מלאכותית בישראל היא חוק הגנת הפרטיות - ומשם מגיעים הפיקוח, האכיפה והעיצומים הכספיים. (ולחברות שפונות לשוק האירופי, ייתכן שחל גם ה-AI Act - על כך בהמשך.) זו אינה פרשנות בלבד: כבר במסמך המדיניות מ-2023 נכתב במפורש כי דיני הפרטיות צפויים לחול על עיבוד מידע בתהליכי נתוני עתק ולמידת מכונה, וכי פגיעה בפרטיות מותרת רק לפי חוק או בהסכמה מדעת.

רגע, אז מה בעצם מחייב אותי? המפה הרגולטורית בארבע שכבות

כשחברה ניגשת לבחון את חובותיה בשימוש בבינה מלאכותית, היא מגלה הרבה מסמכים מסוגים שונים: חוקים, תקנות, טיוטות, גילויי דעת והנחיות. לא לכולם אותו מעמד משפטי, וההבחנה הזו קריטית, כי היא קובעת מה חובה לקיים כבר היום ומה מסמן את כיוון האכיפה של מחר.

השכבה הראשונה, המחייבת, היא חוק הגנת הפרטיות, התשמ"א-1981, על תיקון 13 שנכנס לתוקפו ביום 14.8.2025 - התיקון המשמעותי ביותר לחוק מאז עידן האינטרנט, שהעניק לרשות להגנת הפרטיות סמכויות פיקוח ואכיפה רחבות וכלי עיצומים כספיים משמעותיים. לצדו, תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, החלות על כל מאגר מידע - ובכלל זה מאגרים המשמשים לאימון מערכות AI או מוזנים בתוצריהן.

השכבה השנייה היא גילויי הדעת של הרשות - ובראשם, לענייננו, גילוי הדעת בנושא הסכמה שפורסם בנוסחו הסופי ביום 25.2.2026. גילוי דעת אינו חקיקה, אך הוא משקף את הפרשנות שלאורה הרשות מפעילה את סמכויות האכיפה שלה, ויש בו קביעות שנוגעות ישירות למערכות בינה מלאכותית.

השכבה השלישית היא טיוטת ההנחיה שפרסמה הרשות ביום 28.4.2025 בנושא "תחולת הוראות חוק הגנת הפרטיות על מערכות בינה מלאכותית". נכון למועד כתיבת שורות אלה מדובר עדיין בטיוטה, והנוסח הסופי טרם פורסם. אבל טעות תהיה להתייחס אליה כאל "רק טיוטה": ראשית, היא משקפת את האופן שבו הרשות מפרשת את הדין הקיים, המשקפיים שדרכן היא בוחנת חברות. שנית, היא אינה חידוש פתאומי: עוד בשנת 2022 פרסמה הרשות עמדה בעניין חובת היידוע במסגרת איסוף ושימוש במידע אישי, ומסמך המדיניות הממשלתי מ-2023 הפנה אליה. הקו הרגולטורי כאן עקבי ומתמשך, ולגישתי, מי שממתין לנוסח הסופי כדי להתחיל להיערך, צפוי לגלות שהוא מאחר.

השכבה הרביעית היא מסמכי המדיניות: מסמך "עקרונות מדיניות, רגולציה ואתיקה" (דצמבר 2023) וששת העקרונות האתיים שאומצו בו, החלטות הממשלה, והמלצות ה-OECD שישראל מחויבת להן. מסמכים אלה אינם מטילים חובות אכיפות על חברות, אבל אין למהר לבטלם: הם מגדירים את הכיוון שאליו צועדת הרגולציה, ומשמשים רגולטורים ובתי משפט כרקע פרשני.

השורה התחתונה: חברה שמשלבת בינה מלאכותית בפעילותה לא צריכה לחכות לחוק AI ישראלי כדי לדעת מה מותר ומה אסור. המסגרת המחייבת כבר כאן - היא פשוט לא נקראת "חוק בינה מלאכותית".

מתי חוק הגנת הפרטיות חל על מערכת AI? (רמז: כמעט תמיד)

נקודת המוצא של הרשות בטיוטת ההנחיה פשוטה וגורפת: דיני הגנת הפרטיות חלים על מערכת בינה מלאכותית בכל שלבי מחזור החיים שלה. בשלב הפיתוח והאימון - כאשר מודל מאומן על מאגרי מידע הכוללים מידע אישי; בשלב ההפעלה - כאשר המערכת מעבדת מידע על לקוחות, עובדים או משתמשים; וגם ביחס למידע חדש שהמערכת עצמה מייצרת. הנקודה האחרונה היא המפתיעה ביותר עבור רוב החברות: גם מידע אישי שנוצר תוך שימוש במערכת, באמצעות היסקים או הערכות, נחשב מידע מוגן לכל דבר ועניין. במילים אחרות, החוק לא מתעניין רק במה שהזנתם למערכת, אלא גם במה שהיא הסיקה בעצמה.

ניקח מקרה אמיתי ומפורסם. בשנת 2012 חשף ה-New York Times כי רשת קמעונאות אמריקאית גדולה פיתחה מודל סטטיסטי המזהה לקוחות בהיריון, מבלי שמישהו מסר על כך מילה. המודל התבסס על כ-25 מוצרים תמימים לחלוטין: קרם גוף ללא בישום, תוספי סידן ומגנזיום, סבון ללא ריח. די היה בדפוס הרכישה כדי לחזות היריון, ואף להעריך את מועד הלידה. עכשיו נעביר את המקרה למשקפי הדין הישראלי של 2026: אף לקוחה לא מסרה מידע על בריאותה, אבל מרגע שההיסק נוצר ונשמר - החברה מחזיקה מידע על מצב רפואי, מהסוג שתיקון 13 מגדיר "מידע בעל רגישות מיוחדת" ומחיל עליו חובות מחמירות. הסכמה לאיסוף מידע כזה מעולם לא התבקשה, ומדיניות הפרטיות מן הסתם לא הזכירה אותו. זהו התרחיש שעמדת הרשות מכוונת אליו: המערכת יצרה מידע רגיש יש מאין, והחברה אחראית לו מהרגע שנוצר.

וחשוב לדייק: המקרה ההוא אירע לפני עידן הבינה המלאכותית המודרנית , את הדפוסים זיהה סטטיסטיקאי בניתוח נתונים. אבל המסקנה ממנו רלוונטית היום יותר מאי פעם: אם הסקה כזו הייתה אפשרית כבר אז, בכלים סטטיסטיים ובפרויקט ייעודי, הרי שבעידן ה-AI הסקות מהסוג הזה זמינות ואפשריות הרבה יותר, הן מתרחשות אוטומטית, בהיקפים גדולים, וכיכולת מובנית של מערכות שכל חברה משתמשת בהן. ומכאן חשיבות עמדת הרשות: מידע שנוצר בהיסק הוא מידע לכל דבר, והאחריות עליו מוטלת על החברה שהמערכת שלה יצרה אותו.

בתי המשפט בישראל טרם נדרשו ישירות לשאלת המידע המוסק במערכות AI, אבל הפסיקה הקיימת בעניין עיבוד נתונים טכנולוגי מסמנת כיוון. מפרשות שעסקו בשימוש בנתוני איכון סלולריים של לקוחות לצורך הפקת דוחות סטטיסטיים ואפיון דפוסי תנועה, עולות שתי קביעות שכל חברת AI צריכה להכיר: ראשית, גם כאשר התוצר הסופי אנונימי, שלבי הביניים, העיבוד וההעברה של הנתונים המקוריים, מהווים כשלעצמם פגיעה לכאורה בפרטיות המחייבת הסכמה מדעת. שנית, אנונימיזציה חלשה או חלקית אינה מגינה: כאשר ניתן לשחזר את זהות האדם באמצעות הצלבת נתונים (Re-identification), המידע נותר מידע אישי מוגן. ההשלכה על עולם ה-AI מיידית: הטענה הנפוצה "אנחנו מאמנים את המודל רק על דאטה אנונימי" תיבחן לא לפי הכותרת שהחברה נתנה לנתונים, אלא לפי המציאות הטכנולוגית - האם באמת לא ניתן לזהות מחדש את האנשים שמאחורי הנתונים, בשום שלב.

הסכמה או הסמכה בדין: ההבדל המבני בין הדין הישראלי ל-GDPR

כאן נמצא אחד ההבדלים המבניים העמוקים בין הדין הישראלי לאירופי, וזה גם מקום שבו חברות ישראליות שמכירות את ה-GDPR נופלות לא פעם. תחת ה-GDPR, עיבוד מידע אישי יכול להישען על אחת משש עילות חוקיות, ובהן עילת "האינטרס הלגיטימי" - מנגנון גמיש שמאפשר לארגון לעבד מידע גם ללא הסכמה, אם האינטרס לגיטימי, העיבוד נחוץ, והאיזון מול זכויות נושא המידע נשמר. בדין הישראלי, ככלל, המנגנון הזה אינו קיים: חוק הגנת הפרטיות מכיר בשני מסלולים מרכזיים - הסכמה של נושא המידע, או הסמכה מפורשת בדין. המשמעות המעשית משמעותית: פרקטיקות שחברה אירופית יכולה לבסס על אינטרס לגיטימי, ובראשן אימון מודלים על מידע אישי, מצריכות בישראל, ככלל, הסכמה מדעת על כל דרישותיה המחמירות שנראה בפרק הבא.

נמחיש בתרחיש הנפוץ ביותר: חברה מבקשת לאמן מודל על מאגר נתונים הכולל מידע אישי. באירופה, יש לה מסלול עבודה מוכר - מבחן אינטרס לגיטימי מובנה, אמצעי הגנה (מזעור, שקיפות, מנגנון התנגדות) ותיעוד האיזון. ועדת הגנת המידע האירופית אף אישרה בחוות דעת מדצמבר 2024 שפיתוח והפעלה של מודלי AI יכולים, עקרונית, להישען על אינטרס לגיטימי, בכפוף ליישום קפדני של המבחן. בישראל, נקודת המוצא שונה: על אותה חברה לשאול בראש ובראשונה האם יש בידיה הסכמה מדעת של נושאי המידע שבמאגר האימון, או הסמכה בדין. בהיעדר אלה, אין ככלל בסיס לעיבוד, ומזעור או שקיפות אינם מרפאים זאת כשלעצמם, משום שהם כלים מעולם משפטי שהדין הישראלי לא אימץ כעילת עיבוד עצמאית. זו הסיבה שהצהרת "אנחנו עומדים ב-GDPR", נכונה ככל שתהיה, אינה עונה כשלעצמה על שאלת החוקיות בישראל.

כריית מידע מהרשת (Scraping): הנקודה שבה הרשות הכי חד-משמעית

אם יש סוגיה אחת שבה טיוטת ההנחיה כמעט אינה משאירה מקום לספק, זו כריית מידע מהאינטרנט לצורכי אימון. עמדת הרשות בנויה משלוש קביעות: ראשית, פרסום מידע אישי ברשת אינו שקול להסכמה לכל שימוש בו - מי שהעלה תמונה לרשת חברתית לא הסכים בכך שהיא תשמש לאימון מודל זיהוי פנים. שנית, על מפעילי פלטפורמות מוטלת אחריות אקטיבית למנוע כרייה אסורה של מידע המשתמשים. ושלישית, הקביעה בעלת ההשלכות המיידיות ביותר, כרייה לא מורשית של מידע אישי מן המאגר היא בבחינת "אירוע אבטחה חמור" לפי תקנות אבטחת המידע, על כל המשתמע: הודעה מיידית לרשות, דיווח על הצעדים שננקטו, ובמקרים המתאימים יידוע נושאי המידע לפי הוראת הרשם. פעולה שחברות רבות בעולם ה-AI רואות כשיטת איסוף סטנדרטית, מסווגת בישראל, לעמדת הרשות, כאירוע אבטחה מהדרגה החמורה. ומנגד, חברה שמאגריה נכרו בידי אחרים אינה רק "קורבן" - היא חבה בעצמה בחובות ההודעה והדיווח שבתקנות.

חשוב לאזן: הדין הישראלי אינו "גרסה מחמירה של GDPR" שעמידה בה פוטרת מכל השאר. יש תחומים שבהם דווקא הדין האירופי מסדיר במפורש מה שהדין הישראלי עדיין לא - למשל זכות מעוגנת שלא להיות כפוף להחלטה אוטומטית לחלוטין (Article 22 ל-GDPR), שאין לה מקבילה ישראלית מפורשת, וחובת תסקיר השפעה שב-GDPR קבועה בחקיקה ובישראל נלמדת בעיקר מציפיות הרשות. שתי המערכות עוסקות בחוקיות העיבוד ובזכויות כאחד, אבל נקודות הכובד שונות: בישראל, המשקל הרב יותר מוטל על שאלת הבסיס החוקי לעיבוד; באירופה, על הזכויות המוקנות לאדם ועל חובות התיעוד. איזו מערכת חלה על החברה שלכם, באילו הקשרים, ומה עושים כשהן מושכות לכיוונים שונים, שאלות שתשובתן תלויה במבנה הפעילות הספציפי, וכדאי לבחון אותן בליווי מקצועי לפני החלטות על ארכיטקטורת הדאטה והמודלים.

לגלות, לפרט, ולקבל הסכמה: הרף שרוב מדיניות הפרטיות לא עומדות בו

נניח שלחברה יש בסיס חוקי לעיבוד - הסכמה. עכשיו מגיעה השאלה הקשה: הסכמה למה בדיוק, ואחרי איזה גילוי? נקודת המוצא היא חובת היידוע שבסעיף 11 לחוק: בעת פנייה לאדם לקבלת מידע שיוחזק במאגר, יש ליידע אותו אם חלה עליו חובה חוקית למסור את המידע, למה הוא מבוקש, למי יימסר ולאילו מטרות, ומאז תיקון 13, גם מה תוצאת אי-ההסכמה, מיהו בעל השליטה במאגר וכיצד יוצרים עמו קשר, וזכויותיו לעיין במידע ולתקנו אלא שכאן מגיעה הקביעה המרכזית של גילוי הדעת בנושא הסכמה: עמידה בתנאי סעיף 11 היא דרישת מינימום בלבד. לעמדת הרשות, יש מצבים שבהם נדרש פירוט נרחב יותר כדי שההסכמה תיחשב "מדעת", ובראשם פערי כוח משמעותיים בין הצדדים, פעולה בעלת פוטנציאל לפגיעה קשה בפרטיות, או "שימוש בטכנולוגיה חדשה שהשלכות השימוש בה אינן ברורות דיין". הרשות לא כתבה במשפט הזה "בינה מלאכותית", היא לא הייתה צריכה. קשה לחשוב על דוגמה מובהקת יותר לטכנולוגיה חדשה שהשלכותיה אינן ברורות דיין ממערכת שמסיקה, מנבאת ומייצרת מידע על בני אדם.

גילוי הדעת ממחיש זאת: בין הדוגמאות שהרשות מביאה למצבים של "הסכמה חשודה" - הסכמה שספק אם ניתנה מרצון חופשי, מופיעה דוגמה שעוסקת בבינה מלאכותית במפורש: חברת טכנולוגיה המבקשת "לאמן" את מערכות זיהוי הפנים שלה, ופונה לשם כך לאוכלוסיות מעוטות יכולת בהצעת תשלום סמלי תמורת שימוש בתמונותיהם. בנסיבות כאלה של פערי כוח, לעמדת הרשות, הנטל להוכיח שההסכמה ניתנה מרצון חופשי עשוי לעבור אל כתפי מבקש ההסכמה - כלומר אל החברה. ההיגיון ניתן להכללה הרבה מעבר לזיהוי פנים: בכל מקום שבו חברה "קונה" דאטה לאימון מאנשים בעמדה חלשה מולה, משתמשים שזקוקים לשירות, עובדים מול מעסיק, לקוחות מול ספק חיוני- ההסכמה עומדת על קרקע רעועה, והתיעוד של הליך קבלתה הופך קריטי.

מבחינת תוכן הגילוי, שתי דרישות של גילוי הדעת צריכות להדליק נורה אצל כל מי שניסח אי-פעם מדיניות פרטיות. הראשונה: יש להציג את כלל סוגי המידע הנאספים ואת כלל מטרות העיבוד, והצגה חלקית, לרבות באמצעות "בין היתר" ו"וכיו"ב", אינה עונה על דרישת ההסכמה מדעת. הניסוחים הפתוחים האלה, שנועדו להשאיר לחברה מרחב תמרון, הם לעמדת הרשות בדיוק מה שמפיל את תוקף ההסכמה. השנייה: בציון הגורמים שאליהם יועבר המידע, ניתן להסתפק בסוג הגורמים לפי שיוכם המקצועי ("חברות פרסום", "רשויות אכיפה"), אבל ציון כללי מדי, שאינו מלמד על השימוש שייעשה במידע, כגון "חברות טכנולוגיה", עלול להיחשב אי-עמידה בדרישה. חברו את שתי הדרישות לעולם ה-AI: חברה שמעבירה מידע לקוחות לספק מודל שפה חיצוני, וכותבת שהמידע "עשוי להיות מועבר, בין היתר, לספקי טכנולוגיה" - כשלה בשתיהן בו-זמנית.

על הרף הכללי הזה, טיוטת ההנחיה מוסיפה שכבת גילוי ייעודית ל-AI: כשמידע נאסף לצורך עיבוד במערכת כזו, הרשות מצפה שהיידוע יכלול גם את עצם השימוש בה ותיאור אופן פעולתה (ברמת הפירוט הנדרשת לגיבוש ההסכמה ובשים לב למגבלות טכנולוגיות), את סוגי המידע ומקורותיהם, ואת הסיכונים הכרוכים בכל מטרת שימוש, לרבות אימון האלגוריתם. ויש דרישה שכל חברה עם צ'אטבוט צריכה להכיר: כאשר אדם מוסר מידע בשיחה עם מערכת אוטומטית, לעמדת הרשות יש ליידע אותו שהוא מתקשר עם בוט ולא עם נציג אנושי - ככל שעשויה להיות לכך השפעה מהותית על מתן ההסכמה. הדרישה מעניינת, כי באירופה חלה מאוגוסט 2026 חובת גילוי מקבילה מכוח ה-AI Act, שם כחובה כללית, ללא הסייג הישראלי, כך שמי שנערך לשקיפות האירופית מכסה ממילא גם את הציפייה הישראלית. הניואנס המשפטי: החובות בשכבה הזו מקורן בטיוטה, כלומר בציפייה רגולטורית ולא בדין מחייב - אבל זו הפרשנות שלאורה הרשות פועלת, ועלות היישום נמוכה בהרבה מעלות ההתמודדות עם טענה לפגם בהסכמה.

ונקודה אחרונה, אולי בעלת ההשלכות התפעוליות הרחבות: אופן קבלת ההסכמה. גילוי הדעת מבחין בין הסכמה אקטיבית (Opt-in), שבה האדם מסמן בעצמו את הסכמתו, לפסיבית (Opt-out), הנלמדת מאי-שינוי ברירת מחדל. שתיהן קיימות בדין, אבל הרשות בונה מדרג: כאשר מבוקשת הסכמה לאיסוף מידע שאינו נדרש לשירות, או לשימושים השונים מהותית ממטרת ההתקשרות - רצוי שתתקבל במתכונת Opt-in נפרדת. ובשני מקרים ההמלצה הופכת לחובה: שימוש במידע לצורכי פרופיילינג שאינו קשור ישירות למטרת השירות, כשבין הצדדים פערי כוח, ושירותי דיוור ישיר. בעולם ה-AI, שימוש במידע לקוחות לפילוח אלגוריתמי והתאמה פרסונלית נופל בקלות לגדר פרופיילינג, ויחסי חברה–לקוח דיגיטליים הם לרוב יחסי פערי כוח. הסעיף הגורף "בעצם השימוש בשירות אתם מסכימים ל..." לא יחזיק. וארכיטקטורת ההסכמה כבר עומדת למבחן שיפוטי: בהחלטה מיולי 2025 שאישרה ניהול תובענה ייצוגית נגד רשת חברתית גדולה בגין שימוש בשמות ובתמונות של משתמשים לצרכי פרסום ללא הסכמה מדעת, בחן בית המשפט המחוזי כיצד מוצגים תנאי השימוש, כיצד המשתמש מופנה אליהם ומה משמעות ברירות המחדל, וקבע כי לכאורה לא די באישור תנאים כללי כדי לבסס הסכמה מדעת. את שאלת חובת ה-Opt-in השאיר בית המשפט במפורש לשלב מאוחר יותר, אבל המפה ברורה: כשהרגולטור דורש Opt-in במקרים שראינו, ובית המשפט מאותת שאישור גורף אינו מספיק, מי שממתין להכרעה סופית מהמר על הפרקטיקה שלו. ארכיטקטורת ההסכמה - המסכים, התיבות, ברירות המחדל, היא כבר לא שאלה עיצובית של מחלקת המוצר. היא שאלה משפטית שנבחנת בבתי משפט וברשות.

מי אחראי על כל זה בארגון? DPO, תסקיר ומדיניות

עד כאן עסקנו בשאלה מה מותר ומה חובה לגלות. השכבה הבאה ארגונית: מי אחראי, ואילו מסמכים ותהליכים צריכים להתקיים. נתחיל בחובה שכבר אינה המלצה: תיקון 13 עיגן בסעיף 17ב1 לחוק חובת מינוי ממונה על הגנת הפרטיות (DPO) בכלל הגופים הציבוריים ובשורה של גופים במגזר הפרטי, ובהם גוף שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. ביולי 2026 פרסמה הרשות גילוי דעת סופי ייעודי בנושא, שנכנס לתוקף באוגוסט 2026 ומפרט את תנאי החובה ואת תפקידי הממונה. החובה אינה נגזרת מעצם השימוש ב-AI, אלא מתנאי החוק - סוג המידע, אופי הפעילות והיקף העיבוד. אלא שכאן נכנס ה-AI לתמונה: לעמדת הרשות, קיימת סבירות גבוהה שהתנאי יתקיים כתוצאה מעצם אימונם של מודלים, שכן מערכת שמסיקה מידע בריאותי, פיננסי או התנהגותי, כמו בדוגמה הקמעונאית, מייצרת מידע בעל רגישות מיוחדת, לעיתים בהיקפים שהחברה לא צפתה. לכן חברות שמשלבות AI בליבת פעילותן עשויות להיכנס לגדר החובה גם אם קודם היו מחוץ לה, אך המבחן נותר מבחן החוק, לא עצם ה-AI. הממונה, יודגש, אינו "איש אבטחת מידע" בכובע חדש: תפקידו לייעץ להנהלה, לפקח על הציות ולשמש כתובת לנושאי המידע ולרשות - והחוק מקנה לו מעמד עצמאי ומוגן.

לצד הממונה, טיוטת ההנחיה ממקמת שני כלים ארגוניים במרכז ציפיותיה. הראשון: תסקיר השפעה על פרטיות (DPIA) - תהליך מובנה שממפה, לפני הטמעת מערכת AI, אילו נתונים יעובדו, מאילו מקורות, לאילו מטרות, מהם הסיכונים לנושאי המידע ואילו אמצעים ממתנים אותם. להבדיל מה-GDPR, שבו תסקיר כזה הוא חובה סטטוטורית במקרי סיכון גבוה, הדין הישראלי אינו כולל חובה כזו, אבל לעמדת הרשות, עריכת תסקיר במערכות AI בסיכון גבוה היא "הדרך המיטבית המומלצת" לוודא ולהוכיח עמידה בדרישות דיני הגנת הפרטיות. מי שמסיק מכך שאפשר לוותר, מפספס את הפונקציה האמיתית של התסקיר: הוא התשתית הראייתית של החברה ליום שבו הרשות תבדוק, לקוח יתלונן או תובע ייצוגי יגיש בקשה. חברה שמחזיקה תסקיר מתועד נכנסת לכל הליך מעמדה שונה מחברה שתצטרך לשחזר בדיעבד למה החליטה מה שהחליטה. הכלי השני: מדיניות ארגונית לשימוש בכלי AI גנרטיביים. העובדים כבר משתמשים ב-ChatGPT, ב-Copilot ובדומיהם - השאלה היחידה היא אם לפי כללים שהחברה קבעה, או לפי שיקול דעתם. מדיניות כזו קובעת אילו סוגי מידע אסור להזין לכלים חיצוניים (מידע אישי של לקוחות ועובדים בראש הרשימה), באילו כלים מותר להשתמש ולאילו משימות, ומה נדרש בבדיקת התוצרים.

ומעל אלה, ההנהלה והדירקטוריון. תיקון 13 ומסמכי הרשות משקפים תפיסה שבה הגנת הפרטיות אינה עניין טכני של מחלקת IT אלא סוגיית ממשל תאגידי: הדירקטוריון נדרש להכיר את סיכוני הפרטיות המרכזיים, לאשר את המדיניות ולוודא הקצאת משאבים לציותהובחברה שמשלבת AI בליבה, סיכוני ה-AI הם חלק בלתי נפרד מהתמונה. מי שמחפש מסגרת עבודה מוכנה לדיון הדירקטוריוני ימצא אותה דווקא במסמך המדיניות מ-2023: ששת העקרונות שאומצו בו, ובראשם "האדם במרכז", עם התייחסות מפורשת לצמצום איסוף מידע מזוהה ולהבחנה בין מידע רגיל לרגיש , הם בפועל סדר יום מוכן לישיבת דירקטוריון על AI.

הזכות לעיין, לתקן — ואולי גם לתקן את האלגוריתם

לכל אדם עומדות מכוח החוק זכויות כלפי מי שמחזיק מידע עליו: לעיין במידע (סעיף 13), ולדרוש תיקון או מחיקה של מידע שאינו נכון, שלם, ברור או מעודכן (סעיף 14). בעולם של מאגרים רגילים המימוש פשוט יחסית — מאתרים את הרשומה, מתקנים או מוחקים. בעולם ה-AI זה מסובך יותר: מה קורה כשהמידע השגוי אינו יושב בשדה בטבלה, אלא הוטמע במשקולות של מודל שאומן עליו? כאן מגיעה אחת הקביעות מרחיקות הלכת בטיוטה: לעמדת הרשות, הזכות לבקש תיקון מידע שגוי עשויה בנסיבות מסוימות ובהתאם להקשר, להתייחס גם לתיקון האלגוריתם שהפיק את המידע, ככל שאין דרך אחרת למנוע ממנו לשוב ולהפיק מידע שגוי. המשמעות המעשית: כבר בשלב התכנון צריך לשאול, אם נידרש מחר למחוק או לתקן מידע של אדם ספציפי, האם יש לנו איך? התשובות הטכנולוגיות (סינון פלטים, אימון מחדש, מנגנוני unlearning) שונות דרמטית בעלות ובמורכבות, ומי שלא תכנן מראש עלול לגלות שנותרה לו רק הבחירה היקרה מכולן.

ראוי לסמן בכנות גם את מה שהדין הישראלי עדיין לא מסדיר. ב-GDPR קיימת זכות מפורשת (Article 22) שלא להיות כפוף להחלטה אוטומטית לחלוטין בעלת השלכות משמעותיות- דחיית בקשת אשראי, סינון מועמדות, קביעת פרמיית ביטוח. בחוק הישראלי אין הוראה מקבילה מפורשת. האם חברה ישראלית חופשית להפעיל קבלת החלטות אוטומטית ללא מגבלות? לא - חובות הגילוי, ההסכמה המוגברת ועקרון צמידות המטרה חלים על ההחלטה האוטומטית כמו על כל עיבוד, והיסקי המערכת הם מידע מוגן. אבל היעדר זכות ייעודית מותיר שטח אפור, ובו כדאי לפעול לפי שני קווים: ראשית, חברה שפונה גם לשוק האירופי כפופה שם ל-Article 22 במלואו, ואין היגיון בשני תהליכי החלטות נפרדים. שנית, זה מהמועמדים הטבעיים לסגירה ברגולציה הישראלית הבאה- ומי שמטמיע כבר היום מעורבות אנושית בהחלטות משמעותיות בונה את עצמו לתקן של מחר.

מה קורה כשלא נערכים: מפת הסיכונים

עד אוגוסט 2025, חברה שהפרה את דיני הפרטיות הסתכנה בעיקר בעיצומים צנועים ובנזק תדמיתי. תיקון 13 שינה את מאזן הכוחות. לרשות עומדות היום סמכויות פיקוח וחקירה רחבות - דרישת מידע ומסמכים, כניסה למתקנים, בירור מנהלי, וסמכות להטיל עיצומים כספיים בסכומים שנקבעים לפי חומרת ההפרה, מספר נושאי המידע שנפגעו ומחזור החברה, ועשויים להגיע למיליוני שקלים. לצד העיצומים, הרשות מוסמכת להורות על הפסקת עיבוד - סמכות שעבור חברה שמודל ה-AI שלה הוא לב המוצר מסוכנת מכל קנס: עיצום הוא שורה בדוח; הוראה להפסיק לעבד את הדאטה שמזין את המודל היא עצירת העסק. ושהסמכויות אינן על הנייר, בדצמבר 2025 פתחה הרשות בהליכי פיקוח רוחב בחמישה מגזרים במקביל, ובמקביל החלה לשלוח מכתבי התראה לאתרי סחר שטרם יישרו קו. ממצאי פיקוחי הרוחב צפויים במחצית השנייה של 2026, וסביר שיסמנו את קו האכיפה לשנים הקרובות.

אבל הרשות היא רק חזית אחת, ולעיתים לא המסוכנת. החזית השנייה אזרחית. תיקון 13 העניק לבתי המשפט סמכות לפסוק פיצוי ללא הוכחת נזק בגין פגיעה בפרטיות, והאריך את תקופת ההתיישנות, שינויים שהופכים תביעות פרטיות לכדאיות יותר. ההשלכה המרכזית היא בזירת התובענות הייצוגיות: פגיעת פרטיות היא כמעט תמיד פגיעה רבתי - אותה מדיניות פגומה, אותו מנגנון הסכמה לקוי, אותו שימוש לא מורשה חלים על כל בסיס הלקוחות בבת אחת. בתי המשפט כבר אישרו ניהול ייצוגיות בעילות של שימוש בנתוני לקוחות ללא הסכמה מדעת - וכל אחת מהקביעות שראינו (פסילת "בין היתר", דרישת Opt-in לפרופיילינג, מעמד המידע המוסק) היא תיאוריית תביעה שממתינה לתובע המייצג הראשון. חברה שבוחנת חשיפה צריכה לשאול לא רק "מה הרשות תגיד", אלא "איך זה ייראה בבקשת אישור ייצוגית" - מול עורך דין שקורא את אותם מסמכי רשות, ומחפש את הפער בין מדיניות הפרטיות למה שהמערכת עושה בפועל.

ובצד האזהרות, נקודה שראוי לומר ביושר, עמדות הרשות אינן סוף פסוק. בדצמבר 2025 קיבל בית המשפט לעניינים מנהליים עתירה של מפעילות תחבורה ציבורית נגד הנחיה שהגבילה שימוש בנתוני נסיעות של נוסעים- הנחיה שניתנה בעקבות קביעת הרשות בהליך פיקוח, שלפיה צירוף נתוני נסיעות של תובע לכתב הגנה נעשה שלא כדין. בית המשפט דחה את עמדת הרשות וקבע שמי שמגיש תביעה נחשב כמסכים מכללא לכך שהנתבעת תשתמש בנתונים הרלוונטיים להתגוננות מפניה. הלקח כפול: לחברות - גילויי דעת, הנחיות וקביעות אכיפה הם פרשנות של הרשות, בעלת משקל שמכתיב את המציאות היומיומית, אך כפופה לביקורת שיפוטית, ובמקרים המתאימים אפשר וראוי לעמוד מולה. ההיערכות הנכונה אינה כניעה גורפת לכל דרישה -אלא ידיעה מדויקת של מה מחייב, מה שנוי במחלוקת, ואיפה יש מקום לעמדה משפטית עצמאית. זה ההבדל בין ציות עיוור לאסטרטגיה משפטית.

ומה עם אירופה? AI Act ולוח הזמנים אחרי ה-Omnibus

חברה ישראלית שמוכרת לשוק האירופי, או שתוצרי מערכותיה משמשים בו, צריכה להכיר שכבת רגולציה נוספת: ה-AI Act. ההבדל המהותי - בעוד דיני הפרטיות מגנים על מידע אישי, ה-AI Act הוא רגולציית מוצר: הוא מסווג מערכות לפי רמות סיכון ומטיל חובות הנדסיות ותיעודיות בהתאם, וקובע במפורש שאין בו כדי לגרוע מדיני הגנת המידע. כלומר, ציות ל-AI Act אינו תחליף לציות לדיני הפרטיות, ולהפך. ביוני 2026 אישר האיחוד סופית את חבילת ה-Digital Omnibus, ששינתה את לוח הזמנים: חובות השקיפות - ובהן יידוע על אינטראקציה עם AI וסימון תוכן שנוצר בידי מערכות, נכנסו לתוקף ב-2.8.2026; חובות המערכות בסיכון גבוה נדחו לדצמבר 2027. מהדחייה אין להסיק רגיעה: אוגוסט 2026 הוא תאריך חי לכל חברה שמפעילה צ'אטבוטים, סוכני AI או מחוללי תוכן מול משתמשים אירופיים; וחובות ה-high-risk לא בוטלו אלא נדחו, וההיערכות אליהן - ניהול סיכונים, ממשל נתונים, תיעוד טכני, פיקוח אנושי- היא פרויקט של שנה ויותר.

אז מה עושים? בדיקה עצמית

לפני שמתקדמים, שווה להריץ על החברה כמה שאלות שממקדות את החשיפה. אילו מערכות AI פועלות בארגון, כולל ה"שקטות": צ'אטבוט השירות, כלי הפילוח השיווקי, סינון קורות החיים, והכלים הגנרטיביים שהעובדים מפעילים על דעת עצמם? מאילו מקורות מוזן כל אחת, והאם מעורב מידע אישי באימון, בהפעלה או בתוצרים? מהו הבסיס החוקי לכל עיבוד - הסכמה או הסמכה בדין? האם מדיניות הפרטיות מזכירה בכלל את השימוש ב-AI, או שהיא נשענת על "בין היתר" ו"ספקי טכנולוגיה"? האם ההסכמות נאספות ב-Opt-out במקום שנדרש Opt-in? האם קמה חובת מינוי ממונה הגנת פרטיות, וקיים תסקיר למערכות המרכזיות? האם יש מדיניות GenAI שהעובדים באמת הודרכו עליה? אם לקוח ידרוש מחר לתקן או למחוק מידע - יש מסלול טכני לעשות זאת? כולל במודלים מאומנים? ומהי החשיפה האירופית? משתמשים, לקוחות או תוצרים שמשמשים באיחוד?

מי שסימן לעצמו כמה תשובות מדאיגות אינו לבד - זה המצב ברוב החברות. זה גם השלב שבו כדאי לבחון את התמונה לעומק.

פרטיות היא לא הבלם של ה-AI - היא הרישיון שלו

בישראל של 2026 אין חוק בינה מלאכותית - אבל יש מסגרת משפטית מחייבת, שנאכפת, וכללי המשחק שלה ברורים למי שטורח לקרוא אותם. חוק הגנת הפרטיות על תיקון 13, גילוי הדעת בנושא הסכמה, וטיוטת ההנחיה שמסמנת את כיוון האכיפה, יחד משרטטים תמונה אחת: מותר לחברות ישראליות לבנות, להטמיע ולהריץ מערכות AI, בתנאי שהן יודעות איזה מידע נכנס למערכות, מה הן מסיקות, ומה סופר ללקוח לפני שנתן את הסכמתו. מי שיתייחס לזה כמטרד רגולטורי ידשדש בין טלאי לטלאי, מי שיבנה את זה נכון ירוויח פעמיים - גם הגנה טובה יותר מפני עיצומים ותביעות, וגם נכס עסקי: בעולם שבו לקוחות, משקיעים ושותפים שואלים שאלות קשות על AI ודאטה, "אצלנו זה בנוי כמו שצריך" הוא יתרון תחרותי שקשה להעתיק.

אם אתם משלבים בינה מלאכותית בפעילות העסקית , או מתכננים - אשמח לסייע: ממיפוי ראשוני של החשיפה, דרך בניית מערך ההסכמות והמסמכים, ועד ייצוג מול הרשות ובהליכים משפטיים אם יידרש.