מדיניות שימוש ב־AI לעובדים: מה לכלול, ותבנית מוכנה

מדיניות שימוש ב־AI לעובדים היא מסמך קצר, לרוב עמוד אחד, שקובע באילו כלי AI מותר לצוות להשתמש, איזה מידע אסור להזין אליהם, איך בודקים את התוצרים ולמי פונים כשיש ספק. בעסק קטן היא פותרת שתי בעיות הפוכות: עובדים שמזינים מידע של לקוחות לכל כלי שנוח להם, ועובדים שלא נוגעים ב־AI בכלל כי לא ברור להם מה מותר. בסוף המדריך יש תבנית מוכנה להעתקה ולהתאמה.

למה עסק קטן צריך מדיניות שימוש ב־AI

ברוב העסקים מישהו כבר משתמש בכלי AI. השאלה היא לא אם, אלא באיזה חשבון ועם איזה מידע. בחשבון אישי של ChatGPT, למשל, השיחות עשויות לשמש לשיפור המודל, אלא אם מכבים את ההגדרה Improve the model for everyone תחת Settings ואז Data controls. בתוכניות העסקיות של OpenAI, של Anthropic, של Google Workspace ושל Microsoft, לפי היצרנים, המידע לא משמש לאימון המודלים כברירת מחדל (נכון לאוקטובר 2026), ולעסק יש שליטה על המשתמשים.

יש גם עניין של אחריות. לפי מדריך הרשות להגנת הפרטיות לתיקון 13, ״בעל השליטה במאגר מידע״ הוא הארגון עצמו, ולא עובד מסוים. כשעובד מדביק פרטי לקוח בכלי AI, האחריות על המידע הזה נשארת של העסק.

ולבסוף, עקביות: כשיש כללים משותפים, כולם בודקים תוצרים באותה דרך, משתמשים באותם כלים ולומדים זה מזה. עמוד אחד שכולם קוראים עדיף על מסמך ארוך שאף אחד לא פותח.

מה צריך לכלול מדיניות בינה מלאכותית בארגון

מדיניות טובה לעסק קטן עונה על שמונה שאלות:

1. באילו כלים מותר להשתמש, ובאיזה חשבון?
2. איזה מידע לא מזינים אף פעם?
3. מה מותר לעשות עם מידע של לקוחות?
4. איך בודקים תוצר לפני שהוא יוצא מהעסק?
5. מה אומרים ללקוחות על השימוש ב־AI?
6. מה לגבי זכויות יוצרים וחומרים של אחרים?
7. למי פונים, ומה עושים כשמשהו משתבש?
8. מי אחראי על המדיניות, ומתי מעדכנים אותה?

כלים מאושרים וחשבונות עבודה

רושמים במפורש את שם הכלי ואת התוכנית, למשל ChatGPT Business או Claude Team, ולמה כל אחד משמש. עובדים רק בחשבון העבודה שהעסק פתח, ולא בחשבון אישי. כלי חדש נכנס לרשימה רק אחרי שבדקו את ההגדרות שלו: אימון על המידע, שמירת שיחות וניהול משתמשים. מה בודקים בכל כלי פירטנו במדריך להטמעת בינה מלאכותית בעסק קטן.

מידע שלא מזינים לכלי AI אף פעם

זה הסעיף החשוב ביותר, ולכן כדאי שיהיה רשימה ולא עקרון כללי:

• מספרי תעודת זהות, כרטיסי אשראי ופרטי חשבון בנק.
• סיסמאות, קודי גישה ומפתחות API.
• מידע רפואי ומידע על מצב בריאות, של לקוחות או של עובדים.
• נתוני שכר ומידע על פעילות פיננסית של אדם.
• מידע על עבר פלילי, דעות פוליטיות, אמונה דתית או נטייה מינית.
• מידע שחלה עליו חובת סודיות לפי חוזה או לפי דין.
• קבצי ייצוא של רשימות לקוחות או של מערכת ה־CRM.
• מידע עסקי חסוי: חוזים, מחירי ספקים ותוכניות שלא פורסמו.

רבים מהסוגים האלה נכללים בהגדרה של ״מידע בעל רגישות מיוחדת״ בחוק אחרי תיקון 13, שכוללת בין היתר מידע על מצב בריאות, נתוני שכר ופעילות פיננסית, עבר פלילי, דעות ואמונות, ומידע שחלה עליו חובת סודיות לפי דין. בקליניקות ובמרפאות הנושא רגיש במיוחד, וכתבנו עליו במדריך על AI למרפאות ולקליניקות.

מידע של לקוחות וחוק הגנת הפרטיות

התמונה הכללית, בלי להיכנס לפרטים משפטיים:

• תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב־14 באוגוסט 2025. הרשות להגנת הפרטיות מתארת אותו כעדכון המקיף ביותר לדיני הפרטיות בישראל מאז שהחוק נחקק ב־1981.
• ״מידע אישי״ מוגדר עכשיו ככל נתון הנוגע לאדם מזוהה או לאדם שניתן לזהות במאמץ סביר.
• ״עיבוד״ מוגדר באופן רחב: כל פעולה על מידע אישי, כולל קבלה, אחסון, העתקה, גילוי והעברה. כלומר, הדבקה של פרטי לקוח בכלי AI היא עיבוד של מידע אישי.
• החוק אוסר לעבד מידע אישי במאגר שלא למטרה שנקבעה לו כדין, או בלי הרשאה של בעל השליטה במאגר. רשימת כלים מאושרים וכללי שימוש ברורים הם הדרך המעשית של העסק לקבוע מה מותר.
• ספק חיצוני שמעבד מידע עבור העסק נחשב ״מחזיק״ במאגר, ותקנות אבטחת מידע כוללות הוראות להתקשרות עם גורם חיצוני שמקבל גישה למאגר, כמו בחינת סיכונים והסכם מפורט.
• לרשות יש סמכות להטיל עיצומים כספיים, שגובהם נקבע לפי סוג ההפרה. בנוסף, החוק מאפשר לבתי המשפט לפסוק פיצוי של עד 10,000 ש״ח בלי הוכחת נזק על הפרות מסוימות, למשל איסוף מידע מאדם בלי ההודעה שהחוק מחייב.
• בטיוטת ההנחיה של הרשות בנושא בינה מלאכותית (אפריל 2025, ועדיין מוצגת כטיוטה בפרסומי הרשות מיולי 2026) נכתב שחוק הגנת הפרטיות חל על מערכות AI שמעבדות מידע אישי, וגם על מידע שמערכת AI מסיקה על אדם.

תיקון 13 גם מחייב חלק מהארגונים למנות ממונה על הגנת הפרטיות. זה מידע כללי ולא ייעוץ משפטי: את ההתאמה לעסק שלך, כולל השאלה אם חלות עליו חובות נוספות, כדאי לבדוק עם עורך דין שמתמחה בפרטיות.

בודקים כל תוצר לפני שהוא יוצא

כלי AI עלולים לטעות בביטחון מלא: להמציא מספר, לבלבל בין שמות או לצטט מקור שלא קיים. לכן הכלל פשוט: כל תוצר נקרא על ידי אדם לפני שהוא יוצא מהעסק, והאחריות על התוכן היא של מי ששולח אותו. בודקים במיוחד מחירים, מספרים, תאריכים, שמות, קישורים וכל טענה מקצועית. הצעת מחיר שנוסחה בעזרת AI חייבת להתאים למחירון.

שקיפות מול לקוחות

כשלקוח מתכתב ישירות עם מערכת AI של העסק, כמו בוט או סוכן, אומרים לו את זה. טיוטת ההנחיה של הרשות מציינת שהעובדה שאדם מתקשר עם מערכת AI היא רכיב חשוב בהסכמה מדעת. מייל שעובד ניסח בעזרת AI, קרא ושלח בשמו הוא עניין אחר, ואת הכלל לגביו העסק קובע בעצמו. ההמלצה שלנו: לא מציגים מערכת AI כאילו היא בן אדם, ולקוח ששואל מקבל תשובה כנה. על סוכנים שעונים ללקוחות כתבנו במדריך על סוכן AI לעסק.

זכויות יוצרים וקניין רוחני

• לא מעלים לכלי AI חומרים שאין לעסק זכות לשתף, כמו מסמכים של לקוח, דוחות בתשלום או תוכן של אחרים.
• בודקים מה תנאי השימוש של הכלי אומרים על הבעלות בתוצרים ועל השימוש בהם.
• תוצרים לפרסום, כמו תמונות, טקסטים שיווקיים ועיצובים, נבדקים לפני פרסום, כדי לוודא שהם לא דומים מדי ליצירה קיימת או למותג של מישהו אחר.
• כשתוצר AI הופך לנכס מרכזי של העסק, כמו לוגו, מוצר או קוד שנמכר ללקוחות, כדאי לבדוק עם עורך דין מה מצב הזכויות בו.

למי פונים, ומה עושים כשמשהו משתבש

רושמים שם של אדם אחד, עם טלפון ומייל. הוא מאשר כלים חדשים, עונה על שאלות ומקבל דיווחים. טעות מדווחת באותו יום, בלי חיפוש אשמים: מידע שהוזן בטעות, תוצר שגוי שיצא ללקוח או חשש לדליפה. ככל שיודעים מוקדם יותר, קל יותר לתקן, ותקנות אבטחת מידע כוללות גם הוראות לגבי טיפול באירועי אבטחה.

מי אחראי, ומתי מעדכנים

המדיניות נבדקת לפחות פעם ברבעון, וגם בכל פעם שמוסיפים כלי או שספק משנה תנאים או הגדרות. בכל עדכון מעדכנים את מספר הגרסה ומודיעים לצוות מה השתנה.

תבנית מוכנה: מדיניות שימוש ב־AI לעובדים

אפשר להעתיק את התבנית, להחליף את מה שבסוגריים המרובעים ולמחוק סעיפים שלא רלוונטיים לעסק שלך. כדאי לעבור על הנוסח הסופי עם עורך דין.

מדיניות שימוש בכלי בינה מלאכותית (AI)
[שם העסק] | גרסה [1.0] | בתוקף מיום [תאריך] | בדיקה הבאה: [תאריך]

1. למה המסמך הזה קיים
אנחנו משתמשים בכלי AI כדי לחסוך זמן ולשפר את העבודה, ושומרים על המידע
של הלקוחות, של העובדים ושל העסק. המסמך חל על כל מי שעובד עם [שם העסק],
כולל עובדים זמניים ונותני שירות.

2. כלים מאושרים
מותר להשתמש רק בכלים האלה, ורק בחשבון העבודה שקיבלת מהעסק:
- [שם הכלי והתוכנית, למשל ChatGPT Business]: [למה הוא משמש]
- [שם הכלי והתוכנית]: [למה הוא משמש]
אסור לעבוד עם מידע של העסק בחשבון AI אישי.
רוצים להשתמש בכלי חדש? פונים קודם ל[שם האחראי].

3. מידע שאסור להזין לשום כלי AI
- מספרי תעודת זהות, כרטיסי אשראי ופרטי חשבון בנק
- סיסמאות, קודי גישה ומפתחות API
- מידע רפואי או מידע על מצב בריאות
- נתוני שכר ומידע על פעילות פיננסית של אדם
- מידע על עבר פלילי, דעות פוליטיות, אמונה דתית או נטייה מינית
- מידע שחלה עליו סודיות לפי חוזה או לפי דין
- קבצי ייצוא של רשימות לקוחות
- [מידע נוסף שרלוונטי לעסק]

4. מידע של לקוחות
בכלים המאושרים משתמשים במידע של לקוח רק כשזה נחוץ למשימה, ובמינימום
הנדרש. כשאפשר, מחליפים שמות ופרטים מזהים ב״הלקוח״ או ב״לקוח א׳״.

5. בדיקת תוצרים
כל תוצר של AI נבדק על ידי אדם לפני שהוא יוצא מהעסק. בודקים במיוחד
מחירים, מספרים, שמות, תאריכים, קישורים וכל טענה מקצועית.
האחריות על התוכן היא של מי ששולח אותו.

6. שקיפות מול לקוחות
לקוח שמתכתב ישירות עם מערכת AI של העסק יודע על כך.
לא מציגים מערכת AI כאילו היא בן אדם.
לקוח ששואל אם השתמשנו ב־AI מקבל תשובה כנה.

7. זכויות יוצרים וקניין רוחני
לא מעלים לכלי AI חומרים שאין לנו זכות לשתף, כמו מסמכים של לקוח או
תוכן בתשלום. תוצרים לפרסום (תמונות, טקסטים שיווקיים, עיצובים) נבדקים
לפני פרסום. בשאלות על זכויות פונים ל[שם האחראי].

8. כשמשהו משתבש
מידע שהוזן בטעות, תוצר שגוי שיצא ללקוח או כל חשש אחר: מדווחים
ל[שם האחראי] באותו יום. המטרה היא לתקן מהר, לא לחפש אשמים.

9. אחריות ועדכון
האחראי על המדיניות: [שם, טלפון, מייל].
המדיניות נבדקת לפחות פעם ברבעון, ובכל פעם שמוסיפים כלי או משנים הגדרה.

קראתי והבנתי: [שם העובד] | [חתימה] | [תאריך]

איך מכניסים את המדיניות לעבודה

1. ממלאים את התבנית עם הכלים שבאמת בשימוש, ומוסיפים דוגמאות מהעסק.
2. עוברים עליה עם עורך דין, במיוחד אם העסק מחזיק מידע רפואי, פיננסי או מידע רגיש אחר.
3. מציגים אותה לצוות בשיחה קצרה, עם שתיים או שלוש דוגמאות: מה מותר להדביק, מה אסור, ואיך מסתירים פרטים מזהים.
4. מקבלים אישור בכתב מכל עובד שקרא והבין.
5. שומרים אותה במקום שקל למצוא, כמו התיקייה המשותפת או הקבוצה של הצוות.
6. קובעים ביומן תאריך לבדיקה הבאה, כדי שהעדכון הרבעוני לא יישכח.

מתי כדאי להיעזר בליווי

עסק קטן יכול לכתוב מדיניות טובה לבד בעזרת התבנית הזו. ליווי שווה את זה כשעוד לא ברור באילו כלים לבחור, כשמשתמשים בכמה כלים בלי סדר, או כשרוצים לשלב את המדיניות בהטמעה רחבה יותר, כולל הגדרות והדרכה לצוות. אם זה המצב אצלך, אפשר לקרוא על ייעוץ והטמעת AI לעסקים. את הצד המשפטי, כאמור, כדאי לאשר מול עורך דין.