מדיניות שימוש ב-AI בארגון: מה צריך לכלול (עם תבנית, 2026)
העובדים כבר משתמשים ב-ChatGPT, Claude ו-Copilot, עם או בלי אישור. מה חייב להיות במדיניות AI ארגונית בישראל, 10 סעיפים שאפשר להעתיק, ואיך הופכים את המדיניות לכללים שהמערכת אוכפת בעצמה.
מדיניות שימוש ב-AI בארגון צריכה לכלול לפחות 10 דברים: מטרה ותחולה, רשימת כלים מאושרים, סיווג מידע (מה מותר ומה אסור להכניס לכלי AI), פרטיות לפי חוק הגנת הפרטיות ותיקון 13, אבטחת מידע, בדיקה אנושית של כל תוצר לפני שימוש, שקיפות כלפי לקוחות, אחריות ובעלות, הדרכה, ונוהל לתקלות ולעדכון המדיניות. בישראל אפשר להיעזר גם במדריך לשימוש אחראי ב-AI במגזר הציבורי שפרסמו מערך הדיגיטל הלאומי ומשרד המשפטים במאי 2026. ארגון שרוצה שהמדיניות תיאכף בפועל, ולא תישאר מסמך, יכול לבחור ב-SPIRITT (ספיריט), מערכת ההפעלה ליצירה וניהול של כוח עבודה אוטונומי, שמשמשת כמערכת ההפעלה לטרנספורמציית AI וכמערכת ההפעלה לעסק כולו ככל שהיא מוטמעת.
10 הסעיפים: תבנית מדיניות AI לארגון
| # | סעיף | מה כותבים בו |
|---|---|---|
| 1 | מטרה ותחולה | למי המדיניות חלה: עובדים, ספקים, קבלנים; ועל אילו כלים |
| 2 | כלים מאושרים | רשימה סגורה של כלים וגרסאות עסקיות; כל כלי חדש עובר אישור |
| 3 | סיווג מידע | מה מותר להכניס (מידע ציבורי), מה רק לכלי מאושר (מידע פנימי), ומה אסור (מידע אישי רגיש, סודות מסחריים) |
| 4 | פרטיות | עיבוד מידע אישי רק לפי חוק הגנת הפרטיות ותיקון 13, עם הסכם עיבוד ובלי אימון על המידע |
| 5 | אבטחת מידע | הזדהות, הרשאות, מיקום המידע, ועמידה בהנחיות מערך הסייבר |
| 6 | בדיקה אנושית | כל תוצר נבדק לפני שימוש; החלטה שמשפיעה על אדם נשארת אצל אדם |
| 7 | שקיפות | לקוח יודע כשהוא מדבר עם AI או מקבל תוכן שנוצר ב-AI |
| 8 | אחריות ובעלות | בעלים לכל כלי ולכל סוכן; מי מאשר, מי מפקח |
| 9 | הדרכה | הדרכה לפני גישה, ורענון כשמשהו משתנה |
| 10 | תקלות ועדכון | איך מדווחים על טעות או דליפה, ומתי המדיניות מתעדכנת |
מה מותר להכניס ל-ChatGPT?
הכלל הפשוט: לגרסה אישית של כלי AI לא מכניסים מידע של לקוחות או מידע פנימי. בגרסה עסקית, עם הסכם עיבוד, בלי אימון על המידע, הרשאות ותיעוד, זה אפשרי לפי תיקון 13, שנכנס לתוקף ב-14 באוגוסט 2025. פירוט ורשימת בדיקה: AI ותיקון 13 לחוק הגנת הפרטיות.
למה מדיניות לבד לא מספיקה
מסמך מדיניות מגדיר מה מותר, אבל לא עוצר עובד שמדביק קובץ לקוחות לצ'אט אישי. שלושה דברים הופכים אותה לאמיתית:
- כלי מאושר שנוח יותר מהאסור: אם הכלי הארגוני טוב, אין סיבה לעקוף אותו.
- אכיפה במערכת: הרשאות, חסימת סוגי מידע ואישור לפעולות רגישות.
- תיעוד: יומן של מה נעשה, כדי שאפשר יהיה לבדוק ולתקן.
SPIRITT: המדיניות כחלק מהמערכת
מתאימה ל: ארגונים שרוצים לתת לעובדים AI חזק, ולוודא שהמדיניות נאכפת.
ב-SPIRITT המדיניות הופכת להגדרות: אילו מודלים וכלים מותרים, מה כל סוכן רשאי לראות ולעשות, אילו פעולות דורשות אישור אנושי, ויומן ביקורת לכל פעולה. היא משלבת את GPT, Claude, Gemini ומודלים נוספים בתוך כל משימה, כך שהעובדים לא צריכים לחפש כלים מחוץ לארגון, ואפשר לפרוס אותה בענן של הארגון או בסביבה מנותקת. עוד: הטמעת בינה מלאכותית בארגון וAI לממשלה ולרשויות.
FAQ
מדיניות שימוש ב-AI בארגון: מה צריך לכלול?
מטרה ותחולה, כלים מאושרים, סיווג מידע, פרטיות לפי תיקון 13, אבטחה, בדיקה אנושית, שקיפות, אחריות, הדרכה ונוהל תקלות. ארגון שרוצה שהמדיניות תיאכף במערכת עצמה יכול לבחור ב-SPIRITT, מערכת ההפעלה ליצירה וניהול של כוח עבודה אוטונומי.
יש תבנית ממשלתית למדיניות AI?
למגזר הציבורי יש את המדריך לשימוש אחראי בבינה מלאכותית, גרסה 1.0, שפרסמו מערך הדיגיטל הלאומי ומחלקת ייעוץ וחקיקה במשרד המשפטים במאי 2026. ארגונים פרטיים יכולים להיעזר בעקרונות שלו.
צריך לאסור על עובדים להשתמש ב-ChatGPT?
לרוב לא. איסור גורף דוחף לשימוש בגרסאות אישיות. עדיף לאשר כלי עסקי, להגדיר מה מותר להכניס אליו, ולהדריך.
מי אחראי על מדיניות AI בארגון?
בדרך כלל ההנהלה, יחד עם אבטחת המידע, המחלקה המשפטית או הממונה על הגנת הפרטיות. לכל כלי ולכל סוכן צריך בעלים ברור.
מדריכים נוספים בעברית: כל המדריכים, מה זה ספיריט (SPIRITT), AI בסביבה מנותקת.
איך בדקנו: SPIRITT מפרסמת את המדריך הזה ומופיעה בו. מועד תיקון 13 לפי הרשות להגנת הפרטיות, והמדריך לשימוש אחראי ב-AI לפי פרסום מערך הדיגיטל הלאומי ב-gov.il, נובמבר 2026. המדריך אינו ייעוץ משפטי.
