אין בדין הישראלי איסור כללי על שימוש בכלי בינה מלאכותית, אבל חוק הגנת הפרטיות חל על השימוש בהם במלואו. עסק רשאי להזין מידע אישי לצ׳אטבוט, לעוזר דיגיטלי או לשירות תמלול רק לשימוש שמתאים למטרה שלשמה המידע נאסף ולמה שנאמר לאנשים, ורק לכלי של ספק שהעסק התקשר איתו כגורם חיצוני, בתנאים שמגבילים מה מותר לו לעשות במידע. מידע בעל רגישות מיוחדת, כמו מידע רפואי או נתוני שכר, עדיף להסתיר או לא להזין כלל. ההנחיה של הרשות להגנת הפרטיות בנושא בינה מלאכותית עדיין טיוטה, אבל לפיה ארגון שעובדיו משתמשים בכלים חיצוניים כאלה צריך מדיניות ארגונית ייעודית.
החוק חל, וההנחיה עדיין טיוטה
חוק הגנת הפרטיות, התשמ״א–1981, כפי שתוקן בתיקון 13, מגדיר "עיבוד" ככל פעולה במידע אישי, כולל מסירתו, ולכן גם הקלדת פרטים של לקוח בצ׳אטבוט היא עיבוד. לפי טיוטת ההנחיה של הרשות להגנת הפרטיות מ־28 באפריל 2025, בנושא תחולת החוק על מערכות בינה מלאכותית, החוק חל על מודל שמאחסן או מעבד מידע אישי, הן בשלב האימון והן בשלב השימוש, וגם מידע אישי שמערכת בינה מלאכותית יוצרת, כולל היסקים והערכות, כפוף לחוק. הטיוטה מתייחסת במפורש גם לעובדים שמשתמשים בכלים חיצוניים כמו ChatGPT, אפילו בלי התקשרות רשמית של הארגון.
נכון ליום 19 באוקטובר 2026, ההנחיה עדיין טיוטה. ההמלצות של הרשות להגנת הפרטיות בנושא סוכני בינה מלאכותית, מיולי 2026, עדיין מפנות אליה כטיוטה, ולא מצאנו נוסח סופי. טיוטה אינה מחייבת, אבל היא מציגה את הפרשנות שהרשות להגנת הפרטיות מתכוונת להפעיל בפיקוח ובאכיפה.
מטרה, יידוע ומידע רגיש
השאלה הראשונה היא לשם מה המידע נאסף. סעיף 8(ב) לחוק מתיר לעבד מידע אישי במאגר רק למטרת המאגר שנקבעה לו כדין, וסעיף 2(9) רואה בשימוש בידיעה על ענייניו הפרטיים של אדם, או במסירתה לאחר, שלא למטרה שלשמה נמסרה, פגיעה בפרטיות. גילוי הדעת הסופי של הרשות להגנת הפרטיות בנושא הסכמה, מ־25 בפברואר 2026, מוסיף שהסכמה לשימוש במידע למטרה אחת אינה מתירה להשתמש בו למטרה אחרת.
כלי שמבצע חלק מהעבודה שלשמה המידע נמסר, למשל סיכום פנייה של לקוח כדי להשיב לו, מעורר בעיקר שאלות לגבי הספק. כלל המטרה נכנס לתמונה כשהמידע עובר לשימוש שלא נאמר עליו דבר לאנשים, כמו אימון המודל של הספק, בניית פרופילים, או החלטה בעניינו של אדם.
אם אתם מבקשים מאנשים מידע שיעובד במערכת בינה מלאכותית, ההודעה לפי סעיף 11 לחוק, כפי שתוקן בתיקון 13, צריכה לכלול, בין השאר, את המטרה, למי יימסר המידע ולאיזו מטרה, ואת שמו של בעל השליטה במאגר ודרכי ההתקשרות עימו. הטיוטה מוסיפה שההסבר צריך לתאר איך המערכת מעבדת מידע אישי ומה הסיכונים בכל מטרה, כולל אימון, ושיש לומר לאדם שהוא מוסר מידע לבוט ולא לבן אדם, אם לעובדה הזו עשויה להיות השפעה מהותית על ההסכמה שלו. למטרה שחורגת ממה שאדם מצפה לו באופן סביר, לפי הטיוטה נדרשת הסכמה מפורשת יותר, כמו הסכמה נפרדת במתכונת opt-in.
סעיף 3 לחוק מגדיר "מידע בעל רגישות מיוחדת", ובו מידע על מצב בריאותו של אדם, נתוני שכר ופעילות פיננסית, מזהה ביומטרי, הערכת אישיות ומידע שחלה עליו חובת סודיות שנקבעה בדין. אין כלל מיוחד לבינה מלאכותית לגבי מידע כזה, אבל הטיוטה רואה ברגישות המידע סימן לסיכון גבוה, ומידע דומה שמופיע ברשימה של תקנות אבטחת המידע יכול להעלות את רמת האבטחה של המאגר.
ספק הכלי הוא גורם חיצוני
ספק בינה מלאכותית שמעבד את המידע שלכם בעבורכם הוא "מחזיק" לפי החוק, ולפי סעיף 17 לחוק בעל השליטה במאגר והמחזיק אחראים כל אחד לאבטחת המידע. הטיוטה רואה בשימוש של ארגון בכלי בינה מלאכותית חיצוני התקשרות שחלה עליה תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017. התקנה מחייבת לבדוק את סיכוני אבטחת המידע לפני ההתקשרות, לקבוע בהסכם עם הספק, בין השאר, איזה מידע הוא רשאי לעבד, לאילו מטרות ואיך המידע יוחזר או יושמד בסוף ההתקשרות, ולפקח על הספק בהיקף שמתאים לסיכונים. בכלי בינה מלאכותית, הטיוטה מוסיפה שני דברים שיש לשקול: כמה זמן הספק שומר את מה שמוזן לכלי, והאם אפשר למנוע ממנו להשתמש במידע הזה לאימון או למטרות אחרות שחורגות ממטרת המאגר שלכם. אם התנאים העסקיים האחידים של הכלי לא עונים על הנקודות האלה, זה לא המקום למידע אישי.
רמת האבטחה של המאגר שממנו המידע מגיע קובעת אילו חובות חלות, ותקנה 15, למשל, לא חלה על מאגר המנוהל בידי יחיד. הטיוטה צופה שעל רבים מהמאגרים שהמערכות שלהם מבוססות בינה מלאכותית יחולו הרמה הבינונית או הגבוהה, ואיך מסווגים הסברנו במאמר רמות אבטחת מידע. כשהספק מעבד את המידע מחוץ לישראל, כפי שקורה פעמים רבות בכלי בינה מלאכותית, ההעברה צריכה בסיס לפי התקנות על העברת מידע לחו״ל והתחייבות בכתב של מקבל המידע, כמו שהסברנו במאמר העברת מידע אישי לחו״ל. את העיבוד אצל הספק ואת ההעברה לחו״ל צריך לפרט במסמך הגדרות המאגר, לפי תקנה 2 לתקנות אבטחת המידע.
השאלות לפני שמזינים מידע לכלי
לפני שמזינים חומר לכלי בינה מלאכותית, כדאי לעבור על השלבים האלה לפי הסדר:
- בדקו מה בדיוק ייכנס לכלי, והאם אפשר לבצע את המשימה בלי מידע אישי, למשל להשמיט מזהים או להזין רק את הקטע שנדרש. השמטת השם לא תמיד מספיקה, כי לפי החוק מידע הוא אישי אם אפשר לזהות את האדם במאמץ סביר, במישרין או בעקיפין.
- בדקו אם חלק מהמידע הוא בעל רגישות מיוחדת או כפוף לחובת סודיות. אם כן, ההחלטה שייכת למי שאחראי על הפרטיות בארגון.
- ודאו שהשימוש מתאים למטרה שלשמה המידע נאסף ולמה שנאמר לאנשים.
- השתמשו רק בכלי שהארגון אישר, בחשבון ובתנאים של הארגון, ולעולם לא בחשבון פרטי.
- בררו היכן הספק מעבד את המידע, כמה זמן הוא שומר אותו והאם הוא מאמן עליו את המודלים שלו.
- החליטו מה ייעשה בפלט. אם הוא יישמר לצד רשומה של אדם או ישמש להחלטה בעניינו, הוא מידע אישי בפני עצמו.
כשתשובה לא ברורה, עוצרים ושואלים.
סוכני בינה מלאכותית, שפועלים במערכות אחרות ולא רק משיבים, מחייבים זהירות נוספת. ההמלצות של הרשות להגנת הפרטיות בנושא סוכני בינה מלאכותית, מיולי 2026, מופנות לציבור לשימוש אישי, ומשאירות את העיבוד לצרכים עסקיים לטיוטת ההנחיה. ובכל זאת הן מראות מה הרשות להגנת הפרטיות רואה כעבודה נכונה: גישה רק למידע שהמשימה דורשת, הרשאות צפייה בלבד ככל האפשר, ואישור של אדם לפני פעולות מסוימות, כמו שליחת דוא״ל.
מה כוללת מדיניות שימוש בבינה מלאכותית בארגון
על כלי בינה מלאכותית יוצרת חיצוניים, טיוטת ההנחיה אומרת:
"שינוי זה מחייב את בעלי השליטה במאגרים להיערכות הולמת ולקביעת מדיניות ארגונית ייעודית שתיתן מענה לסיכוני האבטחה הנובעים מכך."
לפי הטיוטה, המדיניות ונהלי אבטחת המידע צריכים להתייחס, בין השאר, לחמישה עניינים:
- מי בארגון רשאי להשתמש בכלי בינה מלאכותית חיצוני, מי מאשר את השימוש, לאיזו מטרה, ואילו סוגי מידע אישי מותר להזין לו.
- סיכוני האבטחה של כל כלי, ואיך מתקיימת לגביו תקנה 15.
- אילו כלים חיצוניים מותרים לשימוש העובדים ואילו אסורים.
- כללים לשימוש בכלי מותר באופן שמצמצם את הסיכונים, כמו סירוב לשימוש בשאילתות לאימון וצמצום משך שמירתן למינימום.
- הדרכה לעובדים על סיכוני האבטחה המיוחדים לבינה מלאכותית יוצרת.
הטיוטה ממליצה גם לערוך תסקיר השפעה על הפרטיות לפני שמשתמשים במערכות בינה מלאכותית לעיבוד מידע אישי, ובוודאי במערכות בסיכון גבוה. הדין בישראל לא מחייב תסקיר כזה, כפי שהטיוטה עצמה מציינת, אבל לעמדת הרשות להגנת הפרטיות זו הדרך המיטבית לוודא ולהוכיח שהשימוש עומד בדין. לפי הטיוטה, במקרים רבים הממונה על הגנת הפרטיות מתאים לרכז גם את נושאי הבינה המלאכותית בארגון, לפחות עד שימונה בעל תפקיד ייעודי. תקנים רחבים יותר לממשל בינה מלאכותית, כמו ISO/IEC 42001, נסקרים במאמר על תקני ממשל בינה מלאכותית.
בדיקת פרטיות לשימוש בבינה מלאכותית
אין באמור ייעוץ משפטי
המאמר הזה, כמו כל התוכן באתר, הוא מידע כללי בלבד. הוא לא ייעוץ משפטי ולא חוות דעת משפטית, והוא לא מתייחס לנסיבות של ארגון מסוים. הדין משתנה, ומה שהיה נכון ביום הפרסום עשוי שלא להיות נכון היום, ולכן אין להסתמך עליו בלי ייעוץ שמתייחס לעובדות שלכם. קריאת המאמר אינה יוצרת יחסי עורך דין–לקוח.
המאמר משקף את חוק הגנת הפרטיות כפי שהוא אחרי תיקון 13, שנכנס לתוקף ב־14 באוגוסט 2025, ואת תקנות אבטחת המידע. הוא משקף גם את טיוטת ההנחיה של הרשות להגנת הפרטיות בנושא תחולת החוק על מערכות בינה מלאכותית (28 באפריל 2025, עדיין טיוטה), את גילוי הדעת שלה בנושא הסכמה (25 בפברואר 2026) ואת ההמלצות שלה בנושא סוכני בינה מלאכותית (יולי 2026). המידע נכון ליום 19 באוקטובר 2026.