עובד הזין מידע של לקוחות לכלי AI. מי אחראי?

למה זו בעיה משפטית ולא רק טכנית?

חוק הגנת הפרטיות, התשמ״א־1981, קובע שמידע אישי ישמש רק למטרה שלשמה נאסף, ומחייב לאבטח אותו. כשעובד מעתיק מסמך של לקוח לכלי חיצוני, המידע עובר לגורם שלישי, לעיתים מחוץ לישראל, ובתנאים שהעסק לא בדק. אם תנאי הכלי מאפשרים לספק להשתמש בתוכן לאימון, הבעיה גדולה עוד יותר.

תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז־2017, מחייבות בין היתר בקרה על הרשאות גישה, הדרכת עובדים, והסדרה של התקשרות עם גורמים חיצוניים שמקבלים גישה למידע. כלי AI שעובדים משתמשים בו על דעת עצמם הוא, בפועל, ספק חיצוני שלא עבר את הבדיקה הזו.

מה החשיפה בפועל?

• כלפי הלקוח: הפרת התחייבות סודיות בחוזה, ותביעה לפיצוי.
• כלפי אנשים שהמידע עליהם: תביעה בשל פגיעה בפרטיות, ובהפרות מסוימות של חובות בעל השליטה במאגר אף פיצויים לדוגמה בלי הוכחת נזק, לפי סעיף 15א שנוסף בתיקון 13.
• כלפי הרשות להגנת הפרטיות: בירור, הוראות לתיקון, ועיצומים כספיים במקרים המתאימים.
• סודות מסחריים: מידע שנחשף עלול לאבד את ההגנה כסוד מסחרי לפי חוק עוולות מסחריות, התשנ״ט־1999, אם לא ננקטו אמצעים סבירים לשמור על סודיותו.

ומה האחריות של העובד?

העובד חב חובות זהירות, סודיות ותום לב כלפי המעסיק, ואם הפר נוהל ברור, אפשר לשקול צעדים משמעתיים, תמיד בהליך הוגן ואחרי שימוע כשמדובר בסיום העסקה. אבל כשאין נוהל, קשה לבוא בטענות לעובד שהשתמש בכלי שכולם משתמשים בו. לכן הנוהל הוא הבסיס גם לאחריות הפנימית.

מה צריך לעשות עכשיו?

1. למפות: באילו כלים העובדים משתמשים בפועל, ולאילו מטרות.
2. לבחור: כלים בתנאים עסקיים שמונעים שימוש בתוכן לאימון, עם הסכם עיבוד נתונים והגדרות שמירה מתאימות.
3. לנסח נוהל קצר: מה מותר, מה אסור להזין, מי מאשר כלים חדשים, ואיך בודקים תוצרים לפני שהם יוצאים ללקוח.
4. להדריך ולתעד: הדרכה קצרה, אישור קריאה, ועדכון ההודעה לעובדים על ניטור, אם יש כזה, בהתאם לעקרונות שנקבעו בפסיקה.
5. לבדוק את מה שכבר קרה: אם הוזן מידע רגיש, לבדוק אם מדובר באירוע אבטחה שמחייב פעולה או דיווח.
6. לעדכן חוזים ומדיניות פרטיות: מול לקוחות ומול ספקים.

האם מותר לנטר את השימוש של העובדים?

ניטור אפשרי, אבל בגבולות. בע״ע 90/08 איסקוב ענבר נ׳ מדינת ישראל (2011) קבע בית הדין הארצי לעבודה עקרונות של שקיפות, הגדרת מטרה ומידתיות, והבחין בין סוגי תיבות דואר וחשבונות. מעסיק שרוצה לנטר שימוש בכלי AI צריך לקבוע מדיניות כתובה, להודיע עליה מראש, ולנטר רק את מה שנחוץ למטרה.

מה צריך להיות בנוהל שימוש ב־AI?

נוהל טוב הוא קצר, ברור ומעשי. עובדים צריכים להבין אותו בקריאה אחת. בדרך כלל הוא כולל:

• רשימה של כלים מאושרים, ובאיזו גרסה (אישית או עסקית).
• סוגי מידע שאסור להזין: מידע אישי על לקוחות ועובדים, מידע רפואי או פיננסי, קוד מקור, ומידע שהעסק התחייב לשמור בסוד.
• חובת בדיקה אנושית של כל תוצר לפני שהוא יוצא ללקוח או משמש להחלטה.
• מי מאשר כלי חדש, ולמי פונים כשיש שאלה.
• מה עושים כשמישהו הזין בטעות מידע שאסור היה להזין.

הנוהל צריך להשתלב במדיניות אבטחת המידע הקיימת, ולהתעדכן כשמשתנים הכלים או הדין.

התחייבויות סודיות כלפי לקוחות

עסקים רבים חתמו מול לקוחות על הסכמי סודיות, או על חוזים שמגבילים את העברת המידע לצדדים שלישיים. הזנת מסמך של לקוח לכלי AI חיצוני עלולה להיחשב העברה כזו, גם אם לא הייתה כוונה רעה. לפני שמאפשרים שימוש בכלי, כדאי לבדוק את החוזים המרכזיים מול לקוחות, ולפעמים גם לעדכן אותם כך שיתירו שימוש מבוקר בכלים מסוימים.

הדרכה ותיעוד

נוהל שלא הוסבר לעובדים כמעט לא מגן על העסק. כדאי לקיים הדרכה קצרה, לתעד מי השתתף ומתי, ולבקש מהעובדים לאשר שקראו את הנוהל. אם יקרה אירוע, ההדרכה והתיעוד יראו שהעסק נקט צעדים סבירים. זה חשוב במיוחד לאור תיקון 13 לחוק הגנת הפרטיות, שהגביר את סמכויות האכיפה. ראו משפט וטכנולוגיה לעסקים.

מי מלווה את זה במשרד?

את הצד הטכנולוגי, כלומר מיפוי הכלים, ההגדרות והתהליכים, מוביל אילון צור, משפטן, משפט וטכנולוגיה. הייעוץ המשפטי, הנהלים והחוזים, ניתנים על ידי עו״ד שמעון צור. פירוט נוסף בעמוד משפט וטכנולוגיה לעסקים.