בינה מלאכותית סמויה בארגון: הסיכונים ואיך מתמודדים

מהו Shadow AI, ומה הופך שימוש תמים לכאורה לבעיה ארגונית?

בינה מלאכותית סמויה (Shadow AI) היא שימוש בכלי בינה מלאכותית לצורכי עבודה בלי אישור, מיפוי או בקרה מספקת של הארגון. לפעמים מדובר בשירות חינמי בדפדפן. במקרים אחרים זהו רכיב AI שהוטמע במערכת שכבר נרכשה, אך לא נבדקו יכולותיו החדשות. לעיתים הכלי מאושר, אולם השימוש המסוים בו חורג מהייעוד שנבדק.

ההגדרה מתייחסת למסלול של מידע והחלטות, ולא לשם המוצר. לכן, גם חשבון בתשלום אינו פותר לבדו שאלות על הרשאות, שמירת שיחות, ספקי משנה, העברת מידע או שימוש בפלט. מנגד, לא כל התנסות בכלי חיצוני גוררת אותה חשיפה. בקשה לנסח כותרת כללית אינה שקולה להעלאת תיק לקוח מזוהה.

בעבר התמקדו ארגונים בתוכנה לא מאושרת. כיום נוסף ממד מורכב: המשתמש מעתיק טקסט רגיש לתוך ממשק שנראה כמו כלי כתיבה. יתרה מכך, מערכות AI עשויות לחבר קבצים, דואר, יומנים ומאגרים באמצעות הרשאות קיימות. הפעולה היחידה שהעובד רואה היא שאלה בשפה טבעית; מאחוריה עשוי להתבצע עיבוד רחב בהרבה.

שורש הבעיה אינו יוזמה של עובדים. עובד שנמדד לפי מהירות מבקש להפחית עבודה חוזרת. כאשר הארגון אינו מציע דרך בטוחה להשיג את אותה תוצאה, נוצר תמריץ לעקוף תהליך. משום כך, מדיניות בינה מלאכותית לעובדים צריכה לצאת מהמשימות שהם מבצעים בפועל.

אפשר לחלק כל שימוש לחמש שאלות פשוטות: מי פועל, איזה מידע נכנס, לאן הוא עובר, מה הכלי מחזיר, ואיזו פעולה נעשית על סמך הפלט. השאלות האלה מייצרות תיאור בר בדיקה גם כשהספק משנה תכונות או שם מסחרי.

חמש דרכים שבהן מידע יוצא משליטת הארגון

לא כל שימוש לא מאושר נראה כמו אירוע אבטחה. לעיתים מדובר בפעולה יומיומית ופשוטה. חמשת המסלולים הבאים עוזרים לזהות היכן מידע, הרשאות או החלטות עלולים לצאת ממסגרת הבקרה הארגונית.

המסגרת המשפטית: פרטיות, עבודה, סודיות וחוזים באותו תהליך

בישראל, בחינת שימוש ב־AI מחייבת להתחיל בסוג המידע וביחסים שבין הצדדים. כאשר מעובד מידע אישי, יש לבחון את הוראות חוק הגנת הפרטיות, התקנות החלות, מטרת העיבוד, הרשאות הגישה ואמצעי האבטחה. אין להסיק מעצם השימוש בכלי AI שקיימת הפרה; ההכרעה תלויה בפרטים ובמסגרת המשפטית הרלוונטית.

תיקון 13 לחוק הגנת הפרטיות חידד את הצורך בממשל מידע ובהבנת חובות הארגון. עם זאת, אין בו איסור גורף על AI. לצורך החלטה מעשית צריך לברר מי בעל השליטה במידע, מי מחזיק בו, מה המידע שהועבר, ומה נקבע בהסכמים ובנהלים. מידע של עובדים, לקוחות ומועמדים לעבודה עלול להעלות שאלות שונות.

במקביל, הסכמי סודיות והתחייבויות ללקוחות עשויים להגביל העברה של מסמכים לספק חיצוני. ארגון יכול לעמוד בדרישות אבטחה פנימיות ועדיין להפר התחייבות חוזית. לכן, סיכוני AI בארגון אינם מתמצים בפרטיות. הם כוללים סודות מסחריים, זכויות יוצרים, קניין רוחני, רישוי תוכנה ויכולת להוכיח את מקור התוצר.

בדיני עבודה יש לאזן בין בקרה לגיטימית על מערכות ארגוניות לבין שקיפות וכבוד העובד. בדיקה טכנית של שימושים אינה היתר למעקב בלתי מוגבל. לפני הפעלת ניטור יש להגדיר מטרה, בסיס מתאים, היקף גישה, משך שמירה ומנגנון למניעת שימוש משני בנתונים. ניסוח עמום של 'לצרכי אבטחה' אינו מחליף החלטה מדויקת.

ארגון שפועל גם בשווקים אחרים צריך לבדוק חובות מקומיות נוספות. לדוגמה, הנחיות רשות הגנת המידע הבריטית עוסקות בעקרונות הגנת מידע ב־AI, ומסגרת האיחוד האירופי ל־AI עשויה להיות רלוונטית לפי השימוש והתחולה. אין להחיל חובות זרות אוטומטית על כל עסק ישראלי. יש לבחון מוצר, שוק, משתמשים ושרשרת אספקה.

מסגרת NIST לניהול סיכוני AI ממליצה להסתכל על ממשל, מיפוי, מדידה וניהול. פרופיל הבינה המלאכותית היוצרת מוסיף שיקולים ייעודיים למערכות כאלה. אלה מסגרות מקצועיות וולונטריות, ולא תחליף לבחינה משפטית של הדין החל בישראל.

מפת שימושים: ממידע פתוח ועד החלטה על אדם

הצעד הראשון הוא לרשום משימות, לא רק מוצרים. אותו כלי יכול לסייע במציאת כותרת או לנתח שיחת שימוע. הסיכון משתנה לפי תוכן הבקשה, הקשר העסקי ותוצאת הפעולה. כדי להתחיל, בקשו מכל יחידה לציין שלושה שימושים שכבר קיימים ושלושה שימושים שהיא מבקשת לאשר.

הטבלה ממחישה מדוע איסור גורף על כלי אחד אינו מכסה את הבעיה. הפתרון הוא רישום של שימושים מאושרים ותנאים להפעלתם. בכל רשומה יופיעו בעל התהליך, קבוצת המשתמשים, סוג המידע, הספק, ההרשאות, דרך הפיקוח ומועד בדיקה חוזרת.

כדאי לכלול במיפוי גם תהליכים שהארגון אינו מכנה 'AI'. מנגנון שמנבא נטישת לקוח, מדרג מועמדים או מציע טיפול בפנייה הוא חלק מהתמונה. לעיתים הסיכון המשמעותי נמצא במערכת ותיקה יותר, שנוספה לה יכולת חדשה ללא דיון מחודש.

מודל BAZ המוצע: מדד חשיפה לשימוש AI שאינו מוסדר

אפשר להפוך את הדיון לכלי עבודה באמצעות מדד פנימי. המדד המוצע כאן אינו תקן רשמי ואינו מודד הפרה משפטית. תפקידו לסדר תעדוף: איזה שימוש נבדק היום, איזה שימוש מקבל אישור מותנה, ואיפה נדרש לעצור עד לבירור. אין להצמיד לתוצאה מסקנה משפטית אוטומטית.

לכל שימוש נותנים ציון 0 עד 4 בחמישה ממדים: רגישות המידע; עומק הגישה; השפעת הפלט; אי־ודאות ביחס לספק; ופער בין הנוהל לעבודה בפועל. ציון גבוה פירושו צורך מוגבר בבדיקה. הצוות צריך לתעד את הנימוק לכל ציון, כי מספר ללא הסבר אינו מסייע להנהלה.

לדוגמה, צוות שיווק מבקש לייצר רעיונות על בסיס מידע שכבר פורסם. רגישות המידע נמוכה וההשפעה מוגבלת, בתנאי שבודקים עובדות לפני פרסום. לעומתו, מערכת שמדרגת מועמדים על סמך קורות חיים משפיעה על אדם ומעבדת מידע אישי. היא דורשת בדיקה עמוקה יותר, אפילו כאשר אותו ספק מספק את שתי היכולות.

המודל אינו משקלל באופן אוטומטי כל רכיב באותה מידה. תוצאה של 12 מתוך 20 עשויה להסתיר ממד יחיד חמור, כגון חיבור גורף למאגרי לקוחות. לכן קובעים גם 'סימני עצירה': מפתחות גישה, מידע רפואי, נתוני ילדים, מסמכים חסויים במיוחד או החלטה בעלת השפעה משמעותית על אדם. הרשימה המעשית תיקבע לפי פעילות הארגון.

בפרסום עתידי של מחקר Shadow AI בישראל אפשר ליישם את אותה שיטה על שאלון אנונימי לארגונים. שם יהיה צורך להציג שיטת דגימה, מספר משיבים, שיעור היענות והגדרות ברורות. עד שייאספו נתונים כאלה, אין טעם לפרסם אחוזי שימוש או לטעון שקיים 'מדד ישראלי' אמפירי.

למה עובדים משתמשים בכלים לא מאושרים?

עובדים בדרך כלל אינם קוראים את מסמכי ממשל הטכנולוגיה לפני סיכום פגישה. הם בוחרים כלי שעוזר להם לעמוד בלוח זמנים. אם התהליך הרשמי דורש אישור ארוך, והצורך היומיומי דחוף, הפער יוצר שימוש שקט. לכן, שיחת גילוי צריכה לשאול מה מפריע בעבודה, ולא לחפש אשמים.

דרך מועילה היא סדנה עם שלוש שאלות: איזו משימה חוזרת הייתם רוצים לקצר; איזה מידע אתם צריכים בשבילה; ואיזה כלי כבר ניסיתם. אפשר לקבל תשובות אנונימיות בתחילת הדרך. לאחר מכן מפרידים בין צורך מוצדק, מוצר לא מתאים והכשרה חסרה. כך מתגלה אם הבעיה היא בעיקר מהירות, גישה, ממשק או חוסר מודעות.

מדיניות קצרה תעבוד טוב יותר כשהיא מציגה חלופות. למשל: 'מותר לבקש רעיונות על בסיס מידע פומבי בכלי המאושר; מסמכי לקוח עוברים רק בסביבה הייעודית; לדירוג מועמדים פונים תחילה לגורם המוסמך'. משפטים כאלה מאפשרים החלטה בזמן אמת. לעומת זאת, איסור כללי על 'מידע רגיש' מחייב כל עובד לפרש לבדו מונח מורכב.

גם מנהלים צריכים דוגמה אישית. כאשר מנהל מבקש תקציר של תיק לקוח למחר בבוקר, העובד מקבל מסר כפול אם אין כלי מתאים. את הפער יש לפתור בתכנון משימות ובזמינות פתרון מאושר, ולא רק בהחתמת צוות על נוהל.

12 שאלות שחייבים לשאול ספק AI לפני אישור

בדיקת ספק צריכה להתייחס לגרסה ולמסלול השירות המדויקים. לעיתים קיימים תנאים שונים לחשבון אישי, צוותי וארגוני. כתובת האתר של הספק אינה מספיק מפורטת כדי להבין מה חל על השימוש שלכם. חשוב לשמור עותק של התנאים שנבדקו ומועד הבדיקה.

1. אילו סוגי נתונים מועברים לשירות, לרבות קבצים, היסטוריית שיחות ומטא־נתונים?
2. האם קלט, פלט או משוב משמשים לשיפור שירותים או לאימון, ובאילו תנאים?
3. כמה זמן נשמרים הנתונים, ומה בדיוק קורה לאחר מחיקה?
4. מי יכול לגשת לנתונים מצד הספק ובאילו נסיבות?
5. אילו ספקי משנה משתתפים בעיבוד, והיכן הם פועלים?
6. האם קיימת העברה בין מדינות שדורשת בחינה מיוחדת?
7. מהן אפשרויות ניהול המשתמשים, הזדהות והרשאות?
8. האם ניתן לבטל חיבור למערכות מקור ולמחוק הרשאות קיימות?
9. כיצד מדווח הספק על אירוע אבטחה ומהם לוחות הזמנים החוזיים?
10. כיצד משתנים תנאי השירות והיכולות כאשר מתווספת תכונת AI?
11. למי שייכות הזכויות בקלט ובפלט, ומהן ההגבלות על שימוש מסחרי?
12. אילו יומנים ומסמכים אפשר לקבל לצורך בירור אירוע או בקשת מידע?

יש להצליב תשובות שיווקיות עם מסמכים מחייבים. הבטחה באתר המכירות אינה שקולה לנספח עיבוד מידע או להתחייבות בהסכם. בנוסף, אישור ספק אינו סוף התהליך. שינוי בהרשאות, תכונות או שרשרת ספקי משנה מחייב בחינה מחודשת בהתאם למהות השינוי.

כבר הועלה מידע לכלי לא מאושר: מה עושים עכשיו?

ראשית, מתעדים את העובדות בלי להניח שהתרחש אירוע דליפה או שחרגה חובה חוקית. יש לזהות את החשבון, הכלי, מועד הפעולה, סוג המידע, היקף המסמכים ואפשרויות המחיקה. אין להפיץ מחדש את החומר לצורך בירור אם אפשר לצמצם את מעגל הגישה.

שנית, גורמי פרטיות, אבטחת מידע ומשפטים בוחנים יחד את תנאי הספק ואת מסלול הנתונים. הם מבררים אם הופעלו חיבורים נוספים, אם קיימות הרשאות פעילות, ואם מידע הועתק לתוצרים אחרים. אם מדובר בפרטים אישיים, סוד מסחרי או מידע הכפוף להסכם לקוח, יש לשקול חובות בהתאם לנסיבות.

שלישית, פועלים לצמצום נזק: ביטול הרשאות, שינוי מפתחות, עצירת שימוש, בקשת מחיקה או שימור ראיות לפי הצורך. סדר הפעולות תלוי בסוג האירוע. מחיקה מיידית של שיחה עלולה לפגוע בבירור עובדתי, בעוד השארת חיבור פעיל עלולה להרחיב חשיפה. לכן נדרשת החלטה מתועדת.

לבסוף, מתקנים את הסיבה התפעולית. אם העובד השתמש בכלי כי אין תמלול מאושר, הארגון צריך להציע תחליף. תגובה שמסתיימת בנזיפה בלבד משאירה את הדפוס המקורי במקומו. ניהול סיכוני בינה מלאכותית נבחן גם ביכולת לשנות תהליך לאחר אירוע.

תוכנית 90 יום: ממדיניות על הנייר לשימוש שניתן לפקח עליו

ב־30 הימים הראשונים ממנים בעל אחריות לתוכנית ומגדירים צוות קטן: משפטי, פרטיות, אבטחת מידע, משאבי אנוש, רכש ונציגי יחידות עסקיות. הצוות מפרסם ערוץ דיווח פשוט על שימושים קיימים. במקביל הוא מזהה שלושה שימושים נפוצים, בוחן אותם במהירות ומפרסם תשובה מעשית לעובדים.

בימים 31–60 בונים מרשם שימושים. לכל שימוש רושמים מטרה, סוג מידע, ספק, גורם מאשר, רמת חשיפה ותאריך בחינה מחדש. מכינים רשימת פעולות מותרות, פעולות מותנות ופעולות הדורשות עצירה. בנוסף, בוחרים לפחות חלופה מאושרת אחת לצורך השכיח ביותר שהתגלתה בסקר הפנימי.

בימים 61–90 משלימים בדיקת ספקים מהותיים, מעדכנים הסכמים היכן שנדרש, ומדריכים מנהלים בצוותים שמשתמשים בכלים יותר מכל. ההדרכה מציגה מקרים אמיתיים שעברו התאמה והסרת פרטים. במקום הרצאה כללית על AI, כל עובד לומד כיצד לטפל במסמך שהוא פוגש בעבודתו.

אפשר לעקוב אחרי מדדים תפעוליים בלי לפרסם אחוזים שרירותיים: זמן ממוצע לאישור שימוש; שיעור שימושים עם בעל תהליך; מספר הרשאות רחבות שצומצמו; מספר חלופות שסופקו; ושיעור הצוותים שהשלימו הדרכה. על כל מדד להישען על ספירה אמיתית ותאריך מדידה.

איך מגלים שימוש בלי להפוך את העובד למושא מעקב?

גילוי שימושים אינו מחייב קריאה גורפת של כל שיחה שהעובדים מנהלים. אפשר להתחיל ממלאי מערכות, רכש, הרשאות הרשאת גישה (OAuth) iמנגנון הרשאה שמאפשר לשירות לקבל גישה מוגדרת למידע או לפעולות במערכת אחרת, בלי למסור לו את סיסמת המשתמש., הגדרות דפדפן ארגוני ודיווח עצמי. בחלק מהמקרים ניתן להשתמש בנתונים מצרפיים במקום בתוכן אישי. רמת הניטור צריכה להתאים למטרה ולמסגרת המשפטית שנבדקה.

לפני ניטור, חשוב להסביר לעובדים מה נבדק, מי נחשף לממצאים, לכמה זמן הם נשמרים ואילו שימושים משניים אסורים. מומלץ להפריד בין תהליך מיפוי ראשוני לבין חקירת אירוע קונקרטי. הפרדה כזו מסייעת גם לאמינות התמונה: עובדים ישתפו פעולה יותר כאשר מטרת התהליך ברורה.

הצוות צריך להחליט מראש כיצד יטופל שימוש שמתגלה. אם כל דיווח מוביל מיד להליך משמעתי, ערוץ הגילוי לא ישקף את המציאות. במקביל, אין לתת חסינות גורפת למעשים חמורים. נדרש מנגנון מדורג שמבחין בין טעות בתום לב, הפרת נוהל חוזרת וסיכון מיידי למידע.

ארבעה תרחישים שממחישים את ההבדלים

תרחיש ראשון: תקציר חוזה מסחרי. מנהל מבקש מכלי חיצוני לנסח שלוש נקודות משא ומתן מתוך טיוטה שקיבל מספק. ייתכן שהמסמך כולל תמחור חסוי ופרטי צדדים. הבדיקה מתמקדת בסודיות, בהסכם עם הספק, בסביבת העבודה ובזהות הגורם המאשר. אם אפשר לחלץ שאלות כלליות בלי להעביר את המסמך, זו אפשרות שראוי לשקול.

תרחיש שני: עיבוד קורות חיים. מגייסת מבקשת לדרג מועמדים על פי תיאור משרה. כאן יש מידע אישי והשפעה על אנשים. יש לבדוק קריטריונים, הסברים, הטיה, תיעוד החלטות ותפקידו של האדם בהחלטה הסופית. שימוש בכלי מאושר לניסוח מודעת דרושים אינו מאשר אוטומטית דירוג מועמדים.

תרחיש שלישי: תמלול ישיבת הנהלה. עוזר דיגיטלי מצטרף לפגישה ומפיק סיכום. הבדיקה מתחילה בידיעה ובהסכמות הנדרשות, בזהות המשתתפים ובסוג הנושאים שעלו. בנוסף יש לבחון שמירת קבצי קול, מחיקה, רשימת מורשי גישה ואופן העברת הסיכום. כותרת כללית של 'ייעול פגישות' אינה מספיקה.

תרחיש רביעי: בדיקת קוד. מפתח מעלה קובץ כדי לקבל הצעה לתיקון. הקובץ כולל בטעות סיסמת שירות. במקרה זה הסוגיה הדחופה היא הגישה למפתח והאפשרות להחליפו, ולא רק זכויות בתוצר. אחרי הטיפול הראשוני כדאי לשפר בדיקות אוטומטיות שמונעות העלאת סודות בקוד.

מי מחליט: מבנה אחריות שאינו נתקע בין מחלקות

הנהלה קובעת מהי תועלת עסקית רצויה ומהי רמת סיכון שהארגון מוכן לבדוק. היחידה העסקית מתארת את המשימה ותוצאתה. אנשי אבטחת מידע בודקים גישה, חיבורים ויכולת תגובה. פרטיות ומשפטים בוחנים מידע, התחייבויות ותנאי שימוש. רכש דואג שהבדיקה תתורגם למסמך מחייב.

אין צורך שכל בקשה קטנה תגיע לוועדה חודשית. אפשר להגדיר מסלול מהיר לשימושים חוזרים עם מידע פתוח או לא רגיש, ומסלול מוגבר לשימושים שמשפיעים על אדם או מעבדים מידע מוגן. כך שומרים על מהירות בלי לוותר על נימוק. כל החלטה צריכה לציין מה אושר ומה לא נבדק.

מינוי 'אחראי AI' בלבד אינו יוצר בעלות אמיתית. בעל התהליך צריך לדעת איך המשתמשים עובדים, לזהות שינוי במשימה ולהחזיר שימוש לבדיקה כאשר מתווספת הרשאה או מערכת נתונים. לכן כדאי לדרוש אישור תקופתי קצר מבעל התהליך, ולא להסתפק במסמך הקמה חד פעמי.

כיצד להפוך את הנושא למחקר ישראלי מקורי ואמין?

אם משרד מבקש לפרסם מחקר, צריך להפריד בין שלוש שכבות: שאלון, נתונים ותובנות. השאלון יכול לשאול אילו שימושים קיימים, מי מאשר אותם, אילו סוגי מידע נכנסים לכלים, וכיצד מנהלים הרשאות. הנתונים שייאספו יאפשרו אומדנים אך ורק לגבי אוכלוסיית המדגם המתוארת.

לצורך סקר שימוש בבינה מלאכותית בארגונים נדרשת שיטת דגימה ברורה. האם המשיבים הם מנהלי IT, אנשי משאבי אנוש, עורכי דין פנימיים או עובדים? תשובותיהם אינן שקולות. יש לתאר מספר ארגונים, גודל, ענף, תפקיד המשיב, תקופת האיסוף ושיעור ההיענות אם ידוע. בנוסף, שאלות מנוסחות היטב צריכות להבחין בין שימוש לא ידוע להנהלה לבין שימוש שאושר חלקית.

ראוי להגדיר מראש מה יפורסם ומה לא. אין צורך לאסוף שמות לקוחות, צילומי שיחות או מסמכי עבודה כדי להבין דפוסי שימוש. עדיף מדגם אנונימי ומוגבל, עם תיעוד של שיטת עיבוד הנתונים. אם משיבים יכולים לבחור כמה אפשרויות, התרשים צריך לציין שסכום האחוזים אינו חייב להגיע ל־100.

תובנה שימושית יכולה להיות גם איכותנית. לדוגמה, אפשר לתאר אילו משימות חוזרות בארגונים, אילו אישורים מתעכבים, ואיפה עובדים מתקשים להבין מה מותר. כל מסקנה כזו צריכה להיות מוצגת בהתאם לחומר שנאסף, ולא כהכללה לגבי כלל המשק הישראלי.

רשימת בדיקה להנהלה: עשר החלטות לשבוע הקרוב

1. מנו בעל אחריות אחד למפת שימושי AI ותמיכה של גורמי משפט, פרטיות ואבטחה.
2. שאלו מנהלים אילו שלוש משימות כבר מתבצעות בעזרת AI בכל יחידה.
3. בדקו אם קיימים חיבורים פעילים לכלים חיצוניים דרך חשבונות ארגוניים.
4. הגדירו אילו סוגי מידע אסור להעלות בלי אישור ייעודי.
5. בחרו חלופה מאושרת למשימה הנפוצה ביותר שזוהתה.
6. קבעו מסלול אישור קצר לשימושים בעלי חשיפה נמוכה.
7. תעדו שימושים שעשויים להשפיע על עובדים, מועמדים או לקוחות.
8. בדקו תנאי ספק ושמירת מידע לפני הרחבת שימוש.
9. הכשירו מנהלים לזהות מידע רגיש גם בקובץ שנראה שגרתי.
10. קבעו מועד לבחינה מחדש בעקבות שינוי מוצר, ספק או תהליך.

עשר ההחלטות אינן תחליף לייעוץ מותאם. הן יוצרות בסיס למפת מצב שממנה אפשר להתחיל. ארגון גדול יידרש להרחיב בקרות, ואילו עסק קטן יכול ליישם אותן במרשם קצר ומדויק. המבחן הוא האם אדם חדש בארגון יוכל להבין מחר מה מותר לו לעשות.

שאלות ותשובות על בינה מלאכותית סמויה בארגון

סיכום: להפוך שימוש סמוי לתהליך שניתן להבין ולשפר

בינה מלאכותית כבר נטמעת בעבודה יומיומית. לעיתים היא נכנסת דרך כלי שהעובד בחר; לעיתים דרך ספק שהארגון מכיר שנים. בשני המקרים נדרשת אותה שאלה: איזה מידע עובר, מי אחראי לתוצאה, ואיזו בקרה פועלת כאשר משהו משתנה.

ארגון שממפה שימושים לפי משימה, מידע, הרשאה והשפעה מקבל תמונה מועילה יותר מרשימת כלים אסורים. אחר כך אפשר להציע חלופות מאושרות, לבדוק ספקים, להדריך עובדים ולצמצם הרשאות. התוצאה הרצויה היא שימוש יעיל שאפשר להסביר, לתעד ולתקן.

הבסיס למחקר ישראלי אמיתי יהיה איסוף נתונים שקוף ואנונימי. עד אז, המתודולוגיה כאן מאפשרת למנהלים לשאול את השאלות הנכונות בלי לייחס מספרים שלא נמדדו. זהו צעד ראשון לבניית ממשל AI שמתאים לפעילות הארגון ולאנשים שעובדים בו.

מקורות מוסדיים ומתודולוגיים

1. NIST — ניהול סיכוני בינה מלאכותית (AI Risk Management) Framework: מסגרת וולונטרית לניהול סיכונים הקשורים לתכנון, שימוש והערכה של AI.
2. NIST — Generative AI Profile: הרחבה לסיכונים ייחודיים של בינה מלאכותית יוצרת.
3. ICO — Artificial Intelligence: הנחיות רשות הגנת המידע הבריטית בנושא עיבוד מידע ו־AI; מובאות כמקור השוואתי, לא כדין ישראלי.
4. הנציבות האירופית — מידע על הגנת נתונים לארגונים: רקע למסגרות החלות לפי נסיבות פעילות באירופה.
5. הנציבות האירופית — חוק הבינה המלאכותית של האיחוד האירופי (AI Act) iמסגרת רגולטורית של האיחוד האירופי המבוססת על רמות סיכון וחובות שונות לפי סוג המערכת והשימוש.: מקור רשמי לבחינת תחולה חוצת גבולות לפי השימוש הספציפי.

לקריאה משלימה באתר: חוזים חכמים ובינה מלאכותית · מרכז הידע המשפטי מבוסס AI.