בישראל, הכנסת מידע על לקוחות לכלי AI נחשבת עיבוד של מידע אישי לפי חוק הגנת הפרטיות. אם ספק מקבל גישה למאגר מידע שאתם מחזיקים, תקנות אבטחת המידע מחייבות אתכם לבחון את הסיכון לפני החתימה ולקבוע בהסכם מה הספק רשאי לעשות. לכן החליטו איזה מידע על לקוחות ה-AI באמת צריך לפני שמחברים משהו, ודאגו שהתנאים יהיו בכתב.
זה מידע כללי ממקורות ראשוניים, לא ייעוץ משפטי. איפה שעורך דין צריך להכריע, הפוסט אומר את זה.
האם חוק הגנת הפרטיות חל על כלי AI?
הרשות להגנת הפרטיות סבורה שכן. טיוטת ההנחיה שלה על תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית (מתוארכת 28 באפריל 2025, נקראה ב-2026-10-07) קובעת שהחוק חל על מודל בינה מלאכותית שמאחסן או מעבד בפועל מידע אישי, הן בשלב הלמידה והן בשלב היישום, ושיש לוודא קיומו של בסיס חוקי לעיבוד מידע אישי המהווה פגיעה בפרטיות בכל שלב במחזור החיים של המערכת. זו טיוטה: לא מצאנו גרסה סופית, ולכן יש להתייחס אליה כעמדה מוצהרת של הרשות ולא כהסדר סגור.
החוק עצמו השתנה ב-14 באוגוסט 2025, כשתיקון 13 נכנס לתוקף. הרשות מאשרת את התאריך הזה בגילוי הדעת מ-14 ביולי 2026 (נקרא ב-2026-10-07). המדריך של הרשות לתיקון 13 (שער מתוארך מאי 2025, לפני שהתיקון נכנס לתוקף; נקרא ב-2026-10-07) קובע שעיבוד כולל כל פעולה במידע אישי, למשל אחסון, עיון, העברה או מתן גישה. הזנה של רשומת לקוח לכלי היא אם כן עיבוד, גם אם הכלי רק קורא אותה.
אותו מדריך מרחיב את קטגוריית המידע בעל הרגישות המיוחדת. מעבר למידע רפואי, גנטי וביומטרי, היא כוללת מידע על שכר ועל פעילות פיננסית של אדם, ומידע שחלה עליו חובת סודיות לפי דין. עסק קטן שמטפל בחשבוניות, בשכר או בתיקי לקוחות עשוי להחזיק מידע רגיש יותר ממה שהוא מניח.
מה צריך להופיע בהסכם עם ספק AI?
כשאתם נותנים לגורם חיצוני גישה למאגר מידע, חלה תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 (נקראה ב-2026-10-07), שכותרתה ”מיקור חוץ”. בקצרה היא מחייבת אתכם:
- לבחון את הסיכון לפני החתימה. לבחון את סיכוני אבטחת המידע שכרוכים בהתקשרות, לפני ההתקשרות עם הספק.
- לקבוע נקודות מסוימות בהסכם. המידע והמטרות המותרים, המערכות שהספק רשאי לגשת אליהן, סוג העיבוד, משך ההתקשרות, אופן השבת המידע והשמדתו בסיום ההתקשרות (עם דיווח), אופן ביצוע חובות האבטחה של הספק, התחייבויות סודיות של עובדיו, כללים לגבי קבלן משנה, וחובה של הספק לדווח לכם לפחות פעם בשנה על עמידתו בחובות, ולהודיע לכם על אירוע אבטחה.
- לפקח. לנקוט אמצעי בקרה ופיקוח על עמידת הספק בחובות, בהיקף שהסיכונים מצריכים.
התקנה לא קובעת לוח זמנים קבוע לביקורת מצדכם. המרווח הקבוע היחיד בנוסח הוא הדיווח השנתי של הספק. הרשות מפרסמת מדריך מעשי לתקנה 15 (נקרא ב-2026-10-07), עם שאלונים אופציונליים שאפשר להשתמש בהם לפני החתימה ובמהלך ההתקשרות.
איזו רמת אבטחה חלה על המאגר שלכם, והאם הסכם מסוים עם ספק עונה על הנקודות האלה, הן שאלות לעורך דין.
ומה אם הספק מעבד מידע בחו״ל?
רוב שירותי ה-AI רצים מחוץ לישראל. להעברת מידע אישי למאגר בחו״ל יש כללים משלה: תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001. הרשות פרסמה שני גילויי דעת סופיים עליהן: אחד על תקנה 3 (13 באוקטובר 2024) ואחד על תקנה 2(4) (13 באפריל 2026), שניהם נקראו ב-2026-10-07. שתי נקודות שבעל עסק יכול להשתמש בהן. תקנה 3 דורשת מבעל המאגר להבטיח התחייבות בכתב ממקבל המידע בחו״ל לנקוט אמצעים מספיקים להבטחת הפרטיות ולא להעביר את המידע הלאה. גילוי הדעת מ-13 באוקטובר 2024 מתיר העברה נוספת בהסכמה בכתב של בעל המאגר, וקובע שההתחייבות אינה חייבת להגיע לתנאי תקנה 2(4). והרשות קובעת שכשההעברה כרוכה גם במיקור חוץ או במתן גישה לגורם חיצוני אל המאגר שלכם, חלה גם תקנה 15.
גילויי הדעת לא מזכירים במפורש שירותי ענן או ספקי AI, והם לא קובעים שתנאי עיבוד מידע של ספק מסוים מספיקים. את ההערכה הזו צריך לעשות עורך דין.
מה הספקים עצמם אומרים על שמירה ואימון?
התנאים של הספקים הם המחצית השנייה של בדיקת הנאותות שלכם. במוצרי ה-API (העסקיים) שלהם:
- Anthropic כותבת במרכז הפרטיות שלה (הדף עודכן ב-1 ביולי 2026) שקלט ופלט של ה-API נמחקים אוטומטית מהמערכות שלה תוך 30 יום, למעט כשמשתמשים בשירות עם שמירה ארוכה יותר בשליטתכם (למשל Files API), כשהוסכם אחרת (למשל הסכם אפס שמירה), כשנדרש לאכוף את מדיניות השימוש, או כשהדין מחייב. התנאים המסחריים שלה (בתוקף מ-17 ביוני 2025) קובעים שהיא לא רשאית לאמן מודלים על תוכן של לקוח מהשירותים, ומשלבים נספח עיבוד מידע (בתוקף מ-24 בפברואר 2025). אם הנספח הזה עונה על הדרישות בישראל, זו שאלה לעורך דין.
- OpenAI כותבת במדריך בקרות המידע שלה (נקרא ב-2026-10-07, ללא תאריך על הדף) שמידע שנשלח ל-API לא משמש לאימון המודלים שלה אלא אם בחרתם להצטרף, שיומני ניטור ניצול לרעה נשמרים עד 30 יום כברירת מחדל, ושלקוחות זכאים יכולים לבקש בקרות אפס שמירה, הטעונות אישור מראש של OpenAI וחלות בנקודות קצה זכאיות.
אלה תנאים של מוצרים עסקיים. לאפליקציית צ׳אט צרכנית חינמית יש תנאים אחרים, ועובדים שמדביקים בה מידע על לקוחות הם סיכון נפרד שכדאי לקבוע לו כלל משלו.
מה לעשות השבוע
- רשמו איזה מידע על לקוחות כל כלי AI מקבל, וקצצו כל מה שהמשימה לא צריכה. בדקו אם יש שם מידע רפואי, פיננסי, שכר או מידע חסוי.
- מכל ספק קבלו בכתב את תקופת השמירה, אם המידע שלכם מאמן את המודלים שלו, איפה הוא מעובד והאם קיים נספח עיבוד מידע. השוו לנקודות של תקנה 15 שלמעלה.
- הודיעו לאנשים כשהם מדברים עם מערכת בינה מלאכותית (טיוטת הרשות, סעיף 6.3.1, רואה בכך חלק מהסכמה מדעת כשיש לכך השפעה מהותית על החלטתם), והעבירו לעורך דין את שאלת הבסיס החוקי לעיבוד לפני שעולים לאוויר.
מקורות
כל הדפים למטה נקראו ב-2026-10-07. ב-2026-10-28 בדקנו שוב אם להנחיית הרשות בנושא בינה מלאכותית יש גרסה סופית, ולא מצאנו.
- טיוטת הנחיה על תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית, הרשות להגנת הפרטיות, 28 באפריל 2025, נקרא ב-2026-10-07.
- גילוי דעת בנושא מינוי ממונה על הגנת הפרטיות לפי תיקון 13 (מאשר כניסה לתוקף ב-14 באוגוסט 2025), הרשות להגנת הפרטיות, 14 ביולי 2026, נקרא ב-2026-10-07.
- מדריך לתיקון 13, הרשות להגנת הפרטיות, נקרא ב-2026-10-07.
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, תקנה 15, נבו, נקרא ב-2026-10-07.
- מדריך מעשי לתקנה 15, הרשות להגנת הפרטיות, נקרא ב-2026-10-07.
- גילוי דעת בנושא תקנה 3 לתקנות העברת מידע אל מאגרים מחוץ למדינה, הרשות להגנת הפרטיות, 13 באוקטובר 2024, נקרא ב-2026-10-07.
- גילוי דעת בנושא תקנה 2(4) לתקנות העברת מידע אל מאגרים מחוץ למדינה, הרשות להגנת הפרטיות, 13 באפריל 2026, נקרא ב-2026-10-07.
- How long do you store my organization's data, Anthropic Privacy Center, עודכן ב-1 ביולי 2026, נקרא ב-2026-10-07.
- Commercial Terms, Anthropic, בתוקף מ-17 ביוני 2025, נקרא ב-2026-10-07.
- Data Processing Addendum, Anthropic, בתוקף מ-24 בפברואר 2025, נקרא ב-2026-10-07.
- Data controls in the OpenAI Platform, OpenAI, נקרא ב-2026-10-07.