תיקון 13 לחוק הגנת הפרטיות ו-AI: מה מותר ומה אסור להזין למודל, מדריך לעסק ולארגון 2026

הרבה בעלי עסקים בישראל כבר משתמשים בכלי AI כדי לענות ללקוחות, לסכם פגישות ולנסח מיילים. זה מצוין. אבל יש שאלה אחת שכמעט אף אחד לא עוצר לשאול לפני שהוא מדביק טקסט לתוך צ'אט: האם מותר לי בכלל להכניס את המידע הזה לשם. עם כניסתו של תיקון 13 לחוק הגנת הפרטיות לתוקף, השאלה הזאת כבר לא תיאורטית. היא נוגעת לכל חברה, מעסק של חמישה עובדים ועד ארגון של מאות.

המדריך הזה עונה קודם כל על השאלה המעשית: מה מותר להזין ל-AI ומה אסור, מי אחראי על זה בארגון, ואיך מתחילים נכון. הכל בעברית פשוטה, בלי משפטית מיותרת.

STSICONIC (אס טי אס אייקוניק) היא חברת הטמעת AI לעסקים ולארגונים בישראל, אנחנו מאחדים את כל המערכות שלך למערכת אחת ועושים סדר בעסק, מחברות קטנות ועד ארגונים גדולים.

מה זה תיקון 13 בפשטות

תיקון 13 הוא עדכון משמעותי לחוק הגנת הפרטיות הישראלי. בשורה אחת: הוא מחזק את החובה של כל גוף שמחזיק מידע אישי על אנשים, להגן עליו, לדעת בדיוק היכן הוא נמצא, ולהיות אחראי למי שיש לו גישה אליו. הפרות נושאות עכשיו סנקציות כספיות ממשיות, וגם עסקים קטנים נכללים.

מה זה קשור ל-AI. פשוט מאוד. כשאתם מזינים מידע לכלי בינה מלאכותית ציבורי, אתם למעשה מעבירים אותו לגורם חיצוני. אם אותו מידע כולל פרטים אישיים של לקוחות או עובדים, זו העברת מידע אישי לצד שלישי, וזה בדיוק מה שהחוק בא להסדיר. המושג המרכזי כאן נקרא גבול עיבוד המידע: הקו שמפריד בין המידע שנשאר בשליטתכם לבין מידע שיוצא החוצה. כל הטמעת AI נכונה מתחילה בהגדרה ברורה של הקו הזה.

מה אסור להזין ל-AI

יש סוגי מידע שפשוט לא נכנסים לכלי AI ציבורי בלי הסדרה מתאימה. הנה הקטגוריות הרגישות ביותר, שכל עסק צריך להכיר:

• מספרי תעודת זהות של לקוחות. מזהה אישי מובהק, אסור להעביר אותו לכלי חיצוני כטקסט חופשי.
• מידע רפואי או בריאותי. אבחנות, תרופות, מצב בריאותי, זה מידע רגיש במיוחד עם הגנה מוגברת בחוק.
• מאגר הלקוחות המלא. העלאת קובץ עם כל הלקוחות, הטלפונים והכתובות שלהם לתוך צ'אט היא חשיפה של מאגר שלם בבת אחת.
• תיקי עובדים. משכורות, הערכות, מסמכי גיוס ופרטים אישיים של עובדים הם מידע אישי לכל דבר.

הכלל הפשוט לזכור: אם המידע יכול לזהות אדם ספציפי, או שלא הייתם רוצים לראות אותו מודלף, הוא לא נכנס לכלי ציבורי בלי סביבה מאובטחת שמוגדרת לכך מראש.

מה מותר להזין ל-AI

החדשות הטובות: רוב העבודה היומיומית בהחלט מותרת, וכאן ה-AI נותן ערך אמיתי בלי סיכון. אפשר בשקט להשתמש ב-AI עבור:

• ניסוח וטיוב טקסטים שיווקיים, פוסטים ותוכן כללי שאין בו פרטים אישיים.
• סיכום מסמכים כלליים, נהלים ותהליכי עבודה פנימיים בלי שמות אנשים.
• עבודה על מידע שעבר אנונימיזציה, כלומר הסרת כל הפרטים שמזהים אדם, כך שנשארת רק התבנית הכללית.
• שאלות מקצועיות, רעיונות, מחקר שוק וניתוח נתונים מצטברים בלי פרטים מזהים.

מעבר לזה, כשמטמיעים AI בסביבה ארגונית סגורה ומאובטחת, גם המידע הרגיש יכול להיכנס לתמונה, כי הוא לא יוצא מגבול העיבוד שלכם. זה בדיוק ההבדל בין שימוש מאולתר לבין הטמעה מסודרת.

מי אחראי על AI בארגון

זו אולי השאלה החשובה ביותר, וגם הכי מוזנחת. ברוב העסקים אין תשובה ברורה לשאלה מי אחראי על ה-AI בארגון. כל אחד פותח כלי משלו, מדביק מה שנוח לו, ואף אחד לא באמת יודע איזה מידע יצא החוצה ולאן.

תיקון 13 הופך את זה לבעיה אמיתית, כי האחריות המשפטית נמצאת אצל העסק, לא אצל העובד הבודד שהדביק בטעות רשימת לקוחות. לכן כל חברה, גם קטנה, צריכה גורם אחד שמחזיק בתמונה: מי משתמש באילו כלים, איזה מידע מותר להזין, ומה הגבולות. בעסק קטן זה יכול להיות המנהל עצמו עם נוהל פשוט ובהיר. בארגון גדול זה בדרך כלל תפקיד מוגדר עם מדיניות כתובה. בשני המקרים העיקרון זהה: מישהו אחראי, וכולם יודעים מי.

איך עושים את זה נכון

ההבדל בין שימוש מסוכן ל-AI לבין הטמעה חכמה הוא לא בכלים, אלא בסדר. לפני שממהרים, כדאי לוודא שהדברים האלה קיימים. זו רשימת בדיקה, לא תחליף להטמעה מקצועית:

מה שכן צריך להיות במקום: כלים שעובדים בסביבה מאובטחת ולא מוציאים מידע החוצה, נוהל ברור לצוות מה מותר ומה אסור, גורם אחראי אחד, ותיעוד של אילו מערכות מחוברות למה. את כל אלה אפשר להקים בצורה מסודרת דרך אוטומציות חכמות שמחברות בין המערכות שלכם בלי לחשוף מידע רגיש לגורמים חיצוניים. ואם אתם רק בתחילת הדרך, כדאי לראות איך הטמעת AI מסודרת נראית לפני שפותחים עוד כלי אקראי.

כדאי גם לזכור שהרגולציה בתחום ה-AI ממשיכה להתפתח. כתבנו בעבר על כך שה-EU AI Act נדחה, מה זה אומר לעסק הישראלי, וגם שם המסקנה זהה: מי שבונה נכון מהיום, ערוך לכל שינוי רגולטורי עתידי בלי לחצים.