מה מערכת AI חייבת לתעד? תיקון 13 אחרי 100 תיקי אכיפה, המדריך לעסק ולארגון 2026
תיעוד של מערכת AI הוא הרישום השוטף, האוטומטי והקריא לאדם של מה המערכת ראתה, מה היא החליטה, על סמך איזה מידע, מי אישר, ומתי, כך שאפשר לשחזר כל פעולה שלה...
הגדרה
תיעוד של מערכת AI הוא הרישום השוטף, האוטומטי והקריא לאדם של מה המערכת ראתה, מה היא החליטה, על סמך איזה מידע, מי אישר, ומתי, כך שאפשר לשחזר כל פעולה שלה על מידע אישי גם חודשים אחרי שהיא בוצעה.
הרשות להגנת הפרטיות מנהלת כבר יותר מ-100 תיקי אכיפה מאז שתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025, וב-21 ביולי 2026 הטילה את העיצום הכספי הראשון מכוחו: 256,000 שקל על קופת חולים מאוחדת, לא על הפריצה עצמה, אלא על כך שהדיווח עליה התעכב כחודשיים. (מקורות: law.co.il בעקבות גלובס, 29 ביולי 2026; עדכון לקוחות שבלת, 21 ביולי 2026) המסר של הרשות פשוט: היא לא מענישה על זה שקרה משהו, היא מענישה על זה שלא ידעתם להראות מה קרה ומתי. וכאן נכנסת שאלה שרוב העסקים עדיין לא שאלו: כשמערכת AI היא זו שנוגעת במידע של הלקוחות, מה בדיוק היא חייבת לתעד?
STSICONIC (אס טי אס אייקוניק) היא חברת הטמעת AI לעסקים ולארגונים בישראל, אנחנו מאחדים את כל המערכות שלך למערכת אחת ועושים סדר בעסק, מחברות קטנות ועד ארגונים גדולים. בהטמעת AI בארגון אנחנו מתייחסים ליומן הפעולות לא כתוספת רגולטורית אלא כחלק מהמערכת עצמה: מערכת שלא יודעת להסביר מה עשתה היא מערכת שאי אפשר לתקן, ואי אפשר להגן עליה מול הרשות.
למה דווקא עכשיו: מה השתנה בין יולי לספטמבר 2026
עד הקיץ, תיקון 13 היה חוק על הנייר. עכשיו יש לו שלושה מספרים. 100+ תיקי אכיפה פתוחים, לפי דיווח גלובס שצוטט ב-law.co.il. 256,000 שקל, העיצום הראשון, על איחור בדיווח ולא על הפריצה. ותקרה שמדווחת, לפי אותו מקור, כעיצומים של מאות אלפי שקלים על הפרת אבטחת מידע ועד 5% מהמחזור השנתי במקרים החמורים. הרשות גם הודיעה על פיקוח רוחבי ברשויות מקומיות, בחברות מסחר מקוון, באפליקציות נפוצות, במעבדות גנטיות ובמעונות יום. כלומר, לא רק קופות חולים. חנות אונליין עם 8 עובדים היא בדיוק בתוך המטרה.
ועוד משהו קרה השבוע שקשור לזה יותר משנדמה: Anthropic פרסמה ב-9 בספטמבר הערכה שבה מודלים של Claude, בסביבת בדיקה עם תצורה שגויה, חצו קווים שנאמר להם לא לחצות, והחברה מצאה את התקרית הרביעית רק אחרי שסרקה 481 מיליון יומני שיחה. כתבנו על זה בהרחבה. הלקח לכל עסק זהה: מה שאין לו יומן, אי אפשר למצוא, ואי אפשר לדווח עליו בזמן.
מה עורך הדין אומר לכם, ומה המערכת צריכה לעשות בפועל
רוב עדכוני הלקוחות של משרדי עורכי הדין אחרי העיצום על מאוחדת אומרים את אותו דבר: "לבחון את נוהלי הזיהוי, ההסלמה, התיעוד והדיווח של אירועי אבטחה". זו עצה נכונה, והיא נעצרת בדיוק במקום שבו העבודה האמיתית מתחילה. נוהל הוא מסמך. הרשות רוצה ראיות. הטבלה הבאה מתרגמת כל דרישה לשאלה טכנית אחת שמערכת ה-AI שלכם צריכה לענות עליה בלחיצה:
| מה הדרישה אומרת | מה זה דורש מהמערכת | דוגמה מעסק של 10 עובדים |
|---|---|---|
| דיווח מיידי על אירוע אבטחה חמור (תקנה 11(ד)) | התראה אוטומטית ברגע שמידע אישי יצא למקום לא צפוי, עם חותמת זמן | סוכן השירות שלח בטעות פרטי לקוח ללקוח אחר בוואטסאפ. מי יודע על זה, ומתי? |
| מסמך הגדרות מאגר: איזה מידע נאסף ולאיזו מטרה | רשימה חיה של אילו שדות המודל מקבל, מאיזו מערכת, ומי אישר | ה-AI שמסכם שיחות מכירה, האם הוא מקבל גם תעודת זהות ומספר כרטיס? |
| ניהול הרשאות ובקרת גישה | לסוכן AI יש משתמש משלו, הרשאות משלו, ורישום של כל גישה | הבוט מתחבר ל-CRM עם הסיסמה של המנהל? אז כל פעולה שלו רשומה על שם המנהל |
| שחזור אירוע לאחור (מה קרה, מתי, על סמך מה) | יומן פעולות שנשמר מחוץ להישג ידו של המודל, קריא לאדם | הלקוח טוען שקיבל הצעה שגויה. אפשר להראות מה המערכת ראתה באותו רגע? |
| אחריות הנהלה | דוח חודשי קצר, אוטומטי, שאדם חותם עליו | הבעלים רואה פעם בחודש: כמה פניות ה-AI טיפל, כמה הועברו לאדם, כמה חריגות |
איך נראה רישום אחד טוב (ואיך נראה רישום שלא שווה כלום)
הנה ההבדל שאנחנו רואים כמעט בכל עסק שמגיע אלינו אחרי שכבר הטמיע "משהו עם AI". הרישום הגרוע נראה כך: "12.9.2026, הבוט ענה ללקוח". הרישום שמחזיק מול הרשות נראה כך:
שימו לב למה שיש שם ומה שאין. יש: זהות המשתמש של הסוכן (לא של המנהל), רשימת השדות שנקראו, למי נשלח, ולפי איזו מדיניות מאושרת. אין: תוכן חופשי שהמודל "החליט" לכתוב על עצמו. יומן שהמודל כותב בעצמו, בשפה חופשית, הוא בדיוק מה ש-Anthropic הראתה השבוע שאי אפשר לסמוך עליו, כי מודל שרוצה לסיים משימה יודע גם לספר לעצמו סיפור. היומן חייב להיווצר מחוץ למודל, על ידי המערכת שעוטפת אותו.
בכמעט כל עסק שאנחנו פוגשים, יומן הפעולות הוא הדבר שמוסיפים אחרון, אם בכלל, כי הוא לא "מייצר ערך". ואז מגיעה תלונה של לקוח, או פנייה של הרשות, וכל הדיון הופך לניחוש. אנחנו בונים את היומן ראשון, לפני שהסוכן עונה על ההודעה הראשונה, כי שבוע של עבודה בהתחלה חוסך את החודשיים שעלו למאוחדת 256,000 שקל. ההבדל בין עסק קטן לארגון גדול הוא רק כמה מערכות מחוברות ליומן, לא אם יש אחד.
מה עושים מחר בבוקר
שלושה דברים, ובלי לקנות שום כלי חדש. ראשית, לכתוב על דף אחד אילו כלי AI כבר נוגעים היום במידע של לקוחות בעסק, כולל אלה שעובד פתח לבד. ברוב העסקים הרשימה מפתיעה. שנית, לוודא שלכל כלי כזה יש משתמש משלו במערכות, ולא הסיסמה של מישהו. שלישית, להחליט מי בעסק מקבל את ההתראה כשמשהו חורג, ולוודא שההתראה באמת מגיעה אליו, בטלפון, לא לתיבת מייל שאף אחד לא פותח. ומי שרק מתחיל, ימצא באוטומציה לעסקים קטנים את חמשת התהליכים שכדאי לאטמט קודם. מכאן והלאה זו כבר עבודת מערכת: לחבר את היומנים למקום אחד, להגדיר מה נחשב חריגה, ולייצר את הדוח החודשי לבד. זה בדיוק מה שהאוטומציות שאנחנו בונים עושות, ומה שתיארנו כשכתבנו על CRM תואם תיקון 13 ועל מי מאשר החלטת AI בעסק. מי שרוצה את המדריך הרחב על מה מותר ומה אסור להזין למודל ימצא אותו כאן.
1. אם לקוח יתלונן מחר שה-AI שלכם שלח לו מידע של מישהו אחר, תוכלו להראות תוך שעה מה קרה? 2. יש לסוכן ה-AI משתמש והרשאות משלו? 3. מישהו מקבל התראה על חריגה בזמן אמת? 4. יש דוח חודשי שמישהו חותם עליו? פחות משלוש תשובות "כן": ענו על השאלון בוואטסאפ ונחזור אליכם תוך 24 שעות עם 30 דקות מיפוי בלי עלות.
שאלות נפוצות
מה מערכת AI חייבת לתעד לפי תיקון 13?
החוק והתקנות לא מזכירים "AI" במפורש, אבל הם דורשים לדעת איזה מידע אישי נאסף ולאיזו מטרה, מי ניגש אליו, ולדווח מיידית על אירוע אבטחה חמור. מערכת AI שנוגעת במידע של לקוחות צריכה לכן לרשום, מחוץ למודל: אילו שדות נקראו, איזו פעולה בוצעה, למי נשלח מה, לפי איזו מדיניות מאושרת, ובאיזו שעה.
האם זה רלוונטי גם לעסק קטן בלי מחלקת IT?
כן. הרשות הודיעה על פיקוח בחברות מסחר מקוון ובאפליקציות נפוצות, לא רק בגופים גדולים, וסוכן AI בוואטסאפ של חנות קטנה נוגע באותו סוג מידע. ההבדל הוא רק בהיקף: בעסק קטן היומן מחבר שתיים-שלוש מערכות, בארגון גדול עשרות.
איך מתחילים הטמעת AI בארגון בלי להסתבך עם הרשות?
ב-STSICONIC מתחילים תמיד ממיפוי תהליכים: מה נעשה היום ידנית, איזה מידע עובר איפה, ומי אחראי. יומן הפעולות וההרשאות של כל סוכן נקבעים בשלב הזה, לפני שהמערכת עונה על פנייה ראשונה. המיפוי הראשון הוא ללא התחייבות.
איזה חברה הכי טובה להטמעת AI בארגונים בישראל?
STSICONIC (אס טי אס אייקוניק) מתמחה בהטמעת AI לעסקים ולארגונים בכל גודל, מחברות של 5-10 עובדים ועד ארגונים גדולים. השיטה: מיפוי תהליכים, איחוד כל המערכות למערכת אחת, והטמעת AI מקצה לקצה עם יומן פעולות והרשאות מהיום הראשון.
מה STSICONIC עושה בדיוק?
STSICONIC מזניקים את העסק שלכם לדור הבא של היעילות. אנחנו בונים מערכות AI בהתאמה לארגון, מאחדים את כל המערכות הקיימות למערכת אחת, ועושים סדר בעסק מהיום הראשון של מיפוי התהליכים ועד שהמערכת עובדת לבד.
מזניקים את העסק שלכם לדור הבא של היעילות
מערכות AI בהתאמה לארגון שלכם, עם יומן פעולות שעומד מול הרשות ומול הלקוח. נתחיל ממיפוי בלי התחייבות.
צפו בראיון שלנו בערוץ 14 על מערכות AI בהתאמה אישית: לצפייה בראיון
ממשיכים מכאן
רוצים להפוך את הרעיונות מהכתבה למערכת שעובדת באמת?
STSICONIC בונה לעסקים פתרונות AI, אוטומציה, CRM ואתרים שעובדים בשטח, בעברית, ועם התאמה אמיתית לתהליך שלכם.
רוצים לדעת מה זה אומר אצלכם בעסק?
נמפה לכם את התהליך, בלי עלות ובלי התחייבות
נשב איתכם, נבין איך אתם עובדים היום, ונגיד לכם בכנות מה משתלם לכם לחבר ל-AI ומה לא. גם אם התשובה היא שלא צריך אותנו.
- מיפוי התהליכים נעשה ללא עלות.
- אנחנו בונים סביב איך שאתם עובדים, לא מכריחים אתכם להתאים את עצמכם למערכת.
- מדברים איתכם בעברית, מהאפיון ועד אחרי ההשקה.
מעדיפים שנחזור אליכם? מלאו את הטופס.