כשהרגולטור כותב טיוטה, כדאי לקרוא אותה
באפריל 2025 פרסמה הרשות להגנת הפרטיות טיוטת הנחיה על שימוש במערכות בינה מלאכותית (Artificial Intelligence, AI) ועיבוד מידע אישי. הטיוטה לא הפכה לחוק מחייב. היא עדיין לא הנחיה סופית. אבל כל גורם שעושה שימוש ב-AI בארגונו ומתייחס אליה כאל "עוד מסמך מייעץ שיכול לחכות" עושה חשבון שגוי.
הסיבה פשוטה: רגולטורים לא כותבים טיוטות כדי להוציא אותן לאוויר ולהתעלם מהתגובות. הם כותבים טיוטות כי הם עומדים לפעול בתחום, רוצים תגובות מהשוק, ומחפשים את ניסוח הדרישות הסופיות. הטיוטה הזו מספרת לנו לאן הולכים.
מה כתוב שם: העקרונות המרכזיים
נקודת המוצא של הטיוטה: חוק הגנת הפרטיות חל על מערכות AI, גם בשלב אימון המודל וגם בשלב היישום. מכאן נגזרים העקרונות שהרשות מצפה שינחו כל ארגון שמשלב AI בעיבוד מידע אישי.
הראשון הוא שקיפות והסכמה מדעת. אדם שמידע אישי שלו מעובד על ידי מערכת AI צריך לדעת על כך. לא בסעיף 47 של מדיניות הפרטיות שאיש לא קורא. ידיעה ממשית, ברורה, בשפה מובנת. אם מערכת AI מקבלת החלטות שמשפיעות עליו, למשל בחיתום הלוואה, עדכון מחיר, או אפיון סיכון, הוא זכאי לדעת שזה קורה. הטיוטה מתייחסת גם לאיסוף מידע אוטומטי מהרשת (scraping) כעיבוד שטעון בסיס חוקי.
השני הוא מינימום מידע (Data Minimization). מערכות AI מאומנות על ביג-דאטה, ויש ל"בצורת הנתונים" פתרון פשוט: לאסוף יותר. הרשות אומרת את ההפך. המידע שמוזן למערכת AI צריך להיות המינימום שנחוץ למטרה, לא המקסימום שנוח לאסוף.
השלישי הוא אחריותיות, ובמרכזה תסקיר השפעה על הפרטיות (Data Protection Impact Assessment, DPIA). הטיוטה ממליצה לערוך תסקיר לפני הטמעת מערכת AI שמעבדת מידע אישי בהיקף נרחב, כדרך מיטבית לנהל את הסיכון. לא אחרי שהמערכת בפרודקשן ולקוחות כבר ביצעו פעולות, אלא לפני.
הרביעי הוא דיוק וזכויות. החלטות על סמך מידע שגוי הן החלטות שגויות; זכויות העיון והתיקון חלות גם כשהמידע יושב בתשתית של מודל, ותקנות אבטחת המידע חלות על המערכת במלואן.
מה נדרש מארגונים בפועל
שלושה דברים שכל ארגון שמשתמש ב-AI בעיבוד מידע אישי צריך לעשות כבר עכשיו, גם בלי שהטיוטה תהפוך למחייבת.
ראשית, יידוע. לעדכן את מדיניות הפרטיות כך שתפרט אילו מערכות AI מעבדות מידע אישי, לאיזו מטרה, ומה המשמעות עבור נושאי המידע. אם מחשב מקבל החלטות שמשפיעות על הלקוח, יש לציין זאת.
שנית, DPIA. חשוב לדייק: הדין הישראלי אינו קובע חובת תסקיר סטטוטורית גורפת, וגם הטיוטה מציגה אותו כדרך מיטבית מומלצת. אבל שילוב AI בעיבוד מידע אישי הוא בדיוק סוג הפרויקט שבו תסקיר לפי מתודולוגיית הרשות (עודכנה בדצמבר 2025) הוא הדרך המקצועית להוכיח אחריותיות, ומה שהרשות תצפה לראות בביקורת.
שלישית, מינימליזציה בפועל. לבחון את כל צינור איסוף הנתונים שמוזן למערכות ה-AI ולשאול: האם כל שדה נחוץ? האם ניתן להשיג את המטרה עם פחות מידע, עם מידע מצרפי, עם מידע מותמם (ללא פרטים מזהים)? השאלות האלה לא יוכרעו לבד. נדרש תהליך מסודר.
הקשר לרגולציה האירופית
הרשות הישראלית עוקבת בקפידה אחרי ה-GDPR האירופי והגופים הרגולטוריים של האיחוד. ה-AI Act האירופי, שנכנס לתוקף שלבי ב-2024-2026, מבסס מסגרת סיווג מערכות AI לפי רמת סיכון, עם חובות מוגברות לאפליקציות בסיכון גבוה.
ישראל אינה חברה באיחוד, אבל היא נהנית מהחלטת נאותות (Adequacy) של האיחוד האירופי להעברות מידע מה-EEA לישראל, החלטה שאושררה מחדש בינואר 2024. מעמד זה מחייב שמערכת הפרטיות הישראלית תמשיך להלך בקנה אחד עם הגישה האירופית. הטיוטה על AI היא חלק מהמאמץ לשמר את ההלימה הזו.
ארגונים ישראליים שמעבירים נתונים לאירופה ומקבלים נתונים משם, ובמיוחד חברות שיש להן לקוחות אירופאים, צריכים לדעת שהציות לדרישות הישראליות לגבי AI לא מחליף, אלא מצטרף לציות לדרישות האירופאיות.
הנסיבות המאיצות
יש שני גורמים שמאיצים את הנושא הזה, ושניהם אינם ממתינים לטיוטה להפוך למחייבת.
הראשון הוא הרכש הטכנולוגי של ארגונים ישראליים. בשנים האחרונות רכישת כלי AI הפכה לדפוס נפוץ בארגונים מכל הגדלים. הרוב לא ביצעו סקירה משפטית של אופן עיבוד המידע בתוך הכלים האלה. ספקית ה-AI מעבדת את הנתונים לפי תנאי השימוש שלה, ומי שרכש את הכלי לא תמיד יודע מה בדיוק קורה עם המידע של לקוחותיו.
השני הוא החלטות אוטומטיות. ככל שארגונים מאמצים AI לתהליכי קבלת החלטות, גדל הסיכון לקבלת החלטה אוטומטית שנושא המידע לא ידע עליה ולא יכול היה לערער עליה. זה תחום שהרשות הישראלית, כמו הגופים האירופאיים, מתייחסת אליו ברצינות גוברת.
מה לעשות עכשיו
תקופת ההערות על הטיוטה הסתיימה מזמן, וההנחיה טרם פורסמה בנוסח סופי. אבל הרשות לא עצרה: ביולי 2026 היא פרסמה המלצות לשימוש בטוח בסוכני AI (9.7.2026), איתות נוסף לכיוון שאליו הולכים. מי שממתין להנחיה סופית כדי להתחיל, פשוט מתחיל באיחור.
ולכן, כבר עכשיו: לעצור, לסרוק אילו מערכות AI מעבדות מידע אישי בארגון, ולשאול אם בחנתם את הסיכונים של כל אחת מהן. לא מדובר בבירוקרטיה. מדובר בשאלה שהרשות תשאל כשתבצע ביקורת.
מי שמחכה שהטיוטה תהפוך להנחיה מחייבת לפני שיתחיל לחשוב, ייתן לעצמו פחות זמן לבצע שינויים מהותיים. הרגולציה לא ממתינה לאיש.