פרטיות, בינה מלאכותית והכללים שחלים

חברה שווייצרית שמשתמשת בבינה מלאכותית פועלת תחת חוק הגנת המידע של המדינה שלה כבר מהפרומפט הראשון שמכיל שם. אם היא משרתת אנשים באיחוד האירופי, גם ה־GDPR וחוק ה־AI של האיחוד האירופי (AI Act) נכנסים לתמונה. השנה כמה מהכללים האלה זזו.

הסיכון הגדול יותר הוא לעיתים קרובות הרגל, לא חוק. המחקר של IBM על פריצות מידע מ־2025 מצא שאחד מכל חמישה ארגונים חווה פריצה שקשורה ל"בינה מלאכותית בצל" (shadow AI), הכלים שעובדים משתמשים בהם בלי אישור, ושרמה גבוהה של שימוש כזה הוסיפה בממוצע 670,000 דולר לעלות של פריצה. מבין הארגונים שחוו פריצה למודל או לאפליקציה של בינה מלאכותית, ל־97 אחוזים לא היו בקרות גישה מתאימות לבינה מלאכותית.

הנה מצב הכללים באוקטובר 2026, ומה חברה זהירה עושה. זו סקירה, לא ייעוץ משפטי.

שווייץ: החוק כבר חל

לשווייץ עוד אין חוק בינה מלאכותית, אבל הבינה המלאכותית אינה בלתי מוסדרת. חוק הגנת המידע השווייצרי המתוקן (FADP) חל מאז 1 בספטמבר 2023, והממונה הפדרלי על הגנת המידע והשקיפות, ה־FDPIC, אומר מאז נובמבר 2023, ושוב במאי 2025, שהוא חל ישירות על עיבוד מידע אישי בסיוע בינה מלאכותית.

ה־FDPIC מצפה לשקיפות לגבי המטרה, אופן הפעולה ומקורות הנתונים של עיבוד בבינה מלאכותית. לאנשים יש זכות לדעת אם הם מתנהלים מול מכונה, ואם מה שהם מזינים משמש לשיפור המערכת. עיבוד בסיכון גבוה מחייב תסקיר השפעה על הגנת המידע, ופנים, תמונה או קול של אדם שניתן לזהות שעברו מניפולציה חייבים תמיד להיות מסומנים בבירור. הממונה מציין זיהוי פנים מקיף בזמן אמת ודירוג חברתי כאסורים.

הוא מיישם את זה גם על הפלטפורמות הגדולות. במרץ 2025 הוא סגר בדיקה מקדמית בעניין השימוש בפוסטים ב־X לאימון Grok, וציין שמשתמשים יכולים להתנגד.

מסגרת ייעודית בדרך. המשרד הפדרלי למשפטים ולמשטרה מנסח הצעת חוק להתייעצות ציבורית עד סוף 2026, ליישום אמנת מועצת אירופה בנושא בינה מלאכותית, עם דגש על שקיפות, הגנת מידע, אי־הפליה ופיקוח.

חוק ה־AI של האיחוד האירופי, אחרי האומניבוס

חוק ה־AI של האיחוד האירופי נכנס לתוקף ב־1 באוגוסט 2024 וחל בשלבים. האיסור על פרקטיקות אסורות וחובת האוריינות בבינה מלאכותית חלים מאז 2 בפברואר 2025, והחובות למודלים לשימוש כללי מאז 2 באוגוסט 2025. רוב החוק חל מ־2 באוגוסט 2026, כולל כללי השקיפות: יש ליידע אנשים כשהם מדברים עם צ׳אטבוט, ויש לסמן דיפפייקים.

האומניבוס הדיגיטלי לבינה מלאכותית, תקנה (EU) 2026/1744, נכנס לתוקף ב־27 ביולי 2026. הוא מזיז את הכללים למערכות בסיכון גבוה: מערכות שמשמשות בתחומים כמו ביומטריה, חינוך ותעסוקה כפופות לחובות שלהן מ־2 בדצמבר 2027, ומערכות שמובנות במוצרים מפוקחים, כמו מעליות או צעצועים, מ־2 באוגוסט 2028. הוא גם אוסר, מדצמבר 2026, בינה מלאכותית שמייצרת תמונות מיניות של אנשים בלי הסכמתם או חומרי התעללות מינית בילדים, ומרחיב תיעוד פשוט יותר גם לחברות בינוניות קטנות (small mid caps).

לרוב החברות שמשתמשות בבינה מלאכותית ולא בונות אותה, הדחייה משנה מעט. חובות השקיפות והאוריינות חלות כבר עכשיו. הזמן הנוסף נועד למערכות שמחליטות לגבי אנשים, למשל מי מתקבל לעבודה.

ה־GDPR, ורפורמה שאינה חוק

ה־GDPR עצמו לא השתנה. בדצמבר 2024 פרש הוועד האירופי להגנת מידע את האופן שבו הוא קורא אותו לגבי מודלי בינה מלאכותית. מודל שאומן על מידע אישי נחשב לאנונימי רק אם זיהוי אנשים דרכו, ישירות או באמצעות שאלות שמופנות למודל, הוא מאוד לא סביר, וזה נבחן כל מקרה לגופו. אינטרס לגיטימי משמש בסיס חוקי רק כשהעיבוד הכרחי לחלוטין ואיזון הזכויות מתקיים. ומודל שנבנה על מידע שעובד שלא כדין יכול להשפיע על החוקיות של השימוש בו בהמשך, אלא אם עבר אנונימיזציה כראוי.

אומניבוס נפרד נועד להקל על חלקים מה־GDPR ומ־Data Act. ב־7 באוקטובר 2026 דחו שגרירי המדינות החברות את ההצבעה על עמדת המועצה אחרי שגרמניה וצרפת ביקשו עוד זמן, ובפגישה שלהם ב־11 באוקטובר הטקסט לא נדון ולא הועלה להצבעה. ברלין רוצה קטגוריה של בקרי מידע בסיכון נמוך, שתשחרר חברות קטנות וארגונים ללא מטרות רווח מחובות רבות. שום דבר מזה לא חל עדיין, ואנחנו מתכננים לפי ה־GDPR כפי שהוא כתוב היום.

חוזים והעברות

רוב הבינה המלאכותית בעבודה רצה דרך ספק שמעבד מידע אישי בשם החברה, והחוזה הוא המקום שבו הכללים של החברה חיים. הוא צריך לקבוע מה הספק רשאי לעשות עם פרומפטים וקבצים, כמה זמן הוא שומר אותם ואת היומנים שלו, באילו קבלני משנה הוא משתמש ואיפה, ומה קורה לנתונים בסוף. אם ספק אומר שהוא לא מאמן על הנתונים שלכם, מצאו את המשפט הזה בחוזה שחתמתם עליו.

נתונים שיוצאים משווייץ לארצות הברית צריכים בסיס חוקי. מאז 15 בספטמבר 2024, Swiss-US Data Privacy Framework מאפשר העברות לחברות אמריקאיות מאושרות בלי ערבויות נוספות, אז בדקו את האישור אצל כל ספק וכל קבלן משנה. המקבילה האירופית עמדה באתגר המשפטי הראשון נגדה בבית המשפט הכללי של האיחוד האירופי ב־3 בספטמבר 2025. הערעור, שהוגש ב־31 באוקטובר 2025, עדיין לא הוכרע, ככל הידוע לנו. דעו אילו מהכלים שלכם תלויים בהעברה לארצות הברית, ומה הייתם עושים במקום.

מה חברה זהירה עושה עכשיו

שום דבר מזה לא דורש תוכנית גדולה. הוא דורש רשימה, כמה החלטות ומישהו שאחראי עליהן.

הכינו את הרשימה: כל כלי בינה מלאכותית שבשימוש, הנתונים שנכנסים אליו, הספק, המדינה והחוזה. שאלו את הצוותים במה הם באמת משתמשים, לא מה אושר.

מיינו את הנתונים לציבוריים, פנימיים וחסויים, וכתבו בעמוד אחד איזה סוג מותר להכניס לאיזה כלי.

הציעו משהו טוב. בינה מלאכותית בצל גדלה במקום שבו הכלי המאושר גרוע מהכלי החינמי. עוזר מאושר שעובד מסיר את רוב הסיבות להדביק נתוני לקוחות בחשבון פרטי.

שלטו בגישה. כלי בינה מלאכותית מקבלים את אותם תפקידים, אותה התחברות ואותו תהליך עזיבה כמו כל מערכת אחרת. עוזר שיכול לקרוא הכול יראה את זה יום אחד לאדם הלא נכון.

ספרו לאנשים, והעריכו את המקרים המסוכנים. ציינו באתר כשלקוח מדבר עם מכונה, ובצעו את תסקיר ההשפעה לפני שבינה מלאכותית נוגעת במידע רגיש או מחליטה לגבי אנשים.

קבעו לזה בעלים. במחקר של Cisco מ־2026, לשלושה מכל ארבעה ארגונים היה גוף למשילות בינה מלאכותית, ורק 12 אחוזים הגדירו את שלהם כבשל. והשאירו אדם על כפתור השליחה: מה מותר לעשות עם הנתונים של מישהו זו שאלה של שיקול דעת, ושיקול הדעת נשאר בידי אנשים.

איך אנחנו בונים בהתאם

המוצרים שלנו פועלים לפי אותם כללים. Kontor כותב הצעות מחיר וחשבוניות ב־bexio ולא שומר שום דבר בעצמו: הנתונים נשארים ב־bexio, ושליחה, תשלומים ותזכורות תשלום נשארים בידי אדם.

Twin נותן לכל תפקיד רק את החלק במוח החברה שהוא צריך, וכל פעולת כתיבה מאומתת לפי משתמש. הוא רץ בשווייץ או באיחוד האירופי, או על החומרה של הלקוח עצמו, והנתונים אף פעם לא משמשים לאימון מודל ציבורי.

כשהנתונים לא יכולים לצאת מהחברה בכלל, Eigna, שבנתה השותפה שלנו Eigna Labs, רץ כמודל פרטי בענן של החברה עצמה או על השרתים שלה, ותוכנן בהתאם ל־GDPR ולחוק ה־AI של האיחוד האירופי.

הכללים ימשיכו לזוז. חברה שיודעת לאן הנתונים שלה הולכים יכולה לעמוד בהם.