כאשר AI ופרטיות מתנהלים בנפרד – הסיכונים דווקא נפגשים!

כולם רוצים AI.
ההנהלה רוצה התייעלות.
העובדים רוצים לקצר עבודה.
אנשי הטכנולוגיה רוצים להטמיע כלים חדשים.
ואז, רגע לפני העלייה לאוויר, מישהו נזכר לשאול: מה עם הפרטיות?

בארגונים רבים  AI והגנת פרטיות מנוהלים כשני תחומים נפרדים.

אנשי הטכנולוגיה בוחרים מערכת.
הרכש מתקשר עם הספק.
אבטחת המידע בודקת סיכוני סייבר.
היועץ המשפטי בוחן את ההסכם.
ה-DPO (ממונה הגנת הפרטיות) מקבל את המידע בסוף.

אבל המידע לא מכיר את המבנה הארגוני.

המידע זורם בין המערכות, המחלקות והספקים. הוא כולל מידע על לקוחות, עובדים, מועמדים, ספקים ולעיתים גם מידע רגיש במיוחד.

לכן אי אפשר לנהל AI בלי לנהל את המידע שמזין אותו.

הבעייה אינה רק דליפת מידע.

כשעובד מזין מסמך למערכת AI, השאלה אינה רק אם המסמך עלול לדלוף.

צריך לשאול גם:

האם מותר להשתמש במידע למטרה הזאת?
האם המערכת שומרת את המידע?
האם הספק משתמש בו לאימון המודל?
האם אפשר למחוק אותו?
מי רשאי לראות אותו?
האם התוצאה תשפיע על עובד, מועמד או לקוח?

אלה אינן רק שאלות משפטיות.

אלה שאלות של תהליך, אחריות וניהול סיכונים.

כשה-DPO נכנס מאוחר, הוא נתפס כמי שעוצר את החדשנות.

התסריט מוכר.

הארגון כבר בחר מערכת.
נחתם הסכם.
העובדים התחילו לעבוד.
מידע כבר הוזן.

רק אז פונים ל-DPO ושואלים אם השימוש תקין.

בשלב הזה, כל הערה נשמעת כמו התנגדות. כל דרישה נראית כמו עיכוב. אם נדרש לעצור את השימוש, קל להאשים את ממונה הגנת הפרטיות.

אבל ממונה הגנת הפרטיות אינו הבעיה.

הבעיה היא שהזמינו אותו מאוחר מדי.

כאשר ה-DPO  שותף כבר בשלב הגדרת הצורך, אפשר לבחור כלי מתאים יותר, לצמצם את המידע המוזן, לקבוע הרשאות ולדרוש מהספק תנאים נכונים.

הגנת פרטיות שמתוכננת מראש אינה מעכבת חדשנות. היא מונעת מהארגון לגלות מאוחר מדי שהמערכת שבחר אינה מתאימה.

מדיניות AI אינה מספיקה.

לא מעט ארגונים כבר כתבו לעובדים: אין להזין מידע אישי או סודי למערכות AI.

נשמע טוב.

אבל מה העובד אמור לעשות עם מסמך שיש בו שמות?
האם מותר למחוק את השמות ולהעלות אותו?
מה לגבי תמלול פגישה?
מה לגבי קורות חיים?
מי מאשר מערכת חדשה?
ומי בכלל יודע באילו כלים העובדים משתמשים?

מדיניות כללית אינה תחליף לתהליך עבודה.

ארגון שרוצה להשתמש ב-AI  באופן אחראי צריך להגדיר:

• באילו מערכות מותר להשתמש;
• איזה מידע אסור להזין;
• מי מאשר כלי חדש;
• איך בודקים ספק;
• מתי נדרשת הערכת סיכונים;
• אילו תוצאות מחייבות בקרה אנושית;
• כיצד מדווחים על טעות או שימוש לא תקין.

בלי כל אלה, המדיניות נשארת מסמך יפה בתיקייה.

תפקיד ה-DPO (ממונה הגנת הפרטיות) בהקשר זה?

תפקיד ה-DPO הוא לשאול את השאלות שאחרים עלולים לפספס:

מה קורה למידע האישי?
האם השימוש מידתי?
האם האדם יודע כיצד משתמשים במידע עליו?
האם ניתן להסביר החלטה שהתקבלה בעזרת המערכת?
מה עלול לקרות אם המערכת טועה?

ה- DPO מביא לחדר את נקודת המבט של האדם שנמצא מאחורי הנתונים.

לכן ה-DPO צריך להיות חלק מהתהליך ולא תחנה אחרונה בדרך לאישור.

לא עוד תהליכים נפרדים

שימוש אחראי ב- AI מחייב שיתוף פעולה בין מנהל התהליך, הטכנולוגיה, אבטחת המידע, הפרטיות, הייעוץ המשפטי, הרכש וההנהלה.

כל אחד רואה סיכון אחר:

מנהל התהליך בוחן אם הכלי באמת פותר בעיה.
איש הטכנולוגיה בוחן כיצד הוא עובד.
אבטחת המידע בוחנת חשיפות והרשאות.
ה-DPO בוחן את השימוש במידע ואת ההשפעה על אנשים.
הייעוץ המשפטי והרכש בוחנים את הספק ואת ההתחייבויות.
ההנהלה מחליטה איזה סיכון היא מוכנה לקבל.

לא חייבים שכל הידע יהיה בתוך הארגון.

אבל חייב להיות גורם שמחבר בין התחומים.

לפני שמאשרים מערכת AI,  עוצרים ושואלים

איזו בעיה אנחנו מנסים לפתור?
איזה מידע יוזן למערכת?
למי המידע שייך?
מה הספק עושה בו?
מה עלול להשתבש?
האם קיימת בקרה אנושית?
ומי אחראי אם התוצאה שגויה?

רק לאחר מכן מתחילים בפיילוט, מגדירים בקרות ובוחנים את השימוש מחדש לאורך הדרך.

הסיכון הגדול הוא שימוש ב-AI ללא ניהול

איסור גורף על AI לא יעבוד.

העובדים ימצאו כלים, יפתחו חשבונות ויעלו מידע, לעיתים בלי שהארגון ידע.

אבל גם שימוש חופשי אינו חדשנות. זהו פשוט סיכון לא מנוהל.

דרוש חיבור אחראי בין הדיסציפלינות שמייצר ערך.

כי AI הוא לא רק טכנולוגיה.
AI הוא תהליך.
AI הוא מידע.
AI משפיע על אנשים.

כאשר מנהלים נכון, הגנת הפרטיות אינה בלם. היא חלק בלתי נפרד מהתכנון, מההטמעה ומהניהול השוטף.

הגנת הפרטיות מאפשרת לארגון להשתמש ב-AI בביטחון.

רוצים לוודא שהגנת הפרטיות אצלכם אינה נשארת על הנייר?

דברו איתי! אורנה קמין, orna.kamin@gmail.com, 0537739018

ב-OK יועצים לניהול אנו מסייעים לארגונים בשני מסלולים משלימים:

פרויקט ציות להגנת הפרטיות – ליישור קו, מיפוי פערים, בניית תשתית ניהולית ותיקון נקודות חשיפה מרכזיות.

 DPO כשירות – לליווי שוטף, מעורבות בהחלטות, מענה מקצועי, ניהול סיכונים והטמעת פרטיות בתוך תהליכי העבודה.