הרשות להגנת הפרטיות ושימוש ב-AI בישראל - מה חשוב לדעת?

הרשות להגנת הפרטיות ושימוש ב-AI בישראל - מה חשוב לדעת?

מוקדם יותר השנה, פרסמה הרשות להגנת הפרטיות טיוטת הנחיה מקיפה המבהירה את תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית.

🍋- 🍸 האיזון המורכב בין הגנה על פרטיות לבין קידום חדשנות

ההנחיה עוררה דיון ציבורי סוער. מצד אחד עומדת חשיבות ההגנה על פרטיות הציבור בעידן שבו מערכות AI מסוגלות להסיק מידע רגיש ואינטימי על אנשים מתוך נתונים לכאורה תמימים.
מצד שני, ישנם חששות לגבי ההשפעה על יכולת החדשנות של חברות ישראליות ועל התחרותיות של המשק בזירה הגלובלית.

הביקורות מצביעה על הצורך להבחין בין סוגי מערכות AI שונות ורמות סיכון משתנות. דרישות מחמירות מדי עלולות גם לגרום לכך שמידע על אזרחים ישראלים לא ישמש לאימון מודלים גלובליים, מה שעלול להוביל למודלים שאינם מייצגים את האוכלוסייה הישראלית ואף מוטים או מפלים כלפיה.

מומחים מדגישים גם שטכניקות מקובלות להגנת פרטיות עשויות לא להתאים במדויק לכל סוגי מערכות ה-AI, ולעיתים אף לפגוע ביכולות ובאמינות של המודלים.

🎯 הדרישות המרכזיות של הרשות:

*הסכמה מדעת*
הארגון חייב להסביר את אופן פעולת מערכת ה-AI, מטרות השימוש, מקורות המידע הנוסף, והסיכונים הצפויים. במטרות מורכבות או בסיכון גבוה - נדרשת הסכמה אקטיבית ונפרדת (Opt-In).

*כריית נתונים מהרשת - אסור ללא הסכמת נושא המידע....*
ההנחיה אוסרת באופן מוחלט על כריית מידע אישי מהאינטרנט לצורך אימון מודלי AI ללא הסכמה מפורשת. הרשות קובעת שלא ניתן להסיק הסכמה מדעת מעצם פרסום מידע באינטרנט, ומפעילי פלטפורמות מחויבים לנקוט צעדים למניעת כריית נתונים מהאתרים שבניהולם.
בנוסף, הרשות הבהירה כי במערכות AI, הזכות לבקש תיקון מידע שגוי עשויה לחול גם על תיקון האלגוריתם עצמו.

*אחריותיות וממשל תאגידי מחייב*
הדירקטוריון וההנהלה חייבים לפקח על הציות, לקבוע מדיניות ארגונית, ולמנות DPO כנדרש בארגונים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר - תנאי שעשוי להתקיים בסבירות גבוהה באימון מודלי AI

.
*תסקיר השפעה על הפרטיות (DPIA) *
הרשות מדגישה כי עריכת תסקיר השפעה לפני שימוש במערכות AI היא הדרך המיטבית לוודא עמידה בדרישות החוק

.
*אבטחת מידע מותאמת*
מערכות AI מעוררות סיכונים ייחודיים כמו "מתקפות הסקה". נדרשים אמצעי אבטחה ייעודיים, סקרי סיכונים מותאמים, ומדיניות ברורה לשימוש בכלי AI חיצוניים.

💼 המלצות מיידיות לארגונים:
✅ מיפוי מלא של כלי AI בשימוש
✅ ביצוע DPIA למערכות בסיכון גבוה
✅ מינוי DPO 
✅ קביעת מדיניות מפורטת - תוך התחשבות באתגרים המעשיים
✅ עדכון מסמכי הסכמה והתאמתם לדרישות החדשות
✅ בחינת השלכות עסקיות ומשפטיות של הדרישות


⚖️ מה צפוי בהמשך?
עם כניסתו לתוקף של תיקון 13 לחוק, הרשות תוכל להטיל עיצומים כספיים משמעותיים. עם זאת, לאור המחלוקת הציבורית והביקורת, ייתכן שההנחיה הסופית תכלול שינויים או הבהרות.

🤔 השאלה המרכזית: איך למצוא את האיזון הנכון בין הגנה על פרטיות הציבור לבין קידום חדשנות והתחרותיות הכלכלית של ישראל?


האמור הוא על דעת הכותב, ואינו מהווה ייעץ משפטי