AI Governance: לדעת איזה AI פועל אצלכם, מי אחראי עליו ומה עלול להשתבש

למי זה מתאים

• ארגון שמפעיל או מתכנן מערכות AI שנוגעות במידע אישי של לקוחות או של עובדים.
• חברה שמוכרת ללקוחות באירופה מוצר שיש בו AI, וצריכה לברר אם EU AI Act חל עליה ובאיזו מידה.
• ארגון בתחום מפוקח (פיננסים, ביטוח, בריאות, מגזר ציבורי) שהרגולטור או הביקורת הפנימית שלו כבר שואלים על שימוש ב-AI.
• חברת תוכנה שלקוחות גדולים שולחים לה שאלוני ספקים עם סעיף על AI.
• הנהלה שרוצה תמונה אחת ברורה במקום החלטות נקודתיות של כל מחלקה.

הרקע הרגולטורי, בקצרה

בישראל אין חוק AI כללי. המדיניות הרשמית מעדיפה הסדרה לפי תחום, כך שכל רגולטור מטפל ב-AI בתחום שלו. על כל ארגון שמעבד מידע אישי חל חוק הגנת הפרטיות: תיקון 13 נכנס לתוקף ב-14 באוגוסט 2025 והרחיב מאוד את סמכויות האכיפה של הרשות להגנת הפרטיות, ולצדו חלות תקנות הגנת הפרטיות (אבטחת מידע). מערכת AI שמעבדת מידע אישי כפופה להם כמו כל מערכת אחרת.

EU AI Act חל גם על חברות מחוץ לאיחוד, אם הן מציעות מערכת AI בשוק האירופי או אם התוצרים שלה משמשים באיחוד. החובות בו נכנסות לתוקף בשלבים ותלויות ברמת הסיכון של המערכת: חלק מהשימושים אסורים, מערכות בסיכון גבוה כפופות לדרישות של תיעוד, ניהול סיכונים ופיקוח אנושי, ולמערכות אחרות יש בעיקר חובות שקיפות.

כמסגרת עבודה אנחנו נשענים על תקנים מוכרים כמו ISO/IEC 42001 (מערכת ניהול ל-AI) ו-NIST AI RMF. הם לא חובה בישראל, אבל הם נותנים שפה משותפת מול לקוחות ומבקרים.

מה מקבלים בסוף

• מרשם מערכות AI: כל מערכת, הספק, המודל, מקורות המידע, בעל התפקיד האחראי ומי משתמש בה, כולל כלים שעובדים הכניסו בלי תהליך רכש.
• סיווג סיכונים: רמת סיכון לכל מערכת עם נימוק, לפי ההשפעה על אנשים, סוג המידע ומידת האוטונומיה של המערכת.
• AIBOM (רשימת רכיבים של מערכת AI): מודלים וגרסאות, מאגרי נתונים, ספריות ושירותים חיצוניים. כשספק מחליף מודל, אפשר לזהות מה עלול להיות מושפע.
• ניתוח פערים ותוכנית תיקון מול חוק הגנת הפרטיות ותיקון 13, ומול EU AI Act אם הוא חל עליכם, לפי סדר עדיפויות.
• מדיניות שימוש ב-AI לעובדים, כתובה כך שאפשר לקרוא אותה ולעמוד בה.
• בקרות וניטור: מה בודקים לפני העלאה לייצור, מה מנטרים אחריה, מי מאשר שינוי, ואיך עוצרים מערכת שמתנהגת לא כמצופה.
• תיק תיעוד שמוכן לביקורת פנימית, לשאלון ספק או לפנייה של רגולטור.

איך העבודה מתנהלת

1. פתיחה: שיחות עם ההנהלה, עם היועץ המשפטי או הממונה על הגנת הפרטיות, ועם מנהלי המערכות. מגדירים את ההיקף ומה ייחשב הצלחה.
2. מיפוי: אוספים את כל המערכות והכלים, כולל אלה שלא עברו דרך מחלקת המחשוב, ובודקים לאן זורם המידע ואיפה הוא נשמר.
3. סיווג וניתוח פערים: רמת סיכון לכל מערכת, והמלצה מעשית לכל פער.
4. בניית המסגרת: מדיניות, תפקידים, תהליך אישור למערכת חדשה, בקרות וניטור.
5. הטמעה: מיישמים את הבקרות על המערכות הקיימות, מדריכים את הצוות ומעבירים את תחזוקת המרשם לבעלי תפקיד אצלכם.

אחרי ההטמעה אפשר להמשיך בליווי תקופתי: עדכון המרשם, בדיקה של מערכות חדשות לפני שהן עולות, והכנה לביקורות.

איפה אנחנו עובדים

אנחנו עובדים עם ארגונים בכל הארץ, מרחוק ובביקורים אצל הלקוח. בכל אזור שאלות הניהול של AI נראות קצת אחרת:

תל אביב

ריכוז גדול של חברות טכנולוגיה, פינטק וסטארטאפים. חברה שמוכרת מוצר עם AI ללקוחות גדולים או לאירופה נדרשת להציג תיעוד ובקרות כבר בשלב המכירה.

ירושלים

משרדי הממשלה והמגזר הציבורי, לצד מוסדות אקדמיה ומרכזים רפואיים גדולים. מערכת AI שנוגעת במידע על אזרחים או על מטופלים צריכה תיעוד מלא והחלטה מנומקת על כל שימוש.

חיפה

הטכניון, פארק ההייטק מת"ם והתעשייה הכבדה במפרץ. כשמודל משתתף בהחלטות של תפעול או של בקרת איכות, ניהול הסיכונים עוסק גם בבטיחות ובאחריות על ההחלטה, ולא רק בפרטיות.

רמת גן

מתחם הבורסה ליהלומים, אחד ממרכזי העסקים הגדולים בארץ, עם משרדים רבים של חברות פיננסים וביטוח. מודלים שמשפיעים על לקוחות, כמו דירוג אשראי או זיהוי הונאות, נמצאים ממילא תחת פיקוח, ו-AI מוסיף להם שאלות של הסבר והטיה.

הרצליה

הרצליה פיתוח היא מרכז עסקים עם חברות תוכנה, סייבר וענן רבות. אצל ספקי תוכנה, ניהול AI מסודר הופך לתנאי למכירה, כי שאלוני האבטחה של לקוחות גדולים כוללים יותר ויותר שאלות על AI.

פתח תקווה

אזורי תעסוקה גדולים כמו קריית אריה וקריית מטלון, עם חברות תוכנה, תקשורת ותעשייה, ומרכז רפואי רבין. בארגונים עם הרבה מערכות ותיקות, השלב הראשון הוא לגלות איפה AI כבר נכנס למערכות קיימות, לפעמים דרך עדכון של ספק.

פורמטי עבודה

מרחוק

שיחות וידאו, גישה מאובטחת למסמכים ולמערכות, ופגישות עבודה קבועות. רוב העבודה על המרשם, המדיניות והתיעוד מתאימה לפורמט הזה.

אצל הלקוח

ימי עבודה במשרדים שלכם: ראיונות עם בעלי תפקידים, סדנאות עם צוותי פיתוח ותפעול, ובדיקה של מערכות ותיעוד במקום. מתאים כשיש מערכות רבות, או כשהמידע לא יוצא מהארגון.

היברידי

כמה ימי פתיחה אצלכם, המשך מרחוק, וביקורים בנקודות מפתח כמו הצגת הממצאים להנהלה. לעתים קרובות זה האיזון הנכון בין עומק לבין זמן.

למה אנחנו

• מפתחים מערכות תוכנה מאז 2004: יותר מ-150 פרויקטים ללקוחות ב-14 מדינות.
• אנחנו בונים בעצמנו מערכות AI, RAG וסוכנים, ולכן הבקרות שאנחנו מציעים מתאימות לאופן שבו המערכות האלה עובדות בפועל.
• כל המסמכים, המרשם והתבניות שייכים לכם, ואפשר להמשיך לתחזק אותם בלעדינו.

שאלות נפוצות

אתם מנפיקים אישור או הסמכה ל-EU AI Act או ל-ISO/IEC 42001?

לא. הסמכה ל-ISO/IEC 42001 מעניק גוף הסמכה מוסמך, ובדיקת ההתאמה לפי EU AI Act נעשית בתהליך שהחוק מגדיר. אנחנו מכינים את הארגון: מסגרת, בקרות ותיעוד, כדי שתגיעו לבדיקה מוכנים, עם פחות פערים בתיעוד ובבקרות.

אנחנו חברה ישראלית. EU AI Act חל עלינו?

ייתכן. הוא חל גם על חברות מחוץ לאיחוד שמציעות מערכת AI בשוק האירופי, או שהתוצרים של המערכת שלהן משמשים שם. בשלב המיפוי בודקים את זה לכל מערכת בנפרד, ובמקרה של ספק מתאמים את המסקנה עם עורך דין.

במה זה שונה מהיערכות לתיקון 13?

תיקון 13 עוסק במידע אישי בכל מערכת. AI Governance עוסק בכל מערכות ה-AI, גם כשאין בהן מידע אישי, ובשאלות שהחוק לא מכסה: דיוק, הטיה, אחריות על החלטה ושליטה בספקים. מערכות AI רבות נוגעות במידע אישי, ולכן בפועל עושים את שניהם יחד.

אנחנו משתמשים רק בכלים מוכנים כמו ChatGPT או Copilot. זה רלוונטי לנו?

כן, בהיקף קטן יותר. השאלות הן איזה מידע עובדים מכניסים לכלים, באילו הגדרות ובאיזה רישיון, ומי מאשר כלי חדש. בארגון כזה העבודה קצרה יותר ומתמקדת במדיניות ובהגדרות.

זה ייעוץ משפטי?

לא. אנחנו מטפלים בצד הטכני והתפעולי. בשאלות של פרשנות החוק אנחנו עובדים לצד היועץ המשפטי שלכם.

כמה זמן זה לוקח?

תלוי במספר המערכות ובמורכבות שלהן. אחרי שיחת פתיחה ומיפוי ראשוני אנחנו נותנים הערכה מבוססת.