פרטיות לקוחות כשעובדים עם AI

אני לא עורך דין. מה שכתוב פה הוא מה שלמדתי כמי שבונה מערכות AI לעסקים וקרא את החוק, את התקנות ואת מה שהרשות להגנת הפרטיות פרסמה. לשאלה על המקרה שלכם, עורך דין שמתמחה בפרטיות. בסדר? ממשיכים.

הסיפור הקצר: מאז 14 באוגוסט 2025, כשתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף, לרשות להגנת הפרטיות יש סמכות להטיל קנסות ישירות. בדצמבר 2025 היא פתחה סבב ביקורות רוחב, ובין המגזרים: חנויות אונליין, אפליקציות וצהרונים. עסקים קטנים. ובאפריל 2025 היא פרסמה טיוטת הנחיה שאומרת איך לדעתה החוק חל על מערכות AI. הטיוטה עדיין לא סופית, אבל היא אומרת לכם מה הם חושבים.

אז מה עושים עם זה כשיש לכם רשימת לקוחות ו-ChatGPT פתוח?

קודם, שלושה מושגים

מידע אישי: כל מידע על אדם מזוהה או שאפשר לזהות. שם וטלפון זה מידע אישי. גם כתובת מייל. התיקון הרחיב את ההגדרה.

מידע בעל רגישות מיוחדת: בריאות, מצב כלכלי, דעות, אמונות, מידע גנטי, מיניות ועוד. פה הדרישות מחמירות יותר.

מאגר מידע: אוסף של מידע אישי. רשימת הלקוחות שלכם באקסל היא מאגר מידע, גם אם אין לכם "מערכת".

מה אומרת טיוטת ההנחיה על AI

שלושה דברים שחשוב להבין מהטיוטה, כפי שסיכמו אותה משרדי עורכי דין שקראתי:

1. עיבוד מידע אישי במערכת AI דורש בסיס חוקי, בדרך כלל הסכמה מדעת של האדם. "הדבקתי את זה ב-ChatGPT כדי לסכם" זה עיבוד.
2. הכנסת מידע של לקוחות לכלי חיצוני (ChatGPT, Claude, Gemini) נחשבת העברה לגורם חיצוני. לכן יש משמעות לאיפה הנתונים נשמרים ולמה הספק עושה איתם.
3. הרשות ממליצה על תסקיר השפעה על הפרטיות לפני שמתחילים להשתמש ב-AI על מידע אישי. במילים פשוטות: מסמך שבו כתבתם מה אתם עושים, למה, ומה הסיכון.

1. שלב 1: תמפו מה יש לכם (שעה אחת)

   דף אחד. עמודה: איזה מידע (שמות, טלפונים, כתובות, היסטוריית רכישות, מידע רפואי). עמודה: איפה הוא (אקסל, CRM, וואטסאפ, תוכנת חשבוניות). עמודה: מי ניגש. עמודה: האם זה רגיש.

   הדף הזה הוא הבסיס למסמך הגדרות המאגר שהתקנות מ-2017 דורשות, וזה גם הדבר הראשון שהרשות שואלת עליו בביקורת.

2. שלב 2: כלל אדום, כלל צהוב, כלל ירוק

   אדום, לעולם לא לכלי AI: תעודות זהות, פרטי אשראי, מידע רפואי, מצב כלכלי, כל דבר מהקטגוריה של רגישות מיוחדת. גם לא "רק פעם אחת".

   צהוב, רק עם הגדרות נכונות: שמות, טלפונים, תוכן פניות. מותר רק אם החשבון שלכם מוגדר לא לאמן על הנתונים (ראו שלב 3), ורק כשיש סיבה עסקית.

   ירוק, חופשי: מידע שאינו מזהה. "לקוח שאל על X", נתוני מכירות בלי שמות, טקסטים שלכם.

   תדפיסו את זה ותתלו ליד המחשב. ברצינות.

3. שלב 3: הגדרות בכלי (15 דקות)

   ב-ChatGPT: Settings, Data Controls, לכבות "Improve the model for everyone". ב-Claude: בהגדרות הפרטיות, לבדוק את ההגדרה של שימוש בשיחות לאימון. ב-Gemini: Gemini Apps Activity. במסלולי העסקים (Business, Team, Workspace) ברירת המחדל היא בדרך כלל לא לאמן, אבל תבדקו.

   ואז תצלמו מסך של ההגדרה. זה התיעוד שלכם.

4. שלב 4: הסכמה מהלקוחות

   אם אתם מתכננים שסוכן AI יענה ללקוחות בוואטסאפ, או שתנתחו את הפניות שלהם ב-AI, הלקוחות צריכים לדעת. משפט במדיניות הפרטיות באתר, ומשפט פתיחה בבוט: "אני עוזר דיגיטלי של [עסק], השיחה נשמרת כדי לשפר את השירות". לא מתוחכם, אבל זה ההבדל בין שקיפות להסתרה.

5. שלב 5: תסקיר על עמוד אחד

   לפני כל שימוש חדש ב-AI על מידע לקוחות, עמוד: מה אני עושה, איזה מידע נכנס, לאיזה כלי, מה הסיכון אם ידלוף, מה עשיתי כדי להקטין אותו. חמש שורות. זה מה שהרשות מכנה תסקיר השפעה, והטיוטה אומרת שזו "הדרך המומלצת" להוכיח עמידה בחוק.

מה הסיכון בפועל

אני לא יודע על קנס שהוטל על עסק קטן בגלל שימוש ב-AI, נכון לאוקטובר 2026. מה שאני כן יודע זה שהרשות שואלת בביקורת על אבטחת מידע ושקיפות, ושעסק שמדביק רשימות לקוחות בכלי חינמי בלי לכבות אימון נכשל בשתיהן. הסיכון הגדול יותר הוא לא הקנס. הוא לקוח שמגלה שהפרטים שלו "היו ב-ChatGPT" ומספר לכולם.

שאלות נפוצות

אם אני משלם על Claude Team או ChatGPT Business, אני מכוסה?

לא אוטומטית. המסלולים העסקיים לא מאמנים על הנתונים כברירת מחדל, וזה פותר את שלב 3. אבל הכלל האדום (מידע רגיש) עדיין חל, וההסכמה מהלקוחות עדיין נדרשת. המנוי פותר חלק, לא הכל.

מה עם מידע שהלקוח שלח לי בעצמו בוואטסאפ?

העובדה שהוא שלח לא נותנת לכם רשות להעביר הלאה לכל מטרה. ההסכמה היא למטרה שבשבילה הוא שלח. אם שלח תוצאות בדיקה כדי לקבל ייעוץ, זה לא הסכמה שתנתחו את זה ב-AI לסטטיסטיקה.

איפה קוראים את החוק עצמו?

חוק הגנת הפרטיות, התשמ"א-1981, ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, זמינים באתר נבו ובאתר הרשות. טיוטת ההנחיה על AI באתר gov.il. תקראו את העיקרים, לא צריך הכל.