האם ה-AI שלכם מסכן את הארגון מבחינה משפטית?

בינה מלאכותית בארגונים – בין חדשנות טכנולוגית לסיכונים משפטיים בעולם משאבי אנוש ושכר, ואולי ה-AI שלכם מסכן את הארגון מבחינה משפטית?

הפריצה המטאורית של כלי בינה מלאכותית (AI) ומודלי שפה (GPT) אל תוך סביבת העבודה הארגונית מביאה עמה הבטחה גדולה להתייעלות, אך במקביל מייצרת אתגרים משפטיים מורכבים. מעסיקים, מנהלי משאבי אנוש ויועצים משפטיים נדרשים כיום לנווט בין מינוף הטכנולוגיה לבין הגנה על הארגון מפני חשיפות משפטיות משמעותיות.

בוובינר המקצועי שערכנו ללקוחות מלם שכר פלוס, פרש לפנינו עו"ד רואי קידר, ממשרד ארנון, תדמור-לוי, מומחה לתחום המשפט ו- Ai, מספר סוגיות מפתח משפטיות שעלו לאחרונה על שולחן הדיונים, כולל מקרי בוחן בינלאומיים תקדימיים, המעצבים את גבולות האחריות הארגוני, ועל הסיכונים השונים הקיימים, וכיצד מחובתם של ארגונים לפעול למען צמצומם, כשהתמקדנו בעיקר בהיבטי תחומי השכר ומשאבי אנוש.

הסיכונים הכרוכים בשימוש בכלי AI בארגונים

פרטיות והגנת המידע

אחת הפרצות החמורות ביותר בשימוש ב-AI היא הזנת מידע ארגוני רגיש או מידע המזהה אישית (Personal Identity Info) לתוך מודלים ציבוריים. במקרה בוחן של חברת סמסונג, עובדים הזינו קוד רגיש וסיכומי ישיבות לתוך ה-ChatGPT לצורך שיפור וייעול, ובכך חשפו את החברה לזליגה של סודות מסחריים ומידע פנימי החוצה.

בהקבלה לעולם חשבות השכר, המידע המסווג שחובה להיזהר לגביו כולל בין היתר: מידע רפואי (ניכויי מחלה, נכות, חופשות), הסכמי עובדים (תנאים, בונוסים, הסכמים אישיים), נתוני שכר (פרטי חשבון הבנק, סכומי שכר, קצבאות) ויתר הפרטים המזהים (מספר תעודת זהות, כתובות ופרטי הבנק).

בעלות על התוצר

שאלת זכויות היוצרים והקניין הרוחני נותרה מורכבת. בעניין שהתעורר בארה"ב בהקשר ספר איור של "Zarya of Dawn" נקבע כי תוצרים (כמו תמונות או טקסטים) שנוצרו באופן בלעדי (או שרובו נעשה) על ידי בינה מלאכותית, אינם זכאים להגנת זכויות יוצרים, שכן החוק מגן על יצירה אנושית בלבד. כדי שהארגון יוכל לטעון לבעלות על תוצרי ה- Ai, נדרשת מעורבות ויצירתיות אנושית משמעותית בתהליך.

אחריות הבוט / הארגון

מי אחראי כשה- Aiטועה או מציג מצג שווא? פסק הדין בעניין חברת התעופה Air Canada הגדיר תקדים משמעותי: החברה ניסתה לטעון כי היא אינה עומדת מאחורי ההבטחה והמידע השגוי שסיפק הבוט (הצ'אטבוט שלה) ללקוח. בית המשפט דחה טענה זו וקבע כי החברה נושאת באחריות משפטית מלאה לפעולות הבוט. עבור ארגונים, המסקנה חד-משמעית, האחריות המשפטית על פעולות, ניסוחים והחלטות ה Ai- מוטלת במלואה על הארגון המפעיל אותו.

פיקוח אנושי (Human in the Loop)

כדי למנוע תקלות קריטיות והטיות, התפיסה המשפטית מחייבת שילוב של Human in the Loop (אדם בלולאה). אין להשאיר קבלת החלטות מהותיות שיכולות להשפיע על מצבו של אדם, לאלגוריתמים בלבד. המערכות צריכות לשמש ככלי עזר תומך, בעוד הפיקוח, הבקרה והאישור הסופי נשארים תמיד בידי גורם אנושי מוסמך.

אפליה וחשיפה (המחשה מעולם חשבי השכר ומגייסי כח אדם)

הטיות ואפליות מבוססות אלגוריתם בגיוס וניהול עובדים מהוות סיכון ממשי, כפי שעלה בשורה של מקרים בהם נעשה שימוש בכלי AI כדי לדרג ולסנן מועמדים לעבודה, ונמצא בדיעבד כי כלי AI פגעו ביכולתם להתקבל לעבודה בשל גיל, מגדר או השתייכות אתנית. במקרים אלו בתי המשפט והרגולטורים בארה"ב קבעו כי השימוש ב- AI הוא פסול ונוגד את החוק, וכי האחריות לוודא כי הכלים המופעלים אינם מפלים בעת תהליכי קבלה לעבודה היא של החברה.

פיקוח

אחד הנושאים הכי חמים כיום בנושא האחריות של מודלי ה- LLM, כדוגמת Chat GPT לנזקים שנגרמו למשתמשים הוא החשש לשלומם של קטינים. במספר תביעות תקדימיות שהוגשו לבתי המשפט בארה"ב נטען כי יש לייחס לחברות שעומדות מאחורי הכלים האלו אחריות להתאבדויות של קטינים, או לכך שהכלים עשו שימוש בשפה לא הולמת, לא אמינה או פוגענית בעת האינטראקציה עם קטינים. התיקים האלו עוד לא הוכרעו, אבל כבר כיום ניתן לראות כי החברות שמספקות את הכלים הוסיפו מנגנוני הגנה שנועדו להזהיר קטינים משימוש לא ראוי בכלים, או לספק להם מידע על מוקדים אנושיים שיכולים לסייע להם.

הרגולציה בעולם

יש שוני בגישות שנהוגות ביחס לרגולציה בתחום. בעוד שבאיחוד האירופי נקטו בגישה מקיפה של רגולציה בדמות ה- EU AI Act, שמקטלג את הפעילות בהתאם לרמת הסיכון הנשקפת מכל אחד מהכלים, בארה"ב בחרו בגישה של sector specific, והנחו כל רגולטור בכל סקטור לייצר רגולציה מוכוונות משלו. נכון להיום, אין עדיין רגולציה אחידה ומקיפה ברמה העולמית בנושא ה-Ai.

הרגולציה בישראל

מדינת ישראל נוקטת בגישה של "רגולציה ענפית" וגמישה, לפיה כל רגולטור יגדיר את הכללים והמגבלות לתחומו, תחת פיקוח ותיאום של המטה הלאומי לבינה מלאכותית החדש שהוקם במשרד ראש הממשלה, שמטרתו לקדם את המדיניות הממשלתית והגנה על זכויות הפרט.

שימו לב שהרשות להגנת הפרטיות מדגישה שהוראות חוק הגנת הפרטיות הקיים חלות במלואן על מערכות Ai, מה שאומר שחובות אבטחת מידע, איסור הטיה ומניעת זליגת מידע אישי מחייבים את המעסיקים כבר עכשיו, גם ללא חוק Ai  ייעודי.

Shadow Ai – בינה מלאכותית בצללים

לצד הרגולציה הרשמית, ארגונים מתמודדים כיום עם סיכון פנימי סמוי מן העין. תופעת ה-Shadow Ai מתייחסת למצב שבו עובדים משתמשים בכלי בינה מלאכותית, החל מתוספים לדפדפן, דרך כלי סיכום פגישות אוטומטיים ועד לצ'אטבוטים שונים לצורך ביצוע עבודתם השוטפת, וכל זאת ללא אישור, ללא ידיעת מחלקת מערכות המידע ובלי שעברו בקרת אבטחה ארגונית.

אמנם מרבית הארגונים מעודדים שימוש בכלים אלו, אבל שימוש חצי-מחתרתי זה מייצר חשיפת ענק לזליגת מידע מסחרי ופרטי של החברה והעובדים החוצה, מבלי שלארגון יש יכולת לנטר או לעצור זאת בזמן אמת.

מקפיצים מדרגה: סוכני ה-Ai של היום VS הסוכנים החדשים

הצורך במדיניות ובפיקוח הופך לדחוף עוד יותר כאשר מבינים את קצב התפתחות הטכנולוגיה והמעבר מהכלים הנוכחיים לדור הבא של הסוכנים:

• סוכני ה-Ai  של היום: פועלים בעיקר במודל של שאלה ותשובה (Q&A), מייצרים טקסט, תמונה או קוד, ומבצעים משימות נקודתיות וממוקדות (כמו הזנת נתונים או ניסוח מייל), כל זאת בתגובה להנחייה ישירה וצמודה (Prompt) של המשתמש בכל שלב ושלב.
• הסוכנים החדשים(AI Agents): עוברים לפעולה אוטונומית רחבה בהרבה. הם מסוגלים לקבל מטרה כללית ("תבצע קליטת עובד חדש"), לתכנן בעצמם את שלבי העבודה הנדרשים, להפעיל כלים ותוכנות חיצוניות במקביל, כמו: שליחת מיילים, הפקת מסמכים ועדכון מערכות ה-ERP הארגוניות, ולנהל תהליך עבודה שלם מקצה לקצה ללא צורך בהתערבות אנושית צמודה. זו תופעה שמייצרת הזדמנות ואתגר בצידה.

מקדימים תרופה למכה: גיבוש מדיניות Ai ארגונית  (Ai Policy)

בהיעדר חקיקה מוסדרת, על הארגון להקדים תרופה למכה ולגבש מדיניות שימוש ברורה (AI Policy) הכוללת מנגנוני הגנה (Guardrails) מוגדרים, ביניהם:

• איסור מוחלט על הזנת מידע רגיש: אין להזין מידע מזהה, קוד מקור, או נתונים פיננסיים ואישיים למודלים ציבוריים.
• חובת אימות אנושי:  כל פלט (טקסט, חישוב, המלצה) חייב בקרה של עין אנושית בוחנת (אדם בלולאה – Human in the Loop) למניעת הטיות, טעויות וחשיפה מיותרת.
• שקיפות מול לקוחות ועובדים: חובה להצהיר ולפקח כאשר נעשה שימוש בבוט או בתוצר מבוסס Ai.
• שימוש בכלים ארגוניים מאובטחים בלבד: חסימת כלי  Shadow AI, תהליך מוסדר של אישור מערכות AI חדשות לתוך הארגון,  ואישור עבודה רק במערכות AI שהן סביבות סגורות ומאובטחות (Enterprise).

לסיכום

בשורה התחתונה, אנו נמצאים בעידן שבו השטח הטכנולוגי והפרקטיקה בארגונים מקדימים באופן ניכר את קצב החקיקה והרגולציה הממוסדת. יחד עם זאת, העיכוב בחקיקה אינו פוטר את המעסיקים: האחריות המשפטית, המוסרית והארגונית לנזקים, הטיות או דליפות מידע נותרת ותישאר תמיד על כתפי הארגון. הדרך היחידה לצעוד קדימה בבטחה היא שילוב מושכל של חדשנות לצד הגנות קשיחות ומדיניות ברורה.