מדיניות AI לעובדים: תבנית של עמוד אחד לעסק קטן

אם יש לכם עובדים, הם כבר משתמשים ב-AI. השאלה היא רק באיזה חשבון, ומה הם מדביקים לתוכו. בלי כללים, מידע של לקוחות נכנס לחשבונות פרטיים שאתם לא רואים. הפתרון לא מסובך: עמוד אחד, שבוע אחד של הטמעה.

למה עכשיו

• תיקון 13 לחוק הגנת הפרטיות בתוקף מ-14 באוגוסט 2025. העסק אחראי על המידע של הלקוחות שלו, גם כשעובד מדביק אותו לצ'אט.
• הרשות להגנת הפרטיות פרסמה ב-2025 טיוטת הנחיה שאומרת שהחוק חל גם על מערכות בינה מלאכותית.
• המדריך הממשלתי לשימוש אחראי ב-AI במגזר הציבורי אוסר להזין מידע רגיש לכלי שפועל מחוץ לסביבה של הארגון. הוא נכתב למשרדי ממשלה, אבל העיקרון מתאים גם לעסק של חמישה עובדים.

ההבדל שהכי חשוב: חשבון פרטי מול חשבון עסקי

אותו כלי מתנהג אחרת לפי סוג המנוי. ב-ChatGPT, בחשבון אישי (Free, Plus, Pro) האימון על השיחות דלוק כברירת מחדל, ובמנויי Business ו-Enterprise התוכן לא משמש לאימון כברירת מחדל. ב-Claude, השינוי של ספטמבר 2025 שמאפשר אימון על שיחות חל רק על המנויים האישיים, לא על Team ו-Enterprise. ב-Gemini, הסוכן Spark עובד כרגע רק בחשבון Google אישי. ב-8 באוקטובר 2026 Google הכריזה על Gemini agent לחשבונות Workspace של עסקים, עם חשבון משלו לסוכן ובקרת הרשאות. הוא מגיע קודם לעסקים, ו-Google עוד לא פרסמה באילו מדינות, אז זמינות בישראל: לאימות. לכן הסעיף הראשון בכל מדיניות: עבודה נעשית בחשבון של העסק, לא בחשבון הפרטי של העובד.

התבנית: שבעה סעיפים

מעתיקים, ממלאים את הסוגריים, ותולים במקום שכולם רואים.

1. כלים מותרים: [שם הכלי] בחשבון העסקי בלבד. כלי חדש נכנס רק אחרי אישור של [שם האחראי].
2. ירוק, מותר: טקסט שיווקי, ניסוח מיילים בלי פרטים מזהים, סיכום של חומר שכבר פורסם, רעיונות, תרגום של מסמך כללי.
3. צהוב, רק בחשבון העסקי: הצעות מחיר, נהלים פנימיים, נתוני מכירות בלי שמות לקוחות.
4. אדום, אסור תמיד: מספרי זהות, פרטי אשראי וחשבונות בנק, מידע רפואי, מידע על ילדים, סיסמאות וקודי אימות, חוזים וחומר שהתחייבנו לשמור בסוד.
5. סוכנים עם גישה: מחברים סוכן למייל, ליומן או לתיקיות רק באישור, ובהרשאות הכי מצומצמות שאפשר. שליחה, תשלום ומחיקה תמיד אחרי אישור של בן אדם.
6. בדיקה לפני שיוצא: כל תוצר שהולך ללקוח עובר עין אנושית. כל מספר, תאריך או ציטוט נבדק מול המקור.
7. כשמשהו השתבש: הודבק מידע אדום? מוחקים את השיחה, בודקים את הזיכרון, ומדווחים ל-[שם האחראי] באותו יום. אין עונש על דיווח. יש בעיה רק עם הסתרה.

אם המידע שדלף שייך למאגר מידע של העסק, ייתכן שיש חובת דיווח לרשות להגנת הפרטיות. את זה בודקים עם יועץ, לא עם צ'אט. וגם המדריך הזה הוא לא ייעוץ משפטי.

הטמעה בשבוע אחד

1. יום ראשון: שואלים את העובדים באילו כלים הם משתמשים היום, בלי להעניש על תשובה. יש משימה מוכנה לשאלון קצר.
2. יום שני: בוחרים כלי אחד ופותחים חשבון עסקי. איך בוחרים.
3. יום שלישי: ממלאים את התבנית. אפשר לבקש מהסוכן טיוטה ראשונה עם המשימה המוכנה, ולערוך.
4. יום רביעי: רבע שעה עם כל הצוות. שלוש דוגמאות מהעבודה שלכם: אחת ירוקה, אחת צהובה, אחת אדומה.
5. יום חמישי: מבקשים מכל עובד להעביר עבודה מהחשבון הפרטי לחשבון העסקי, ולכבות את הזיכרון בחשבון הפרטי לגבי ענייני עבודה. כאן מוסבר איך.

מה לא לכתוב במדיניות

• "אסור להשתמש ב-AI". זה לא עובד. העובדים ימשיכו, רק בחשבון שאתם לא רואים.
• רשימה של עשרה עמודים. אף אחד לא יקרא. עמוד אחד, ושלוש דוגמאות.
• שמות של מודלים. הם מתחלפים כל חודש. כותבים שם של כלי וסוג חשבון.

אחרי חודש

חוזרים לעמוד. מה עבד, איזה מקרה לא היה ברור, איזה כלי חדש העובדים ביקשו. מעדכנים, ופעם ברבעון בודקים שוב. למי שנותן לסוכן גישה למערכות כדאי לעבור גם על מה בטוח לתת לסוכן לעשות ועל רשימת הבדיקה לפני גישה.