העובדים שלכם כבר משתמשים ב-AI. השאלה היא לא אם, אלא באילו כלים, עם איזה מידע, ובאיזה חשבון. במקרים רבים התשובה היא: בחשבון פרטי וחינמי, עם מסמכים של הארגון, בלי שאף אחד ב-IT יודע.
לחסום הכול לא עובד. עובדים שצריכים את הכלים ימצאו דרך עקיפה, והארגון מפסיד את הפרודוקטיביות. הדרך הנכונה היא לאפשר AI בצורה מנוהלת: כלים מאושרים, הרשאות מסודרות, הגנה על המידע וכללים ברורים לעובדים.
בקצרה
- הסיכון המרכזי הוא המידע, לא הכלי. חוזים, נתוני לקוחות, קוד ומידע אישי שמודבקים לכלי AI לא מאושר יוצאים משליטת הארגון.
- Shadow AI הוא שימוש בכלי AI שהארגון לא בדק ולא אישר. הצעד הראשון הוא לגלות מה נמצא בשימוש.
- Copilot רואה את כל מה שהעובד רשאי לראות. אם ההרשאות ב-SharePoint וב-OneDrive פרוצות, Copilot יחשוף את זה מהר מאוד.
- שש שכבות לשימוש בטוח: מדיניות, כלים מאושרים בחשבון ארגוני, זהות ו-SSO, סדר בהרשאות, DLP, והדרכת עובדים.
- זו גם חובה רגולטורית: תיקון 13 לחוק הגנת הפרטיות, GDPR וה-EU AI Act חלים גם על מידע שעובר דרך כלי AI.
מה יכול להשתבש?
1. מידע רגיש בכלים לא מאושרים
עובד מדביק טבלת לקוחות כדי "לסדר אותה", מעלה חוזה כדי לקבל סיכום, או משתף קוד כדי למצוא באג. בגרסאות פרטיות וחינמיות של חלק מהכלים, התוכן עשוי לשמש לאימון המודל ונשמר אצל הספק, לפעמים מחוץ לישראל ולאירופה. הארגון מאבד שליטה על מידע שהוא אחראי עליו.
2. חשבונות פרטיים במקום ארגוניים
כשעובד משתמש בחשבון פרטי, לארגון אין גישה להיסטוריה, אין אפשרות לסגור את החשבון כשהעובד עוזב, ואין שליטה על הגדרות הפרטיות. כל השיחות, כולל המידע של הארגון, נשארות אצל העובד.
3. Copilot שחושף הרשאות עודפות
Microsoft 365 Copilot מכבד את ההרשאות הקיימות: הוא מציג לעובד רק מידע שיש לו גישה אליו. הבעיה היא שבארגונים רבים יש לעובדים גישה להרבה יותר ממה שהם צריכים: תיקיות ששותפו עם "כל הארגון", קישורי שיתוף פתוחים ואתרי SharePoint ישנים. בעבר אף אחד לא מצא את הקבצים האלה. עכשיו מספיק לשאול את Copilot "מה המשכורות בחברה?".
4. תוספים וסוכני AI
תוספים לדפדפן ו"עוזרים" שמתחברים למייל, ליומן ולקבצים מקבלים הרשאות רחבות, לפעמים בלחיצה אחת של העובד. סוכן AI פועל עם ההרשאות של המשתמש, כך שכל הרשאה עודפת הופכת לסיכון גדול יותר.
5. תשובות שגויות שנכנסות לעבודה
כלי AI יכולים לטעות בביטחון מלא. מסמך משפטי, הצעת מחיר או קוד שנכתבו בעזרת AI ולא נבדקו, עלולים לגרום נזק אמיתי. האחריות נשארת תמיד אצל הארגון.
שש שכבות לשימוש בטוח ב-AI
1. מדיניות AI ארגונית, קצרה וברורה
מדיניות טובה מתאימה לעמוד אחד ועונה על ארבע שאלות:
- אילו כלים מותרים, ובאיזה חשבון (ארגוני בלבד).
- איזה מידע אסור להכניס: מידע אישי של לקוחות ועובדים, מידע רפואי ופיננסי, סודות מסחריים, סיסמאות ומפתחות.
- מה חייבים לבדוק לפני שמשתמשים בתוצר של AI: נכונות, זכויות יוצרים, ואישור אנושי להחלטות שמשפיעות על אנשים.
- למי פונים כדי לבקש כלי חדש.
2. כלים מאושרים, בחשבון ארגוני
הדרך הטובה ביותר להילחם ב-Shadow AI היא לתת חלופה טובה. בחרו כלי אחד או שניים ורכשו אותם ברישיון ארגוני. ברוב הכלים המובילים, הגרסאות העסקיות מתחייבות לא להשתמש בתוכן הלקוח לאימון המודלים ומאפשרות ניהול מרכזי. למשל, Microsoft 365 Copilot ו-Copilot Chat עם חשבון ארגוני פועלים בתוך גבולות השירות של Microsoft 365. לפני שמאשרים כלי, בודקים את הספק:
- האם המידע משמש לאימון המודל, ואפשר לכבות את זה?
- איפה המידע נשמר, ולכמה זמן?
- האם יש הסכם עיבוד נתונים (DPA) והסמכות כמו SOC 2 ו-ISO 27001?
- האם אפשר לחבר את הכלי ל-SSO ולנהל את המשתמשים מרכזית?
3. זהות, SSO ונראות על הכלים בשימוש
כלי AI מאושרים מחברים ל-SSO, כדי שהגישה תנוהל ממקום אחד ותיסגר אוטומטית כשעובד עוזב. במקביל צריך נראות: אילו אפליקציות SaaS וכלי AI העובדים באמת משתמשים בהם, ומי נתן הרשאות לאיזה תוסף. פלטפורמות כמו JumpCloud מאפשרות לגלות Shadow IT ו-Shadow AI ולנהל גישה לפי זהות ומצב המכשיר. הרחבה על כך תמצאו במאמר ניהול זהויות ומכשירים בעידן ה-AI.
4. סדר בהרשאות לפני Copilot
לפני שמפעילים Copilot לכל הארגון, עושים סדר ב-Microsoft 365:
- מאתרים תיקיות ואתרים ששותפו עם "כל הארגון" או בקישורים פתוחים.
- מגדירים תוויות רגישות (Sensitivity Labels) למסמכים רגישים: כספים, משאבי אנוש, משפטי.
- מגבילים חיפוש באתרים רגישים עד שההרשאות מסודרות.
- מתחילים בקבוצת פיילוט, ובודקים מה Copilot מציג לפני שמרחיבים.
זה בדיוק הסוג של עבודה שצוות Microsoft 365 של ELPC עושה לפני הטמעה.
5. DLP: הגנה על המידע עצמו
מדיניות לבד לא מספיקה, כי עובדים טועים. כלי DLP מזהים מידע רגיש, כמו מספרי תעודת זהות, כרטיסי אשראי או מסמכים מסווגים, ויכולים להזהיר את העובד או לחסום הדבקה והעלאה של המידע לכלי AI לא מאושרים. כך ההגנה עובדת גם כשמישהו שוכח את הכללים.
6. הדרכת עובדים
עובדים שמבינים למה יש כללים, שומרים עליהם. הדרכה קצרה צריכה להסביר מה מותר להכניס לכלי AI, איך מזהים טעויות בתשובות, ואיך מזהים פישינג שנכתב בעזרת AI ונראה אמין יותר מתמיד. ה-EU AI Act אף מחייב ארגונים שמשתמשים במערכות AI לדאוג לרמה מספקת של אוריינות AI אצל העובדים. ראו גם את המאמר על החשיבות בהדרכות אבטחת מידע.
מה הרגולציה אומרת?
| רגולציה | מה זה אומר לשימוש ב-AI |
|---|---|
| תיקון 13 לחוק הגנת הפרטיות | מידע אישי שמוכנס לכלי AI הוא עדיין מידע שהארגון אחראי עליו. צריך לדעת לאן הוא עובר, לאבטח אותו ולהגביל גישה. דליפה דרך כלי AI עלולה להיחשב אירוע אבטחה. |
| GDPR | לארגונים שמעבדים מידע של תושבי אירופה: בסיס חוקי לעיבוד, הסכם עיבוד נתונים עם ספק ה-AI, ובחינת העברת המידע אל מחוץ לאירופה. |
| EU AI Act | חובת אוריינות AI לעובדים, ודרישות מחמירות יותר לשימושים בסיכון גבוה, למשל סינון מועמדים לעבודה. |
| ISO 27001 ו-ISO 42001 | ISO 27001 דורש ניהול ספקים, סיווג מידע ובקרת גישה, וכל אלה חלים גם על כלי AI. ISO 42001 הוא תקן ייעודי למערכת ניהול AI. |
רוצים להבין מה חל על הארגון שלכם? ראו את המאמר על רגולציה ואבטחת מידע.
תוכנית ל-30 יום
- שבוע 1: מיפוי. אילו כלי AI בשימוש, באילו חשבונות, ואיזה מידע עובר דרכם.
- שבוע 2: החלטות. בוחרים כלים מאושרים, בודקים את הספקים, וכותבים מדיניות של עמוד אחד.
- שבוע 3: טכנולוגיה. רישיונות ארגוניים, SSO, סדר בהרשאות ב-Microsoft 365, וכללי DLP בסיסיים.
- שבוע 4: עובדים. הדרכה קצרה, פרסום המדיניות, ופיילוט Copilot בקבוצה מצומצמת.
איך ELPC עוזרת?
ב-ELPC אנחנו מחברים בין IT, אבטחת מידע ורגולציה, כך שהשימוש ב-AI בארגון גם עובד וגם מוגן:
- מיפוי Shadow AI והמלצה אילו כלים לאשר, לחבר או לחסום.
- הכנת Microsoft 365 ל-Copilot: סדר בהרשאות, תוויות רגישות ופיילוט מבוקר.
- DLP וניהול זהויות עם Safetica ו-JumpCloud.
- מדיניות AI ובדיקת ספקים מול תיקון 13, GDPR, ISO 27001 וה-EU AI Act.
- הדרכת עובדים עם Wizer.
וובינר ELPC × JumpCloud: זהות, מכשירים ו-AI. ב-30.11.2026 בשעה 10:00 נראה בהדגמה חיה איך מגלים Shadow AI, מחליטים מה לאשר ומה לחסום, ומנהלים גישה לאפליקציות. ההשתתפות ללא עלות. להרשמה לוובינר ←
שאלות נפוצות
מה זה Shadow AI?
Shadow AI הוא שימוש בכלי בינה מלאכותית שהארגון לא בדק ולא אישר, בדרך כלל בחשבונות פרטיים. הסיכון הוא שמידע של הארגון ושל לקוחותיו יוצא לשירות חיצוני בלי בקרה, בלי הסכם עם הספק ובלי יכולת למחוק אותו.
האם כדאי פשוט לחסום את ChatGPT ושאר כלי ה-AI?
בדרך כלל לא. חסימה מלאה דוחפת עובדים לטלפון הפרטי ולחשבונות פרטיים, ושם אין לארגון שום שליטה. עדיף לאשר כלי ארגוני אחד או שניים, לחבר אותם ל-SSO, ולחסום רק כלים שלא עומדים בדרישות.
האם Microsoft 365 Copilot בטוח לשימוש?
Copilot בחשבון ארגוני פועל בתוך Microsoft 365 ומכבד את ההרשאות הקיימות. הסיכון העיקרי הוא לא בכלי עצמו, אלא בהרשאות עודפות: Copilot יציג לעובד כל מידע שיש לו גישה אליו. לכן מסדרים הרשאות ותוויות רגישות לפני ההפעלה.
האם מותר להכניס מידע אישי של לקוחות לכלי AI?
רק לכלי שהארגון אישר, בחשבון ארגוני, עם הסכם עיבוד נתונים מתאים, ורק כשזה נדרש למטרה שלשמה המידע נאסף. בכל מקרה אחר, לפי תיקון 13 ו-GDPR, זה עלול להיחשב שימוש לא מורשה או דליפת מידע.
מאיפה מתחילים?
ממיפוי: אילו כלי AI בשימוש בארגון ואיזה מידע עובר דרכם. אחרי שיש תמונה, בוחרים כלים מאושרים, כותבים מדיניות קצרה ומוסיפים הגנות טכנולוגיות. ELPC יכולה לבצע את המיפוי ולבנות איתכם את התוכנית.