ציות בתחום ה-AI: פיקוח על מערכות AI ושימוש ב-AI בעבודת הציות

ציות AI הוא שני דברים: העבודה השוטפת שמבטיחה שמערכות ה-AI שהארגון שלכם בונה או משתמש בהן עומדות בחוקים, בתקנים ובמדיניות הפנימית החלים עליהן, והשימוש ב-AI לעבודת ציות שגרתית בהיקפים גדולים.

מאמר זה עוסק בשתי המשמעויות: הסיכונים שציות AI מטפל בהם, המסגרות העיקריות, הדרך לבניית תוכנית ציות, בקרות לסוכני AI והתחומים שבהם AI מסייע לצוותי ציות. בסופו מופיעות שאלות שכדאי לשאול לפני רכישת כלי ציות.

מהו ציות AI?

ציות AI מתייחס לשני דברים: הבטחה שמערכות AI עומדות בכללים שנקבעו ברגולציית AI, ושימוש ב-AI לביצוע עבודת ציות.

במובן הראשון, ציות AI מבטיח שמערכת AI פועלת בהתאם לחוקים, לתקנות, לסטנדרטים האתיים ולמדיניות הפנימית לאורך כל מחזור החיים של ה-AI, מנתוני האימון ועד לביצועים ולשימוש.

לדוגמה, החוק המקומי 144 של העיר ניו יורק מחייב מעסיקים שמשתמשים בכלי אוטומטי לקבלת החלטות תעסוקה לבצע לו ביקורת הטיה בטווח של שנה מהשימוש בו, לפרסם מידע על הביקורת ולהודיע על כך לעובדים או למועמדים לעבודה.

עבודת הציות הרגולטורי ב-AI היא מתמשכת, משום שיישומי AI מתעדכנים, הנתונים שהם עובדים איתם משתנים והרגולציה מתפתחת.

במובן השני, צוותי ציות משתמשים ב-AI לעבודה שגרתית בהיקפים גדולים, כמו ניטור עסקאות, סקירת מסמכים ומעקב אחר שינויים רגולטוריים.

חלק מהמוסדות הפיננסיים, למשל, משתמשים ב-AI כדי לסקור עסקאות ולצמצם תוצאות חיוביות שגויות בהתראות של ניטור עסקאות, לפני שאנליסטים מחליטים אילו מהן מחייבות דיווח על פעילות חשודה.

ציות AI לעומת ממשל AI לעומת ניהול סיכוני AI

שלושת המונחים חופפים, אך מכסים תחומים שונים: הממשל קובע את הכללים, ניהול הסיכונים מזהה מה עלול להשתבש, והציות מבטיח שהכללים מתקיימים.

מדוע ציות AI חשוב

השגת ציות AI מגבילה את החשיפה שלכם לקנסות, שומרת על פרטיותם של האנשים שה-AI שלכם מעבד את המידע שלהם, ומאפשרת לארגון שלכם לתת דין וחשבון על השימוש שלו במערכות AI במקרה של ביקורת.

• עונשים רגולטוריים: לפי חוק ה-AI של האיחוד האירופי, שימוש בפרקטיקת AI אסורה, כמו הסקת רגשותיהם של עובדים במקום העבודה, עלול לעלות עד 35 מיליון אירו או 7% מהמחזור השנתי העולמי. ספקים ומפעילים עלולים לעמוד בפני קנסות של עד 15 מיליון אירו או 3% בגין הפרות של החוק.
• הגנת מידע: מערכת AI שמעבדת מידע אישי כפופה לחוקי הגנת מידע, כמו ה-GDPR באיחוד האירופי. הדבר כולל נתוני אימון, הנחיות ופלטים שמכילים מידע אישי.
• מוכנות לביקורת: רישומים של מערכות ה-AI שבהן אתם משתמשים, של מי שאישר אותן ושל אופן הניטור שלהן מאפשרים לכם לתת מענה לרגולטורים, למבקרים וללקוחות.

הסיכונים העיקריים שציות AI מטפל בהם

ציות AI מטפל בחמישה סיכונים עיקריים: הטיה אלגוריתמית, היעדר יכולת הסבר, הזיות בתהליכים מוסדרים, פרטיות מידע ודליפת מידע, ו-AI בצל (Shadow AI).

הגדלה

כך באים לידי ביטוי הסיכונים העיקריים, לצד דוגמאות לבקרות שמחזיקות אותם בשליטה:

• הטיה אלגוריתמית: מודל משחזר דפוסים מנתוני האימון שלו שפוגעים בקבוצות מסוימות. כלי גיוס, למשל, עלול לדרג מועמדים נמוך יותר על סמך משתנה עקיף לגיל או למוצא אתני, כמו שנת סיום הלימודים או המיקוד. ביקורות הטיה, שמשוות תוצאות בין קבוצות דמוגרפיות, עוזרות לזהות דפוסים כאלה.
• היעדר יכולת הסבר: הארגון אינו יכול להראות כיצד מודל הגיע להחלטה. אם מלווה אינו יכול להסביר מדוע מודל דחה בקשת הלוואה, הוא אינו יכול להגן על התוצאה. ארגונים מונעים זאת באמצעות תיעוד הקלטים של המודל ולוגיקת ההחלטה שלו, ובחירת מודלים שאפשר להתחקות אחר הפלטים שלהם.
• הזיות בתהליכים מוסדרים: כלי AI גנרטיבי מציג מידע שגוי בביטחון מלא. למשל, עורך דין עשוי לבקש מכלי AI פסיקה שתומכת בטיעון ולקבל הפניות לפסקי דין שאינם קיימים. דרישה למקורות לכל פלט, ובדיקה שלהם על ידי אדם מוסמך, מאתרות שגיאות כאלה.
• פרטיות מידע ודליפת מידע: מידע סודי או מידע של לקוחות מגיע לכלי שנמצא מחוץ לשליטת הארגון. לדוגמה, עובד עלול להדביק רשומות לקוחות בכלי AI ציבורי ששומר קלטים כדי לאמן מודלים עתידיים. שימוש בכלים מאושרים בלבד, עם מגבלות חוזיות על אימון ועל שמירת נתונים, מצמצם את הסיכון.
• AI בצל: עובדים משתמשים בכלי AI שהארגון לא אישר או שאין לו נראות אליהם. בסקר של Compliance Week משנת 2026, 42% מהמשתתפים דיווחו על שימוש לא מנוהל ב-AI מצד עובדים. פתרונות אפשריים כוללים רשימת כלים מאושרים בשילוב תהליך מהיר לאישור כלי AI, וכן שערי אינטרנט (web gateways).

מסגרות מרכזיות לציות AI

ציות AI נשען על מסגרות ממשל AI מחייבות, כמו חוק ה-AI של האיחוד האירופי, ועל מסגרות וולונטריות, כמו מסגרת ניהול סיכוני ה-AI של NIST ו-ISO/IEC 42001, שעוזרות לארגונים לעמוד בהן.

חוק ה-AI של האיחוד האירופי

חוק ה-AI של האיחוד האירופי (תקנה (EU) 2024/1689) נוקט גישה מבוססת סיכון לרגולציה של AI: פרקטיקות מסוימות אסורות לחלוטין, מערכות בסיכון גבוה כפופות למגבלות הדוקות, ואילו אחרות כפופות רק לכללי שקיפות קלים. הוא חל על ספקים ומפעילים בכל מקום, “כאשר הפלט שמפיקה מערכת ה-AI משמש באיחוד”.

החובות לפי חוק ה-AI של האיחוד האירופי תלויות בתפקידו של הארגון:

• מי שמפתחים מערכת AI בסיכון גבוה או משווקים אותה תחת שמם (ספקים) חייבים להשלים הערכת התאמה, להחיל את סימון CE, לרשום את המערכת, לנהל תיעוד טכני ולנטר אותה לאחר ההשקה.
• מי שמשתמשים במערכת שמישהו אחר בנה (מפעילים) חייבים לפעול לפי הוראות הספק, להטיל את הפיקוח על אנשים בעלי “הכשירות, ההכשרה והסמכות הדרושות”, לשמור יומנים למשך שישה חודשים לפחות, וליידע עובדים ואחרים שמושפעים מההחלטות של המערכת.

הגדלה

החוק מיושם בשלבים. הכללים בנוגע לפרקטיקות אסורות, לאוריינות AI ול-AI לשימוש כללי חלים מאז 2025, ואילו החובות לגבי מערכות בסיכון גבוה ייכנסו לתוקף ב-2 בדצמבר 2027, וב-2 באוגוסט 2028 לגבי AI שמשולב במוצרים הכפופים לדיני בטיחות המוצרים של האיחוד האירופי.

התקן EN 18286:2026 בנושא מערכות ניהול איכות הוא התקן האירופי הראשון שתומך בחוק. ספקים שפועלים לפיו חזקה עליהם שהם עומדים בדרישת ניהול האיכות של החוק.

מסגרת ניהול סיכוני ה-AI של NIST

ה-NIST AI RMF (מסגרת ניהול סיכונים), שפורסמה בינואר 2023, היא מסגרת אמריקאית וולונטרית שבנויה סביב ארבע פונקציות: Govern (ממשל), Map (מיפוי), Measure (מדידה) ו-Manage (ניהול).

פרופיל ה-AI הגנרטיבי שלה, שפורסם ביולי 2024, מחיל את המסגרת על סיכוני AI גנרטיבי.

ISO/IEC 42001

התקן ISO/IEC 42001 הוא התקן הבין-לאומי למערכות ניהול AI, והוא מכסה את המדיניות, התפקידים והתהליכים שמסדירים פיתוח ושימוש אחראיים ב-AI. ההסמכה היא וולונטרית וניתנת על ידי גופי הסמכה עצמאיים, ולא על ידי ISO עצמו.

תעודת הסמכה מכסה את מערכת הניהול של הארגון, ולא מוצר AI ספציפי.

כללים בארה״ב וכללים מגזריים שחלים על AI

בארה״ב אין חוק AI פדרלי אחד. הכללים נקבעים על ידי ערים, מדינות, וחוקים ותקנות קיימים שחלים על AI.

לדוגמה, החוק SB26-189 של קולורדו, שייכנס לתוקף ב-1 בינואר 2027, מסדיר טכנולוגיה לקבלת החלטות אוטומטית, וחוקי פרטיות, כמו חוק פרטיות הצרכן של קליפורניה (CCPA) או HIPAA, חלים בכל פעם ש-AI מעבד מידע מוגן.

איך לבנות תוכנית ציות AI

בניית תוכנית ציות AI כוללת שישה שלבים: יצירת מצאי של מערכות ה-AI, סיווגן לפי סיכון, מיפוי בקרות לכללים החלים, הקצאת בעלים, תיעוד כל מערכת וניטור שלה באמצעות רישומים שמבקר יכול לבדוק.

הגדלה

כל שלב בהמשך מסתיים ברשומה שהוא מפיק:

1. צרו מצאי של כל מערכות ה-AI. רשמו את המערכות שהארגון שלכם בונה, רוכש או משתמש בהן, כולל יכולות AI בתוך תוכנות קיימות וכלים שעובדים אימצו ללא אישור. תעדו מה כל אחת מהן עושה, מי משתמש בה ולאילו נתונים היא נוגעת.
   תוצאה: מצאי AI.
2. סווגו כל תרחיש שימוש לפי סיכון. דרגו כל מערכת לפי הנזק שהיא עלולה לגרום, באמצעות שיטה כמו רמות הסיכון של חוק ה-AI של האיחוד האירופי. למשל, כלי שקובע פרמיות לביטוח חיים מוגדר בסיכון גבוה לפי החוק, ואילו כלי שמסכם פגישות פנימיות אינו כזה.
   תוצאה: מרשם סיכונים.
3. מפו בקרות לכללים החלים. פרטו את החוקים, התקנים והמדיניות הפנימית שחלים על כל מערכת, ואת הבקרה שעונה על כל דרישת ציות. לדוגמה, סקירה אנושית מתועדת עוזרת לעמוד בדרישות הפיקוח האנושי של חוק ה-AI של האיחוד האירופי עבור מערכות בסיכון גבוה, ובדרישה של NIST AI RMF לתהליכי פיקוח אנושי מתועדים.
   תוצאה: מפת בקרות.
4. הקצו בעלים ונקודות פיקוח אנושי. מנו בעלים לכל מערכת והחליטו היכן אדם סוקר את הפלט שלה. לדוגמה, צוותי המשפטים והציות אחראים על החובות, צוות האבטחה אחראי על הבקרות הטכניות, הבעלים העסקיים אחראים על תרחישי השימוש שלהם, ומנהל בכיר אחד נושא באחריות הכוללת. ודאו שאנשים בכל רחבי הארגון מודעים לכך, וקבעו ערוצי תקשורת ברורים.
   תוצאה: בעלים מוגדרים לכל מערכת.
5. תעדו כל מערכת. רשמו את המטרה של כל מערכת, את נתוני האימון, את הבדיקות ואת המגבלות הידועות שלה בפורמטים כמו כרטיסי מודל והערכות השפעה. ספקים של מערכות בסיכון גבוה חייבים גם להכין את התיעוד הטכני הנדרש בנספח IV לחוק ה-AI של האיחוד האירופי.
   תוצאה: מערך תיעוד של המערכת.
6. נטרו, תעדו ביומנים ושמרו ראיות. תכננו את היומנים כראיות לביקורת כבר מההתחלה, כדי להראות מה מערכת עשתה ומי סקר אותה. חוק ה-AI של האיחוד האירופי מחייב מערכות בסיכון גבוה לתעד אירועים באופן אוטומטי לאורך כל חייהן. נתיב ביקורת צריך לכלול:
   • המודל והגרסה שבשימוש
   • קלטים ופלטים, או מדגם מוגדר שלהם
   • נתוני אימון או כוונון עדין
   • נקודות סקירה אנושית והתוצאות שלהן
   • פעולות שסוכן ביצע וההרשאות שבהן השתמש
   • כמה זמן נשמרת כל רשומה

תוצאה: רישומי ניטור ונתיב ביקורת.

כלי ציות AI ייעודיים, כמו IBM watsonx.governance ו-OneTrust AI Governance, יכולים לקחת על עצמם חלקים מהתוכנית הזו, כולל מצאי ה-AI, הערכות סיכונים מול חוק ה-AI של האיחוד האירופי ותיעוד.

איך לאשר כלי AI לשימוש העובדים

לפני שאתם מאשרים כלי AI, בדקו ארבעה דברים:

• גישה לנתונים: אילו קבצים, מערכות ומאגרי ידע מחוברים הכלי יכול לקרוא, והאם הם מכילים מידע אישי שהכלי עלול לחשוף.
• אימון על קלטים: האם הספק משתמש בהנחיות, בקבצים או בפלטים כדי לאמן את המודלים שלו, והאם החוזה שלכם עם הספק אוסר זאת.
• שמירת נתונים: כמה זמן הספק שומר הנחיות, קבצים והיסטוריית שיחות, והאם אתם יכולים לקצר את התקופה הזו.
• אירוח והעברות: היכן הספק מאחסן ומעבד נתונים, כולל העברות אל מחוץ לאזור שלכם.

בקרות ציות לסוכני AI

סוכני AI זקוקים ליותר בקרות מאשר כלי צ׳אט, משום שהם מחליטים בעצמם על הצעדים שלהם ופועלים באמצעות כלים והרשאות שהוענקו להם. שלוש בקרות שומרות עליהם בשליטה:

• גישה לפי עיקרון ההרשאה המינימלית: העניקו לסוכן רק את הכלים וההרשאות שהמשימה שלו דורשת. סמכות יתר (Excessive Agency), מצב שבו סוכן יכול לעשות יותר ממה שהמשימה שלו דורשת, היא אחד מסיכוני האבטחה המובילים לפי OWASP Top 10 for LLM Applications 2026.
• יומן של כל פעולה: תעדו כל קריאה לכלי, את הנתונים שנעשתה אליהם גישה ואת ההרשאות שבהן נעשה שימוש, כדי שאפשר יהיה להתחקות אחר מה שסוכן עשה ועבור מי.
• אישור אנושי לפעולות בעלות השפעה גבוהה: דרשו שאדם יאשר צעדים ששולחים נתונים אל מחוץ לארגון, מעבירים כסף או שאי אפשר לבטל אותם.

איך AI משמש בעבודת ציות

צוותי ציות וניהול סיכונים משתמשים ב-AI כדי לנטר בקרות, להעריך סיכונים, לעקוב אחר שינויים רגולטוריים, לסקור מסמכים ולתעדף התראות על פשיעה פיננסית.

בסקר של Compliance Week משנת 2026, שבו השתתפו 193 מנהלים בתחומי הציות, האתיקה, הסיכונים והביקורת, יותר מ-83% אמרו שהם משתמשים ב-AI, וכמעט 40% אמרו שהחברות שלהם פרסו אותו לצורך הערכת סיכונים וניטור.

תרחישי שימוש נפוצים ב-AI בתחום הציות כוללים:

• ניטור ציות רציף ואיסוף ראיות: AI מריץ בדיקות ואוסף הוכחות לכך שהן פועלות (למשל, בדיקות בטיחות של ציוד במפעל שמועדן חלף).
• הערכת סיכונים ותעדוף: AI מדרג יחידות עסקיות או צדדים שלישיים לפי סיכון (למשל, ספקים עם חשיפה חדשה לסנקציות או להתדיינות משפטית).
• ניטור שינויים רגולטוריים: AI עוקב אחר פרסומים של רגולטורים ומסכם שינויים (למשל, הנחיות מעודכנות בנושא מניעת שוחד שמורידות את תקרת המתנות במדיניות ההוצאות).
• סקירת מסמכים ומדיניות: AI משווה חוזים ומדיניות לדרישות (למשל, חוזי ספקים ללא סעיף זכות ביקורת).
• סינון פשיעה פיננסית: AI מתעדף התראות של ניטור עסקאות ושל בדיקות לקוחות (למשל, התאמות שמות מול רשימות סנקציות שמתבררות כאדם אחר).

AI שמשמש לציות זקוק לאותו ממשל כמו מערכות AI אחרות. כפי שרשות ההתנהלות הפיננסית של בריטניה הצהירה באוקטובר 2026, “חברות אחראיות למערכות AI שהן מפתחות, רוכשות ופורסות – כולל הפלטים והתוצאות שלהן”, והיא הזהירה שלא להפוך את הסקירה האנושית ל“תרגיל של ‘סימון וי’”.

בפועל, כלי AI יכולים לטפל במשימות שגרתיות כמו איסוף ראיות או סימון שינויים רגולטוריים, אך לא בהחלטות שכרוכות באחריות משפטית, כמו ההחלטה אם לדווח על פעילות חשודה או האופן שבו יש לעצב מדיניות.

בקרות נתונים ב-Perplexity Enterprise

Perplexity Enterprise מעניק למנהלי המערכת בקרות על אימון על קלט, גישה לנתונים ושמירת נתונים:

• ללא אימון על הנתונים שלכם: Perplexity לעולם אינה משתמשת בתוכן ארגוני כדי לאמן את מודלי ה-AI שלה, וההסכמים שלה עם ספקי מודלים צד שלישי אוסרים עליהם לאמן מודלים על תוכן זה.
• בקרת גישה: SSO, SCIM והרשאות מבוססות תפקידים קובעים מי יכול להעלות קבצים ולשתף תשובות.
• שמירת נתונים ויומני ביקורת: קבצים שמצורפים להפעלות נמחקים לאחר שבעה ימים. ארגונים עם 50 מושבים או יותר, או עם מושב Enterprise Max אחד לפחות, יכולים גם להגדיר את משך השמירה של הפעלות ולקבל יומני ביקורת של פעילות המשתמשים.
• הסמכות: Perplexity מחזיקה בהסמכת SOC 2 Type II, עומדת בדרישות GDPR ומאפשרת עבודה עם מידע רפואי מוגן רק במסגרת הסכם שותף עסקי (Business Associate Agreement) חתום.

להדרכה מפורטת על בקרות אלה, צרו קשר עם צוות המכירות שלנו כדי לקבוע הדגמה מותאמת אישית.

שאלות נפוצות

מהו ציות לדרישות ה-AI של האיחוד האירופי?

ציות לדרישות ה-AI של האיחוד האירופי פירושו עמידה בחובות שמטיל חוק ה-AI של האיחוד האירופי (EU AI Act) בהתאם לתפקידכם (ספק או מפעיל) ולרמת הסיכון של כל מערכת. החובות נכנסות לתוקף בשלבים, והחובות החלות על מערכות בסיכון גבוה ייכנסו לתוקף ב-2 בדצמבר 2027.

מהו AI תואם HIPAA?

AI תואם HIPAA הוא כלי שנעשה בו שימוש במסגרת אמצעי ההגנה של HIPAA על מידע רפואי מוגן. אם הספק מאחסן או מעבד מידע זה, משרד הבריאות ושירותי האנוש של ארה״ב דורש תחילה הסכם שותף עסקי (Business Associate Agreement) חתום.

האם חוק ה-AI של האיחוד האירופי חל על חברות אמריקאיות?

כן. חוק ה-AI חל על חברות אמריקאיות שמשווקות מערכות AI בשוק האיחוד האירופי, וכן על חברות שתוצרי ה-AI שלהן משמשים באיחוד האירופי.

האם AI יכול להחליף קציני ציות?

AI לא יכול להחליף קציני ציות. ארגונים אחראים לעבודתם, וטכנולוגיות AI עלולות לטעות, ולכן קציני ציות עדיין צריכים לבחון בקפידה ולאשר את התוצרים של AI.