"הסרנו את השמות" הוא המשפט הנפוץ והמסוכן ביותר בפרויקט AI ברשות. הסרת שם אינה הפיכת מידע לאנונימי: גיל, רחוב ותאריך בודדים מספיקים כדי לזהות אדם, ובינה מלאכותית רק מקלה על הזיהוי החוזר. מדריך השוואתי: ההבדל בין הסרת מזהים לאנונימיזציה אמיתית, מה קובעים הדין הישראלי וה-GDPR, ולמה אסור להסתמך על "הסרנו שמות".
יש משפט אחד שחוזר כמעט בכל פרויקט בינה מלאכותית ברשות, והוא גם הנפוץ וגם המסוכן ביותר: "הסרנו את השמות, אז זה בסדר". ההנחה היא שברגע שמחקו את השם ואת מספר הזהות, המידע הפך אנונימי, והחובות המשפטיות נעלמו. ההנחה הזו שגויה, ולעיתים מסוכנת. צירוף של כמה פרטים תמימים, גיל, רחוב ותאריך, יכול להצביע על אדם מסוים אחד, ובינה מלאכותית דווקא מקלה על הזיהוי החוזר.
מאמר זה מפרק את מיתוס האנונימיזציה, ומסביר מה באמת נדרש.
יש הבדל מהותי בין שני דברים שמבלבלים ביניהם. הסרת מזהים ישירים, שם ותעודת זהות, אינה הופכת מידע לאנונימי, אלא לכל היותר למידע "מוסווה". נותרים מזהים עקיפים, גיל, שכונה, מקצוע, תאריך אירוע, שצירופם מאפשר להצביע חזרה על אדם. אנונימיזציה אמיתית פירושה שאי אפשר עוד לייחס את המידע לאדם, בשום דרך סבירה, וזה רף גבוה בהרבה ממחיקת שם.
העיקרון דומה בשתי השיטות. בדין הישראלי, אם ניתן לייחס את המידע לאדם, הוא נותר מידע אישי שהחוק חל עליו. ה-GDPR מבחין במפורש בין מידע מוסווה (pseudonymized), שנשאר מידע אישי מוגן, לבין מידע אנונימי אמיתי, שמחוץ לתחולה, ומעמיד רף גבוה להכרה במידע כאנונימי. המסקנה זהה: מידע שאפשר לשחזר ממנו זהות אינו "מחוץ למשחק", הוא מוגן.
על התמונה ההשוואתית הרחבה ראו הגנת הפרטיות ב-AI ברשות, ישראל מול ה-GDPR.
בינה מלאכותית מצטיינת בדיוק במה שמסוכן כאן: הצלבה והסקה. מודל יודע לקשר בין מאגרים, להשלים פרטים חסרים, ולזהות דפוסים שחושפים זהות. מידע שנראה "אנונימי" בטבלה בודדת עלול להיחשף ברגע שהוא מוצלב עם מקור אחר. גרוע מכך, מידע מוסווה שהוזן לאימון מודל עלול להישאב ולהישמר, ולכן גם ההנחה שאפשר "להתאמן בשקט על מידע מופשט" מסוכנת.
על אבטחת המידע וההגנות הנדרשות ראו אבטחת מידע וההגנות הנדרשות ל-AI ברשות.
רשות שמסתמכת על "הסרנו שמות" כדי לדלג על חובות הפרטיות, להעביר מידע לספק או להזין אותו למודל, עלולה לגלות שהיא מעבדת מידע אישי לכל דבר, בלי ההגנות הנדרשות. ההסתמכות הזו אינה פוטרת מאחריות, היא רק יוצרת אשליה של הגנה. סעיף איסור האימון מול הספק, שעליו הרחבנו בהסכם עיבוד ושיתוף נתונים עם ספק AI, חשוב גם כאן.
- **לא להסתמך על הסרת שם:** להתייחס למידע כמזוהה כל עוד אפשר לייחס אותו לאדם.
- **להעריך סיכון זיהוי חוזר:** לבחון אילו מזהים עקיפים נותרו ומה סיכון ההצלבה.
- **למזער באמת:** להסיר את מה שלא נחוץ, ולא רק את השם.
- **להגן גם על מידע מוסווה:** להחיל עליו את ההגנות המלאות, כולל איסור אימון.
- **להיזהר בהצלבות:** כל חיבור למקור נוסף עלול לחשוף זהות.
הנושא יושב בלב תחום ה-AI & Law של המשרד. על מפת השימושים ברשות ראו את עוגן הסדרה, בינה מלאכותית ברשות מקומית, ועל חובות הגנת המידע ראו הגנת פרטיות ומידע תושבים.
ד״ר עו״ד אברהם ללום מלווה רשויות מקומיות בשאלות אנונימיזציה וזיהוי חוזר בשימוש בבינה מלאכותית. העמדה שד״ר ללום מיישם קבועה: הסרת שם אינה הסרת אחריות, וכל עוד אפשר לשחזר מהמידע את זהות התושב, ההגנה חלה עליו במלואה.
מאמר זה מתבסס על עקרונות הגנת הפרטיות בישראל ועל ה-GDPR, ומתאר מסגרת כללית. אין באמור ייעוץ משפטי, ויישום ברשות מסוימת מחייב בחינה פרטנית מול עורך דין מורשה.
לא. נותרים מזהים עקיפים כמו גיל, שכונה ותאריך, שצירופם מאפשר לזהות אדם. אנונימיזציה אמיתית היא רף גבוה בהרבה.
מודל מצטיין בהצלבה ובהסקה, ויכול לחשוף זהות ממידע שנראה אנונימי ברגע שהוא מוצלב עם מקור אחר.
לא. כל עוד אפשר לייחס את המידע לאדם, הוא נותר מידע אישי שההגנות חלות עליו במלואן.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לקביעת שיחה