כשספק מריץ בינה מלאכותית על מידע תושבים, הוא מעבד מטעם הרשות, והרשות נשארת האחראית. ההסכם הוא הכלי שמחזיק את השליטה. מדריך מעשי לסעיפי החובה: הגבלת מטרה, איסור אימון על הנתונים, קבלני משנה, מיקום ומחיקת מידע, זכות ביקורת ושיפוי, והסעיף שהכי קל לשכוח מול ספק AI.
כמעט כל מערכת בינה מלאכותית שרשות מקומית מפעילה מגיעה מספק חיצוני, ורצה על מידע של תושבים. מבחינה משפטית, הספק הוא מעבד הפועל מטעם הרשות, והרשות נשארת בעלת השליטה והאחריות על המידע. מי שמחזיק את השליטה הזו בפועל אינו הנוהל ואינו ההצהרה, אלא ההסכם. מאמר זה הוא מדריך מעשי לסעיפי החובה בהסכם עיבוד ושיתוף נתונים עם ספק AI, ומתחיל מהסעיף שהכי קל לשכוח דווקא מול ספק בינה מלאכותית.
מול ספק בינה מלאכותית יש סעיף אחד קריטי שאין לו מקבילה בהסכם מיקור חוץ רגיל: איסור מפורש על שימוש במידע התושבים לאימון או לשיפור המודל של הספק, ולכל מטרה משנית. בלי סעיף כזה, מידע רגיש של תושבים עלול להיטמע במודל של הספק ולשמש לקוחות אחרים, בלי דרך חזרה. זה הסעיף הראשון לבדוק, והוא ייחודי לעולם ה-AI.
- **הגבלת מטרה:** הספק משתמש במידע אך ורק למתן השירות המוסכם, ולא לשום דבר אחר.
- **אבטחת מידע:** אמצעי אבטחה קונקרטיים, וחובת הודעה על אירוע אבטחה בתוך פרק זמן קצר וקבוע.
- **קבלני משנה:** גילוי מי עוד נוגע במידע (ענן, קבלני משנה), ושליטה של הרשות על הוספת מעבדים.
- **מיקום המידע והעברה לחו״ל:** היכן המידע נשמר ומעובד, ומגבלות על העברתו אל מחוץ לגבולות.
- **שמירה ומחיקה:** החזרת המידע ומחיקתו בתום ההתקשרות, בלי עותקים שיוריים.
- **זכות ביקורת:** הרשות רשאית לבקר את עמידת הספק בהסכם, ולא להסתמך על הצהרה בלבד.
- **סודיות.**
- **שיתוף פעולה בבקשות ובהליכים:** סיוע הספק במענה לבקשת חופש מידע ולפניית תושב, ובבירור משפטי.
- **אחריות ושיפוי:** חלוקת האחריות לפגמים וזכות חזרה אל הספק.
ספק AI מקבל גישה למידע שהוא נכס רגיש של התושבים, ולעיתים הוא מתמרץ לשמר ולנצל אותו. לכן ההסכם אינו פורמליות: הוא ההבדל בין רשות ששולטת במידע שלה לבין רשות שאיבדה אותו בלי לשים לב. הדרישות האלה צריכות להיכתב כבר במכרז ובחוזה, לא להתברר אחרי האירוע. על מה לדרוש מהספק בשלב הרכש הרחבנו ברכש ומכרז AI ברשות מקומית, ועל חובות הגנת המידע של הרשות בהגנת פרטיות ומידע תושבים.
- **להתחיל מאיסור האימון:** לוודא סעיף מפורש שאוסר שימוש במידע לאימון המודל ולמטרה משנית.
- **לעגן הגבלת מטרה, אבטחה ומחיקה:** שלושת עמודי התווך של ההגנה.
- **לשלוט בקבלני משנה ובמיקום:** לדעת מי נוגע במידע והיכן הוא יושב.
- **לשמור זכות ביקורת ושיפוי:** כדי שהאחריות שנשארת על הרשות תהיה ניתנת לאכיפה אל מול הספק.
- **לקשר לחובת השקיפות:** לוודא שהספק מתחייב לסייע במענה לבקשות מידע, ברוח חובת ההנמקה והשקיפות.
הנושא יושב בלב תחום ה-AI & Law של המשרד. על מפת השימושים ברשות ראו את עוגן הסדרה, בינה מלאכותית ברשות מקומית.
ד״ר עו״ד אברהם ללום מלווה רשויות מקומיות ותאגידים עירוניים בניסוח הסכמי עיבוד נתונים מול ספקי בינה מלאכותית. העמדה שד״ר ללום מיישם קבועה: האחריות על מידע התושבים נשארת על הרשות, ולכן מה שלא נכתב בהסכם מול הספק הוא מה שהרשות ויתרה עליו בלי לדעת.
מאמר זה מתבסס על עקרונות הגנת המידע והמשפט המנהלי בישראל, ומתאר מסגרת כללית וסעיפים עקרוניים, לא נוסח מחייב. אין באמור ייעוץ משפטי, וכל הסכם מחייב ניסוח והתאמה פרטנית מול עורך דין מורשה.
איסור מפורש על שימוש במידע התושבים לאימון או לשיפור המודל של הספק ולכל מטרה משנית. בלעדיו, מידע רגיש עלול להיטמע במודל ולשמש אחרים בלי דרך חזרה.
לא. הרשות נשארת בעלת השליטה והאחריות על המידע גם כשספק חיצוני מעבד אותו, ולכן ההגנות חייבות להיכתב בהסכם.
הגבלת מטרה, אבטחת מידע והודעה על אירוע, שליטה בקבלני משנה ובמיקום המידע, שמירה ומחיקה, זכות ביקורת, סודיות, שיתוף פעולה בבקשות מידע, ואחריות ושיפוי.
כבר במכרז ובחוזה, לא אחרי שמתגלה בעיה.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לקביעת שיחה