כמויות המידע העצומות שחברות ותאגידים אוספים עלינו, האזרחים, לא השאירו את הרגולטורים אדישים. בלמעלה מ-70% מהמדינות בעולם מופעלים היום חוקים שונים העוסקים בהגנת המידע והפרטיות, והרגולציה בתחום רק הולכת ומתהדקת. משני צידי האטלנטי, אם להשתמש בביטוי היסטורי, מחוקקים פועלים להשית על החברות הנחיות והוראות הנוגעות לדרך שבה הן אוספות מידע, מאבטחות אותו, מונעות את זליגתו לידיים הלא נכונות ומקבלות את הסכמת האזרחים לשימוש בו.
מדובר בתנועת מלקחיים, כאשר מצד אחד פועל האיחוד האירופי, שהביא לעולם את תקנות הגנת המידע הכללית (GDPR) ומצד שני פועלת ארה"ב - וקליפורניה כסמן הימני בה - לייצר רגולציה מתקדמת, שתבטיח שארגונים מטפלים במידע אישי באחריות. כל זה מגובה בתביעות של אזרחים מלמטה, שמצפים, ובצדק, שהמידע האישי שלהם יטופל בצורה מאובטחת ומתוך כבוד לפרטיותם. גם אינטלקטואלים וקובעי דעה מגבים תביעות אלה ומעלים על נס עקרונות כמו כיבוד הפרטיות ושקיפות.
"בעידן הדיגיטלי של היום, שבו נאספות ומעובדות כמויות אדירות של נתונים אישיים, הגנת המידע והפרטיות הפכו לנושאים בעלי חשיבות ציבורית עליונה", אומר גלעד ירון, מנכ"ל ומייסד של חברת Data Protection Matters, המייעצת לארגונים בתחום הגנת המידע, בדגש על הגנת הפרטיות ויישום בינה מלאכותית (AI) באופן אחראי. "כמובן שלרגולציה יש תפקיד חשוב בהטמעת התפיסה שלפיה ארגונים מחויבים בהגנה על הפרטיות, אך ארגונים עסקיים גם קשובים לרוח הזמן ולדרישות הצרכנים והדבר מקדם שימוש אתי ואחראי במידע".
לדברי ירון, הדבר מחייב את החברות ליישם עקרונות של "פרטיות לפי עיצוב", כלומר, לחשוב על הגנת המידע מראש ולעשות שימוש במידע אך ורק למטרה לשמה הוא נאסף, תוך הבטחת שקיפות בעיבוד הנתונים. "זה מחייב את החברות לספר לנו מה בדיוק נעשה במידע שלנו, לקבל הסכמה מדעת לשימוש במידע שלנו ולדאוג לכך שמידע שלא נדרש יותר יושלך לסל", הוא מבהיר.
בניגוד לתחומים אחרים שבהם הרגולציה בישראל מפגרת אחר מדינות המערב, דווקא בתחום הפרטיות היא נחשבת לחלוצה ומתקדמת. חוק הגנת הפרטיות הישראלי בא לעולם כבר ב-1981, ביוזמת שר המשפטים דאז, שמואל תמיר, ומאז אנו הולכים ומתקדמים. ירון מעריך שהתיקונים של החוק העומדים בפתח - תיקון מספר 14 ו-15 - הם משמעותיים מאוד ויהפכו אותנו לאחת המדינות המתקדמות בתחום זה בעולם.
גישה הוליסטית ומעשית
ירון הקים את Data Protection Matters לפני כשנה, לאחר שצבר ניסיון בן שלושה עשורים, כלקוח, ספק ויועץ בתחום הגנת המידע. הרזומה שלו כולל שורה של תפקידים ובהם מנהל מערכות המידע של אינטל ישראל, מנהל תחום אבטחת המידע ב-CA ודירקטור ב-BDO, שם ריכז את תחומי הציות בעולם הסייבר סקיוריטי, הפרטיות ואבטחת ענן. "במהלך השנים נשאבתי לתחום הגנת הפרטיות והתאהבתי בו", הוא משחזר. "החזון שלי הוא להנגיש את הנושא לציבור, אבל לא רק מההיבטים המשפטיים והטכניים היבשים".
בוא נתחיל מהבסיס. מלבד הציות לרגולציה, מדוע נכון שארגונים יגנו על המידע שהם אספו?
"הגנת המידע חיונית מכמה סיבות. קודם כל, בעצם השמירה על פרטיות המידע, החברה או הארגון מגבירים את האמון בינם לבין לקוחותיהם ובינם לבין עובדיהם. שנית, לפרצות מידע וגישה לא מורשית למידע רגיש עלולות להיות תוצאות חמורות, כולל הפסדים כספיים, נזק למוניטין והשלכות משפטיות. יישום אמצעי הגנה הולמים מסייע בהפחתת סיכונים אלה, ממזער את הסבירות לפרצות מידע ומונע נפילה של מידע לידיים הלא נכונות. עם זאת, הגנת הפרטיות זה לא רק אבטחת מידע. בסוף המידע שייך לאזרחים ורק הם רשאים להחליט מה ייעשה בו, ומכאן הצורך של ארגונים לשמור על זכויות הפרט".
מה כוללת הצעת הערך שלך ללקוחות?
"אנחנו מציגים גישה ייחודית שהיא גישה הוליסטית ומעשית, המבוססת על ניהול סיכונים ותעדוף. אני מאמין בתוקף שאסטרטגיות אפקטיביות להגנה על מידע צריכות להתאים למטרות ולמציאות התפעולית של הארגון. אנחנו משלבים ידע מעולמות תוכן שונים - טכנולוגיה, סייבר, ניהול עסקי, ניהול פרויקטים מורכבים, משפטים וכדומה - בדגש על הצדדים המעשיים של כל עולם תוכן. זה כולל הן מומחיות טכנית והן הבנה עמוקה של היעדים העסקיים".
איזון בין היבטים טכנולוגיים, עסקיים ומשפטיים
מסע הלקוח של ירון ואנשיו בארגונים מתחיל בהבנת התהליכים העסקיים וזרימת המידע הכרוכה בהם. במקביל, הם מתעמקים במורכבויות הטכנולוגיות של מערכות המידע התומכות בתהליכים אלה. על סמך הסקירה הדו-ראשית הזו הם ממפים את הסיכונים הייחודיים בפניהם עומד הארגון - האתגרים הספציפיים לענף, לגיאוגרפיה, לתרבות הארגונית ולדרישות הרגולציות השונות החלות עליו. לא דומה ארגון אחד למשנהו. "על-ידי יצירת איזון בין היבטים טכנולוגיים, עסקיים ומשפטיים, אנחנו מפתחים תהליכי עבודה פרקטיים הנותנים מענה הן לצורכי הגנת המידע המיידיים של הארגון והן לאלה ארוכי הטווח", הוא מדגיש. "מיפוי התהליכים והסיכונים ותיעוד המידע גם מאלץ את החברות לעבוד בצורה מסודרת".
מה לגבי העובדים באותם ארגונים?
" הנושא של מודעות והדרכה של עובדים הוא בעל חשיבות רבה. אנחנו עובדים בשיתוף פעולה הדוק עם ארגונים על מנת לטפח תרבות של הגנה על מידע, ולהבטיח שהעובדים מבינים את תפקידם בשמירה על מידע אישי ומצוידים בידע הדרוש כדי לקבל החלטות. זה כולל את כל הפונקציות הארגוניות - רכש, כספים, כוח אדם, אחראי ספקים ועוד".
טיפוח תרבות של אחריות ולמידה
את הצעת הערך של Data Protection Matters בתחום הגנת הפרטיות גלעד ירון מרחיב היום גם לתחום הבינה המלאכותית, כשהוא חותר לשימוש אתי ואחראי בטכנולוגיות AI ועושה שימוש במונח "בינה מלאכותית אחראית". זה כולל מבחינתו עקרונות כמו הוגנות, שקיפות, אחריות והסברה.
מה זה אומר במונחים מעשיים?
"הוגנות פירושה הימנעות מהטיות והבטחה שמערכות AI אינן מפלות לרעה אנשים או קבוצות מסוימות. שקיפות כרוכה בהפיכת תהליך קבלת ההחלטות של מערכות AI למובן. אחריות פירושה לקיחת אחריות על ההשלכות של החלטות ופעולות מונעות בינה מלאכותית. לבסוף, יכולת הסבר מתייחסת ליכולת להבין ולפרש כיצד מערכות בינה מלאכותית מגיעות למסקנות שלהן. למשל, כאשר מערכת פיננסית מבוססת AI סירבה לאשר לאדם הלוואה, צריך להסביר לו איך התקבלה ההחלטה ולנמק אותה.
"על-ידי אימוץ שיטות בינה מלאכותיות אחראיות, ארגונים יכולים להגיע לאיזון בין ניצול היתרונות של טכנולוגיות AI לבין טיפול בסיכונים פוטנציאליים. בסופו של דבר, זה תורם לשימוש אחראי ומועיל יותר בבינה מלאכותית. ברקע הדברים, צריך לזכור את החקיקה בתחום. למשל, חוק הבינה המלאכותית האירופאי החדש (AIA), שיחייב ארגונים לעבור בקרה של גוף ביקורת פנימי או חיצוני".
מה נדרש מארגונים לעשות?
"להיות אחראים להשפעה של מערכות הבינה המלאכותית שלהם ולוודא שהאחריות לנושא תהיה ברורה ומוגדרת. זה כולל הערכה קבועה של ההשלכות האתיות של מערכות AI, ומעקב פעיל אחר מודלים של בינה מלאכותית כדי למנוע הטיות פוטנציאליות או תוצאות מפלות. לבסוף, הם נדרשים לייצר מודעות בקרב ממלאי התפקידים השונים בארגון. באמצעות טיפוח תרבות של אחריות ולמידה מתמשכת, ארגונים יכולים להסתגל לסטנדרטים אתיים שמתפתחים ולסיכונים שמתעוררים".
יש דמיון בין הגישה שלכם בתחום הגנת הפרטיות לבין בינה מלאכותית אחראית?
"בהחלט. שים לב שהעקרונות שתיארתי קודם מתכתבים עם עקרונות הגנת המידע. יותר מזה, בינה מלאכותית אחראית כוללת גם התחשבות בהשלכות הפרטיות והאבטחה של שימוש בטכנולוגיות AI. זה מדגיש את ההשלמה בין התחומים. בשני המקרים אנחנו מציעים גישה פרקטית, שמיישמת את הדרישות הרגולטוריות והנורמטיביות בתוך המציאות העסקית של הארגון וכחלק מניהול הסיכונים שלו".
לאתר >>> Data Protection Matters
בשיתוף Data Protection Matters
