Copilot ו-EU AI Act

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

הבנת האחריות בנוגע ל-Copilot ול-EU AI Act, כולל חובות המפעיל, ממשל, ניהול סיכונים, שקיפות ופיקוח אנושי.

Automatically translated with AI from the original post. Read the English original

ייתכן שתחשבו ש-Compliant by Design פירושו שאפשר להירגע. אבל הרעיון הזה עלול להציב את הארגון בסיכון. ה-EU AI Act מטיל עליכם אחריות ממשית. הספק אינו האחראי היחיד. צוותי IT ומנהלי ציות רבים מודאגים מעוזרי AI. הם חוששים שה-AI יציג מידע לאנשים שאינם אמורים לראות אותו. בקרות גישה מבוססות תפקידים חזקות של Microsoft Copilot 365 עוזרות, אבל הן רק נקודת התחלה. חשבו על משתמש שמבקש מ-Copilot לסכם קבצים סודיים. האם אתם בטוחים שההגדרות שלכם שומרות על כל המידע?

עיקרי הדברים

• למדו על סולם הסיכונים של ה-EU AI Act. מקרה השימוש שלכם קובע את רמת הציות הנדרשת. הספק אינו קובע זאת עבורכם.

• השתמשו בתכונות הציות של Copilot והגדירו אותן נכון. ייתכן שהגדרות ברירת המחדל אינן עומדות בכללי האיחוד האירופי.

• תעדו כל שלב בשימוש שלכם ב-AI. תיעוד טוב עוזר להוכיח שאתם פועלים לפי הכללים. זה יכול לעזור לכם להימנע מקנסות כבדים.

• למדו את הצוות שלכם על בטיחות AI וציות. כולם צריכים לדעת מה לעשות, וכן מהם הכללים לשימוש בכלי AI.

• בדקו ועדכנו את תוכנית הציות שלכם באופן תדיר. הישארו מעודכנים לגבי תקנות חדשות. זה עוזר לכם להמשיך לפעול על פי החוק.

הסבר לסולם הסיכונים של EU AI Act

קטגוריות סיכון ומקרי שימוש

עליכם להבין את סולם הסיכונים של ה-EU AI Act לפני שאתם פורסים כל כלי AI. החוק מסווג מערכות AI לארבע דרגות סיכון. לכל דרגה יש כללים שונים שעליכם לפעול לפיהם. הנה טבלה פשוטה שמציגה כיצד סולם הסיכונים פועל:

החובות שלכם גדלות ככל שאתם עולים בסולם. אם אתם משתמשים ב-Copilot או ב-ChatGPT למשימות פשוטות כמו ניסוח מיילים, אתם נופלים בקטגוריית סיכון מינימלי או מוגבל. אם אתם משתמשים בכלים אלה לגיוס, לדירוג אשראי או לייעוץ רפואי, אתם נכנסים לתחום הסיכון הגבוה. עליכם לעמוד בכללים רבים יותר ולנהל תיעוד טוב יותר.

למה מקרה השימוש חשוב יותר מהספק

ייתכן שתחשבו שהספק או המודל קובעים את רמת הסיכון שלכם. זה לא נכון. האופן שבו אתם משתמשים ב-AI הוא שקובע את רמת הסיכון. עליכם לפתח מקרי שימוש ודרישות ברורים. יש לתעד איזו בעיה אתם רוצים לפתור ולבדוק אם AI הוא הפתרון הנכון. כמו כן, עליכם להעריך סיכוני פלט ובקרות איכות. שאלו את עצמכם כיצד תשתמשו בתוצאות ה-AI ומה עלול להשתבש.

הנה כמה דוגמאות:

• אם אתם משתמשים ב-Copilot לסיכום פרוטוקולים של פגישות, אתם מתמודדים עם סיכון מוגבל.

• אם אתם משתמשים ב-ChatGPT כדי לעזור להחליט מי יקבל הלוואה, אתם מתמודדים עם סיכון גבוה.

• אם אתם בונים AI משלכם לדירוג חברתי, אתם מתמודדים עם סיכון בלתי מקובל.

עליכם להתמקד במקרה השימוש שלכם, ולא רק במותג או במודל. תכונות Compliant by Design עוזרות, אבל עדיין עליכם לשייך את השימוש ב-AI לדרגת הסיכון הנכונה ולפעול לפי הכללים.

Compliant by Design – שלד הציות של Copilot

תכונות ציות מובנות

כשאתם משתמשים ב-Copilot ב-Microsoft 365, אתם מקבלים התחלה חזקה. הפלטפורמה מעמידה לרשותכם כלים רבים שעוזרים לשמור על המידע שלכם. הכלים הללו פועלים יחד כדי לעזור לכם לעמוד בכללים. את הכלים המרכזיים תוכלו לראות בטבלה שלהלן:

כלים אלה עוזרים ל-Copilot לתמוך בגישה של Compliant by Design. תקבלו עזרה לניהול הנתונים, לשליטה בשאלה מי יכול לראות אותם, ולמעקב אחר מה שקורה. אין צורך לבנות הכול בעצמכם. ניתן להשתמש בכלים אלה כבסיס לתוכנית הציות שלכם.

טיפ: Copilot אינו משתמש בבקשות (prompts) או בתשובות שלכם כדי לאמן את המודלים שלו. זה שומר על פרטיות הנתונים שלכם ומפחית סיכון.

מה עדיין צריך להגדיר כמפעילים

אי אפשר פשוט להשתמש בהגדרות ברירת המחדל. צריך לבצע שינויים כדי ש-Copilot יפעל בהתאם לכללים של חוק ה-AI של האיחוד האירופי. Compliant by Design עוזר לכם להתחיל, אבל את העבודה עצמה אתם צריכים להשלים. הרגולטורים רוצים הוכחות, לא הבטחות.

להלן שלבים לחיזוק הציות שלכם:

1. בדקו ותקנו הרשאות ב-SharePoint, ב-OneDrive וב-Teams לפני הפעלת Copilot. הסירו גישה שאנשים אינם זקוקים לה.

2. השתמשו בעיקרון של הרשאות מינימליות. בדקו רשימות קבוצות והגדרות שיתוף. אפשרו לאנשים לראות רק את מה שהם צריכים.

3. כדאי לשקול רישיונות E5 אם אתם רוצים הגנה טובה יותר על נתונים פרטיים של משתמשים.

4. הדריכו את המשתמשים שלכם. ספרו להם ש-Copilot פועל לפי כללי הנתונים שלכם. ודאו שכולם יודעים מה Copilot יכול לעשות ומה לא.

עליכם להגדיר תוויות רגישות של Purview וכללי DLP עבור Copilot. יש להגדיר כמה זמן הנתונים נשמרים ולבדוק יומני ביקורת. כדאי להגביל את החיפוש ב-SharePoint כדי למנוע שיתוף יתר של מידע. יש לתעד את בדיקות הסיכון שלכם ולשמור רשומות של מה שביצעתם.

Compliant by Design אינו אומר שסיימתם. עליכם להראות כיצד השתמשתם בכלים אלה בסביבה שלכם. הרגולטורים רוצים לראות הוכחות. צריך להוכיח שהגדרתם, ניטרתם ותיעדתם את שלבי הציות שלכם.

ChatGPT ו-Azure OpenAI – הביאו את הממשל שלכם איתכם

פערי ציות ב-ChatGPT הציבורי

שימוש ב-ChatGPT הציבורי הוא אתגר גדול. ל-Copilot יש בקרות מובנות, ל-ChatGPT אין. עליכם לקבוע כללים משלכם ולבצע בדיקות בטיחות. קבוצות רבות למדו זאת על בשרן.

כדאי להכיר את המקרה של עיריית טרומסו. בעלי תפקידים השתמשו ב-AI כדי לכתוב את רוב הדוח. איש לא בדק אם העובדות נכונות לפני השיתוף. בדוח היה מידע כוזב. הטעות הזו פגעה במוניטין וגרמה לבעיות בעבודה. קל לאבד שליטה אם אין כללים מחייבים וחזקים.

להלן כמה בעיות נפוצות שצריך לתקן:

• אין רישום אוטומטי של בקשות (prompts) או תשובות.

• אין דרך מובנית למנוע דליפת מידע או לתייג מידע רגיש.

• אין אזהרות או תוויות לתוכן שנוצר על ידי AI.

• אין בדיקה אנושית של תוצאות חשובות.

• אין דרך ברורה להגביל גישה או לשלוט במיקום אחסון הנתונים.

אתם צריכים לתקן את הבעיות האלה בעצמכם. חוק ה-AI של האיחוד האירופי דורש שתוכיחו כיצד אתם מטפלים בסיכונים, תתעדו את ההחלטות שלכם ותשמרו רשומות.

Azure OpenAI כפתרון ביניים

Azure OpenAI מעניק שליטה רבה יותר מאשר ChatGPT הציבורי. אפשר להשתמש בחשבונות עבודה, לקבוע מי רשאי להשתמש בו, ולעקוב אחר הפעילות של המשתמשים. מקבלים רישום טוב יותר ואפשר לשמור את הנתונים בתוך הארגון. הכלים האלה עוזרים לעמוד בחלק מכללי חוק ה-AI של האיחוד האירופי.

אבל עדיין נותרת רוב העבודה על כתפיכם. עליכם:

1. לבצע הערכות השפעה על הגנת הנתונים (DPIA) לכל דרך שבה אתם משתמשים בשירות.

2. לנהל רשומות של פעילויות עיבוד.

3. להגדיר כללים למניעת דליפת מידע ולקבוע כמה זמן לשמור נתונים.

4. לבדוק יומנים ולעבור על התוצאות.

5. ללמד את המשתמשים כיצד להשתמש ב-AI בבטחה ולפעול לפי הכללים.

Azure OpenAI עוזר לכם להתחיל, אבל את העבודה עצמה צריך להשלים. עליכם להציג הוכחות באמצעות רשומות ובדיקות ברורות. חוק ה-AI של האיחוד האירופי אינו מקבל הבטחות. יש להראות מה בוצע בפועל.

ערכת ההישרדות למפעילים לחוק ה-AI של האיחוד האירופי

אתם צריכים תוכנית פשוטה כדי לעמוד בכללי חוק ה-AI של האיחוד האירופי. ערכה זו עוזרת לכם להתארגן. היא מספקת צעדים פשוטים, כלים וטיפים עבור Copilot, ChatGPT ו-Azure OpenAI. השתמשו בערכה כדי לשמור על בטיחות הארגון ולהראות לרגולטורים שאתם מקפידים על ציות.

סיווג סיכונים ותיעוד

התחילו ברישום מערכות ה-AI שלכם ואופן השימוש בהן. עליכם לדעת היכן משתמשים ב-AI ומה כל מערכת עושה. בצעו את השלבים הבאים כדי למיין ולתעד סיכונים:

1. תעדו כל כלי ומודל AI שהארגון שלכם משתמש בהם, מפתח, מייבא או מוכר באירופה.

2. קבעו אם הארגון שלכם הוא ספק (provider), מפעיל (deployer), יבואן (importer) או מפיץ (distributor) עבור כל מערכת.

3. בדקו אם חוק ה-AI של האיחוד האירופי חל על כל מערכת או מודל.

4. קבעו רמת סיכון לכל מקרה שימוש ב-AI: לא מקובל (unacceptable), גבוה (high), מוגבל (limited) או מינימלי (minimal).

5. בדקו את החוזים ואת פרטי שירותי הבינה המלאכותית.

6. צרו או עדכנו את תוכנית הממשל שלכם לבינה מלאכותית כך שתתאים לכללי החוק.

7. רשמו הערות על כל שינוי שאתם מבצעים במערכות או במודלים של בינה מלאכותית.

עליכם לתעד כל צעד שאתם נוקטים. אם לא תנהלו תיעוד טוב, אתם עלולים לחטוף קנסות כבדים.

מפעילים (deployers) שאינם מתעדים את מה שהם עושים לצורך חוק הבינה המלאכותית של האיחוד האירופי עלולים להיקלע לצרות גדולות, כמו קנסות של 7.5 מיליון יורו על אי מסירת מידע מלא לרגולטורים, גם אם בחירות הסיכון שלהם נכונות.

הגדרת Purview, DLP ובקרת גישה

עליכם להגדיר בקרות חזקות כדי לשמור על בטיחות הנתונים שלכם. השתמשו ב-Purview, ב-Data Loss Prevention (DLP) ובבקרות גישה כדי לעמוד בדרישות חוק הבינה המלאכותית של האיחוד האירופי. הטבלה שלהלן מציגה את מה שתצטרכו:

קבצו את כללי ה-DLP כך שיכסו צרכים נפוצים. ודאו שהכללים שלכם משתמשים תחילה בפעולות המחמירות ביותר. בדקו לעיתים קרובות את יומני הביקורת ואת דוחות ה-DLP כדי לוודא שאתם עומדים בכללים.

רישום, שקיפות ופיקוח אנושי

עליכם לעקוב אחר השימוש בבינה מלאכותית ולשמור על שקיפות. הרגולטורים רוצים לראות כיצד אתם שולטים במערכות שלכם ומפקחים עליהן. השתמשו בשיטות העבודה המומלצות הבאות:

הוסיפו תוויות ברורות לכל תוכן שנוצר בבינה מלאכותית. השתמשו בכותרות תחתונות או בסימני מים כדי לציין מתי בינה מלאכותית סייעה ביצירת קובץ או הודעה. דאגו שאנשים יבדקו בחירות חשובות, במיוחד בתחומים כמו גיוס עובדים או דירוג אשראי.

הדרכה ומדיניות פנימית

עליכם ללמד את הצוות שלכם כיצד להשתמש בבינה מלאכותית בצורה בטוחה. בנו כללים והדרכה חזקים לכולם. ודאו שכל העובדים מכירים את תפקידם ואת הכללים.

• ספקו הדרכה בהתאם לתפקיד של כל אדם, למשל למשתמשי עסקים, למנהלי מערכת ולאנשי ציות.

• שתפו כללים לגבי השימושים בבינה מלאכותית המותרים והאסורים.

• השתמשו בהנחיות (prompts) והגדרות שמסייעות בציות, כמו בקשה מ-Copilot להציג מקורות או להוסיף הערות בדיקה.

• עדכנו את הכללים שלכם בהתאם לשינויים בחוק הבינה המלאכותית של האיחוד האירופי.

אפשר להשתמש בכלים מובנים כדי לעזור למשתמשים ללמוד את תפקידם. ספקו מדריכים שמסבירים את ההבדל בין מודלי בינה מלאכותית למטרות כלליות לבין מערכות. הציעו חבילות התחלה עם תבניות ורשימות שיסייעו בציות.

תוכנית פעולה ל-30/60/90 יום ותקשורת פנימית

נדרש לוח זמנים להשלמת עבודת הציות. להלן תוכנית פעולה פשוטה:

30 הימים הראשונים:

• רשמו את כל מערכות הבינה המלאכותית ומקרי השימוש.

• הקצו תפקידים ורמות סיכון.

• התחילו לכתוב DPIA ו-RoPA.

60 הימים הבאים:

• הגדירו את Purview, DLP ובקרות הגישה.

• הפעילו ביקורת וניטור.

• התחילו בהדרכה לצוותים המרכזיים.

90 הימים האחרונים:

• סקרו ועדכנו את הכללים.

• בדקו את הבדיקות האנושיות ואת התוויות הברורות.

• הכינו הוכחות מוכנות לרגולטורים.

שתפו את ההודעה הבאה עם הצוות שלכם:

אנחנו משתמשים בכלי בינה מלאכותית בהתאם לתוכנית Compliant by Design. על כולם לפעול לפי הכללים וההדרכה החדשים שלנו. נעקוב, נבדוק ונתעד כל צעד כדי לעמוד בכללי חוק הבינה המלאכותית של האיחוד האירופי.

השתמשו בערכה זו כדי לבנות תוכנית ציות חזקה. כך תשמרו על הקבוצה שלכם ותעזרו לכולם להשתמש בבינה מלאכותית בצורה נכונה.

אין לסמוך רק על "compliant by design". עליכם להציג הוכחות לכך שאתם עומדים בכללים. חוק הבינה המלאכותית של האיחוד האירופי מטיל עליכם תפקידים ברורים. אם לא תעמדו בכללים, אתם עלולים לחטוף קנסות כבדים. הקנסות יכולים להגיע עד 15 מיליון יורו או 3% מהמחזור הכספי הכולל של החברה.

ממשל AI חשוב. צריך לשים לב לאופן שבו משתמשים ב-AI. צריך מישהו שאחראי על כך ושלבים שניתן לחזור עליהם. בדקו את כלי ה-AI שלכם לעיתים קרובות. הגדירו את כלי הציות שלכם ותעדו כל מה שאתם עושים. השתמשו בכללים כדי לעזור לאנשים לתת אמון בחברה שלכם ולשמור על בטיחות ה-AI.

שאלות נפוצות

מה המשמעות של "compliant by design" ב-Copilot?

"Compliant by design" משמעותו ש-Copilot כולל כלים מובנים שעוזרים לעמוד בדרישות. עדיין צריך להגדיר, לבדוק ולהוכיח את הציות שלכם. אי אפשר להסתמך רק על תכונות של הספק.

האם צריך להריץ DPIA עבור Copilot או ChatGPT?

כן. יש להריץ הערכת השפעה על הגנת פרטיות (DPIA) עבור כל מקרה שימוש ב-AI. זה עוזר לזהות סיכונים ולהוכיח לרגולטורים שאתם לוקחים את הפרטיות ברצינות.

איך מוכיחים ציות ל-EU AI Act?

צריך לשמור רישומים, להגדיר בקרות ולהציג יומני ביקורת. הרגולטורים רוצים לראות הוכחות, לא רק הבטחות. השתמשו ביומני ביקורת, במסמכי סיכונים ובתיעוד הכשרות כראיות.

האם אפשר להשתמש ב-ChatGPT הציבורי למשימות בסיכון גבוה?

לא. ל-ChatGPT הציבורי אין בקרות מובנות למשימות בסיכון גבוה. יש להוסיף בדיקות בטיחות משלכם. לשימושים רגישים, בחרו בכלים עם יכולות ציות חזקות.

מהי הטעות הגדולה ביותר שמפעילים עושים?

רבים חושבים שכלי הספק לבדם הופכים אותם לעומדים בדרישות. צריך להגדיר, לנטר ולתעד הכול. הוכחה עדיפה על הבטחה בכל פעם.

כדאי גם להאזין ל

אם אתם חוקרים את EU AI Act ו-Microsoft Copilot, הפרקים האלה מוסיפים הקשר מעשי על יישום, ארכיטקטורה, אבטחה וממשל:

• Microsoft Teams Governance – The Illusion of Control — ראו כיצד בעלות, מדיניות והחלטות על מחזור החיים מעצבות פעולה אמינה של Microsoft 365.
• Microsoft AI Agent Harness – Simply Explained — הבינו תזמור, מנגנוני הגנה, הערכה וניטור לתהליכי עבודה מבוססי AI.
• Azure AI Foundry – Simply Explained — למדו כיצד פתרונות AI ארגוניים נבנים, נבחנים, נפרסים ומנוהלים.
• Microsoft Defender XDR – Simply Explained — חברו בין בחירות יישום לנראות אבטחה, חקירה ותגובה.