עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.
מה קורה כשאתם מדברים אל Alexa, Siri או Assistant?
כשאתם אומרים "היי סירי" — המכשיר מתעורר, מקליט את מה שנאמר, ושולח את ההקלטה לשרתי אפל. שם האלגוריתם מפרש, מגיב, ולעיתים שומר. אותו הליך מתרחש עם Alexa, Google Assistant ועוד כלים דומים.
זה לא תיאוריית קשר — זו הארכיטקטורה הטכנית. ועם עוזרים קוליים נוכחים כבר בבתים, מכוניות, שעוני חכם ורמקולים — כמות המידע הנאספת על אנשים פרטיים היא עצומה. ומי שומר על כל זה? בדרך כלל — החברה שמכרה לכם את המכשיר.
שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155
מה בדיוק מסוכן מבחינת פרטיות?
שלוש הבעיות המרכזיות:
- הפעלה בשוגג (False Positives): מילות ההפעלה ("Alexa", "OK Google") מתפרשות בטעות — והמכשיר מקליט גם כשלא התכוונתם. זה קרה, זה מתועד.
- האזנה מתמשכת: כדי לזהות מילת הפעלה, המכשיר חייב תמיד "להקשיב". חלק מהמכשירים שומרים מקטעי קול גם ללא הפעלה מכוונת.
- שיתוף עם צדדים שלישיים: חברות העבירו הקלטות קול לבודקים אנושיים (עובדים וקבלנים) לצורך תמלול ובקרת איכות — אמזון, גוגל ואפל נחשפו לכך. ה״שיפור האלגוריתם" נעשה לעיתים על ידי אנשים שמאזינים לשיחות פרטיות.
שאלה על אתר, פרטיות, תנאי שימוש או AI בעסק?אחזור אליכם בשעות הפעילות (א׳–ה׳, 9:00–18:00).
מה החוק הישראלי אומר?
- עסקים בישראל שמשתמשים ב-AI קולי מול לקוחות — חייבים לכל הפחות: הודעה לפי סעיף 11 לחוק הגנת הפרטיות — מטרת האיסוף, למי יימסר המידע והאם המסירה חובה; הסכמה מדעת כשהאיסוף נשען על הסכמה (סעיף 3); ואבטחה לפי תקנות אבטחת מידע. זכות העיון ניתנת בעברית, בערבית או באנגלית (סעיף 13(ב)).
- GDPR אירופאי חל על עסק ישראלי שמציע טובין או שירותים לאנשים הנמצאים באיחוד האירופי או מנטר את התנהגותם שם (סעיף 3(2)). דרישותיו — בסיס חוקי לכל עיבוד, זכות מחיקה (סעיף 17) והגבלת עיבוד (סעיף 18) — מחמירות מהישראליות.
בפועל, ההסכמה כלולה בתנאי השימוש — אבל בית משפט ישראלי עשוי לבחון אם ההסכמה הייתה "אמיתית": ברורה ומובנת, לא רק קבורה בעמוד 12 של ה-EULA.
חוק הגנת הפרטיות, התשמ״א-1981, מחייב מי שפונה לאדם לקבלת מידע אישי לשם עיבודו במאגר — לרבות נתוני קול — למסור לו הודעה (סעיף 11), וכשנדרשת הסכמה, היא ״הסכמה מדעת״ (סעיף 3). המשמעות: המשתמש צריך לדעת שמקליטים אותו, לאיזה מטרה, ועם מי המידע משותף.
מה קורה כשהנתונים דולפים?
תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, מחייבות ארגונים לאבטח את המאגר לפי רמת האבטחה החלה עליו, ובאירוע אבטחה חמור — להודיע מיד לרשות להגנת הפרטיות, שרשאית להורות להודיע גם לנפגעים (תקנה 11(ד)). חברה שהתרשלה בשמירת הקלטות — חשופה לתביעת נזיקין (סעיף 31ב לחוק) ולעיצום כספי על הפרת תקנות אבטחת המידע (סעיף 23כו(ח) והתוספת השלישית, שנוספו בתיקון 13).
הקלטות קוליות רגישות במיוחד — הן מזהות את הדובר, חושפות הרגלים, ולעיתים מכילות מידע פיננסי או רפואי; וכשהקול משמש לזיהוי ממוחשב של אדם, הוא ״מזהה ביומטרי״ ולכן ״מידע בעל רגישות מיוחדת״ (סעיף 3). דליפה של בסיס נתונים כזה חמורה יותר מדליפת כתובות אימייל.
קיימים סיכוני אבטחה משמעותיים עם עוזרים קוליים, כולל דליפות של הקלטות ופריצות
האם עוזר קולי מאזין כדי להראות פרסומות?
לפי הדין בישראל, שימוש בנתוני קול למטרה שונה מזו שלשמה נמסרו — למשל פרסום — הוא פגיעה בפרטיות (סעיף 2(9)); לכן המטרה צריכה להיכלל בהודעה שנמסרה בעת האיסוף (סעיף 11) ובהסכמת המשתמש, והסכמה כללית ועמומה לתנאי שימוש עלולה שלא להספיק.
אבל: גם בלי מיקרופון — יש לחברות אלה גישה לכמות מידע עצומה (מיקום, חיפושים, קניות) שמספיקה לתחזיות מדויקות מאוד. ה״קסם" של פרסומות ממוקדות לא דורש האזנה.
שאלה שחוזרת: "דיברתי על נעליים וקיבלתי מיד פרסומות." תיאוריה או עובדה? רשמית — לא. Meta, Google ואמזון הכחישו שימוש בשמע מהמיקרופון לפרסום, ואין ראיה טכנית מאומתת.
מה אתם יכולים לדרוש — ואיך?
אם חברה זרה מסרבת להכיר בזכויותיכם — ניתן לפנות לרשות להגנת הפרטיות. בתיקים חמורים, גם תביעה אזרחית אפשרית.
- זכות עיון: ניתן לבקש לעיין בנתוני הקול שנשמרו עליכם במאגר (סעיף 13 לחוק הגנת הפרטיות).
- זכות מחיקה: ניתן למחוק את היסטוריית ההקלטות — ב-Alexa, Google ו-Siri דרך הגדרות האפליקציה. ב-GDPR זו זכות משפטית, בהתקיים העילות שבסעיף 17; בישראל אפשר לבקש לתקן או למחוק מידע שאינו נכון, שלם, ברור או מעודכן (סעיף 14).
- ביטול הסכמה: ניתן להגביל אילו נתונים נשמרים ולהחצין פחות מידע.
למשתמשים בעוזרים קוליים יש, בדרך כלל, אפשרות למחוק הקלטות בהגדרות השירות ולהגביל את השימוש בנתונים
לאן הרגולציה הולכת?
בישראל, הרשות להגנת הפרטיות פרסמה ב-28.4.2025 טיוטת הנחיה על תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית; חקיקה ספציפית לעוזרים קוליים אין. עסקים שמיישמים AI קולי כבר עכשיו: תעדו מה נאסף, לכמה זמן, ואיך מאובטח — מסמך הגדרות המאגר ונוהל האבטחה מחייבים ממילא לתעד את סוגי המידע, את מטרות השימוש בו ואת אמצעי האבטחה (תקנות 2 ו-4 לתקנות אבטחת מידע).
ה-EU AI Act מסווג מערכות לזיהוי ביומטרי מרחוק — וזיהוי קולי יכול להיות כזה — כ״סיכון גבוה״ (נספח III, פסקה 1(a)), למעט אימות שמטרתו רק לאשר שאדם הוא מי שהוא טוען; שימוש בזיהוי ביומטרי מרחוק ״בזמן אמת״ במרחב ציבורי לאכיפת חוק אסור, למעט חריגים (סעיף 5(1)(h)). על מערכות בסיכון גבוה חלות חובות ניהול סיכונים, תיעוד, שקיפות ופיקוח אנושי; לפי עמוד הנציבות האירופית, תחולתן על מערכות שבנספח III נדחתה בתיקון ה-Digital Omnibus ל-2 בדצמבר 2027. עסק ישראלי חשוף לחוק כשהוא משווק מערכת באיחוד או שהתוצר שלה משמש בו (סעיף 2).