AI · פרטיות · עבודה בדיגיטל
כשמחברים AI להודעות של העבודה: מי מקבל גישה למידע של הלקוחות?
דיווחים על חשיפת כלי ניטור שחובר לוואטסאפ ועל הפצת שיחות פרטיות מציפים שאלה שכל משרד פרסום צריך לשאול לפני האוטומציה הבאה: לא רק מה הכלי יודע לעשות, אלא מה הוא רשאי לקרוא.
מערכת שמזהה אזכור של לקוח ושולחת התראה לוואטסאפ יכולה לחסוך למשרד שעות. אבל כדי שתעבוד, מישהו מחבר אליה חשבון, שירות חיצוני ומפתחות גישה. ברגע הזה חיסכון בזמן הופך גם להחלטה על אבטחת מידע.
ב-11 באוקטובר 2026 דווח על הפצת התכתבויות שיוחסו ליונתן אוריך, יועצו של ראש הממשלה. לפי דיווח N12, כלי מבוסס AI שפיתח לניטור תקשורתי שלח התרעות לוואטסאפ וקוד המערכת ופרטי גישה רגישים נחשפו ברשת. כלכליסט דיווח כבר ב-27 בספטמבר שחשבון הוואטסאפ הפרטי חובר לשירות ניהול חיצוני. עורכי דינו של אוריך מסרו כי החשבון נפרץ וכי חלק מהתכתובות שפורסמו שונו.
הסיפור המועיל כאן לעסקים אינו תוכן השיחות, אלא השאלה שהאירוע מחדד: מי יכול להגיע להודעות, למסמכים ולחשבונות שלכם אחרי שחיברתם אותם לאוטומציה?
למה זה נוגע דווקא למשרדי פרסום?
שיחות עם לקוחות כוללות לעיתים תקציבי מדיה, תוכניות השקה, מחירי מבצע שטרם פורסמו, רשימות אנשי קשר, נתוני לידים וטיוטות משבר. גם כלי קטן ושימושי, כמו בוט שמסכם שיחות או מתריע על אזכורים, עלול לקבל גישה רחבה בהרבה מהמשימה שביקשתם ממנו לבצע.
למשל, אם המטרה היא לקבל התראה על כותרת בתקשורת, הבוט צריך לקבל את הכותרת ולשלוח הודעה לערוץ ייעודי. הוא אינו חייב לקבל את היסטוריית ההודעות של מנהל הלקוח, את כל קבוצות העבודה או הרשאה לכתוב בשמן. זו החלטת מוצר ותהליך, ולא רק הגדרת אבטחה.
שלוש שאלות לפני שלוחצים על Connect
רשמו את המשימה במשפט אחד. אם הוא נדרש לסכם פניות שהגיעו לטופס מסוים, תנו לו גישה לפניות האלה בלבד, ולא לכל תיבת הדוא"ל או חשבון הוואטסאפ האישי. הפרידו בין חשבון העבודה לבין שיחות פרטיות ושיחות של לקוחות אחרים.
בדקו את ספק האוטומציה, השירות שמעביר את ההודעות ומערכת ה-AI. שאלו היכן נשמר המידע, לכמה זמן, האם הוא מועבר לספקי משנה, מי יכול לקרוא אותו ואיך מוחקים אותו. מדיניות פרטיות של ספק AI אחד לא מכסה אוטומטית כל שירות צד שלישי שחיברתם אליו.
הגדירו בעלים לחיבור, תאריך לבדיקת ההרשאות, דרך לנתק מכשיר מקושר ודרך להחליף מפתח גישה. אם עובד או ספק מסיים את תפקידו, הסירו את הגישה כחלק מתהליך הסיום, ולא כשתתגלה בעיה.
בוואטסאפ אפשר לבדוק ולנתק מכשירים מקושרים מתוך החשבון, כפי שמסביר מרכז העזרה הרשמי. במערכות AI עסקיות יש לבדוק בנפרד את הרשאות המשתמשים והחיבורים לאפליקציות; OpenAI מבהירה שמידע שנשלח לאפליקציה מחוברת כפוף גם לתנאים ולמדיניות שלה.
ומה אם בניתם את הכלי בעצמכם?
בנייה מהירה בעזרת AI אינה פוטרת מבדיקת הקוד לפני העלאה. מפתח API, אסימון גישה או סיסמה שנכתבו בתוך קובץ ופורסמו במאגר קוד עלולים להעניק גישה גם למי שמעולם לא נכנס לחשבון שלכם. לפי ההנחיות של GitHub, אם מפתח נחשף, הסרתו מהקובץ אינה מספיקה: יש לבטל או להחליף אותו ולבדוק את היקף החשיפה.
השורה התחתונה
AI יכול לעזור למשרד להגיב מהר, לסכם שיחות ולהפוך מידע לתובנות. הערך הזה לא מחייב לתת לכל כלי גישה לכל המידע. ככל שההרשאה ממוקדת יותר, החשבון ייעודי יותר ותהליך הניתוק ברור יותר, כך קל יותר ליהנות מהאוטומציה ולשמור על אמון הלקוחות.
ההבחנה החשובה: הפרשה שפורסמה אינה הוכחה שכל חיבור AI יוביל לדליפה. היא תזכורת מעשית לבדוק את שרשרת הגישה כולה לפני שמחברים כלי חדש לשיחות ולנתונים רגישים.