הכול מרגל אחריכם, ואין אפשרות להימנע מכך

פרטיות בעידן הבינה המלאכותית: גם אם לא קניתם מכשיר חכם, אתם עלולים להיות מוקלטים

אתם יושבים בבית קפה, מדברים עם קולגה על הצעת עבודה ומניחים שהשיחה תישאר ביניכם. אלא שעל השולחן הסמוך מונח מכשיר שמסוגל לתמלל דיבור, ובכניסה אדם מרכיב משקפיים עם מצלמה. לא התקנתם אפליקציה, לא פתחתם חשבון ולא אישרתם תנאי שימוש. ובכל זאת, ייתכן שהמידע שלכם נכנס למערכת של מישהו אחר.

זו אחת הבעיות המרכזיות של פרטיות בעידן הבינה המלאכותית: הבחירה של אדם אחד להשתמש בטכנולוגיה יכולה להשפיע על כל מי שסביבו. מכשירים שמבטיחים לזכור עבורנו, לתעד ולסכם אינם פוגשים רק את המשתמש שקנה אותם. הם פוגשים גם עמיתים, שכנים, ילדים ועוברי אורח.

האמירה ש״הכול מרגל אחרינו״ גורפת מדי. לא כל מיקרופון משדר לענן, לא כל מצלמה מזהה פנים ולא כל מכשיר מקליט ברציפות. אבל מאחורי ההגזמה מסתתר שינוי ממשי: קשה יותר להימנע מאיסוף מידע כאשר החיישנים נמצאים על אנשים אחרים, ברחוב ובבניין שבו אנחנו גרים.

מה השתנה: מתיעוד רגעי למידע שאפשר לחפש בו

מצלמות ומכשירי הקלטה אינם המצאה חדשה. השינוי הוא בחיכוך הנמוך וביכולת לעבד את החומר שנאסף. צילום שבעבר נשאר סרטון ארוך יכול להפוך לתמלול, לרשימת נושאים או לתשובה לשאלה: ״מה נאמר בפגישה על התקציב?״

בינה מלאכותית הופכת מידע לא מובנה — קול, תמונה ותנועה — למידע שאפשר למיין, לחפש ולחבר למקורות אחרים. הקלטה שאיש לא היה טורח להאזין לה יכולה להפוך למסמך קצר ושימושי. זה יתרון למי שמתקשה לזכור פרטים או זקוק לכלי נגישות, אבל גם סיכון למי שדבריו נקלטו בלי שידע.

הבעיה אינה מחייבת כוונת זדון. עובד עשוי לתמלל ישיבה כדי להתרכז בדיון, ובדרך לתעד מידע רפואי של עמיתה או שיחה צדדית שלא נועדה לפרוטוקול. הנוחות של המשתמש והפרטיות של הנוכחים אינן תמיד מתיישבות זו עם זו.

לא כל ״האזנה״ היא הקלטה — וההבדלים חשובים

כדי להבין את הסיכון צריך להפריד בין קליטת צליל, שמירה ועיבוד. מכשיר יכול לעבד קול מקומית כדי לזהות מילת הפעלה, בלי לשמור ארכיון רציף של השיחות. מכשיר אחר יכול להעביר קטעי קול לשרת חיצוני לאחר הפעלה. אלה אינם אותם מצבים.

גם ״זיכרון חוצץ״ אינו בהכרח מאגר הקלטות: זהו אזור אחסון זמני שבו מידע חדש מחליף מידע ישן. אלא שהמונח הטכני לבדו אינו מספק תשובה. צריך לברר מה מפעיל שמירה קבועה, האם נוצר תמלול, והאם מידע כלשהו יוצא מהמכשיר.

עיבוד מקומי עשוי לצמצם חשיפה לספק השירות ולסיכוני העברה ברשת. עם זאת, הוא אינו פותר את שאלת ההסכמה. גם תמלול שנשמר רק בטלפון של אדם אחר יכול לתעד שיחה פרטית, להיות מועתק או להיחשף אם המכשיר נפרץ.

לכן הבטחה כמו ״אנחנו לא שומרים אודיו״ אינה סוף הבירור. אם תוכן השיחה נשמר כטקסט או כסיכום, חלק מהמידע הרגיש נשאר. המעטפת השתנתה; המשמעות האישית לא בהכרח נעלמה.

המשקפיים חכמים. האם הסביבה יודעת שהם מצלמים?

משקפי Ray-Ban Meta ממחישים את הפער בין חוויית המשתמש לחוויית הסובבים אותו. בדגמים המצוידים במצלמה אפשר לצלם בלי להחזיק טלפון מול הפנים. לפי תיעוד המוצר של מטא, נורית חיצונית מסמנת צילום או הקלטת וידאו.

הנורית היא אמצעי חשוב, אך היא אינה הסכמה. אדם צריך להבחין בה, להבין את משמעותה ולהחליט אם וכיצד להגיב. במדרכה צפופה, בשיחה קצרה או בתאורה חזקה, אין ודאות שכל זה יקרה.

ב־2024 הציגו שני סטודנטים מהרווארד הדגמה בשם I-XRAY, שחיברה שידור ממשקפיים חכמים לכלים חיצוניים לזיהוי פנים ולאיתור מידע אישי. ההדגמה סוקרה בין היתר ב־The Verge. זו לא הייתה יכולת מובנית של המשקפיים, וחשוב לא לייחס אותה למוצר עצמו.

ובכל זאת, היא המחישה סיכון רחב יותר: מצלמה לבישה יכולה להיות רק החוליה הראשונה בשרשרת. צילום, חיפוש תמונה ומידע הזמין ברשת עשויים יחד לאפשר חשיפה שאף אחד מהרכיבים אינו יוצר לבדו. השאלה אינה רק מה המכשיר עושה, אלא למה אפשר לחבר אותו.

הבטחות לפרטיות פוגשות את המציאות

״אנחנו מאמינים שפרטיות היא זכות אדם בסיסית״, כתב מנכ״ל אפל טים קוק במאמר דעה שפרסם ב־Time בינואר 2019. ההצהרה, בתרגום לעברית, מבטאת אמת מידה ראויה. המבחן הוא כיצד היא מתורגמת לממשק, לברירות מחדל ולשליטה של מי שאינו הלקוח.

דוגמה קונקרטית היא הקלטת השיחות שאפל הוסיפה במסגרת iOS 18.1, בכפוף לזמינות לפי אזור ושפה. לפי מדריך המשתמש של החברה, המשתתפים שומעים הודעה כאשר ההקלטה מתחילה. זהו מנגנון הודעה ברור יותר מסימון חזותי שקל להחמיץ, אך גם הוא אינו פוטר את המשתמש מעמידה בדין המקומי.

חשוב להבחין בין יכולת מתועדת כזו לבין טענות לא מאומתות על מכשירים שמאזינים כל היום. אין בסיס להציג כאן את התכונות Live Rewind ו־Siri Recap, המיוחסות בטקסט המקור ל־Apple Watch, כיכולות מוכחות: לא צורף לטענות האלה מקור רשמי שאפשר להסתמך עליו.

הביקורת על מעקב צרכני אינה זקוקה להכרזות לא מבוססות. המוצרים המתועדים כבר מציבים שאלות קשות מספיק: מי יודע שמתבצעת הקלטה, מה נשמר, מי רשאי לגשת אליו וכיצד מפסיקים את האיסוף.

ממצלמת דלת לרשת מעקב שכונתית

הסיפור אינו מסתיים במכשירים לבישים. מצלמת דלת שמותקנת כדי להגן על דירה יכולה לתעד גם את דלת השכן ואת אורחיו. מערכת לזיהוי לוחיות רישוי יכולה לסייע בחקירת עבירות, ובמקביל לייצר רישום של כלי רכב שעברו במקום.

חברת Flock Safety, למשל, מציעה מערכות לקריאה אוטומטית של לוחיות רישוי. המערכות מאפשרות לחפש תצפיות לפי מאפייני רכב ולוחית, בהתאם למוצר ולהרשאות. אין צורך בזיהוי פנים כדי שמידע על מקום וזמן ייעשה רגיש: רצף תצפיות עשוי לסייע בהסקת מסלולי נסיעה והרגלים.

מקרה Ring מדגים מדוע לא מספיק לשאול אם המצלמה מגינה מפני פורצים. במאי 2023 הודיעה נציבות הסחר הפדרלית בארצות הברית, ה־FTC, על הסדר עם החברה בעקבות טענות הנוגעות לגישה בלתי נאותה לסרטונים ולכשלי אבטחה.

לפי הודעת ה־FTC על פרשת Ring, ההסדר כלל תשלום של 5.8 מיליון דולר שנועד להחזרים לצרכנים, לצד דרישות לתוכנית פרטיות ואבטחה. אלה טענות רגולטוריות והסדר במקרה מסוים, לא הוכחה שכל מצלמה מחוברת אינה בטוחה. הלקח הוא שגם ההרשאות ומנגנוני הפיקוח בתוך החברה חשובים לא פחות מהעדשה שבכניסה.

כשמחליפים חברת ניהול. כך מצמצמים תלות בהבטחות בעל פה ומקלים על פיקוח בהמשך. מסמך לבדו אינו מונע שימוש לרעה, אבל בלעדיו קשה אפילו לדעת מה הוסכם.

בישראל, הנחיות הרשות להגנת הפרטיות בנושא מצלמות מעקב מספקות מסגרת לבחינת תכלית הצילום, מידתיות, יידוע ואבטחת מידע. בבניין משותף נדרשת גם בחינה של הנסיבות והזכויות הרלוונטיות; הצבעת דיירים אינה תחליף אוטומטי לבדיקה הזאת.

מה אומר החוק — ומה הוא עדיין לא פותר

הקלטת שיחה, צילום ואיסוף מידע אישי כפופים למסגרות משפטיות שונות. בישראל, ככלל, הקלטה בהסכמת אחד מבעלי השיחה אינה ״האזנת סתר״ כהגדרתה בחוק האזנת סתר, בכפוף לחריגים. לעומת זאת, מכשיר של צד שלישי שקולט שיחה בין אחרים מציב שאלה אחרת.

גם כאשר ההקלטה אינה אסורה לפי חוק האזנת סתר, השימוש בה או פרסומה עשויים לעורר שאלות של פרטיות, סודיות וחובות מקצועיות. העובדה ששיחה התקיימה בבית קפה אינה מעניקה בהכרח היתר חופשי לכל שימוש בתוכנה.

באיחוד האירופי, ה־GDPR מחייב, כשהוא חל, בסיס חוקי לעיבוד מידע אישי, שקיפות וצמצום מידע למידה הנחוצה. הסכמה היא בסיס אפשרי, אך אינה היחיד. גם החריג לפעילות אישית או ביתית אינו פטור גורף לכל צילום או הפצה.

תמלול ללא שמירת קול אינו ״מסלול עוקף״ משפטי מובטח. הסיווג תלוי בטכנולוגיה, בנסיבות ובדין המקומי. נוסף על כך, השאלה אם מידע נאסף כחוק נפרדת מהשאלה אם תמלול מסוים אמין או קביל כראיה.

כשהמכונה מסכמת, היא גם עלולה לטעות

מעבר לחשיפה עצמה, יש סיכון של ייצוג שגוי. מערכות תמלול עשויות לטעות בשמות, בשלילה ובשיוך משפטים לדוברים. סיכום אוטומטי עלול להשמיט הסתייגות או להציג הצעה כהחלטה.

נניח שבישיבת דיירים נאמר: ״לא אישרנו התקנת זיהוי פנים״. השמטת המילה ״לא״ יכולה להפוך את משמעות הדברים. אם הסיכום מופץ בלי בדיקה, הטעות מקבלת מראה של תיעוד מוסמך.

לכן, כשסיכום משפיע על החלטות עבודה, זכויות או התחייבויות, צריך לאמת אותו ולאפשר תיקון. תמלול הוא כלי עזר, לא עד אובייקטיבי. גם שמירת הקלטת המקור לצורך אימות דורשת איזון: היא עשויה לסייע בבדיקה, אך משמרת מידע רגיש נוסף.

מה אפשר לעשות, בלי להבטיח היעלמות מהרדאר

מי שמשתמש בכלי תיעוד יכול להתחיל בכלל פשוט: להודיע לפני ההפעלה, להסביר מה יישמר ולהציע חלופה. בפגישה רגישה, סיכום ידני עשוי להיות מתאים יותר. כאשר נדרש תמלול לצורכי נגישות, אפשר לבחון פתרון מצומצם ומוסכם במקום איסור גורף.

בארגון כדאי לקבוע היכן מותר לתמלל, אילו שירותים מאושרים ומתי מוחקים את החומר. הגבלת הרשאות ושמירה קצרה מפחיתות את היקף הנזק האפשרי, אך אינן מבטיחות מחיקה של עותקים שכבר הורדו או שותפו.

למי שנמצא בצד המתועד אין תמיד שליטה טכנית. בשיחה רגישה אפשר לשאול במפורש אם מופעל כלי הקלטה ולבקש לכבותו. במרחב הציבורי האפשרות הזאת מוגבלת, ולכן אי אפשר להטיל את מלוא האחריות על אדם שצריך לזהות כל עדשה ונורית סביבו.

סיכום: היכן נמצא הסיכון ומה עשוי לצמצם אותו

חמש שאלות שכדאי לשאול לפני שמפעילים או מאשרים מערכת

• האם אני יודע מה נאסף בפועל: קול, תמונה, תמלול, סיכום או נתוני כניסה?
• האם האנשים שיושפעו מהאיסוף יודעים עליו ויכולים להביע התנגדות משמעותית?
• מי יכול לגשת למידע, לכמה זמן הוא נשמר ולאילו גורמים הוא מועבר?
• האם אפשר להשיג את אותה מטרה באמצעות פחות מידע או בלי תיעוד רציף?
• למי פונים במקרה של טעות, שימוש לרעה או בקשת מחיקה?

הבחירה הפרטית כבר אינה פרטית לגמרי

אין דרך מעשית להבטיח שאף מכשיר לא יקלוט אותנו לעולם. אבל מכאן לא נובע שכל מעקב הוא בלתי נמנע, או שכל פגיעה בפרטיות היא מחיר סביר של חדשנות. תכנון, הגדרות ברירת מחדל, כללים ואכיפה יכולים לשנות את היקף האיסוף ואת השימוש בו.

המבחן של הטכנולוגיה החכמה אינו רק כמה היא זוכרת עבור מי שקנה אותה. הוא גם כמה שליטה היא משאירה לאנשים שבמקרה נכנסו לטווח שלה — בלי לקנות דבר ובלי להסכים להשתתף.