בניתם את זה עם לאבאבל — מי אחראי כשזה מדליף נתונים?

מנהלת מוצר צריכה לוח בקרה פנימי. במקום לפתוח קריאה ולחכות רבעון לצוות הפיתוח, היא פותחת את לאבאבל, מתארת במילים פשוטות מה היא רוצה, מחברת את זה לגוגל וורקספייס של החברה, ומשיקה אפליקציה עובדת באותו אחר צהריים. האפליקציה קוראת מהדרייב, מושכת כמה גיליונות ושולחת סיכום שבועי בדוא״ל. זה עובד. כולם מרוצים.

איש אינו שואל את השאלה שתהפוך לחשובה שישה חודשים מאוחר יותר, כשבוחן אבטחה או רגולטור כן ישאלו אותה: מי אחראי לאופן שבו האפליקציה הזו מטפלת בנתונים שהיא נוגעת בהם?

התשובה אינה הפלטפורמה שחוללה את הקוד. היא החברה שפרסה אותו. המאמר הזה מסביר למה ״בנינו את זה עם בינה מלאכותית״ אינו קו הגנה, מה ספציפית משתבש באפליקציות שנבנו בבינה מלאכותית, ואיך להשיג נראות לפני שהשאלה נשאלת בכעס.

מה זו בעצם ״אפליקציה שנבנתה בבינה מלאכותית״

קטגוריה חדשה של כלים — לאבאבל, בייס44, בולט.ניו, קרסר ורשימה מתארכת של אחרים — מאפשרת לאנשים לבנות ולפרוס אפליקציות רשת אמיתיות מתוך הנחיות בשפה טבעית. לעיתים קרובות קוראים להן פלטפורמות ״וייב קודינג״. הקסם ברור: מי שאינו מפתח יכול להפיק דבר שדרש בעבר צוות שלם, ולעשות זאת בשעות.

האפליקציות האלה אינן צעצועים. הן נפרסות למשתמשים אמיתיים, והן מתחברות באופן שגרתי למערכות חברה אמיתיות — גוגל וורקספייס, סיילספורס, מסדי נתונים פנימיים — דרך הרשאות OAuth רגילות. מנקודת המבט של הנתונים, אפליקציה שנבנתה באחר צהריים אחד מהנחיה טקסטואלית ואפליקציה שנבנתה במשך חודשים בידי צוות הנדסה נראות זהות: שתיהן מחזיקות אסימון גישה ושתיהן יכולות לקרוא את מה שהאסימון מתיר.

הסימטריה הזו היא לב הבעיה. המהירות שהופכת את בוני הבינה המלאכותית למושכים היא אותה מהירות שמאפשרת לאפליקציה להגיע לנתונים רגישים בלי שאיש סקר מה היא עושה איתם.

לבנות עם בינה מלאכותית אינו אותו דבר כמו להיות בטוחים

ראוי לדייק ולהיות הוגנים: אפליקציה שנבנתה עם לאבאבל או בייס44 אינה בלתי בטוחה מטבעה. הפלטפורמות האלה מסוגלות להפיק אפליקציות סבירות לחלוטין, ורבות מהן כאלה. הסיכון אינו שהבינה המלאכותית כותבת קוד גרוע. הסיכון הוא משילות, והוא מופיע בשלוש דרכים צפויות.

הפורס כמעט אף פעם לא קורא את הקוד. כל הצעת הערך של וייב קודינג היא שלא צריך. ולכן מי ששחרר את האפליקציה לרוב אינו יכול לומר לכם איך היא מאחסנת נתונים, האם היא רושמת שדות רגישים ביומנים, לאן היא שולחת מידע וכמה זמן היא שומרת דבר-מה. הצד שנושא באחריות הוא בעל הנראות הנמוכה ביותר אל הדבר שהוא אחראי לו.

הגישה רחבה ובלתי נראית. בוני בינה מלאכותית מבקשים את ההרשאות שגורמות להדגמה לעבוד, ו״שזה יעבוד״ פירושו לעיתים קרובות גישת קריאה רחבה. לוח בקרה פנימי שנזקק לקריאת תיקייה אחת בלבד עשוי להחזיק גישת קריאה לכל הדרייב. ומכיוון שההענקה קרתה דרך מסך הסכמת OAuth רגיל, היא מעולם לא הופיעה על מכ״ם האבטחה של איש — זו, בהגדרה, מערכות מידע בצל.

אין מדיניות מתועדת לטיפול בנתונים. בקשו את מדיניות השמירה של מערכת ייצור שנבנתה ביד ותקבלו בדרך כלל תשובה. בקשו את מדיניות השמירה של אפליקציה שעמית חולל ביום שלישי שעבר — ואין שום דבר רשום. תחת דיני הגנת המידע, ״אנחנו לא יודעים כמה זמן היא שומרת את הנתונים״ אינה תשובה ניטרלית — היא ממצא.

למה החברה — ולא הפלטפורמה — נושאת באחריות

הנה החלק שמפתיע אנשים. כשאפליקציה שנבנתה בבינה מלאכותית מטפלת בנתונים באופן פגום, האחריות המשפטית והרגולטורית נוחתת על הארגון שפרס אותה, לא על בונה הבינה המלאכותית שחולל אותה.

זו אותה תזוזת אחריותיות שמעצבת עכשיו מחדש את דיני הבינה המלאכותית בכלל. תחת תקנת הגנת המידע הכללית של האיחוד האירופי (GDPR), הישות שקובעת את מטרות עיבוד המידע האישי ואת אמצעיו היא בעלת השליטה בנתונים, והיא זו שנושאת בחובות — בסיס חוקי, מזעור נתונים, הגבלת אחסון, והחובה להוכיח את כל אלה. כשהחברה שלכם פורסת אפליקציה שמעבדת נתוני לקוחות, החברה שלכם היא בעלת השליטה. פלטפורמת הבנייה היא, לכל היותר, כלי שהשתמשתם בו.

הנוף המשפטי הרחב של 2026 מצביע לאותו כיוון. בתי משפט החלו להתייחס לחברה שמשתמשת במערכת בינה מלאכותית כאחראית להתנהגותה — התדיינות *מובלי נגד וורקדיי* בארצות הברית התקדמה על בסיס תורת השליחות ובהמשך זכתה לאישור מותנה של תובענה קבוצתית ארצית. בגרמניה, בית המשפט האזורי העליון בהאם דן באחריות למה שמערכת בינה מלאכותית אומרת ללקוחות ואותת שכתב ויתור כללי מסוג ״ללא אחריות״ אינו מגן, כשלעצמו, על החברה הפורסת. תקנת הבינה המלאכותית האירופית מוסיפה מעליהם חובות ייעודיות למפעילים, עם קנסות משמעותיים לשימושים בסיכון גבוה. אנחנו מרחיבים על התזוזה הזו בסקירה שלנו על מי נושא באחריות כשסוכן בינה מלאכותית מדליף נתונים.

החוט המקשר: פריסת אפליקציה שנבנתה בבינה מלאכותית היא החלטה שהארגון שלכם קיבל, והחוק מתייחס להחלטות כנושאות אחריות. העובדה שבינה מלאכותית כתבה את הקוד אינה משנה דבר לגבי מי שבחר לחבר אותו לנתוני החברה.

השטח המת, בקונקרטיות

חברו את החלקים ותופיע צורת כשל ספציפית ונפוצה:

• עובד לא-טכני בונה אפליקציה עם בונה בינה מלאכותית.
• האפליקציה מתחברת לגוגל וורקספייס דרך OAuth ומקבלת הרשאות רחבות.
• היא מגיעה למידע אישי של לקוחות או עובדים — אנשי קשר, תוכן דוא״ל, קבצים.
• איש לא סקר את הטיפול בנתונים, ואין מדיניות שמירה רשומה.
• לאבטחה אין רישום מלאי לאפליקציה, כי היא מעולם לא עברה סקירה.

כל צעד סביר בפני עצמו. יחד הם מייצרים אפליקציה שמעבדת מידע אישי, שהחברה שלכם אחראית לה משפטית, ושצוות האבטחה שלכם אינו יודע על קיומה. זה הפער שמבקר בוחן ופריצה מנצלת.

איך סוגרים את הפער

התיקון אינו לאסור על בוני בינה מלאכותית — המרוץ הזה כבר הוכרע, והפרודוקטיביות אמיתית. התיקון הוא נראות וראיות: לדעת אילו אפליקציות שנבנו בבינה מלאכותית מחוברות, לדעת מה כל אחת משיגה, ולהיות מסוגלים להראות שמשלתם בהן.

זה בדיוק מה ש-8200.dev עושה. היא מגלה את אפליקציות ה-OAuth המחוברות לגוגל וורקספייס שלכם, ומסמנת את אלה שמקורן בבוני בינה מלאכותית — לאבאבל, בייס44, בולט.ניו, קרסר ודומיהם — לפי חתימות שם האפליקציה ומארח ההפניה, ולפי הדפוס המסגיר של אפליקציה לא מאומתת שנוצרה לאחרונה וכבר מחזיקה הרשאות רחבות. עבור כל אחת תראו את פלטפורמת הבנייה, את ההרשאות המדויקות שהוענקו, מי אישר אותן וציון סיכון — בתצוגה ייעודית של אפליקציות שנבנו בבינה מלאכותית, לצד שאר סוכני הבינה המלאכותית ואפליקציות ה-OAuth שלכם.

כשאפליקציה שנבנתה בבינה מלאכותית יכולה להגיע למידע אישי מזהה של לקוחות, או מחזיקה גישה רחבה ללא מדיניות שמירה מתועדת, נוצר ממצא ספציפי — כך שהפער הופך למשימה עם בעלים במקום להפתעה בביקורת. וכל אפליקציה כזו ניתנת לרישום במרשם סוכני הבינה המלאכותית, כך שגם אלה ששום מחבר אינו מגיע אליהן מופיעות במלאי אחד שלם. אפשר לראות כאן את סט היכולות המלא.

המטרה אינה להאט את הצוותים שלכם. היא לוודא שכשהשאלה תגיע — מרגולטור, ממבקר או מסקירת אבטחה של לקוח — תוכלו לענות עליה. לא ״בנינו את זה עם בינה מלאכותית, אז זו בעיה של הפלטפורמה״, שאינו קו הגנה, אלא ״הנה האפליקציה, הנה בדיוק מה שהיא יכולה לגשת אליו, והנה הראיות שסקרנו אותה.״ למבט מעמיק על מה שבוחנים מצפים לו כיום, ראו מה מבקרים דורשים למשילות בינה מלאכותית ב-2026.

לבנות עם בינה מלאכותית זה מהיר. לשאת באחריות למה שבניתם אינו אופציונלי. שני אלה מתיישבים בזכות דבר אחד: הידיעה למה האפליקציות שנבנו בבינה מלאכותית באמת מסוגלות להגיע.

התחילו בלראות מה כבר מחובר לסביבת העבודה שלכם. אפשר למפות את האפליקציות שנבנו בבינה מלאכותית, לדרג את הגישה שלהן ולהפיק את פריט הראיות הראשון שלכם במסלול החינמי — ראו תוכניות והתחילו בחינם.

*המאמר הוא מידע כללי, לא ייעוץ משפטי. פנו לייעוץ מוסמך להנחיה המתאימה לארגון שלכם.*