AI בגיוס ואבחון עובדים – מה חייבים לדעת לפני שמטמיעים מערכת
תיקון 13 לחוק הגנת הפרטיות מטיל חובות מהותיות חדשות על כל ארגון המשתמש במערכות בינה מלאכותית לגיוס, מיון ואבחון עובדים. הטמעת מערכת AI שמקבלת החלטות אוטומטיות על מועמדים, דוגמת מיון קורות חיים, ניתוח ראיונות, בדיקות אישיות – מחייבת ביצוע תסקיר DPIA מקדמי, גילוי נאות למועמד על השימוש ב-AI, ומתן זכות לקבלת הסבר על ההחלטה האוטומטית. ארגון המטמיע או משתמש במערכות AI במשאבי האנוש, שלא עמד בדרישות הדין, חשוף לקנסות מינהליים, עיצומים ותביעות. משרד וולר ושות׳, המדורג BDI ו-Dun's 100 לשנת 2026 ופועל מאז 1965, מלווה ארגונים, עמותות, גופים ציבוריים ופרטיים בהטמעת מערכות AI בהתאם לדרישות תיקון 13.
המהפכה הטכנולוגית והמלכוד הרגולטורי
הטמעת מערכות בינה מלאכותית משנה באופן מהותי ועמוק עסקים וחברות, ובתוך כך גם את משאבי האנוש ותהליכי גיוס, מיון ואבחון מועמדים לעבודה. הצורך הארגוני הברור לייעל תהליכים תפעוליים, לקצר את משך הזמן הנדרש לאיוש משרות, לנהל מאגרי מועמדים בהיקפים ניכרים, ולהשוות ולאמת נתוני מועמדים בזמן אמת, מוביל ארגונים במגזר הציבורי ובמגזר הפרטי כאחד לבחון ולאמץ כלי בינה מלאכותית מתקדמים.
עם זאת, הניסיון לרתום את הכלים הללו לא רק למשימות טכניות, אלא גם למשימות מורכבות ורגישות כגון בחינת ההשתלבות האפשרית של המועמדים בצוות ובארגון, ניתוח אישיותי או חיזוי הצלחה ארוכת טווח, מציב לפתחו של הארגון אתגרים משפטיים ורגולטוריים חסרי תקדים.
אובייקטיבית של אלגוריתמים?
אחד הסיכונים המרכזיים והנפוצים ביותר הכרוכים בשילוב מערכות AI בניהול המשאב האנושי הוא פסיכולוגי וארגוני במהותו: ייחוס מראית עין של אובייקטיביות, מדעיות וניטרליות להחלטות המתקבלות על ידי מערכות ממוחשבות. תופעה זו, המוכרת בעולם המשפט והטכנולוגיה כ-Automation Bias, גורמת למנהלים להניח באופן שגוי כי מערכת ממוחשבת פועלת בהכרח באופן אובייקטיבי, ולפיכך פלטיה והחלטותיה נקיים מהטיה, מאפליה או משיקולים זרים.
אלא שהנחה זו אינה עומדת במבחן המשפטי או העובדתי. אלגוריתמים אינם פועלים בחלל ריק; הם משקפים את הנתונים שעליהם הם אומנו ואת ההנחות הלוגיות של מפתחיהם. הסתמכות עיוורת על פלטי מערכת, ללא הבנה עמוקה של תהליכי העבודה הדיגיטליים, של מערכות המחשוב, של דיני העבודה המשתנים, ושל עידן הציות החדש במסגרת תיקון 13 לחוק הגנת הפרטיות, עלולים לחשוף את הארגון ואת נושאי המשרה בו באופן אישי לסיכונים משמעותיים – אזרחיים, מנהליים ופליליים כאחד.
מה הסיכונים בדיני העבודה בשימוש במערכות AI?
הנצחת הטיות עבר
מודלי בינה מלאכותית לומדים מהיסטוריית הארגון ומזקקים דפוסים מתמטיים מתוך נתוני העבר. המשמעות המשפטית היא דרמטית: אם ארגון מסוים גייס בעבר, מסיבות היסטוריות או חברתיות, בעיקר גברים, צעירים, או בוגרי מוסדות לימוד מסוימים, המערכת תזהה את התכונות הדמוגרפיות הללו כ"מדדי הצלחה סטטיסטיים".
כתוצאה מכך, ה-AI יתחיל לפסול באופן סמוי, אוטומטי ושיטתי נשים, מועמדים מבוגרים (תופעה המהווה גילנות אסורה) או קבוצות מיעוט בחברה. פסילה זו מתרחשת תחת כסות מדומה של "מתאם סטטיסטי לאיכות התאמה", ובכך הופכת הבינה המלאכותית לכלי יעיל להנצחת הטיות העבר של השוק, תוך הלבנתן באצטלה טכנולוגית נקייה.
קורלציות נסתרות כמקור להפליה עקיפה
מערכות בינה מלאכותית יוצרות קשרים וקורלציות מורכבות בין אלפי משתנים שונים, שלעיתים נראים ניטרליים לחלוטין על פניהם, אך בפועל מייצרים הפליה עקיפה ואסורה.
דוגמה מעשית: מערכת AI עלולה לזהות כי עובדים שלא החליפו מקום עבודה במשך 5 שנים רצופות הם "עובדים יציבים בעלי פוטנציאל שחיקה נמוך", ולכן להעניק להם ציון התאמה גבוה. אלא שסטטיסטית, נשים בגילאי הפוריות נוטות לבצע הפסקות תעסוקה, מעברים תכופים יותר או שינויי משרות בשל אילוצים משפחתיים, חופשות לידה והורות.
כאשר ה-AI מוריד באופן אוטומטי את הציון למועמדות בעלות רצף תעסוקתי קטוע, הוא מייצר הפליה מגדרית עמוקה. במצב כזה, הארגון המגייס יתקשה מאוד להוכיח בבית הדין לעבודה כי הקריטריון שנקבע על ידי המכונה הוא דרישה לגיטימית "המתחייבת ממהות התפקיד".
חשיפה משפטית, כשל "הקופסה השחורה" וחובת ההנמקה
חוק שוויון הזדמנויות בעבודה, התשמ"ח-1988, מציב רף קשיח של אחריות נזיקית ואזרחית מלאה על המעסיק. מקום שבו יוכח כי השימוש במערכת אלגוריתמית הוביל להפליה, המעסיק יימצא חב בדין – וזאת גם בהיעדר כוונה סובייקטיבית או מודעות מצידו להפליה שביצעה המערכת.
הקושי הראייתי הגדול ביותר נובע מכשל "הקופסה השחורה" (Black Box) המאפיין מודלי AI מורכבים (כמו רשתות נוירונים עמוקות). מודלים אלו אינם מספקים הסבר לוגי או נתיב החלטה שקוף וברור לתהליכי קבלת ההחלטות שלהם. כאשר מועמד שנפסל יגיש תביעה וידרוש לדעת מדוע הוסר ממועמדותו, או כאשר גוף ציבורי יידרש לעמוד בחובת ההנמקה המינהלית המוטלת עליו בדין, הגוף ייקלע לבעיה בבית הדין לעבודה. חוסר היכולת להסביר כיצד המערכת קיבלה את ההחלטה עלול להוביל להעברת נטל ההוכחה אל כתפי המעסיק, ולפסילת הליך הקבלה כולו.
מהם סיכוני הגנת פרטיות ואבטחת המידע בתחום משאבי האנוש?
עם כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, חוקי המשחק הרגולטוריים השתנו מהותית. התיקון החמיר את רף הענישה, הגדיר והעניק סמכויות אכיפה נרחבות לרשות להגנת הפרטיות, קבע עיצומים כספיים בהיקפים של מיליוני שקלים, והטיל חשיפה אישית פלילית ומנהלית ישירה על מנכ"לים, מנהלי משאבי אנוש ונושאי משרה בכירים.
1. אובדן שליטה ודלף מידע
הזנת קורות חיים, שאלוני אבחון או מסמכי גיוס פנימיים למערכות בינה מלאכותית ציבוריות או מסחריות פתוחות (כמו גרסאות חינמיות או לא ארגוניות של מודלי שפה) מהווה הפרה חמורה של הדין. מסמכים אלו מכילים מידע בעל רגישות מיוחדת (מצב רפואי, פרופיל צבאי, נתונים כלכליים, דעות פוליטיות או נתוני שכר קודמים) המוגדר כמידע מוגן. הזנתם למערכת חיצונית מהווה העברה של מידע אישי מזהה לגורמים צד ג' ללא היתר, ולעיתים קרובות אף מהווה הפרה של תקנות העברת מידע אל מחוץ לגבולות המדינה (כאשר המידע מעובד בשרתי ענן זרים ללא הסדרה משפטית מתאימה).
2. שגיאות תוכן והזיות מערכת
היבט טכנולוגי-משפטי נוסף נובע ממנגנוני המרת קבצים האמונים על תרגום קורות חיים מפורמטים של PDF או Word לטקסט מובנה בבסיס הנתונים. מנגנונים אלו נוטים להשתבש קשות בקריאת קורות חיים המעוצבים בצורה לא סטנדרטית (שני טורים, טבלאות מובנות, פונטים ייחודיים או גרפיקה).
כתוצאה מכך, המערכת עלולה להחמיץ שנות ניסיון קריטיות, להשמיט תארים אקדמיים או לייצר מסקנות מוטעות ("הזיות מערכת"). הסתמכות של ארגון על נתונים משובשים אלו ללא בקרה אנושית פוגמת קשות בתקינות ההליך המינהלי או המכרזי, וחשופה לערעורים ותביעות בגין פגיעה בזכות הטיעון וניהול הליך בחירה שלא בתום לב ובחוסר מקצועיות.
3. הפרת עיקרון צמידות המטרה
ארגונים רבים מבקשים לבנות את פרופיל "המועמד האידיאלי" שלהם באמצעות הזנת חומרי גלם ונתונים של עובדים קיימים ומצליחים בחברה – כולל נתוני שכר, הערכות עובד שנתיות, ומבחני אבחון פסיכולוגיים קודמים – לתוך מאגר האימון של ה-AI.
מבחינה משפטית, זוהי הפרה ישירה של עיקרון צמידות המטרה בדיני הגנת הפרטיות. המידע על העובדים הקיימים נאסף ונשמר במקור למטרה ספציפית: ניהול יחסי עובד-מעסיק שוטפים. עיבודו מחדש כחומר אימון לאלגוריתם האבחון של מועמדים אחרים, ללא קבלת הסכמה מפורשת, נפרדת, מדעת ובכתב של העובדים הקיימים, מהווה עבירה על חוק הגנת הפרטיות ועשוי להוביל לסנקציות מנהליות ופליליות כבדות תחת משטר תיקון 13.
איך פועלים כחוק בהליכי גיוס ומיון?
כדי שהארגון יוכל להפיק את התועלת התפעולית והכלכלית העצומה הגלומה בכלי בינה מלאכותית מבלי לחרוג ממסגרת הדין ותוך צמצום החשיפה האישית של מנהליו, חובה להטמיע ארכיטקטורת עבודה קשיחה, מבוקרת ומתועדת, המבוססת על ארבעה שלבים:
שלב א': אישור ה-DPO, מערך אבטחת המידע וחסימת כלים פתוחים
חובה משפטית לקבל אישור מקדמי בכתב מממונה הגנת הפרטיות (DPO) של הארגון, וממנהל אבטחת המידע, וזאת רק לאחר ביצוע סקר סיכוני פרטיות מקיף (DPIA – Data Protection Impact Assessment). על הארגון לחסום באופן אקטיבי ברמת ה-Firewall הארגוני גישה של מנהלים ועובדים לכלי AI ציבוריים וחינמיים. כל עבודת הגיוס והסינון חייבת להתבצע אך ורק באמצעות חשבונות ארגוניים סגורים (Enterprise) הכפופים לנספח הגנת פרטיות קשיח וחתום (DPA – Data Processing Addendum) בהתאם להוראות תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע).
שלב ב': קבלת הסכמה וחובת היידוע הצרכנית והתעסוקתית
שקיפות היא קו ההגנה הראשון של הארגון. יש להטמיע במערכת הגיוס הארגונית (או באתר הקריירה) מנגנון אישור אקטיבי, שהמועמד נדרש לסמן באופן יזום. הטקסט המשפטי המלווה חייב להצהיר בשקיפות מלאה על עצם השימוש במערכות AI ככלי עזר תומך החלטה בלבד, ולהבהיר באופן שאינו משתמע לשני פנים כי ההחלטות הסופיות והמהותיות לגבי קבלה או דחייה מסורות תמיד לגורם אנושי מוסמך.
שלב ג': אנונימיזציה מלאה בשלבי העיבוד המוקדמים
על מנת לנטרל מראש טענות להפליה ישירה או עקיפה, יש ליישם תהליך אנונימיזציה קשיח. לפני שקובץ קורות החיים מוזן למנוע ה-AI לצורך דירוג או השוואה, יש לבצע השחרה או מחיקה דיגיטלית אוטומטית של כל פרט מזהה: שמות, מספרי תעודת זהות, כתובות מגורים (למניעת הפליה על רקע גאוגרפי/סוציו-אקונומי), מספרי טלפון, ושמות מעסיקים ספציפיים. המערכת נדרשת להתבקש לנתח אך ורק "יכולות, כישורים וניסיון רלוונטי", ולא "אנשים מוגדרים".
שלב ד': מנגנוני מדגם, בקרת איכות ואיסור מוחלט על פסילה אוטומטית
חל איסור משפטי מוחלט על שליחת הודעות דחייה אוטומטיות (Automated Decision Making) למועמדים ישירות מהמערכת ללא מעורבות אנושית. כל החלטת סינון או מעבר שלב חייבת לעבור אישור ידני של רכז הגיוס, אשר ישקף נימוק עצמאי בהסתמך על קורות החיים המקוריים. בנוסף, על הארגון לקיים מנגנון מדגם תקופתי קבוע (בדיקה ידנית כפולה של אחוז מסוים מהמועמדים שנפסלו על ידי המכונה) ובדיקה אנושית מלאה של כל מועמד שסומן על ידי המערכת כמי שאינו עומד בתנאי הסף, כדי לוודא שאינטגרציה משובשת של הקובץ לא גרמה לפסילת שווא.
כללי "עשה ואל תעשה"
במישור הפרקטי והיומיומי, ניהול הסיכונים דורש הגדרה ברורה של גבולות המותר והאסור בשימוש בטכנולוגיה, במיוחד לאור החובות החדשות של שנת 2026. הטבלה הבאה מרכזת את כללי המפתח לארגון:
| DO פעולות מותרות ומומלצות | DON'Tפעולות אסורות ומסוכנות |
|---|---|
| הגבלת ה-AI לנתונים יבשים בלבד: בדיקת שפות, תארים אקדמיים מוכרים, ושנות ניסיון רשמיות. | ניסוח פרופילי אופי ואבחון פסיכולוגי: חסימה מוחלטת של ניסיונות להשתמש ב-AI להערכת תכונות אופי או יציבות נפשית. |
| מחיקה וצמצום מידע (Data Minimization): מחיקת קורות חיים של מועמדים שנפסלו בתוך 6–12 חודשים מתום ההליך. | שמירת מידע לנצח: איסור על אגירת קורות חיים ומסמכים רגישים ללא הגבלת זמן בשרתי הארגון. |
| בקרת איכות אנושית קבועה: ביצוע ביקורת אלגוריתמית תקופתית (Audit) לבחינת הטיות סטטיסטיות. | ניתוח רגש ביומטרי בראיונות וידאו: איסור מוחלט על שימוש בתוכנות המנתחות שפת גוף, מימיקת פנים או טון דיבור. |
| הסדרה חוזית מלאה מול צד ג': חתימה על הסכמי DPA מפורטים עם כל ספק טכנולוגי חיצוני. | הזנת נתוני עובדים קיימים ללא הסכמה: איסור שימוש בתיקי עובדים כמאגר אימון ללא אישור בכתב ומדעת. |
איך עובדים מול מכוני מיון וחברות השמה חיצוניות?
ארגונים רבים נוטים לחשוב בטעות כי העברת תהליך הסינון הראשוני או האבחון לידיהם של מכוני מיון חיצוניים, חברות השמה או פלטפורמות גיוס דיגיטליות, מסירה מהם את האחריות המשפטית. זוהי שגיאה חמורה.
על פי דיני הגנת הפרטיות ותקנות אבטחת המידע, הארגון המגייס נותר במעמד הסטטוטורי של "בעל השליטה במאגר" (Data Controller), בעוד שחברות ההשמה ומכוני המיון פועלים במעמד של "מחזיק במאגר" או "מעבד" (Data Processor). המשמעות היא שהאחריות השילוחית העליונה לתקינות ההליך, לשמירה על הפרטיות ולמניעת אפליה נותרת תמיד על כתפי הארגון שלכם.
לפיכך, חובה לעגן את ההתקשרות המשפטית מול גורמים אלו באמצעות חוזה התקשרות הכולל נספח DPA מחמיר וקפדני במיוחד. במסגרת זו, חלה על הארגון החובה:
-
לחקור ולתעד באופן אקטיבי: באילו כלי AI בדיוק משתמש הספק החיצוני, ומהם המנגנונים שהוא מפעיל למניעת הטיות.
-
לעגן איסור שימוש משני: לאסור על הספק באופן גורף לבצע כל שימוש משני, מסחרי או סטטיסטי, בנתוני המועמדים שהועברו אליו על ידי הארגון.
-
לחייב מחיקה: להטיל חובה חוזית למחיקה מלאה ומאובטחת של כל נתוני המועמדים ממערכות הספק מיד עם תום הליך המכרז, המיון או איוש המשרה הספציפית.
סיכום: בניית מערך ציות ארגוני מקיף
הטכנולוגיה המבוססת על בינה מלאכותית מציעה הזדמנויות חסרות תקדים לייעול וחדשנות במחלקות משאבי האנוש, אך יישומה ללא ליווי משפטי צמוד וארכיטקטורת ציות מתאימה מהווה הימור מסוכן על עתיד הארגון ועל חשיפתם האישית של מנהליו. בעידן הרגולטורי הנוכחי, שבו תקנות אבטחת המידע ותיקוני החקיקה מטילים סנקציות דרקוניות על הפרות, הדרך היחידה להטמיע חדשנות היא באמצעות "פרטיות וציות כבר בשלבי התכנון" (Privacy by Design). הסדרה מראש, הגדרה נכונה של הממשקים המשפטיים ובניית תהליכי עבודה מבוקרים הם אלו שיבטיחו כי הארגון יצעד קדימה מבחינה טכנולוגית – מבלי לשלם מחיר משפטי וכלכלי כבד.
ליווי משפטי מקצועי להטמעת טכנולוגיות ובינה מלאכותית בארגון
משרד עורכי דין וולר ושות' מעניק ליווי משפטי, אסטרטגי ומעשי מקיף לחברות מסחריות, גופים ציבוריים, עמותות ורשויות מקומיות. משרדנו מתמחה בבניית תוכניות ציות מותאמות אישית, עריכת סקרי סיכוני פרטיות (DPIA), ניסוח וגיבוש נספחים חוזיים מורכבים (DPA) מול ספקי טכנולוגיה מקומיים ובינלאומיים, והתאמת מערכי הגיוס ומשאבי האנוש להוראות הדין המשתנות וחוק הגנת הפרטיות.
צרו קשר עם משרדנו לתיאום פגישת ייעוץ מקצועית והגנה על הארגון שלכם.
עו"ד רועי וולר
עורך דין ושותף בכיר | הגנת פרטיות, DPO ורגולציית AI — וולר ושות'
עו"ד רועי וולר, שותף בכיר במשרד וולר ושות׳ בחיפה. M.A במשפטים, DPO מוסמך ומנהל סיכונים ראשי (CRO). מתמחה בתיקון 13 לחוק הגנת הפרטיות, רגולציית AI, ומשאבי אנוש דיגיטליים. מלווה ארגונים ורשויות מקומיות בהטמעת מערכות AI בהתאם לדין.
