לפני שאתם משתפים: פרטיות ב-AI צריכה יותר מהבטחה

מבוא: השיחה הופכת לחיים שלכם

אתם פותחים עוזר AI כדי לנסח תשובה קשה. אתם מדביקים את ההודעה, מסבירים את מערכת היחסים ומוסיפים כמה פרטים שלא שיתפתם בשום מקום אחר. ביום אחר אתם מעלים חוזה, דנים ברעיון שעדיין לא הושלם, או מחברים את תיבת הדואר שלכם כדי שהעוזר יבין מה דורש את תשומת הלב שלכם.

אף אחת מהפעולות האלה לא מרגישה כמו פרסום. אתם מבקשים עזרה.

ובכל זאת, המידע עשוי לעבור דרך תשתיות, מערכות אחסון, תהליכי סקירה וחובות משפטיות שכמעט אינן נראות מחלון השיחה. עוזר יכול להרגיש אישי הרבה לפני שהאופן שבו הוא מטפל בנתונים שלכם תואם את הציפייה הזאת.

העמדה שלי פשוטה: פרטיות ב-AI לא צריכה להישען רק על מה שחברה מבטיחה לעשות אחרי שהיא מקבלת את המידע שלכם. היא צריכה להישען גם על מה שהמערכות שלה מונעות מלהגיע אל המודל מלכתחילה. מדיניות חשובה. היא צריכה הגנות טכניות שיתמכו בה.

הכנתי את המאמר הזה בסיוע צוות Dvina. הוא בוחן תקריות מתועדות ונהלים עדכניים ב-ChatGPT, Claude, Cursor, Perplexity, Manus, Muse של Meta ו-Dvina. המטרה היא להסביר למה פרטיות חייבת להפוך לעדיפות הנדסית מרכזית ככל שה-AI נעשה מעורב יותר בחיינו — ואיך Dvina ניגשת לאחריות הזאת.

מה התקריות מלמדות אותנו

החשש אינו היפותטי. אבל סוגים שונים של ראיות חושפים בעיות שונות. חשיפת נתונים מאושרת, סקירה אנושית מורשית וטענה על שימוש לרעה במחקר לא צריכים להיות מוצגים כאילו היו אותו אירוע.

החשיפה של ChatGPT ב-2023: כשל במערכת עצמה.

ב-20 במרץ 2023, באג תוכנה אפשר לחלק ממשתמשי ChatGPT לראות כותרות מהיסטוריית השיחות של משתמש פעיל אחר. OpenAI אמרה שגם ההודעה הראשונה בשיחה חדשה שנוצרה יכלה להיות גלויה בנסיבות מסוימות. החקירה שלה זיהתה חשיפה אפשרית של מידע הקשור לתשלום עבור 1.2% ממנויי Plus שהיו פעילים במהלך פרק זמן מסוים של תשע שעות. מספרי כרטיס מלאים לא נחשפו. OpenAI תיקנה את הבאג והודיעה למשתמשים שנפגעו. 1

הלקח אינו שאותה פגיעות עדיין פתוחה. הלקח הוא שמחויבות לפרטיות, כשלעצמה, אינה יכולה למנוע ממערכת להחזיר מידע לאדם הלא נכון. בידוד, בדיקות גישה וכמות המידע המזהה שזמין לחשיפה — כל אלה חשובים.

ההתדיינות המשפטית עם The New York Times: מחיקה נתקלה בחובה משפטית.

בשנת 2025, OpenAI עמדה בפני צו בית משפט שחייב אותה לשמר נתונים שאחרת היו נמחקים. בעדכון מאוקטובר נמסר כי החובה הרחבה לשמר נתונים חדשים ללא הגבלת זמן הסתיימה ב-26 בספטמבר 2025, בעוד שקבוצה היסטורית מוגבלת נותרה תחת הקפאה משפטית. דרישת השימור המקורית החריגה מוצרים מסוימים והסדרי zero-data-retention. 2

יש לקרוא התפתחות מאוחרת יותר בנפרד: בדצמבר 2025 דיווחה Reuters כי שופט הורה ל-OpenAI להפיק 20 מיליון יומני שיחה אנונימיים בתיק זכויות היוצרים, דחה את התנגדויותיה והסתמך על הסרת מזהים ואמצעי הגנה. זה היה צו גילוי מסמכים, לא פרסום של כל השיחות הפרטיות של כולם באינטרנט. 3

יחד, האירועים האלה מראים מדוע הגדרת מחיקה אינה פותרת כל שאלה לגבי מידע שנשמר. ברגע שקיים עותק, חובות שמחוץ לשליטת המשתמש עשויות להשפיע על מה שיקרה לו. צמצום שמירה מיותרת משנה את החשיפה הזו עוד לפני שמתחיל סכסוך.

סקירה אנושית: גישה יכולה להיות מותרת גם בלי פריצה.

התיעוד לצרכנים של OpenAI מתיר במפורש גישה מוגבלת של גורמים מורשים וספקי שירות למטרות מוגדרות, ובהן חקירות אבטחה, תמיכה, עניינים משפטיים ושיפור מודל כשיר. ההנחיות לצרכנים של Anthropic מתירות לאנשי צוות ייעודיים לעיין בשיחות לצורך אכיפת מדיניות השימוש, עם גישה נפרדת הקשורה למשוב שניתן בהסכמה. 4, 8

אלה מסלולי גישה מתועדים, לא שמועות. הם אינם מוכיחים שעובדים קוראים כל שיחה. הם כן מוכיחים שממשק צ'אט שנראה פרטי אינו בהכרח מחסום טכני בפני גישת הספק.

התיעוד העדכני של Anthropic מוסיף דוגמה חשובה מהצד העסקי. ה-Covered Models הייעודיים שלה מחייבים שמירה ל-30 יום בפריסות מסוימות שבעבר השתמשו ב-zero data retention, עם סקירה אנושית מבוקרת וחריגים. לכלל הזה יש גבולות של מודל, פלטפורמה וזכאות; זה אינו שינוי גורף לכל מוצרי Claude. תוכניות לצרכנים מתוארות כלא מושפעות, משום שבממשקים האלה כבר נשמרים קלטים ופלטים. 9

לניטור בטיחות יש מטרה לגיטימית. האתגר ההנדסי הוא למלא את המטרה הזו תוך מזעור המידע הרגיש הזמין למערכות הניטור ולסוקרים. הצדקת בטיחות אינה מעלימה את שאלת הפרטיות.

המחלוקת המתמטית: טענה שטרם הוכרעה, בעיית אמון אמיתית

המחלוקת מספטמבר 2026 סביב ההכרזה של OpenAI על Navier–Stokes העלתה חשש אחר: מה קורה כשהעוזר שמסייע במחקר פרטי שייך לחברה שמנהלת מחקר משלה?

הסכסוך עסק בעבודה מתמטית שלא פורסמה ובקרדיט. בדיווחים תוארו המתמטיקאים Tristan Buckmaster ו-Levent Alpöge כמי שהשתמשו בכלי AI בעבודתם, ו-Buckmaster הטיל ספק בכך שהחומר הפרטי שלהם תרם לתוצאה של OpenAI. 10

OpenAI חולקת על התיאור הזה. בתגובתה שפורסמה נאמר כי לא החוקרים שלה ולא מי מטעמה ראו את עבודת השניים לפני הפרסום. בעדכון מיום 10 בספטמבר היא הוסיפה כי חקירה שללה כל השפעה מצד ה-prompts של Buckmaster ב-Codex במהלך החודשיים שקדמו לכך, לרבות דרך אימון. ההצהרה התחומה בזמן הזו ספציפית יותר מהתיאור המוקדם יותר בחלק מהדיווחים. 11

הדיווחים הפומביים נותרו שנויים במחלוקת. המקורות שנסקרו כאן אינם מבססים באופן עצמאי ש-OpenAI השתמשה באותן שיחות פרטיות כדי להפיק את התוצאה שלה.

עם זאת, הסכסוך חושף שאלה שראוי לענות עליה בבירור: כשאנשים מביאים עבודה לא גמורה ל-AI, מה מגן על הערך המידעי של העבודה הזו? הסרת שמו של מחבר מהוכחה אינה מסירה את ההוכחה. הסרת מזהים מאסטרטגיה מסחרית אינה הופכת את האסטרטגיה לרכוש ציבורי.

לכן פרטיות חזקה זקוקה להגנות הן על זהות והן על תוכן. משתמשים צריכים להיות מסוגלים להבין אם החומר שלהם יכול להיכנס לזרימות עבודה של אימון, מחקר, הערכה או סקירה — ואילו בקרות טכניות אוכפות את הגבולות האלה.

ארבע שאלות שלעולם לא צריך למזג לאחת

חלק גדול מהבלבול נובע מהתייחסות ל"פרטי" כאל תכונה אחת. בפועל, ארבע שאלות נפרדות קובעות מה יקרה לשיחה.

אימון: האם התוכן יכול לסייע בפיתוח או בשיפור של מודל? ביטול הסכמה משנה שימוש מותר במידע. הוא לא בהכרח משנה אם המידע הועבר או נשמר.

גישה: אילו מערכות ואנשים יכולים לעיין בו? הצפנה בזמן העברה ובזמן אחסון חשובה, אבל היא לא מונעת אוטומטית משירות מורשה לפענח תוכן לצורך עיבוד או סקירה.

שמירה: מה נשאר, איפה, ולכמה זמן? הסרת צ'אט מהממשק, מחיקת רשומות ייצור, פקיעת תוקף של גיבויים, והחרגת נתונים מאימון עתידי הן פעולות שונות.

פעולות: מה עוזר מחובר יכול לקרוא, לשנות או לשלוח? ברגע שהוא יכול לפעול דרך החשבונות שלכם, הפרטיות תלויה גם בהרשאות ובבקרות על נתונים יוצאים.

השוואת פרטיות מועילה שומרת על השאלות האלה נפרדות. מינוי בתשלום, מתג אימון או תווית של משימה פרטית אינם יכולים לענות על כל ארבע השאלות.

איך השירותים משתווים

הטבלה שלהלן מתמקדת בשימוש אישי, אלא אם צוין היקף אחר. היא מסכמת את התיעוד שנבדק, ולא את תוצאותיו של מבדק אבטחה עצמאי.

Service	Training position	The separate boundary to understand
ChatGPT	ניתן להשתמש בתוכן אישי לשיפור; הבקרות מחריגות שיחות חדשות ומשימות Codex. Temporary Chat מוחרג. 4, 5	גישה מורשית ושמירה נותרות נושאים נפרדים. ל-Codex יש גם הגדרת אימון נפרדת לסביבה מלאה.
Claude	שיפור מודל לצרכנים תלוי בבחירת המשתמש; למשוב ולשימושים הקשורים לבטיחות יש כללים נפרדים. Incognito מוחרג משיפור כללי. 6	חריגים של סקירה ושמירה עדיין חלים. לחלק מ-Covered Models המסחריים יש דרישות שמירה נוספות. 7–9
Cursor	Privacy Mode מחריג נתוני לקוח מאימון של Cursor ומתאר הסדרי אי-שמירה מצד ספקים, בכפוף לחריגים המצוינים. 12	בקשות עדיין עוברות דרך ה-backend של Cursor. חקירות שימוש לרעה, caching והודעות ייעודיות למודל חשובים כאן.
Perplexity	איסוף לצורכי אימון AI לצרכנים מופעל כברירת מחדל, כולל ב-Pro וב-Max; משתמשים יכולים לבטל זאת מכאן ולהבא. 13	ביטול ההסכמה אינו עוצר עיבוד לצורכי תפעול השירות או עמידה בדרישות חוק. תנאי Enterprise שונים.
Manus	תיעוד Team מציין אפשרות לביטול הסכמה לאימון; סקירה זו לא הצליחה לאמת את כלל האימון הסופי לתוכנית האישית. 15	העובדה שמשימות אישיות הן פרטיות כברירת מחדל מתארת את נראות השיתוף, לא הגבלה מלאה על שימוש מצד הספק. 14
Meta’s Muse	תיעוד ההשקה מתאר אימון על נתוני אינטראקציה שעברו סניטיזציה כברירת מחדל, עם אפשרות לביטול הסכמה. 16	סניטיזציה לפני אימון אינה זהה למסוך לפני inference. מגבלות המפעיל בזמן ההשקה שונות מה-Confidential VM המתוכנן.
Dvina	שיחות, קבצים, prompts ונתוני סביבת העבודה אינם משמשים לאימון מודלי AI. 17, 18	מסוך אוטומטי מטפל בגבול מוקדם יותר: מזהים אישיים שזוהו מוחלפים לפני עיבוד המודל.

הפרטים שלהלן מסבירים היכן ההבחנות האלה נעשות חשובות בשימוש יומיומי.

ChatGPT ו-Claude: הפעולה שאתם מבצעים משנה את הכלל.

OpenAI מאפשרת למשתמשים להשבית אימון בלי להסיר את היסטוריית הצ'אט הרגילה. Temporary Chat משנה עוד יותר את אופן הטיפול בשיחה, אך התיעוד שלה עדיין מאפשר סקירת שימוש לרעה ומתאר תקופת מחיקה של 30 יום. משתמשי Codex צריכים גם להבחין בין הגדרת התוכן ברמת החשבון לבין ההגדרה הנפרדת שלו לסביבה מלאה. 4, 5

ב-Claude, למשוב מגיעה תשומת לב מיוחדת. Anthropic אומרת שסימון thumbs-up, thumbs-down או דיווח על באג עשויים לכלול שמירה של השיחה הקשורה למשך עד חמש שנים ושימוש בה למטרות הכוללות אימון מודל. הפעלת שיפור מודל כללי גם מאפשרת לחומר מזוהה-מחדש-לא-אישית כשיר להישאר בצינורות האימון למשך עד חמש שנים. אלה אינם אותם כללים כמו מחיקה רגילה של צ'אט. 6, 7

לכן אדם יכול לקבל כמה החלטות פרטיות בתוך אותו מוצר מבלי להבין שמדובר בהחלטות נפרדות. עיצוב המוצר צריך להבהיר את ההבדלים האלה בנקודת השימוש.

Cursor ו-Perplexity: תווית מוצר אינה גבול עיבוד.

Privacy Mode של Cursor מספק מגבלות משמעותיות על אימון ועל שמירה מצד ספקים. הוא אינו הופך את העורך למקומי בלבד: Cursor אומרת שבקשות עדיין עוברות דרך ה-backend שלה, גם עם מפתח API שסופק על ידי המשתמש. התיעוד שלה מתאר גם caching זמני ומוצפן של קבצים וחריגים הקשורים לחקירות שימוש לרעה או למודלים ייעודיים. 12

Perplexity ממחישה הבחנה אחרת. חשבונות Free, Pro ו-Max שלה כפופים לבקרות אימון לצרכנים, כאשר האיסוף מופעל כברירת מחדל. אפשרות הביטול שפורסמה חלה על נתונים שייאספו בהמשך, ולא על הסרה רטרואקטיבית של נתוני אימון קודמים. רכישת מינוי אישי אינה הופכת את החשבון לחשבון Enterprise. 13

בשני המקרים, השאלה הרלוונטית היא מה המצב והחשבון שנבחרו משנים — לא מה נדמה ששם המוצר מרמז.

Manus ו-Muse: גם סביבות עבודה פרטיות זקוקות לגבולות מפורשים.

Manus אומרת שמשימות אישיות הן פרטיות אלא אם שותפו. תיעוד ה-Team שלה גם מסביר שבעלים יכולים לגשת לתוכן של סשנים צוותיים. אלה כללי נראות שימושיים, אבל הם אינם קובעים את מדיניות האימון האישית. לא ניתן היה לאחזר את דף הפרטיות המלא של Manus לצורך סקירה זו, ולכן השאלה הזאת נותרת לא מאומתת במקום למלא אותה מתוך תוכנית אחרת. 14, 15

תיעוד ההשקה של Muse מפורש באופן חריג לגבי ההבדל בין מגבלות תפעוליות לבין מניעה טכנית. Meta אומרת ש-Secure VM בזמן ההשקה מגביל את גישת הצוות באמצעות מדיניות, אך אינו מונע גישה כאשר היא נדרשת כדי להפעיל, לתמוך או לאבטח את השירות. Confidential VM שנועד למנוע קריפטוגרפית גישת מפעיל תואר כמשהו שיגיע בהמשך ונמצא בבדיקות מוגבלות. אין למנות הגנה מתוכננת כאילו היא כבר זמינה לכולם. 16

Muse גם מרחיקה את פרטי ההזדהות האמיתיים של connectors מה-agent הראשי שלה ומציבה את אישורי הפעולה תחת סמכות הרשאה נפרדת. זה ממחיש עיקרון חשוב: agent לא אמור לקבל סוד או הרשאה רק מפני שזה עשוי להיות נוח. 16

העבירו את ההגנה לנקודה שלפני החשיפה

החרגה מאימון מסדירה שימוש בנתונים. מסוך משנה את הנתונים הזמינים לעיבוד. שמירה מוגבלת מצמצמת את העותקים שנותרים. בקרות הרשאה מגבילות מה agent יכול לעשות. ההגנות האלה משלימות זו את זו, והשלב שבו כל אחת מהן פועלת חשוב.

שקלו בקשה לדוגמה: לכתוב הודעת המשך ללקוח בכתובת אימייל מסוימת. ייתכן שהמודל יזדקק למטרה, לטון ולהתחייבויות הרלוונטיות. ייתכן שהוא לא יזדקק לשמו האמיתי של הלקוח או לכתובתו כדי לנסח את ההודעה. החלפת המזהים שזוהו במצייני מקום לפני ההסקה מצמצמת את מה שהמודל מקבל, תוך שמירה על המבנה השימושי של המשימה.

זה שונה משליחת הטקסט המקורי והבטחה להסיר מזהים לפני שימוש מאוחר יותר כלשהו.

אותו עיקרון חל גם מעבר למזהים אישיים. מחקר חסוי דורש בקרות על תוכן המחקר עצמו; חשבונות מקושרים דורשים הרשאות מצומצמות ומוגדרות היטב; רשומות שנשמרות דורשות משכי שמירה מוגדרים והגבלות גישה שניתן לאכוף. הסתרת זהות היא רכיב אחד בתכנון הזה, ולא תחליף להגנה על מהות ההמצאה או המסמך.

יש עבודה רלוונטית ברחבי התעשייה. OpenAI השיקה באפריל 2026 Privacy Filter שניתן להריץ מקומית, והתיעוד של Muse מבית Meta מתאר בידוד טכני ותכנון חזק יותר של confidential computing שנמצא בפיתוח. המאמצים האלה מחזקים את הטענה שיש להטמיע פרטיות במערכת ברמת ההנדסה. עם זאת, השקה של כלי או מפת דרכים אינן כשלעצמן הוכחה לכך שכל שיחת צרכן כבר מקבלת את ההגנה המתאימה. 16, 19

הסטנדרט צריך להיות ההגנה שאדם מקבל במוצר שבו הוא משתמש היום.

Dvina: להפוך את הפרטיות לחלק מהאינטראקציה הרגילה

הגישה של Dvina מביאה את ההגנה המוקדמת הזו אל חוויית השימוש בעוזר. לפי התכנון המתועד שלה, המערכת מזהה מידע אישי רגיש באופן מקומי בזמן שאנשים מקלידים או מעלים תוכן, מצפינה נתונים אישיים שזוהו, ומחליפה אותם במצייני מקום לפני עיבוד בידי המודל. המודל עובד עם מצייני המקום האלה במקום עם המזהים המקוריים שזוהו. 17, 18

ההבדל הוא מעשי. משתמש לא אמור להידרש לעצור כל משימה כדי להסיר ידנית שמות ופרטי קשר, או להסתמך רק על הבטחה לגבי מה שיקרה אחרי שהמודל יקבל אותם. ההגנה צריכה ללוות את האינטראקציה.

Dvina גם מחריגה שיחות משתמשים, קבצים, prompts ונתוני סביבת עבודה מאימון המודל. לשילוב הזה יש חשיבות: התחייבות לאי-אימון מגבילה שימוש חוזר, בעוד שהגנה בשלב הקדם-עיבוד מצמצמת מלכתחילה את המידע האישי שנחשף למודל. 17, 18

שכבות נוספות תומכות בגישה הזו. Dvina מתארת אחסון מוצפן של שיחות, הפרדה בין הודעות שמורות לבין זהות המשתמש, ואירוח נתונים באיחוד האירופי עם הגנות ברמת GDPR. כל אחת מהן מטפלת בחלק אחר של תהליך הטיפול בנתונים, במקום להטיל את כל הנטל על העדפת אימון אחת. 17, 18

ההבחנה הטכנית מדויקת: מזהים אישיים שזוהו מוחלפים בקלט למודל, בעוד שהמשימה שסביבם נשארת זמינה לעיבוד. כך הפרטיות הופכת לחלק מזרימת הנתונים, ולא רק להעדפה שמשתמשים צריכים לזכור לנהל.

מבחינתי, זה הכיוון המועיל יותר עבור AI: לאפשר לאנשים להביא הקשר משמעותי לעבודה שלהם, ובו בזמן לתכנן את המערכת כך שתחשוף פחות מזהותם מכפי שהמשימה דורשת.

מסקנה: הפרטיות תקבע עד כמה אנשים יאפשרו ל-AI להיכנס לחייהם

עוזרי AI נעשים שימושיים יותר ככל שהם מבינים יותר את הנסיבות שלנו. זה יוצר אחריות להגן על המידע שמאחורי ההבנה הזו. לבקש מאנשים גישה רחבה יותר ובתמורה להציע רק עוד עמוד הגדרות — זו אינה תשובה מספקת.

הראיות מצביעות על כמה סיכונים נפרדים. תוכנה יכולה לחשוף נתונים בין חשבונות. שיחות שמורות עלולות להיות כפופות לדרישות משפטיות. סקירה מורשית יכולה להתקיים גם בלי פרצת אבטחה. מחלוקות סביב מחקר פרטי עלולות לערער את האמון גם כאשר הטענה לא הוכחה באופן עצמאי.

הסיכונים האלה דורשים עבודה הנדסית, לא רק ניסוח טוב יותר. זיהוי נתונים רגישים, הגנה בשלב הקדם-עיבוד, הפרדת זהות, שמירה מוגבלת והרשאות שניתן לאכוף צריכים לקבל תשומת לב מתמשכת כיכולות יסוד של בטיחות AI. השימושיות של עוזר וההגנה על המשתמש שלו חייבות להתקדם יחד.

עם Dvina, אנחנו מסייעים להוביל את השינוי הזה בכך שאנחנו הופכים הגנה לפני עיבוד בידי המודל לחלק מיסודות המוצר. השאיפה אינה לבקש יותר אמון באמצעות טענות חזקות יותר. היא לצמצם עד כמה האמון צריך להישען על הבטחה בלבד.

אנשים צריכים להיות מסוגלים לבקש עזרה, לפתח רעיון ולשתף את ההקשר הדרוש כדי להתקדם, בלי להתייחס לכל שיחה כאל ויתור פוטנציאלי על פרטיותם. בניית הביטחון הזה היא אחת המשימות החשובות ביותר שעומדות בפני AI.

מקורות והיקף

המקורות נבדקו ב-22 September 2026. מאמר זה נשען על תיעוד של ספקים ועל דיווחים עם ייחוס; הוא אינו ביקורת אבטחה עצמאית. תוכניות ליחידים הן היקף ההשוואה העיקרי. חריגים מסחריים, של API וספציפיים למודל מזוהים בנפרד. החלק המתמטי מבחין בין חששות שדווחו לבין התגובה המעודכנת של OpenAI; אף אחד מהם אינו מוצג כממצא עצמאי. כלל האימון בתוכנית האישית של Manus נותר לא מאומת משום שלא ניתן היה לאחזר את מדיניות הפרטיות המלאה שלו.