הרצאת AI לבנקים ולגופים פיננסיים שמתחילה בשאלה מה מותר להכניס למודל

למה ארגון פיננסי הוא קהל אחר

בארגון רגיל, עובד שהדביק מסמך פנימי לכלי ציבורי עשה טעות. בבנק או בחברת ביטוח, אותה טעות יכולה להפוך לאירוע אבטחת מידע עם השלכות רגולטוריות. זה משנה את כל ההרצאה: פחות 'תראו מה זה יודע', יותר 'ככה עובדים עם זה בלי להסתבך'. ובמקביל, הפער קיים גם כאן. עובדים שומעים על AI בכל מקום, חלקם כבר משתמשים בכלים פרטיים מהטלפון, ובלי שפה משותפת ומסגרת ברורה השימוש הזה קורה בצל, רחוק מהעיניים של מי שאחראי על המידע. הרצאה טובה מוציאה אותו לאור, בלי להפוך אף אחד לאשם.

מה נכנס למודל ומה לא: המסגרת שאני מציג

לא רשימת איסורים, אלא דרך פשוטה לשאול על כל פיסת מידע לפני שמדביקים אותה לכלי. החלוקה המדויקת נקבעת במדיניות שלכם, ואני מציג את ההיגיון ומתיישר עם הכללים שלכם:

• מידע ציבורי - דוחות שפורסמו, הודעות פומביות, כתבות: המקום הבטוח ביותר להתחיל בו
• מידע פנימי שאינו רגיש - תבנית מצגת, נוהל כללי: רק בכלים שהארגון אישר
• מידע חסוי ומידע על לקוחות - שמות, מספרי חשבון, נתוני אשראי: לא נכנס, אלא אם אבטחת המידע אישרה במפורש כלי וסביבה מתאימים
• להסיר את השם לא תמיד מספיק - צירוף של כמה פרטים יכול לזהות לקוח גם בלי שם, ולכן ההחלטה מה נחשב אנונימי שייכת לאבטחת המידע ולא לעובד
• וכשלא בטוחים, שואלים לפני ולא אחרי. זה הכלל שאני מבקש שיזכרו גם אם שכחו את כל השאר

על מה עובדים כשאי אפשר לעבוד על הנתונים שלכם

הפתרון הוא חומר שנראה כמו העבודה שלכם, בלי להיות העבודה שלכם. כמה דוגמאות להדגמות ולתרגילים שמתאימים לקהל פיננסי:

• סיכום של דוח שנתי שפורסם לציבור, והשוואה בין שתי שנים עם הפניה לעמוד המדויק
• מחקר עומק על מגמה בשוק בעזרת Deep Research, ובדיקה של כל מקור שהכלי הביא
• קריאה של מסמך רגולטורי פומבי: מה השתנה לעומת הגרסה הקודמת, ומה צריך לבדוק מול הגורם המוסמך אצלכם
• מצגת להנהלה מתוך נתונים פומביים, מהשלד ועד השקף האחרון
• טיוטה למכתב ללקוח על שינוי בתנאים, בשפה ברורה, על לקוח מומצא
• ניתוח של תלונת לקוח מומצאת: מה הבעיה, מה הטון, ואיך נראית תשובה טובה
• אבטיפוס קטן של כלי פנימי על נתונים מומצאים, כדי להבין מה אפשרי לפני שפונים לצוות הפיתוח
• ואם נושא מסוים דורש נתונים חסויים כדי להיות משמעותי, לפעמים ההחלטה הנכונה היא להוריד אותו מהתוכנית

אימות לפני אמון

מודל שפה יכול להמציא מספר בביטחון מלא. במסמך שיווקי זה מביך, בניתוח פיננסי זה מסוכן. לכן בכל הדגמה אני מראה גם את הצד הזה: איך מבקשים מהכלי מקורות, איך בודקים שהמקור באמת אומר את מה שהכלי טוען, ולמה כל תוצר שיוצא מהחדר צריך אדם שחותם עליו. אני מראה בכוונה גם טעות של הכלי על המסך, כי מי שראה אותה פעם אחת לא מדלג על הבדיקה בפעם הבאה. שלושה הרגלים שאני מבקש לקחת מהחדר:

• לבקש מקור לכל מספר, ולפתוח אותו לפני שמשתמשים בו
• לשאול את הכלי במה הוא לא בטוח, ולבדוק דווקא שם
• לסמן תוצר שנוצר בעזרת AI לפי המדיניות שלכם, כדי שמי שמאשר יידע מה לבדוק

הונאות, קולות משובטים ודיפ-פייק

נושא שמתאים במיוחד לעובדי סניפים, מוקדים ותפעול: מה הכלים של היום מאפשרים למי שמנסה להתחזות. שיבוט קול מהקלטה קצרה, וידאו מזויף, מסמכים שנראים אמינים לגמרי. אני מראה איך זה נראה ואילו סימני אזהרה עובד יכול לזהות, ומדבר על הנושא הזה גם בתקשורת. המסקנה המעשית פשוטה: 'אני מזהה את הקול שלו' כבר לא מספיק כאימות, ונוהל שלא נשען על הקול לבד חשוב עכשיו יותר מתמיד. את נוהלי האימות עצמם, כמובן, קובעים אצלכם.

פורמטים: מחדר ההנהלה ועד יחידה אחת

הבחירה תלויה במה שצריך לקרות אחרי. אם המטרה היא שפה משותפת ומסגרת לכל הארגון, הרצאה היא התחלה טובה. אם יחידה מסוימת צריכה לשנות דרך עבודה, זה כבר סדנה או רצף מפגשים:

• הרצאה של 60 עד 90 דקות להנהלה או לעובדים, פרונטלית או אונליין: שפה משותפת ומסגרת שימוש
• סדנה מעשית של כשלוש שעות ליחידה אחת, למשל אסטרטגיה, מחקר, שיווק או משאבי אנוש, על משימות מהעולם שלה
• שני מפגשים של שלוש שעות עם לפחות שבועיים ביניהם, כדי שהצוות ינסה בעבודה האמיתית ויחזור עם שאלות
• חבילה של כמה סדנאות ליחידות שונות, כשכל אחת מקבלת דוגמאות מהתחום שלה

לפני שקובעים: שיחה אחת עם אבטחת המידע

בגוף פיננסי אני מבקש שבשיחת האפיון, או מיד אחריה, יהיה מעורב גם מישהו מאבטחת המידע או מה-IT. שלוש שאלות צריכות תשובה לפני היום עצמו: אילו כלים מאושרים ואילו חסומים ברשת, האם המשתתפים יכולים לגשת לכלים חיצוניים מהעמדה שלהם, ואיזה חומר מותר להציג על המסך. אם הכלים חסומים, יש חלופות: עמדות נפרדות, הכלים שכבר אושרו אצלכם, או הדגמה מהמחשב שלי על חומר ציבורי בלבד. עדיף לגלות את זה שבוע לפני ולא בדקה העשירית של ההרצאה. וכדאי לתאם מראש מי מהארגון יושב בחדר ויכול לענות בזמן אמת על שאלות של מותר ואסור, כדי שהן לא יישארו פתוחות.

מה אני לא

אני לא יועץ אבטחת מידע, לא יועץ רגולציה ולא מחליף את מחלקת הציות, ואני לא מציג את עצמי ככזה. אני לא מבטיח שכלי מסוים עומד בדרישות שלכם - את זה בודקים מול תנאי הספק ומול הצוותים שלכם. ואני לא מבטיח חיסכון באחוזים. מה שאני כן מביא: היכרות עמוקה עם הכלים עצמם, דרך ללמד אותם בשפה של אנשים שאינם טכנולוגיים, וכבוד מלא לגבולות שהארגון שלכם הציב.

שאלות נפוצות