מדיניות שימוש ב-AI במשרד רואי חשבון ובמחלקת הכספים — ולמה אסור לחכות לרגולציה וללשכה

הפער שאף אחד לא מדבר עליו

בדצמבר 2025 פרסם הצוות הבין-משרדי לבחינת השימוש בבינה מלאכותית בסקטור הפיננסי דוח סופי בן 207 עמודים. חברו בו שישה גופים: משרד המשפטים, משרד האוצר, הפיקוח על הבנקים, רשות שוק ההון ביטוח וחיסכון, רשות ניירות ערך ורשות התחרות. זו עבודה רגולטורית רצינית, מעמיקה ומעודכנת — והיא מכוונת לגופים המפוקחים: בנקים, חברות ביטוח, מנהלי תיקים.

את המקצוע שלכם היא לא מזכירה. לא ‘רואה חשבון’, לא ‘מנהל כספים’, לא ‘יועץ מס’ — אף מילה.

המסקנה פשוטה: אם אתם מחכים שהלשכה או רגולטור יניחו לכם על השולחן נוהל מוכן לשימוש ב-AI, תחכו הרבה זמן. ובינתיים, כל אחד בצוות שלכם כבר משתמש ב-AI ממילא. השאלה היחידה היא אם זה קורה לפי מדיניות שאתם קבעתם — או מתחת לרדאר, בלי שתדעו, בלי שתוכלו לשלוט בזה, ובלי שמישהו יישא באחריות כשמשהו ישתבש.

קודם כל — זה לא טור נגד AI

חשוב להגיד את זה בפתח: המטרה היא לא להפחיד ולא לאסור. הדוח הממשלתי עצמו קובע ששילוב בינה מלאכותית בפיננסים הוא ‘כמעט בלתי נמנע’, ושיש בו פוטנציאל אמיתי — והגישה שהוא מאמץ היא לעודד חדשנות ובמקביל לנהל את הסיכונים.

זה נכון שבעתיים בעבודה שלנו. AI מקצר ומדייק עבודה שוטפת: ניסוח וסיכום, מיון מסמכים, בדיקות עקביות, ניתוח ראשוני של נתונים, טיוטות מכתבים ללקוח ולרשויות. מי שלא ייכנס לזה יישאר מאחור.

הבעיה היא לא השימוש. הבעיה היא שימוש בלי מסגרת. וזה בדיוק מה שמדיניות פנימית פותרת.

העיקרון שאי אפשר להתחמק ממנו: האחריות לא עוברת

הנה הנקודה החדה ביותר, וגם המבוססת ביותר. אחד העקרונות המרכזיים בדוח הוא שהאחריות נשארת על הגורם האחראי — גם כשהוא נעזר ב-AI. הדוח אף קובע במפורש שהתקשרות עם ספק בינה מלאכותית חיצוני היא מיקור חוץ, ושמיקור חוץ אינו גורע מהאחריות: אפשר לדרוש שיפוי חוזי מהספק, אבל האחריות לפי דין ומול הלקוח נשארת אצלכם.

תרגמו את זה לשטח שלכם:

זה לא טיעון היסטרי. זה אותו היגיון משפטי שהמדינה מחילה על הגופים המפוקחים — ואין שום סיבה שהוא לא יחול גם עלינו, גם אם אף רגולטור עוד לא טרח לכתוב לנו את זה במפורש.

מה חייבת לכלול המדיניות שלכם

הדוח הממשלתי פורש ‘ארגז כלים’ לממשל בינה מלאכותית. הנה אותו שלד, מתורגם למשרד רו״ח ולמחלקת כספים — וזה בדיוק מה שתמצאו בתבנית המצורפת:

1. מסמך מדיניות ונהלים — מה מותר ומה אסור: אילו כלים מאושרים לשימוש, ואילו לא; ובעיקר — איזה מידע מותר ואסור להזין לתוך כלי AI (מספרי זהות, נתוני לקוח, דוחות כספיים שטרם פורסמו, מידע מהותי).
2. אחריות וקבלת החלטות — מי הבעלים של המדיניות, ומי אחראי לאשר כלים חדשים. העיקרון: הגורם האנושי נשאר אחראי לתוצר, תמיד.
3. בקרה, ניטור ותיקוף — אסור הסתמכות עיוורת. כל תוצר של AI עובר בדיקה אנושית לפני שהוא יוצא ללקוח או לרשות. ה-AI מציע — אתם מאשרים.
4. חירום והפסקה — מה עושים כשמתגלה דליפה או תקלה: למי מדווחים, איך עוצרים, איך מתעדים.
5. ספקים וצד שלישי וממשל נתונים — באילו ספקים משתמשים, ההבדל בין חשבון ארגוני (עם הגנות) לבין חשבון פרטי, ואיך מטופל המידע לכל אורך הדרך.

CFO או משרד עצמאי — אותה אחריות, כיסא אחר

אם הגעתם עד לכאן ואתם מנהלי כספים בחברה, אתם אולי חושבים ‘זה רלוונטי בעיקר למשרדי רו״ח’. וטעות בידכם. וכמי שישבה בשני הכיסאות, אני אומרת את זה בביטחון: האחריות לא משתנה, רק הכיסא מתחלף.

מנהל כספים שהצוות שלו מזין נתוני שכר, תחזיות או דוחות לא-מפורסמים לכלי AI פרטי — חשוף בדיוק כמו רו״ח עצמאי שהמתמחה שלו עושה את זה עם נתוני לקוח. העיקרון זהה: סודיות, אחריות, ואי-אפשרות להעביר את שתיהן הלאה. ההבדל היחיד הוא מי הלקוח — חברה אחת מבפנים, או הרבה לקוחות מבחוץ. המדיניות שאתם צריכים — אותה מדיניות.

למה לא לאסור הכל

הפיתוי הוא לכתוב מדיניות בת שורה אחת: ‘אסור להשתמש ב-AI’. אל תעשו את זה. איסור גורף לא מבטל את השימוש — הוא רק דוחף אותו לחשבונות פרטיים, מהטלפון, מתחת לשולחן. כלומר בדיוק לתרחיש המסוכן ביותר, רק בלי שתדעו עליו.

מדיניות טובה לא חוסמת — היא מתעלת: מאשרת כלים בטוחים, מגדירה גבולות ברורים למידע, וקובעת מי אחראי על מה. בדיוק כמו שהמדינה בחרה לעודד-ולנהל ולא לאסור.

שורה תחתונה

אל תחכו לרגולציה. אל תחכו ללשכה. אמצו את הערך ש-AI נותן לעבודה שלכם — ובאותה נשימה, קבעו את המדיניות שמגנה עליכם, על הלקוחות שלכם ועל הארגון. זה לא פרויקט של חודשים. זה מסמך של עמוד-שניים והחלטה לאמץ אותו.

שאלות נפוצות

האם יש כיום רגולציה ישראלית המחייבת רואי חשבון לגבי שימוש ב-AI?

לא. הדוח הממשלתי המקיף בתחום (דצמבר 2025) מכוון לגופים פיננסיים מפוקחים — בנקים, מבטחים, מנהלי תיקים — ולא למקצוע ראיית החשבון, לניהול הכספים או לייעוץ המס. אין כיום מסגרת מקצועית ייעודית לאנשי המקצוע עצמם.

אם עובד שלי משתמש ב-ChatGPT הפרטי שלו, מי אחראי על המידע?

אתם. לפי ההיגיון המשפטי שהמדינה מחילה על גופים מפוקחים, שימוש בכלי AI חיצוני הוא מיקור חוץ — והוא אינו מעביר את האחריות. האחריות המקצועית על סודיות המידע נשארת אצל בעל המקצוע.

מה ההבדל בין הצורך של CFO לבין הצורך של משרד רו״ח?

מבחינת העיקרון — אין הבדל. שניהם מחזיקים מידע סודי ונושאים באחריות מקצועית שאי-אפשר להעביר הלאה. ההבדל היחיד הוא זהות הלקוח (פנימי מול חיצוני). המדיניות הנדרשת זהה.

כמה זמן לוקח להטמיע מדיניות כזו?

מסמך הליבה הוא בן עמוד-שניים. עיקר העבודה הוא ההחלטה לאמץ אותו, להגדיר אילו כלים מאושרים ואיזה מידע אסור להזין, וליידע את הצוות.

מאת מלאני אברמוב, רו״ח — בעלת תואר שני בלימודי משפט. פרופיל לינקדאין: www.linkedin.com/in/melaniecpa · מקור: הדוח הסופי של הצוות הבין-משרדי לבחינת השימוש בבינה מלאכותית בסקטור הפיננסי, דצמבר 2025.