ניו זילנד: חשבונות צל מאיימים על הטמעת AI בממשלה

בזמן שניו זילנד מתכננת לקצץ כ-8,700 משרות ציבוריות עד 2029 ולחסוך 2.4 מיליארד דולר באמצעות אוטומציה ו-AI, מומחים מזהירים שהדחיפה הזו עלולה להתפוצץ אם לא יטפלו קודם ביסודות. הסיפור הוא לא על הטכנולוגיה עצמה, אלא על הסדר הנכון — ויש פה שיעור לכל מי שעוסק ב-AI בארגונים גדולים.

אז מה בעצם קרה כאן? הממשלה בניו זילנד הודיעה על קיצוצים נרחבים בפקידות הציבורית, עם יעד חיסכון ענק. שר האוצר, ניקולה ויליס, ציין שצמצום כפילויות, איחוד פונקציות מטה והאצת השימוש ב-AI הם המפתח. ראש הממשלה אף הפנה לדוגמאות מסינגפור ומדרום-מזרח אסיה.

אבל לפני שממהרים לפרוס סוכני AI, יש טיעונים חזקים לכך שצריך לטפל בשלושה יסודות קריטיים: נתונים שאינם מנוהלים, הרשאות גישה אנושיות שלא נבדקו במשך שנים, וזהויות מכונה — אותם ״חשבונות צל״ שרצים במערכות בלי פיקוח. בלעדיהם, פריסת AI עלולה להפוך מאבן יסוד ליעילות למקור לסיכוני אבטחה וציות.

הנתונים: בלי סיווג, אין הגנה

AI פועל על נתונים. אבל ברוב הסוכנויות הממשלתיות, נתונים מפוזרים במערכות ישנות, במסמכים, בגיליונות ובתיקיות משותפות — כלומר, נתונים לא מובנים שקשה לסווג ושאינם מנוהלים. לפי חוק הפרטיות 2020 של ניו זילנד, חשיפת נתוני אזרחים למודלים לא מוגנים של AI או לפלטפורמות צד שלישי עלולה להפר את החוק. בנוסף, בלי סיווג, אי אפשר לכבד עקרונות כמו ריבונות נתונים מאורית.

ההרשאות: הסיוט של גישה אנושית

לפי מחקר של SailPoint, 96% ממנהיגי הטכנולוגיה מסכימים שסוכני AI מהווים איום ביטחוני הולך וגובר, אך פחות ממחציתם קבעו מדיניות לניהולם. אבל קודם כל, חייבים לסדר את שכבת הגישה האנושית. אנשים עוברים תפקידים ומשאירים הרשאות ישנות, קבלנים שומרים על גישה מעבר לתקופת ההתקשרות, וחשבונות שירות צוברים הרשאות שלא נבדקו. כשסוכני AI נכנסים לתמונה, הם עובדים בשמו של אדם או מערכת, ולעיתים קרובות יורשים את ההרשאות הללו. אם לעובד ציבור יש גישה מופרזת, הסוכן יקבל אותה גם — ויפעיל אותה בקנה מידה של מכונה.

״חשבונות צל״: הבעיה שכולם מתעלמים ממנה

זהויות מכונה — חשבונות שירות, מפתחות API וחשבונות אינטגרציה — קיימות בכל סוכנות, אבל לרוב אין להן בעלים מוגדר. לפי SailPoint, 75% מזהויות המכונה חסרות בעלים. בממשלה, עם מערכות ישנות ותחלופת עובדים גבוהה, הנתון הזה שמרני. סוכני AI הם סוג חדש של זהות מכונה, והעקרונות שחלים על חשבון שירות חייבים לחול גם עליהם: בעלות ברורה, גישה מותאמת וניטור מתמשך.

מחקר של SailPoint מראה ש-82% מהארגונים כבר משתמשים בסוכני AI, ו-80% מדווחים שביצעו פעולות לא מתוכננות — כמו גישה למערכות אסורות או שיתוף נתונים לא צפוי. בממשלה, שמנהלת נתוני אזרחים, בריאות, מיסים ושירותים חברתיים, ההשלכות של חשיפה כזו חורגות הרבה מעבר לפגיעה תפעולית.

ההנחיות ברורות: סדר לפני מהירות

ההנחיות המשותפות של מרכז הסייבר הלאומי של ניו זילנד (NCSC), בשיתוף עם מקבילות באוסטרליה, בארה״ב, בבריטניה ובקנדה (מאי 2026), קוראות לסוכנויות להתייחס לסוכני AI כזהות נפרדת, להחיל גישה מינימלית ולאמת התנהגות בזמן הריצה — לא רק בפריסה. זה לא נגד AI; זה מה שצריך כדי לאמץ אותו באחריות.

אז מה עושים? שלב אחר שלב

הלקח כאן הוא להכיר בכך שהיעילות תלויה בסדר הנכון: קודם כל לסווג נתונים, לנקות הרשאות גישה ולשלוט בכל זהות — אנושית ומכונה כאחד. סוכנויות שישקיעו בזה עכשיו יבנו פלטפורמה ל-AI בטוח; אלו שידלגו על זה יראו את רווחי הפרודוקטיביות נעלמים תחת משקל עלויות האבטחה והציות.

בסופו של דבר, הטכנולוגיה לא מחכה — אבל אם לא עושים שיעורי בית קודם, החשבון עלול להגיע הרבה יותר מהר.