הכירו את Neo, שותף ה-GP מבוסס ה-AI שלכם.
כל פיסת תוכנה ש-GP משתמש בה כיום מגיעה עם AI. ה-CRM לגיוס הון כולל עוזר כתיבה. כלי החשבונאות מסווג עסקאות בכוחות עצמו. פורטל המשקיעים מציע לנסח עדכונים ל-LPs. רוב היכולות האלה באמת שימושיות. רק שקצב האימוץ הקדים את השאלות — והפער הזה נסגר בשיחה קצרה עם כל ספק.
דווקא הנתונים האלה הם הסיבה ששווה לעשות זאת בזהירות. GP שמנהל קרן מחזיק בחלק מהמידע האישי הרגיש ביותר שעסק קטן מטפל בו אי פעם: מספרי ביטוח לאומי ומספרי זיהוי מס של משקיעים, מספרי חשבון בנק ומספרי ניתוב, נתונים פיננסיים של משקיעים כשירים, עותקים של רישיונות נהיגה ודרכונים מבדיקות KYC, וההיסטוריה המלאה של החלוקות לכל אדם שהפקיד את הונו בידי ה-GP. כשתכונת AI מעבדת כל אחד מאלה, הנתונים עשויים לזרום דרך יותר גורמים ממה שמסך ההתחברות מרמז — וה-GP הוא זה שנושא באחריות על השרשרת הזו.
ניהול השקעות קרוב דיו לבנקאות כדי שהסיכונים כאן יהיו גבוהים יותר מאשר ברוב התעשיות — וזו בדיוק הסיבה ש-GPs שמאמצים AI כראוי כבר עכשיו הופכים למפעילים המהימנים בקבוצתם. מדריך זה מסביר כיצד לעשות זאת: מה כדאי לעשות, ממה להימנע, ואילו שאלות ספציפיות יש לשאול כל ספק שמוצרו כולל AI מובנה.
מדוע PII בתפעול קרנות הוא מקרה מיוחד
מידע אישי מזהה (PII) הוא כל נתון שיכול לזהות אדם מסוים, בין אם בפני עצמו ובין אם בשילוב עם נתונים אחרים. בהקשר של קרן, הפריטים הברורים הם מספרי זיהוי מס, פרטי בנק ומסמכים ממשלתיים. גם הפריטים הפחות ברורים חשובים: שם של משקיע המקושר לסכום ההתחייבות שלו, כתובת אימייל הקשורה ללוח חלוקות, או מספר טלפון המקושר להודעת קריאת הון. כל אלה יכולים לזהות אדם ולחשוף משהו פרטי על מצבו הפיננסי.
שלושה דברים הופכים את הקטגוריה הזו לרגישה במיוחד עבור GPs.
ראשית, הנתונים מרוכזים ובעלי ערך גבוה. רשימת המשקיעים של קרן בודדת היא קובץ קומפקטי שמכיל בדיוק את המידע שגנבי זהויות ורמאים רוצים יותר מכל. אין PII בעל ערך נמוך במסמך הצטרפות (subscription document).
שנית, מערכת היחסים היא יחסי נאמנות. ה-LPs הסכימו להשקיע עם GP שהם סומכים עליו — לא לכך שמספר זיהוי המס שלהם יעובד על ידי שירותים שכלל לא סופר להם עליהם. האמון הוא הנכס בשני צידי השולחן, וההגנה עליו היא חלק מחובת הנאמנות.
שלישית, המשטח הרגולטורי אמיתי גם כשהוא מרגיש רחוק. בהתאם למבנה הקרן, למשקיעים ולתחומי השיפוט, GP עשוי לחוב בחובות לפי חוקי פרטיות כמו GLBA בארצות הברית, חוקים מדינתיים כמו CCPA, ו-GDPR לכל משקיע אירופי. מנהלי קרנות (fund administrators) מחזיקים לעיתים קרובות בבדיקות SOC 2 בדיוק משום שלקוחותיהם זקוקים לוודאות לגבי הטיפול בנתונים. תכונות AI אינן פטורות מאף אחד מאלה. אם כלי שולח PII של משקיעים למודל, ההעברה הזו כפופה לאותם כללים כמו כל עיבוד נתונים אחר.
כיצד כלי AI מטפלים בנתונים שלכם בפועל, ומדוע זה חשוב
כדי לבדוק כלי, מועיל לדעת מה בדרך כלל קורה כאשר תכונת AI מעבדת נתונים. ישנם כמה דפוסים, והם נושאים רמות סיכון שונות מאוד זו מזו.
חלק מהכלים שולחים את הנתונים שלכם ל-API של ספק מודל צד שלישי לצורך עיבוד, ואינם שומרים אותם או מאמנים עליהם. זה נפוץ וניתן לבצע זאת בבטחה, אך משמעות הדבר היא שנתוני המשקיעים שלכם עוזבים את סביבת הספק ועוברים לחברה אחרת. כדאי לדעת מי החברה הזו ומה אומרים התנאים שלה.
חלק מהכלים מריצים מודלים בתשתית שלהם עצמם, כך שהנתונים לעולם אינם עוזבים את סביבתם. זה מצמצם את מספר הגורמים המעורבים, אם כי מטיל משקל רב יותר על עמדת האבטחה של אותו ספק יחיד.
בתדירות נמוכה יותר, חלק מהכלים משתמשים בנתוני לקוחות כדי לאמן או לשפר את המודלים שלהם. זהו הדפוס שיש לשים אליו לב בזהירות הרבה ביותר, מכיוון שהוא עלול להוביל לכך שקטעים מנתוני המשקיעים שלכם יהפכו לחלק ממודל שלקוחות אחרים מתקשרים איתו. ספקים ארגוניים בעלי מוניטין בדרך כלל שוללים זאת בחוזה, אך כלים ברמת צרכן וכלים חינמיים עושים לעיתים קרובות את ההפך — עם תנאים המעניקים זכויות נרחבות לשימוש בתוכן שהוגש.
הסיבה שההבחנה הזו חשובה: תכונת AI היא רק לעיתים רחוקות עצמאית. בדרך כלל מדובר בשרשרת. תוכנת הספק קוראת לספק מודל, שעשוי לרוץ על מארח ענן, שעשויים להיות לו תת-מעבדים (subprocessors) משלו. כל חוליה היא מקום שבו הטיפול בנתונים חשוב. בדיקת הכלי משמעה הבנת השרשרת כולה, ולא רק הלוגו שבמסך ההתחברות.
מה כדאי לעשות
החדשות הטובות הן שהבדיקה פשוטה ברגע שאתם יודעים מה לשאול. אף אחד מהשלבים האלה אינו דורש רקע באבטחה — הם דורשים את אותה משמעת תפעולית ש-GPs כבר מיישמים בבדיקת נאותות של מלווים ובבחירת מנהל קרן.
מפו היכן PII כבר זורם. לפני שתעריכו תכונת AI חדשה כלשהי, דעו אילו מהכלים הנוכחיים שלכם כבר נוגעים ב-PII של משקיעים וכיצד. רוב ה-GPs מופתעים מהתשובה. ה-CRM, כלי החתימה האלקטרונית, מערכת החשבונאות, פורטל הבנק ותוכנת רואה החשבון — כולם מחזיקים חלקים ממנו. אי אפשר לנהל את מה שלא מיפיתם.
קראו את תנאי עיבוד הנתונים, ובמיוחד את סעיף ה-AI. ספקים מפרסמים יותר ויותר נספח עיבוד נתונים (DPA), ובנפרד תנאים המכסים תכונות AI. אתרו את המשפט שמציין אם הנתונים שלכם משמשים לאימון מודלים. אם אינכם מוצאים את המשפט הזה, ההיעדר עצמו הוא תשובה, ועליכם לשאול את הספק ישירות בכתב.
בקשו את רשימת תת-המעבדים. כל ספק B2B רציני מתחזק רשימה של הצדדים השלישיים שעמם הוא חולק נתונים, כולל ספקי מודלים ומארחי ענן. בקשו אותה. הרשימה חושפת מי באמת נמצא בשרשרת ומאפשרת לכם לבדוק האם הגורמים האלה הם עצמם בעלי מוניטין.
דרשו מזעור נתונים. ה-PII הבטוח ביותר הוא ה-PII שה-AI לעולם אינו רואה. העדיפו כלים שמאפשרים לכם לשלוט באילו נתונים תכונה יכולה לגשת, שמסתירים או מטקנים שדות רגישים לפני עיבוד, ושמשאירים את תכונות ה-AI ממוקדות במשימה במקום להעניק להן גישה גורפת לכל מסד נתוני המשקיעים שלכם.
אמתו את קו הבסיס של האבטחה. בכל מה שסמוך לבנקאות, דוח SOC 2 Type II הוא כמעט תנאי סף. בקשו אותו. הצפנה במעבר ובמנוחה צריכה להיות סטנדרטית. עבור משקיעים אירופים, ודאו שהספק יכול לתמוך בחובות GDPR, כולל מיקום נתונים (data residency) במידת הצורך.
שמרו על אדם בלולאה בכל דבר שמזיז כסף או מגיע למשקיעים. טיוטת AI לעדכון ל-LP היא נקודת התחלה לגיטימית. העברה בנקאית שיוזם AI היא קטגוריית סיכון אחרת לגמרי. ככל שתכונה מתקרבת לתנועת כספים או לתקשורת חיצונית, כך נדרשת יותר בדיקה אנושית לפני שמשהו הופך לסופי.
העלו זאת על הכתב מול המשקיעים שלכם ובמדיניות הפנימית שלכם. עדכנו את מדיניות הפרטיות שלכם ואת התקשורת שלכם עם ה-LPs כך שישקפו כיצד אתם באמת משתמשים ב-AI ואילו הגנות קיימות. משקיעים שואלים על כך יותר ויותר. היכולת לענות בבירור היא יתרון תחרותי בגיוס הון.
מה לא לעשות
אל תדביקו PII של משקיעים לתוך כלי AI צרכניים לשימוש כללי. הצ'אטבוט החינמי הוא המקום הנפוץ ביותר שבו נתוני משקיעים מגיעים אל מחוץ למערכות מוסכמות בחוזה. הכנסת מסמך הצטרפות או גיליון חלוקות לעוזר ברמת צרכן כדי "לסדר אותו" עלולה לגרום לכך שהנתונים יישמרו או ישמשו לאימון לפי תנאים שאיש לא קרא. שמרו את ה-PII של המשקיעים בתוך מערכות עסקיות נבדקות ומוסדרות בחוזה.
אל תניחו שלוגו ארגוני משמעו תנאי נתונים ארגוניים. לספק מוכר עדיין יכולה להיות שכבה חינמית או נמוכה עם תנאי נתונים מתירניים. ההגנות נמצאות לעיתים קרובות בתוכנית בתשלום או בחוזה שהוסכם במשא ומתן. ודאו אילו תנאים חלים על התוכנית שאתם באמת נמצאים בה.
אל תתייחסו ל"אנחנו משתמשים ב-AI" כתכונה לחגוג בלי לשאול כיצד. ספק שמשווק AI באגרסיביות אך אינו מסוגל להסביר לאן הנתונים הולכים — מאותת לכם משהו. הספקים הטובים מתקשים פחות לענות על השאלות האלה משום שכבר עשו את העבודה.
אל תתנו ל-AI צללים (shadow AI) להצטבר. כאשר כל אחד מחברי הצוות מאמץ בנפרד את כלי ה-AI שלו ללא בדיקה, הקרן נותרת עם נתוני משקיעים מפוזרים על פני שירותים שאיש אינו עוקב אחריהם. החליטו כארגון אילו כלים מאושרים לאילו נתונים.
אל תיסחפו לקיצוניות ההפוכה של אי-עשייה. הכישלון ההפוך אמיתי גם הוא. סירוב לכל AI כדי להתחמק משאלת הנתונים משאיר GP איטי וידני יותר מעמיתים שאימצו בזהירות. המטרה היא אימוץ מנוהל, שבו נעשה שימוש בתכונות השימושיות והנתונים מוגנים בו-זמנית.
רשימת בדיקה מעשית לתוכנה עם AI מובנה
כאשר אתם מעריכים כלי עם תכונות AI, עברו על השאלות האלה מול הספק. קבלו את התשובות בכתב היכן שאפשר.
- לאילו נתונים ניגשת תכונת ה-AI, והאם נוכל להגביל את היקפה?
- האם הנתונים שלנו נשלחים לספק מודל צד שלישי, ואם כן — מי הוא?
- האם הנתונים שלנו משמשים אי פעם לאימון או לשיפור מודל כלשהו? (אתם רוצים 'לא' ברור, בחוזה.)
- האם הנתונים נשמרים לאחר העיבוד? לכמה זמן, והאם נוכל לדרוש מחיקה?
- מי תת-המעבדים שלכם, והאם נוכל לראות את הרשימה הנוכחית?
- האם אתם מחזיקים בדוח SOC 2 Type II, והאם נוכל לעיין בו?
- האם הנתונים מוצפנים במעבר ובמנוחה?
- האם אתם יכולים לתמוך בדרישות GDPR ומיקום נתונים (data residency) עבור המשקיעים האירופים שלנו?
- מה קורה לנתונים שלנו אם נעזוב? כיצד הם מוחזרים או מושמדים?
- האם קיים שלב בדיקה אנושי לכל פעולת AI שמזיזה כסף או יוצרת קשר עם משקיעים?
ספק שעונה על אלה בקלות הוא ספק שכנראה תוכלו לסמוך עליו עם נתוני משקיעים. ספק שמתחמק, מעכב, או מתייחס לשאלות כחריגות — מראה לכם את התשובה בצורה אחרת.
כיצד זה מתממש בניהול השקעות ובניהול קרנות
הסיבה ששאלות אלה נוחתות קשה יותר בתפעול קרנות מאשר, נניח, בכלי שיווק, היא שהנתונים והכסף יושבים באותן מערכות. תכונת AI שמתווספת בכל מקום ב-stack יורשת את חשיפת הנתונים של כל המערך הזה.
רוב ה-stack הטכנולוגי של סְפּונסורים מורכב מארבעה עד שישה ספקים מנותקים — גיוס הון במקום אחד, בנקאות במקום אחר, חלוקות בגיליון אלקטרוני, רשומות משקיעים ב-CRM. כל חיבור בין המערכות האלה הוא נקודת מסירה שבה PII זז, וכל מסירה היא משהו שיש לנהל. ה-GPs שאיתם אנו עובדים ב-Covercy One מריצים גיוס הון, רשומות משקיעים, בנקאות וחלוקות על פלטפורמה אחת שבה הבנקאות והתשלומים הם מובנים ולא מורכבים בדיעבד. פחות מערכות שמחזיקות PII של משקיעים משמען פחות ספקים לבדוק, פחות רשימות תת-מעבדים לרדוף אחריהן, ופחות שרשראות של גורמים שיש לתת עליהן דין וחשבון. זה אינו מבטל את הצורך לשאול את השאלות שבפוסט זה — אלא מצמצם את מספר הספקים שעליכם לשאול אותם.
אותו עיקרון מעצב את האופן שבו בנינו את ה-AI לתוך הפלטפורמה. Neo, ה-Co-GP מבוסס ה-AI שבתוך Covercy One, רץ באותה סביבה מנוהלת שכבר מחזיקה את הנתונים — תחת אותן בקרות SOC 2, אותה הצפנה, אותן הרשאות. Neo יכול לראות רק את מה שהמשתמש שמפעיל אותו יכול לראות. שרשרת הגורמים אינה מתארכת כשמפעילים את ה-AI. זהו הרף שלדעתנו כל תכונת AI בתפעול קרנות צריכה לעמוד בו.
שווה לאמץ AI בתפעול קרנות, והחברות שיאמצו אותו בזהירות יזוזו מהר יותר מאלו שיתעלמו ממנו או ישתמשו בו בפזיזות. הגורם המכריע הוא האם ה-GP מתייחס לנתוני המשקיעים כאל האחריות הנאמנותית שהם אכן מהווים, ושואל את הספק את השאלות שאותה אחריות מחייבת. הכלים שראויים לנתוני המשקיעים שלכם יגיעו עם תשובות טובות מוכנות.
