בינה מלאכותית מוטמעת כבר בכל שלב בבנקאות ובפיננסים, מהחלטות אשראי וזיהוי הונאות ועד ייעוץ אוטומטי, וכל שימוש נושא חשיפה משפטית נפרדת. מדריך לשימושים, לסיכונים המשפטיים המרכזיים, ולממשל שמחזיק מול רגולטור ומול לקוח.
בינה מלאכותית חדלה להיות פיילוט בשולי הבנק והפכה לרכיב בליבת הפעילות הפיננסית. היא מדרגת בקשות אשראי, מזהה הונאות, מנטרת הלבנת הון, מתמחרת סיכון ביטוחי ומנהלת שיחות שירות. לצד היעילות, כל שימוש כזה פותח חשיפה משפטית נפרדת, מאפליה בהחלטות אשראי ועד אחריות הדירקטוריון על מערכת שטועה. מאמר זה ממפה את השימושים המרכזיים בבנקאות ובפיננסים, את הסיכונים המשפטיים שנלווים לכל אחד, ואת הממשל שמאפשר להציג בקרה אמיתית מול מפקח ומול לקוח.
השימוש נפרס על פני כל שרשרת הערך, ולכל נקודה בה פרופיל סיכון אחר. בחזית הלקוח פועלים צ'אטבוטים לשירות, מנועי המלצה למוצרים, וייעוץ השקעות אוטומטי. בליבת ההחלטות פועלות מערכות לדירוג כושר אשראי, לחיתום ולתמחור ביטוח, ולאישור או דחייה של בקשות. בהגנה פועלות מערכות לזיהוי הונאות, לניטור עסקאות לצורך איסור הלבנת הון (AML), ולזיהוי אנומליות.
בשוק ההון פועלים אלגוריתמים למסחר ולניהול תיקים. בגבייה ובתפעול פועלת אוטומציה לעיבוד מסמכים ולסיווג פניות. ההבחנה הזו אינה אקדמית: מערכת שממליצה על מוצר נושאת סיכון קל מזה של מערכת שמכריעה אם אדם יקבל משכנתה. לכן הצעד הראשון בכל גוף פיננסי הוא מיפוי, לא של הטכנולוגיה אלא של ההחלטות שהיא נוגעת בהן, וסיווג כל שימוש לפי מידת ההשפעה שלו על הלקוח ועל הגוף.
הסיכון הבולט הוא אפליה, גם כשאיש לא התכוון אליה. מערכת אשראי אינה צריכה לקבל כקלט נתון אסור, כמו מוצא או מצב משפחתי, כדי להפלות. די שהיא לומדת ממשתנים חלופיים שמתואמים עם קבוצה מוגנת, כמו אזור מגורים, מקום עבודה או דפוסי צריכה, כדי שתוצאותיה יפגעו באופן שיטתי בקבוצה מסוימת. התוצאה היא אפליה עקיפה, שאסורה גם אם לא תוכננה.
מכאן נגזרות שתי חובות מעשיות. הראשונה היא בדיקת הוגנות: לבחון את פלט המערכת לרוחב קבוצות אוכלוסייה ולאתר פערים שאין להם הצדקה עסקית לגיטימית. השנייה היא תיעוד: לשמור ראיה לכך שהמודל נבדק, ושההחלטה אינה נשענת על משתנה פסול. בלי בדיקה ותיעוד, גוף פיננסי שיידרש להסביר החלטה בפני רגולטור או בית משפט ימצא עצמו מנסה להוכיח בדיעבד דבר שלא נמדד מעולם.
כן, וזו אינה רק נימוס אלא חשיפה משפטית. דיני הגנת המידע מקנים ללקוח זכויות ביחס להחלטה שמבוססת על עיבוד אוטומטי בלבד ונוגעת לו באופן ממשי, כמו דחיית אשראי. מעבר לכך, רגולציה פיננסית וחובות ההגינות כלפי הלקוח מצפות שגוף יוכל להסביר את בסיס החלטתו. מערכת שהיא קופסה שחורה, שאיש בגוף אינו יכול לבאר מדוע הכריעה כפי שהכריעה, יוצרת כפל סיכון: אי עמידה בזכות ההסבר של הלקוח, ואי יכולת להגן על ההחלטה מול מפקח.
היישום המעשי הוא שילוב של שלושה דברים: הסבר ענייני ללקוח על הגורמים המרכזיים שהשפיעו, מסלול שבו אדם בוחן מחדש החלטה שהלקוח משיג עליה, ותיעוד פנימי שמאפשר לשחזר את ההיגיון. הסבר אינו מחייב חשיפת הקוד, אך הוא מחייב שהגוף עצמו יבין את מערכתו מספיק כדי לעמוד מאחורי התוצאה.
ה-EU AI Act נוקט גישה מדורגת לפי סיכון, וחלק מהשימושים הפיננסיים נמצאים בדרגה הגבוהה שלה. הערכת כושר אשראי של יחידים, וכן שימושים מסוימים בהערכת סיכון ובתמחור בביטוח חיים ובריאות, נכללים ברשימת השימושים בסיכון גבוה. סיווג כזה גורר חבילת חובות: ניהול סיכונים לאורך חיי המערכת, ממשל נתונים ואיכותם, תיעוד ורישום פעולות, פיקוח אנושי אפקטיבי, ושקיפות כלפי המשתמש.
גוף שמפעיל מערכת כזו אינו יכול להסתפק בכך שהיא מדויקת בממוצע, אלא נדרש להראות תהליך. חשוב להבחין בין מעמד החוק לבין ההחלה בפועל, שנכנסת בשלבים, ולכן יש לבדוק את הסטטוס המדויק מול הנוסח הרשמי ולא להניח שכל חובה כבר חלה. מי שרוצה להבין איך נקבע אם מערכת היא בסיכון גבוה ימצא הרחבה ייעודית במאמרי אשכול הרגולציה של האתר, והעיקרון המנחה פשוט: ככל שההחלטה נוגעת יותר בזכות או בנגישות של אדם לשירות, כך גובר הפיקוח.
היקף התחולה של הרגולציה האירופית אינו נקבע לפי מקום מושבו של הגוף אלא לפי מקום השימוש והמשתמשים. גוף פיננסי או פינטק ישראלי שתוצרי מערכת הבינה המלאכותית שלו משמשים לקוחות באיחוד האירופי עשוי להיכנס לתחולת ה-EU AI Act גם אם כל פעילותו מתנהלת מישראל. במקביל, דיני הגנת המידע האירופיים חלים על עיבוד נתונים של תושבי האיחוד.
התוצאה היא שגוף ישראלי שמרחיב פעילות לאירופה נושא בשתי מערכות חובות במקביל, הישראלית והאירופית, ולעיתים גם בזו של מדינות נוספות שבהן הוא פועל. המסקנה המעשית אינה להימנע מאירופה אלא למפות מראש לאיזו תחולה הגוף נכנס, ולבנות את הממשל כך שיעמוד ברף הגבוה מבין הדינים החלים, במקום לגלות את הפער אחרי שהמערכת כבר פועלת מול לקוחות.
בישראל אין עדיין חוק אחד כולל שמסדיר בינה מלאכותית, אך הטעות הנפוצה היא להסיק מכך שאין דין. מדיניות משרד המשפטים מכוונת לגישה מגזרית ומבוססת סיכון, שמעדיפה הסדרה רכה והתאמה לכל תחום על פני חוק אופקי אחד, ונושא זה מורחב במאמר ייעודי על רגולציית הבינה המלאכותית בישראל. בה בעת, הדין הקיים כבר חל במלואו.
חוק הגנת הפרטיות ותיקוניו חל על עיבוד מידע אישי, האיסור על אפליה במתן שירות חל גם כשההחלטה אוטומטית, דיני הגנת הצרכן חלים על שקיפות ועל הטעיה, והמפקח על הבנקים ורשות שוק ההון מצפים מגופים מפוקחים לממשל סיכונים ולבקרה נאותה על כל מערכת מהותית. לכן הטענה שאין חוק בינה מלאכותית אינה הגנה: גוף שמפעיל מערכת שמפלה או שאינו יכול להסביר את החלטותיה חשוף כבר היום, על בסיס דינים ותיקים שלא נכתבו עבור בינה מלאכותית אך חלים עליה.
האחריות אינה עוברת למודל. בגוף פיננסי, הדירקטוריון וההנהלה נושאים בחובת פיקוח על כל מערכת מהותית, ומערכת שמכריעה בגורל אשראי או שמזהה הונאות היא מהותית בהגדרה. פיקוח אמיתי מחייב שלושה דברים. ראשית, שההנהלה תדע היכן בארגון בינה מלאכותית מקבלת החלטות או מעצבת אותן, ולא תגלה זאת רק כשמשהו משתבש. שנית, שתאשר מדיניות כתובה שקובעת אילו שימושים מותרים, באילו תנאים, ומי אחראי לכל אחד.
שלישית, שתקבל דיווח סיכונים תקופתי שמאפשר לה לראות ביצועים, תקלות וחריגות. ההיגיון זהה לזה של פיקוח אנושי אפקטיבי על כל מערכת: בקרה שאין מאחוריה הבנה וסמכות לעצור אינה בקרה אלא חותמת. דירקטוריון שמאציל את שיקול הדעת למערכת, בלי יכולת ממשית לבחון אותה, חושף הן את הגוף והן את עצמו, ואינו יכול להסתתר מאחורי טיעון שהטכנולוגיה מורכבת מדי מכדי להבינה.
רוב הגופים הפיננסיים רוכשים מערכות בינה מלאכותית ואינם בונים אותן, אך האחריות כלפי הלקוח וכלפי הרגולטור נשארת אצל הגוף, לא אצל הספק. אמירה שהמודל שייך לספק אינה מענה למפקח. ניהול הסיכון מתחיל בהסכם: הקצאת אחריות ושיפוי, זכות ביקורת ובדיקה, זכות לקבל הסבר על אופן פעולת המערכת ועל מגבלותיה, גילוי על מקורות נתוני האימון ככל שהם רלוונטיים להטיה, ומנגנוני המשכיות ויציאה אם הספק נכשל או מפסיק פעילות.
מעבר להסכם נדרשת אימות עצמאי: בדיקה מטעם הגוף, לא הסתמכות על הצהרות הספק בלבד. ככל שהשימוש מהותי יותר, כך גדל הצורך בבדיקה בלתי תלויה לפני ההטמעה, ובמעקב שוטף אחריה. ספק טוב מקל על כל אלה ומספק תיעוד; ספק שמסרב לשקיפות הוא עצמו דגל אדום שראוי לשקול לפני ההתקשרות.
כאן הסיכון דו כיווני. התרעת שווא, שבה המערכת מסמנת לקוח תקין כחשוד, עלולה להקפיא חשבון ולפגוע בלקוח, ומכאן חשיפה צרכנית וחוזית. החמצה, שבה המערכת אינה מזהה הלבנה אמיתית, חושפת את הגוף לאחריות רגולטורית כבדה. בין שני אלה ניצבת בעיית ההסברה: מפקח שדורש לדעת מדוע עסקה סומנה או לא סומנה מצפה לתשובה, ומערכת שאינה יכולה לספק אותה מעמידה את הגוף בפני קושי.
נוסף על כך קיים סיכון סחף, שבו ביצועי המודל מתדרדרים עם הזמן ככל שדפוסי ההונאה משתנים, בלי שאיש שם לב. הניהול הנכון משלב שלושה: בקרה אנושית על סימונים בעלי השפעה גבוהה לפני פעולה בלתי הפיכה, יכולת הסבר שמספיקה לרגולטור, וניטור שוטף שמזהה סחף וירידת דיוק לפני שהם הופכים לכשל.
ממשל שמחזיק אינו מסמך אלא מערכת חיה. היא נשענת על חמישה אדנים. הראשון, מצאי: רשימה מתוחזקת של כל מערכת בינה מלאכותית בגוף, מה היא מכריעה, ועל אילו נתונים. השני, סיווג סיכון: לכל שימוש דרגה, כך שהמשאבים והפיקוח מופנים למקום שבו ההשפעה על אדם גבוהה. השלישי, מדיניות כתובה שמתורגמת לנהלים, ולא הצהרת כוונות, ונושא זה מורחב במאמר על מדיניות שימוש בבינה מלאכותית בארגון.
הרביעי, פיקוח אנושי אפקטיבי שיש מאחוריו סמכות לעצור. החמישי, תיעוד, רישום פעולות וניטור, כדי שאפשר יהיה להראות בדיעבד מה נעשה ומתי. על כל אלה ראוי להוסיף בחינה משפטית בלתי תלויה לפני הטמעה של מערכת בסיכון גבוה, שתבחן את החשיפה לפני שהיא מתממשת ולא אחרי שלקוח או מפקח הצביעו עליה.
מי שמבקש להיערך יכול לעשות זאת בחמישה צעדים מסודרים. ראשית, מיפוי כל השימושים הקיימים והמתוכננים בבינה מלאכותית, גלויים וסמויים כאחד, כולל כאלה שהוטמעו בתוך מערכות ספק. שנית, סיווג כל שימוש לפי מידת ההשפעה על הלקוח ועל הגוף, מההמלצה הקלה ועד ההכרעה בגורל אשראי. שלישית, ניתוח פערים מול החובות החלות, הישראליות והזרות, לכל שימוש לפי דרגתו.
רביעית, בניית ממשל פרופורציונלי: מדיניות, פיקוח אנושי, תיעוד וניטור, מותאמים לסיכון ולא אחידים לכולם. חמישית, בחינה משפטית בלתי תלויה של השימושים בסיכון הגבוה, לפני ההטמעה. זהו בדיוק מקום הליווי של ייעוץ וחוות דעת שנייה בתחום הבינה המלאכותית: לא לעצור את הטכנולוגיה אלא לאפשר אותה באופן שמחזיק מול רגולטור, מול לקוח, ומול בית משפט אם יידרש.
הערה: אין באמור ייעוץ משפטי או תחליף לו. יישום בגוף פיננסי מסוים מחייב בחינה פרטנית של השימושים, של התחולה הרגולטורית ושל הדין העדכני, מול עורך דין מורשה.
לסקירה מקבילה בענף הביטוח הסמוך ראו בינה מלאכותית בביטוח: חיתום, תמחור ותביעות תחת פיקוח רגולטורי.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לקביעת שיחה