ספק AI שמציג תנאים אחידים מציג חלוקת סיכונים שנוחה לו. מדריך לשלוש השאלות שמכריעות בחוזה: מה קורה למידע שמוזנים (DPA, אימון, תתי-מעבדים), מי אחראי לפלט שגוי ואיפה התקרה, ומה שווה סעיף השיפוי.
חוזה עם ספק בינה מלאכותית נראה כמו הסכם תוכנה רגיל, אבל שלוש שאלות בו שונות באופן מהותי: מה קורה למידע שהארגון מזין, מי אחראי כשהפלט שגוי או פוגע, ומה שווה השיפוי שהספק מציע. ספק שמציג תנאי שימוש אחידים מציג בפועל חלוקת סיכונים שנוחה לו. מי שחותם בלי לנהל משא ומתן על שלושת הנושאים האלה מקבל את החלוקה הזו כמות שהיא.
המאמר מסביר מה לדרוש, מה לבדוק, ואילו ניסוחים נראים מגנים אך אינם.
הסעיפים נגזרים מאופי השימוש, ולכן השלב הראשון הוא להגדיר אותו. כלי שמסכם מסמכים פנימיים, מערכת שמדרגת מועמדים או לקוחות, ומודל שמשולב במוצר הפונה ללקוחות הם שלושה סוגי סיכון שונים. שאלות מקדימות שכדאי לענות עליהן בכתב: אילו נתונים ייכנסו למערכת, האם יש בהם מידע אישי או סודי, האם הפלט מזין החלטה על אדם, והאם הפלט יוצא החוצה בשם הארגון.
התשובות קובעות כמה כבד יהיה הנטל על הסעיפים שמתוארים להלן.
כשהספק מעבד מידע אישי בשם הארגון, הארגון נשאר בדרך כלל בעל השליטה במידע והספק הוא מעבד. החלוקה הזו מחייבת הסכם כתוב שמגדיר את הגבולות, ולא די בסעיף כללי על סודיות. נקודות שכדאי לוודא:
- **תכלית מוגבלת.** הספק מעבד את המידע רק לצורך מתן השירות ולפי הוראות הארגון, ואינו רשאי להשתמש בו לצרכיו שלו.
- **אימון מודלים.** חייבת להיות הוראה מפורשת האם מידע הארגון, ההנחיות והפלטים משמשים לשיפור או לאימון המודלים של הספק, ובאיזה היקף. ברירת המחדל בתנאים אחידים אינה תמיד לטובת הלקוח, ולכן אין להניח.
- **תתי-מעבדים ומיקום.** מי נוסף על הספק מקבל גישה למידע (ספק ענן, ספק מודל בסיס), ובאילו מדינות המידע מאוחסן ומעובד. אם יש העברה מחוץ לישראל, ההסדר החוזי צריך להתאים לדרישות הדין הרלוונטי.
- **אבטחה ואירועים.** רמת אבטחה שמוגדרת בחוזה ולא רק בהפניה לאתר הספק, חובת דיווח על אירוע אבטחה בלוח זמנים קצר שמאפשר לארגון למלא את חובותיו שלו, ושיתוף פעולה בחקירה.
- **סיום ההתקשרות.** החזרה או מחיקה מאומתת של המידע, כולל גיבויים ונתונים נגזרים, בתוך תקופה מוגדרת.
סעיף נפרד נדרש לגבי מידע סודי שאינו אישי: סודות מסחריים, מידע לקוחות, מידע מוגן בחיסיון. כאן השאלה היא האם הזנת המידע לכלי נחשבת גילוי לצד שלישי, ולכן הספק צריך להיות מחויב לסודיות ברמה שהארגון עצמו חב בה כלפי הצד שהמידע שייך לו.
הספק יציע כמעט תמיד לבסס את האחריות על מגבלה כספית, שנקבעת לרוב לפי היקף התשלומים בתקופה מסוימת, ויבקש להוציא ממנה נזקים עקיפים. הניסוח הזה סביר לתוכנה שמבצעת פעולה צפויה. הוא פחות מתאים לשירות שפלטו משתנה, ולכן כדאי לבחון:
- **הוצאות מהמגבלה.** האם הפרת סודיות והגנת מידע, הפרת קניין רוחני, ורשלנות חמורה או כוונת זדון נשארות מחוץ לתקרה או כפופות לתקרה גבוהה יותר. תקרה אחת לכל הנזקים משאירה את הארגון חשוף בדיוק במקום שבו הנזק הגדול ביותר.
- **פלט שגוי.** הספק יצהיר בדרך כלל שהפלט מסופק כמות שהוא (as is) ושאין אחריות לדיוקו. הצהרה כזו מעבירה לארגון את כל הסיכון. ניתן לדרוש לפחות התחייבות לרמת ביצוע מוגדרת, מנגנון תיקון ודיווח על ליקויים מוכרים, גם אם אין אחריות לכל שגיאה.
- **שינויים במודל.** מודל שמתעדכן בלי הודעה עשוי לשנות התנהגות במוצר שהארגון בנה סביבו. כדאי לדרוש הודעה מראש על שינוי מהותי ואפשרות לדחות או לסרב לו, ולפחות זכות סיום בלי קנס אם השינוי פוגע בשימוש.
- **זמינות ותמיכה.** רמות שירות, סעדים כשהן לא מתקיימות, ושמירת רציפות עסקית אם הספק מפסיק את השירות.
סעיף שיפוי מבטיח שהספק יישא בנזק שנגרם לארגון מתביעה של צד שלישי, בדרך כלל בתחום הקניין הרוחני: טענה שהמודל או הפלט מפרים זכויות יוצרים. חלק מהספקים מציעים שיפוי כזה, אך בתנאים, ולכן הערך שלו תלוי בפרטים:
- **היקף.** האם השיפוי חל על הפלט, על המודל או על שניהם, והאם הוא כולל הוצאות הגנה, פיצוי שנפסק והסדר פשרה.
- **תנאים.** שיפוי מוגבל לעיתים לשימוש בהתאם לתנאי השירות, בלי שינוי ובהפעלת מסנני הבטיחות של הספק. הארגון צריך לדעת מראש אילו תנאים אלה, כדי לא לגלות אחרי התביעה שהם לא התקיימו.
- **החרגות.** פלט שנוצר מהנחיה שמבקשת במפורש חיקוי של יצירה קיימת, או שימוש בנתוני הארגון עצמו, נשארים לעיתים מחוץ לשיפוי.
- **תקרה.** שיפוי שכפוף לאותה תקרה כספית כמו שאר האחריות עשוי להיות נמוך משווי התביעה האפשרית.
- **ניהול ההגנה.** מי שולט בהגנה ובפשרה, ומה קורה אם הספק פושט רגל או מפסיק את פעילותו. שיפוי מול ספק שאין לו כיסוי אינו שווה הרבה, ולכן אפשר לדרוש גם הוכחת ביטוח.
החוזה צריך לקבוע מי הבעלים של ההנחיות, של הפלט ושל התוצרים שנגזרים ממנו, ולמנוע מצב שהספק רוכש זכויות בהם. יש לזכור שגם כשהחוזה מקצה לארגון את הזכויות בפלט, הוא אינו יכול להעניק זכות שהדין עצמו אינו מכיר, ושהשאלה אם פלט שנוצר בבינה מלאכותית מוגן בזכויות יוצרים אינה פשוטה. לכן ההסדר החוזי הוא שכבת הגנה ולא תחליף לבדיקה.
כשהמערכת משפיעה על החלטות לגבי אנשים, הארגון צריך יכולת להסביר החלטה ולהוכיח שנבדקה. אי אפשר לעשות זאת בלי שיתוף פעולה של הספק, ולכן כדאי לכלול בחוזה זכות לקבל תיעוד טכני סביר, מידע על מקורות הנתונים ועל בדיקות הטיה ודיוק שנערכו, זכות ביקורת או קבלת דוחות מטעם צד שלישי, וחובת סיוע אם רגולטור או נפגע פונים לארגון.
אם המערכת נכנסת להגדרה של מערכת בסיכון גבוה במשטר רגולטורי רלוונטי, חלוקת החובות בין הספק לארגון צריכה להיקבע במפורש ולא להישאר לפרשנות.
1. מפו את סוג המידע ואת מידת ההשפעה של הפלט, והתאימו את עומק המשא ומתן אליהם.
2. ודאו שיש הסכם עיבוד מידע, ושאימון על מידע הארגון נאסר או הותר במפורש.
3. בדקו מי תתי-המעבדים ואיפה המידע נשמר.
4. בקשו להוציא מהתקרה את הפרת הסודיות, הגנת המידע והקניין הרוחני.
5. קראו את סעיף השיפוי עד הסוף: היקף, תנאים, החרגות, תקרה וניהול ההגנה.
6. דרשו הודעה מראש על שינויים מהותיים במודל וזכות יציאה.
7. קבעו חובות שקיפות ועזרה בביקורת לפי רמת הסיכון.
8. הסדירו מחיקה מאומתת של המידע והעברה מסודרת בסיום ההתקשרות.
מאמר זה הוא מידע כללי ואינו מהווה ייעוץ משפטי. הדין החל והסעיפים הראויים משתנים לפי סוג הספק, המידע והשימוש, ולכן יש לבחון כל התקשרות לגופה.
נושא: חוזים, חברות וקניין רוחני
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לקביעת שיחה