מדריך מעשי להכנת תיק התאימות הנדרש למערכת בינה מלאכותית בסיכון גבוה לפי חוק ה-AI האירופי: תשעת הפרקים שחובה לכלול, החיבור לניהול הסיכונים ולהצהרת התאימות, ההקלה לעסקים קטנים ובינוניים, ומשך השמירה הנדרש.
תיק התאימות (Conformity File), הידוע גם כתיעוד הטכני של מערכת הבינה המלאכותית, הוא המסמך שאמור להוכיח לרשות מוסמכת או לגוף מסמיך שהמערכת עומדת בדרישות חוק ה-AI האירופי (EU AI Act). עבור מערכת בסיכון גבוה, החזקת תיק כזה אינה המלצה אלא חובה, והוא הבסיס שעליו נבנית כל בדיקת תאימות. מאמר זה עובר על מבנה התיק ועל סדר ההכנה שלו, שלב אחר שלב.
חוק ה-AI האירופי מטיל על ספק מערכת בסיכון גבוה חובה להכין תיעוד טכני עוד לפני שהמערכת יוצאת לשוק, ולשמור אותו מעודכן לאורך כל מחזור החיים שלה. התיעוד הזה אינו רק מסמך פנימי: הוא מה שמוצג לרשות פיקוח או לגוף מסמיך כשנבדקת עמידת המערכת בדרישות החוק, וגם הבסיס שעליו נחתמת הצהרת התאימות. ארגון שמגיע לבדיקה בלי תיק מסודר חושף את עצמו לעיכוב בכניסה לשוק ולקנסות.
לפי סקירה של מקורות פרשניים עדכניים למבנה הנספח הרלוונטי בחוק, תיק התאימות בנוי מתשעה חלקים עיקריים: תיאור כללי של המערכת ומטרתה, תיאור מפורט של תהליך הפיתוח והעיצוב (כולל ממשל הנתונים, ארכיטקטורה, בדיקות ואמצעי סייבר), מידע על אופן הניטור והבקרה על פעולת המערכת, תיאור המדדים שנבחרו למדידת הביצועים והתאמתם, תיאור מערכת ניהול הסיכונים שהוקמה עבור המערכת, תיעוד השינויים המהותיים שנעשו במערכת לאורך חייה, רשימת התקנים המוסמכים שיושמו או תיאור הפתרונות החלופיים שאומצו במקומם, עותק של הצהרת התאימות עצמה, ותיאור תוכנית הפיקוח שלאחר ההשקה.
כל אחד מהפרקים האלה נבדק בנפרד, ולכן תיק חסר בפרק אחד עלול לעכב את כל התהליך.
תיק התאימות אינו עומד בפני עצמו. פרק ניהול הסיכונים בתיק חייב לשקף את מערכת ניהול הסיכונים שהחוק מחייב להקים בנפרד עבור כל מערכת בסיכון גבוה, ולא להיות תקציר כללי שלה. באופן דומה, הצהרת התאימות המצורפת לתיק היא המסמך הרשמי שבו הספק מצהיר על עמידה בדרישות, וכל טענה בה חייבת להיות מגובה בפרק המתאים בתיק עצמו.
אי התאמה בין ההצהרה לתיעוד היא בדיוק מה שבדיקה מסודרת אמורה לחשוף.
החובה אינה מסתיימת בכניסה לשוק. תיק התאימות כולל גם תוכנית למעקב אחר ביצועי המערכת בשלב שלאחר ההשקה, ותפקידה לזהות מוקדם סטיות בביצועים או תקלות שלא נחזו בשלב הפיתוח. תוכנית כזו צריכה להיות מעודכנת באופן שוטף, לא מסמך שנכתב פעם אחת ונשכח במגירה.
עסק קטן או בינוני, כולל חברת הזנק, רשאי להכין את פרקי התיק בפורמט מקוצר יחסית לחברה גדולה, ובלבד שהתיעוד עדיין עונה על מטרת התיק: להוכיח עמידה בדרישות. ההקלה נועדה למנוע מצב שבו הנטל הבירוקרטי חוסם חברות קטנות מכניסה לשוק, אך היא אינה פוטרת מהחובה עצמה, רק מקלה על אופן ביצועה.
תיק התאימות אינו מסמך חד פעמי. יש לשמור אותו זמין ומעודכן לאורך שנים ארוכות אחרי שהמערכת יצאה לשוק, כדי שרשות מוסמכת תוכל לבקש אותו גם שנים לאחר מכן. ארגון שמפסיק לתחזק את התיק ברגע שהמערכת יוצאת לשוק, במקום להתייחס אליו כמסמך חי, מסתכן בכך שבבדיקה עתידית הוא כבר לא ישקף את המערכת בפועל.
ההכנה מתחילה מוקדם, לא ברגע שהמערכת כבר מוכנה להשקה: למפות אילו מהמערכות בארגון נכנסות לחובת תיעוד, לבנות תבנית אחידה לתשעת הפרקים כדי שלא כל צוות יתעד בשיטה משלו, לוודא שפרק ניהול הסיכונים בתיק תואם בפועל למערכת ניהול הסיכונים שהוקמה, ולהקצות בעלים אחד לעדכון שוטף של התיק לאורך כל חיי המערכת, לא רק בשלב ההשקה.
הערה: המידע לעיל מבוסס על סקירה עדכנית של מקורות פרשניים לחוק ה-AI האירופי, ואינו תחליף לקריאת נוסח החוק המחייב או לייעוץ משפטי פרטני. שימוש בנתוני הארגון לצורך הכנת תיק התאימות, לרבות עמידה בדיני הגנת הפרטיות והגנת המידע החלים על אותם נתונים, הוא באחריות הארגון בלבד, ואין באמור כדי להוות בדיקה, אישור, או ייעוץ ביחס לנתונים הספציפיים של הארגון.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לקביעת שיחה