מדריך לחברות ישראליות: מתי EU AI Act חל עליכן גם בלי נוכחות באירופה, מדרג הסיכון, חובות מערכות בסיכון גבוה, שקיפות למודלים ג'נרטיביים, ההצטלבות עם תיקון 13, ובניית ממשל AI.
חברות ישראליות רבות מניחות שרגולציה אירופית אינה נוגעת להן כל עוד אין להן משרד או חברה באירופה. בכל הנוגע לחוק הבינה המלאכותית האירופי (EU AI Act) ההנחה הזו שגויה ומסוכנת. לחוק תחולה חוץ-טריטוריאלית רחבה, והוא עשוי לחול על חברה ישראלית גם בלי נוכחות פיזית באיחוד. מאמר זה מסביר מתי חברה ישראלית כפופה לחוק, מהן החובות המרכזיות, וכיצד נערכים אליהן בצורה מסודרת.
החוק חל על ספקים ומשתמשים של מערכות בינה מלאכותית כאשר המערכת מוצעת בשוק האירופי, או כאשר הפלט של המערכת משמש בתוך האיחוד האירופי, גם אם הפיתוח וההפעלה מתבצעים בישראל. חברת תוכנה ישראלית שמוכרת מוצר SaaS מבוסס בינה מלאכותית ללקוחות באירופה, או שמערכת שלה מייצרת תוצרים המשמשים משתמשים אירופיים, עשויה להיכנס לתחולת החוק.
לכן הבדיקה הראשונה היא מיפוי: היכן נמצאים המשתמשים והיכן נעשה שימוש בפלט של המערכת.
החוק אינו מטיל חובות אחידות, אלא מסווג מערכות לפי רמת סיכון. מערכות בסיכון בלתי מקובל, כמו ניקוד חברתי או מניפולציה פוגענית, אסורות. מערכות בסיכון גבוה כפופות לחובות מחמירות. מערכות בסיכון מוגבל, כמו צ'טבוטים, כפופות בעיקר לחובות שקיפות. מערכות בסיכון מינימלי כמעט אינן מוסדרות. הצעד המעשי הראשון של כל ארגון הוא לסווג את המערכות שלו למדרגות אלה.
מערכת מסווגת כבעלת סיכון גבוה כאשר היא משפיעה על זכויות או בטיחות, למשל בגיוס עובדים, דירוג אשראי, חינוך, שירותים חיוניים או תשתיות קריטיות. על מערכות אלה חלות חובות משמעותיות: הקמת מערכת ניהול סיכונים, הבטחת איכות וממשל נתונים, פיקוח אנושי אפקטיבי, תיעוד טכני מפורט, שקיפות כלפי המשתמש, ולעיתים רישום במאגר ייעודי.
חברה ישראלית שמפתחת מערכת כזו נדרשת להיערך לכל אלה עוד לפני הכניסה לשוק האירופי.
החוק כולל חובות ייעודיות למודלים כלליים (General Purpose AI) ולמערכות ג'נרטיביות. בין היתר נדרשת שקיפות לגבי כך שהמשתמש מתקשר עם מערכת בינה מלאכותית, סימון של תוכן שנוצר באופן מלאכותי, ותיעוד לגבי הנתונים ששימשו לאימון. חברות המפתחות מוצרים מבוססי מודלים גדולים צריכות לשלב מנגנוני שקיפות אלה כבר בעיצוב המוצר, ולא כתוספת מאוחרת.
ההיערכות ל-EU AI Act אינה עומדת בפני עצמה. היא משתלבת עם חובות מקומיות, ובראשן תיקון 13 לחוק הגנת הפרטיות, המרחיב את חובות אבטחת המידע וניהולו בישראל. ארגון שבונה תשתית ממשל אחת, המכסה גם את הרגולציה האירופית וגם את הדין הישראלי, חוסך כפילות ומצמצם חשיפה כפולה. הרגולציה הישראלית בתחום הבינה המלאכותית מתפתחת אף היא, ולכן כדאי לבנות מסגרת גמישה שניתן לעדכן עם הזמן.
ההיערכות המעשית כוללת שלושה נדבכים. ראשית, מיפוי כל מערכות הבינה המלאכותית בארגון והשימושים בהן. שנית, סיווג כל מערכת לרמת הסיכון המתאימה לפי החוק. שלישית, הקמת ממשל בינה מלאכותית (AI Governance): מדיניות שימוש, בקרת הטיה, אבטחת מידע, פיקוח אנושי ותיעוד. תשתית זו מאפשרת לארגון ליהנות מהיתרונות של הבינה המלאכותית בלי להיחשף לקנסות, לתביעות או לעיכוב בכניסה לשווקים.
חוק ה-AI האירופי אינו רק עניין אירופי. עבור חברות ישראליות הפונות לשוק האירופי, הוא דרישת סף עסקית ומשפטית. היערכות מוקדמת, מיפוי וסיווג של המערכות, ובניית תשתית ממשל מסודרת, הופכים את הציות ליתרון תחרותי במקום למכשול.
הערה: אין באמור ייעוץ משפטי או תחליף לו, והוא אינו מהווה חוות דעת מחייבת. כל מקרה מחייב בחינה פרטנית מול עורך דין מוסמך.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ נדל״ן והתחדשות עירונית · ייעוץ AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · תיאום פגישה