מתי ה-GDPR חל בלי נוכחות באירופה, מה הבסיס החוקי לאימון מודל על מידע שנאסף למטרה אחרת, מה קורה בהעברה הלאה מישראל, ואילו זכויות מערכת אלגוריתמית מתקשה לספק.
חברה ישראלית שמפעילה מערכת בינה מלאכותית על מידע של אנשים באירופה נמצאת תחת שני משטרים במקביל, ולא אחד. ה-EU AI Act שואל מה המערכת עושה ובאיזו דרגת סיכון היא נמצאת. ה-GDPR שואל שאלה אחרת לגמרי: האם מותר לך בכלל להשתמש במידע הזה, לאיזו מטרה, ולכמה זמן.
ההבחנה הזו נשמעת תיאורטית עד לרגע שבו מתברר שמערכת שסווגה כבעלת סיכון נמוך לפי חוק ה-AI עדיין מפרה את ה-GDPR באופן שגורר קנס. מאמר זה מפרט את הנקודות שבהן שני המשטרים נפגשים בפרקטיקה של חברה ישראלית.
לא נדרשת נוכחות פיזית באירופה. התחולה נקבעת לפי שני מסלולים: הצעת שירותים לאנשים באיחוד, או ניטור התנהגות של אנשים באיחוד. חברת SaaS ישראלית שיש לה לקוחות באירופה נכנסת למסלול הראשון, ומערכת שמנתחת התנהגות משתמשים באתר נכנסת לשני.
שאלה נפרדת היא באיזה תפקיד החברה פועלת: בקר, שקובע את מטרות העיבוד ואת אמצעיו, או מעבד, שפועל לפי הוראות לקוח. חברה שמעבדת מידע של לקוחותיה כדי לספק להם שירות היא בדרך כלל מעבד. אותה חברה, כשהיא משתמשת באותו מידע כדי לאמן מודל שישרת את כלל לקוחותיה, פועלת למטרה שלה ולכן קרוב לוודאי כבקר. זה אינו שינוי טכני: הוא מזיז את מרכז האחריות, ולעיתים קרובות ההסכם מול הלקוח כלל לא מתיר אותו.
לכל עיבוד נדרש בסיס חוקי. בהקשר של בינה מלאכותית השאלה מתחדדת סביב האימון, כי הוא עיבוד למטרה שונה מזו שלשמה המידע נאסף.
הסתמכות על הסכמה מחייבת הסכמה מדעת, ספציפית וניתנת לביטול, וקשה לקיים אותה כשמדובר במידע שנאסף לאורך שנים. הסתמכות על אינטרס לגיטימי מחייבת מבחן איזון מתועד מול הזכויות של נושא המידע, ולא רק אמירה שיש אינטרס עסקי. עקרון הגבלת המטרה הוא זה שעומד למבחן: מידע שנאסף לצורך מתן שירות אינו זמין אוטומטית לאימון מודל, ושימוש כזה מחייב בחינה עצמאית של הבסיס והתאמה של ההודעות למשתמשים.
ישראל מוכרת כמדינה עם רמת הגנה נאותה, מה שמאפשר העברת מידע מהאיחוד בלי מנגנון נוסף. ההכרה הזו אינה נצחית והיא נבחנת מעת לעת, ולכן היא נכס שכדאי לדעת שקיים ולא להניח שהוא קבוע.
חשוב מכך: ההכרה חלה על העברה לישראל, ולא על מה שקורה למידע אחר כך. חברה ישראלית שמעבירה את המידע הלאה, לספק ענן, לקבלן משנה או לספק מודל במדינה שלישית, מבצעת העברה נוספת שנבחנת בפני עצמה. בשרשרת שכוללת ספק מודל אמריקאי, זו נקודה שנוטים לפספס.
ה-GDPR מקנה לאדם זכויות שמערכת AI מתקשה לספק, ולכן הן צריכות להיות מתוכננות מראש ולא נענות בדיעבד.
זכות המחיקה: מחיקת רשומה ממאגר היא פעולה ידועה. מחיקת השפעתה של אותה רשומה ממודל שכבר אומן עליה היא שאלה טכנית פתוחה, ולכן נדרש תיעוד של מה נכנס לכל גרסת אימון ומדיניות ברורה לגבי גרסאות עתידיות.
זכות העיון וההסבר: כאשר מתקבלת החלטה אוטומטית בעלת השפעה משפטית או השפעה משמעותית דומה, נדרשים מידע משמעותי על ההיגיון שמאחוריה ואפשרות להתערבות אנושית. מערכת שאיש אינו יודע להסביר את הפלט שלה אינה יכולה לספק את זה.
זכות ההתנגדות ותיקון מידע שגוי: מחייבות מסלול שמגיע גם אל הפלט, ולא רק אל הרשומה במסד הנתונים.
עיבוד שעלול לגרור סיכון גבוה לזכויות מחייב הערכת השפעה על הגנת הפרטיות לפני שמתחילים. מערכות AI נכנסות לזה לעיתים קרובות: ניקוד אוטומטי של אנשים, ניטור שיטתי, עיבוד בקנה מידה גדול של מידע רגיש, וקבלת החלטות שמשפיעות על גישה לשירות.
ההערכה אינה טופס. היא התיעוד שמראה שהארגון זיהה את הסיכון לפני שהוא התממש, והיא גם המסמך הראשון שרגולטור מבקש. חברה שלא ערכה אותה מתחילה כל בירור מעמדת נחיתות.
מי שכבר נערך לתיקון 13 לחוק הגנת הפרטיות מחזיק חלק מהתשתית: מיפוי מאגרים, נהלי אבטחה, וטיפול בפניות. ההיקף אינו זהה, והמונחים אינם זהים, אבל הבסיס הארגוני משותף. הטעות הנפוצה היא ההפך: להניח שעמידה בדין הישראלי מספיקה לשוק האירופי, ולגלות את הפער כשלקוח אירופי שולח שאלון ספקים.
ממפים היכן יושבים משתמשים מאירופה ואיזה מידע עליהם נאסף. קובעים לכל שימוש, ובמיוחד לאימון, מהו הבסיס החוקי ומי הבקר. בודקים את שרשרת ההעברות עד הספק האחרון. מוודאים שהזכויות ניתנות למימוש בפועל ולא רק בנייר. ועורכים הערכת השפעה היכן שהיא נדרשת, לפני ההשקה ולא אחריה.
הערה: אין באמור ייעוץ משפטי או תחליף לו, והוא אינו מהווה חוות דעת מחייבת. הרגולציה מתעדכנת, וכל מקרה מחייב בחינה פרטנית מול עורך דין.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ נדל״ן והתחדשות עירונית · ייעוץ AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · תיאום פגישה