סעיפי AI בחוזים: 6 סעיפים שאסור לפספס

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

למה חוזה AI הוא לא סתם "חוזה תוכנה"

עסקים חותמים מדי יום על הסכמי שימוש ב-AI בלי להבין מה הם מסכימים לו. הם חושבים שזה כמו כל הסכם SaaS — אבל זה לא. מערכות AI מאומנות על הנתונים שלכם, עשויות ליצור ממצאים שיהיו קשים לערעור, ומקבלות החלטות שהשלכותיהן יכולות להגיע לבית משפט. החוזה שאתם חותמים עליו קובע מי אחראי כשדברים משתבשים.

בדין הישראלי אין עדיין חוק AI ייעודי. חוק החוזים (חלק כללי), התשל״ג-1973 הוא הבסיס, וסעיף 25 לחוק קובע את כללי הפרשנות: חוזה עסקי שנכרת או חודש מיום 7.1.2026 ולא נקבעו בו הוראות פרשנות יפורש לפי לשונו בלבד, אלא אם מלשון החוזה בלבד נובעת תוצאה שאינה מתקבלת על הדעת, או עולה סתירה בין הוראותיו. חוזה אחיד, לעומת זאת — ותנאי שימוש סטנדרטיים של ספק AI הם בדרך כלל חוזה אחיד — יפורש לפי אומד דעתם של הצדדים, גם אם נקבע בו אחרת (סעיף 25(א)(4)). כשחוזה ניתן לפירושים שונים, עדיף הפירוש שנגד הצד שהייתה לו עדיפות בעיצוב תנאיו (סעיף 25(ב1)). בתחום AI, שבו כל מילה עלולה להיות שדה מוקשים טכנולוגי, עמימות היא סיכון לשני הצדדים.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

סעיף 1: הגדרת "הבינה המלאכותית" — לא תפוחים ולא תפוזים

ביטוי "AI" בחוזה ללא הגדרה הוא פתח לסכסוך. ספק יכול לטעון שהתחייב לאלגוריתם ממוצע, ואתם ציפיתם למודל שפה מתקדם. לפני שחותמים, דרשו הגדרה שמפרטת: סוג המערכת (מודל שפה, ראיית מחשב, סיווג, וכו'), האם מדובר במודל מאומן מראש או בפיתוח מותאם אישית, ומהן גרסאות המוצר שכלולות בהסכם.

כשמונח טכנולוגי לא מוגדר, המחלוקת תוכרע לפי כללי הפרשנות שבסעיף 25 לחוק החוזים ולפי חובת תום הלב בקיום החוזה (סעיף 39) — אבל פסיקה שבאה לאחר שהנזק כבר נגרם לא עוזרת הרבה לעסק.

סעיף 2: מי הבעלים של הנתונים והמודל

זו השאלה הכי שנויה במחלוקת בחוזי AI, ורוב הצדדים לא מודעים אליה. כאשר ספק AI מאמן את המערכת שלו על הנתונים שלכם — עסקאות, שיחות עם לקוחות, מסמכים פנימיים — מי בעלים של ה״ידע" שנצבר בתוך המודל?

חוק זכות יוצרים, התשס״ח-2007 מגן על יצירות מקוריות. הנתונים הגולמיים בדרך כלל שייכים לבעליהם, אך ״המודל המאומן״ עשוי להיות יצירה נפרדת. לפי סעיף 34 לחוק, המעביד הוא הבעלים הראשון של זכות היוצרים ביצירה שיצר עובדו לצורך עבודתו ובמהלכה, אלא אם הוסכם אחרת. ביצירה שהוזמנה מספק חיצוני הכלל הפוך: לפי סעיף 35, הבעלים הראשון הוא היוצר — בפועל, הספק — אלא אם הוסכם אחרת בין המזמין ליוצר, במפורש או במשתמע.

הסעיף חייב להגדיר: מי הבעלים של הנתונים הגולמיים, מי הבעלים של המודל המאומן, מה מותר לספק לעשות עם הנתונים שלכם (לרבות אימון מודלים אחרים), ומה קורה לזכויות אם החוזה מסתיים.

סעיף 3: הגבלת אחריות — מי משלם כשה-AI טועה

מערכות AI מייצרות שגיאות. תחזית שגויה, המלצה כושלת, או "הלוצינציה" שגרמה להחלטה עסקית רעה — מי אחראי? פקודת הנזיקין [נוסח חדש] קובעת אחריות ברשלנות, אך בחוזים מסחריים אפשר להגביל אותה — עד לגבול מסוים.

סעיף הגבלת האחריות חייב לכלול: תקרת אחריות כספית (לרוב מכפלה של דמי ההסכם), רשימה מפורשת של נזקים שאינם מכוסים (נזקים עקיפים, אובדן מוניטין, הפסד רווחים), ומנגנון ביטוח אם הנזק הפוטנציאלי גבוה. הסתמכות על סעיף פטור נבחנת גם לפי חובת תום הלב בשימוש בזכות חוזית (סעיף 39 לחוק החוזים); ובחוזה אחיד, פטור גורף הוא תנאי שחזקה שהוא מקפח (סעיף 4(1) לחוק החוזים האחידים), ופטור מאחריות לנזק גוף או למעשה זדון — בטל (סעיף 5(ב)).

סעיף 4: סודיות ופרטיות — עיבוד נתונים אישיים

אם מערכת ה-AI מעבדת נתונים אישיים — של עובדים, לקוחות, ספקים — חוק הגנת הפרטיות, התשמ״א-1981 חל בלי קשר למה שכתוב בחוזה. תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 קובעות רמות אבטחה שונות לפי סוג המידע, מספר האנשים שבמאגר ומספר בעלי ההרשאה, ותקנה 15 בהן מחייבת לקבוע בהסכם עם ספק שמקבל גישה למאגר את המידע שמותר לו לעבד ואת מטרותיו, את אופן יישום חובות האבטחה ואת השבת המידע והשמדתו בסיום ההתקשרות.

הסעיף חייב לכלול: הגדרה ברורה של מהי "מידע סודי" ו״מידע אישי" בהקשר הספציפי, חובת דיווח על אירוע אבטחה תוך זמן מוגדר, הגדרת הספק כ״מחזיק״ במאגר המידע — גורם חיצוני שמעבד מידע בעבור בעל השליטה (סעיף 3 לחוק הגנת הפרטיות) ואחראי גם הוא לאבטחת המידע (סעיף 17), ואיסור מפורש על שימוש בנתוני הלקוח לאימון מודלים של צדדים שלישיים. חברות ישראליות שמועברות אליהן נתונים מאירופה צריכות להוסיף גם סעיף DPA בהתאם ל-GDPR.

סעיף 5: ערבויות ביצוע ורמת שירות

ספקי AI אוהבים לכלול סעיפי "as-is" — המערכת מסופקת כפי שהיא, ללא ערבויות. בחוזים בין עסקים, הדבר חוקי. אבל לקוח שמשלם שישה ספרות בשנה מצפה למשהו קונקרטי — ואם הוא לא כתב את זה בחוזה, הוא לא יקבל כלום.

דרשו: SLA מוגדר עם זמינות מינימלית (uptime), רמת דיוק מינימלית ומנגנון לבדיקתה, מדיניות עדכוני גרסה ופרוטוקול הודעה מוקדמת לפני שינויים, ותמיכה טכנית עם זמני מענה מוגדרים. מה שלא נקבע בחוזה ייקבע, אם בכלל, לפי הנוהג בין הצדדים או הנוהג המקובל בחוזים מאותו סוג (סעיף 26 לחוק החוזים) — ולא לפי הציפיות שלכם.

סעיף 6: מה קורה לנתונים כשהחוזה נגמר

כאן מסתתרת הבעיה השקטה ביותר. הרוב לא חושבים על זה בזמן ההתקשרות — ואז מגלים שהנתונים שלהם ממשיכים לשבת אצל הספק, לאחר שהסכם הסתיים.

הסעיף חייב לקבוע: מועד מחיקה מוגדר של כל הנתונים (30-90 יום סביר), זכות לקבל עותק מלא של הנתונים לפני המחיקה, אישור בכתב שהמחיקה בוצעה (כולל גיבויים), ואיסור מפורש על שמירת נגזרות של הנתונים (כולל תכונות שחולצו לאימון מודל). חוק הגנת הפרטיות אינו מקנה זכות כללית למחיקה על דרישה: סעיף 14 מאפשר לבקש תיקון או מחיקה רק של מידע שאינו נכון, שלם, ברור או מעודכן. לכן חובת המחיקה בסיום צריכה להיקבע בחוזה — ותקנה 15(א)(2)(ד) לתקנות אבטחת מידע אכן מחייבת לכלול בהסכם עם ספק שמקבל גישה למאגר את אופן השבת המידע והשמדתו.