רגולציית AI בישראל ובאירופה: מדריך משפטי לחברות הייטק

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

למה ממתינים? הרגולציה כבר כאן

AI כבר לא ניסיוני — זה תשתית. מערכות AI מחליטות מי מקבל הלוואה, מי עובר ראיון עבודה, ומה רואה המשתמש בפיד. עם סמכות כזו מגיעה אחריות, ורגולטורים בעולם מתחילים לדרוש אותה בצורה מחייבת. האיחוד האירופי כבר חוקק. ישראל בדרך.

חברות הייטק ישראליות שמפתחות, משלבות, או מוכרות פתרונות AI חייבות לזנוח את ההנחה ש״עוד לא חייבים״. חייבים. הנה למה.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

מה ה-AI Act האירופי דורש — ומה הסנקציות על אי-ציות?

ה-AI Act האירופי (Regulation (EU) 2024/1689) הוא החוק המקיף הראשון בעולם לרגולציה של בינה מלאכותית. הוא נכנס לתוקף באוגוסט 2024, כשהאיסורים על מערכות בסיכון בלתי-מקובל חלים מ-2 בפברואר 2025, חובות מודלי ה-GPAI מ-2 באוגוסט 2025, והתחולה הכללית מ-2 באוגוסט 2026; לפי עמוד הנציבות האירופית, חובות מערכות ה-high-risk נדחו בתיקון ה-Digital Omnibus (שנכנס לתוקף ביולי 2026) ל-2 בדצמבר 2027 (מערכות לפי נספח III) ול-2 באוגוסט 2028 (מערכות המוטמעות במוצרים מפוקחים). כל חברה שמוכרת AI לשוק האירופי — כולל חברות ישראליות עם לקוח אחד באירופה — כפופה לחוק. הסנקציות (סעיף 99 לרגולציה): קנס מנהלי עד 35 מיליון אירו או 7% מהמחזור השנתי העולמי (הגבוה מביניהם) על שימוש בפרקטיקה אסורה, ועד 15 מיליון אירו או 3% מהמחזור על הפרת רוב החובות האחרות.

עיקרי ה-AI Act:

• סיווג סיכון: כל מערכת AI מסווגת לאחת מארבע רמות — סיכון בלתי-מקובל (אסור), סיכון גבוה (high-risk), סיכון מוגבל, וסיכון מינימלי. כל רמה מחייבת דרגת ציות שונה.
• מערכות אסורות לחלוטין: ניקוד חברתי (social scoring) של אנשים — בידי גופים ציבוריים או פרטיים, מניפולציה סאבלימינלית, ניצול פגיעוּת של קבוצות מוחלשות, הערכת הסיכון שאדם יבצע עבירה על סמך פרופיילינג בלבד, בניית מאגרי זיהוי פנים באיסוף לא ממוקד של תמונות מהרשת או ממצלמות, זיהוי רגשות במקום העבודה ובמוסדות חינוך, סיווג ביומטרי כדי להסיק מאפיינים רגישים כגון גזע, דעות פוליטיות או נטייה מינית, וזיהוי ביומטרי מרחוק בזמן אמת במרחב ציבורי לצורכי אכיפת חוק, למעט חריגים צרים (סעיף 5). אל תבנו. אל תשלבו.
• מערכות סיכון גבוה: מערכות שמשפיעות על גיוס עובדים, הלוואות וניקוד אשראי, מערכות בתי משפט, חינוך, ותשתיות קריטיות — דורשות תיעוד מפורט, בדיקת הטיה, פיקוח אנושי, ורישום במאגר האירופי.
• שקיפות: כל מערכת שמתקשרת עם משתמשים כאילו היא אנושית (צ׳טבוטים, דיפ-פייק, קולות סינתטיים) חייבת לחשוף שהיא AI.
• פיקוח אנושי: לכל מערכת בסיכון גבוה חייב להיות אדם שמסוגל להתערב, לבטל, ולדחות החלטה.

ה-AI Act הוא ה-GDPR של הבינה המלאכותית. חברות שלא ייערכו אליו ימצאו את עצמן חשופות.

מה הגישה הישראלית — ואיפה הפערים לעומת אירופה?

בישראל, הגישה לרגולציית AI עדיין בשלבים מוקדמים יותר משל אירופה. עם זאת, יש כמה מהלכים חשובים:

• יוזמה לאומית ל-AI: הממשלה פרסמה מדיניות לאומית ל-AI שכוללת עקרונות אתיים וסטנדרטים מנחים — לא חובות מחייבות עדיין, אבל הם מאותתים על הכיוון.
• הרשות להגנת הפרטיות: פרסמה באפריל 2025 טיוטת הנחיה בדבר תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית. כל מערכת AI שמעבדת מידע על אנשים כפופה לחוק הגנת הפרטיות, התשמ״א-1981 — ולעיתים גם ל-GDPR, כשמציעים סחורות או שירותים לאנשים הנמצאים באיחוד או עוקבים אחר התנהגותם שם (סעיף 3(2) ל-GDPR). מאז תיקון 13 (14.8.2025), עיבוד מידע אישי במאגר למטרה שאינה כדין (סעיף 8(ב)) חשוף לעיצום כספי של 4 ₪ לכל אדם שמידע עליו נמצא במאגר, 8 ₪ במידע בעל רגישות מיוחדת, ואם הסכום נמוך מ-200,000 ₪, ראש הרשות רשאי להטיל 200,000 ₪ (סעיף 23כו(ה)).
• חוק הגנת הצרכן, התשמ״א-1981: שימוש ב-AI בתמחור דינמי, פרסום ממוקד, או יצירת תוצאות מותאמות אישית בלי גילוי — עלול להיחשב הטעיה אסורה (סעיף 2 לחוק).
• דיני תחרות: שימוש ב-AI לתיאום מחירים אלגוריתמי — עלול להיות הסדר כובל האסור לפי חוק התחרות הכלכלית, התשמ״ח-1988 (סעיפים 2 ו-4), גם כשהתיאום נעשה באמצעות אלגוריתם; ומי שהיה צד להסדר כובל שלא אושר ואינו פטור עובר עבירה (סעיף 47(א1)).
• מוסדות פיננסיים: בנקים וחברות ביטוח כפופים גם להוראות הרגולטורים הפיננסיים שלהם — הפיקוח על הבנקים ורשות שוק ההון — שעשויות לחול גם על שימוש ב-AI.

בישראל אין עדיין חוק ייעודי לרגולציית AI — אבל ״אין חוק ייעודי״ לא אומר ״אין חובות״. חברות שמתנהלות כאילו אין כל חובות — טועות.

מה רמת הסיכון של המערכת שלכם — ומה החובות המשפטיות?

בין אם אתם כפופים כבר עכשיו ל-AI Act ובין אם אתם נערכים לעתיד — יש להעריך את רמת הסיכון של מערכות ה-AI שלכם:

1. סיכון מינימלי: מסנני דואר זבל, מערכות המלצה בסיסיות, כלי אוטומציה פשוטים. ה-AI Act אינו מטיל עליהן חובות מחייבות; מומלץ תיעוד בסיסי וקוד התנהגות וולונטרי.

2. סיכון מוגבל: צ׳טבוטים, מערכות שיוצרות תוכן סינתטי (דיפ-פייק), ומערכות זיהוי רגשות או סיווג ביומטרי (שחלקן מסווגות גם כסיכון גבוה לפי נספח III, וזיהוי רגשות בעבודה ובחינוך אסור). הדרישה (סעיף 50 לרגולציה): חשיפה ברורה שמדובר ב-AI — המשתמש חייב לדעת שהוא מתקשר עם מכונה או נחשף למערכת כזו.

3. סיכון גבוה: מערכות שמשפיעות על החלטות משמעותיות — גיוס עובדים, הלוואות, ניקוד אשראי, הכרעות משפטיות, רפואה, חינוך. הדרישות כבדות: תיעוד טכני מלא, ניהול סיכונים ובדיקת הטיה, פיקוח אנושי ממשי, הערכת התאמה (conformity assessment) לפני השיווק, ורישום במאגר האירופי.

4. אסור לחלוטין: ניקוד חברתי, מניפולציה וניצול של אנשים מוחלשים, הערכת סיכון לביצוע עבירה על סמך פרופיילינג בלבד, מאגרי זיהוי פנים מאיסוף לא ממוקד, זיהוי רגשות בעבודה ובחינוך, סיווג ביומטרי לפי מאפיינים רגישים, וזיהוי ביומטרי מרחוק בזמן אמת במרחב ציבורי לצורכי אכיפת חוק (למעט חריגים). לא לבנות. לא לשלב. לא לרכוש מספקים.

מה הצעדים שצריך לעשות עכשיו?

לא מאוחר להתחיל. הנה מה שצריך לעשות עכשיו:

• מיפוי מלאי AI: רשמו כל מערכת AI שהחברה מפתחת או משתמשת בה — כולל תוכנות של ספקים חיצוניים. כל אחת מהן.
• סיווג סיכון: בחנו כל מערכת לפי מסגרת ה-AI Act. היעזרו ברשימת הבדיקה הרשמית של האיחוד האירופי.
• תיעוד: איך המערכת עובדת, על אילו נתונים הוכשרה, מה מגבלותיה, ואיך בודקים הטיה.
• בדיקת הטיה: למערכות בסיכון גבוה — בדיקה תקופתית לאפליה לפי מין, גיל, מוצא, ומאפיינים רגישים נוספים.
• מינוי אחראי ציות AI: מי בחברה אחראי לנושא? אם עדיין לא מיניתם אדם לתפקיד — עשו זאת עכשיו, לא אחרי שתקבלו קנס.

AI הוא כוח — והחוק דורש שכוח יופעל באחריות. חברות שיבנו מערכות שקופות, מתועדות, ומפוקחות לא רק ימנעו קנסות — הן יבנו אמון שהוא יתרון תחרותי ממשי.