AI גנרטיבי: אתגרים משפטיים ורגולטוריים

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

מה שה-AI מייצר — שייך למי?

ChatGPT, Midjourney, DALL-E — כלי ה-AI הגנרטיביים שינו את שוק יצירת התוכן. אבל מאחורי כל תמונה שנוצרת ב-10 שניות מסתתרת שאלה שבתי המשפט בכל העולם עדיין מנסים לפתור: מי בעלים של מה שה-AI יצר?

לפי חוק זכות יוצרים, התשס״ח-2007, הבעלים הראשון של זכות היוצרים הוא ה״יוצר״ (סעיף 33), והזכות נמשכת כל חייו ועוד 70 שנה אחרי מותו (סעיף 38). החוק אינו מגדיר ״יוצר״, אבל ה-AI אינו אישיות משפטית ואינו יכול להחזיק בזכויות. כלומר: תוכן שנוצר אוטומטית על ידי AI ללא מעורבות יצירתית של אדם — עשוי לפול לנחלת הכלל, ולא להיות מוגן.

מה שכן מוגן: אם אדם כתב פרומפט מקורי ומפורט, ביצע עריכה משמעותית, וניהל את תהליך היצירה — בית משפט ישראלי עשוי לראות בו יוצר. אבל קו הגבול עדיין לא ברור.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

אימון AI על תוכן מוגן: הפרה או שימוש הוגן?

מודלי AI גנרטיביים אומנו על כמויות עצומות של טקסט, תמונות ומוזיקה — רובם מוגנים בזכויות יוצרים. בארה״ב, OpenAI, Stability AI ו-Google עומדים בפני תביעות ענק של כותבים, אמנים ועיתונים. בישראל, השאלה פתוחה.

סעיף 19 לחוק זכות יוצרים, תשס״ח-2007, מגדיר "שימוש הוגן" — שימוש ביצירה מוגנת ללא אישור בעל הזכות, לצרכים כגון מחקר, לימוד, ביקורת. האם אימון מודל AI עולה לכדי ״שימוש הוגן״? בחוות דעת מדצמבר 2022 הביעה מחלקת ייעוץ וחקיקה במשרד המשפטים עמדה שלמעט מקרים חריגים, שימוש בתכנים מוגנים לאימון מכונה הוא שימוש מותר — לרוב שימוש הוגן לפי סעיף 19, ולעיתים גם שימוש אגבי (סעיף 22) או העתקה זמנית (סעיף 26). חוות הדעת אינה מחייבת את בתי המשפט, והנושא טרם הוכרע בפסיקה.

מומלץ שחברות ישראליות שמפתחות מודלי AI יתעדו את מקורות נתוני האימון שלהן; ספק של מודל AI לשימוש כללי שמשווק באיחוד האירופי חייב לפרסם סיכום מפורט של התוכן ששימש לאימון (סעיף 53(1)(d) ל-AI Act). בית משפט ישראלי שיידרש לשאלה ישקול: מה מטרת השימוש, האם ה-AI מחליף את השוק המקורי, ומה ההשפעה הכלכלית על בעל הזכות.

EU AI Act — רלוונטי גם לכם

תקנת ה-AI האירופאית (EU AI Act), שנכנסה לתוקף בשלבים מ-2024, מסווגת מערכות AI לפי רמת סיכון: בסיכון גבוה (ביומטריה, מיון עובדים, ניקוד אשראי), בסיכון מוגבל, ובסיכון מינימלי. על מערכות ב״סיכון גבוה״ (סעיף 6 ונספח III) חלות חובות שקיפות, תיעוד ופיקוח אנושי, וחלק מהשימושים אסורים לחלוטין (סעיף 5); ההוראות חלות בשלבים (סעיף 113).

חברה ישראלית שמשווקת מערכת AI באיחוד, או שהתוצר של המערכת שלה משמש באיחוד — חלה עליה התקנה (סעיף 2(1)). לכן כל SaaS ישראלי עם משתמשים אירופאים שמשלב AI צריך לבחון את מעמדו לפי ה-AI Act.

אחריות משפטית: כשה-AI טועה — מי משלם?

AI גנרטיבי "מזייף" — מה שנקרא "hallucination". הוא עלול לייצר מידע רפואי שגוי, לייחס ציטוטים לאנשים שלא אמרו דבר, או לייצר תוכן מטעה. כשנגרם נזק — מי אחראי?

לפי פקודת הנזיקין [נוסח חדש], אחריות נזיקית דורשת קשר סיבתי בין מעשה לנזק. מי "עשה" כאן? ספק ה-AI? המפתח שמשלב אותו? המשתמש? בהיעדר חקיקה ייעודית, ישראל תישען על דיני הנזיקין הכלליים — ויתכנו טענות של רשלנות, אחריות שילוחית, ובנזק גוף — גם אחריות מוצר לפי חוק האחריות למוצרים פגומים — הכול תלוי מי שלח את ה-prompt ומי שילב את המודל במוצר.

מסמך רשמי שנוצר על ידי AI ומכיל שגיאת עובדה, ייעוץ רפואי שגוי שסייע לו AI, חוזה עם סעיף בעייתי שנוסח על ידי AI — אלה עילות תביעה אפשריות, שכבר עולות בעולם.

פרטיות: מה ה-AI עושה עם המידע שאתם מזינים

כשאתם מזינים נתונים לכלי AI — מסמכים, שמות לקוחות, פרטים רפואיים — אתם מעבירים מידע לשרת של ספק זר. לפי חוק הגנת הפרטיות, התשמ״א-1981, שימוש במידע או מסירתו שלא למטרה שלשמה נמסר הם פגיעה בפרטיות (סעיף 2(9)); ספק שמקבל גישה למאגר מידע טעון הסכם לפי תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017; והעברה לשרת בחו״ל כפופה לתקנות העברת מידע לחו״ל (תקנות 1–3).

עורכי דין, רואי חשבון ורופאים שמזינים מידע לקוחות לכלי AI — עלולים להפר חובות סודיות מקצועית וחוק הגנת הפרטיות במקביל. האתגר: רוב ספקי ה-AI המובילים מבוססי ענן בחו״ל, ולתנאי השירות שלהם יש השלכות ישירות על ציות לחוק הישראלי.

ומה ההשפעה על אבטחת המידע? לפי סעיף 17(א) לחוק הגנת הפרטיות, בעל השליטה במאגר והמחזיק שמעבד עבורו מידע אחראים כל אחד לאבטחת המידע שבמאגר. הזנת מידע מהמאגר לכלי AI חיצוני עשויה להיחשב עיבוד באמצעות מחזיק, ולכן כדאי לעדכן את מסמך הגדרות המאגר, שחייב לפרט עיבוד באמצעות מחזיק והעברת מידע אל מחוץ לגבולות המדינה (תקנה 2(א)(4) ו-(5) לתקנות הגנת הפרטיות (אבטחת מידע)), ולבחון מראש את סיכוני ההתקשרות (תקנה 15(א)(1)). דליפה ממאגר שחלה עליו רמת אבטחה בינונית או גבוהה עשויה להיות ״אירוע אבטחה חמור״, המחייב הודעה מיידית לרשות להגנת הפרטיות (תקנה 11(ד)).

מה ישראל עושה — ומה תעשה בקרוב

נכון ל-2026, ישראל אינה מחייבת רישוי מיוחד לפתרונות AI גנרטיביים. במסמך מדיניות מדצמבר 2023 קבעו משרד החדשנות, המדע והטכנולוגיה ומשרד המשפטים שאין בשלב זה מקום לחקיקת מסגרת רוחבית, וכל רגולטור יבחן את ההסדרה בתחומו; הרשות להגנת הפרטיות פרסמה ב-28.4.2025 טיוטת הנחיה על תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית; ומשרד המשפטים פרסם בדצמבר 2022 חוות דעת על אימון מכונה בתכנים מוגנים. אין ״חוק AI ישראלי״ בינתיים.

עסקים שמטמיעים AI עכשיו ייצרו לעצמם יתרון אם יתעדו: מקורות נתונים, שרשרת אחריות, בדיקות איכות ומנגנון פיקוח אנושי. אלה גם הנושאים שבהם מתמקדות ההסדרות הקיימות, כמו ה-AI Act.