חוק הבינה המלאכותית האירופי (EU AI Act) נכנס לשלב האכיפה: מה זה אומר לחברות ישראליות
חוק הבינה המלאכותית האירופי (EU AI Act) נכנס לשלב האכיפה: מה זה אומר לחברות ישראליות
תקופת ההסתגלות הסתיימה. משרד הבינה המלאכותית האירופי (AI Office) קיבל סמכויות חקירה בפועל, השיק שלושה ערוצי תלונות פעילים, וחובות השקיפות חלות מיום 2 באוגוסט 2026. הרגולציה אינה עוד טיוטה, אלא מציאות תפעולית עם קנסות של עד 7% מהמחזור הגלובלי.
רגולציית הבינה המלאכותית הגלובלית עברה קו פרשת מים היסטורי. חוק הבינה המלאכותית האירופי, פורמלית תקנה (EU) 2024/1689, נכנס לתוקף באוגוסט 2024, ומאז נפרשו חובותיו על פני ציר זמן מדורג. במלאת שנתיים לחקיקתו, תקופת ההיערכות הראשונית של חוק הבינה המלאכותית האירופי הסתיימה. נציבות האיחוד האירופי, באמצעות משרד הבינה המלאכותית (EU AI Office) והרשויות הלאומיות במדינות החברות, החלה באכיפה בפועל של הוראות החוק.
עבור חברות טכנולוגיה, יזמים, מפתחי תוכנה וארגונים בישראל המציעים מוצרים, שירותים או מערכות המבוססות על AI לשוק האירופי, המסר חד וברור: הרגולציה על בינה מלאכותית אינה עוד תיאוריה, נייר עמדה או טיוטת חקיקה עתידית, אלא מציאות משפטית־תפעולית מחייבת, עם סמכויות פיקוח, מנגנוני דיווח וסנקציות כספיות משמעותיות.
עדכון חקיקה
ביום 24 ביולי 2026 פורסמה בכתב העת הרשמי של האיחוד האירופי (Official Journal) תקנת האומניבוס הדיגיטלי בתחום ה־AI, תקנה (EU) 2026/1744, והיא נכנסה לתוקף ביום 27 ביולי 2026. התקנה דחתה את מועדי התחולה של חובות הסיכון הגבוה, אך לא את עיקר חובות השקיפות. אלה חלות מיום 2 באוגוסט 2026, למעט ארכה בת ארבעה חודשים (עד 2 בדצמבר 2026) לחובת סימון התוכן במערכות שהועמדו בשוק לפני מועד זה.
מפת הדרכים הרגולטורית: מה נכנס לתוקף ומתי
חוק הבינה המלאכותית האירופי מבוסס על גישה מבוססת סיכון (Risk-Based Approach), המחלקת את מערכות ה־AI לדרגות סיכון: מסיכון בלתי מקובל האסור לחלוטין, ועד לסיכון מינימלי, שאינו כפוף לחובות ייעודיות. החובות נפרשות על פני ציר זמן מדורג, שעודכן לאחרונה בעקבות תקנת ה־Omnibus שנכנסה לתוקף ביולי 2026.
פירמידת הסיכון: היכן ממוקמת המערכת שלכם
סיווג נכון של המערכת הוא הצעד הראשון והקריטי ביותר. אותו מודל טכנולוגי עצמו עשוי להיות מסווג אחרת לחלוטין בהתאם לשימוש שנעשה בו:
חובות השקיפות החדשות (בתוקף)
סעיף 50 לחוק מטיל חובות שקיפות ישירות ומפורטות, שאכיפתן החלה בגל הנוכחי, על ספקים (Providers) ועל מטמיעים (Deployers) של מערכות AI:
חובת גילוי באינטראקציהArt. 50(1)
כל מערכת AI המקיימת אינטראקציה ישירה עם משתמשים (צ'אטבוטים, עוזרים קוליים, מערכות מענה אוטומטיות) חייבת להבהיר למשתמש באופן ברור ומובחן, לכל המאוחר במועד האינטראקציה הראשונה, כי הוא מתקשר עם מערכת בינה מלאכותית ולא עם אדם. הפטור חל כאשר הדבר גלוי וברור מאליו למשתמש סביר, וכן, בכפוף לאמצעי הגנה, במערכות שהשימוש בהן הותר בחוק לצורכי גילוי, מניעה, חקירה או העמדה לדין בגין עבירות פליליות.
סימון תוכן שנוצר באמצעות AI ותיעוד מקורוArt. 50(2)
חובה לשלב סימונים הטבועים בקוד ומזוהים על ידי מכונה (machine-readable) בכל תוכן טקסטואלי, קולי, תמונה או וידאו שנוצר או שונה באמצעות AI, לצד מנגנוני זיהוי. טכנולוגיות מקובלות: Content Credentials (C2PA), סימני מים דיגיטליים (SynthID), ומטא־נתונים קריפטוגרפיים.
זיהוי וסימון דיפ־פייקArt. 50(4)
חובה משפטית ברורה לסמן באופן גלוי לעין ולאוזן כל תוכן חזותי או קולי המהווה "דיפ־פייק", כלומר תוכן המדמה באופן ריאליסטי אנשים, מקומות או אירועים. חובה מקבילה חלה על טקסט המתפרסם בנושאים בעלי עניין ציבורי, אלא אם עבר בקרה עריכתית אנושית מהותית.
זיהוי רגשות וסיווג ביומטריArt. 50(3)
מטמיעים של מערכות לזיהוי רגשות או לסיווג ביומטרי חייבים ליידע את האנשים החשופים למערכת בדבר הפעלתה, ולעבד את המידע האישי בהתאם ל־GDPR. רלוונטי במיוחד למערכות גיוס, שירות לקוחות ואבטחה.
קוד הפרקטיקה לשקיפות תוכן שנוצר באמצעות AI
ביום 10 ביוני 2026 פרסמה נציבות האיחוד את קוד הפרקטיקה לשקיפות תוכן שנוצר באמצעות AI, מסמך שאינו מחייב, המתרגם את סעיף 50 לפרקטיקה טכנית מדידה. עד סוף יולי 2026 חתמו עליו כ־190 חברות וארגונים. חתימה על הקוד אינה חובה, אך היא מקנה "נמל מבטחים" מעשי: הנציבות הבהירה כי ספקים ומטמיעים החתומים עליו יוכלו להסתמך על אמצעיו כדי להוכיח עמידה בדרישות החוק. הנציבות אף פרסמה סט אייקונים אחיד לסימון תוכן.
מודלים כלליים (GPAI) וניהול סיכונים סיסטמיים
החוק מייחד פרק נרחב לספקים של מודלים כלליים (General-Purpose AI Models), מודלים המסוגלים לבצע מגוון רחב של משימות ומשמשים תשתית ליישומים רבים:
- תיעוד טכני ושקיפות נתונים: ספקי מודלי GPAI נדרשים לספק תיעוד טכני מפורט, להציג מדיניות מוצהרת לשמירה על זכויות יוצרים (Copyright Compliance), ולפרסם תקציר נגיש ומספק של נתוני האימון (Training Data Summaries) ששימשו לבניית המודל.
- שקיפות כלפי ספקי המשך: חובה לספק לחברות הבונות יישומים על גבי המודל את המידע הדרוש להן לצורך עמידה בחובותיהן שלהן.
מודלים בעלי סיכון סיסטמי (Systemic Risk)
מודלים בעלי עוצמת חישוב גבוהה במיוחד או השפעה נרחבת על השוק כפופים לשכבת חובות נוספת:
- הערכות סיכון מקיפות וניטור רציף של סיכונים סיסטמיים לאורך מחזור חיי המודל.
- בדיקות עמידות ותקיפה יזומה (Adversarial Testing / Red-Teaming), לרבות באמצעות גורמים חיצוניים בלתי תלויים.
- אבטחת סייבר מחמירה להגנה על משקלי המודל (Model Weights) ועל התשתית הפיזית והלוגית שמסביבם.
- דיווח מיידי ל־AI Office על אירועי בטיחות או אבטחה חמורים ועל אמצעי התיקון שננקטו.
ארגז הכלים של האכיפה: שלושה ערוצי תלונות פעילים
כדי להבטיח אכיפה אפקטיבית, ה־EU AI Office השיק באופן רשמי מערך כלים דיגיטליים המאפשר פיקוח הדוק, ולמעשה מייצר שלושה מסלולי חשיפה נפרדים לכל ספק:
כלי התלונות הכלליArt. 85
מנגנון המאפשר לכל אדם פרטי או ארגון להגיש תלונה רשמית בגין הפרות של החוק על ידי ספקים או מטמיעים של מערכות AI הנמצאות תחת סמכותו הבלעדית של ה־AI Office. התלונה מחייבת הזדהות של המתלונן.
ערוץ ספקי המשךArt. 89(2)
מנגנון ייעודי לחברות המפתחות אפליקציות על בסיס מודלים כלליים (GPAI) של צד שלישי. הוא מאפשר להן להגיש תלונה כאשר ספק מודל ה־GPAI לא סיפק להן את התיעוד הטכני, תקצירי נתוני האימון או מידע הבטיחות הנדרשים לפי סעיפים 53–55.
ערוץ להתרעת עובדיםWhistleblower Tool
ערוץ מאובטח ואנונימי המיועד לעובדים ולמי שיש להם זיקה מקצועית לספקי AI, ומאפשר להם לדווח לרשויות באופן חסוי על הפרות פנימיות של נהלי בטיחות ורגולציה המסכנות זכויות יסוד, בריאות או אמון הציבור.
מפת הקנסות: מדרג הסנקציות הכספיות
מנגנון הסנקציות מדורג בארבע רמות, כאשר בכל רמה נקבע הסכום הגבוה מבין השניים: אחוז מהמחזור הגלובלי או סכום קבוע באירו:
| סוג ההפרה | דוגמאות | קנס מרבי |
|---|---|---|
| פרקטיקות אסורותסעיף 5 | ניקוד חברתי, מניפולציה קוגניטיבית, זיהוי ביומטרי בזמן אמת במרחב הציבורי, איסוף המוני ובלתי ממוקד של תמונות פנים | 7%או 35 מיליון אירו |
| הפרת חובות מהותיותסעיפים 16, 26, 50 ואחרים | אי־גילוי באינטראקציה עם צ'אטבוט, היעדר סימון תוכן מחולל, אי־סימון דיפ־פייק, הפרת חובות מערכות סיכון גבוה | 3%או 15 מיליון אירו |
| חובות ספקי GPAIסעיף 101 | אי־מסירת תיעוד טכני, אי־פרסום תקציר נתוני אימון, אי־שיתוף פעולה עם ה־AI Office | 3%או 15 מיליון אירו |
| מסירת מידע שגויסעיף 99(5) | מסירת מידע שגוי, חלקי או מטעה לרשויות המוסמכות או לגופים המיודעים (Notified Bodies) | 1%או 7.5 מיליון אירו |
לחברות קטנות ובינוניות (SMEs) וסטארט־אפים נקבע מנגנון מרוכך, לפיו הקנס יהיה הנמוך מבין שני הרכיבים. זו הקלה משמעותית שרלוונטית לחלק ניכר מהאקוסיסטם הישראלי.
ההיבט הישראלי הכפול: חשיפה אירופית וחובה מקומית
תחולה אקסטרה־טריטוריאלית
להוראות ה־EU AI Act יש תחולה אקסטרה־טריטוריאלית נרחבת, בדומה למודל שהתגבש ב־GDPR. חברה ישראלית הממוקמת פיזית בישראל, אך מפתחת, מוכרת או מפעילה מערכת AI הנגישה למשתמשים או תאגידים באיחוד האירופי, או שהפלט של המערכת משמש באיחוד, כפופה להוראות החוק החלות עליה בהתאם לתפקידה ולסיווג הסיכון של המערכת. המבחן אינו מקום המושב, אלא מקום ההשפעה.
הרובד המקומי: תיקון 13 והנחיית הרשות להגנת הפרטיות
במקביל לזירה האירופית, ארגונים ישראליים מצויים בעיצומו של שינוי רגולטורי מקומי מקביל. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, הרחיב דרמטית את סמכויות האכיפה של הרשות להגנת הפרטיות והחיל חובה למנות ממונה על הגנת הפרטיות (DPO) על מגוון רחב של גופים.
בנוסף, הרשות להגנת הפרטיות פרסמה עמדה עקרונית לפיה חוק הגנת הפרטיות חל על מערכות בינה מלאכותית. בין עיקרי העמדה: חובת הסכמה מדעת מוגברת הכוללת גילוי בדבר אופן פעולת המערכת והסיכונים הכרוכים בה; חובת יידוע כאשר המשתמש מתקשר עם בוט אוטומטי; קביעה כי כריית מידע מהאינטרנט לצורך אימון מודלים, ללא הסכמה, עלולה להוות פגיעה אסורה בפרטיות; והדגשת זכויות העיון והתיקון, לרבות תיקון אלגוריתמים שהפיקו מידע שגוי.
צ'קליסט היערכות מעשי לארגונים
שמונה צעדים שכל ארגון החשוף לרגולציה האירופית צריך לבצע. סמנו את מה שכבר הושלם: