האם חוק ה-AI של האיחוד האירופי חל על העסק שלכם? הסבר פשוט על החובות

רוב המדריכים לחוק ה-AI של האיחוד האירופי נכתבים לחברות שבונות AI. מדריך זה מיועד גם לכל היתר: חנות מקוונת עם צ’אטבוט, סוכנות שמנסחת תוכן באמצעות ChatGPT, חברת תוכנה שמוסיפה תכונת AI, או עסק מחוץ לאיחוד האירופי שמוכר ללקוחות אירופיים. מועד התחולה המרכזי של הרגולציה כבר חלף, ולאחר תיקון מאוחר התמונה התבהרה. הנה מה שחוק הבינה המלאכותית מחייב בפועל עסק רגיל לעשות.

מהו חוק הבינה המלאכותית ולמה הוא חשוב

חוק ה-AI, רשמית תקנה (EU) 2024/1689, הוא חוק ה-AI המקיף הראשון בעולם (הנוסח המאוחד העדכני נמצא ב-EUR-Lex). כתקנת האיחוד האירופי, הוא חל ישירות בכל מדינה חברה, ללא צורך בהטמעה בחקיקה לאומית. רגולציית ה-AI בנויה על היגיון מבוסס סיכון: ככל שההשפעה הפוטנציאלית של מערכת AI על בטיחותם או זכויות היסוד של אנשים גדולה יותר, כך מחמירות יותר החובות המוטלות על מי שמפתחים ומשתמשים בה.

ה-Digital Omnibus בנושא AI (תקנה (EU) 2026/1744) תיקן את החוק זמן קצר לפני מועד התחולה המרכזי שלו. הוא דחה את מועדי הסיכון הגבוה, הוסיף שתי פרקטיקות אסורות חדשות, צמצם חלק מהגדרת הסיכון הגבוה והפחית ניירת לחברות קטנות יותר. המבנה — ארבע רמות סיכון וחובות לפי תפקיד — נותר ללא שינוי.

על מי חל חוק ה-AI של האיחוד האירופי? בדיקה בארבע שאלות

1. האם הכלי הוא “מערכת AI”? אלגוריתם מבוסס-כללים עם שלבים קבועים שהוגדרו בידי אדם אינו כזה. המאפיין המגדיר הוא הסקה: המערכת מפיקה תחזיות, המלצות, החלטות או תוכן מנתונים בדרכים שלא תוכנתו במפורש. צ’אטבוטים, כלים גנרטיביים, מנועי דירוג והמלצה נכללים; נוסחה בגיליון אלקטרוני אינה נכללת.

2. האם השימוש מקצועי? שימוש פרטי ולא מקצועי אינו בגדר החוק. ברגע שעובד משתמש בכלי בשם חברה, החברה נכללת בגדר החוק.

3. האם יש זיקה לאיחוד האירופי? החוק חל אם מערכת ה-AI מוצעת בשוק האיחוד האירופי, משמשת בו, או שהתוצרים שלה משמשים בו. חברה מחוץ לאיחוד שמשרתת לקוחות באיחוד מכוסה אף היא. אין פטור לעסקים קטנים או לסטארט-אפים; חובות חוק ה-AI תלויות ברמת הסיכון, לא במספר העובדים.

4. האם בניתם אותה, או שאתם משתמשים בה? מכאן נקבע התפקיד שלכם, והתפקיד קובע את חובותיכם.

רוב העסקים הם מפעילים לפי חוק ה-AI. שימוש ב-ChatGPT, Copilot או בצ’אטבוט של ספק אינו הופך אתכם לספקים, אך כן למפעילים, עם החובות המתוארות להלן. אתם עשויים להפוך לספקים בלי שהתכוונתם לכך: אם תשנו מערכת שינוי מהותי, תשלבו אותה במוצר שלכם או תשווקו אותה תחת המותג שלכם.

כלל נוסף לחברות מחוץ לאיחוד האירופי: ספק מחוץ לאיחוד חייב למנות נציג מורשה המבוסס באיחוד לפני שהוא מעמיד שם מערכת AI בסיכון גבוה או מודל AI למטרה כללית (מודלי קוד פתוח ללא סיכון מערכתי פטורים).

קטגוריות הסיכון בחוק ה-AI: ארבע הרמות

הנציבות האירופית העריכה בעת ניסוח החוק שכ-85% ממערכות ה-AI נכללות בקטגוריית הסיכון המינימלי. עבור רוב חברות השירותים, התוכנה והמסחר האלקטרוני, רק השורה הראשונה והשלישית חשובות בפועל.

לוח הזמנים של חוק ה-AI: מה חל כעת ומה נדחה

דרישות חוק ה-AI שרוב העסקים מתמודדים איתן כיום

1. אל תשתמשו בפרקטיקות AI אסורות

בדקו שאף כלי בעסק שלכם אינו נכלל בקטגוריה אסורה. המלכודת הסבירה ביותר לחברה רגילה היא זיהוי רגשות של עובדים או לקוחות, או סיווג ביומטרי המסיק תכונות רגישות כגון מוצא אתני או דעות פוליטיות. הנציבות פרסמה הנחיות לגבי פרקטיקות אסורות למקרים גבוליים.

2. קדמו אוריינות AI, וכן — כתבו מדיניות AI

ספקים ומפעילים חייבים לנקוט אמצעים התומכים באוריינות AI בקרב האנשים שמפעילים או משתמשים ב-AI מטעמם. ה-Omnibus ריכך את הניסוח: אינכם נדרשים עוד להבטיח רמת כשירות מסוימת לכל אדם, אך עדיין עליכם לפעול. החוק אינו אומר מילולית “לאמץ מדיניות AI”, אך מדיניות פנימית קצרה לשימוש ב-AI, הדרכה מתועדת ורישום של מי השלים אותה הם הדרך הפשוטה ביותר להוכיח ציות. מאחר שהחובה חלה גם על שימוש פנימי, זו החובה היחידה שמגיעה אפילו לחברות שה-AI שלהן לעולם אינו פוגש לקוח.

3. גילוי על צ’אטבוט: אמרו לאנשים כשהם משוחחים עם מכונה

לפי חובות השקיפות, מערכת AI שמתקשרת ישירות עם אנשים, כגון צ’אטבוט או עוזר קולי, חייבת להבהיר שהמשתמש מתמודד עם AI, אלא אם הדבר ברור מההקשר. החובה מוטלת על הספק שבנה את המערכת. אם אתם משתמשים באתר שלכם בצ’אטבוט של ספק, על הספק לבנות את הגילוי בתוכו, אך אתם אלה שעומדים מול לקוחותיכם: ודאו שההודעה גלויה לפני האינטראקציה הראשונה או במהלכה. די בשורה כגון: “אתם משוחחים עם עוזר ה-AI שלנו”.

האם חובה לסמן תוכן שנוצר ב-AI?

זו שאלת גילוי תוכן ה-AI שעסקים שואלים יותר מכול, וגם זו שנענית בתשובה שגויה לעיתים התכופות ביותר. הכללים מבחינים בין סימון בלתי נראה וקריא למכונה שעל הספק של כלי גנרטיבי לשלב, לבין גילוי גלוי שעל המפעיל, העסק המפרסם את התוכן, להוסיף רק במקרים מסוימים.

שתי נקודות לזכור. ראשית, הכוונה אינה משנה: יש לסמן תמונה מציאותית גם אם איש לא התכוון להטעות. שנית, סימן המים במעלה הזרם, שהוטמע בידי כלי ה-AI, אינו פוטר אתכם מחובת הסימון שלכם; הגילוי חייב להיות מורגש לאדם בלי כלי טכני כלשהו.

ציות לחוק ה-AI בפועל: חמישה תרחישים נפוצים

מערכות AI בסיכון גבוה: נדחו, לא בוטלו

אם החברה שלכם מספקת או מפעילה AI באחד מתחומי נספח III, חלה מערכת דרישות AI בסיכון גבוה כבדה בהרבה מהמועדים שנדחו. ספקים חייבים להפעיל מערכת לניהול סיכונים, לשמור תיעוד טכני ויומנים, לתכנן לפיקוח אנושי ולעבור הערכת תאימות לפני שהמערכת מוצעת בשוק. מפעילים חייבים להשתמש במערכת לפי ההוראות, להקצות אנשים מיומנים לפקח עליה ולשמור יומנים.

חברות קטנות יותר זוכות להקלה ממשית: תיעוד טכני מפושט לעסקים קטנים ובינוניים, סטארט-אפים וקטגוריית “חברות בינוניות קטנות” חדשה; ניהול איכות מפושט לכל העסקים הקטנים והבינוניים; ותקרות קנס לפי הנמוך מבין הסכום הקבוע או אחוז המחזור. יש גם החרגה: מערכת בתחום נספח III אינה בסיכון גבוה אם היא מבצעת רק משימה פרוצדורלית או הכנתית צרה ואינה משפיעה מהותית על החלטות. חלים שני סייגים. כל מערכת שמבצעת פרופיילינג של אנשים טבעיים היא תמיד בסיכון גבוה, וספק המסתמך על ההחרגה חייב לתעד את הערכתו ועדיין לרשום את המערכת במאגר האיחוד האירופי.

קנסות, אכיפה והחפיפה עם GDPR

האכיפה משותפת. משרד ה-AI האירופי מפקח על ספקי מודלי AI למטרה כללית; כל מדינה חברה ממנה רשות פיקוח שוק למערכות AI; ורשויות הגנת הנתונים ממשיכות לפקח על נתונים אישיים המשמשים ב-AI. דלפק השירות של חוק ה-AI בנציבות עונה לשאלות עסקים באנגלית.

הקנסות על אי-ציות מדורגים: עד €35 מיליון או 7% מהמחזור השנתי העולמי עבור פרקטיקות אסורות; עד €15 מיליון או 3% עבור רוב החובות האחרות, כולל שקיפות; ועד €7.5 מיליון או 1% עבור מסירת מידע שגוי לרשויות. לחברות גדולות התקרה היא הגבוה מבין שני הסכומים; לעסקים קטנים ובינוניים ולסטארט-אפים — הנמוך מביניהם.

חוק ה-AI מתקיים לצד GDPR, ולא במקומו. חוק ה-AI מסדיר את המערכת ואת השימוש בה; GDPR מסדיר את הנתונים האישיים הזורמים דרכה. כלי יכול לציית במלואו לאחד מהם ועדיין להפר את האחר. כאשר חוק ה-AI דורש הערכת השפעה על זכויות יסוד, הוא עשוי להסתמך על הערכת השפעה קיימת להגנת נתונים במקום לשכפל אותה.

רשימת בדיקה מעשית לציות AI לעסקים

ממשל AI טוב אינו דורש מחלקה משפטית. עבור רוב החברות, תשעת הצעדים האלה מכסים את דרישות חוק ה-AI הנוכחיות ומכינים את הקרקע לכללי הסיכון הגבוה בהמשך:

• מיפוי: רשמו כל כלי AI שבשימוש, כולל תכונות המשובצות במוצרי SaaS ומודלים למטרה כללית שבהם משתמש הצוות.
• תפקיד: קבעו לגבי כל כלי אם אתם ספקים, מפעילים או שניהם.
• סיווג: בדקו כל כלי מול הרשימה האסורה ותחומי נספח III; תעדו את התוצאה.
• צ’אטבוטים: ודאו שכל עוזר AI הפונה ללקוחות מזדהה.
• תוכן: החילו על מה שאתם מפרסמים את טבלת הסימון שלעיל.
• אוריינות: אמצו מדיניות שימוש ב-AI ושמרו רישומי הדרכה.
• הגנת נתונים: התאימו את השימוש ב-AI לתיעוד GDPR הקיים שלכם.
• נוכחות באיחוד האירופי: אם אתם מחוץ לאיחוד ומספקים מערכת בסיכון גבוה או מודל למטרה כללית, מנו נציג מורשה.
• מפת דרכים: אם משהו הוא בסיכון גבוה, תכננו למועדים שנדחו במקום להמתין להם.

ציות לחוק ה-AI והקמת חברה באיחוד האירופי עם Eesti Firma

חוק הבינה המלאכותית מתגמל עסקים המטמיעים ציות כבר מההתחלה, ועבור חברות מחוץ לאיחוד הוא הופך נוכחות באיחוד לצורך מעשי. Eesti Firma תומכת בעסקים מונעי-AI בשני הקצוות: הקמת ישות באיחוד באמצעות הקמת חברה דיגיטלית מלאה באסטוניה, כולל הקמה באמצעות e-Residency למייסדים שאינם צריכים לבקר באסטוניה, וסיוע לחברה לעמוד בחובותיה בעת פעילותה בשוק האיחוד האירופי.

עורכי הדין שלנו מכינים חוות דעת משפטיות בשאלה אם מערכת AI מסוימת נכללת בגדר החוק ולאיזה תפקיד ורמת סיכון היא מובילה, וצוות השירותים המשפטיים שלנו מנסח את מדיניות השימוש ב-AI והגילויים שחברה זקוקה להם כדי להוכיח ציות לאוריינות AI, שקיפות והגנת נתונים.

קבלו חוות דעת משפטית על מערכת ה-AI שלכם

שאלות נפוצות