תשובה קצרה
MiCA, DORA, חוק ה-AI ו-NIS2 הגיוניים כל אחד בפני עצמו. יחד הם עלות קבועה: בנק משלם אותה פעם אחת וממשיך הלאה, חברה של עשרה עובדים משלמת אותה מכל תקציבה. התוצאה היא פחות חברות חדשות באיחוד האירופי ויותר יזמים הנרשמים במקומות אחרים, ואף מדינה חברה יחידה אינה יכולה לשנות לבדה את רגולציית האיחוד האירופי.
אני מתפרנס מרגולציה של האיחוד האירופי. לקוחות פונים אלינו משום ש-MiCA, כללי המאבק בהלבנת הון ושאר ספר הכללים האירופי מורכבים מכדי להתמודד עמם לבד, ואנו מטפלים בהם עבורם. לכן אין זו תלונה ממי שמפסיד כאשר בריסל מחוקקת חוק חדש. אם כבר, אני מרוויח מכך.
ובכל זאת, כשאני בוחן מה הוטל על עסקים קטנים ובינוניים (SMEs) בשנים האחרונות, לדעתי אירופה טועה. לא מדובר בחוק אחד שנוסח גרוע. מדובר בסכום של כולם, במהירות שבה האיחוד האירופי מתקן את עצמו, ובעובדה שהחשבון נופל על החברות שהכי פחות מסוגלות לשלם אותו. עמדתנו לגבי רגולציית AI מפורטת בנפרד; מאמר זה עוסק בדפוס המשתקף בכל ספר הכללים.
שכבה אחת על גבי אחרת
אלה הדרישות שרגולציית האיחוד האירופי מציבה כיום לחברה אירופית, בהתאם לפעילותה.
- GDPR לכל מי שמחזיק נתונים אישיים.
- חוק השירותים הדיגיטליים וחוק השווקים הדיגיטליים לפלטפורמות מקוונות ולזירות מסחר.
- חוק הנתונים למכשירים מחוברים ולחוזי ענן.
- NIS2 וחוק חוסן הסייבר לאבטחת סייבר ולמוצרים הכוללים תוכנה.
- MiCA לשירותי נכסי קריפטו.
- DORA לבנקים, לחברות תשלומים וקריפטו ולספקי ה-IT המשרתים אותם.
- חוק ה-AI לכל מי שבונה מערכות AI או משתמש בהן בעסקו.
- רגולציית AML החדשה עם מפקח ברמת האיחוד האירופי, AMLA.
- eIDAS 2.0 עם ארנקי הזהות הדיגיטלית שלו.
- חובות דיווח על העברות קריפטו (כלל הנסיעה), נתוני מס על קריפטו (DAC8), קיימות (CSRD) ושרשראות אספקה (CSDDD).
אף אחד מאלה אינו שולי. לכל אחד הגדרות, טפסים, מפקח וקנסות משלו. חברת פינטק עם שנים-עשר עובדים עשויה להיות כפופה לחמישה או שישה מהם בו-זמנית.
כל חוק ניתן להצדקה. הערימה לא
בנפרד, כל אחד מהחוקים האלה עונה על שאלה ממשית. כספי לקוחות לא צריכים להיעלם כאשר בורסת קריפטו קורסת, בנק לא צריך להפסיק לפעול כי לספק הענן שלו היה לילה רע, ואיש אינו רוצה שתוכנה תחליט מי יקבל הלוואה בלי שאדם יוכל לבדוק את התוצאה. התנגדו לכל אחד מהחוקים האלה כשלעצמו ותפסידו, ובצדק.
הבעיה היא הסכום, והבעיה היא השעון. הנציבות הציעה את חוק ה-AI באפריל 2021 והאיחוד האירופי אימץ אותו ב-2024. הכללים העיקריים שלו ל-AI בסיכון גבוה, כגון מערכות המשמשות בגיוס, דירוג אשראי או חינוך, היו אמורים לחול ב-2 באוגוסט 2026. ביולי 2026, שבועות לפני תאריך זה, האיחוד האירופי העביר תיקון שנקרא Digital Omnibus on AI. הוא דחה את הכללים לדצמבר 2027, ולאוגוסט 2028 עבור AI המובנה במוצרים מפוקחים. הסיבה הרשמית הייתה שהתקנים הטכניים והמפקחים הלאומיים לא היו מוכנים. חמש שנים לאחר ההצעה, המנגנון שנועד לאכוף את החוק לא היה קיים. חברות שהשקיעו שנתיים בהיערכות לאוגוסט נערכו לתאריך שנדחה.
כך נראית איטיות בפועל. החוקים מגיעים. התיקונים מגיעים שנתיים או שלוש לאחר שכולם כבר רואים את הבעיה, בצורת רגולציה נוספת.
מדוע אותם כללים עולים יותר לעסק קטן
זה החלק שמטריד אותי יותר מכל. עלות הציות כמעט שאינה תלויה בגודל החברה. מדריך מדיניות, מרשם ספקי IT, נוהל דיווח על אירועים, ביקורת חיצונית, בקשה לרישיון: עלותם דומה בקירוב בין אם אתם משרתים 50 לקוחות ובין אם 5 מיליון.
DORA הוא המקרה הברור ביותר. בסקר Deloitte בקרב מוסדות פיננסיים ב-28 מדינות אירופיות, שפורסם במרץ 2025, כשני שלישים מהמשיבים ציפו להוציא בין €2 מיליון ל-€5 מיליון על ציות, ורק אחד מעשרה ציפה להישאר מתחת ל-€2 מיליון. בנק גדול סופג זאת. מוסד תשלומים עם עשרים עובדים אינו יכול, ועבור החברות הקטנות ביותר חשבון הציות עשוי לעלות על שווי השוק של האיחוד האירופי עבורן.
MiCA מספר את אותו סיפור במספרים. לפני MiCA, לפי ספירות בענף, יותר מאלף חברות החזיקו ברישומי קריפטו לאומיים ברחבי האיחוד האירופי. תקופת המעבר הסתיימה ב-1 ביולי 2026, ועד אוקטובר 2026 המרשם של ESMA מנה כ-370 ספקים מורשים. חלק מהחברות החסרות היו ראויות לעזוב. רבות אחרות היו קטנות, מקומיות וחוקיות, והן עזבו משום שרישיון MiCA (אישור CASP) עולה סכום בן שש ספרות ליועצים, הון וזמן הנהלה שאין לבורסה עם שני מייסדים. בחנתי בנפרד את מה ש-MiCA עשה לסטארט-אפים של קריפטו באירופה; כאן זו דוגמה אחת לדפוס רחב יותר.
השחקנים הגדולים כמעט שאינם מתלוננים. עבור חברה ותיקה וממומנת היטב, כל חוק חדש הוא חפיר: צוות הציות כבר קיים, עורכי הדין נמצאים בריטיינר, וכל כלל חדש מעלה את מחיר הכניסה לכל מי שרוצה להתחרות. רגולציה שנכתבה להגנת צרכנים מגינה בסופו של דבר על נתח שוק.
לאן הולכים המייסדים
סטארט-אפים ניידים באופן שבו בנקים אינם ניידים. מייסד עם רעיון ומחשב נייד משווה בין מדינות כפי ששארנו משווים טיסות. כש-Apple ו-Meta החליטו ב-2024 לעכב תכונות AI חדשות ממשתמשי האיחוד האירופי, תוך ציון חוק השווקים הדיגיטליים וסביבה רגולטורית “בלתי צפויה”, הכותרות עסקו בשתי ענקיות. ההשפעה השקטה יותר נפלה על כל מפתח אירופי שרצה לבנות על מודלים אלה וכעת נאלץ להמתין או לעבור.
בעבודתי שלי הדפוס פחות דרמטי אך יציב באותה מידה. השאלה שמייסדים שואלים השתנתה מ”האם נוכל לקבל רישיון באסטוניה” ל”האם רישיון אירופי בכלל משתלם לעומת דובאי, סינגפור או מדינה בארה”ב”. לפני כמה שנים השאלה השנייה הייתה נדירה. היום היא שגרתית, ולא תמיד אני יכול לשכנע אותם לוותר עליה.
המספרים מצביעים על אותו הדבר. מחקר של בנק ההשקעות האירופי שפורסם בינואר 2026 מצא כי בין 2008 ל-2021 כמעט 30% מחדי־הקרן האירופיים, חברות הזנק בשווי העולה על $1 מיליארד, העבירו את מטותיהן אל מחוץ לאיחוד האירופי. רובם עברו לארצות הברית, וטכנולוגיה דיגיטלית, AI וביוטק הובילו את המגמה. מריו דראגי אמר את השאר בדוח שלו מספטמבר 2024 על התחרותיות האירופית: הנטל הרגולטורי מטיל מגבלות רבות מדי על חדשנות ומקשה על חברות הזנק לצמוח. שנתיים לאחר מכן, לפי ספירת מצפה דראגי במועצה האירופית לחדשנות מדינית, רק 16% מהצעדים שהוא עוקב אחריהם יושמו במלואם. האבחנה מקובלת. הטיפול איטי.
מדוע טאלין אינה יכולה לתקן את מה שבריסל כתבה
אסטוניה היא מקום טוב לצפות מכאן בנושא. היא קטנה, דיגיטלית ובדרך כלל נבונה ביחס לעסקים. בנושא זה היא גם כמעט חסרת כוח.
MiCA, DORA וחוק ה-AI הם תקנות, לא דירקטיבות. דירקטיבה קובעת יעד ומאפשרת לכל מדינה לנסח חוק משלה; תקנה חלה מילה במילה בכל מדינה חברה, ואף פרלמנט בטאלין, וילנה או ליסבון אינו יכול לרכך סעיף אחד. מרחב שיקול הדעת הלאומי פועל בכיוון אחד בלבד: מדינה תמיד יכולה להיות מחמירה יותר מבריסל, אך אינה יכולה להיות מקלה יותר.
לכן כשמייסד אומר לי שאסטוניה צריכה “פשוט לתקן את זה”, עליי להסביר שהתיקון נתון בידי 27 ממשלות, נציבות, פרלמנט ומחזור חקיקה הנמדד בשנים. מאז תחילת 2025 הנציבות הגישה שנים-עשר חבילות “omnibus”, שכל אחת מתקנת כמה חוקים בבת אחת, והבטיחה להפחית את הנטל המנהלי ב-25% לפחות, וב-35% עבור SMEs, לפני סוף כהונתה. התאחדויות עסקיות אומרות שהתוצאה עד כה אינה קרובה כלל למספרים אלה. אני מאמין להן, כי אני קורא את הטקסטים.
אירופה מפחיתה את הסיכון של עצמה
כל מי שהתמודד עם בנק בשנים האחרונות מכיר את המונח de-risking. לקוח נראה מעט חריג, עלות המעקב אחריו עולה על העמלות שהוא משלם, והחשבון נסגר. אין הונאה, אין הפרה, רק החלטה זולה יותר עבור הבנק. הלקוח מחפש בנק אחר, לעיתים במדינה אחרת, ודוח הסיכונים של הבנק נראה טוב מקודם.
אני חושב יותר ויותר שהאיחוד האירופי עושה אותו הדבר למגזרים שלמים. קריפטו נראה מסוכן, ולכן אירופה בנתה את MiCA וצפתה ברוב החברות הרשומות ברמה הלאומית נושרות. AI נראה מסוכן, ולכן אירופה כתבה את חוק ה-AI המקיף הראשון בעולם לפני שהייתה לה תעשיית AI גדולה דיה להתווכח בחזרה. בכל פעם הסיכון יורד, ובכל פעם גם הפעילות שנשאה את הסיכון יורדת יחד איתו. במאזן שסופר רק סיכונים שנמנעו, זו הצלחה. במאזן שסופר חברות שהוקמו ומשרות שנוצרו, לא.
מתחת לכך פועל מנגנון שקט יותר. מוסד שהתפוקה שלו נמדדת בתקנות יפיק תקנות. כל חוק זקוק להנחיות, תקנים טכניים ושאלות ותשובות, לאחר מכן למפקח שיחיל אותם, ואז ל-omnibus שיתקן את מה שההנחיות קלקלו. כל שלב מוסיף עובדים שיידרשו לחוק הבא. איש בשרשרת הזו אינו פועל בחוסר תום לב. לתהליך פשוט אין סיבה מובנית לעצור, ואף אחד בתוכו אינו משלם עבור הסטארט-אפ שמעולם לא הוקם.
שלושה תרחישים לסטארט-אפים אירופיים
כדי להמחיש זאת, הנה לאן שלדעתי פניו של צד חברות ההזנק בכלכלה האירופית מועדות. נתוני הבסיס מגיעים מ-Dealroom: כ-14,800 חברות הזנק מוקמות באיחוד האירופי מדי שנה, כ-4,400 מהן מגייסות מימון חיצוני, והאיחוד האירופי הוא ביתם של כ-450 חדי־קרן. אירופה כולה, לרבות בריטניה, קיבלה שיא של 19% מהון הסיכון העולמי ב-2023 ו-16% ב-2024, בעוד ארצות הברית קיבלה 57%.
הערה על המספרים
שלושת התרחישים שלהלן הם מתווים שלי, ולא מודל חיזוי. הם מציגים כיוון ומסדר גודל משוער לאורך אופק של חמש שנים, ויש לקרוא כל נתון כטווח ולא כתחזית.
| תרחיש | מה קורה לכללים | סטארט-אפים ממומנים בשנה באיחוד האירופי | חלקה של אירופה בהון הסיכון העולמי | חדי-קרן המעבירים את מטה החברה אל מחוץ לאיחוד האירופי |
|---|---|---|---|---|
| סביר: ספר הכללים נשאר | חבילות omnibus מקצצות בניירת אך לא בהיקף. כללי הסיכון הגבוה בחוק ה-AI חלים במועדים החדשים, רגולציית AML מוסיפה שכבה, ואף חוק אינו מקבל סף אמיתי לחברות קטנות. | יורד לכ-3,500–3,800 (ירידה של 15–20%) | יורד לכיוון 12–13% | עולה לכיוון 35–40%, כאשר מייסדי פינטק, AI וקריפטו נרשמים מחוץ לאיחוד האירופי מהיום הראשון |
| לא הגרוע ביותר: בריסל מספקת תוצאות | חבילות omnibus נותנות לחברות קטנות ספים ממשיים, EU Inc. מאומצת ופועלת, והתקנים מתפרסמים לפני מועדי התחולה ולא לאחריהם. | יציב על כ-4,200–4,600 | נשאר על 15–16% | נשאר קרוב ל-30% |
| אילו החוקים היו ידידותיים ל-SMEs מלכתחילה | חובות קלות יותר מתחת לסף מספר עובדים או הכנסות, ארגזי חול לפני אכיפה, מפקח אחד לכל מגזר, ותאריך תפוגה בכל חוק. | עולה לכ-5,200–5,800 (עלייה של 20–30%) | חזרה ל-19–20%, שיא העבר | מתחת ל-25% |
מדוע ירידה ולא קריסה בתרחיש הראשון? כי ספר הכללים פוגע במייסדים בנקודת ההחלטה, לא בחברות קיימות. בנק בפרנקפורט אינו עוזב בגלל DORA. סטארט-אפ AI בן שלושה אנשים בטארטו פשוט נרשם במקום זאת בדלאוור ומשאיר את המפתחים בבית. האיחוד האירופי מאבד את המטה, בסיס המס והאקזיט, ושומר לזמן מה על השכר.
ומדוע התרחיש השלישי אינו פנטזיה? כי המספרים שלו קרובים למקום שבו אירופה כבר עמדה בשיאה: חלק של 19–20% מהון הסיכון העולמי הוא הרמה שאליה הגיעה לפני כמה שנים, לפני ששכבת הכללים הנוכחית החלה לחול. ניסוח רגולציית האיחוד האירופי מתוך התחשבות בעסקים קטנים לא היה עולה לאירופה בהגנת הצרכן שלה. הוא היה עולה לה בכמה פסקאות ניסוח.
הטיעון לצד האחר
לא הייתי ראוי שיתייחסו אליי ברצינות אילו העמדתי פנים שלספר הכללים אין יתרונות, ולכן הנה הם. רישיון MiCA אחד מאפשר לחברה לשרת לקוחות בכל 30 מדינות האיחוד האירופי וה-EEA; לפניו, חברת קריפטו נזקקה ל-27 שיחות נפרדות עם 27 רגולטורים. GDPR הפך לתבנית העולמית לחוקי פרטיות. רגולציית AML אחת אמורה, בתיאוריה, לסיים מצב שבו לקוח שהתקבל במדינה חברה אחת נדחה בזו הבאה. האחדה היא טוב ממשי, ואני נהנה ממנה מדי יום.
זו הפשרה הכנה. האחדה בקנה מידה אירופי נקנית במהירות ובמבנה עלויות שפוגע באופן הקשה ביותר בקטנים ביותר. אירופה החליטה, בעיקר כברירת מחדל, שהיא מעדיפה שוק בטוח על שוק מהיר. זו בחירה לגיטימית. אני רק חושב שיש לקבל אותה בגלוי, עם המחיר הנלווה, במקום לגלות אותו חבילת omnibus אחר חבילת omnibus.
מה אירופה צריכה לעשות במקום זאת
עמדתי אינה שאירופה צריכה להפסיק להסדיר. היא שאירופה צריכה להפסיק להסדיר סטארט-אפ בן שלושה אנשים כאילו היה בנק. צוות קטן אינו יכול לנהל מחלקת ציות, וחוק שמניח בשקט שקיימת כזו אינו כלל בטיחות אלא חסם כניסה. שישה שינויים יסירו את רוב הנזק, ואף אחד מהם אינו קיצוני: לכל אחד יש כבר תקדים במקום כלשהו בדין האיחוד האירופי.
- ספי גודל ממשיים, הכתובים בחוק. מתחת להגדרת האיחוד האירופי עצמו לעסק קטן (פחות מ-50 עובדים ומחזור של פחות מ-€10 מיליון), החובות הכבדות לא צריכות לחול כלל, או לחול בצורה קצרה וקבועה. GDPR כבר עושה זאת בנוגע לניהול רישומים לפי סעיף 30(5), הפוטר את מרבית הארגונים עם פחות מ-250 עובדים, וב-2025 הנציבות הציעה להרחיב פטור זה. אותו היגיון שייך ל-DORA, NIS2 ולחוק ה-AI.
- תקנים לפני שהחוק חל. שום חובה אינה צריכה להיכנס לתוקף עד שקיימים התקנים הטכניים ולפחות מפקח אחד בכל מדינה חברה מוכן להחילם. העיכוב בחוק ה-AI הוכיח את הנקודה בדרך הקשה. יש לכתוב את הכלל, כדי שהחוק הבא לא יזדקק ל-omnibus כדי להציל אותו.
- ארגזי חול תחילה, אכיפה אחר כך. מגזר חדש צריך לקבל תקופת בדיקה מפוקחת שבה חברה יכולה לפעול בעוד הרגולטור מפקח, לפני שנדרש רישוי מלא. חוק ה-AI מבטיח ארגזי חול כאלה, אך הם נדחו לאוגוסט 2027, לאחר חלק מהחובות. הסדר צריך להיות הפוך.
- מפקח אחד לכל חברה. חברת פינטק עם שנים-עשר עובדים עשויה כיום להשיב בנפרד למפקח הפיננסי, ל-FIU, לרשות הגנת המידע ובקרוב לרשות AI. מנגנון החנות האחת של GDPR, שבו רשות מובילה אחת מטפלת בחברה, מדגים את המודל. יש להרחיבו לכל ספר הכללים.
- תאריך תפוגה בכל חוק. אם תקנה פוקעת אלא אם היא מאושרת מחדש לאחר בחינה אמיתית של עלויותיה, התיקון הופך לחובה ולא לטובה פוליטית. ה-omnibus הופך לכלל, לא לחילוץ.
- לספור את החברה שמעולם לא הוקמה. כל הערכת השפעה של האיחוד האירופי מודדת את העלות לעסקים קיימים. אף אחת אינה מודדת את הסטארט-אפים שבחרו בדלאוור, דובאי או סינגפור במקום זאת. עד שהמספר הזה לא יהיה על השולחן, מי שמנסחים את החוק הבא ימשיכו להמעיט בהערכת עלותו.
אין פירוש הדבר להעתיק את ארצות הברית, שעדיין אין לה חוק AI פדרלי מקיף ורק טלאי של כללי מדינות, או את בריטניה, שבחרה עד כה שלא לחוקק חוק AI יחיד ומבקשת מהרגולטורים הקיימים שלה להחיל במקומו מערכת עקרונות. משמעות הדבר היא להודות שאלו המקומות שמייסד אירופי משווה כיום מול אירופה. הוסיפו EU Inc., צורת החברה האירופית היחידה שהוצעה במרץ 2026, עם רישום בפחות מ-48 שעות תמורת פחות מ-€100 וללא הון מינימלי, כפי שהנציבות מבטיחה, ולאירופה תהיה הצעה שצוות קטן יכול באמת לאמץ.
מה אני אומר למייסדים
העצה שלי למייסדים הפכה למעשית באופן משעמם. התייחסו לעלויות הציות כסעיף בעלות המכר שלכם, לא כשכר טרחה משפטי חד-פעמי. בחרו את מדינת האיחוד האירופי לפי איכות הרגולטור שלה ומהירות המרשם שלה, משום שהכללים עצמם יהיו זהים בכל מקום. השתמשו בחלונות המעבר ובעיכובי omnibus כזמן לבנות ולא כרשות להתעלם מהחוק; כללי הסיכון הגבוה של חוק ה-AI נדחו, לא בוטלו. ואם המודל העסקי שלכם פועל רק מחוץ לספר הכללים של האיחוד האירופי, הודו בכך מוקדם, לפני בקשת הרישיון ולא אחריה.
הקמת חברה באירופה למרות ספר הכללים
אירופה עדיין מקום טוב לנהל בו חברה, ואני אומר זאת ללקוחות מדי שבוע. מטרת המאמר אינה להניא איש מאסטוניה או מהאיחוד האירופי. היא לומר שרגולציית האיחוד האירופי היא עלות ממשית ויש לתמחר אותה מהיום הראשון. המבנה הנכון, מסלול הרישוי הנכון והמדינה הנכונה בתוך האיחוד האירופי עושים כיום הבדל גדול יותר מאשר לפני חמש שנים. אם אתם שוקלים בחירות אלו עבור חברה חדשה או קיימת, הצוות שלנו ב-Eesti Firma יכול להדריך אתכם מה המשמעות המעשית של הכללים למקרה שלכם, החל מ-הקמת חברה ועד רישוי.
