לקוח אירופי מבקש לראות כיצד הארגון שלכם מנהל שימוש בבינה מלאכותית. מנהלת המוצר משיבה שיש מדיניות AI, מנהל ה-IT מציג את רשימת הרישיונות, והיועצת המשפטית מגלה שאיש לא יודע אילו עובדים מזינים מידע לכלים חיצוניים. בנקודה הזאת, התאמה ל-EU AI Act כבר אינה שאלה תיאורטית. היא מבחן ניהולי שמחבר בין מוצר, מידע, עובדים, חוזים ומוניטין.
הטעות הנפוצה היא להתחיל מכתיבת מסמך מדיניות. מדיניות היא רכיב הכרחי, אבל היא אינה תחליף להבנת המציאות. אם אין לארגון תמונה ברורה של מערכות ה-AI שהוא מפתח, רוכש או מפעיל, אין דרך להחליט אילו חובות חלות עליו ומה באמת צריך לתקן.
למי ה-EU AI Act עשוי לחול גם מחוץ לאירופה
הרגולציה האירופית אינה מוגבלת רק לחברות הרשומות באיחוד האירופי. היא עשויה לחול גם על חברה ישראלית שמעמידה מערכת AI או מודל לשימוש בשוק האירופי, מפעילה מערכת עבור לקוחות באיחוד, מייבאת או מפיצה מערכת רלוונטית, או כאשר תוצר של מערכת מופק ומשמש באיחוד.
זהו הבדל מהותי בין מקום מושבה של החברה לבין מקום ההשפעה של המוצר. סטארטאפ מחדרה שמוכר כלי מיון מועמדים לחברת גיוס בהולנד, למשל, לא יכול להניח שהפעילות המקומית שלו מוציאה אותו מגדר הרגולציה. גם חברת תוכנה שמטמיעה יכולת AI במערכת קיימת ללקוח אירופי צריכה לבחון את תפקידה בשרשרת.
החובות משתנות לפי התפקיד. ספק שמפתח או משווק מערכת נדרש למסגרת אחרת מזו של ארגון שמפעיל מערכת שרכש מצד שלישי. לעיתים חברה אחת ממלאת יותר מתפקיד אחד: היא גם מפעילה כלי חיצוני לצרכים פנימיים וגם משווקת מוצר הכולל מנגנון AI ללקוחות.
לכן אני ממליצה לא לשאול רק האם אתם משתמשים ב-AI. השאלה המדויקת יותר היא: באיזה שימוש, עבור מי, על איזה מידע, ובאיזה תפקיד עסקי ומשפטי אתם פועלים.
התאמה ל-EU AI Act היא קודם כל החלטת סיווג
ה-EU AI Act בנוי על גישה מבוססת סיכון. יש שימושים אסורים, מערכות בסיכון גבוה, מערכות עם חובות שקיפות, ושימושים שבהם החובות מצומצמות יותר. לצד אלה קיימות הוראות ייחודיות הנוגעות למודלי AI למטרות כלליות.
הסיווג אינו תרגיל אקדמי. הוא קובע את היקף התיעוד, דרך ניהול הנתונים, הבקרה האנושית, חובות השקיפות, ניהול האירועים וההתקשרות החוזית. סיווג שגוי עלול לייצר שתי תוצאות בעייתיות: השקעת יתר יקרה במערכת שאינה מחייבת זאת, או חמור יותר, חשיפת חסר במערכת שמשפיעה על זכויות, הזדמנויות או בטיחות.
מערכת שמדרגת מועמדים למשרה, תומכת בהחלטות אשראי, משמשת בתחום החינוך או מסייעת בתהליכים מסוימים של אכיפת חוק, עשויה להיכנס לקטגוריות רגישות במיוחד. לעומת זאת, כלי שמסכם ישיבת צוות אינו הופך אוטומטית למערכת בסיכון גבוה. אבל אם אותו סיכום מזין החלטה על ביצועי עובדים או קידום, התמונה משתנה.
ההקשר קובע. כך גם אופן ההטמעה. אותו מנוע טכנולוגי עשוי להיחשב אחרת כאשר הוא מסייע לאדם לקבל החלטה, לעומת מצב שבו הוא מפעיל החלטה אוטומטית בפועל.
שימוש אסור אינו עניין של ניסוח שיווקי
יש שימושים שהרגולציה אוסרת, ובהם פרקטיקות מסוימות של מניפולציה, ניצול פגיעות, דירוג חברתי וזיהוי ביומטרי במצבים מוגדרים. אסור להסתפק בכותרת מוצר נעימה או בהצהרה שהמערכת היא כלי עזר בלבד.
צריך לבחון את היכולת הטכנולוגית, את אופן השימוש בפועל ואת התמריצים העסקיים סביב המערכת. אם אנשי מכירות מבטיחים ללקוח חיזוי התנהגות, אבל מסמכי המוצר מתארים המלצה כללית, הפער הזה עלול להפוך לסיכון משפטי ומסחרי.
מערכות בסיכון גבוה דורשות תפעול, לא רק אישור משפטי
כאשר מערכת מסווגת בסיכון גבוה, נדרש מערך עבודה שלם: ניהול סיכונים לאורך מחזור החיים, ממשל נתונים, תיעוד טכני, רישום פעולות, שקיפות למפעילים, פיקוח אנושי, דיוק, יציבות ואבטחת סייבר. במקרים הרלוונטיים נדרשים גם הליכי הערכת התאמה ורישום.
זו בדיוק הנקודה שבה ייעוץ משפטי מנותק מתפעול נכשל. המשפטית יכולה להגדיר דרישה, אך מנהלי מוצר, אבטחת מידע, משאבי אנוש, רכש ושירות לקוחות הם מי שצריכים להפוך אותה לתהליך שחי בארגון.
מניסיוני הניהולי, תהליך שלא קיבל בעלת תפקיד אחראית, לוח זמנים ומדד ביצוע, נשאר מהר מאוד במצגת. רגולציית AI אינה חריגה מהכלל הזה.
מיפוי לפני מדיניות: כך מתחילים נכון
בשלב הראשון יש ליצור מפת שימושים מעשית. לא רשימת ספקים כללית, אלא תמונה של כל תהליך שבו AI מקבל, מנתח, מייצר או משפיע על מידע והחלטות.
לכל שימוש כדאי לתעד את מטרת המערכת, הגורם שמפעיל אותה, המדינות שבהן נמצאים המשתמשים והלקוחות, סוגי המידע המוזנים אליה, האם היא משפיעה על אנשים, האם היא מחוברת למערכות ליבה, ומהי מידת ההתערבות האנושית בתוצאה.
מיפוי טוב מגלה בדרך כלל הפתעות. כלי חינמי שהוטמע במחלקת השיווק. תוסף של ספק CRM שיוצר דירוג לקוחות. מערכת שירות שמייצרת תשובות בלי מנגנון הסלמה. או עובד שמעלה מסמכי לקוחות לכלי ציבורי כדי לקצר עבודה.
אחרי המיפוי מגיע הסיווג. רק אז אפשר לקבוע סדרי עדיפויות. ארגון אינו חייב לפתור כל סיכון באותו יום, אבל הוא חייב לדעת מהו הסיכון שאינו יכול להרשות לעצמו להתעלם ממנו.
החוזה עם ספק ה-AI הוא חלק ממערך הציות
חברות רבות מניחות שאם רכשו כלי מוכר, האחריות הרגולטורית נמצאת אצל הספק. זו הנחה מסוכנת. גם כאשר ספק נושא בחלק מרכזי מהחובות, הארגון המפעיל עדיין נדרש להשתמש במערכת לפי הוראות, להבטיח פיקוח אנושי במקרים המתאימים, לנהל מידע ולפעול מול עובדים ולקוחות באופן שקוף והוגן.
החוזה צריך לייצר חלוקת אחריות ברורה. מי מספק תיעוד טכני. מי מודיע על אירוע אבטחה או שינוי מהותי במודל. מה מותר לעשות בנתוני הארגון. האם הספק משתמש בהם לאימון. מהן התחייבויותיו בנוגע לאבטחה, לזמינות, לבדיקות, לתיקון תקלות ולשיתוף פעולה מול רגולטור או לקוח.
יש להבחין בין ספק שמעמיד כלי כללי לבין ספק שבונה פתרון ייעודי עבורכם. ככל שהפתרון מותאם יותר לתהליך רגיש, כך עולה הצורך בהגדרות מדויקות של איכות נתונים, אחריות לתוצאות, בדיקות קבלה וזכויות ביקורת.
מדיניות פרטיות והסכם עיבוד מידע אינם מחליפים את הבדיקות האלה. הגנת פרטיות, אבטחת מידע ורגולציית AI חופפות בחלקן, אך לכל אחת שאלות משלה.
עובדים, שקיפות ופיקוח אנושי
ה-EU AI Act כולל דרישת אוריינות AI. במילים פשוטות, מי שעובדת או עובד עם מערכות AI צריכים להבין די הצורך את הכלי, הסיכונים שלו וההשלכות של השימוש בו. הדרכה חד פעמית לכלל העובדים אינה תמיד מספיקה.
מנהלת גיוס צריכה להבין הטיות ואיסור על הסתמכות עיוורת על דירוג. נציגת שירות צריכה לדעת מתי תשובת צ'אטבוט מחייבת העברה לאדם. צוות פיתוח צריך להכיר מגבלות של נתוני אימון, בדיקות אבטחה ותיעוד. ההדרכה צריכה להיות מותאמת לתפקיד ולסיכון.
פיקוח אנושי אינו חתימה אוטומטית בסוף התהליך. הוא מחייב לאדם המפקח סמכות, מידע וזמן להתערב. אם מנהל נדרש לאשר 800 החלטות ביום בלי לראות את הנתונים שעליהם הסתמך המודל, הפיקוח הוא למראית עין בלבד.
גם שקיפות כלפי לקוחות, מועמדים או משתמשים אינה רק דרישת ניסוח. צריך להחליט מתי מודיעים שהאדם מתקשר עם מערכת AI, איך מסבירים מגבלות, ואיך מאפשרים מסלול אנושי כאשר ההחלטה רגישה.
מה צריך להיות בתיק הציות הארגוני
תיק ציות יעיל אינו קלסר שנשמר אצל עורכת הדין. הוא מערכת ראיות שמאפשרת לארגון להסביר החלטות, לבקר תהליכים ולפעול מהר כאשר לקוח, משקיע או רגולטור שואל שאלות.
בדרך כלל הוא יכלול לפחות את מפת השימושים והסיווגים, מדיניות AI ארגונית, נהלי אישור לרכישת כלים חדשים, חוזים ונספחים מול ספקים, תיעוד הדרכות עובדים, הערכות סיכון, ותהליך לדיווח וטיפול באירועים.
כדאי לקבוע גם מנגנון שינוי. מודל מתעדכן, ספק מחליף תשתית, מוצר מקבל שימוש חדש, או לקוח מבקש לחבר את המערכת למאגר מידע נוסף. כל שינוי כזה עשוי לשנות את תמונת הסיכון. ללא נקודת בקרה, הארגון עלול לגלות בדיעבד שהמוצר שלו כבר אינו אותו מוצר שנבדק בתחילת הדרך.
לא לחכות לבקשת הלקוח האירופי
הוראות ה-EU AI Act נכנסות לתוקף בהדרגה, וחלק מהחובות חלות החל מאוגוסט 2026. מועדי התחולה תלויים בסוג המערכת ובתפקיד הארגון, ולכן אין תשובה אחידה לכל חברה. אבל העמדה שלי ברורה: לא מחכים למכתב דרישה, למכרז או לבדיקת נאותות כדי להתחיל.
הסיבה אינה רק חשש מקנס. חברות שמסוגלות להסביר כיצד הן מנהלות AI מוכרות יותר בקלות, מתקשרות טוב יותר עם לקוחות גדולים, ומונעות עיכובים יקרים בפיתוח ובהתקשרות. זהו יתרון מסחרי שנבנה מהסדר פנימי, לא מהבטחה שיווקית.
אני מלווה ארגונים בבניית מפת שימושים, מדיניות AI, חוזים מול ספקים ומנגנוני ממשל שמתאימים למבנה העסקי האמיתי שלהם. אם אתם עומדים להטמיע כלי חדש, להשיק מוצר באירופה או לחתום על חוזה עם לקוח אירופי, זהו הזמן לבחון את התהליך לפני שההחלטה הטכנולוגית הופכת לבעיה משפטית.