האלגוריתם שלך טעה בחישוב. מי הולך לכלא בגלל זה?

כשל בבינה מלאכותית אינו רק באג טכני. הוא עלול להפוך למשבר משפטי ומסחרי, וכדאי ללמוד איך לנהל את הסיכון שב"קופסה השחורה" לפני שהיא מנהלת את הארגון.

דמיינו תרחיש היפותטי: מערכת תמחור, אשראי או סינון מועמדים מבוססת בינה מלאכותית (AI) מפיקה תפוקות מזיקות. לדוגמה, שינויי מחירים חריגים ולא מוסברים, או דפוס תוצאות המפלה, כביכול, קבוצות אוכלוסייה שלמות בגישה לאשראי או לשירות. עוד לפני שהצוות הטכני מאתר את מקור התקלה בתוך הקופסה השחורה (Black Box) האלגוריתמית, הארגון כבר מתמודד עם נזק, עם פניות לקוחות ועם שאלות משפטיות: מי אחראי, על סמך איזו עילה, ומה יוכיח זאת.

בשלב זה עולה לעיתים הטענה: "זה היה כשל טכני, האלגוריתם טעה". אך כשל טכני הוא אירוע שיש לחקור, לא הגנה מלאה כשלעצמו ולא הודאה באשמה. התשובה המשפטית תלויה בעילה המשפטית שתיטען, בדין החל על המערכת והפעילות, ובראיות שייאספו.

האלגוריתם אינו ישות משפטית

במסגרות המשפטיות הקיימות, הבינה המלאכותית אינה "אישיות משפטית": היא אינה יכולה להיתבע, אינה נושאת באחריות פלילית ואינה משלמת פיצויים. הדין מקצה חובות וסעדים לאנשים ולארגונים, ולא מטפל באלגוריתם כאילו היה נתבע אחראי. כאשר מערכת AI גורמת לנזק, מעגל הנתבעים האפשרי יכול לכלול, בהתאם לדין החל ולנסיבות, ספק או מפתח של המערכת, יצרן של מוצר או רכיב, גוף מטמיע (Integrator), יבואן, מפיץ, או את הארגון המפעיל. גם אחריות אישית של נושא משרה אינה נובעת מאליה מכשל במערכת של החברה; היא מצריכה בסיס משפטי עצמאי.

בדיקת אחריות נושאי משרה (D&O) מתבצעת במסגרת חובת הזהירות וחובת האמונים. בישראל, סעיפים 252-253 לחוק החברות, תשנ"ט-1999, בנוסחם בפרסום הרשמי המקורי, מחייבים נושא משרה לפעול במידת הזהירות ובכישורים שנושא משרה סביר באותו תפקיד ובאותן נסיבות היה נוקט, לרבות איסוף מידע סביר לצורך ההחלטה; סעיף 254 עוסק בחובת הנאמנות ובאינטרס של החברה. בית המשפט העליון (ע"א 6913/18 שקדי נ' הרודיום השקעות בע"מ, פסקה 33) הסביר את חזקת שיקול הדעת העסקי: "בית המשפט אינו נדרש לתוכן ההחלטה לגופה, אלא עליו לבחון את הליך קבלת ההחלטה בחברה", ופגמים שעלולים לקעקע את החזקה הם חוסר תום-לב סובייקטיבי, ניגוד עניינים או קבלת החלטה ללא מידע. זו הלכה כללית בדיני חברות ולא פסיקה בענייני בינה מלאכותית, ואין לראות בה הגנה אוטומטית מכל טענת פיקוח כושלת.

והאם כשל AI חושף את ההנהלה למאסר? המסגרות הרגולטוריות המרכזיות שנבדקו אינן קובעות עונש מאסר אוטומטי על טעות אלגוריתמית: סעיף 99 ל-EU AI Act קובע קנסות מנהליים (סעיף 99(1) משאיר בידי מדינות האיחוד את סדרי האכיפה המקומיים), ודיני הגנת הפרטיות בישראל מכילים עבירות ספציפיות בעלות יסודות משלהן, כגון עיבוד נתונים אישיים ללא הרשאת בעל שליטה בניגוד לסעיף 8(ג) לחוק הגנת הפרטיות, או מסירת פרטים מטעים בכוונה להטעות בעת איסוף נתונים בניגוד לסעיף 11. כשל טכני רגיל אינו שקול לעבירות אלה, וכל מקרה ייבחן לפי יסודות העבירה, הדין החל והראיות.

כשל AI: משבר רב-ממדי, לא רק תקלת IT

הטעות הניהולית הנפוצה היא סיווג כשל אלגוריתמי כ"תקלה במערכות מידע". בשונה מבאג תוכנה מסורתי, כשל במערכת AI יכול לנבוע ממקורות שונים: הטיה בנתוני האימון (Data Bias), סטיית מודל (Model Drift), הזנה של נתונים מורעלים (Data Poisoning), או תכנון לקוי של המערכת. אלו השערות טכניות נבדלות ולא תווית אחת, ולא כל מודל אכן משתנה באופן רציף בסביבת הייצור. כאשר הכשל מתרחש, הוא עלול להפוך למשבר במספר מישורים:

• חשיפה משפטית: תביעות נזיקיות, מחלוקות חוזיות מול ספקים ולקוחות, ובנסיבות מתאימות גם בקשות לאישור תביעה ייצוגית.
• חשיפה רגולטורית: בחינה של הרשות להגנת הפרטיות, רשות התחרות (למשל בתמחור אלגוריתמי) או רגולטור מגזרי, בכפוף לסמכותם החוקית.
• חשיפה של ההנהלה: טענות להפרת חובת פיקוח על ניהול הסיכונים בארגון, בכפוף ליסודות המשפטיים של כל עילה.

מכאן שמערכות AI ראוי שייטופלו כמוקד סיכון ארגוני הדורש בחינה משפטית כבר בשלבי האפיון, ההתקשרות וההטמעה, ולא רק אחרי האירוע. היכולת להסביר את הלוגיקה המשפטית שמאחורי הפעולה הטכנולוגית חשובה בניהול המשבר, אם כי אין היא מבטיחה תוצאה משפטית מסוימת.

האתגר הראייתי: כשדיני החוזים והנזיקין פוגשים את הקופסה השחורה

הקושי המרכזי בליטיגציה סביב מערכות בינה מלאכותית הוא הפער שבין כלי המשפט הקלאסי לבין אופיים של מערכות מסוימות: במערכות מסוג זה הקשר בין קלט לפלט אינו נגזר מכללים תכנותיים קשיחים, אלא מתהליך סטטיסטי שאינו תמיד שקוף. מכאן ששני הצדדים עלולים להתקשות להצביע על הפרמטר הספציפי שהוביל לתוצאה המזיקה.

רשלנות וקשר סיבתי במודלים אוטונומיים

הוכחת רשלנות מחייבת הצבעה על סטייה מרמת הזהירות הסבירה. פקודת הנזיקין [נוסח חדש], סעיפים 35-36, מעגנת בנוסחה המקורי את רף "אדם סביר ונבון וכשיר לפעול באותו משלח יד": "לא השתמש במיומנות, או לא נקט מידת זהירות, שאדם סביר ונבון וכשיר לפעול באותו משלח יד היה משתמש או נוקט באותן נסיבות". כאשר הנזק נגרם מהחלטה אלגוריתמית, השאלה מי סטה מהרף — המפתח, המטמיע או המשתמש — היא שאלת ראיות ספציפית לכל תביעה. אין קטגוריה חוקית מוכרת של "מתכנת סביר", ואין דוקטרינה משפטית של "כוח עליון אלגוריתמי": טענה שהמערכת הייתה בלתי צפויה אינה תחליף לבחינת הנסיבות, ופרשנות חוזית תיעשה לפי כללי הפירוש הרגילים.

גם הוכחת הקשר הסיבתי היא מלאכה ראייתית ספציפית. עבודת מומחים טכניים יכולה לסייע בבידוד הגורם לנזק, אך אין חובה קטגורית להסתמך על התמחות אחת, ובדיקה מוקדמת אינה קובעת מראש את גורלה של תביעה עתידית.

תחקור נתונים (Data Forensics) והטיות כבסיס אפשרי לחבות

במערכות AI חלק מהכשלים מקורם בנתונים ולא בקוד. תחקור נתונים (Data Forensics) הוא כלי עבודה מעשי לזיהוי מקור הכשל: האם נתוני האימון היו מוטים או לא מייצגים? האם התרחשה הורעלה מכוונת (Data Poisoning)? האם התרחשה סטיית מודל בעקבות שינוי בתנאי הסביבה? והאם התקיימו חובות תיעוד או שקיפות חוקיות, למשל כאשר המערכת נכנסת לקטגוריית סיכון גבוה לפי ה-EU AI Act (פרטים בהמשך)? התשובות מנחות את בחינת היסודות המשפטיים, כולל שאלות של הפליה או פרטיות, בהתאם לדין החל.

חשוב להדגיש: סטייה סטטיסטית בפני עצמה אינה מקימה עילת תביעה ייצוגית. חוק תביעות ייצוגיות, תשס"ו-2006, מגביל בסעיף 3 את סוגי העילות הזמינות, וסעיף 8(א) מחייב, בין השאר, שאלות מהותיות משותפות לקבוצה "ויש אפשרות סבירה שהן יוכרעו בתובענה לטובת הקבוצה", יעילות והוגנות של הליך קבוצתי, ייצוג הולם ותום-לב. מדד סטטיסטי עשוי להיות ראיה, אך אינו תחליף ליסודות אלה.

כשל בארכיטקטורה מול כשל בנתוני האימון: הבחנה שמנחה חקירה, לא מכריעה אחריות

מקובל להבחין בין כשל תכנוני בארכיטקטורת המודל (בחירת מודל בלתי מתאימה, פונקציית מטרה שגויה, היעדר מנגנוני בטיחות) לבין כשל בנתוני האימון (נתונים שגויים, חסרים או מוטים). ההבחנה שימושית להכוונת חקירת העובדות, אך אינה מחלקת אחריות כשלעצמה: בעיה בנתוני אימון בצד הספק אינה הופכת אוטומטית לאחריות המטמיע, ולהפך. הבחינה צריכה לכלול מי תכנן, אימן או שינה את המערכת, מי בחר ובקר בנתונים, מי סיפק הוראות, מי בדק, הטמיע וניטר — לצד יסודות של רשלנות או פגם, קשר סיבתי, נזק, וכללים חוזיים או קוגנטיים החלים.

נקודות הכאב של הדרג הניהולי: CEO, CFO ו-GC

זווית המנכ"ל: מוניטין והמשכיות עסקית

עבור המנכ"ל, כשל במערכת AI עלול להיות אירוע מוניטין ותפעולי משמעותי. שתי שאלות עולות בדרך כלל: האם קיימת תוכנית המשכיות עסקית הכוללת אפשרות מעבר מבוקר למערכת חלופית או ידנית (Kill Switch) בלי להפר התחייבויות, וכיצד לתקשר עם הציבור בלי שהצהרות יחמירו את החשיפה המשפטית. תיאום בין דוברות לייעוץ משפטי הוא צעד זהירות סביר.

זווית סמנכ"ל הכספים: גידור חשיפה חוזית וביטוחית

הסכמי SaaS והטמעה כוללים לעיתים סעיפי הגבלת אחריות רחבים לטובת הספק. כדאי לבחון מראש הגדרות של "פגם" ו"רשלנות", תקרות אחריות, שיפוי, זכויות ביקורת ושיתוף פעולה באירוע, והסדרות לשמירת ראיות. נזק תוצאתי — אובדן הכנסות, קנסות רגולטוריים, פגיעה במוניטין — עשוי להיות משמעותי יותר מהנזק הישיר, והכיסוי הביטוחי לו תלוי בנוסח הפוליסה, בחריגים, בדרישות הודעה ובדין החל; אין להניח כיסוי אוטומטי של כשלי AI או של קנסות.

זווית היועץ המשפטי: רגולציה, פרטיות ותביעות

היועץ המשפטי מתמודד עם מספר מסלולים מקבילים: דרישות ה-EU AI Act כאשר קיימת זיקה טריטוריאלית (בהמשך), דיני הגנת הפרטיות החלים על עיבוד נתונים אישיים באימון ובהפעלה, שאלות של הפליה, והיערכות ראייתית לתביעות. בדיקה משפטית מוקדמת (Audit) יכולה לסייע בזיהוי פערים, אך אין היא יוצרת חסינות, ואין לראות בה "חומת מגן" מפני טענות.

ה-EU AI Act והדין האירופי: מה חל, מתי, ועל מי

תקנת הבינה המלאכותית של האיחוד האירופי, Regulation (EU) 2024/1689, תוקנה לאחרונה בתקנת האומניבוס Regulation (EU) 2026/1744, שהתקבלה ב-8 ביולי 2026, פורסמה ב-24 ביולי 2026 ונכנסה לתוקף ב-27 ביולי 2026. תקנת האומניבוס שינתה בין השאר את לוח הזמנים להחלת החוק: לא מדובר בהצעת חוק תלויה אלא בחקיקה בת-תוקף, ולכן יש להיזהר מהסתמכות על לוחות זמנים ישנים.

לפי סעיף 113 בנוסחו הנוכחי: הוראות היסוד והאיסורים המקוריים חלים מ-2 בפברואר 2025; איסורים חדשים שנוספו בתיקון (למשל בתחום יצירת תוכן אינטימי מזויף) יחולו מ-2 בדצמבר 2026; הוראות בדבר מודלים כלליים (GPAI) ומנגנוני ממשל חלים מ-2 באוגוסט 2025; רוב הוראות החוק חלות מ-2 באוגוסט 2026; ואילו מרבית החובות על מערכות בסיכון גבוה יחולו בעתיד — מ-2 בדצמבר 2027 למערכות מסוג Annex III, ומ-2 באוגוסט 2028 למערכות מסוג Annex I. לצד אלה קיימות הוראות מעבר: מערכות ששווקו לפני מועד החלתן נכנסות לתוקף החוק בעיקר בעקבות שינוי תכנון מהותי (עם כללים נפרדים למערכות לרשויות ציבוריות עד 2 באוגוסט 2030), ולמודלי GPAI ששווקו לפני 2 באוגוסט 2025 ניתן מועד ציות של 2 באוגוסט 2027.

גם חובת אוריינות ה-AI לא בוטלה: סעיף 4(1) בנוסחו הנוכחי מחייב ספקים ומפעילים לנקוט אמצעים לתמיכה בפיתוח אוריינות AI של העובדים והמפעילים מטעמם, תוך התחשבות בידע, בניסיון ובהקשר השימוש, אך מבהיר שהחובה אינה מחייבת להבטיח רמת אוריינות מסוימת של כל יחיד.

התחולה הטריטוריאלית נקבעת בסעיף 2: החוק חל על ספקים המשיקים מערכות AI בשוק האיחוד או מפעילים אותן בו, ללא קשר למקום מושבם; על מפעילים (Deployers) היושבים באיחוד; ועל ספקים ומפעילים ממדינה שלישית כאשר הפלט של המערכת נעשה בו שימוש באיחוד. מכאן שחברה ישראלית עשויה להיות כפופה לחוק, אך המבחן הוא הזיקה והתפקיד בפועל — לא עצם המסחר הגלובלי ולא שימוש גרידא בענן אירופי. תקנת ה-GDPR היא משטר נפרד עם מבחן טריטוריאלי ומהותי משלה.

בשלב זה, סעיפי הקנסות (99 ו-101) חלים, אך שיעורי הקנס המנהלי המרבי נבדלים לפי סוג ההפרה וקטגוריית הארגון, עם הקלות לעסקים קטנים ובינוניים ובכפוף לשיקולי מידתיות. חובות התיעוד והפיקוח על מערכות סיכון גבוה — יכולת תיעוד אוטומטית של אירועים (סעיף 12), שמירת יומנים לתקופה שאינה פחותה משישה חודשים בדרך כלל (סעיפים 19(1) ו-26(6)), הקצאת פיקוח אנושי לבעלי כישורים, הכשרה וסמכות (סעיפים 14 ו-26(2)) — חלות בכפוף למועדים ולהוראות המעבר שלעיל, והן נבדלות מפרקטיקות ראייתיות נבונות שאינן חובת חוק.

תיקי האחריות הנוספים: ה-PLD וה-AILD

הנחיית האחריות על מוצרים המתוקנת, Directive (EU) 2024/2853, חלה רק על מוצרים שיושמו בשוק או הופעלו לאחר 9 בדצמבר 2026, כך שיישומה המעשי עיקרו עתידי. הנחיה זו כוללת תוכנה במונח "מוצר", למעט תוכנה חופשית או בקוד פתוח שפותחה מחוץ לפעילות מסחרית, והיא מכסה נזקי גוף (לרבות נזק נפשי מוכר רפואית), נזק לרכוש שאינו לשימוש מקצועי בלבד, והשחתה או השמדה של נתונים שאינם לשימוש מקצועי; אובדן רווחים או נזק מסחרי טהור אינם מכוסים באופן כללי. התובע נדרש להוכיח פגם, נזק וקשר סיבתי, אם כי קיימות חזקות ניתנות להפרכה בנסיבות מוגדרות (למשל אי-גילוי ראיות או תקלה ברורה). הנחיית האחריות הישנה ממשיכה לחול על מוצרים ששווקו לפני המועד. יובהר: זו חקיקה אירופית ואינה מסדירה אחריות אזרחית בישראל; בישראל, חוק אחריות במוצרים פגומים, תש"ם-1980, עוסק בנזקי גוף שנגרמו על ידי מוצר פגום, בלי קשר לאשמת היצרן.

להשלמת התמונה: הצעת הנחיית האחריות האזרחית הייעודית ל-AI (AI Liability Directive) נמשכה בפועל על ידי הנציבות האירופית ב-6 באוקטובר 2025, ולכן אין לראות בכללי הקשר הסיבתי והגילוי שהוצעו בה דין אירופי תקף. מכוח המשכה זו לא בוטלו דיני הנזיקין הלאומיים, ולא הנחיית ה-PLD הנפרדת.

והמסגרת הישראלית הקיימת

בישראל פועלות מסגרות משפטיות קיימות הדורשות בחינה לכל מערכת ופעילות: דיני חברות, נזיקין, חוזים, הגנת פרטיות וכללים מגזריים. תיקון 13 לחוק הגנת הפרטיות, התשמ"א-1981 (פרסום רשמי, 14 באוגוסט 2024), נכנס לתוקף בעיקרו ב-14 באוגוסט 2025 (סעיף 74(א); סעיף 74(ב) קובע מועד מאוחר יותר לסמכות פיקוח מסוימת). התיקון הרחיב את הגדרת המידע האישי ואת חובות העיבוד הנגזרות ממנה, וחובת מינוי ממונה על הגנת פרטיות חלה על קטגוריות ארגונים הקבועות בחוק — לא על כל עסק המשתמש ב-AI. פרסום של הרשות להגנת הפרטיות מדצמבר 2025 בנושא טכנולוגיות מגבירות פרטיות (PETs) הוא מסמך הדרכה מקצועי; מסמך אחר שהתייחס לחלות דיני הפרטיות על AI פורסם באפריל 2025 כטיוטה להתייעצות, ומעמדו הסופי לא פורסם בפרסום רשמי שנמצא.

מאמר מערכת שהתפרסם באתר מבקר המדינה (סדרת מרות) מתאר את המדיניות הישראלית כסקטוריאלית, מדורגת ומבוססת סיכון, ומציין שהדיון אינו מתנהל ב"ריק נורמטיבי מוחלט". מיפוי הדין החל על הארגון צריך להתייחס לתחום פעילותו ולשימושים שהוא עושה בבינה מלאכותית.

חוזים, תיעוד וביטוח: מה כן מסדירים ומה לא

הסכמים מסודרים ותיעוד הפעלה עשויים להשפיע מהותית על חלוקת הסיכונים בין הצדדים החותמים, אך אינם מכריעים טענות של צדדים שלישיים ואינם גוברים על דין קוגנטי. סעיפים רלוונטיים: הגדרת "פגם" ו"כשל", תקרת אחריות, שיפוי, נזק תוצאתי, זכויות ביקורת, שיתוף פעולה באירוע ושמירת ראיות. יש לזכור שחוק החברות, תשנ"ט-1999, סעיף 263, מגביל בנוסחו המקורי אפשרויות של שחרור, שיפוי וביטוח של נושאי משרה, לרבות ביחס להפרת חובת זהירות בזדון או בפזיזות וביחס לקנסות מסוימים. בבחינת הביטוח יש לבדוק את הגדרת הסיכון המכוסה, החריגים ותנאי הפוליסה ביחס לכשל AI ולקנסות רגולטוריים.

רשימת עבודה מעשית לארגון

רשימת העבודה משלבת תיעוד טכני ומשפטי עם בדיקת החובות החלות על הארגון. את איסוף המידע ושמירתו יש לתכנן בהתאם לדיני הפרטיות, לאבטחת המידע ולחובות שימור ראיות החלות במקרה:

• שמירת פרטי הגרסה, הקונפיגורציה, ההוראות והאישורים של המערכת.
• שמירת קלטים, פלטים ויומנים הזמינים באופן חוקי, לצד תוצאות בדיקות וניטור.
• תיעוד ציר זמן של האירוע ותקשורת מול הספק, כולל ההסכמים הרלוונטיים.
• מיפוי סיכונים ייעודי למערכות AI, תיעוד החלטות הטמעה ובקרה, ובחינת הסכמי ספקים.
• בחינת מנגנוני פיקוח אנושי במקום שבו הם נדרשים בדין או בהסכם.
• בחינת התחולה הרגולטורית, לרבות ה-EU AI Act כאשר קיימת זיקה לאיחוד.
• שמירה על דיני פרטיות, על מדיניות שמירת מידע, על Legal Hold ועל אבטחת מידע — תיעוד אינו רשות לאגירה בלתי מבוקרת.

בחינה משפטית של מערכת AI בארגון

ניהול מחלוקת סביב כשל אלגוריתמי דורש חיבור בין עבודה טכנית לבין ניתוח משפטי: בחינת מסמכים והסכמים, עבודה מול מומחים טכניים, זיהוי עילות וטענות הגנה אפשריות ובניית אסטרטגיית מחלוקת. ניתן לפנות למשרד RNC Group לבחינת ההיבטים החוזיים, הנזיקיים והרגולטוריים של הפעלת מערכות AI בארגון. בחינה מוקדמת ממקדת את הסיכונים, המסמכים והצעדים הנדרשים להיערכות ולניהול המחלוקת.

אם הארגון שלכם מטמיע, רוכש, מפעיל או מפתח מערכות AI, אפשר לבצע בחינה יזומה לפני אירוע כשל, זימון רגולטורי או תביעה. ניתן לפנות לצורך תיאום פגישת ייעוץ אסטרטגית או ליצירת קשר עם עו"ד תומר ח. הנריק ריטרסקי, ולחלופין למלא את טופס יצירת הקשר באתר, ונחזור אליכם.

---

This article is for general information only and does not constitute legal advice. Laws and their application depend on the facts and jurisdiction and may change. Although we aim to keep this information accurate and current, we do not guarantee that it is complete or up to date. The article may contain omissions or errors. Reading this article does not create an attorney-client relationship with RNC Group. Before making a decision or taking action, seek advice from a qualified lawyer in the relevant jurisdiction.