חוק הבינה המלאכותית של האיחוד האירופי (EU AI Act) נכנס לתוקף ב-1 באוגוסט 2024, אך הוראותיו חלות בהדרגה. תחולתו על חברה ישראלית תלויה בזיקה לפעילות באיחוד, בתפקיד החברה, בסוג המערכת ובהוראה הנבחנת — ושאלת האחריות האישית של נושאי משרה מחייבת ניתוח נפרד לפי הדין החל.
כאשר ארגון משלב מערכת בינה מלאכותית בתהליך עסקי — לדוגמה תמחור, סינון מועמדים לעבודה או ניהול תשתיות — עולה השאלה מי ישא באחריות אם המערכת תחולל נזק. מערכת AI אינה ישות משפטית, והחוק האירופי מחלק חובות לפי תפקידו של כל גורם בשרשרת: ספק, מפעיל (Deployer), יבואן, מפיץ, יצרן מוצר ונציג מורשה. חשוב להבהיר כבר בפתיחה: אין בעצם אישור ההטמעה של מערכת כדי להטיל אחריות אישית באופן אוטומטי על דירקטור או מנהל. חשיפה אישית מחייבת בסיס נפרד בדין החל ובחינה של התנהלות נושא המשרה, ההחלטות שקיבל והקשר לנזק הנטען.
1. התחולה חוצת-הגבולות: מתי החוק חל על חברה ישראלית
התחולה אינה נקבעת רק לפי מקום ההתאגדות. לפי סעיף 2 לחוק, היא עשויה לחול על ספק המעמיד מערכת AI בשוק האיחוד או מכניס אותה לשימוש בו, ועל ספק המעמיד בשוק האיחוד מודל AI לשימושים כלליים — ללא קשר למקום מושבו; על מפעיל הממוקם באיחוד; וכן על ספק או מפעיל במדינה שלישית כאשר פלט המערכת משמש באיחוד. לכן יש לבחון את פעילות החברה ואת תפקידה בפועל לפי סעיף 2, ולא להסתפק בעובדה שהיא ישראלית. סיווג המערכת (למשל מערכת בסיכון גבוה לפי סעיף 6 ונספח III) ומועד תחולת ההוראה הרלוונטית משפיעים אף הם על הניתוח.
הוראות החוק חלות במועדים שונים, כמפורט בסעיף 113 בנוסחו הנוכחי (לאחר תיקונו בתקנת האומניבוס, Regulation (EU) 2026/1744):
| הוראות | מועד החלה |
|---|---|
| פרקים I-II (הוראות כלליות ואיסורים מקוריים) | 2 בפברואר 2025 |
| פרק III סעיף 4 (גופים מודיעים), פרק V (מודלי AI לשימושים כלליים), פרקים VII ו-XII (למעט סעיף 101) | 2 באוגוסט 2025 |
| סעיפים 102-110 | 27 ביולי 2026 |
| יתר הוראות החוק (כלל) | 2 באוגוסט 2026, בכפוף להוראות המעבר |
| איסורים חדשים בסעיף 5 (פסקאות (1)(ba), (bb), (1a), (1b)) | 2 בדצמבר 2026 (טרם חל) |
| פרק III סעיפים 1-3, לרבות חובות על מערכות בסיכון גבוה לפי נספח III (סעיף 6(2)) | 2 בדצמבר 2027 (טרם חל) |
| חובות על מערכות בסיכון גבוה לפי נספח I (סעיף 6(1)) | 2 באוגוסט 2028 (טרם חל) |
סעיף 111 קובע הוראות מעבר, למשל ביחס למערכות שהופעלו לפני מועד ההחלה ולמודלים לשימושים כלליים שהושקו לפני 2 באוגוסט 2025.
גם הקנסות המינהליים המרביים משתנים לפי סוג ההפרה. התקרה של 35 מיליון אירו — וכאשר המפר הוא תאגיד, עד 7% מן המחזור השנתי העולמי, לפי הגבוה מביניהם — נוגעת להפרת האיסורים שבסעיף 5 (סעיף 99(3)). הפרות מסוימות של חובות אחרות, כולל חובות מפעילים והוראות שקיפות, כפופות לתקרה של 15 מיליון אירו או 3% (סעיף 99(4)), ומסירת מידע שגוי, חסר או מטעה בתגובה לדרישת רשות — 7.5 מיליון אירו או 1% (סעיף 99(5)). לעסקים קטנים ובינוניים חלים במקרים מסוימים כללי "הנמוך מביניהם". סעיף 99(6a) מוסיף כלל דומה ל-SMCs, אך רק לקנסות לפי סעיפים 99(4)-(5); סעיף 99(7) מחייב התחשבות בנסיבות ובמידתיות. אלה תקרות מינהליות בלבד — לא קנס אוטומטי ולא פיצוי לנפגע — והניתוח מחייב שתחולת החובה נקבעה ושהפרה הוכחה.
2. אחריות נושאי משרה: בחינה לפי הדין החל, לא כלל אוטומטי
כאשר מערכת AI גורמת נזק — לדוגמה, במקרה היפותטי, החלטות תמחור המפלות קבוצת לקוחות או סותרות דיני תחרות — עשויות להיטען טענות נגד החברה, ולעיתים גם נגד נושאי משרה שאישרו את הטמעתה. אין כלל הקובע כי אישור הטמעה של מערכת ללא בדיקה מקדימה מהווה בהכרח הפרת חובת פיקוח; השאלה נבחנת לפי הדין החל, רמת הסיכון והנסיבות.
בישראל, סעיפים 252-253 לחוק החברות, תשנ"ט-1999, בנוסחם בפרסום הרשמי המקורי, מחייבים נושא משרה לפעול במידת הזהירות ובכישורים שנושא משרה סביר באותו תפקיד ובאותן נסיבות היה נוקט, לרבות איסוף מידע סביר בדבר כדאיותה העסקית של ההחלטה; סעיף 254 עוסק בחובת הנאמנות. סעיף 92 לחוק קובע כי "הדירקטוריון יתווה את מדיניות החברה ויפקח על ביצוע תפקידי המנהל הכללי ופעולותיו" (הציטוט הובא בע"א 94/20 לוסקין נ' גבעת עולם נפט בע"מ, פסקה 5). בית המשפט העליון (ע"א 6913/18 שקדי נ' הרודיום השקעות בע"מ, פסקה 33) הסביר את חזקת שיקול הדעת העסקי: "בית המשפט אינו נדרש לתוכן ההחלטה לגופה, אלא עליו לבחון את הליך קבלת ההחלטה בחברה", ופגמים העלולים לקעקע את החזקה הם חוסר תום-לב סובייקטיבי, ניגוד עניינים או קבלת החלטה ללא מידע. אלה הלכות כלליות בדיני חברות ולא פסיקה בענייני בינה מלאכותית: אין לראות בהן הגנה אוטומטית, ואין לראות בהן חובה חוקית ספציפית לבצע "ביקורת AI" בשמה.
בבחינת התנהלות ההנהלה, השאלה אינה רק אם נגרם נזק, אלא איזה מידע עמד בפני מקבלי ההחלטות ואילו צעדי בדיקה, פיקוח ותיעוד התאימו לסיכון. אישור הטמעה אינו יוצר כשלעצמו אחריות אישית, וגם בדיקה מקדימה אינה מעניקה חסינות. את חובות החברה ונושאי המשרה יש לבחון לפי הדין החל ונסיבות האירוע.
במערכות בסיכון גבוה, דרישות השקיפות והפיקוח האנושי שבסעיפים 13, 14 ו-26 לחוק יחולו על הספק ועל המפעיל במועדי ההחלה הנ"ל ובכפוף להוראות המעבר. מועיל להכיר את מהותן כבר עתה, ולצדן אפשר לשקול מנגנוני בקרה ארגוניים מתאימים:
- פיקוח אנושי אפקטיבי: סעיף 14 מחייב לתכנן את המערכת כך שניתן יהיה לפקח עליה ביעילות בידי בני אדם במהלך השימוש, באופן המתאים לסיכונים, לרמת האוטונומיה ולהקשר השימוש; סעיף 26(2) מחייב את המפעיל להטיל את הפיקוח על בעלי כישורים, הכשרה, סמכות ותמיכה מתאימים. אין דרישה שדירקטור יאשר כל פלט בזמן אמת.
- שקיפות והסברתיות: סעיף 13 מחייב שקיפות מספקת כדי שהמפעיל יוכל לפרש את פלט המערכת ולהשתמש בו כראוי, לרבות הוראות שימוש, ובמקרים מסוימים מידע הנוגע להסברת הפלט. אין בכך הבטחה שאפשר לשחזר כל משקולת פנימית של המודל או להוכיח כל תיאוריית קשר סיבתי.
- עצירה בטוחה והסלמה: סעיף 14(4)(ה) מחייב לאפשר התערבות או עצירה באמצעות כפתור "עצור" או הליך דומה המביא את המערכת לעצירה במצב בטוח, וסעיף 26(5) מחייב את המפעיל לפעול לפי הוראות השימוש ובנסיבות מסוימות להשעות את השימוש ולדווח. תכנון רציפות עסקית והסדרי יציאה חוזיים הם שיקול תכנוני נפרד, שאינו מובטח בחוק עצמו.
3. הניתוח הראייתי: כשל בארכיטקטורה לעומת כשל בנתונים
בליטיגציה מסחרית או בחקירה רגולטורית, פירוק מקור הכשל הוא צעד חקירתי חשוב. יש להבחין, למשל, בין כשל התואם בתכנון המערכת — כגון הגדרת פונקציית מטרה שגויה, היעדר מעצורים (Guardrails) מתאימים או בחירת מודל בלתי מתאים — לבין כשל בנתוני האימון, כגון הטיות היסטוריות (Data Bias), "הרעלת" נתונים (Data Poisoning) או שחיקת מודל לאורך זמן (Model Drift).
אבחנה זו אינה קובעת כשלעצמה מי האחראי במשפט. סעיף 26(4) לחוק מטיל על המפעיל חובות ביחס לנתוני קלט רק במידה שהם בשליטתו, וסעיף 25 עוסק בשינויי תפקידים בין גורמים בשרשרת ובשיתוף הפעולה ביניהם. הכרעה באחריות תלויה בעילות שייטענו, בחוזים, בראיות ובנסיבות, ולעיתים פועלים כמה גורמים תורמים במקביל. תיעוד הפעלה ובדיקת מקור הכשל חשובים לתמיכה בבירור העובדות, אך אינם מבטיחים עילת שיפוי ואינם שוללים הגנה.
4. ארכיטקטורה חוזית בעידן למידת מכונה
סיווג הנזק והתנאים החוזיים עשויים להשפיע על הכרעה עתידית במחלוקת. לכן מומלץ לבחון בכל התקשרות, עוד בשלב המו"מ, את סעיפי הגבלת האחריות, החרגת הנזקים התוצאתיים, השיפוי, שיתוף הפעולה באירוע וזכויות הביקורת:
- הגדרת כשל ורשלנות: אפשר להציע להגדיר כשלים מסוימים — למשל בתיקוף נתונים או בהטיות מובנות — כהפרה יסודית שאינה כפופה לתקרת האחריות הרגילה. זוהי בחירת משא ומתן ולא ברירת מחדל חוקית, ויש להגדיר בה הפרה, קשר סיבתי וסעדים.
- תיעוד ושיתוף פעולה: סעיף 25(4) לחוק מחייב הסכם בכתב בין ספק של מערכת בסיכון גבוה לבין ספקי צד ג' רלוונטיים, המסדיר מסירת מידע, אמצעים וסיוע הנדרשים לציות הספק, בכפוף להגנות על סודות מסחריים וקניין רוחני (סעיף 25(5)). מעבר לכך, היקף התיעוד שיימסר ללקוח נקבע בהסכם בין הצדדים.
- מנגנוני ביקורת (Audit Rights): זכות ביקורת תקופתית על המודל והנתונים אינה זכות אוטומטית הניתנת לכל לקוח מכח החוק; ניתן לשקול להסדירה במו"מ, תוך הגדרת היקף הביקורת, תדירותה והגורם המבצע.
5. סיכום: מניהול תגובתי לניהול סיכונים מוקדם
שילוב בינה מלאכותית בפעילות העסקית משנה את מפת הסיכונים התאגידית. היערכות נכונה אינה דורשת מהמנהלים להפוך למדעני נתונים, אלא להעמיד דיסציפלינה ניהולית-משפטית: זיהוי תחולת הדין, בדיקה מקדימה לפני הטמעה, גידור חוזי של אחריות הספקים ויצירת פרוטוקולי תיעוד שיסייעו בבירור עובדות ובהחלטות ההנהלה אם וכאשר מערכת תכשל. הדרג הניהולי אינו יכול להסתפק בתגובה לאחר האירוע.
לבחינת תחולת הוראות חוק הבינה המלאכותית האירופי והחשיפות הכרוכות בשימוש במערכות AI בארגון, ניתן לפנות אלינו ולתאם פגישת ייעוץ.
תקנת ה-AI האירופית עשויה לחול גם על חברות ישראליות. התחולה תלויה בפעילות, בתפקיד ובסוג המערכת.
סיווג הסיכון של המערכת, חובות התיעוד והפיקוח האנושי ומועדי ההחלה קובעים את חובות החברה — ושאלת האחריות האישית של נושאי משרה נבחנת בנפרד לפי הדין החל.
לבחינת תחולת ההוראות והחשיפות הנובעות משימוש במערכת AI, אפשר לפנות אלינו בוואטסאפ או במייל.
This article is for general information only and does not constitute legal advice. Laws and their application depend on the facts and jurisdiction and may change. Although we aim to keep this information accurate and current, we do not guarantee that it is complete or up to date. The article may contain omissions or errors. Reading this article does not create an attorney-client relationship with RNC Group. Before making a decision or taking action, seek advice from a qualified lawyer in the relevant jurisdiction.