יסודות רגולציית בינה מלאכותית שכל בעל עסק צריך להכיר
בעלת רשת פלאפל עם שלושה סניפים בהרצליה התחילה באביב להשתמש בכלי בינה מלאכותית לסינון ראשוני של קורות חיים. אחר כך חברה שלחה לה כתבה על ה-AI Act האירופי ושאלה אם היא צריכה לדאוג. רואת החשבון לא ידעה, מפתח האתר לא ידע, וחיפוש מהיר העלה בעיקר פוסטים של משרדי עורכי דין שנכתבו עבור תאגידים בין-לאומיים. הפער הזה, בין העובדה שיש רגולציה על בינה מלאכותית לבין מה זה אומר לעסק עם שנים עשר עובדים, הוא בדיוק המקום שבו רוב בעלי העסקים הקטנים נתקעים.
מה זה באמת אומר שאין חוק ייעודי לבינה מלאכותית בישראל
ישראל לא חוקקה חוק ייעודי לבינה מלאכותית, ואין מסמך אחד שאפשר פשוט לסמן וי לצידו. במקום זאת, הממשלה בחרה בגישה מבוססת מדיניות: מסמך מדיניות משנת 2023 קבע את עקרון החדשנות האחראית כעיקרון מנחה, והטיל על הרגולטורים הענפיים הקיימים, בפיננסים, בבריאות, בביטוח ובתחומים נוספים, לכתוב כללים מותאמים לתחום שלהם במקום לחכות לחוק מרכזי אחד. זה לא אומר שאין כללים בכלל. הרשות להגנת הפרטיות כבר פרסמה טיוטת הנחיות ספציפית לבינה מלאכותית, שעוסקת בהערכת סיכונים, בחובה ליידע אנשים כשהם מתקשרים עם מערכת AI, בבדיקת הטיה, ובשמירה על מעורבות אנושית בהחלטות שמשפיעות על חייו של מישהו.
הנקודה האחרונה כבר נוגעת להרבה עסקים קטנים. אם אתם משתמשים בבינה מלאכותית לסינון מועמדים לעבודה, לדירוג לידים, או לאישור או דחייה של בקשת לקוח, אתם כבר בתוך התחום שההנחיות האלה מכוונות אליו, וחוק הגנת הפרטיות הישראלי הקיים, לא חוק חדש לבינה מלאכותית, כבר קובע איך אתם אוספים ומשתמשים בנתונים שמזינים את ה-AI הזה.
האם ה-AI Act האירופי חל על עסק שמבוסס בישראל
ה-AI Act האירופי חל במקרים מסוימים גם מחוץ לגבולות האיחוד, בדומה ל-GDPR: אם אתם מוכרים לשוק האירופי או שהתוצר של מערכת ה-AI שלכם משפיע על אנשים הנמצאים שם, החוק יכול לחול עליכם גם בלי משרד באירופה. החדשות הטובות לרוב העסקים הקטנים בישראל הן שהחלק המחמיר ביותר בחוק, החובות המחמירות למערכות בסיכון גבוה כמו אלה המשמשות לגיוס עובדים, לדירוג אשראי או לזיהוי ביומטרי, נדחה בפועל: למערכות בסיכון גבוה עצמאיות נקבע כעת מועד עמידה בדצמבר 2027 במקום אוגוסט 2026, כך שיש יותר זמן ממה שכותרות לפני שנה הציעו.
מה שכן לא זז זו שכבת השקיפות. הכללים שמחייבים לחשוף מתי תוכן נוצר על ידי בינה מלאכותית או מתי לקוח מדבר עם בוט ולא עם בן אדם עדיין בלוח הזמנים המקורי, ואלה בדיוק הכללים שהכי סביר שיגעו בעסק קטן שמשתמש בצ'אטבוט באתר או בוואטסאפ.
איפה הרגולציה כבר מופיעה בהחלטות עסקיות יומיומיות
רוב בעלי העסקים הקטנים לא יבנו בעצמם מערכת AI בסיכון גבוה, אבל שאלת השקיפות רלוונטית כבר היום, גם אם לא תמיד כחובה משפטית נוקשה: לומר ללקוח שהוא מדבר עם בוט לפני שהוא מתחיל להתרגש רגשית מהשיחה זו גם פרקטיקה טובה וגם משהו שרגולטורים מצפים אליו יותר ויותר. אותו דבר נכון להחלטות אוטומטיות שמשפיעות ישירות על אדם, כמו דחיית בקשת החזר כספי או פסילת מועמד לעבודה רק על סמך תוצאת אלגוריתם בלי שום בדיקה אנושית.
כללים ענפיים חשובים יותר ממה שרוב בעלי העסקים חושבים. מרפאה שמשתמשת בבינה מלאכותית לקליטת מטופלים כפופה לחובות הפרטיות של ענף הבריאות בלי קשר למה שכתוב במדיניות AI כללית כלשהי, ועסק שמעבד נתוני תשלום דרך כלי AI עדיין חייב לעמוד באותם כללים פיננסיים כמו תמיד. שכבת ה-AI לא מבטלת את החובות האלה, היא פשוט נוספת עליהן.
מה סביר שבעל עסק קטן יעשה כבר עכשיו
בהתחשב בכך שהרבה מזה עדיין בתנועה, ובהתחשב בכך שזהו מידע רקע ולא ייעוץ משפטי, הצעד המעשי הוא לנהל הערה פנימית קצרה על אילו כלי AI אתם משתמשים, באילו נתונים הם נוגעים, והאם בן אדם בודק כל החלטה שמשפיעה על לקוח לפני שהיא הופכת סופית. ההרגל הפשוט הזה מכסה את רוב מה שההנחיות הנוכחיות בישראל מבקשות, ומעמיד אתכם לפני רוב המתחרים שבכלל לא חשבו על זה.
אם העסק שלכם מוכר לאירופה, או שאתם משתמשים בבינה מלאכותית לגיוס עובדים, לאשראי, או לכל דבר שנוגע בנתונים ביומטריים, כדאי שיחה קצרה עם עורך דין שעוקב אחרי התחום הזה במיוחד, כי גם ההנחיות הענפיות בישראל וגם לוח הזמנים האירופי עדיין משתנים, וכתבה בת שנתיים על הנושא כבר לא רלוונטית.