סעיף "אין AI" בחוזים: למה הוא כמעט תמיד לא שווה את הדיו, ומה לנסח במקומו

בחודשים האחרונים הסעיף "הספק לא יעשה שימוש בכלי AI כלשהם" צץ כמעט בכל חוזה שני. ההיגיון מאחוריו ברור: הלקוח חושש מ-AI, אז הוא דורש התחייבות גורפת של אפס AI בשום צורה ובשום שלב. זה מרגיש בטוח, וזה נראה אחראי. הבעיה היא שברוב המקרים, כפי שהוא מנוסח, הסעיף בלתי ישים, בלתי אכיף ומכוון אל המטרה הלא נכונה. במאמר הזה אסביר למה איסור AI גורף לא מגן עליכם באמת, מה באמת מטריד את הלקוח כשהוא מבקש אותו ואיך לנסח סעיף שאתם יכולים לחתום עליו, לקיים ולאכוף. אם אתם מנסחים או חותמים על חוזי שירות בעידן ה-AI, זה מה שצריך לדעת לפני שמכניסים את הסעיף הזה.

לפני הכול: למה הסעיף הזה צץ בכל חוזה שני

החשש מ-AI הוא אמיתי, והוא לגיטימי. לקוח שמעביר לספק מידע עסקי רגיש רוצה לדעת שהמידע הזה לא ידלוף, לא ישמש לאימון מודל של מישהו אחר, ולא ייחשף לגורם שלא אמור לראות אותו. מתוך החשש הזה נולדת הדרישה הפשוטה ביותר לכאורה: פשוט לאסור AI לחלוטין. נוסח גורף מרגיש כמו הגנה מקסימלית, כי הוא נשמע מוחלט. בפועל, דווקא המוחלטוּת היא מה שהופך אותו לחסר ערך.

שלוש הבעיות עם איסור AI גורף

בעיה ראשונה: הסעיף בלתי ישים

AI כבר תפור בתוך כל תשתית תוכנה רגילה. הדוא"ל שמסכם לכם שרשור, מערכת ניהול המסמכים, עורך הטקסט, מערכת התמיכה - כולם מריצים רכיבי AI ברקע. ספק שנשבע ל"אפס AI" מתחייב להימנע מכלים שאתם בעצמכם משתמשים בהם פנימית, לעיתים בלי להפעיל אותם באופן אקטיבי. אם תקבלו את החובה הזו כמות שהיא, אחת משתיים תקרה: או שהספק יחתום על משהו שהוא לא יכול לקיים, או שהעסקה תיתקע על תנאי שאף צד לא באמת מיישם.

בעיה שנייה: הסעיף בלתי אכיף

מה נחשב בכלל "שימוש"? בדיקת איות נכללת? מנוע חיפוש? השלמה אוטומטית בעורך טקסט? בלי הגדרה שאפשר לבקר מולה, יהיה קשה עד בלתי אפשרי להוכיח הפרה. כלומר, מי שניסח את הסעיף קיבל תחושת ביטחון מדומה, ולא הגנה שאפשר להפעיל בבית משפט. סעיף שאי אפשר לאכוף הוא קישוט משפטי, לא מנגנון הגנה.

בעיה שלישית: הסעיף מכוון למטרה הלא נכונה

כשמפרקים מה באמת מטריד את הלקוח, זה כמעט אף פעם לא "AI היה מעורב בתהליך". זה שלושה דברים קונקרטיים: שהמידע הסודי ייחשף לצד שלישי, שישתמשו בו כדי לאמן מודל של גורם אחר ושמישהו יפר את הדין החל. כל אחד מהשלושה ניתן לטיפול ישיר, וכל אחד מהם הרבה יותר אכיף מאיסור כללי על טכנולוגיה.

מה באמת מטריד את הלקוח

שווה לעצור על הנקודה הזו, כי כאן נמצא כל ההבדל. הדרישה ל"אין AI" היא תרגום שגוי של חשש נכון. הלקוח לא באמת מתנגד לטכנולוגיה, הוא מתנגד לתוצאות מסוימות שלה: דליפת מידע, אימון מודלים על הנתונים שלו והפרת חובות חוקיות. ברגע שמנסחים את הסעיף סביב התוצאות האלה ולא סביב הטכנולוגיה עצמה, מקבלים מסמך שמגן על מה שחשוב ושאפשר להפעיל אותו.

מה כן עובד ומציאותי: ניסוח סעיף שאפשר לאכוף

הגדירו את המונח "מערכת AI"

עדיף להשתמש בהגדרה קיימת מתוך רגולציה או תקן מוכר, ולא לפתוח ויכוח חדש על מה נכלל ומה נשאר בחוץ. הגדרה מוסכמת היא הבסיס שכל שאר הסעיף נשען עליו. בלעדיה, חוזרים לאותה בעיית האכיפה.

נקודת מוצא טובה להגדרה מוסכמת היא ההגדרה של "מערכת AI" בחוק הבינה המלאכותית האירופי. למדריך המעשי ל-EU AI Act ›

הגבילו את הסעיף לפעילות תחת ההסכם

הגבילו את הסעיף למערכות AI שמסופקות במסגרת ההתקשרות, ולא לפעילות הפנימית של הספק. את השימוש הפנימי אפשר להגביל בהקשרים הרלוונטיים בלבד: אימון מודלים, הפרת סודיות, או הפרת חובה חוקית אחרת. כך אתם מכסים את הסיכון האמיתי בלי לדרוש מהספק להתכחש לתשתית שכל השוק עובד עליה.

התמקדו בהגנה על המידע

במקום לדרוש אישור מראש לכל שימוש במערכת AI, מקדו את ההגנה במידע עצמו, שלכם או של הלקוח. ארבעה עוגנים מעשיים: אין אימון מודלים על המידע, אין חשיפה לצד שלישי, יש מדיניות מחיקת מידע סדורה ומדיניות ZDR (Zero Data Retention), ויש עמידה מלאה בחובות הדין החלות על הצדדים. אלה התחייבויות שאפשר להגדיר, למדוד ולאכוף.

השורה התחתונה

סעיף שאומר "אין AI" מרגיש בטוח. סעיף שאומר "המידע שלכם לעולם לא ישמש לאימון, לעולם לא ייחשף לצד שלישי, יש לגביו מדיניות ZDR, והספק עומד בכל חובה שחלה עליו מכוח דין" הוא בטוח בפועל, ויותר חשוב - מציאותי. על הראשון אף ספק רציני לא יחתום. על השני הוא יחתום, אתם תוכלו לאכוף אותו, ותקבלו הגנה שבאמת עובדת.

יש לכם חוזה עם סעיף AI שאתם לא בטוחים שאפשר לקיים או לאכוף? שלחו אותו אליי בקצרה למייל Omer@leave-me-be.com או בטלפון 054-492-3441, ואחזור עם מענה על מה ששווה לתקן.

חברות AI שמתמודדות עם סעיפים כאלה בכל עסקה נהנות מליווי משפטי שוטף שמכיר את המוצר ואת השוק. לפרטים על ריטיינר משפטי לחברות AI ›

שאלות ותשובות

האם מותר בכלל לאסור על ספק להשתמש ב-AI?

מותר להגביל שימוש ב-AI בחוזה, אבל איסור גורף ומוחלט בדרך כלל לא ישים, כי רכיבי AI מובנים בתוך תוכנות עבודה סטנדרטיות. עדיף להגביל שימושים ספציפיים שמייצרים סיכון, במקום לאסור את הטכנולוגיה כולה.

למה איסור AI גורף נחשב בלתי אכיף?

כי אין הגדרה ברורה ל"שימוש". בלי קריטריון שאפשר לבדוק מולו, קשה להוכיח הפרה בבית משפט. סעיף שלא ניתן להוכיח את הפרתו לא מספק הגנה ממשית.

מה הלקוח באמת רוצה כשהוא מבקש "אין AI"?

ברוב המקרים שלושה דברים: שהמידע הסודי לא ייחשף לצד שלישי, שלא ישתמשו בו לאימון מודל אחר ושלא תופר חובה חוקית. את שלושת אלה אפשר לעגן ישירות בחוזה.

מה זה מדיניות ZDR ולמה היא חשובה בחוזה?

ZDR, ראשי תיבות של Zero Data Retention, היא התחייבות שספק ה-AI לא שומר את המידע שמועבר אליו מעבר לזמן העיבוד. בחוזה היא מספקת הגנה קונקרטית מפני שמירה וחשיפה של מידע רגיש.

איך מגדירים "מערכת AI" בחוזה בלי להיתקע על ויכוחים?

מומלץ להישען על הגדרה קיימת מתוך רגולציה או תקן מקובל, במקום לנסח הגדרה חדשה. הגדרה מוסכמת מקצרת משא ומתן ומחזקת את יכולת האכיפה.

אם כבר חתמתי על סעיף איסור AI גורף, מה כדאי לעשות?

שווה לבחון את הסעיף מול הפעילות בפועל, ולשקול תיקון או נספח שמחליף את האיסור הגורף בהתחייבויות ממוקדות להגנת מידע. ליווי משפטי בשלב הזה עוזר לוודא שההגנה אמיתית - ולא רק על הנייר.

על הכותב

המאמר נכתב על ידי עו"ד עומר ברנדס, מייסד LeaveMeBe, העוסק במשפט מסחרי, רגולציית פרטיות ובינה מלאכותית. עו"ד ברנדס מלווה יזמים, סטארטאפים וחברות טכנולוגיה לאורך מחזור חייהן, מהקמה ועד אקזיט, בדגש על הטמעת תהליכי פרטיות, אבטחת מידע ושימוש אחראי בטכנולוגיות AI. הוא בעל הסמכת CIPP/E של ארגון IAPP, בוגר קורס DPO באוניברסיטת תל אביב, שותף בחברת הייעוץ Data Protection Matters, ושותף וראש תחום בינה מלאכותית אחראית ב-NextGen Solutions.

לפנייה: Omer@leave-me-be.com | 054-492-3441 | www.leave-me-be.com