EU AI Act – המדריך המעשי להטמעת חוק הבינה המלאכותית של האיחוד האירופי

EU AI Act הוא חוק הבינה המלאכותית של האיחוד האירופי, והוא עשוי להיות רלוונטי גם לחברות, סטארטאפים, ספקי תוכנה, יצרנים וארגונים בישראל. החוק נכנס לתוקף ב-1 באוגוסט 2024, אך יישומו מדורג לאורך כמה שלבים. החוק אינו חל רק על חברות אירופיות, אלא עשוי לחול גם על גורמים מחוץ לאיחוד אם מערכת הבינה המלאכותית שלהם משווקת באירופה, מופעלת באירופה, או אם נעשה שימוש בפלט שלה באירופה. החוק קובע מדרג סיכונים, אוסר שימושים מסוימים בבינה מלאכותית, מטיל חובות ציות מפורטות על מערכות בסיכון גבוה, וקובע קנסות משמעותיים. לכן, אם אתם מפתחים, מטמיעים, מוכרים או מפעילים כלי AI - חשוב להבין כבר עכשיו האם החוק נוגע גם אליכם, ומה צריך לעשות.

חשוב לדעת, שגם אם EU AI Act לא חל עליכם ישירות, הוא עשוי לחול עליכם בפועל דרך חוזים עם לקוחות בינלאומיים. יותר ארגונים דורשים מספקי AI לעמוד בעקרונות החוק - תיעוד, ממשל נתונים, ניהול סיכונים, פיקוח אנושי ושקיפות - כתנאי לעסקה, לרכש או להשקעה.

מדריך זה נכתב על ידי עו"ד עומר ברנדס, העוסק במשפט מסחרי, רגולציית פרטיות ובינה מלאכותית, ומלווה יזמים, סטארטאפים וחברות טכנולוגיה לאורך מחזור חייהן - מהקמה ועד אקזיט - בדגש על הטמעת פרטיות, אבטחת מידע ושימוש אחראי בטכנולוגיות AI. עו"ד ברנדס בעל הסמכת CIPP/E של ארגון IAPP, בוגר קורס DPO באוניברסיטת תל אביב, שותף בחברת הייעוץ Data Protection Matters ושותף וראש תחום בינה מלאכותית אחראית ב-NextGen Solutions.

מהו EU AI Act

EU AI Act הוא "חוק הבינה המלאכותית של האיחוד האירופי" - מסגרת רגולטורית רחבה שנועדה להסדיר שימושים מסוימים בבינה מלאכותית בשוק האירופי. מטרת החוק היא לקבוע כללים ברורים למערכות שעלולות לפגוע בבטיחות, בזכויות יסוד, פרטיות, שוויון של יחידים, או באינטרס הציבורי.

החוק מבוסס על גישה מדורגת - ככל שהסיכון שמערכת ה-AI יוצרת גבוה יותר, כך החובות הרגולטוריות מחמירות יותר. לכן, לא כל מערכת בינה מלאכותית כפופה לאותה רמת פיקוח. יש מערכות שהשימוש בהן הוא תחת רמת פיקוח נמוכה של רגולציה, יש מערכות שלגביהן חלה רק חובת שקיפות, יש מערכות שנחשבות לבעלות סיכון גבוה ויש גם שימושים שהחוק אוסר לחלוטין.

למה חוק הבינה המלאכותית של האיחוד האירופי חשוב ורלוונטי גם לעסקים בישראל?

טעות נפוצה היא לחשוב שמדובר ב"חוק אירופי פנימי" ודין זר שלא נוגע לחברות ישראליות, אך בדומה לרגולציות אירופיות אחרות, גם כאן יש לחוק השפעה חוץ-טריטוריאלית במקרים מסוימים.

אם חברה ישראלית מפתחת מוצר AI ומשווקת אותו ללקוחות באיחוד האירופי, אם היא מטמיעה מערכת AI עבור לקוח אירופי, אם היא מפעילה מערכת AI שהפלט שלה משמש בתוך האיחוד או אם היא מספקת מודל או רכיב AI שמשתלב במוצר אחר שנמכר באירופה - ייתכן בהחלט שהחוק יהיה רלוונטי עבורה.

הכלל הוא, שהחוק חל על מקום השיווק והפעולה של המערכת, לא על מקום רישומה של החברה שיצרה אותה.

לא בטוחים אם EU AI Act חל עליכם? אני מזמין אתכם לשיחת מיפוי ראשונית, שבה נבחן את סוג מערכת ה-AI, קהל היעד, אופן השימוש והחשיפה האפשרית לשוק האירופי - ונבין מהם הצעדים הנכונים עבורכם: 054-492-3441.

לפני הכול: תוכנית פעולה ב-5 שלבים: איך להתחיל היום

שלב 1 - מיפוי (AI Inventory): בניית רשימה של כל מערכת AI בחברה - פנימית או חיצונית, בייצור או בפיתוח. לכל מערכת: תיאור, מטרה, נתוני אימון, ספק, ממשק משתמש.

שלב 2 - סיווג סיכון: לבחון כל מערכת מול 4 רמות הסיכון: אסורה (בלתי קבילה), סיכון גבוה, סיכון מוגבל, סיכון מינימלי. הפלט - מטריצת סיכון שמהווה בסיס לכל פעולה הבאה.

שלב 3 - ניתוח פערים (Gap Analysis): לאחר סיווג ראשוני של מערכות ה-AI, יש לבחון כל מערכת שסווגה כבעלת סיכון גבוה מול דרישות החוק הרלוונטיות. בשלב זה יש לבדוק גם אם ניתן, באמצעות התאמות מסחריות, תפעוליות או טכנולוגיות במוצר או באופן השימוש בו, להפחית את רמת הסיכון ולהימנע מסיווג High-Risk. ככל שאין אפשרות מעשית להימנע מסיווג זה, יש לערוך ניתוח פערים מלא ולגבש רשימת פערים מתועדת.

שלב 4 - בניית תוכנית תיקון: לכל פער למנות אחראי, לו"ז, תקציב. מינוי נציג מורשה אם נדרש. בחירת Standards מותאמים (CEN-CENELEC JTC 21). התקנת מערכות ניהול רישומים.

שלב 5 - מבחן הציות: Conformity Assessment (פנימי או חיצוני, תלוי קטגוריה), הצהרת EU Declaration of Conformity, סימון CE, ורישום בבסיס הנתונים האירופי כאשר זה מתחייב. חתימה על תיעוד - והשקה רק לאחר השלמת דרישות הציות הרלוונטיות.

על מי חל EU AI Act - תחולה חוץ-טריטוריאלית

EU AI Act חל על כל ישות שהפלט של מערכת ה-AI שלה משמש בתוך האיחוד האירופי, גם אם הפיתוח והשרתים נמצאים בישראל. החוק רלוונטי ל-4 סוגי שחקנים עיקריים - לא רק למפתחי אלגוריתמים.

ארבעת סוגי השחקנים שחייבים לבחון את תחולת EU AI Act

ספקים (Providers) של מערכות AI – מי שמפתחים מערכת, משווקים אותה, מציעים אותה תחת שמם או סוחרים בה.
מטמיעים (Deployers) של מערכות AI בארגון – חברה שמטמיעה כלי בינה מלאכותית במיוחד בהקשרים שעשויים להיות מסווגים כבעלי סיכון גבוה, למשל - תהליכי גיוס, מיון מועמדים, הערכת עובדים, ניתוח לקוחות, זיהוי הונאות, דירוג סיכונים או קבלת החלטות אוטומטית.
יבואנים, מפיצים ויצרנים – שמשלבים רכיבי AI בתוך מוצרים או פתרונות שהם מציעים לשוק האירופי.
מפתחי מודלים (GPAI Providers) – ספקי מודלים לשימוש כללי (LLMs, מודלי יסוד), כולל מודלים שעליהם מתבססים מוצרים וסוכנים מסחריים אחרים.

המשמעות: חברות SaaS, HRTech, AdTech, FinTech, MedTech וכלי פרודוקטיביות ישראליים - כולן בתוך הטווח וצריכות לבדוק ציות לרגולציה ולחוק החדש.

אם החברה שלכם מפתחת, מטמיעה או מוכרת מערכת AI שעשויה להגיע לשוק האירופי, לא כדאי להסתפק בתחושת בטן. בדיקת תחולה קצרה יכולה לחסוך בהמשך שינויי מוצר, עיכובים מסחריים וחשיפה רגולטורית מיותרת: 054-492-3441.

4 רמות הסיכון של EU AI Act - איפה אתם?

החוק מחלק את מערכות ה-AI לארבע רמות סיכון, כאשר לכל אחת חובות שונות:

1. פעילות אסורה - סיכון בלתי קביל (Prohibited AI) - נכנס לתוקף: פברואר 2025

מערכות שנחשבות איום יסודי על זכויות אדם, כולל מניפולציה קוגניטיבית, ניקוד חברתי של אוכלוסיות, זיהוי ביומטרי מרחוק במרחב ציבורי בזמן אמת (למעט חריגים), הסקת רגשות במקומות עבודה ובתי ספר, וסריקת פנים מהאינטרנט לבניית מסדי זיהוי. שימושים אלו אסורים לחלוטין, ואי-ציות להם גורר את הקנסות הגבוהים ביותר - עד 35 מיליון אירו או 7% מהמחזור.

2. סיכון גבוה (High-Risk) - אמור להיכנס לתוקף: אוגוסט 2026 (נכון למאי 2026, מסתמן עיכוב במועד זה)

עיקר הרגולציה. כולל מערכות שמשפיעות על חיים, בריאות, הכנסה וזכויות יסוד. זוהי הקטגוריה הקריטית ביותר עבור חברות הייטק ישראליות (נספח III לחוק) לדוגמה:

HR-Tech – מערכות לסינון קורות חיים, דירוג מועמדים או קבלת החלטות על קידום ופיטורין.
FinTech – מערכות להערכת כושר החזר אשראי או תמחור ביטוחי חיים ובריאות.
תשתיות קריטיות וחינוך – ניהול רשתות חשמל, מים, גז ודלק או הערכת הישגים לימודיים.

החובות המרכזיות: ניהול סיכונים, הבטחת איכות נתונים, תיעוד, שקיפות, פיקוח אנושי.

3. סיכון מוגבל (Limited Risk) - חובות שקיפות

מערכות כמו צ'אטבוטים או מחוללי תוכן (שעשויות לשמש ל-Deepfakes). החובה המרכזית: שקיפות, שבעיקרה דורשת להודיע למשתמש שהוא מדבר עם AI ולא עם נציג אנושי.

4. סיכון מינימלי (Minimal)

רלוונטי לרוב המערכות, לדוגמה: פילטרי ספאם, AI במשחקי וידאו, המלצות תוכן. אין חובות רגולטוריות מחייבות, אך מומלץ לאמץ קודים וולונטריים.

לא כל מערכת AI דורשת את אותה רמת היערכות, אבל טעות בסיווג עלולה לעלות ביוקר. אם אתם לא בטוחים אם המערכת שלכם היא בסיכון מינימלי, מוגבל, גבוה או אסור - זה בדיוק השלב לעצור ולבדוק.

לבדיקת סיווג הסיכון של מערכת ה-AI שלכם: 054-492-3441.

תחולה ולוחות זמנים

פעילות אסורה – דוגמאות: Social scoring, זיהוי רגשות · חובות: איסור מוחלט · מועד תוקף: פברואר 2025
סיכון גבוה – דוגמאות: HR, אשראי, רפואה · חובות: ניהול סיכונים, תיעוד · מועד תוקף: אוגוסט 2026 (תיתכן דחייה)
סיכון מוגבל – דוגמאות: צ'אטבוטים · חובות: שקיפות · מועד תוקף: פברואר 2025
סיכון מינימלי – דוגמאות: פילטרים · חובות: ללא חובות · מועד תוקף: כבר עכשיו

המשמעות המעשית היא, שלא כדאי להמתין לרגע האחרון. גם אם חלק מהחובות חלות בהדרגה, היערכות רגולטורית, מיפוי ומסמכי ציות נדרשים זמן רב לפני מועד האכיפה.

Annex III של EU AI Act: המערכות בסיכון גבוה הרלוונטיות לישראל

Annex III הוא נספח מפורש שמונה את המערכות המסווגות בסיכון גבוה תחת EU AI Act. עבור חברות ישראליות, שלושה תחומים הם הקריטיים ביותר:

HR-Tech וגיוס - הסקטור הכי חשוף בישראל תחת EU AI Act

כל מערכת שמבצעת החלטה אוטומטית או תומכת החלטה בתהליכי גיוס, סינון קורות חיים, ניהול ביצועים, פיטורים או הקצאת משימות - היא בסיכון גבוה. לישראל סקטור HR-Tech בולט (Workey, Gloat, HiBob, Mploy, ועוד), וכל הפתרונות שמוכנסים לשוק האירופי צריכים לעמוד במלוא חובות המשטר הגבוה של חוק הבינה המלאכותית.

FinTech והערכת אשראי / ביטוח

מערכות שמשמשות ל-credit scoring, לתמחור פרמיות ביטוח או להערכת סיכוני חיתום נופלות בסיכון גבוה. הסקטור הישראלי בתחום (Lemonade, Riskified, Payoneer ורבות נוספות) יצטרך להתאים תהליכים עסקיים לא רק ל-GDPR אלא גם ל-EU AI Act.

תשתיות קריטיות וסייבר

מערכות AI שמנהלות רשתות חשמל, מים, תחבורה או תקשורת דיגיטלית. ייתכן שתחום זה פחות רלוונטי לסטארט-אפים קטנים, אך מאוד רלוונטי לחברות cybersecurity ו-infrastructure ישראליות שמוכרות לרשויות באיחוד.

טבלת חשיפה - ענפים ישראליים נבחרים

HRTech – מנוע ATS לסינון מועמדים · סיווג: גבוה · חובה מרכזית: ניהול סיכונים, ממשל נתונים, פיקוח אנושי
FinTech/InsurTech – מודל ציון אשראי אוטומטי · סיווג: גבוה · חובה מרכזית: תיעוד טכני, שקיפות, מעקב
AdTech – סינון רגשי של פרסומים · סיווג: עלול להיות אסור / גבוה · חובה מרכזית: בחינה פרטנית
HealthTech – עזר אבחון רפואי · סיווג: גבוה · חובה מרכזית: Conformity Assessment, CE Marking
צ'אטבוט שירות – צ'אטבוט תמיכת לקוחות · סיווג: מוגבל · חובה מרכזית: שקיפות כלפי המשתמש
EdTech – מערכת הערכת תלמידים · סיווג: גבוה · חובה מרכזית: תחולה מלאה של Annex III
Biometric-Tech – זיהוי פנים מרחוק · סיווג: אסור / גבוה · חובה מרכזית: תלוי בהקשר ובחריגים - יש חריג לזיהוי פנים

תחומים נוספים ב-Annex III של EU AI Act: ביומטריה, חינוך, שירותים ציבוריים חיוניים, אכיפת חוק, הגירה, ושיפוט ודמוקרטיה. הרשימה דינמית - הנציבות יכולה להוסיף תחומים בתיקונים.

אם המוצר שלכם פועל בתחומי HRTech, FinTech, HealthTech, EdTech, InsurTech, תשתיות, ביומטריה או מערכות תומכות החלטה - ייתכן שאתם קרובים יותר לקטגוריית High-Risk ממה שנדמה לכם.

לבדיקה אם המערכת שלכם נכנסת ל-Annex III צרו קשר: 054-492-3441.

GPAI ומודלים כלליים תחת EU AI Act

מודלים כלליים (General Purpose AI) מקבלים פרק נפרד ב-EU AI Act. החובות שלהם נכנסו לתוקף כבר ב-2 באוגוסט 2025 והן חלות על כל ספק של LLM או מודל יסוד שמוכנס לשוק האירופי.

חובות בסיסיות לכל ספק GPAI תחת חוק הבינה המלאכותית:

תיעוד טכני מפורט של המודל, ארכיטקטורה, נתוני אימון ומתודולוגיה.
מידע ודוקומנטציה ל-downstream providers - מי שיבנה מוצרים על המודל.
מדיניות זכויות יוצרים התואמת את ה-Copyright Directive האירופי (שימו לב - מדובר בדרישה לא פשוטה כלל!).
פרסום של תקציר ציבורי על נתוני האימון (Training Data Summary).

קריטריון הסיכון הסיסטמי - הסף של 10^25 FLOPs

כאשר מודל GPAI חוצה סף של 10^25 FLOPs של חישוב אימון (כלומר - מודל שאומן מעל רף מסוים של כמות נתונים, מה שהופך אותו ל"מודל למטרות כלליות"), הוא ייחשב מודל כללי שחלות עליו החובות בפרק של החוק. בנוסף, מודל כללי שמציג יכולות גבוהות יותר (על פי רשימת קריטריונים המוגדרת בחוק), עשוי להיות מסווג כבעל 'סיכון סיסטמי' והחובות שלו מתרחבות: הערכות מודל סטנדרטיות, בדיקות Adversarial Testing קפדניות, הערכה וצמצום סיכונים סיסטמיים, דיווח על אירועים חמורים, ואבטחת סייבר ברמה גבוהה מאוד. רוב מודלי ה-Frontier (GPT-5, Gemini Ultra, Claude Opus) חוצים את הסף.

נכון לסוף 2025, Code of Practice וולונטרי הפך לכלי עיקרי להוכחת ציות ל-EU AI Act בקטגוריית GPAI. רוב השחקנים הגדולים חתמו עליו, אך חלק, כמו Meta, סירבו. לחברות ישראליות שבונות מוצרים על מודלי יסוד: המשימה היא לעקוב אחרי התיעוד של הספק, לוודא שהשימוש תואם את הרישיון, ולהטמיע בקרות ברמת המוצר עצמו.

סעיפים מרכזיים ב-EU AI Act שחייבים להכיר

EU AI Act הוא רגולציה ארוכה וטכנית, אך בתכלס כל חברה ישראלית צריכה להכיר תשעה סעיפים מרכזיים. הרשימה הבאה מסכמת אותם לפי סדר חשיבות מעשית:

Article 4 – AI Literacy - חובת הכשרה של עובדים ומנהלים · למי רלוונטי: כל ארגון שמשתמש ב-AI · בתוקף: פברואר 2025 (בתוקף)
Article 5 – פרקטיקות אסורות (Prohibited Practices) · למי רלוונטי: כל ארגון · בתוקף: פברואר 2025 (בתוקף)
Article 9 – Risk Management System · למי רלוונטי: ספקי High-Risk · בתוקף: אוגוסט 2026
Article 10 – Data Governance - איכות הנתונים והטיות · למי רלוונטי: ספקי High-Risk · בתוקף: אוגוסט 2026
Article 13 – שקיפות כלפי המטמיע (Deployer) · למי רלוונטי: ספקי High-Risk · בתוקף: אוגוסט 2026
Article 14 – Human Oversight - פיקוח אנושי · למי רלוונטי: ספקי High-Risk · בתוקף: אוגוסט 2026
Article 22 – נציג מורשה באיחוד · למי רלוונטי: כל ספק לא-אירופי · בתוקף: אוגוסט 2026
Article 50 – חובות שקיפות (chatbots, Deepfakes) · למי רלוונטי: ספקי Limited Risk · בתוקף: אוגוסט 2026
Article 53 – חובות ספקי GPAI · למי רלוונטי: ספקי LLMs ומודלי יסוד · בתוקף: אוגוסט 2025 (בתוקף)

טיפ חשוב: השלושה שכבר בתוקף (4, 5, 53) - התחילו איתם עכשיו!

אני נחשב לספק בסיכון גבוה, מה עושים?

חובות מרכזיות (סעיפים 9-15):

סעיף 9 - Risk Management – תהליך מתועד
סעיף 10 - Data Governance – נתונים נקיים מהטיות, תיעוד מלא
סעיף 11 + Annex IV - Technical Documentation – "תיק מוצר" טכני מלא
סעיף 13 - Transparency and Provision of Information to Deployers – מידע ברור על הסיכונים ודרכי השימוש המתאימות
סעיף 14 - Human Oversight – פיקוח אנושי - חובה
סעיף 15 - Accuracy/Cyber – דיוק ואבטחה

סעיף 9 - ניהול סיכונים: הספק חייב להקים תהליך מתועד, רציף ועדכני לזיהוי, הערכה וצמצום סיכונים הנובעים מהמערכת. התהליך צריך להתקיים לאורך כל מחזור החיים של המוצר, לא רק בשלב הפיתוח. הוא כולל בדיקה של סיכונים ידועים, סיכונים צפויים וסיכונים שמתגלים בשימוש. התיעוד הוא חובה - זה מה שהרגולטור יבקש לראות בביקורת.

סעיף 10 - ממשל נתונים (Data Governance): זו הדרישה החמורה ביותר לחברות שמאמנות מודלים. מאגרי האימון, האימות והבדיקה חייבים להיות רלוונטיים, מייצגים, חפים ככל האפשר משגיאות, ושלמים. יש לבחון הטיות - גם מגדריות, גם אתניות, גם סוציו-אקונומיות. יש לתעד את מקור הנתונים, את הבחירות בעיבוד, ואת התהליך. חפיפה אפשרית של החובות האלה עם חובות מקבילות ב-GDPR מחייבת ניהול כפול (כל עוד תהליך ההאחדה בין הרגולציות באירופה לא יורה אחרת).

סעיף 14 - פיקוח אנושי (Human Oversight): המערכת חייבת להיות מעוצבת כך שאדם יכול להבין את הפלט, לזהות כשלים ולהתערב. אין לאפשר קבלת החלטות משמעותיות אוטונומית לגמרי.

חובות נוספות: תיעוד טכני (סעיף 11 ו-Annex IV), שקיפות כלפי המטמיע (סעיף 13), דיוק ואבטחת סייבר (סעיף 15), ניהול רישומים (logs), conformity assessment, סימון CE, ורישום בבסיס הנתונים האירופי לפני ההשקה.

החובה להציב "נציג מורשה" באיחוד - סעיף 22 לרגולציה

סעיף 22 ל-EU AI Act מטיל חובה קריטית על כל חברה שאינה רשומה באיחוד ושמעמידה מערכת AI בסיכון גבוה (או מודל GPAI) בשוק האירופי. לפני ההשקה, חייב להיות נציג מורשה (Authorized Representative) - ישות משפטית הרשומה באיחוד, שמונתה על ידי החברה הישראלית בכתב.

תפקידי הנציג המורשה

נקודת מגע מול הרשויות הרגולטוריות באיחוד
החזקה פיזית או דיגיטלית של מסמכי הציות (Technical Documentation)
שיתוף פעולה עם רשויות הפיקוח בבדיקות, בחקירות, או בבקשות למידע
הגשת תיעוד ראשוני לרשויות, כולל Declaration of Conformity

חשוב להבין - הנציג המורשה אינו רק "כתובת למשלוח מכתבים". הוא נושא באחריות משפטית לוודא שהתיעוד מלא ותקף, ויש לו מעמד של co-obligor במקרים מסוימים.

ההשלכה הפרקטית לחברה ישראלית: בניית הסכם שירות עם נציג מורשה מנוסה, שלא רק ממלא את התנאי הפורמלי, אלא יודע לנהל תהליך רגולטורי באיחוד. בחירה נכונה חוסכת קנסות ומאפשרת הגנה יעילה במקרה של חקירה.

היערכות אסטרטגית לחברות ישראליות

עבור חברות ישראליות, הציות הוא כבר לא רק עניין משפטי - אלא תפעולי ועסקי. ביצעתם את 5 שלבי הפעולה בתחילת המדריך? השלב הבא הוא אסטרטגי:

מיפוי מלאי AI – זיהוי כל רכיבי ה-AI במוצרי החברה וסיווגם לפי רמות הסיכון.
מינוי נציג מורשה (Authorized Representative) – חברות ישראליות ללא נוכחות פיזית באירופה חייבות למנות נציג מורשה שיהיה הכתובת המשפטית מול הרשויות.
אוריינות AI (סעיף 4) – חובה שכבר בתוקף - הכשרת עובדים ומנהלים להבנת היכולות והסיכונים של המערכות.
שקיפות (סעיף 50) – וודאו שכל ממשק שבין מערכת הבינה למשתמשים מציג בצורה נכונה את הסיכונים שבשימוש בכלי ומבהיר להם שהם לא משוחחים עם בשר ודם.
בדיקת נאותות (Due Diligence) – משקיעים ורוכשים (M&A) ב-2026 בוחנים את "תיק הציות" של הסטארט-אפ כחלק בלתי נפרד מהערכת השווי.

המדיניות הישראלית ושיתוף הפעולה הבינלאומי

ישראל חתמה בספטמבר 2024 על אמנת ה-AI של המועצה האירופאית, מה שמעיד על מחויבותה לסטנדרטים מערביים. גישת משרד המשפטים ורשות החדשנות היא להחלת רגולציה סקטוריאלית מוגבלת, בהתאם לזו הבינלאומית, כדי להקל על השוק הישראלי ולעודד חדשנות.

קנסות, סנקציות והשפעה של EU AI Act על M&A

המנגנון הכלכלי של ה-EU AI Act הוא גורם הרתעה חזק מאוד. הקנסות מדורגים לפי חומרת ההפרה, ותיקי הציות נבדקים בכל עסקת רכישה או השקעה.

מדרג הקנסות של חוק הבינה המלאכותית

ביצוע שימושים במערכות AI אסורות (Article 5) – קנס מקסימלי: 35 מיליון יורו או 7% מהמחזור העולמי - הגבוה מהשניים
הפרת חובות מהותיות (Articles 9, 10, 14, GPAI וכד') – קנס מקסימלי: 15 מיליון יורו או 3% מהמחזור העולמי - הגבוה מהשניים
אספקת מידע כוזב לרשויות – קנס מקסימלי: 7.5 מיליון יורו או 1% מהמחזור העולמי - הגבוה מהשניים

קנסות אלה גבוהים מקנסות GDPR ביחסי סף. לחברה ישראלית עם מחזור עולמי של 500 מיליון דולר, קנס של 7% = 35 מיליון דולר - קנס שעלול לפגוע בהישרדות החברה.

השלכת EU AI Act על Due Diligence בעסקאות M&A

תהליכי Due Diligence ב-2026-2027 יכללו בחינת ציות ל-EU AI Act כחלק בלתי נפרד מהערכת מוכנות חברה להשקעה או אקזיט. אי-ציות מייצר שלושה סוגי סיכונים במיזוגים ורכישות:

סיכון רגולטורי – השלכה עסקית: חסימת עסקה או הורדת מחיר · פתרון: Compliance Dossier עדכני
חובות שיפוי – השלכה עסקית: Escrow גדל משמעותית · פתרון: ביטוח ציות
סיכון תחרותי – השלכה עסקית: דחיית סגירה · פתרון: תוכנית ציות

גם משקיעי VC ישראלים מתחילים לדרוש חוות דעת ציות EU AI Act בסבבי השקעה. ההמלצה המעשית: להכין Compliance Dossier מסודר לפני עסקה - כולל מיפוי מערכות, סיווג סיכון, רישומים ותיעוד טכני.

EU AI Act מול GDPR, ISO 42001 ו-NIST AI RMF

אחת השאלות הנפוצות ביותר שחברות שואלות: "אני כבר עומד ב-GDPR - זה מספיק?" התשובה: לא. EU AI Act, GDPR, ISO 42001 ו-NIST AI RMF הן מסגרות משלימות, לא חלופיות. GDPR: איך מידע אישי מעובד על ידי החברה. AI Act: האם השימושים שעושה החברה או מאפשרת לאחרים לעשות בכלי בינה מלאכותית בטוחים.

EU AI Act – רגולציה אירופית על מערכות AI · מחייבת: כן - בחוק · קהל יעד: כל מי שפועל בשוק האירופי
GDPR – רגולציה אירופית על עיבוד מידע אישי · מחייבת: כן - בחוק · קהל יעד: כל מי שמעבד מידע אישי באיחוד האירופי או על תושבי ה-EU
ISO 42001 – תקן בינלאומי ל-AI Management System · מחייבת: וולונטרי · קהל יעד: כל ארגון שרוצה להפגין ציות
NIST AI RMF – מסגרת אמריקאית לניהול סיכוני AI · מחייבת: וולונטרי · קהל יעד: בעיקר ארגונים בארה"ב

נקודות חיבור וחיכוך בין EU AI Act ל-GDPR

GDPR מתמקד בהגנה על מידע אישי - איך נתונים נאספים, מעובדים, נשמרים ונמחקים. EU AI Act מתמקד במערכת ה-AI עצמה - הסיכון שלה, האיכות, הביקורת והתיעוד. שתי המסגרות עשויות לחול בו-זמנית על אותו מוצר. ברוב המקרים, חברה שעומדת ב-ISO 27001 ו-GDPR כבר נמצאת ב-70% מהדרך לציות ל-EU AI Act. אבל ה-30% הנותרים - Conformity Assessment, CE Marking, נציג מורשה, Risk Management ברמת המוצר - אלה חובות ייחודיות שאין במסגרות האחרות.

גם אם הרגולציה לא חלה עליכם ישירות - היא עשויה לחול דרך החוזה

עבור חברות ישראליות, הציות הוא כבר לא רק עניין משפטי אלא תפעולי ועסקי.

המציאות של 2026 היא שגם חברות ש-EU AI Act לא חל עליהן ישירות, מגלות לא פעם שהוא בכל זאת חל עליהן - דרך נספח חוזי.

נציבות האיחוד פרסמה Model Contractual Clauses לרכש מערכות בינה מלאכותית (MCC-AI) בגרסאות שונות למערכות בעלות סיכון גבוה וסיכון נמוך, וגופים ציבוריים אירופיים כבר מטמיעים אותן בחוזי הרכש שלהם.

במקביל, תאגידים בינלאומיים גדולים, מחלקות רכש של חברות Fortune 500, חברות ביטוח וקרנות השקעה אימצו את אותם עקרונות - דרישה מספקי מערכות בינה מלאכותית לעמוד בחובות תיעוד טכני, ממשל נתונים, פיקוח אנושי, ניהול סיכונים, זכויות ביקורת ושקיפות מול ה-Deployer - כתנאי סף חוזי לכל ספק AI שהם מכניסים לארגון, גם אם הספק יושב בתל אביב ולא חייב לאירופה דבר.

התוצאה היא ש-EU AI Act הופך בפועל לסטנדרט מסחרי גלובלי, אפילו ביחס לסעיפים שטרם נכנסו לתוקף מלא ואפילו ביחס לקטגוריות סיכון שאינן בעלות סיכון גבוה.

עבור חברה ישראלית שמוכרת ל-Enterprise בינלאומי, השאלה כבר אינה רק "האם הרגולציה חלה עליי", אלא "האם אני יודע לענות על שאלון הציות של הלקוח, להציג תיעוד טכנולוגי מסודר ולחתום בעיניים פקוחות על סעיפים שמשקפים את עקרונות החוק". מי שמגיע למשא ומתן חוזי בלי להכיר את צורת החשיבה הזו, מגלה לעיתים שהוא מאבד עסקאות לא בגלל המוצר, אלא בגלל תהליך הציות שלא הוכן בזמן.

ליווי שוטף בנושאי EU AI Act, פרטיות והסכמים מסחריים הוא בדיוק מה שמודל הריטיינר שלנו נותן. לפרטים על ריטיינר משפטי לחברות AI ›

לסיכום: זה הזמן לפעול

EU AI Act אינו עוד מסמך רגולטורי שאפשר לקרוא "כשיהיה זמן". עבור חברות ישראליות שפועלות מול אירופה, משלבות AI במוצר או משתמשות במערכות AI בתהליכים עסקיים רגישים, מדובר בשאלה מסחרית ומשפטית מהותית: האם המוצר ערוך לשוק האירופי, האם התיעוד מספיק, והאם החברה יודעת להסביר את הסיכון שהיא מנהלת.

אם אתם מפתחים, מטמיעים או מוכרים מערכת AI - זה הזמן לבצע מיפוי מסודר, להבין את רמת הסיכון ולהיערך נכון - לפני שהדרישות הופכות לחסם עסקי.

לא בטוחים אם EU AI Act חל עליכם?

אני מזמין אתכם לשיחת מיפוי ראשונית, שבה נבחן את מערכת ה-AI שלכם, אופן השימוש בה, החשיפה האפשרית לשוק האירופי ורמת הסיכון הרגולטורית. בסיום השיחה יהיה לכם כיוון ברור יותר: האם נדרש מיפוי עומק, Gap Analysis, תיעוד ציות או היערכות לקראת השקה באירופה: 054-492-3441.

שאלות ותשובות (FAQ)

האם ה-EU AI Act חל על חברה ישראלית?

כן, אם אני חברה ישראלית שמוכרת או מפעילה מערכת AI לשוק האירופי, או אפילו אם הפלט של המערכת שלי מגיע לתוך האיחוד האירופי, ה-EU AI Act חל עליי. זה דומה מאוד לגישה האקסטריטוריאלית של GDPR.

האם החוק חל גם על חברת SaaS ישראלית קטנה ללא משרדים באיחוד האירופי?

כן, אם המוצר נגיש ללקוחות באיחוד, אפילו דרך אתר בלבד. המבחן אינו מיקום - אלא השפעה על השוק האירופי.

האם EU AI Act יכול להשפיע על חברה ישראלית גם אם החוק לא חל עליה ישירות?

כן. גם אם EU AI Act לא חל ישירות על חברה ישראלית לפי תנאי התחולה של החוק, הוא עשוי להשפיע עליה דרך חוזים עם לקוחות, גופים ציבוריים, תאגידים בינלאומיים, חברות ביטוח, קרנות השקעה או מחלקות רכש בארגונים גדולים. בפועל, יותר לקוחות דורשים מספקי מערכות AI לעמוד בעקרונות דומים לאלה שמופיעים בחוק: תיעוד טכני, ממשל נתונים, ניהול סיכונים, פיקוח אנושי, שקיפות וזכויות ביקורת. לכן, חברה ישראלית שמוכרת פתרונות AI לשוק בינלאומי צריכה להיערך לא רק לשאלה "האם החוק חל עליי", אלא גם לשאלה "האם אני מסוגלת לעמוד בדרישות הציות שהלקוח יכניס לחוזה".

האם יש פטור לחברות קטנות?

יש הקלות מסוימות (sandbox רגולטורי, דרישות תיעוד מופחתות במקרים נקודתיים), אך האיסורים והעקרונות הבסיסיים חלים על כולם. אין פטור גורף.

מהו סף 10^25 FLOPs ולמה חשוב?

זה הסף שבו מודל מבוסס בינה מלאכותית מוגדר כמודל גנרי בעל "יכולות משמעותיות" (GPAI) והחובות שלו מתרחבות. חברה שבונה מוצר על מודל כזה אינה חייבת בכל החובות - אבל צריכה להציג עמידה בכמה תנאים מקיפים.

מה זה בדיוק סימון CE למערכת AI בסיכון גבוה?

זה סימון תאימות אירופי - אותו סימן שקיים על אלקטרוניקה וצעצועים. לגבי AI, הוא מעיד שהמערכת עברה conformity assessment ועומדת בדרישות. בלעדיו - אסור להשיק את המערכת באיחוד.

כמה זמן לוקח תהליך ציות מלא?

לרוב 9-18 חודשים ממיפוי ועד סימון CE. תלוי בגודל החברה, מורכבות המערכות ומצב התיעוד הקיים.

מה הצעד הראשון המומלץ?

בניית AI Inventory - רשימת כל מערכת AI בארגון. בלי זה, אי אפשר לסווג סיכון, לבחון פערים, או לתכנן ציות. זה השלב הכי חשוב וגם הכי פשוט להתחיל איתו.

מתי ה-EU AI Act נכנס לתוקף?

ה-EU AI Act נכנס לתוקף ב-1.8.2024, עם יישום מדורג: איסורים (Art. 5) ואוריינות AI (Art. 4) 2.2.2025; חובות GPAI החל מ-2.8.2025; מערכות High-Risk (Annex III) החל מ-2.8.2026 (עם צפי לדחייה לדצמבר 2027).

מה ההבדל בין EU AI Act ל-GDPR?

GDPR מתמקד בהגנה על מידע אישי. ה-EU AI Act מתמקד במערכת ה-AI עצמה - הסיכון שלה, האיכות, הביקורת, והתיעוד. שתי המסגרות יכולות לחול בו-זמנית על אותו מוצר. ברוב המקרים צריך לעמוד בשתיהן.

איזה קנס צפוי על הפרת ה-EU AI Act?

הקנסות מדורגים: עד 35 מיליון יורו או 7% מהמחזור העולמי (הגבוה מביניהם) על הפרות חמורות כמו שימוש ב-Unacceptable Risk AI. הפרות קלות יותר - עד 15 מיליון יורו או 3% מהמחזור. אי-שיתוף פעולה עם הרשויות - עד 7.5 מיליון או 1%.

מה זה High-Risk AI System לפי ה-EU AI Act?

מערכת נחשבת High-Risk אם היא משמשת באחד התחומים ב-Annex III - גיוס ו-HR, חינוך והערכה, שירותים פיננסיים, תשתיות קריטיות, אכיפת חוק, ניהול הגירה ועוד. גם אם הפלט של המערכת משפיע על החלטה בעלת השלכה משמעותית על בן אדם, סביר שהיא High-Risk.

איך אני בודק אם המערכת שלי תואמת ל-EU AI Act?

תהליך Gap Analysis: (א) סיווג המערכת בקטגוריית סיכון, (ב) מיפוי מול הדרישות של אותה קטגוריה, (ג) זיהוי פערים (data governance, תיעוד טכני, human oversight robustness), (ד) בניית תוכנית עבודה ליישום.

האם ChatGPT או Claude מחויבים ל-EU AI Act?

כן - אלה מודלים General-Purpose AI (GPAI), ולהם פרק נפרד בחוק. החובות כוללות שקיפות על נתוני האימון, תיעוד טכני, מדיניות זכויות יוצרים, ודיווח על אירועים חמורים. למודלים "בסיכון מערכתי" (כמו GPT-5, Claude Opus וכו') יש חובות מחמירות יותר.

מה זה Annex III של ה-EU AI Act?

Annex III היא הרשימה המפורטת של שמונה תחומים שבהם מערכת AI נחשבת High-Risk: ביומטריה, תשתיות קריטיות, חינוך, תעסוקה, שירותים חיוניים, אכיפת חוק, הגירה, ומינהל משפטי ודמוקרטי. אם המערכת שלי נכנסת לאחד מהם - יש לי עבודה רצינית.

האם ה-EU AI Act נדחה?

בחלק מהסעיפים הייתה דחייה או הקלה בתקופת המעבר, אבל התאריכים העיקריים עומדים בעינם. חשוב לעקוב אחרי פרסומים של ה-European AI Office, שהיא הגוף הממונה על פירוש ואכיפת החוק.

על המחבר

עו"ד עומר ברנדס עוסק במשפט מסחרי, רגולציית פרטיות ובינה מלאכותית. עומר מלווה יזמים, סטארטאפים וחברות טכנולוגיה לאורך מחזור חייהן - מהקמה ועד אקזיט - בדגש על הטמעת תהליכי פרטיות, אבטחת מידע ושימוש אחראי בטכנולוגיות AI.

עו"ד ברנדס בעל הסמכת CIPP/E של ארגון IAPP ובוגר קורס DPO באוניברסיטת תל אביב. הוא שותף בחברת הייעוץ Data Protection Matters ושותף וראש תחום בינה מלאכותית אחראית ב-NextGen Solutions.

בנוסף, הוא מייסד-שותף של עמותת JustLaw Israel, הפועלת לקידום נגישות לצדק באמצעות טכנולוגיה.