ריאיון
"במקרה של מערכת AI אסורה - יש להפסיק את השימוש בה מיד"
מחר ייכנסו לתוקף שלבים חדשים ברגולציית ה-AI של האיחוד האירופי, שיחייבו גם חברות ישראליות שעובדות עם לקוחות באירופה. עו"ד ד"ר פיליפ רדלנסקי, מומחה לקניין רוחני וטכנולוגיה, מסביר מה צריך לעשות עכשיו, ומזהיר שגם משתמש רגיל במק כבר חשוף לרגולציה
מחר (שבת, 2 באוגוסט) ייכנס לתוקף שלב משמעותי ברגולציית הבינה המלאכותית של האיחוד האירופי, שיחייב גם חברות ישראליות שעובדות עם לקוחות באירופה לפתח "אוריינות AI" ולעמוד בדרישות שקיפות חדשות. החוק, שמגדיר "מערכת בינה מלאכותית" בצורה רחבה במיוחד, יחול על כל סטארט-אפ או חברה שמשתמשת בכלים כמו ChatGPT או אפילו במחשב מק עם הגרסה העדכנית של macOS. "הרגולטורים לא באים רק לקנוס, הם באים לעזור", מרגיע עו"ד ד"ר פיליפ רדלנסקי, שותף בפירמת עורכי הדין הגלובלית GreenbergTraurig שמתמחה בקניין רוחני וטכנולוגיה, אך מזהיר: "מי שלא יפעל עכשיו עלול לגלות שהלקוחות האירופיים שלו יעדיפו לעבור לספק אחר שכן עומד בדרישות".
ב-2 באוגוסט ייכנס לתוקף שלב נוסף ברגולציית ה-AI המקיפה של האיחוד האירופי. מה בדיוק יקרה ביום שבת?
"חוק ה-AI של האיחוד האירופי כבר נכנס לתוקף, הוא נכנס לתוקף כבר בשנה שעברה. אבל הם אמרו שיהיו 'דליים' שונים של חובות שייכנסו לתוקף בשלבים. החוק הועבר באוגוסט שעבר, והוא ייכנס לתוקף מלא באוגוסט 2026. חשוב להבין שהמונח 'מערכת בינה מלאכותית' (AI system) מוגדר בצורה מאוד רחבה. זה בעצם כל שימוש בתוכנה שמקבלת החלטות כלשהן, כאשר התוצאה אינה תמיד זהה. אם אתה משתמש, למשל, בוורד של מיקרוסופט, זה לא נחשב ל-AI, אבל אם יש בתוכנה רכיב שיוצר משהו, מקבל החלטות עבורך או מעריך משהו, זה ייחשב ל-AI".
"לא כל מערכת AI בעייתית באותה מידה. וכשההגדרה כל כך רחבה, צריך סוג של סיווג. הרגולציה יוצרת פירמידת סיכון. בראש הפירמידה נמצאות המערכות האסורות. אלו מערכות בינה מלאכותית שנאסרות לשימוש לחלוטין כי הן מסוכנות מדי. איסור השימוש נכנס לתוקף בפברואר השנה, הקנסות בגין שימוש במערכות אלו ייכנסו לתוקף ביום שבת. הדלי השני הוא מערכות AI בסיכון גבוה. עבורן יש שורת חובות, כי הן עלולות להיות מסוכנות, תלוי בהקשר. אבל כל זה יהפוך לרלוונטי רק באוגוסט 2026. אז כרגע לא צריך להתמקד בזה יותר מדי".
"מה שכן חשוב ל-2 באוגוסט זה הנושא של מערכות בינה מלאכותית כלליות (General Purpose AI). זה נושא שנכנס לחוק די מאוחר, כי תוך כדי העבודה על החוק, צצו מערכות כמו ChatGPT. עד אז הסתכלו על מערכות AI שנועדו למטרה ספציפית וקל יותר לסווג אותן: האם הן מסוכנות, האם הן בסיכון גבוה. אבל מערכות כלליות יכולות לשמש למטרות רבות. לכן הגישה של 'מטרה אחת' לא מתאימה כאן. כל החובות שקשורות בפרק הזה נכנסות לתוקף ביום שבת. כאן בדיוק סטארטאפים רבים נכנסים לתחולה של החוק, כי הם משתמשים במערכות AI כלליות".
מה הרגולציות הספציפיות שנכנסות לתוקף ב-2 באוגוסט ושרלוונטיות לסטארט-אפים ולחברות קטנות?
"אם אתה סטארט-אפ שמפתח מערכות AI כלליות, אתה בעצמך מפתח טכנולוגיית AI, אתה נחשב ספק ועליך לעמוד בשורה של חובות: שקיפות לגבי מה המערכת עושה, איך היא אומנה, מה נכנס לתוכה, איך האלגוריתם עובד, ועוד. ממש כמו שמכשיר חשמלי מגיע עם עלון קטן, כך גם מצופה מספקים לספק מידע ברור".
"רוב הסטארט-אפים לא מפתחים את ה-AI בעצמם אלא רק משתמשים בה, אבל גם להם יש חובות בחוק. למשל, אם סטארט-אפ משתמש במערכת AI כללית ומשנה אותה בצורה מהותית הוא עצמו נחשב לספק. אם הוא רק משתמש בה כמו שהיא הוא נחשב למשתמש, והוא מחויב לוודא שהפלט שיוצרת המערכת מסומן ככזה שנוצר ב-AI. מדובר בדרישות שקיפות".
מבחינת צעדים מעשיים, מה חברות צריכות לעשות עכשיו, או מיד לאחר 2 באוגוסט, אם הן עוד לא נערכו?
"הצעד הראשון הוא להכין רשימה של כל מערכות ה-AI שאתה משתמש בהן. צריך לדעת מה יש לך. אחר כך, צריך לסווג כל מערכת: האם מדובר במערכת כללית? האם יש לה סיכון?"
מה שאתה אומר כבר מעניין ומורכב. איך בכלל מגדירים מערכת AI? גם כשאני משתמש באימייל, או באפליקציה, או בתוכנת דואר על המק, המערכת משתמשת ב-AI.
"שאלה טובה. החוק מחייב בעצם שכל חברה תפתח אוריינות AI כלשהי, תדריך את העובדים ואולי גם תמנה אחראי AI. בחוק יש הגדרה רחבה מאוד ל'מערכת AI': מערכת מבוססת מכונה, שפועלת ברמות אוטונומיה שונות, ויכולה להתאים את התנהגותה. זו הגדרה מאוד רחבה. ואם אתה משתמש במחשב אישי שמריץ את הגרסה העדכנית של macOS, כנראה שכבר מובנה בו AI".
אז הצעד הראשון הוא: קטלוג מערכות ה-AI. מה הלאה?
"אחר כך צריך לבדוק לאיזה דלי כל מערכת נכנסת. האם היא מערכת כללית? עם סיכון מערכתי? סיכון גבוה? אסורה לחלוטין? במקרה של מערכת אסורה יש להפסיק את השימוש בה מיד. אבל לפני שמחליטים החלטות דרמטיות כאלה, כדאי להתייעץ משפטית, לוודא שהסיווג נכון. אם יש מערכת בסיכון גבוה, עכשיו הזמן לבדוק את החובות, כדי שבשנה הבאה תהיה מוכן. אם אתה משתמש במערכת AI כללית, רצוי היה להתחיל קודם, אבל עדיף מאוחר מאשר אף פעם. אף פעם לא מאוחר לעשות את הדבר הנכון. גם אם חברה מתעוררת עכשיו או בעוד כמה חודשים, תמיד טוב לפעול. אם אתה כבר פועל, גם אם עוד לא הגעת ל-100%, זה נראה הרבה יותר טוב בעיני הרגולטור. הרגולטורים לא באים רק לקנוס, הם באים לעזור. מי שפועל בכיוון הנכון יזכה לשיתוף פעולה".
איך אפשר לוודא שהמערכת שלך עומדת בדרישות החוק?
"אם אתה רק משתמש, אתה יכול לפנות לספק ולבקש תיעוד: איך היא עובדת, מה היא עושה. רוב הספקים המקצועיים ערוכים לכך. אם אתה הספק, אתה חייב לדעת מה יש בתוך המערכת שלך. מי שקונה מודל AI, משנה אותו קצת ומוכר אותו הלאה בלי לדעת מה יש בתוכו, זה בעייתי. כל התהליכים האלה הם פנימיים, או מול הספק".
מה לגבי פיקוח? איך האיחוד יבדוק עמידה ברגולציה?
"כל מדינה באיחוד צריכה למנות רשות פיקוח ל-AI עד יום שבת. כמו ב-GDPR, גם כאן יש תחולה חוץ-טריטוריאלית: גם חברות שלא פועלות פיזית באיחוד חייבות לעמוד בדרישות חוק אם יש להן לקוחות באירופה, או אפילו אם הפלט שלהן משמש באירופה. אכן קשה לאכוף את החוק על מי שנמצא מחוץ לסמכות הרשויות, ולכן האכיפה מתמקדת במי שיש לו נוכחות באירופה".
אז חברות בישראל, גם אם הן לא עומדות בדרישות, יש להן יותר שקט רגולטורי?
"אולי, אבל אז הבעיה היא עסקית. הלקוחות באירופה יידרשו לעמוד בחוק. כי אם הם עובדים עם ספק ישראלי שלא עומד בדרישות, זה הופך לבעיה שלהם. הם יעדיפו לעבור לספק שכן עומד בדרישות. חברות באירופה יתחילו לבדוק את הספקים שלהן עם שאלונים, לוודא עמידה בחוק".
מה דעתך על ההשפעה של החוק? מצד אחד, האיחוד טוען שהוא מגן על המשתמשים. מצד שני, מבקרים טוענים שהוא פוגע בחדשנות ומסיג את אירופה לאחור.
"איך אומרים: ארה"ב מחדשת, סין מחקה, אירופה מאסדרת. כאירופאי, אני מבין את הרצון לאסדר את התחום. החוק עבר תהליך יסודי, והפיקו הרבה לקחים מ-GDPR. יש ניסיון להיות ניטרלי מבחינה טכנולוגית ולהתמקד בסיכונים ולא בטכנולוגיה עצמה. אבל רגולציה דורשת משאבים, זמן, כוח אדם, שיכלו לשמש לדברים אחרים. כעו"ד, אני כמובן בעד עמידה בחוק, אז אני תומך בזה".
יש בחוק נקודות עיוורון או כשלים?
"אם לא היו מכניסים את הנושא של מערכות AI כלליות ברגע האחרון, זו הייתה נקודת עיוורון גדולה. למזלנו הם הספיקו להכניס את זה, אבל זה נעשה ממש בדקה ה-90. נקווה שזה יספיק. אנחנו נראה בשנים הקרובות אם זה עמד במבחן הזמן, במיוחד ככל שמודלים כלליים הופכים חזקים יותר".
