סעיף 50 ל-AI Act: מדריך יישום לחובת השקיפות

סעיף 50 ל-AI Act (תקנה (EU) 2024/1689) הוא הסעיף שקובע חובות שקיפות על מערכות בינה מלאכותית שמתקשרות עם בני אדם או מייצרות תוכן סינתטי. הוא חל מ-2 באוגוסט 2026, הוא לא נדחה במסגרת ה-Digital Omnibus, וההפרה שלו נושאת עיצום כספי של עד 15 מיליון יורו או 3% מהמחזור הגלובלי השנתי, לפי הגבוה.

ב-20 ביולי 2026, פחות משבועיים לפני מועד התחולה, אימצה הנציבות האירופית את הנוסח הסופי של ההנחיות ליישום סעיף 50. ההנחיות האלה הן מה שהופך את הסעיף מכלל מופשט לרשימת דרישות שאפשר לבדוק מולה מוצר. המאמר הזה עובר עליהן בפירוט, ומתמקד בנקודות שבהן חברות נופלות בפועל.

מה בדיוק דורש סעיף 50

סעיף 50 מטיל ארבע חובות נפרדות, וכל אחת מהן מוטלת על גורם אחר בשרשרת. זו ההבחנה הראשונה שחשוב לעשות, כי חברה אחת יכולה לשאת בכולן בו-זמנית.

  1. סעיף 50(1), גילוי אינטראקציה, חובת הספק: מערכת שמתקשרת ישירות עם בני אדם חייבת ליידע אותם שהם מדברים עם AI, אלא אם זה מובן מאליו.
  2. סעיף 50(2), סימון תוכן סינתטי, חובת הספק: פלט של מערכת שמייצרת אודיו, תמונה, וידאו או טקסט חייב להיות מסומן בפורמט קריא-מכונה כתוכן שנוצר או עובד באופן מלאכותי.
  3. סעיף 50(3), זיהוי רגשות וסיווג ביומטרי, חובת המפעיל: מי שמפעיל מערכת כזו חייב ליידע את האנשים שחשופים לה על עצם הפעלתה.
  4. סעיף 50(4), דיפ-פייק וטקסט בענייני ציבור, חובת המפעיל: מי שמפרסם דיפ-פייק, או טקסט שנוצר ב-AI ומיועד ליידע את הציבור בעניין בעל עניין ציבורי, חייב לתייג אותו בגילוי שאדם יכול לראות.

ההנחיות הסופיות מוסיפות דוגמה שממחישה למה ההבחנה הזו חשובה: צ׳אטבוט שמייצר תמונות יכול להיות כפוף לסעיפים 50(1), 50(2) ו-50(4) בו-זמנית, על אותה מערכת אחת.

ספק או מפעיל? כמעט תמיד שניהם

ספק (provider) הוא מי שמפתח מערכת AI, או מזמין את פיתוחה, ומשווק אותה בשוק האירופי או מפעיל אותה תחת שמו או סימנו המסחרי. מפעיל (deployer) הוא מי שמשתמש במערכת AI תחת סמכותו במסגרת פעילות מקצועית.

הטעות הנפוצה אצל חברות SaaS ישראליות היא להניח שהן רק מפעילות. חברה שבונה פיצ׳ר על גבי מודל של ספק חיצוני, ומשווקת אותו ללקוחות תחת המותג שלה, היא ספק של המערכת שלה לכל דבר. במקביל, כשאותה חברה משתמשת ב-AI כדי לייצר תוכן שיווקי שהיא מפרסמת, היא מפעיל. שתי החובות חלות עליה, והן שונות זו מזו.

שתי הבהרות נוספות בהנחיות הסופיות שכדאי להכיר. ראשית, החוק חל גם על ספק מחוץ לאיחוד שהפלט של מערכתו משמש באיחוד, אבל שימוש נגזר מקרי, בלתי צפוי או בלתי מורשה באיחוד לא מפעיל את החובות אוטומטית. שנית, מערכת בקוד פתוח כפופה לסעיף 50, אבל רכיבים בקוד פתוח שאינם מערכת שלמה (ספריות, נתונים, מודלים, כלים) נמצאים מחוץ לתחולה.

צ׳אטבוט באתר: מה נחשב גילוי תקין לפי סעיף 50(1)

החובה קמה כאשר מתקיימים ארבעה תנאים מצטברים: המערכת היא מערכת AI, היא מיועדת לחילופי דברים דו-כיווניים אמיתיים ולא רק לאיסוף נתונים, האינטראקציה ישירה, והצד השני הוא אדם. מערכות שפועלות ברקע בלבד, בתקשורת בין מכונות, נמצאות מחוץ לתחולה.

העיתוי קבוע: היידוע חייב להינתן מתחילת האינטראקציה הראשונה, באופן ברור וניתן להבחנה. באנר קטן בתחתית העמוד, או משפט שמופיע רק אחרי שהמשתמש כבר שאל שאלה, לא עומדים בדרישה.

החריג של "מובן מאליו" הוא המקום שבו הכי הרבה חברות טועות. ההנחיות קובעות שיש לפרש אותו בצמצום, ולבחון אותו לפי אדם ממוצע, מיודע באופן סביר, זהיר וקשוב. השם "AI Assistant" על גבי חלון הצ׳אט אינו מספיק כשלעצמו. ההנחה שהמשתמש "ודאי מבין" היא הנחה שצריך להוכיח, לא לקבוע.

בסוכני AI ההנחיות הסופיות הרחיבו משמעותית. סוכן חייב לגלות לא רק את היותו מלאכותי, אלא גם את זהות הגורם שמפעיל אותו. בארכיטקטורות רב-סוכניות, שבהן סוכן אחד פונה לאחר בשם המשתמש, הדרישה נשמרת לאורך השרשרת. מי שבונה היום סוכנים שמתקשרים עם ספקים, לקוחות או מועמדים, צריך לתכנן את זה לתוך הפרוטוקול ולא להוסיף אותו בסוף.

סימון תוכן סינתטי לפי סעיף 50(2): מה חייב, ומה יצא מהתחולה

הספק חייב להטמיע סימון קריא-מכונה שהוא אפקטיבי, אמין, עמיד וניתן לתפעול הדדי, כך שניתן יהיה לזהות שהתוכן נוצר או עובד באופן מלאכותי. זו חובה טכנית, לא חובת ניסוח, והיא מוטלת על הספק גם אם המשתמש לעולם לא יראה את הסימון.

ההנחיות הסופיות הרחיבו את רשימת הפלטים שאינם דורשים סימון:

קיים גם חריג לפונקציה מסייעת לעריכה סטנדרטית. תיקון ניסוח או שיפור נוסח של טקסט שהאדם כתב אינו מפעיל את חובת הסימון. יצירה של הטקסט עצמו מפעילה אותה.

הפטור העסקי (B2B) הוא נקודה שמפרשים אותה בטעות כרחבה. ההנחיות דורשות שלושה תנאים מצטברים: הפלט אינו מיועד לשיתוף חיצוני, השימוש מתבצע בסביבה מבוקרת, וקיימים אמצעי הגנה מפני שימוש לרעה צפוי (בידוד סביבות בענן, הרשאות מבוססות תפקיד). מערכות שפונות לציבור או לצרכנים מוחרגות מהפטור במפורש.

שני תאריכים שכדאי לרשום ביומן

2 בדצמבר 2026: מערכות שהוצבו בשוק לפני 2 באוגוסט 2026 נהנות מחלון חסד מוגבל לעמידה בחובת הסימון לפי סעיף 50(2). מערכת חדשה שעולה לאוויר היום אינה נהנית ממנו.

2 בפברואר 2027: המועד שנקבע ב-Code of Practice למימוש פתרון בר-תפעול-הדדי לזיהוי סימונים, על בסיס תקנים תעשייתיים זמינים לציבור.

תוכן שנוצר לפני 2 באוגוסט 2026 אינו טעון תיוג רטרואקטיבי. אבל שימו לב להבחנה: בדיפ-פייק חזותי או קולי התאריך הקובע הוא מועד היצירה, ואילו בטקסט בענייני ציבור התאריך הקובע הוא מועד הפרסום. טקסט שנוצר ביולי ופורסם בספטמבר חייב בתיוג.

דיפ-פייק וטקסט בענייני ציבור לפי סעיף 50(4)

דיפ-פייק מוגדר לפי שלושה קריטריונים מצטברים: דמיון לאדם, חפץ, מקום, ישות או אירוע קיימים; הנושא קיים או יכול היה להתקיים באופן סביר; והתוכן נראה אותנטי או אמיתי למי שנחשף אליו. ההנחיות מבהירות שגם דמות פוטוריאליסטית מומצאת נכנסת להגדרה. אפקטים מיוחדים בקולנוע בדרך כלל אינם דיפ-פייק, אבל שחקן שנוצר ב-AI כן מחייב גילוי.

כאן נמצאת נקודת הכשל הטכנית הנפוצה ביותר: מפעיל אינו יכול להסתמך על הסימון הקריא-מכונה שהספק הטמיע בתוכן. סעיף 50(2) והסימון שלו נועדו למכונות. סעיף 50(4) דורש תיוג שאדם רואה ומבין. אלה שתי שכבות נפרדות, ומי שיישם רק את הראשונה לא עמד בשנייה.

לצורך התיוג הנראה לעין פרסמה הנציבות סט אייקונים רשמי, שהאלמנט המרכזי בו הוא ראשי התיבות AI. הסט כולל ארבע וריאציות צבע ושתי גרסאות מסומנות, "Fully AI-Generated" ו-"Partially AI-Modified", בפורמטים SVG ו-PNG. השימוש חופשי וללא צורך בייחוס, והאייקונים עברו בדיקות משתמשים בכמה מדינות חברות. השימוש בהם אינו חובה, אבל חובת התיוג עצמה כן.

חריג הסקירה האנושית אינו הגהה

טקסט שפורסם ועבר סקירה אנושית או בקרה עריכתית פטור מתיוג. הפטור הזה נשמע רחב, וההנחיות מצמצמות אותו בחדות. סקירה אנושית מחייבת בחינה מכוונת של המהות של התוכן, בידי אדם בעל ידע רלוונטי ושיקול דעת מקצועי. בקרה עריכתית מחייבת גורם שמפעיל בפועל סמכות לאשר, לשנות או לדחות את מהות התוכן, ונושא באחריות משפטית סופית לפרסום. בדיקות שטחיות, פורמליות או פרוצדורליות, כמו בדיקת איות או תיקון דקדוק, אינן עומדות בדרישה.

המשמעות המעשית לגבי צוות שיווק שמייצר פוסטים ב-AI: מי שרק מריץ בדיקת ניסוח לפני פרסום לא נכנס לפטור. מי שמינה עורך אחראי, עם תיעוד של תהליך האישור, כן.

חריג היצירה האמנותית מפורש בצמצום

לתוכן אמנותי, יצירתי, סאטירי או בדיוני נדרש גילוי מותאם שאינו פוגע בהצגה או בהנאה מהיצירה. ההנחיות קובעות שיש לפרש את החריג הזה בצמצום. תוכן שהוא בעל אופי אינפורמטיבי או מסחרי בלבד אינו נהנה ממנו, וכאשר מתקיימים יחד מאפיינים אינפורמטיביים ויצירתיים, האופי האינפורמטיבי גובר תמיד. פרסומת יכולה להיחשב "יצירתית באופן ניכר" רק במצבים ספציפיים, וכל דוגמאות הפרסום שההנחיות מביאות מחייבות תיוג רגיל.

גילוי אחד בהתחלה לא תמיד מספיק

ההנחיות הסופיות הרחיבו עיקרון שהופיע קודם רק לגבי שידורים חיים. כאשר ייתכן שאנשים לא ייחשפו לתוכן מתחילתו, גילוי בודד בפתיחה אינו מספיק, והוא צריך לחזור בנקודות מאוחרות יותר. זה רלוונטי במיוחד לאודיו שמושמע ברקע ולהקשרים שבהם המשתמש אינו מסתכל על המסך.

האם כדאי לחתום על ה-Code of Practice

ה-Code of Practice on Transparency of AI-generated Content פורסם ב-10 ביוני 2026. ב-8 וב-9 ביולי 2026 קבעו הנציבות והמועצה לענייני AI כי הוא הולם ליישום מעשי של סעיפים 50(2), 50(4) ו-50(5). עד סוף יולי 2026 חתמו עליו כ-190 ארגונים.

הקוד בנוי משני חלקים שאפשר לחתום עליהם בנפרד, אך לא לבחור מתוכם התחייבויות בודדות. חלק 1 מיועד לספקים, וחלק 2 למפעילים. ארגון שהוא גם ספק וגם מפעיל אמור לחתום על שניהם.

בצד הטכני, החלק של הספקים מציע שלושה מנגנוני סימון: מטא-דאטה חתומה דיגיטלית עם חותמת זמן (המנגנון שבפועל מיושם היום בתקן C2PA), סימן מים בלתי מורגש, וטביעת אצבע מבוססת רישום כאפשרות רשות. נוספת לכך התחייבות לא להסיר או לשנות סימונים קיימים כשתוכן מסומן משמש כקלט לעיבוד נוסף, לרבות איסור מתאים בתנאי השימוש, והתחייבות להעמיד כלי זיהוי שמאפשרים אימות ציבורי.

מה חתימה נותנת בפועל: אכיפה עתידית מול חתומים תתמקד בניטור עמידה בקוד, רשויות רשאיות להתחשב בחתימה כשיקול מקל בקביעת עיצום, והנטל להוכיח ציות באמצעים אחרים יורד. מי שלא חותם אינו מפר בכך את החוק, אך צפוי למספר גדול יותר של דרישות מידע מרשויות פיקוח השוק, ויצטרך להוכיח ציות בדרך עצמאית. המועד להיכלל ברשימת החותמים הראשונית חלף ב-27 ביולי 2026, אבל אפשר לחתום גם אחריו.

חמש נקודות הכשל שאנחנו רואים בפועל

  1. הנחה שסימון קריא-מכונה סוגר גם את חובת התיוג. אלה שתי חובות נפרדות, על שני גורמים שונים, לשני קהלים שונים.
  2. הסתמכות על חריג "מובן מאליו" בצ׳אטבוט. החריג מפורש בצמצום, והנטל על מי שמסתמך עליו.
  3. קריאה רחבה של הפטור העסקי. שלושה תנאים מצטברים, ומערכות שפונות לצרכנים מוחרגות במפורש.
  4. הגדרת "סקירה אנושית" כהגהה. נדרשת בחינה מהותית עם אחריות עריכתית מתועדת, לא בדיקת איות.
  5. הנחה שאין חשיפה כי אין פעילות ממוקדת באירופה. פרסום דיפ-פייק באינטרנט הגלובלי עשוי להפעיל את סעיף 50(4) אם התוכן משמש באיחוד, גם ללא טירגוט מכוון, אלא אם מיושם חסימה גיאוגרפית.

נקודה נוספת שנוספה בנוסח הסופי וקל לפספס: ההנחיות קושרות במפורש את חובת אוריינות ה-AI שבסעיף 4 לחובות סעיף 50. ספקים ומפעילים נדרשים להבטיח אוריינות מספקת בקרב העובדים המעורבים ביישום השקיפות. במילים אחרות, נדרש תיעוד של הדרכה, לא רק של מוצר.

מה לעשות ב-30 הימים הקרובים

  1. מפו כל נקודת מגע. כל צ׳אטבוט, סוכן, פיצ׳ר יצירת תוכן וכל שימוש פנימי ב-AI לייצור חומר שמתפרסם החוצה.
  2. קבעו לכל נקודה את התפקיד ואת הסעיף. ספק או מפעיל, ואיזו מארבע החובות חלה. חלק מהנקודות יקבלו יותר מאחת.
  3. בדקו את שכבת התיוג הנראית לעין בנפרד מהשכבה הטכנית. זו הבדיקה שהכי הרבה חברות מדלגות עליה.
  4. הגדירו את תהליך הסקירה האנושית בכתב. מי העורך האחראי, מה נבדק, ואיפה זה מתועד.
  5. בדקו מערכות ותיקות מול 2 בדצמבר 2026. חלון החסד קיים רק למערכות שהוצבו בשוק לפני 2 באוגוסט 2026, והוא נסגר בעוד פחות מארבעה חודשים.
  6. החליטו לגבי חתימה על ה-Code of Practice ותעדו את ההחלטה ואת נימוקיה, בין אם חתמתם ובין אם לא.

שאלות נפוצות

מתי חל סעיף 50 ל-AI Act?

מ-2 באוגוסט 2026. ה-Digital Omnibus דחה את חובות הסיכון הגבוה לדצמבר 2027 ולאוגוסט 2028, אך לא דחה את חובות השקיפות של סעיף 50. למערכות שהוצבו בשוק לפני 2 באוגוסט 2026 קיים חלון חסד מוגבל עד 2 בדצמבר 2026, ורק לגבי חובת הסימון בסעיף 50(2).

מה גובה הקנס על הפרת סעיף 50?

עד 15 מיליון יורו או 3% מהמחזור הגלובלי השנתי, לפי הגבוה. זה שיעור נמוך מהתקרה של 35 מיליון יורו או 7%, שחלה על הפרת איסורי הפרקטיקות האסורות בסעיף 5. לעסקים קטנים ובינוניים נקבעה התחשבות במידתיות.

האם סעיף 50 חל על חברה ישראלית בלי נוכחות באירופה?

כן, אם הפלט של המערכת משמש באיחוד האירופי. ההנחיות הסופיות מצמצמות זאת במקצת: שימוש נגזר מקרי, בלתי צפוי או בלתי מורשה אינו מפעיל את החובות אוטומטית. לגבי דיפ-פייק, פרסום באינטרנט הגלובלי עשוי להיכנס לתחולה גם ללא טירגוט מכוון של קהל אירופי.

האם מספיק לכתוב "AI Assistant" בחלון הצ׳אט?

לא בהכרח. חריג "מובן מאליו" מפורש בצמצום ונבחן לפי אדם ממוצע, מיודע באופן סביר, זהיר וקשוב. הגילוי צריך להינתן באופן ברור וניתן להבחנה מתחילת האינטראקציה הראשונה. שם המוצר לבדו אינו נחשב גילוי.

אם הספק שלנו כבר מסמן את התוכן, האם אנחנו פטורים?

לא. הסימון הקריא-מכונה שהספק מטמיע נועד לזיהוי אוטומטי לפי סעיף 50(2). מפעיל שמפרסם דיפ-פייק או טקסט בענייני ציבור חייב בנוסף לכך בתיוג שנתפס בעין אנושית, לפי סעיף 50(4), לכל המאוחר במועד החשיפה הראשונה.

האם חייבים לחתום על ה-Code of Practice?

לא. החתימה וולונטרית ואי-חתימה אינה הפרה. אבל חתימה מספקת מסגרת מוכרת להוכחת ציות, מובאת בחשבון כשיקול מקל, וממקדת את הפיקוח בניטור עמידה בקוד. מי שלא חותם צפוי ליותר דרישות מידע מרשויות פיקוח השוק ונדרש להוכיח ציות בדרך עצמאית.