AI Act — מה חברות SaaS חייבות לדעת לפני שמאוחר מדי

רגולציית ה-AI של האיחוד האירופי נכנסת לתוקף בשלבים. הנה מה שחברות ישראליות שמוכרות לשוק האירופי צריכות לעשות כבר עכשיו.

חוק הבינה המלאכותית של האיחוד האירופי (EU AI Act) הוא הרגולציה הרוחבית הראשונה בעולם על מערכות AI. הוא לא נוגע רק לחברות אירופיות: הוא חל על כל מי שמציע מערכת AI בשוק האירופי או שתוצרי המערכת שלו נצרכים באירופה — גם אם החברה יושבת כולה בישראל. עבור חברות SaaS שמוכרות ללקוחות באירופה, זו לא שאלה תיאורטית.

למי זה נוגע — ולמה גם לכם

הרגולציה חלה על ספקים (מי שמפתח או משווק מערכת AI תחת שמו), על מטמיעים (deployers) שמשתמשים במערכת במסגרת פעילותם, וגם על גורמים מחוץ לאיחוד שתוצרי המערכת שלהם משמשים באירופה. אם המוצר שלכם כולל רכיב AI — המלצות, ניקוד, סינון מועמדים, צ’אטבוט, ניתוח טקסט — סביר שאתם בתוך תחולת החוק.

ארבע רמות סיכון

ה-AI Act ממיין מערכות לפי סיכון, וההשלכות נגזרות מהרמה:

• סיכון בלתי מקובל — שימושים אסורים (למשל ניקוד חברתי או מניפולציה התנהגותית). פשוט אסורים.
• סיכון גבוה — מערכות בתחומים רגישים (גיוס עובדים, אשראי, ביומטריה). חובות כבדות: ניהול סיכונים, איכות נתונים, תיעוד, פיקוח אנושי ובקרת איכות.
• סיכון מוגבל — חובות שקיפות (למשל ליידע שמשתמשים מדברים עם מערכת AI, וסימון תוכן שנוצר במכונה).
• סיכון מינימלי — רוב היישומים. אין חובות ייעודיות, אך מומלץ לאמץ קוד התנהגות.

לוח הזמנים — מה כבר בתוקף

החוק נכנס לתוקף בהדרגה, ולכן חשוב לדעת מה כבר רלוונטי היום:

• האיסורים על שימושים בלתי מקובלים — כבר בתוקף.
• חובות עבור מודלים כלליים (GPAI) — נכנסו לתוקף ב-2025.
• חובות השקיפות לפי סעיף 50 חלות מ-2 באוגוסט 2026, וחובות הסיכון הגבוה נדחו לדצמבר 2027 (נספח III) ולאוגוסט 2028 (נספח I).

הפער הזה בין התאריכים הוא בדיוק החלון שבו כדאי להתארגן — לפני שהחובות הכבדות הופכות מחייבות.

מה חברת SaaS צריכה לעשות עכשיו

• מיפוי — לזהות אילו רכיבי AI יש במוצר ובתהליכים הפנימיים, כולל כלים של ספקי צד שלישי.
• סיווג סיכון — למקם כל מערכת באחת מארבע הרמות, כי משם נגזרות החובות.
• ממשל ותיעוד — להקים מסגרת ניהול סיכוני AI. תקן ISO/IEC 42001 הוא נקודת פתיחה מצוינת.
• סעיפים חוזיים — להסדיר אחריות, שקיפות ושיפוי מול ספקי ה-AI שלכם, ומנגד מול הלקוחות שמטמיעים את המוצר שלכם.

החיבור ל-GDPR ולדין הישראלי

ה-AI Act לא מחליף את ה-GDPR אלא מצטרף אליו: רוב מערכות ה-AI מעבדות מידע אישי, כך שצריך לעמוד בשני הצירים במקביל. גם בישראל, תיקון 13 לחוק הגנת הפרטיות והנחיות הרשות מחדדים את חובות הארגון. חברה שבונה ממשל פרטיות וממשל AI יחד — חוסכת עבודה כפולה ומפחיתה חשיפה.

העלות של היערכות מסודרת היום קטנה בהרבה מהעלות של תיקון רטרואקטיבי תחת לחץ רגולטורי או דרישת לקוח.

בשורה התחתונה: ה-AI Act הוא לא רק סיכון לניהול אלא גם יתרון מכירתי. חברה שיכולה להראות ללקוח אירופי שהיא ערוכה — מקצרת תהליכי רכש ובונה אמון. זה בדיוק המקום שבו ליווי משפטי-רגולטורי עסקי עושה את ההבדל.

שאלות נפוצות

האם ה-AI Act חל על חברה ישראלית בלי משרד באירופה?

כן. החוק חל גם על ספקים ומטמיעים מחוץ לאיחוד אם המערכת מוצעת בשוק האירופי או שתוצריה נצרכים באירופה. מיקום החברה אינו פוטר מתחולה.

מאיזה תאריך צריך לעמוד בחובות?

בהדרגה. האיסורים על שימושים בלתי מקובלים כבר בתוקף, חובות המודלים הכלליים נכנסו ב-2025, חובות השקיפות לפי סעיף 50 חלות מ-2 באוגוסט 2026, וחובות הסיכון הגבוה נדחו לדצמבר 2027 ולאוגוסט 2028.

מה הצעד הראשון המעשי?

מיפוי רכיבי ה-AI במוצר ובתהליכים, ואז סיווג כל מערכת לרמת סיכון. משם נגזרות החובות הקונקרטיות והתעדוף.