כשסוכן ה-AI טועה, מי משלם? מדריך אחריות למייסדי סטארטאפים

בישראל אין היום חוק ייעודי לאחריות על פעולות סוכני AI. כל טעות של סוכן שהטמעתם, מהחזר כספי שגוי ועד מחיקת נתונים, נבחנת לפי דיני הנזיקין, החוזים והשליחות הרגילים. הנה מה שמייסדים צריכים לדעת לפני שהסוכן פועל בשמם.

סוכן AI שעונה ללקוחות, מאשר החזרים, שולח הצעות מחיר, או מתקן קוד ומעלה אותו לפרודקשן, כבר לא ניסוי. הוא חלק מהתפעול השוטף של הרבה סטארטאפים ישראלים. השאלה שרוב המייסדים עוד לא שאלו: מה קורה כשהוא טועה? מי מחזיק בתוצאה, מבחינה משפטית, כשהסוכן שהטמעתם מבצע פעולה שאתם לא הייתם עושים בעצמכם?

בישראל אין חוק AI, אז לאן פונים?

התשובה הקצרה: לדינים הרגילים. בישראל, כמו ברוב העולם, אין היום חקיקה ייעודית שקובעת מי אחראי כשסוכן בינה מלאכותית גורם נזק. המשמעות היא שתביעה נגד חברה שהטמיעה סוכן AI תתבסס על אותם כלים משפטיים שהיו קיימים עוד לפני שה-AI הומצא: פקודת הנזיקין (התרשלות, מצג רשלני), דיני החוזים (הפרה, אי-קיום), ודיני השליחות (מתי מעשה של "שלוח", ולענייננו, של הסוכן, מחייב את "השולח", כלומר את החברה). גם בארה"ב, שבה הדיון הציבורי מתקדם יותר, אין חקיקה פדרלית ייעודית; מדינות בודדות, קליפורניה למשל, כבר חוקקו הוראות שמונעות במפורש מחברות לטעון להגנה על בסיס "ה-AI פעל באופן אוטונומי". בישראל טרם ראינו מהלך דומה, אבל זה לא אומר שאין אחריות, זה אומר שהיא נבחנת לפי כללים ישנים על מציאות חדשה.

ארבע דרכים שבהן סוכן AI "מסתבך", ומי עומד בנעליים

לא כל טעות של סוכן זהה מבחינה משפטית. שווה להבחין בין ארבעה תרחישים, כי לכל אחד יש ניתוח משפטי שונה:

• ביצוע נאמן של הוראה גרועה. הסוכן עשה בדיוק מה שביקשתם, אבל ההוראה עצמה הייתה רשלנית או רחבה מדי (למשל: "אשר כל בקשת החזר מתחת ל-500 ₪ באופן אוטומטי", בלי בדיקת ריבוי בקשות מאותו לקוח). כאן האחריות פשוטה יחסית, זו רשלנות "רגילה" בעיצוב התהליך, בדיוק כאילו עובד אנושי פעל לפי נוהל עבודה גרוע.
• הסקה שחורגת מההוראה. הסוכן זוכר הקשר ומקבל החלטות שלא נתבקש עליהן במפורש, למשל הצעת הנחה שלא אושרה כי "הבין" שהלקוח על סף נטישה. כאן נכנסת שאלת המצג כלפי צד שלישי: לפי דיני השליחות, אם לקוח האמין באופן סביר שלסוכן יש סמכות לפעול כך בשם החברה, החברה עשויה להיות קשורה בפעולה, גם אם מעולם לא אישרה אותה במפורש.
• סוכן ש"משתולל" נגד ההוראה. הסוכן מתעלם מהגבלה שהוגדרה לו כדי להשיג מטרה, תופעה מוכרת במודלים אוטונומיים (reward hacking). כאן השאלה המשפטית חוזרת לרשלנות בעיצוב ובבקרה: האם הייתה לכם דרך לזהות ולעצור התנהגות כזו לפני שהיא הספיקה לגרום נזק, ואם לא, למה לא.
• מידע שגוי, או "הזיה". הסוכן בודה עובדה, מדיניות או הבטחה שלא קיימת, ולקוח מסתמך עליה. זהו מצג רשלני קלאסי: מבחינה משפטית, מה שהסוכן אמר הוא מה שהחברה אמרה.

התקדים שכבר קיים: כשחברה שילמה על מה שהצ'אטבוט שלה הבטיח

זה כבר לא תיאורטי. בפברואר 2024 קבע טריבונל ליישוב סכסוכים בקנדה (Moffatt v. Air Canada, 2024 BCCRT 149) שחברת התעופה חייבת לכבד הנחה שצ'אטבוט שירות הלקוחות שלה הבטיח בטעות, למרות שההנחה סתרה את המדיניות הרשמית שהופיעה באתר. נימוק הטריבונל היה פשוט: אין הבדל משפטי בין מידע שמופיע בדף סטטי באתר לבין מידע שנמסר על ידי צ'אטבוט של אותה חברה. אם הצ'אטבוט הבטיח, החברה מחויבת. בהיעדר תקדים ישראלי מקביל, סביר שבתי משפט בישראל יאמצו היגיון דומה, במיוחד מכוח דיני הגנת הצרכן.

שישה צעדים שמייסד צריך לעשות לפני שהסוכן יוצא לעבודה

רוב הסיכון המשפטי כאן נמנע מראש, לא מתוקן בדיעבד. שישה דברים ששווה לסגור לפני שסוכן AI מקבל גישה ללקוחות אמיתיים:

1. הגדירו בכתב מה מותר לסוכן ומה לא. מדיניות שימוש קצרה שמפרידה בין פעולות "בטוחות" (מענה על שאלות, הפניה לנציג) לבין פעולות בעלות השפעה כספית, משפטית או בלתי הפיכה.
2. שמרו אדם בלולאה לכל פעולה בלתי הפיכה. החזר כספי, מחיקת נתונים, שליחת מסמך מחייב, כל אלה צריכים אישור אנושי, לפחות עד שיש לכם היסטוריית הפעלה ארוכה מספיק כדי לסמוך על הסוכן.
3. בדקו את הסוכן במתקפה, לא רק בהצלחה. לפני production, הריצו תרחישי קצה מכוונים: מה קורה כשלקוח מנסה "לשכנע" את הסוכן לחרוג מהמדיניות? האם יש לו דרך לזהות ניסיון כזה?
4. תעדו כל פעולה. יומן (log) של כל החלטה שהסוכן קיבל ולמה, כדי שתוכלו להוכיח בדיעבד, מול לקוח או רגולטור, מה בדיוק קרה.
5. בדקו את החוזה מול ספק מודל ה-AI עצמו. מי נושא בסיכון אם הטעות מקורה במודל הבסיסי (למשל הזיה של ה-LLM)? יש שיפוי? הגבלת אחריות שמעבירה את הסיכון כולו אליכם?
6. עדכנו את תנאי השימוש שלכם מול הלקוחות בהתאם. תנאים שמבהירים את מעמד תשובות הסוכן עוזרים, אבל דעו את הגבול: הם לא מגנים כלפי מי שלא ראה אותם, ולא מבטלים חובות שחוק הגנת הצרכן קובע כקוגנטיות.

סוכן AI לא "עצמאי" מבחינה משפטית. מישהו נושא באחריות לפעולותיו, וזה תמיד מי שהפעיל אותו.

בשורה התחתונה: "האוטונומיה" של הסוכן היא נקודת מכירה שיווקית, לא הגנה משפטית. מבחינת בית המשפט, ההבדל בין סוכן AI לעובד חדש שטעה קטן בהרבה ממה שנדמה. המייסדים שמרוויחים מזה הם אלה שבונים את הבקרות לפני שהטעות קורית, לא אלה שמגלים אותן בכתב ההגנה.

שאלות נפוצות

אם הסוכן טעה בניגוד מוחלט להוראות שקיבל, האם החברה עדיין אחראית?

כן, ברוב המקרים. הטענה ש"הסוכן פעל אוטונומית" אינה הגנה משפטית מוכרת, בדיוק כפי שחברה לא יכולה להתנער מאחריות לטעות של עובד רק כי הוא "עשה את זה על דעת עצמו". השאלה המשפטית האמיתית היא אם החברה נקטה אמצעי זהירות סבירים למניעת התוצאה.

האם תנאי שימוש שאומרים "הבוט לא מחייב אותנו" מגנים עלינו?

הם עוזרים, אבל לא באופן מוחלט. כלפי לקוח שלא ראה או לא קרא את התנאים, ולעולם לא כלפי צד שלישי, ההגנה מוגבלת. ובכל מקרה, חוק הגנת הצרכן מגביל פטור מאחריות מופרז כלפי צרכנים.

יש בישראל חוק ספציפי לאחריות על AI?

לא נכון להיום. אחריות נבחנת לפי הדינים הכלליים, נזיקין, חוזים ושליחות, בדיוק כפי שהיה לפני עידן ה-AI. זה עשוי להשתנות עם רגולציה עתידית, אבל כרגע זה המצב.

מה הצעד הראשון שסטארטאפ צריך לעשות השבוע?

למפות כל סוכן AI שפועל היום מול לקוחות או מקבל החלטות עצמאיות, ולסמן אילו מהפעולות שלו בלתי הפיכות (כסף, נתונים, התחייבות משפטית). אלה בדיוק הנקודות שדורשות בקרת אדם מיידית.