EU AI Act מול הדין הישראלי: מפת חובות לארגונים ולמעסיקים

האיחוד האירופי קבע מסגרת משפטית ייעודית להסדרת מערכות בינה מלאכותית. מטרת החוק היא לקדם חדשנות, תוך צמצום סיכונים לבריאות, לבטיחות ולזכויות יסוד.

החוק מבחין בין סוגי מערכות, מטרות שימוש ותפקידים שונים. לפיכך, לא כל מערכת AI כפופה לאותן דרישות.

בישראל, לעומת זאת, נדרשת בחינה של החקיקה הקיימת. בין היתר, יש להתייחס לדיני פרטיות, דיני עבודה, שוויון ורגולציה ענפית.

הדו"ח מבוסס על השוואה משפטית איכותנית. הוא אינו מחקר סטטיסטי, ואינו מבוסס על מדגם חברות.

הבסיס האירופי הוא Regulation (EU) 2024/1689. ההשוואה הישראלית מתייחסת לחוק הגנת הפרטיות, לדיני העבודה ולמקורות מוסדיים.

תרחישי השימוש המופיעים בהמשך הם דוגמאות היפותטיות. אין לראות בהם תיאור של אירועים אמיתיים או נתונים אמפיריים.

תחולת EU AI Act אינה מוגבלת לחברות הרשומות באירופה. סעיף 2 קובע מספר זיקות שעשויות להפעיל את החוק.

אחת הזיקות המרכזיות היא העמדת מערכת AI בשוק האיחוד. במצבים מסוימים נבחן גם השימוש בפלט המערכת באירופה.

לכן, חברה ישראלית המוכרת מערכת גיוס למעסיקים באירופה צריכה לבחון את מעמדה המשפטי.

ספק של מערכת בסיכון גבוה עשוי להידרש להקים מערכת ניהול סיכונים מתמשכת. הדרישות מתייחסות למחזור החיים של המערכת ולא רק לשלב הפיתוח.

בנוסף, החוק כולל חובות ביחס לממשל נתונים, תיעוד טכני, רישום אירועים, הוראות שימוש ופיקוח אנושי.

ארגון הרוכש מערכת AI אינו בהכרח ספק המערכת. עם זאת, הוא עשוי להיות מוגדר כמפעיל לפי החוק האירופי.

סעיף 26 קובע חובות למפעילים של מערכות בסיכון גבוה. החובות עשויות לכלול שימוש בהתאם להוראות, פיקוח אנושי וניטור תפעולי.

במקרים המתאימים נדרשת גם שמירת רישומים והתייחסות לסיכונים שהתגלו.

AI בדיני עבודה הוא אחד התחומים הרגישים ברגולציה האירופית. מערכות המשפיעות על מועמדים ועובדים עשויות להשפיע על זכויות יסוד.

נספח III כולל שימושים מסוימים בגיוס, מיון מועמדים, הערכת ביצועים והחלטות תעסוקתיות. עם זאת, יש לבדוק את תנאי הסיווג בכל מקרה.

בישראל ממשיכים לחול דיני העבודה והפרטיות. הסתמכות על אלגוריתם אינה מבטלת את חובות המעסיק.

מערכת AI עשויה לייצר תוצאה מפלה גם ללא כוונה מפורשת של המפתח. לעיתים מקור הבעיה הוא בנתונים ההיסטוריים.

לדוגמה, נתוני גיוס קודמים עשויים לשקף דפוסים שאינם רלוונטיים להתאמה מקצועית. המודל עלול לשחזר אותם.

לכן, מומלץ לבחון את איכות הנתונים ואת תוצאות המערכת. בדיקות כאלה מחייבות גם התייחסות לפרטיות.

שקיפות בבינה מלאכותית אינה חובה אחת ואחידה. סעיף 50 קובע דרישות ביחס למערכות ולתכנים מסוימים.

הוראות נוספות עוסקות בזכויות להסבר לגבי החלטות מסוימות. היקף הזכות תלוי בתנאים הקבועים בחוק.

פיקוח אנושי על AI מחייב יכולת ממשית לבחון את פעולת המערכת. נוכחות פורמלית של עובד אינה בהכרח מספקת.

סעיף 73 לחוק האירופי עוסק בדיווח על אירועים חמורים במערכות הרלוונטיות. לא כל תקלה טכנולוגית היא אירוע המחייב דיווח.

יש לבדוק את הגדרת האירוע, זהות הגורם החייב, מועדי התחולה והדיווח.

במקביל, אותו אירוע עשוי להפעיל חובות לפי דיני הגנת מידע. לכן מומלץ לקבוע נוהל אירועים משולב.

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025. הוא עדכן הוראות מרכזיות בתחום הגנת המידע.

בין היתר, התיקון שינה הגדרות וחובות מסוימות. הוא גם חיזק את סמכויות האכיפה של הרשות.

כאשר מערכת AI מעבדת מידע אישי, יש לבחון את מטרות העיבוד, חובות היידוע ואבטחת המידע.

תיקון 13 קובע חובת מינוי ממונה הגנת פרטיות עבור סוגי ארגונים מסוימים. החובה אינה חלה אוטומטית על כל משתמש ב-AI.

ממונה הגנת הפרטיות עשוי להשתלב בבדיקת מערכות בינה מלאכותית. עם זאת, האחריות לממשל AI רחבה יותר.

מומלץ לשלב בתהליך גורמים משפטיים, טכנולוגיים, אבטחת מידע ומשאבי אנוש.

שימוש במערכת AI חיצונית עשוי לכלול העברת מידע לספקים מחוץ לישראל. יש לבחון את זרימת המידע.

לעיתים המידע נשלח לצורך יצירת תשובה. במקרים אחרים הוא עשוי להישמר לתפעול, אבטחה או מטרות נוספות.

חוזה עם ספק AI צריך להתאים למטרת השימוש ולרמת הסיכון. תנאי שירות כלליים אינם תמיד מספקים.

מומלץ להגדיר את אחריות הצדדים ביחס לנתונים, לתיעוד, לשינויים במערכת ולאירועים.

ההבדל המרכזי בין אירופה לישראל הוא מבנה ההסדרה המשפטית. באיחוד האירופי קיימות חובות ייעודיות למערכות AI.

בישראל, לעומת זאת, החובות נובעות בעיקר ממערכות הדין הקיימות. לכן נדרשת בחינה משולבת.

חברה ישראלית הפועלת באירופה אינה יכולה להסתפק בבדיקת פרטיות בלבד. עליה לבחון גם את תחולת ה-AI Act.

מנגד, עמידה בדרישות האירופיות אינה מבטלת את חובות המעסיק לפי הדין הישראלי.