רפאל בייפוס, צילום: נועה שרביט
רפאל בייפוס
19/08/2026
האם הצ'אטבוט שלכם מזהיר את המשתמשים שהוא אינו אדם בשר ודם? האם מוטמעים מטא-דאטה וחותמת מים עבור תוכן שנוצר ב-AI ועולה לאתר החברה? אם התשובה שלילית, ייתכן שאתם חשופים לקנסות של עשרות מיליוני אירו.
בתחילת החודש ב-2 באוגוסט 2026 נכנס חוק הבינה המלאכותית של האיחוד האירופי EU AI Act לנקודת מפנה קריטית. החוק, שנכנס לתוקף הדרגתי עוד באוגוסט 2024, עבר כעת לשלב האכיפה האקטיבית. בעוד שהדרישות המורכבות ביותר הנוגעות למערכות בסיכון גבוה נדחו ל-2027 ו-2028, חובות השקיפות של סעיף 50 הפכו לפורמליות, אכיפות ויקרות מאוד עבור מי שיפר אותן.
החידוש המרכזי שנכנס לתוקף בתחילת החודש הנוכחי הוא חובת השקיפות הישירה מול משתמשי הקצה. ספקים וארגונים המפעילים מערכות AI המקיימות אינטראקציה ישירה עם בני אדם, החל בצ'אטבוטים ועוזרים וירטואליים, דרך מוקדי שירות אוטומטיים וכלה במערכות תמיכה ומכירות, חייבים מעתה לתכנן את המערכת כך שהמשתמש יקבל הודעה ברורה שהוא משוחח עם אלגוריתם. ההודעה חייבת להינתן לכל המאוחר בתחילת האינטראקציה, אלא אם הדבר ברור מאליו לאדם סביר.
במקביל, החוק קובע כללים חדשים לגבי תוכן סינתטי:
טקסט בעל עניין ציבורי: פרסום תוכן שנוצר או שונה באמצעות AI במטרה ליידע את הציבור מחייב גילוי נאות. עם זאת, קיים סייג קריטי: אם התוכן עבר בדיקה אנושית או בקרה מערכתית ממשית, וקיים גורם מזוהה הנושא באחריות לפרסום – אין חובת סימון. מנגד, פרסום אוטומטי ללא יד אדם מחייב גילוי מלא.
חתימה טכנולוגית סמויה: מפתחי מערכות המייצרות טקסט, תמונה, קול או וידאו נדרשים להטמיע מנגנוני זיהוי הניתנים לקריאה ממוחשבת (כמו מטא-דאטה או Watermarking עמיד). לא מדובר עוד רק בדיסקליימר טקסטואלי בתחתית המסך, אלא בחובת סימון ברמת הקוד.
זיהוי רגשות ו-Deepfakes ארגונים המפעילים מערכות לזיהוי רגשות או סיווג ביומטרי חייבים ליידע את החשופים להן, ומפרסמי Deepfake נדרשים לגילוי נאות (עם התאמות מוגדרות ליצירות אמנותיות וסאטירה).
קנסות של עד 35 מיליון אירו: מנגנון האכיפה הופך אקטיבי
אי-הבנה של הכללים אינה מהווה הגנה. משרד ה-AI האירופי והרשויות הלאומיות מוסמכים כעת להפעיל סמכויות חקירה, לדרוש תיעוד פנימי, לבדוק מערכות ולהטיל סנקציות כספיות כבדות:
הפרות כלליות וחובות שקיפות עלולות להוביל לקנסות של עד 15 מיליון אירו או 3% מהמחזור השנתי הגלובלי (הגבוה מביניהם) ובמקרה של הפרת איסורים חמורים, הקנסות עשויים להגיע לעד 35 מיליון אירו או 7% מהמחזור.
החוק אמנם מציין כי תישמר מידתיות ביחס לעסקים קטנים ובינוניים -SMEs אך מבהיר בצורה חד-משמעית כי אין פטור מציות.
חברות ישראליות שפועלות באירופה חשופות לקנסות האלה. בדומה ל- GDPR ה-AI Act כולל תחולה חוץ-טריטוריאלית נרחבת. כל חברה ישראלית כפופה לחוק אם היא מציעה מערכת בשוק האירופי, מספקת אותה ללקוח באיחוד, או מייצרת פלט המשמש באירופה. מיקום השרת אינו רלוונטי. החשיפה הזו כוללת גם חברות B2B שלא פונות ישירות לצרכן האירופי, שגם הן ירגישו את הלחץ. לקוחות אירופיים מגדילים כעת את דרישות הציות במסגרת שאלוני ספקים, הסכמים מסחריים, דרישות לזכויות ביקורת - Audit ותביעות שיפוי.
אם ניקח לדוגמה חברת SaaS ישראלית המטמיעה צ'אטבוט עבור לקוחות באירופה, היא נדרשת להתאים את ה-UI/UX של המוצר לחובת ההודעה מראש. חברות שמפתחות כלי AI ליצירת תוכן, נדרשות מתחילת החודש הנוכחי להטמיע סימון טכנולוגי בקובצי הפלט. גם מקרה של מוקד שירות לקוחות המשתמש באנליטיקה של זיהוי רגשות עבור חברה אירופית, חוסה תחת חובות הגילוי של החוק החדש.
חברות ישראליות חייבת להיערך נכון מבחינה רגולטורית. לא רק בכדי להגן על עצמן מפני קנסות, ההיערכות הזו הופכת לתנאי סף מסחרי - Vendor Eligibility להתקשרות עם גופים בינלאומיים. בנוסף, חברות וארגונים בישראל צריכים לבצע מיפוי מערכות ושימושים AI Inventory ולהגדיר את הסטטוס של החברה לגבי כל מוצר, אם החברה היא מטמיעה – Provider או נותנת שירות – Deployer.
בנוסף, חברות שירצו להמשיך ולעבוד עם אירופה יצטרכו לבצע עדכון חוזים ומדיניות, להכשיר צוותי פיתוח ולמנות מפקח AI אנושי. בנוסף מחובתם להטמיע סימון טכנולוגי באמצעות שילוב Metadata ומנגנוני זיהוי בתוצרים סינתטיים ולבצע סקירת ממשקי משתמש ולהבטיח הודעות גילוי בזמן אמת.
האיחוד האירופי באמצעות ה- AI Act וה- GDPR מציבים גבולות גזרה חדשים למרחב הדיגיטלי. עבור ההייטק הישראלי, הציות לדרישות השקיפות והפרטיות אינו עוד סעיף של "נחמד שיהיה", אלא רישיון העבודה באירופה.
רפאל בייפוס מנכ"ל חברת עוגן ניהול מידע ופרטיות; DPO וכ-CISO בארגונים
