רגולציה על בינה מלאכותית: מה נקבע באירופה ומה בישראל ב-2026

רגולציה על בינה מלאכותית ב-2026: התמונה בקצרה

אירופה וישראל בחרו בשתי דרכים שונות מאוד. האיחוד האירופי חוקק חוק רוחבי אחד, ה-AI Act, שחל על כל ענפי המשק ומדרג מערכות לפי רמת הסיכון שלהן. החוק נכנס לתוקף ב-1 באוגוסט 2024, וחלקיו מופעלים בהדרגה. ב-27 ביולי 2026 נכנס לתוקף תיקון בשם AI Omnibus, שדחה את החובות הכבדות ביותר והשאיר על כנם את האיסורים ואת חובות השקיפות.

בישראל אין, נכון לאוקטובר 2026, חוק בינה מלאכותית ייעודי. יש מסמך מדיניות מדצמבר 2023, שמנחה את הרגולטורים לפעול כל אחד בתחומו (בנקאות, ביטוח, בריאות וכו'), בכלים "רכים" ובהדרגה. בפועל, הכלל המחייב שמשפיע היום יותר מכל על עסקים שמשתמשים ב-AI בישראל הוא חוק הגנת הפרטיות, אחרי תיקון 13.

המשמעות לעסק ישראלי: אם אתם מוכרים מוצר או שירות מבוסס AI ללקוחות באירופה, בדקו אם ה-AI Act חל עליכם. אם אתם פועלים רק בישראל, השאלה המרכזית היא איך אתם מטפלים במידע אישי שעובר דרך כלי ה-AI.

המאמר מסכם את הכללים ואינו ייעוץ משפטי. לפני החלטה עסקית בדקו את הנוסח הרשמי או התייעצו עם עורך דין.

חוק הבינה המלאכותית האירופי (EU AI Act): ארבע רמות סיכון

לפי הנציבות האירופית, החוק מחלק את מערכות ה-AI לארבע קבוצות, ולכל קבוצה רמת חובות שונה.

מעבר לרמות האלה יש פרק נפרד למודלים כלליים (GPAI), כמו מודלי השפה הגדולים שעליהם בנויים צ'טבוטים. מאוגוסט 2025 מפתחי המודלים חייבים בכללי שקיפות וזכויות יוצרים. מודלים שמוגדרים כבעלי "סיכון מערכתי" חייבים גם להעריך את הסיכונים ולצמצם אותם. ביולי 2025 פרסמה הנציבות קוד התנהגות וולונטרי למפתחי מודלים כלליים.

תיקון ה-Omnibus הוסיף לרשימת האיסורים מערכות שמייצרות תמונות מיניות בלי הסכמה (אפליקציות "nudification") וחומרי פגיעה מינית בילדים. לרוב העסקים, השימושים היומיומיים, כמו כתיבת טקסטים, סיכום מסמכים או שירות לקוחות, נמצאים בשתי הקבוצות התחתונות. צ'טבוט לשירות לקוחות, למשל, חייב בעיקר בגילוי נאות. אם אתם שוקלים קול משוכפל בפרסום, כדאי לקרוא איך מקבלים הסכמה ובודקים רישיון.

לוח הזמנים אחרי תיקון ה-Omnibus: מה כבר חל ומה נדחה

הנציבות הציעה את ה-Omnibus ב-19 בנובמבר 2025, הסכמה פוליטית הושגה במאי 2026, והתיקון נכנס לתוקף ב-27 ביולי 2026. לפי משרד עורכי הדין Gibson Dunn, הסיבה לדחייה היא שהתשתית הרגולטורית שנדרשת כדי ליישם את חובות הסיכון הגבוה לא הייתה מוכנה בזמן.

הדחייה נוגעת רק לחובות של מערכות בסיכון גבוה. מי שמפעיל צ'טבוט או מפרסם תוכן שנוצר ב-AI באירופה כפוף לחובות השקיפות כבר מאוגוסט 2026. לפי Gibson Dunn, התיקון גם ריכך את חובת אוריינות ה-AI: הארגון צריך לתמוך בהכשרת העובדים, בלי להתחייב שיגיעו לרמת ידע מסוימת. מי שמפרסם סרטונים שנוצרו ב-AI יכול לבדוק זכויות ותיוג במדריך על בינה מלאכותית ליצירת סרטונים.

על מי חל החוק האירופי וכמה עולה הפרה

לפי סעיף 2 בחוק, הוא חל גם על ספקים שאינם יושבים באיחוד אם הם משווקים בו מערכות AI, וגם על ספקים ומשתמשים במדינות אחרות כשהתוצרים של המערכת משמשים באיחוד. נניח שסטארט-אפ ישראלי מוכר כלי למיון קורות חיים ללקוחות בגרמניה: הוא ייחשב לספק של מערכת בסיכון גבוה, והחובות יחולו עליו מדצמבר 2027.

הקנסות לפי סעיף 99 בחוק:

לעסקים קטנים ובינוניים ולסטארט-אפים התקרה היא הנמוך מבין שני הסכומים. לפי הנציבות, התיקון הרחיב חלק מההקלות גם לחברות "small mid-cap", כלומר חברות גדולות מעסק בינוני שעדיין אינן תאגיד גדול. לגביהן כלל "הנמוך מביניהם" מופיע בשתי מדרגות הקנס הנמוכות.

ישראל: עקרונות מדיניות ורגולציה ענפית במקום חוק אחד

בדצמבר 2023 פרסמו משרד החדשנות, המדע והטכנולוגיה ומשרד המשפטים את מסמך המדיניות הראשון של ישראל לרגולציה ואתיקה בתחום הבינה המלאכותית. לפי מאגר המדיניות של ה-OECD, המסמך מזהה שבעה אתגרים בשימוש של המגזר הפרטי ב-AI: אפליה, פיקוח אנושי, הסבריות, גילוי על אינטראקציה עם AI, בטיחות, אחריותיות ופרטיות.

ההמלצות המרכזיות במסמך:

• רגולציה ענפית: כל רגולטור מטפל בתחום שלו, למשל בנקאות, ביטוח או בריאות.
• גישה מבוססת סיכון: שימושים רגישים יותר מקבלים יותר פיקוח.
• כלים רכים והדרגתיים: הנחיות ותקינה שמאפשרות לבנות את המסגרת בהדרגה, בלי חקיקה גורפת.
• התאמה בינלאומית: לפעול בהלימה לגישות של המדינות המובילות ושל ארגונים בינלאומיים.
• שיתוף פעולה: עבודה משותפת של המגזר הציבורי והפרטי.

המסמך אינו מחייב מבחינה משפטית, וה-OECD מסווג אותו כמסמך הנחיה. ההבדל מהגישה האירופית בולט: בישראל עסק אינו צריך לסווג את מערכת ה-AI שלו לפי רמת סיכון או לרשום אותה בשום מקום. מנגד, הוא כפוף לכל החוקים הקיימים, כמו הגנת הצרכן, איסור אפליה, זכויות יוצרים, ובעיקר דיני הפרטיות.

פרטיות ו-AI בישראל: תיקון 13 וההנחיות של הרשות להגנת הפרטיות

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025. הוא חייב ארגונים רבים למנות ממונה על הגנת הפרטיות והרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות. החוק לא נכתב במיוחד ל-AI, אבל הוא חל על כל מערכת שמעבדת מידע אישי.

ב-28 באפריל 2025 פרסמה הרשות טיוטת הנחיה על תחולת חוק הגנת הפרטיות על מערכות בינה מלאכותית. לפי סיכום של משרד שבלת, העמדות המרכזיות בה הן:

• שימוש במידע אישי במערכת AI דורש הסכמה מדעת. ההודעה למשתמש צריכה לפרט איך המערכת פועלת, את סוגי המידע ומקורותיו, את מטרות השימוש (כולל אימון המודל) ואת הסיכונים.
• גם לגריפת מידע אישי מהאינטרנט (scraping) לאימון מודלים נדרשת הסכמה מדעת. פרסום מידע ברשת אינו נחשב הסכמה כזו.
• ארגונים שמאמנים מודלים יעמדו "בסבירות גבוהה" בתנאים שמחייבים מינוי ממונה הגנת פרטיות.
• תסקיר השפעה על הפרטיות לפני שימוש ב-AI הוא לעמדת הרשות הדרך הטובה ביותר להראות עמידה בחוק. בנוסף, הארגון צריך מדיניות פנימית לכלי AI: אילו כלים מאושרים, מי רשאי להשתמש, איזה מידע אסור להזין וכמה זמן נשמרות השאילתות.

נכון לבדיקה שלנו, ההנחיה עדיין מופיעה כטיוטה. ביולי 2026 פרסמה הרשות גם המלצות לשימוש בסוכני AI, כלומר כלים שפועלים בעצמם בתיבת המייל, ביומן ובתיקיות. לפי law.co.il, ההמלצות הן לחשוף לסוכן רק את המידע שנדרש למשימה, להעדיף הרשאות צפייה בלבד ולהשאיר לאדם את ההחלטה על כל פעולה שאי אפשר לבטל. לרקע על ההבדל בין אבטחת מידע לפרטיות, ראו את המדריך שלנו לאבטחת מידע.

מה עסק ישראלי יכול לעשות כבר עכשיו

הצעדים הבאים מבוססים על הכללים שתוארו למעלה ואינם מחליפים בדיקה משפטית. נניח שאתם עסק של 20 עובדים שמשתמש ב-ChatGPT לכתיבת תוכן, בצ'טבוט באתר ובכלי לסינון מועמדים:

1. מפו את כלי ה-AI בארגון. רשמו כל כלי, מי משתמש בו, איזה מידע מוזן אליו והאם יש בו מידע אישי של לקוחות או עובדים.
2. בדקו אם יש לכם חשיפה לאירופה. לקוחות, משתמשים או מועמדים באיחוד עלולים להכניס אתכם לתחולת ה-AI Act. בדוגמה שלנו, כלי סינון המועמדים נחשב לשימוש בסיכון גבוה אם הוא משמש לגיוס באירופה.
3. סמנו את הצ'טבוט ואת התוכן שנוצר ב-AI. באירופה זו חובה מאוגוסט 2026. בישראל אין חובה כללית כזו, אבל מסמך המדיניות מונה גילוי על אינטראקציה עם AI בין האתגרים המרכזיים, וגילוי כזה גם מפחית סיכון לטענות הטעיה.
4. כתבו נוהל פנימי קצר לכלי AI יוצר. פרטו אילו כלים מאושרים, איזה מידע רגיש או סודי אסור להזין אליהם, ומי אחראי לבדוק את התוצרים לפני פרסום.
5. עדכנו את מדיניות הפרטיות. אם מידע של לקוחות עובר דרך מערכת AI, ציינו זאת. בדקו בהגדרות הכלי אם הקלט משמש לאימון ואם אפשר לבטל זאת.
6. הגבילו הרשאות לסוכני AI. חברו אותם לתיקייה ייעודית בלבד, בלי גישה לכל תיבת המייל, והשאירו אישור אנושי לשליחה ולמחיקה.
7. סמנו ביומן את המועדים הבאים: 2 בדצמבר 2026 (סימון תוכן באירופה), 2 בדצמבר 2027 (מערכות בסיכון גבוה), ועקבו אחרי פרסום הנוסח הסופי של הנחיית הרשות להגנת הפרטיות.

רעיונות לשימושים יומיומיים ב-AI תמצאו במאמר על שימושי AI שכבר עובדים בעסק קטן. לפני השקה של מוצר AI ללקוחות באירופה, בדקו את נוסח החוק ב-EUR-Lex או התייעצו עם עורך דין שמתמחה בתחום.

שאלות נפוצות

האם יש בישראל חוק בינה מלאכותית?

נכון לאוקטובר 2026 אין בישראל חוק AI ייעודי. יש מסמך עקרונות מדצמבר 2023 שאינו מחייב, רגולציה ענפית, וחוק הגנת הפרטיות אחרי תיקון 13, שחל על כל מערכת שמעבדת מידע אישי.

האם ה-EU AI Act חל על חברה ישראלית?

כן, אם היא משווקת מערכת AI באיחוד או שהתוצרים של המערכת משמשים באיחוד. חברה שפועלת רק מול לקוחות בישראל בדרך כלל אינה בתחולת החוק.

מתי נכנסות לתוקף החובות למערכות AI בסיכון גבוה?

אחרי תיקון ה-Omnibus, מערכות בתחומים כמו גיוס, חינוך והגירה חייבות מ-2 בדצמבר 2027. מערכות שמשולבות במוצרים מפוקחים, כמו מעליות או צעצועים, חייבות מ-2 באוגוסט 2028.

האם חובה לסמן תוכן שנוצר בבינה מלאכותית?

באיחוד האירופי חובות השקיפות חלות מאוגוסט 2026, ולמערכות שכבר היו בשוק יש תקופת מעבר לסימון עד 2 בדצמבר 2026. בישראל אין חובה כללית כזו בחוק.

האם מותר לאמן מודל AI על מידע שפורסם ברשתות החברתיות?

לפי טיוטת ההנחיה של הרשות להגנת הפרטיות, גם לגריפת מידע אישי מהאינטרנט לאימון נדרשת הסכמה מדעת, ופרסום פומבי ברשת אינו נחשב הסכמה כזו.