חוק ה-AI האירופי נכנס לתוקף: מה זה אומר לעסקים ישראליים

• התחולה היא חוץ-טריטוריאלית: מקום המושב של החברה אינו קובע — קובע אם המערכת משמשת משתמשים באירופה.
• לו״ז הדרגתי: האיסורים ודרישות האוריינות נכנסו בפברואר 2025, חובות ספקי מודלים כלליים (GPAI) באוגוסט 2025, והתחולה הכללית באוגוסט 2026.
• סיכון גבוה מוגדר לפי שימוש: החלטות גיוס, אשראי, תמהור ביטוח והכרעות רפואיות נמנים על השימושים בסיכון גבוה.
• צ״אטבוטים בסיכון נמוך — אבל לא פטורים: עליהם חלות דרישות שקיפות בסיסיות.
• בישראל אין חוק AI מקביל, אבל חוק הגנת הפרטיות ותקנות אבטחת המידע חלים על מערכות AI שמעבדות מידע אישי בלי צורך בחקיקה חדשה.

תוכן העניינים

• מה זה חוק ה-AI האירופי?
• האם החוק חל על עסק ישראלי?
• אילו רמות סיכון החוק מגדיר?
• מה צריך לעשות בפועל?
• מה הקשר לחוק הגנת הפרטיות הישראלי?
• מה קורה ברגולציה הישראלית?
• שאלות ותשובות

חוק ה-AI האירופי הוא רגולציה של האיחוד האירופי המסדירה פיתוח ושימוש במערכות בינה מלאכותית לפי רמת הסיכון של השימוש, ולא לפי הטכנולוגיה עצמה. הרעיון המרכזי פשוט: אותו מודל שעושה סיכום פרוטוקולים מקבל יחס שונה מאותו מודל כשהוא משמש לדרג מועמדים לעבודה. עסקים ישראליים שמשלבים AI בעבודה מול מידע אישי חייבים לבדוק שני מסלולים במקביל: את הרגולציה האירופית אם יש להם משתמשים באירופה, ואת הדין הישראלי בכל מקרה — נושא שפורט במאמר על בינה מלאכותית והגנת הפרטיות — מה החוק דורש מעסקים.

מה זה חוק ה-AI האירופי?

זו הרגולציה הראשונה בעולם שמסדירה בינה מלאכותית באופן רוחבי, והיא בנויה על מדרוג של רמות סיכון. על שימושים מסוימים היא מטילה איסור מוחלט, על שימושים בסיכון גבוה היא מטילה חובות משמעותיות של תיעוד, ניהול סיכונים וממשל טכנולוגי, ועל יישומים בסיכון נמוך יותר היא מטילה דרישות שקיפות בסיסיות בלבד.

לו״ז הכניסה לתוקף

המסגרת הרגולטורית המלאה מתפרסמת באתר הנציבות האירופית — המסגרת הרגולטורית לבינה מלאכותית.

האם החוק חל על עסק ישראלי?

החוק חל באופן חוץ-טריטוריאלי: אם המוצר או השירות שלכם מגיע לשווק האירופי או למשתמשים באירופה, החוק חל — בלי קשר למקום הרישום של החברה. זה המבחן המעשי היחיד שעסק ישראלי צריך להעביר קודם, והוא מצמיח שלוש תשובות אפשריות:

• לא חל כלל: עסק שמשרת בלעדית לקוחות בישראל, בלי משתמשים אירופיים ובלי הצעת המוצר באירופה.
• חל כמשתמש (deployer): העסק משתמש במערכת AI של אחרים לצורך הפעילות שלו בזירה האירופית.
• חל כספק (provider): העסק מפתח או משווק מערכת AI שמגיעה למשתמשים באירופה. זו הקבוצה עם החובות הכבדות ביותר.

לחברות הייטק ישראליות רבות התשובה היא השלישית, גם אם הן לא חשבו על עצמן כספקיות AI — מערכת SaaS שמשלבת מודל שפה ונמכרת ללקוחות באירופה נכנסת לתמונה.

אילו רמות סיכון החוק מגדיר?

הסיווג נקבע לפי מה המערכת עושה ועל מי היא משפיעה, לא לפי האלגוריתם. שימושים שנמנים על סיכון גבוה כוללים החלטות בתהליכי גיוס והעסקה, אשראי ודירוג לקוחות, תמהור ביטוח, והכרעות בעלות השלכה רפואית. על מערכות בסיכון גבוה חלות דרישות תיעוד, ניהול סיכונים וממשל טכנולוגי.

שימו לב לנקודה שמפתיעה מנהלים רבים: מערכת שמסננת קורות חיים או מדרגת מועמדים אינה ״כלי עזר תמים״ אלא נופלת בלב קבוצת הסיכון הגבוה. זה בדיוק השימוש שעסקים אמצו מהר ובלי תיעוד, והוא מתחבר גם לדין הישראלי דרך מאמר פרטיות מועמדים בגיוס.

מה צריך לעשות בפועל?

שלושה צעדים ראשונים שכל עסק יכול לעשות בלי פרויקט גדול.

1. רשימת מערכות ה-AI שבשימוש: כל כלי שמשתמש במודל — צ״אטבוט באתר, סינון קורות חיים, דירוג לידים, תמלול שיחות, כלי כתיבה. רוב הארגונים מופתעים מאורך הרשימה.
2. סימון הזירה: לכל כלי, האם יש לו משתמשים או נושאי מידע באירופה. זה מקצר את הרשימה מאוד.
3. סיווג ותיעוד: לכל כלי שנשאר — מה השימוש, איזה מידע אישי נכנס אליו, ומי בודק את התוצאה לפני שמקבלים החלטה על אדם.

שלושת הצעדים האלה משרתים גם את הדין הישראלי, ולכן ההשקעה בהם משתלמת גם לעסק שבסוף יגלה שהרגולציה האירופית לא חלה עליו. מבנה מומלץ לנוהל פנימי מופיע במאמר על נוהל שימוש בכלי AI בארגון.

מה הקשר לחוק הגנת הפרטיות הישראלי?

הקשר הוא שהמידע שנכנס למערכת AI נשאר מידע אישי, ולכן חוק הגנת הפרטיות ותקנות אבטחת המידע חלים עליו בלי צורך ברגולציה ייעודית ל-AI. הרשות להגנת הפרטיות פרסמה טיוטת הנחיה בנושא תחולת דיני הגנת הפרטיות על מערכות בינה מלאכותית — ההנחיה הרגולטורית הראשונה בישראל בנושא זה. עדכונים רשמיים מתפרסמים באתר הרשות להגנת הפרטיות.

משמעות זה שהצעד המעשי הראשון זהה בשני המסלולים: לדעת איזה מידע אישי נכנס למערכות ה-AI שלכם ולאיזו מטרה. אם המערכת משפיעה על החלטות בעלות משמעות לגבי אנשים, נדרשת בדיקה מעמיקה של הסיכון לפרטיות — נושא שמורחב במאמר על תסקיר השפעה על הפרטיות (DPIA), ושקילת כלים מצמיתים במאמר על טכנולוגיות משפרות פרטיות (PETs).

מה קורה ברגולציה הישראלית?

בישראל המדיניות נעה במקביל בשני כיוונים: עידוד אימוץ AI מחד, והחלת דיני הפרטיות הקיימים על מערכות AI מאידך. ביוני 2026 אושרה החלטת ממשלה בנושא האצת בינה מלאכותית בישראל וביסוס מובילות עולמית, שעוסקת בהשקעה בתשתיות חישוב, הון אנושי, מו״פ ושירותים ציבוריים.

לעסק זה אומר שנכון להניח שהציפיות ייהדקו עם הזמן, גם בלי חקיקה יעודית. הדרך הבטוחה היא לבנות את התיעוד עכשיו — מה המערכת עושה, על איזה מידע היא עובדת, מי בודק אותה — כי זה המסמך שידרש בכל מסלול, ישראלי או אירופי.

עיקרי הדברים

• אוגוסט 2026 הוא מועד התחולה הכללית של חוק ה-AI האירופי.
• התחולה היא חוץ-טריטוריאלית — המבחן הוא המשתמשים, לא מקום הרישום של החברה.
• הסיווג לסיכון גבוה נקבע לפי השימוש, ומערכות גיוס ואשראי נכנסות פנימה.
• התקרה העליונה של הסנקציות היא 35 מיליון אירו או עד 7% מהמחזור העולמי.
• בישראל חוק הגנת הפרטיות ותקנות אבטחת המידע חלים על מערכות AI גם בלי חקיקה יעודית.

שאלות ותשובות

האם חוק ה-AI האירופי חל על אתר ישראלי עם צ״אטבוט?

אם לאתר יש משתמשים באירופה, דרישות השקיפות הבסיסיות עלולות להיות רלוונטיות — בעיקר לומר למשתמש שהוא משוחח עם מערכת ולא עם אדם. אם הקהל הוא ישראלי בלבד, הרגולציה האירופית בדרך כלל אינה הסוגיה — אבל דיני הפרטיות הישראליים כן.

מה ההבדל בין ספק (provider) למשתמש (deployer)?

ספק מפתח או משווק את מערכת ה-AI, ומשתמש מפעיל אותה בפעילותו. החובות הכבדות יותר חלות על הספק, אך למשתמש יש אחריות עצמאית — בעיקר בנוגע לשימוש המוגדר ולפיקוח אנושי על התוצאות.

האם צריך להפסיק להשתמש ב-AI לסינון קורות חיים?

לא בהכרח, אבל זה שימוש שדורש זהירות מיוחדת: תיעוד של השימוש, פיקוח אנושי על התוצאה, ובדיקה שהמודל לא מפלה על בסיס מאפיינים אסורים. בלי תיעוד ופיקוח, זה השימוש החשוף ביותר בשני המסלולים.

האם יש בישראל חוק AI?

נכון לספטמבר 2026 אין בישראל חוק רוחבי מקביל לחוק ה-AI האירופי. מה שיש הוא מדיניות ממשלתית, והחלת דיני הפרטיות הקיימים על מערכות AI שמעבדות מידע אישי.

מהיכן מתחילים אם אין משאבים לפרויקט גדול?

מרשימת כלי ה-AI שבשימוש בארגון וסימון מי מהם נוגע במידע אישי. זה מסמך אחד שבדרך כלל נבנה ביום עבודה, והוא הבסיס לכל השאר: סיווג, נוהל פנימי ובדיקת צורך בתסקיר השפעה.

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.

לקריאה נוספת ומקורות

• הרשות להגנת הפרטיות – אתר הרשות
• תיקון 13 לחוק הגנת הפרטיות — המדריך המלא לבעלי אתרים
• בינה מלאכותית והגנת הפרטיות: מה החוק דורש מעסקים
• טכנולוגיות משפרות פרטיות (PETs) במערכות AI: מה הרשות ממליצה ליישם
• תסקיר השפעה על הפרטיות (DPIA): האם זו חובה בישראל ואיך מבצעים
• נוהל שימוש בכלי AI בארגון: איך מונעים דליפת מידע דרך צ״טים

המשך קריאה: רגולציית AI בישראל

• רגולציית בינה מלאכותית בישראל: מה כבר מחייב עסקים היום