רגולציית בינה מלאכותית בישראל: מה כבר מחייב עסקים היום

נקודות עיקריות

• אין חוק AI ישראלי מרכזי; יש מסמכי מדיניות והנחיות שמובילים משרד החדשנות, המדע והטכנולוגיה ורגולטורים מגזריים.
• החובה המידית והאכיפה המעשית מגיעות מדיני הפרטיות, לא מדיני ה-AI — הרשות להגנת הפרטיות היא הגורם שאפשר לפגוש היום.
• הממשלה אישרה ב-2026 החלטה לקידום התחום — תשתיות מחשוב, הון אנושי, מו״פ ושירותים ציבוריים.
• העקרונות החוזרים בכל מסמכי המדיניות: שקיפות, מניעת אפליה ואחריותיות על תוצרי ה-AI.
• לעסק ישראלי שמוכר לאירופה או משלב AI במוצר שמגיע לשם, חוק ה-AI האירופי הוא הרגולציה המחייבת בפועל.

תוכן עניינים

• האם יש בישראל חוק בינה מלאכותית?
• מה כן מחייב עסק ישראלי שמשתמש ב-AI היום?
• מה אומרת מדיניות ה-AI הממשלתית?
• מתי חוק ה-AI האירופי חל על עסק ישראלי?
• אילו שימושי AI הכי חשופים מבחינת פרטיות?
• איך נערכים עכשיו בלי לחכות לחקיקה?
• מי נושא באחריות כשה-AI טועה?
• שאלות ותשובות

רגולציית בינה מלאכותית בישראל היא מערכת של מסמכי מדיניות, הנחיות רגולטורים קיימים ודינים קיימים המוחלים על שימוש ב-AI — ולא חוק אחד יעודי. זה הבידול המרכזי מהמודל האירופי, והוא משנה לחלוטין את אופן ההיערכות. עסק שמחפש ״את החוק שאומר מה מותר לעשות עם AI״ לא ימצא אותו, ועלול להסיק בטעות שאין מגבלות כלל. הבסיס המעשי לכל הנושא מפורט במדריך תיקון 13 לבעלי אתרים.

האם יש בישראל חוק בינה מלאכותית?

לא. נכון לספטמבר 2026 לא חוקק בישראל חוק רוחבי המסדיר פיתוח ושימוש במערכות בינה מלאכותית. המדיניות המוצהרת היא גישה מגזרית: כל רגולטור — בנק, ביטוח, בריאות, תעבורה, פרטיות — מסדיר את השימוש ב-AI בתחום שלו, במקום חוק אחד רוחבי. משרד החדשנות, המדע והטכנולוגיה הוא הגורם המוביל את מדיניות ה-AI הממשלתית ואת התיאום בין הרגולטורים.

הנקודה המעשית לעסק: העדר חוק יעודי אינו וואקום משפטי. כשמערכת AI מעבדת מידע אישי, חלים עליה במלואם חוק הגנת הפרטיות והתקנות מכוחו — בדיוק כמו על כל מערכת מידע אחרת. הטכנולוגיה חדשה; החובות לא.

מה כן מחייב עסק ישראלי שמשתמש ב-AI היום?

ארבעה מקורות חובה פועלים על עסק ישראלי כבר עכשיו, גם בלי חוק AI: דיני הפרטיות, תקנות אבטחת המידע, דיני המגזר הספציפי, ורגולציה זרה שחלה על פעילות בחו״ל.

מי שמחפש נקודת פתיחה אחת שתסגור את רוב החשיפה היומיומית — זה נוהל שימוש בכלי AI בארגון, שמגדיר מה מותר להזין למודל ומה לא.

מה אומרת מדיניות ה-AI הממשלתית?

מסמכי המדיניות הישראליים חוזרים על שלושה עקרונות מרכזיים: שקיפות כלפי מי שהמערכת משפיעה עליו, מניעת אפליה, ואחריותיות של הגורם שמפעיל את המערכת. משרד החדשנות פרסם באוקטובר 2022 מסמך עקרונות מדיניות, רגולציה ואתיקה בבינה מלאכותית להערות הציבור, ומאז פועל כמרכז ידע ותיאום בנושא. ב-2026 אישרה הממשלה החלטה לקידום התחום, הכוללת השקעה בתשתיות מחשוב, בהון אנושי, במו״פ ובשירותים ציבוריים.

מבחינה מעשית, מסמך מדיניות אינו חוק — אי אפשר לקבל עליו קנס. אבל הוא כן משמש מראה לרגולטורים ולבתי משפט כשהם בוחנים אם עסק נהג בסבירות. עסק שיישם את העקרונות האלה מראש נמצא בעמדה טובה הרבה יותר מעסק שחיכה לחקיקה.

מתי חוק ה-AI האירופי חל על עסק ישראלי?

הרגולציה האירופית נקבעת לפי השוק שאליו מופנה המוצר, לא לפי מיקום החברה. עסק ישראלי שמשווק מערכת AI ללקוחות באירופה, או שתוצרי המערכת שלו משמשים שם, עשוי להיכנס לתחולת תקנה (EU) 2024/1689 — חוק ה-AI האירופי. הרחבה על השלבים והמועדים נמצאת במאמר חוק ה-AI האירופי ומה זה אומר לעסקים ישראליים.

הטעות הנפוצה היא להניח ש״אנחנו רק משתמשים בכלי של מישהו אחר, אז זה לא עלינו״. המודל האירופי מטיל חובות שונות על מי שמפתח מערכת ועל מי שמפעיל אותה — וגם למפעיל יש חובות של שקיפות ושל פיקוח אנושי.

אילו שימושי AI הכי חשופים מבחינת פרטיות?

החשיפה הגבוהה ביותר היא בשימושים שמקבלים או משפיעים על החלטות לגבי בני אדם, ובשימושים שמזינים מידע אישי לכלי חיצוני. אלה המוקדים השכיחים:

• מיון מועמדים וגיוס — דירוג אוטומטי של קורות חיים מעלה שאלות של אפליה ושל הסבר החלטה.
• ניקוד לקוחות ודירוג אשראי — החלטה שמשפיעה ישירות על זכויות אדם.
• צ״אטבוטים בשירות לקוחות — ראו מה מותר לאסוף בצ״אטבוט AI באתר.
• ניתוח הקלטות ושיחות — מידע שנאסף למטרה אחת ומשמש לאחרת.
• אימון מודל על מאגר הלקוחות שלכם — שימוש שבדרך כלל חורג מהמטרה שלשמה נאסף המידע מלכתחילה.

ברוב המקרים הפתרון אינו לוותר על ה-AI אלא לצמצם את המידע שנכנס אליו — ראו טכנולוגיות משפרות פרטיות (PETs) במערכות AI.

איך נערכים עכשיו בלי לחכות לחקיקה?

ההיערכות הנכונה היא להתייחס לכל מערכת AI כאל מערכת מידע לכל דבר — עם בעלים, מטרה מוגדרת ותיעוד.

1. רשמו את כלי ה-AI שבשימוש. רוב הארגונים מופתעים מהרשימה המלאה.
2. סווגו לפי סיכון. מי מקבל החלטות על בני אדם ומי רק מנסח טקסט.
3. הגדירו מה אסור להזין. מידע מזהה, רפואי, פיננסי וסודות עסקיים.
4. ודאו בסיס חוקי לעיבוד. הסכמה או הסמכה אחרת, ויידוע שמזכיר את השימוש ב-AI.
5. השאירו אדם בלולאה. בכל החלטה משמעותית חייבת להיות בדיקה אנושית מתועדת.
6. בדקו את הספק. היכן נשמר המידע, האם הוא משמש לאימון, ומה קורה בסיום ההתקשרות.
7. תעדו ובדקו מחדש מדי תקופה. מערכות AI מתעדכנות מהר יותר מהנהלים שלכם.

מי נושא באחריות כשה-AI טועה?

האחריות נשארת אצל העסק שהפעיל את המערכת — לא אצל ספק המודל ולא אצל המערכת עצמה. ״המערכת החליטה״ אינה הגנה מול לקוח שנפגע, מול עובד שנדחה או מול רגולטור. זה בדיוק מה שעומד מאחורי עקרון האחריותיות שחוזר במסמכי המדיניות: צריך להיות גורם אנושי שניתן לבוא אליו בטענות.

מבחינה מעשית זה מתורגם לשלושה דברים שכדאי להסדיר לפני ההטמעה. ראשון, נקודת עצירה אנושית לפני כל החלטה שמשפיעה על אדם — דחיית מועמד, ביטול עסקה, חסימת חשבון. שני, תיעוד שמאפשר לשחזר בדיעבד מה היה הקלט, מה היא המליצה ומי אישר. שלישי, מסלול פניות ברור למי שרוצה לערער על התוצאה או לעיין במידע שעליו היא נסמכה — זכות שקיימת בלאו הכי לפי זכות העיון במידע אישי.

נקודה אחרונה שנוטים לפספס: האחריות הארגונית הזו אינה יורדת לדרג העובד שהפעיל את הכלי. ההנהלה היא שצריכה להחליט אילו שימושים מאושרים, להקצות אחראי ולוודא שהנושא נבדק מדי תקופה — ראו אחריות הנהלה ודירקטוריון בהגנת הפרטיות.

שאלות ותשובות

האם צריך להגיד ללקוח שהוא מדבר עם בינה מלאכותית?

עקרון השקיפות מוביל לתשובה חיובית, ובהקשרים מסוימים נדרש גם יידוע על איסוף המידע. גילוי קצר בפתיחת השיחה הוא פרקטיקה נכונה.

האם מותר להעלות קובץ לקוחות לכלי AI כדי לנתח אותו?

לא כברירת מחדל. העלאת מידע אישי לכלי חיצוני היא מסירה לצד שלישי, והיא מחייבת בסיס חוקי, הסדרה חוזית עם הספק ובדיקה היכן נשמר המידע.

מי אוכף היום שימוש בעייתי ב-AI בישראל?

כשמדובר במידע אישי — הרשות להגנת הפרטיות, בכלים שקיבלה בתיקון 13. בנוסף יכולים להיות מעורבים רגולטורים מגזריים ובתי המשפט.

האם עסק קטן צריך להתייחס לזה בכלל?

כן, אם הוא מעבד מידע אישי. החובות לפי דיני הפרטיות אינן מותנות בגודל העסק אלא במידע שהוא מחזיק וברגישותו.

מתי צפוי להיות חוק AI ישראלי?

אין מועד רשמי שנקבע. הכיוון שמסתמן הוא המשך רגולציה מגזרית והנחיות, לצד השפעה עקיפה של הרגולציה האירופית.

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.

לקריאה נוספת ומקורות

• חוק הגנת הפרטיות, התשמ״א-1981 — נוסח החוק (ויקיטקסט)
• הרשות להגנת הפרטיות — האתר הרשמי
• תיקון 13 לחוק הגנת הפרטיות — שאלות ותשובות של הרשות
• בינה מלאכותית והגנת הפרטיות: מה החוק דורש מעסקים

עוד על AI ופרטיות: סוכנים אוטונומיים

• סוכני בינה מלאכותית ופרטיות: 5 העקרונות של הרשות לשימוש בטוח