עדכון לחוק הבינה המלאכותית של האיחוד האירופי: מבט ראשון על טיוטת ההנחיות לסיווג מערכות בינה מלאכותית בסיכון גבוה

בחודשים האחרונים נקטה הנציבות האירופית צעדים נוספים לקידומה של המסגרת הרגולטורית של חוק הבינה המלאכותית האירופי. בהמשך להתקדמות רפורמת החקיקה Omnibus, פורסמה כעת טיוטת הנחיות לסיווג מערכות בינה מלאכותית בסיכון גבוה.

אף שמדובר עדיין בטיוטה, היא מספקת לחברות אינדיקציה חשובה לאופן שבו צפוי להיות מיושם מנגנון סיווג הסיכון לפי חוק הבינה המלאכותית של האיחוד האירופי. באמצעות דוגמאות מעשיות לסיווג מערכות בינה מלאכותית כמערכות בסיכון גבוה, ניתן לצמצם את אי-הוודאות ולסייע לארגונים להעריך אם מערכות הבינה המלאכותית שלהם צפויות להיכלל בקטגוריה זו, ובכלל זה במקרים שבהם מערכת מסוימת עשויה שלא להיחשב כמערכת בסיכון גבוה, בהתאם למנגנון הסינון המפורט בטיוטה.

לסיווג מערכת כמערכת בסיכון גבוה עשויות להיות השלכות משפטיות, תפעוליות ופיננסיות משמעותיות עבור חברות.

סיווג מערכות בסיכון גבוה לפי חוק הבינה המלאכותית

מערכת בינה מלאכותית עשויה להיות מסווגת כמערכת בסיכון גבוה לפי החוק האירופי על פי אחד משני קריטריונים: (1) כאשר היא נכללת באחד ממקרי השימוש הספציפיים בסיכון גבוה שנקבעו בחוק; או (2) כאשר היא עצמה מהווה מוצר מוסדר, או מיועדת לשמש כרכיב בטיחות של מוצר מוסדר, כגון מכשור רפואי או כלי רכב.

מערכות אלו משמשות במגוון רחב של תחומים, ובהם ביומטריה, תשתיות קריטיות, חינוך והכשרה מקצועית ותעסוקה, וכוללות גם תחומים המזוהים בעיקר עם רשויות ציבוריות, ובהם אכיפת חוק, הגירה, מקלט ובקרת גבולות, וכן ניהול מערכת המשפט והליכים דמוקרטיים.

מסמך זה מתמקד במקרי השימוש בסיכון גבוה הרלוונטיים ביותר לפעילות מסחרית.

שיקולים מרכזיים בסיווג מערכות

• ייעוד המערכת – טיוטת ההנחיות מדגישה כי הסיווג אינו תלוי רק באופן שבו מערכת בינה מלאכותית פועלת מבחינה טכנית, אלא גם בייעודה, כפי שמשתקף במכלול הנתונים, לרבות הוראות שימוש, תיעוד טכני, מסמכים חוזיים וחומרי שיווק. משמעות הדבר היא שלאופן שבו המערכת מתוארת ומוצגת בפועל עשויה להיות השפעה על הסיווג. כך, לדוגמה, מערכת בינה מלאכותית המשמשת בעיקר לאיתור הונאות בבקשות אשראי עשויה שלא להיכלל בקטגוריית הסיכון הגבוה. לעומת זאת, אם אותה מערכת מיועדת לקביעת דירוג אשראי, סביר כי תסווג כמערכת בסיכון גבוה.

• מעורבות אנושית – הטיוטה מבהירה כי עצם קיומו של גורם אנושי הבוחן את פלט המערכת אינו מוציא, כשלעצמו, מערכת בינה מלאכותית מגדר סיווג של סיכון גבוה. מעורבות אנושית עשויה להיות רלוונטית רק כאשר הבינה המלאכותית מוגבלת בפועל למשימה פרוצדורלית צרה, למשימת הכנה, לשיפור פעילות אנושית שכבר הושלמה, או לאיתור דפוסי קבלת החלטות מבלי להחליף בחינה אנושית מהותית. לדוגמה, מערכת בינה מלאכותית המסכמת ומארגנת נתוני מועמדים עבור חתם אנושי, אשר לאחר מכן מבצע הערכה עצמאית, עשויה שלא להיחשב למערכת בסיכון גבוה. לעומת זאת, אותה מערכת צפויה להיחשב כמערכת בסיכון גבוה כאשר תפקידו של הגורם האנושי מצטמצם לאישור או לדחייה של פלט הבינה המלאכותית.

• פרופיילינג – טיוטת ההנחיות מבהירה כי פרופיילינג עשוי להוות שיקול מרכזי בקביעה אם מערכת בינה מלאכותית נופלת בגדר מערכות בסיכון גבוה, בהסתמך על הנחיות קודמות של האיחוד האירופי בתחום הגנת המידע ותוך אימוץ פרשנות רחבה. לפי ההנחיות, פרופיילינג כולל עיבוד אוטומטי של מידע אישי לצורך הערכת היבטים אישיים של אדם טבעי. בפועל, מערכות המנתחות, חוזות, מקצות ציונים, מדרגות או מקטלגות יחידים על בסיס מאפיינים אישיים ייחשבו לעיתים קרובות כמבצעות פרופיילינג, גם כאשר נשמר פיקוח אנושי. ההנחיות מציגות כדוגמה מערכת המרכזת נתוני מועמדים לצורך הפקת ציוני סיכון או קטגוריות כגון "סיכון נמוך", "סיכון בינוני" או "סיכון גבוה", וכן מערכת המשבצת תלמידים למוסדות חינוך על בסיס נתונים כגון כתובת מגורים, לימודי אחים באותו מוסד וקיבולת בית הספר.

• אימות ביומטרי – על אף שחוק הבינה המלאכותית מחריג אימות ביומטרי מרחוק מקטגוריית הסיכון הגבוה, טיוטת ההנחיות מוסיפה הבהרה חשובה ביחס למונח "מעורבות פעילה". השאלה המרכזית היא אם המשתמשים מעורבים באופן פעיל ומודע בתהליך הזיהוי. כך, למשל, מצלמה המותקנת בכניסה למתחם, כאשר עובדים מציגים את עצמם באופן פעיל לצורך אימות זהותם, תסווג בדרך כלל כאימות ביומטרי ולא כזיהוי ביומטרי מרחוק. לעומת זאת, מצלמות המותקנות בתקרת תחנת רכבת לצורכי מעקב כללי צפויות יותר להיחשב כזיהוי ביומטרי מרחוק, משום שהפרטים אינם מעורבים באופן פעיל בזיהוים. בנוסף, ההנחיות מבהירות כי מערכת המשמשת רק לאימות זהותו של נוסע מול התמונה השמורה בדרכון תסווג באופן שונה ממערכת המשווה גם את הנתונים הביומטריים של אותו אדם למאגר פלילי.

• רגשות – טיוטת ההנחיות מבהירה כי מערכות בינה מלאכותית המיועדות לזהות או להסיק רגשות או כוונות מתוך נתונים ביומטריים ייחשבו, ככלל, למערכות בסיכון גבוה. כך, למשל, מערכת לניהול קהל המותקנת במצלמות של אולם הופעות וסורקת את מצב הרוח של הקהל לצורך הערכת רמות תוקפנות, צפויה להיחשב למערכת בסיכון גבוה. לעומת זאת, מערכת לניטור נהגים המזהה עייפות או אובדן ריכוז צפויה פחות להיחשב למערכת בסיכון גבוה מטעם זה, משום שמצבים פיזיים כגון כאב ועייפות מובחנים מרגשות בטיוטת ההנחיות.

• גבולות מנגנון הסינון – טיוטת ההנחיות מבהירה כי תחולתו של מנגנון הסינון מצומצמת יותר מכפי שניתן היה להסיק מלשון החוק לבדה, אך היא אינה מוגבלת לפעולות טכניות או מכניות בלבד. המנגנון עשוי לחול כאשר מערכת הבינה המלאכותית ממלאת תפקיד תחום ותומך, כגון ביצוע משימה פרוצדורלית צרה, שלב הכנה בתהליך, שיפור של תוצר אנושי קיים, או איתור דפוסים בתהליך קבלת החלטות, ובלבד שאין לה השפעה מהותית על תוכן ההחלטה או על תוצאתה. מנגד, כאשר המערכת מבצעת פרופיילינג, מפיקה המלצה קונקרטית, יוצרת דירוגים, מעריכה מהימנות או מפיקה פלט הערכתי אחר שיש בו כדי להשפיע על שיקול הדעת המהותי, פוחתת משמעותית האפשרות לראות בה מערכת שנותרת מחוץ לקטגוריית הסיכון הגבוה. כך, למשל, פונקציות כגון תרגום, מיון מסמכים, אימות שדות בטופס, ליטוש הערכת קידום שנוסחה בידי אדם מבלי לשנות את מהותה, או סיכום דוחות רפואיים לצורך בחינה אנושית, עדיין עשויות שלא להיחשב למערכות בסיכון גבוה, כל עוד הן נותרות בגדר כלי עזר ואינן מחליפות הפעלת שיקול דעת אנושי מהותי. בהתאם לכך, ארגונים המבקשים להסתמך על מנגנון סינון זה לצורך הימנעות מסיווג כמערכת בסיכון גבוה צריכים לבחון בזהירות אם תפקידה של המערכת אכן נותר תומך ומוגבל, או שמא בפועל יש לה השפעה מהותית על ההחלטה.

השלכות מעשיות עבור חברות

הטיוטה מספקת מפת דרכים מעשית באשר לאופן שבו צפוי הרגולטור להעריך מוצרים, פונקציות ומקרי שימוש מסוימים. לפיכך, מדובר בכלי חשוב להערכת סיכונים משפטיים ותפעוליים כבר בשלב תכנון המוצר.

צעדים מעשיים לחברות

• מיפוי שימושי הבינה המלאכותית בחברה, ובחינתם אל מול הקטגוריות של מערכות בינה מלאכותית בסיכון גבוה.
• הערכת תחולתו של חוק הבינה המלאכותית האירופי על מערכות החברה, בשים לב לגישת הפרשנות ולדוגמאות המעשיות המפורטות בטיוטת ההנחיות.
• בחינה אם רכיב כלשהו במערכת עשוי שלא להיכלל בקטגוריית הסיכון הגבוה, בהתאם למנגנון הסינון המוצע בטיוטת ההנחיות.
• ביצוע סקר פערים אל מול דרישות חוק הבינה המלאכותית האירופי, ככל שמערכת היא או עשויה להיחשב למערכת בסיכון גבוה, לצד הערכת רמת הציות הקיימת והסיכונים הנלווים.
• אימוץ מדיניות ארגונית לפיתוח, רכש, הטמעה ופיקוח על מערכות בינה מלאכותית, לשם זיהוי והערכה של השימושים בהן בהתאם לדרישות המשפטיות ולקריטריוני הסיווג הרלוונטיים.
• הטמעת תוכנית ציות מדורגת בהתאם למועדי התחולה הרלוונטיים, הכוללת תוכנית עבודה ברורה ואבני דרך ליישום ולהטמעה פנים-ארגונית.

לוח זמנים מעודכן לתחולת הוראות החוק

בעקבות עדכוני החקיקה, ובכללן רפורמת ה-Omnibus, עודכנו לוחות הזמנים לתחולתן של חלק מהוראות הסיכון הגבוה, כפי שמשתקף בטיוטת ההנחיות:

• תחולת החוק על מערכות AI בסיכון גבוה תידחה לדצמבר 2027 – מדובר, בין היתר, במערכות זיהוי ביומטרי בזמן אמת וזיהוי רגשות, בתשתיות קריטיות, בהחלטות בחינוך ובתעסוקה, בגישה לטובין ציבוריים, ועוד.
• תחולת החוק על מערכות AI המשמשות כרכיבי בטיחות ומכוסות על ידי חקיקה מגזרית אירופית בתחומי בטיחות ופיקוח שוק, תידחה לאוגוסט 2028 וביחס לחלק מן המערכות האכיפה תהיה באמצעות שימוש ברגולציה הקיימת ולא באמצעות חוק הבינה המלאכותית.
• גם חובת הסימון (watermarking) של תוכן שנוצר באמצעות בינה מלאכותית תידחה לדצמבר 2026.

אנו ממליצים לחברות להתחיל להיערך כבר כעת, להבין את הדרישות לפי החוק החדש, להעריך את מיקומן במסגרת הסיכון החדשה, ולנצל את חלון הזמן שניתן להיערכות ממשית עד לכניסתו לתוקף של החוק.

***

מחלקת הפרטיות, סייבר ובינה מלאכותית במשרדנו  זמינה לסייע בהיערכות לחוק הבינה המלאכותית האירופי, לרבות בהערכת תחולת החוק וקריטריוני סיווג הסיכון, בהכנת מדיניות פנימית ומסגרות ממשל פנימי, ובהתאמה לדרישות רגולטוריות בישראל ובעולם.

ד"ר אבישי קליין  הוא שותף וראש מחלקת הפרטיות, הסייבר והבינה המלאכותית של המשרד.

עו"ד מאשה יודשקין היא עורכת דין במחלקת הפרטיות, הסייבר והבינה המלאכותית של המשרד.