אירופה בהצעת רפורמה מקיפה בתחומי הדיגיטל והבינה המלאכותית – מה המשמעות לעסקים?

הנציבות האירופית פרסמה לאחרונה הצעת חקיקה נרחבת המכונה Digital Omnibus, שייעודה הוא לפשט את הרגולציה על מידע באיחוד האירופי, באמצעות תיקון חקיקה מרכזית הנוגעת לנתונים דיגיטליים.  ישנה עוד כברת דרך עד אשר הנוסח הסופי של השינויים יגובש, אך מדובר במהלך מהותי שנועד להסיר חסמים לעיבוד מידע – במיוחד עבור חברות טכנולוגיה, ובפרט חברות בתחום הבינה המלאכותית – הפועלות באיחוד, ולהגביר את התחרותיות מול ארה"ב וסין.

בסקירה זו ריכזנו עבורכם את עיקרי ההצעה.

אילו חוקים צפויים להשתנות במסגרת הרפורמה?

ההצעה כוללת "חבילת תיקונים" רוחבית בארבעה חוקים מרכזיים: ה-GDPR (תקנות הגנת המידע), ה-AI Act (חוק הבינה המלאכותית), ה-Data Act ודירקטיבת ה- ePrivacy.

הצעה לשינויים בתחום הגנת המידע

צמצום ההגדרה של "מידע אישי" – ההצעה מבקשת לקבוע כי אם בידי חברה מידע אשר הוצפן או טושטש ואינו מאפשר זיהוי של אדם, המידע לא ייחשב מידע אישי אם אין באפשרות הגורם שהמידע בידיו לפתוח את ההצפנה או להסיר את הטשטוש. מדובר בשינוי  שצפוי לאפשר העברת מידע ושיתוף מידע בין חברות בקלות רבה יותר מאשר במצב הקיים.

הרחבת ההגדרה של מחקר מדעי – ההצעה מבקשת להרחיב את גבולות המונח כך שיכלול במפורש גם מחקר התומך בחדשנות, כגון פיתוח והדגמה טכנולוגיים, אף למטרות מסחריות. בנוסף, ההצעה מבקשת להבהיר כי עיבוד נוסף של מידע שנאסף כדין למטרות מחקר הוא עיבוד התואם את מטרת העיבוד המקורית, ויכול להוות אינטרס לגיטימי. בכך יתאפשר לחברות מסחריות לבצע מחקר ופיתוח בהתבסס על מידע אישי.

הקלות משמעותיות בחובת הדיווח על אירועי אבטחת מידע – ההצעה כוללת הקלה כפולה להתמודדות עם אירועי סייבר. ראשית, חובת הדיווח לרשויות צומצמה ותחול רק במקרים בהם נשקף סיכון משמעותי לזכויותיהם של נושאי המידע, באופן המצמצם את חובת הדיווח לרשות אך משמר את החובה ליידע את נושאי המידע. שנית, מוצע להאריך את חלון הזמנים לדיווח ל-96 שעות, במקום 72. בפועל, מדובר בהקלה משמעותית לארגונים, המבטלת את הצורך לדווח על אירועים מינוריים ומעניקה תוספת זמן מכריעה לשם גיבוש תמונת מצב מדויקת והחלטה על פעולות מותאמות.

בנוסף, ההצעה כוללת הקמת מנגנון דיווח מרכזי לרשויות תחת כלל החוקים הנוגעים במידע באיחוד האירופאי (DORA, GDPR, NIS2 ועוד), ויצירת תבנית דיווח אחידה.  

שיקול דעת במענה לבקשות מידע של משתמשים – תחת ההצעה מוצע לשנות את המקרים בהם חברה יכולה לסרב להשיב על בקשות נושאי מידע. בפרט, חברות יוכלו לסרב לבקשות אשר מטרתן אינה הגנה על פרטיות הפרט, למשל כאשר מדובר בבקשה שמטרתה לעקוף כללי גילוי ראיות, ליצור עומס חריג על החברה ועוד.

הסרת חסמים לחברות המפתחות ומאמנות מודלים של בינה מלאכותית

ריכוז סמכויות הפיקוח – מוצע שינוי ביחס לגופי הפיקוח, באופן המרכז את סמכות הפיקוח על מערכות בינה מלאכותית בידי גוף מרכזי אחד, ה -AI Office, אשר יהיה בעל סמכויות פיקוח כוללות ביחס לחלק ממערכות הבינה המלאכותית, ללא מעורבות גופים מדינתיים.  סמכויות רחבות אלה צפויות לכלול מודלים של בינה מלאכותית כללית (GPAI) ומערכות המוטמעות בפלטפורמות גדולות במיוחד (VLOP) או מנועי חיפוש גדולים במיוחד (VLOSE).

דחיית מועד כניסתו של חוק הבינה המלאכותית לתוקף – ההצעה כוללת הקפאה אפשרית של החובות החלות על ארגונים המפתחים או משתמשים במערכות בינה מלאכותית המסווגות בסיכון גבוה (High Risk). חובות אלה צפויות להיכנס לתוקף באוגוסט 2026, ואם ההצעה תתקבל עד לאותו מועד, צפויות להיות מוקפאות עד לניסוחם של סטנדרטים טכניים שיהיו זמינים לחברות בשוק ליישום והטמעה.

בסיס חוקי חדש לעיבוד מידע – לשון ההצעה קובעת כי ניתן להסתמך על אינטרס לגיטימי בעת שימוש במידע אישי לצורך פיתוח, אימון ותפעול של מערכות בינה מלאכותית. במסגרת כך, בעל המידע (Controller) יוכל להשתמש במידע אישי כאשר הדבר נדרש לצורך תפעול ודיוק, איתור הטיות ותיקונן, או אבטחה ובטיחות.  בפועל, אם ההצעה הזו תתקבל, הדרישה לקבלת הסכמה מכל פרט ופרט שהמידע שלו מצוי במאגר, תבוטל. לצד זאת, שימוש המבוסס על אינטרס לגיטימי תחת התיקון המוצע, מותנה בקיומם של מנגנוני הגנה נאותים על המידע ומתן אפשרות מוחלטת לנושאי המידע להתנגד לעיבוד. המהלך הוא בשורה משמעותית של הקלה בדרישות איסוף ההסכמות החלות על החברות העוסקות בתחום זה.

הקלות בעיבוד מידע רגיש – ההצעה מציעה הגמשה מסוימת של הכללים הנוגעים לעיבוד מידע רגיש, בשל מגבלות טכניות באימון מערכות בינה מלאכותית והמורכבות של סינון מידע רגיש ממאגרי המידע בהם נעשה שימוש באימון של מודלים גדולים. לפי המוצע, ניתן יהיה לעבד מידע רגיש לצורך אימון מערכות בינה מלאכותית, כאשר העיבוד נועד לסייע למודל להימנע מהטיות, או כאשר הסרתו של המידע מהמאגר תדרוש מאמץ לא פרופורציונלי.

הקלות בעיבוד מידע ביומטרי – ההצעה מוסיפה פטור מהאיסור הגורף לעיבוד מידע ביומטרי כאשר המטרה היא אימות זהותו של המשתמש וכאשר המידע נמצא בשליטתו המלאה והבלעדית של אותו משתמש.

הקלות מהותיות בתחום השיווק הדיגיטלי

צמצום הדרישה להסכמה לשימוש בקוקיז – לפי ההצעה, איסוף נתונים לצרכי מדידת קהל, אנליטיקה ומטרות סטטיסטיות, וכן שימוש בקוקיז לצרכי אבטחת מידע ותחזוקה טכנית, לא ידרשו הסכמה מפורשת (למשל באמצעות באנר קוקיז), כל עוד המידע ישמש את החברה המציבה את הקוקיז בלבד ולא ישותף עם צדדים שלישיים. צעד זה יקל מאוד על איסוף נתונים לשיפור השירותים.

מנגנון אוטומטי לאיסוף הסכמה – ההצעה מחייבת הטמעה של מנגנון המכבד סימני הסכמה לפעילויות שיווק בדפדפנים, שתוגדר מראש על ידי המשתמשים. תהליך זה יחליף בפועל את ההסכמה הפרטנית הניתנת בעת כניסה לאתרים שונים.

כלל 6 החודשים – ההצעה מחייבת שמירת העדפות המשתמשים למשך 6 חודשים. המשמעות היא, כי לא ניתן יהיה לבקש ממשתמש שדחה בקשה לשימוש בקוקיז (Cookies) לעדכן את העדפותיו בפרק זמן זה.  

הוספת כפתור דחייה/סירוב – ההצעה מעגנת בחקיקה את החובה להציג כפתור "דחה הכל" באותה רמת נגישות ובולטות כמו כפתור "אשר הכל", במטרה להתמודד עם Dark Patterns.

הגנה על מידע וסודות מסחריים:  Data Act

במסגרת השינויים בחקיקה מוצעת האפשרות לחברות לסרב לשתף מידע של משתמשים ולקוחות כאשר קיים חשש שהדבר יפגע ביכולתן להגן על סודות מסחריים. כך, תינתן לחברות האפשרות להגן על מידע במקרים בהם המידע עלול להגיע למדינות מחוץ לאיחוד האירופי. כמו כן, ההצעה מוסיפה הקלות לספקי ענן המסווגים כעסקים קטנים ובינוניים (SMEs) וחברות בעלות שווי בינוני או נמוך (small-mid cap), ומחריגה אותם מהוראות מחמירות של חוק הדאטה, כדי להגביר את התחרותיות בשוק.

מהו תהליך החקיקה?

ההצעה הונחה בידי הנציבות, ועד לחודש מרץ 2026 מתקיים תהליך שיתוף ציבור ביחס אליה. במקביל, צפוי הפרלמנט האירופאי לדון בהצעה ולגבש את עמדתו. לאחר מכן ובסביבות אמצע 2026, יתקיים משא ומתן בין כלל גורמי החקיקה. צפוי כי הליך החקיקה יסתיים לכל המוקדם בסוף שנת 2026.

מהי ההשפעה על חברות ישראליות?

החקיקה האירופית חלה, ככלל, גם על חברות שאינן אירופיות אך פועלות באירופה. לדוגמה, החקיקה עשויה לחול על חברות ישראליות המפתחות מערכות בינה מלאכותית המשווקות באיחוד, חברות המשווקות מוצרים הכוללים איסוף מידע, או חברות המעבדות מידע אישי במסגרת מתן שירותים, מעקב אחר משתמשים או פעילות עסקית באירופה.

חבילת החקיקה כוללת הקלה מסוימת בנטל הציות על חברות. עם זאת, הקלה זו אינה צפויה לשנות את החובה לקיים תהליכי ציות פנימיים. אנו ממליצים לחברות לבצע תהליך הערכת סיכונים, ובכלל זאת הערכת סיכוני ציות ביחס למרכיבי החקיקה השונים. בכלל זאת, לערוך תהליך הערכת סיכונים ביחס לעיבוד מידע בידי החברה בדגש על מידע אישי ורגיש, ולוודא קיומם של מסמכים המעידים על תהליכי הממשל הפנימי. אנו ממליצים לבצע את התהליכים הבאים:

• מיפוי תהליכי עיבוד וזרימת המידע בחברה
• מיפוי שימושי הבינה המלאכותית בחברה
• קביעת מדיניות סדורה לניהול ועיבוד מידע
• קביעת מדיניות לטיפול באירועי אבטחת מידע ועמידה בחובות הדיווח לרשויות
• תיעוד תהליכי בקרה והערכת סיכונים ביחס לבינה מלאכותית
• קביעת מדיניות בינה מלאכותית לארגון

ההצעה מצביעה על שינוי כיוון אסטרטגי באירופה, אשר עשוי להקל את הרגולציה הקפדנית בתחומי הגנת הפרטיות והמידע, ומבטא את החשש כי זו מהווה חסם מסחרי משמעותי. ההצעה מסמנת מעבר לעידוד פיתוחו של השוק המקומי והגברת התחרותיות אל מול המעצמות המובילות בתחומי הבינה המלאכותית, ארה"ב וסין. נמשיך ונעדכן אתכם ביחס להתקדמות תהליכי החקיקה והמשמעות לחברות ישראליות.

****

מחלקת פרטיות, סייבר ובינה מלאכותית במשרדנו עומדת לרשותכם לליווי תהליכי ציות לדיני הגנת הפרטיות, פיתוח והטמעה של מערכות בינה מלאכותית וליצירת מסגרות ממשל פנימי להן והתאמתן לדרישות הרגולטוריות בישראל ובעולם.

ד"ר אבישי קליין הוא שותף וראש מחלקת פרטיות, סייבר ובינה מלאכותית במשרד.

עו"ד מאשה יודשקין היא עורכת דין במחלקת פרטיות, סייבר ובינה מלאכותית במשרד.