האיחוד האירופי אישר ב-2023 רגולציה מקיפה חדשה בתחום הבינה המלאכותית – ה-EU AI Act – המגדירה דרישות על חברות הפועלות מול לקוחות אירופאים, ביחס לתהליכי פיתוח, שיווק ושימוש במערכות AI במתכונת בטוחה, אחראית ושקופה. חלקים שונים של הרגולציה נכנסים לתוקף בהדרגה עד לסוף העשור.
החוק החדש מחייב חברות לזהות את מערכות ה-AI שלהן ולסווג אותן לפי רמות סיכון, החל ממערכות Minimal Risk ועד ל-High Risk כאשר בהתאם לרמת הסיכון, החברות נדרשות לתהליכי תיעוד, ניהול סיכונים, הוכחת איכות אלגוריתמית, מעקב אחר ביצועים ומוכנות לביקורת רגולטורית. ישנן גם קטגוריות של שימושים אסורים לחלוטין.
בדומה לרגולציות אירופאיות אחרות, כמו ה-GDPR ואחרות – גם החוק הזה "משתרשר" באופיו. דהיינו, החוק החדש עלול לחול על חברה שמפתחת או משתמשת ב-AI וחשופה לשוק האירופי, במתכונת של מכירות ישירות ללקוחות אירופאיים או מכירות ללקוחות שפועלים מול אירופה, וזאת גם אם החברה איננה נמצאת באירופה.
למה עכשיו?
ה-AI Act נכנס לתוקף ומתחיל להיאכף בהדרגה כבר מ-2025. האכיפה מתבצעת על ידי הרשויות הלאומיות בכל מדינה באיחוד, ובפיקוח של ה-EU AI Office ברמת האיחוד. חלק מדרישות החובה על מערכות AI ברמות סיכון שונות ייכנסו לתחולה מלאה במהלך 2026, והחל משלב זה רשויות הפיקוח יוכלו לבצע בדיקות, לדרוש מסמכים ולהטיל קנסות.
הקנסות על אי עמידה עשויים להגיע עד 35 מיליון יורו או 7 אחוז מהמחזור השנתי, לפי הגבוה מביניהם. בנוסף, חברות שלא ייערכו בזמן, עשויות לאבד, ולו באופן זמני, את היכולת למכור או ליישם פתרונות AI בשוק האירופי.
האם החוק חל על הארגון שלי?
ה-EU AI Act חל על מגוון רחב של חברות ישראליות, לרבות חברות שלא מגדירות את עצמן כחברות AI. קביעת התחולה/אי תחולה של החוק על החברה היא אתגר בפני עצמו, לרבות:
- חברות שמייצאות פתרונות AI או מוכרות SaaS המכיל רכיבי AI ללקוחות באירופה.
- חברות טכנולוגיה, בשלבים שונים של התפתחות, שכוללות רכיבי AI כחלק מהמוצר, גם אם ה AI הוא מודול משני בפתרון.
- חברות שמשתמשות במערכות AI בתהליכים קריטיים, לדוגמה: HR, קבלת החלטות, הערכת סיכונים, תמחור, זיהוי הונאות או אנליטיקה פיננסית.
במילים אחרות, הרוב המוחלט של חברות הטק הישראליות, ולא רק הן, נדרשות לבחון את התחולה/אי תחולה של הרגולציה האירופאית עליהן; החוק אינו עוסק רק במי שמפתח מודל, אלא גם במי שמטמיע, משתמש, או משלב שירותים של ספקי AI אחרים. בנסיבות אלו, של אי בהירות ביחס לתחולת החוק, השלב הראשון הוא להבין האם החוק חל על החברה וככל שהמסקנה חיובית, לבצע ניתוח פערים להבטחת העמידה בדרישות הרגולציה.
היערכות לרגולציה
צוות המומחים האירופאי והישראלי של EY מלווה חברות בהיערכות ל EU AI Act באמצעות תהליך מובנה של זיהוי תחולה/אי תחולה של הרגולציה על החברות, וביחס לחברות שהרגולציה חלה עליהן – Gap Assessment ותוכנית פעולה ממוקדת, הכוללת מפת דרכים ליישום הרגולציה והיערכות לשנת 2026. תוצר הבחינה הינו מסמך משותף של הפירמה האירופאית והישראלית של EY.
שלבי הייעוץ:
- בחינת תחולה: תהליך בחינת התחולה/אי תחולה של החוק, כולל התייחסות לכמה חלופות לרבות: Provider, Deployer, Importer או Distributor – ספק, למשל סטארטאפ; מטמיע – כמו חברת אינטגרציה; יבואן; ומפיץ.
- סקר פערים: שלב הכולל מיפוי ראשוני של המוצר והמערכת, וסיווג לפי החוק. בשלב זה מזהים את רמות הסיכון, את היקף החובות והמסמכים הנדרשים. בהמשך, סקר הפערים יכלול גם סקירה מעמיקה של תהליכי הפיתוח והשימוש במערכות AI, בדיקת פערים בהיבטי Governance, אבטחה, איכות דאטה, בקרות, תיעוד ו-Traceability. התוצר הוא דו"ח פערים מפורט הכולל המלצות ותוכנית פעולה.
- תוכניות יישום ומסמכי ציות: בניית פרקטיקות ציות, ניהול סיכונים, הגדרת תהליכי Monitoring ואיסוף Evidence לצורך ביקורת בעתיד. בשלב זה מונחת התשתית ליכולת של החברה להציג עמידה מלאה מול הרגולציה.
ארגונים שמתחילים את התהליך כעת נהנים מיתרון ברור: שקיפות מול משקיעים ולקוחות, התאמה של תהליכי העבודה בתחום ה AI לדרישות הרגולציה ויכולת להוכיח עמידות לרגולציה עוד לפני שהיא נדרשת בפועל. אם אתם מובילים חברה ישראלית שאירופה היא שוק יעד שלה – בפועל או בפוטנציה – כדאי להיערך מראש. ב-EY צברנו ידע נרחב ברגולציה החדשה וכבר מסייעים, יחד עם הקולגות של פירמת EY באירופה, לחברות ישראליות לציית לה מבעוד מועד.
