ה-EU AI Act כבר חל. מה נדרש מהנהלה, דירקטוריון וחברות ישראליות שפועלות מול אירופה, ומה עושים עכשיו.
ה-EU AI Act כבר חל. מה נדרש מהנהלה, דירקטוריון וחברות ישראליות שפועלות מול אירופה, ומה עושים עכשיו.
אוגוסט 2026 אינו עוד תאריך רגולטורי. הוא קו מעבר: בינה מלאכותית הפסיקה להיות רק החלטת חדשנות, והפכה לשאלת ממשל, תיעוד ואחריות ניהולית.
עבור חברה ישראלית שמפתחת, מטמיעה או משווקת פתרונות AI באירופה, השאלה אינה רק "האם אנחנו עומדים ב-EU AI Act?". השאלה הנכונה היא: האם הארגון יודע להסביר איזה AI הוא מפעיל, מי אחראי עליו, מהי רמת החשיפה שלו, ואיפה נשמרת ההוכחה לכך?
ה-EU AI Act בנוי על גישת סיכון. לא כל כלי דורש אותה רמת בקרה, אך כל ארגון צריך לדעת לאיזו קטגוריה הוא שייך.
מערכות מסוימות אסורות לחלוטין. אחרות כפופות לחובות שקיפות. מערכות GPAI (מודלים כלליים שעליהם נבנות מערכות אחרות) נושאות חובות ייעודיות. מערכות High-Risk דורשות מעטפת רחבה של ניהול סיכונים, איכות נתונים, תיעוד, פיקוח אנושי, סייבר ומעקב.
הטעות הנפוצה היא להניח שהשאלה היא טכנולוגית בלבד. היא אינה. הסיווג תלוי גם בשימוש בפועל, בשוק היעד, במשתמשים, בהשפעה על זכויות ובשרשרת הערך שבין ספק, מפתח, מטמיע ומפיץ.
הכללים אינם נכנסים לתוקף ביום אחד. איסורים וחובות אוריינות AI כבר החלו לחול בפברואר 2025; חובות GPAI החלו באוגוסט 2025. תחולת הרגולציה הכללית וחובות השקיפות נכנסו לשלב מרכזי באוגוסט 2026.
לעומת זאת, חובות High-Risk בתחומים הרגישים של Annex III צפויות לחול ב-2 בדצמבר 2027. משמעות הדבר אינה "יש זמן לחכות". המשמעות היא שיש חלון תכנון: לבנות עכשיו את המלאי, הסיווג, מנגנוני הבקרה והתיעוד, לפני שהאפשרויות מצטמצמות והעלות עולה.
לבנות מפת AI ארגונית: לא "איזה צ׳אטבוט יש לנו", אלא אילו מערכות פועלות, אילו נתונים נכנסים אליהן, מי המשתמשים, מהי ההחלטה או ההמלצה שהן משפיעות עליה, והאם קיים חיבור לשוק האירופי. לסווג את החשיפה המשפטית: יש להפריד בין כלי פרודוקטיביות פנימיים, מערכות מול לקוחות, מערכות שמסייעות בקבלת החלטות, ומערכות שעלולות להשפיע על עובדים, אשראי, שירותים חיוניים, זכויות או הליכים ציבוריים.
לעגן אחריות אנושית: AI אינו פוטר הנהלה או דירקטוריון מאחריות. להפך, נדרש owner עסקי, owner משפטי ו-owner טכנולוגי לכל מערכת מהותית; נדרש מנגנון להסלמת חריגים; ונדרשת אפשרות אנושית לעצור, לתקן או להסביר את התוצאה. לייצר תיק ראיות, לא רק מדיניות: מדיניות AI יפה אינה מספיקה בבדיקת נאותות, מול לקוח מוסדי, מול רגולטור או בהליך משפטי.
הארגון צריך לשמור סיווג, החלטות, הערכות סיכון, בדיקות ספקים, מגבלות שימוש, תיעוד פיקוח אנושי ושינויים מהותיים במערכת.
תחולה אירופית אינה נקבעת רק לפי כתובת החברה. חברה ישראלית עלולה להיכנס למסגרת כאשר היא מציעה מערכת בשוק האירופי, פועלת מול לקוחות אירופיים, מטמיעה AI אצל לקוח באיחוד, או כאשר פלט המערכת שלה משמש באיחוד.
לכן, AI Act צריך להיכנס כבר היום ל-M&A, להסכמי ספקים, ל-due diligence, למכירות Enterprise, לרכש טכנולוגי ולישיבות דירקטוריון. זהו לא מסמך של מחלקת compliance בלבד; זו שכבת ניהול סיכונים עסקית.
לא: "האם יש לנו מדיניות AI?".
אלא: "איזו החלטה עסקית או אנושית מושפעת מהמערכת, מי נושא באחריות לתוצאה, והאם נוכל להגן על התהליך אם הוא יותקף?".
ארגון שיודע לענות על שלוש השאלות הללו כבר בונה יתרון. ארגון שאינו יודע, מגלה את הפער בדרך כלל אחרי עסקה, תלונה, כשל ספק או דרישת לקוח.
LALUM מסייעת לארגונים למפות חשיפת AI, לבנות ממשל ותיעוד בר-הגנה, ולתרגם רגולציה למנגנון עבודה שניתן לנהל בפועל. פרטים נוספים בעמוד הייעוץ והגישור.
האמור הוא מידע כללי ואינו חוות דעת משפטית. תחולת ה-EU AI Act תלויה במערכת, בתפקיד הארגון בשרשרת הערך, בשוק היעד ובנסיבות השימוש.
מקור עדכני: European Commission, AI Act.
מאמר זה הוא עמוד העוגן של סדרת LALUM על ה-EU AI Act. להעמקה לפי נושא ראו את מה חברות ישראליות חייבות לדעת, כיצד לדעת אם המערכת בסיכון גבוה, חובות לפי תפקיד בשרשרת האספקה, חובות שקיפות למערכות ג'נרטיביות, ואת הכנת תיק התאימות.
נושא: בינה מלאכותית וממשל סיכונים
השירות בתחום: ייעוץ וחוות דעת שנייה בנושא AI
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לתיאום פגישת ייעוץ
כל שינוי בקוד נבדק בשער פיתוח מאובטח לפי עקרונות OWASP Top 10, ISO/IEC 27001:2022 (A.8.28) ו-NIST SSDF. בדיקה אחרונה: 2.11.2026. פירוט הבקרות