מדיניות בינה מלאכותית בחברות: כיצד להכין את הארגון שלך לחוק הבינה המלאכותית של האיחוד האירופי

מדיניות בינה מלאכותית היא אוסף של כללים פנימיים שקובעים כיצד, מדוע ובאילו תנאים הארגון שלך רשאי להשתמש בבינה מלאכותית. על פי חוק הבינה המלאכותית של האיחוד האירופי (תקנה (EU) 2024/1689), זוהי הדרך המעשית ביותר להראות לרשות פיקוח שאתה יודע אילו מערכות בינה מלאכותית אתה מפעיל, כיצד הן מסווגות ומי אחראי להן. זה אינו מסמך שנקבע כחוק, אך בלעדיו אינך יכול להוכיח עמידה בחוק הבינה המלאכותית, בתקנת ה-GDPR או בחוק העבודה ההולנדי.

בינה מלאכותית עברה ממחלקת ה-IT לתהליכים עסקיים רגילים. כלים יצירתיים מנסחים התכתבויות, תוכנות גיוס מדרגות מועמדים, פלטפורמות שירות עונות ללקוחות ומערכות פיננסיות מסמנות עסקאות. חלק ניכר מזה קורה באמצעות תכונות שנוספו בשקט לתוכנה שהארגון כבר מורשה, ובאמצעות כלים ציבוריים שעובדים מתחילים להשתמש בהם מיוזמתם. מאמר זה מפרט מה מכילה מדיניות בינה מלאכותית מעשית, אילו התחייבויות כבר חלות ואילו נדחו, וכיצד לבנות את המדיניות מבלי להפוך אותה למסמך שאף אחד לא קורא.

מהי מדיניות בינה מלאכותית ומדוע היא נחוצה

מדיניות בינה מלאכותית מתרגמת חובות משפטיות חיצוניות להוראות שעובד יכול לבצע בבוקר יום שלישי. היא קובעת אילו מערכות נכללות במסגרתה, מה ניתן להזין לתוכן, מי מחליט שניתן לרכוש כלי חדש, מתי אדם חייב לבדוק את התוצאה ומה קורה כאשר משהו משתבש. ההנהלה משתמשת באותו מסמך כדי לפקח כאשר הטכנולוגיה משתנה מהר יותר ממחזור הרכש.

הסיכון שבאי-פיקוח על המערכת הוא קונקרטי ולא תיאורטי. עובדים מדביקים נתוני לקוחות או מנסחים חוזים בצ'אטבוטים של צרכנים. כלי בחירה מסנן באופן שיטתי קבוצת מועמדים. טקסט שנוצר מתפרסם כעובדה ומתברר כשגוי. כל אחת מהבעיות הללו היא בעיה משפטית לפני שהיא בעיה טכנית, ובכל מקרה הארגון שפרס את המערכת נושא באחריות, ולא הספק שבנה אותה.

המסגרת המשפטית: חוק הבינה המלאכותית של האיחוד האירופי, GDPR וחוק העבודה ההולנדי

שלושה גופי כללים חלים בו זמנית, ומדיניות בינה מלאכותית המתייחסת רק לאחד מהם אינה שלמה. חוק הבינה המלאכותית מסדיר את המערכת: כיצד היא בנויה, מתועדת, מנוטרת ומוסברת. תקנת הגנת המידע הכללית מסדירה את הנתונים שעוברים דרכה. חוק העבודה ההולנדי מסדיר מה אתה רשאי לעשות לעובד שלך באמצעותם.

חוק הבינה המלאכותית נוקט בגישה מבוססת סיכונים. מספר קטן של פרקטיקות אסורות לחלוטין, כולל ניקוד חברתי וטכניקות מניפולטיביות או ניצול מסוימות; תוכלו לקרוא עוד במאמר שלנו על פרקטיקות בינה מלאכותית אסורות . קבוצה מוגדרת של שימושים נחשבת לבינה מלאכותית בסיכון גבוה , בעיקר גיוס ובחירה, החלטות על קידום ופיטורים, הערכת אשראי וגישה לשירותים ציבוריים ופרטיים חיוניים. עבור מערכות אלו החוק דורש מערכת ניהול סיכונים, ניהול נתונים, תיעוד טכני, רישום, שקיפות כלפי המפיץ, פיקוח אנושי ורמת דיוק וחוסן המתאימה למטרה. כל השאר כפוף בעיקר לחובות שקיפות או ללא התחייבות ספציפית במסגרת חוק הבינה המלאכותית כלל.

ה-GDPR חל במלואו בכל מקום בו מעובדים נתונים אישיים. העקרונות המשפיעים ביותר בפרויקטים של בינה מלאכותית הם הגבלת מטרה ומזעור נתונים, הדרישה לבסיס חוקי להכשרה וכן לשימוש, וסעיף 22, המגביל החלטות המבוססות אך ורק על עיבוד אוטומטי אשר מייצרות השלכות משפטיות או משפיעות באופן דומה באופן משמעותי על אדם. כאשר מערכת צפויה לגרום לסיכון גבוה לאנשים פרטיים, סעיף 35 דורש הערכת השפעה על הגנת נתונים לפני הפריסה. המאמר שלנו בנושא שימוש בבינה מלאכותית בעסק ההולנדי שלך סוקר את החובות הללו ביתר פירוט.

השכבה ההולנדית היא זו שמתעלמים ממנה לרוב. על פי סעיף 27 לחוק מועצות העובדים (Wet op de ondernemingsraden), למועצת העובדים יש זכות הסכמה לכל הסדר הנוגע לעיבוד והגנה על מידע אישי של עובדים, ולכל הסדר בנוגע למתקנים המיועדים או המתאימים לצפייה או ניטור של נוכחות, התנהגות או ביצועים של עובדים. מדיניות בינה מלאכותית המסדירה ניטור, ניתוח פרודוקטיביות או הערכה אוטומטית של עובדים תיפול בדרך כלל תחת סעיף זה. החלטה שהתקבלה ללא ההסכמה הנדרשת עלולה להיות מבוטלת על ידי מועצת העובדים, מה שהופך את ההתייעצות לשאלת רצף ולא לפורמליות.

אילו מועדי הגשת מועמדות לחוק הבינה המלאכותית חלים כעת, ואילו מועדים עברו

חוק הבינה המלאכותית נכנס לתוקף ב-1 באוגוסט 2024 והוא חל בשלבים. האיסורים על פרקטיקות בעלות סיכון בלתי מקובל וחובת האוריינות של בינה מלאכותית חלים מאז ה-2 בפברואר 2025. החובות עבור ספקי מודלים כלליים של בינה מלאכותית, יחד עם הוראות הממשל והענישה, חלים מאז ה-2 באוגוסט 2025. תאריך היישום הכללי היה ה-2 באוגוסט 2026, ומתאריך זה חלות חובות השקיפות של סעיף 50: יש ליידע אנשים מתי הם מקיימים אינטראקציה עם מערכת בינה מלאכותית, ותוכן שנוצר או מנוצל על ידי בינה מלאכותית חייב להיות מסומן ככזה.

גוש אחד של התחייבויות נדחה. תקנה (EU) 2026/1744, החלק של הבינה המלאכותית במערכת האומניבוס הדיגיטלית של הנציבות האירופית, פורסמה בכתב העת הרשמי ב-24 ביולי 2026 ונכנסה לתוקף ב-27 ביולי 2026. היא מעבירה את יישום משטר הסיכון הגבוה עבור המערכות העצמאיות המפורטות בנספח III, הכוללות תעסוקה, חינוך, אשראי ושירותים חיוניים, ל-2 בדצמבר 2027. עבור בינה מלאכותית המתפקדת כרכיב בטיחות במוצרים שכבר מוסדרים במסגרת חוק ההרמוניזציה של האיחוד, המפורטים בנספח I, התאריך הופך ל-2 באוגוסט 2028. אותה תקנה מרככת את חובת האוריינות של בינה מלאכותית, המחייבת כעת ספקים ומפיצים לנקוט צעדים לתמיכה ברמה מספקת של אוריינות בינה מלאכותית ולא להבטיח אותה.

הקריאה המעשית פשוטה: האיסורים, כללי הבינה המלאכותית הכללית וחובות השקיפות ניתנים לאכיפה כיום, ומנגנון הציות הכבד עבור מערכות בסיכון גבוה יגיע בסוף 2027. זהו חלון הכנה, לא הפוגה. ארגונים שבוחרים כעת מערכת גיוס או ניקוד אשראי עדיין יפעילו אותה בדצמבר 2027, וחוזה הספק שנחתם היום קובע האם תכונות התיעוד, הרישום והפיקוח האנושי קיימות עד אז.

היקף ותוכן: מה הפוליסה חייבת לכסות

הגדירו את ההיקף לפני כתיבת כלל יחיד, כי מדיניות בינה מלאכותית שאף אחד לא יכול ליישם על מצבו האישי גרועה יותר מכלום. המדיניות צריכה לנקוב בשמות המחלקות שהיא מחייבת, בדרך כלל משאבי אנוש, שיווק, שירות לקוחות, כספים, תפעול, משפט ומחקר ופיתוח, ועליה לנקוב בשמות הקטגוריות של המערכת: תוכנות בינה מלאכותית שנרכשו, תכונות בינה מלאכותית המוטמעות בפלטפורמות קיימות, מודלים שנבנו באופן עצמאי, עוזרים יצירתיים, צ'אטבוטים, כלי ניקוד ודירוג ומנועי המלצה.

שתי שאלות גבול ראויות לתשובה מפורשת. הראשונה היא האם עובדים רשאים להשתמש בכלי בינה מלאכותית ציבוריים לחשבונם האישי לצורך עבודתם, ובאילו תנאים. השנייה היא מה קורה לפונקציונליות של בינה מלאכותית המופיעה בתוכנה שהארגון כבר משתמש בה, ללא החלטת רכישה ולעתים קרובות ללא הודעה מוקדמת. שתיהן הן הדרכים שבהן בינה מלאכותית נכנסת לארגון מבלי משים, ושתיהן כפופות למדיניות או לכלום.

התחילו עם הגדרות התואמות את המושג הרחב של מערכת בינה מלאכותית בחוק הבינה המלאכותית, אך כתובות בשפה שהעובד מכיר, הנתמכת על ידי דוגמאות מהמחלקה שלו. מישהו במשאבי אנוש צריך להיות מסוגל לדעת, מבלי לשאול את הגורם המשפטי, האם הכלי שלפניו נופל תחת המדיניות.

לאחר מכן, חלקו את השימוש לשלוש קטגוריות. שימוש אסור מכסה את הפרקטיקות האסורות על פי חוק הבינה המלאכותית וכל יישום שהארגון החליט שלא לעשות זאת מסיבותיו שלו. שימוש מותנה מכסה את כל מה שמותר בכפוף לאמצעי הגנה: סיווג סיכונים מתועד, הערכת השפעה על הגנת מידע כאשר ה-GDPR דורש זאת, אישור על ידי תפקיד מוגדר ואמצעים טכניים וארגוניים מוסכמים. שימוש מותר מכסה יישומים בסיכון נמוך שאינם זקוקים ליותר מהכללים הכלליים בנושא סודיות ואימות. הקטגוריות פועלות רק אם המדיניות קובעת גם מי מעביר יישום מקטגוריה אחת לאחרת, ועל סמך אילו ראיות.

ניהול הוא החלק שקובע האם השאר אמיתי. יש להקצות אחריות סופית לתאימות לבינה מלאכותית, בדרך כלל ברמת הדירקטוריון, ולמנות את התפקידים שעשויים לבחור ולאשר יישומים חדשים, לתחזק את המלאי ולטפל באירועים. ניהול ספקים שייך גם הוא לכאן. במקרים בהם מערכת עלולה להפוך לסיכון גבוה, החוזה צריך לחייב את הספק לספק תיעוד טכני, הוראות שימוש, יכולת רישום ומידע שהמפעיל זקוק לו לצורך הערכה משלו, ועליו להקצות אחריות לשינויים המשנים את המטרה המיועדת של המערכת.

נתונים, פרטיות, אבטחה ושקיפות

מכיוון שמערכת בינה מלאכותית חוקית רק כמספר הנתונים עליהם היא פועלת, המדיניות צריכה לציין מה מותר ומה אסור להזין לאיזו מערכת. מידע עסקי סודי, קבצי לקוחות, קטגוריות מיוחדות של נתונים אישיים וכל דבר המכוסה בסודיות מקצועית בדרך כלל אינם שייכים לכלי ציבורי. יש להגדיר היכן נדרשת אנונימיזציה או פסאודו-נימיזציה, כמה זמן נשמרים קלטים ופלט, וכיצד נשמרים נתוני הדרכה בנפרד מנתוני ייצור. כאשר מדובר בנתונים אישיים, ההערכה במסגרת ה-GDPR והסיווג במסגרת חוק הבינה המלאכותית מבוצעים בצורה הטובה ביותר בתרגיל אחד; הם שואלים שאלות שונות על אותה מערכת.

האבטחה פועלת לפי הכללים הרגילים. זכויות גישה מוענקות לפי תפקיד, השימוש נרשם, ואירועי בינה מלאכותית מנותבים לנוהל הקיים של אירועים ופרצות נתונים במקום למסלול נפרד שאף אחד לא זוכר. יש לדווח על פרצת נתונים אישית ל-Autoriteit Persoonsgegevens (רשות הגנת המידע ההולנדית) ללא דיחוי בלתי סביר, ובמידת האפשר, תוך 72 שעות מרגע היותה מודעת לה.

שקיפות היא כיום חובה תפעולית ולא כוונה טובה. מאז ה-2 באוגוסט 2026, סעיף 50 לחוק הבינה המלאכותית דורש שאנשים יקבלו הודעה כאשר הם מקיימים אינטראקציה עם מערכת בינה מלאכותית, אלא אם כן הדבר ברור מהנסיבות, ושתוכן אודיו, תמונה, וידאו וטקסט סינתטי יסומן באופן קריא על ידי מכונה. מערכות זיהוי רגשות וסיווג ביומטרי מפעילות חובת הודעה משלהן. יש לתרגם זאת להוראות קונקרטיות: מה אומר הצ'אטבוט בהודעת הפתיחה שלו, כיצד מתויג תוכן בסיוע בינה מלאכותית, ומה נאמר למועמדים על תפקידה של הבינה המלאכותית בהליך בחירה.

פיקוח אנושי, הטיה ואוריינות בינה מלאכותית

עבור כל מערכת המשפיעה על אדם, המדיניות חייבת לציין מתי אדם מחליט ומה אותו אדם מסוגל לעשות בפועל. פיקוח משמעותי פירושו שהבודק מבין את מגבלות המערכת, יכול לפרש את הפלט שלה, ויש לו את הסמכות והזמן להתעלם ממנה. תיבת אישור בתהליך עבודה אינה פיקוח. על פי סעיף 22 בתקנות ה-GDPR, החלטה שמייצרת השלכות משפטיות או משפיעה באופן דומה באופן משמעותי על מישהו אינה יכולה להתבסס אך ורק על עיבוד אוטומטי למעט במצבים מוגדרים, וגם אז האדם שומר לעצמו את הזכות לקבל התערבות אנושית, להביע את נקודת מבטו ולערער על ההחלטה.

בדיקות הטיה שייכות למדיניות כחובה חוזרת עם בעלים ספציפי. מערכות המשמשות בגיוס, הערכת ביצועים, קליטה והחלטות אשראי צריכות להיבדק מעת לעת לאיתור תוצאות שונות ושיעורי שגיאות בין קבוצות, ויש לתעד את התוצאות. תיעוד זה חשוב שבעתיים: הוא תומך בתיעוד חוק הבינה המלאכותית, והוא הראיות שמעסיק זקוק להן אם מועמד שנדחה טוען לאפליה במסגרת חוק שוויון הטיפול (Algemene wet gelijk behandeling), שבו פער בלתי מוסבר יכול להעביר את נטל ההוכחה למעסיק.

חוק הבינה המלאכותית מחייב ספקים ומפעילים לנקוט באמצעים לתמיכה ברמה מספקת של אוריינות בינה מלאכותית בקרב הצוות העובד עם מערכות אלו, תוך התחשבות בידע הטכני שלהם, ניסיונם ובהקשר השימוש. הסטנדרט הוא הבנה, לא מומחיות. הצוות צריך להיות מסוגל לזהות מערכת בינה מלאכותית, לדעת למה היא אמינה, לדעת למה היא אינה אמינה, ולדעת מתי להסלים.

בפועל, משמעות הדבר היא מודול בסיס לכולם והכשרה מעמיקה יותר לתפקידים הנושאים את הסיכון: צוותי משאבי אנוש, IT ונתונים, רכש, תאימות וניהול. יש לתעד מי עבר הכשרה ומתי. יש לחזור על כך כאשר מוצגת מערכת חדשה ומשמעותית או כאשר המסגרת המשפטית משתנה, דבר שאינו נדיר בתחום זה.

מי מפקח על חוק הבינה המלאכותית בהולנד

הפיקוח מאורגן באמצעות רגולטורים קיימים ולא באמצעות סוכנות חדשה אחת. הממשלה פרסמה את טיוטת Uitvoeringswet AI-verordening (חוק יישום רגולציה בתחום הבינה המלאכותית) להתייעצות ציבורית ב-20 באפריל 2026, כאשר ההתייעצות תימשך עד ה-1 ביוני 2026. על פי הטיוטה, ה-Rijksinspectie Digitale Infrastructuur (הרשות ההולנדית לתשתיות דיגיטליות) נוטלת תפקיד מתאם, ה-Autoriteit Persoonsgegevens פועלת כמפקחת כאשר לא יועד רגולטור מגזרי, והמפקחים המגזריים הקיימים שומרים על תחומים משלהם. הצעת החוק טרם אומצה, וכניסתה לתוקף תיקבע בצו מלכותי; עד אז, הקצאת סמכויות האכיפה הלאומיות אינה סופית. עם זאת, תקרות הענישה מגיעות מחוק הבינה המלאכותית עצמו, כאשר הרמה הגבוהה ביותר של עד שבעה אחוזים מכלל המחזור השנתי העולמי שמורה לפרקטיקות האסורות.

ממלאי ראשון ועד למדיניות בינה מלאכותית פעילה

מדיניות שמגיעה לפני המלאי נוטה לאסור דברים שאף אחד לא עושה ולהרשות דברים שאף אחד לא בדק. התחילו בגילוי מה באמת נמצא בשימוש, כולל תכונות בינה מלאכותית בתוך תוכנות קיימות והכלים שהעובדים אימצו בעצמם. סקר קצר וסודי בדרך כלל מייצר יותר מבקשה רשמית לראשי מחלקות.

סווגו כל יישום לאחר מכן: אסור, בעל סיכון גבוה תחת נספח III, כפוף לחובות שקיפות, או בעל סיכון נמוך. לאחר מכן, העריכו את הסיכון המשפטי והארגוני של היישומים החשובים, תוך שילוב סיווג חוק הבינה המלאכותית עם ניתוח ה-GDPR, ובמקרים בהם העובדים מושפעים, דיני עבודה ושאלות של ועד העובדים. רק לאחר מכן, נסחו את המדיניות והתאימו אותה למסגרות הפרטיות, אבטחת המידע, הרכש ומשאבי האנוש שכבר קיימות במקום לכתוב סט מקביל של כללים.

יישום הוא המקום שבו רוב המדיניות נכשלת. הכללים צריכים להגיע למקומות שבהם מתקבלות החלטות: תבניות רכש וחוזי ספקים, תהליך קליטת תוכנה חדשה, הליך הגיוס, הליך האירועים ולוח הזמנים של ההדרכה. לבסוף, קבעו מחזור סקירה. יש לסקור לפחות פעם בשנה, ותמיד כאשר מוצגת מערכת חדשה ומשמעותית, כאשר המסגרת המשפטית משתנה או לאחר אירוע.

שלושה דברים שכדאי לעשות לפני סוף הרבעון הזה. בדוק שאף אפליקציה בשימוש אינה נכללת בפרקטיקות האסורות, מכיוון שכללים אלה ניתנים לאכיפה מאז פברואר 2025. בדוק שהמערכות הפונות ללקוחות ומערכות הפקת התוכן שלך עומדות בחובות השקיפות של סעיף 50 שנכנסו לתוקף ב-2 באוגוסט 2026. בדוק שכל מערכת שנכללת בקטגוריית הסיכון הגבוה של נספח III מסוגלת מבחינה חוזית לעמוד בדרישות דצמבר 2027, מכיוון שניהול משא ומתן מחדש על כך בשנת 2027 יהיה יקר משמעותית מאשר הסכמה על כך כעת.

Law & More מייעץ לארגונים בנוגע לסיווג מערכות בינה מלאכותית, ניסוח ויישום של מדיניות בינה מלאכותית, הסכמי ספקים ורישיונות עבור יישומי בינה מלאכותית, ובנוגע לשאלות בנוגע לפרטיות ודיני עבודה הנלוות אליהם. עורכי דין בתחום ה-IT נשמח לבחון את מצבך הנוכחי ולספר לך היכן נמצאים הפערים. אנא צור איתנו קשר כדי לדון במצבך.

שאלות נפוצות