חוק ה-AI האירופי לא רק מסמן את תחילתו של עידן חדש ברגולציה טכנולוגית, אלא גם מציב אתגרים ואפשרויות חדשות בפני חברות טכנולוגיה, מפתחים ומשתמשים ברחבי העולם. כפי שנראה, ההשלכות של חוק זה צפויות להדהד הרבה מעבר לגבולות אירופה, ולהשפיע על האופן שבו אנו מפתחים, מיישמים ומשתמשים בטכנולוגיות AI בכל מקום.
ביקשנו מעו"ד וד"ר למשפטים ולרפואה דני טובי, יו"ר משותף של מחלקת בינה מלאכותית וניתוח נתונים הגלובלית בפירמת עוה"ד הבינ"ל DLA Piper, להסביר את עיקרי השינויים שמביא עמו החוק ומשמעותם.
מלבד היותה אחת מפירמות עריכת הדין הגדולות בעולם, המעסיקה כמעט 5,000 עורכי דין מ־50 מדינות ברחבי העולם, בהן ישראל, צוות הבינה המלאכותית של DLA Piper זכה השנה בהכרה כ"חברת הטכנולוגיה החדשנית של השנה" על ידי ה- Financial Times, ובפרס "השימוש הטוב ביותר ב-AI על-ידי משרד עורכי דין לשנת 2024" מטעם Law.com.
מסקרן לשמוע את רשמיו של טובי, לאור המעורבות העמוקה של DLA Piper בתהליך יצירת חוק ה-AI האירופי, הייעוץ ללקוחות באירופה ובעולם בפגישות מפתח עם מחוקקי האיחוד האירופי, והייעוץ השוטף לגופים חשובים כמו הנציבות האירופית, OECD, ISO, ממשלת בריטניה, NIST ואחרים המעורבים בקביעת תקנים והתפתחויות רגולטוריות.
אז על מה בעצם אנחנו מדברים?
החל מה-1 באוגוסט 2024, האיחוד האירופי (EU) מכניס לתוקף את תקנה EU 2024/1689, המכונה "חוק ה-AI". זהו החוק המקיף הראשון בעולם המסדיר את השימוש בבינה מלאכותית (AI). פרסום החוק מגיע יותר משלוש שנים לאחר שהטיוטה המקורית הוצגה על ידי נציבות האיחוד האירופי באפריל 2021. חוק ה-AI נועד להוות את הבסיס לממשל ורגולציה של AI ברחבי האיחוד האירופי, עם השלכות על חברות וחקיקה מתפתחת ברחבי העולם.
"למרות שהחוק מתמקד בעיקר בארגונים ואנשים בתוך גבולות האיחוד האירופי, יש לו השפעה בינלאומית רחבה", מסביר טובי. "ארגונים מחוץ לאירופה, כולל אלה הפועלים בארצות הברית, עשויים להיות כפופים לדרישות החוק גם אם אין להם נוכחות פיזית במדינה החברה באיחוד האירופי", מבהיר.
תוכנו של חוק ה-AI האירופי
החוק מאמץ גישה מבוססת סיכון לרגולציה של מערכות AI, ומגדיר ארבע קטגוריות סיכון: סיכון בלתי קביל, סיכון גבוה, סיכון מוגבל וסיכון מינימלי. קטגוריות אלו נעות ממערכות AI המהוות סיכון משמעותי לפרטים ולזכויותיהם ועד למערכות בעלות השפעה מינימלית. החוק מטיל חובות שונות על מפתחים ומיישמים של מערכות AI, בהתאם לקטגוריית הסיכון ולתפקידם בשרשרת הערך של המערכת.
טובי מסביר את ההבדלים בין הקטגוריות, ולא פחות חשוב מכך - את המשמעות שלהם, שרלוונטית כאמור למרבית חברות ההייטק הישראליות.
- סיכון בלתי קביל היא קטגוריה המיועדת למערכות AI או לשימושים בהן שעלולים לגרום נזק משמעותי ולפגוע בזכויותיהם של אנשים בצורה בלתי נסבלת. לדוגמה, מערכת המיועדת למניפולציה של קשישים. שימושים מסוג זה אסורים ונחשבים למסוכנים ביותר.
- סיכון גבוה היא קטגוריה הכוללת מערכות AI ושימושים כגון שימוש בתחום ההעסקה או מערכות הדורשות הערכת תאימות לתקנות קיימות, כמו למשל התקנות הרפואיות. מערכות אלו כפופות לדרישות רגולטוריות מחמירות.
- סיכון מוגבל היא קטגוריה שכוללת מערכות AI ושימושים שאינם נכנסים לקטגוריית הסיכון הגבוה, אך מעוררים חששות מסוימים בנוגע לשקיפות ודורשים דיווחים מסוימים. לדוגמה, צ'אטבוטים.
- סיכון מינימלי היא קטגוריה שמתייחסת למערכות AI ושימושים בעלי השפעה מזערית על אנשים וזכויותיהם, כמו למשל מסנני דואר זבל. מערכות אלו אינן כפופות ישירות לתקנות החוק לבינה מלאכותית, אלא לתקנות אחרות הקיימות ברחבי האיחוד האירופי ובמדינות החברות.
מקמו את עצמכם על סקאלת הסיכון
טובי מסביר כי ההבדלים בין הקטגוריות השונות באים לידי ביטוי בחובות המוטלות על מפתחים ומיישמים של מערכות בינה מלאכותית. הוא מסביר כי "בעוד מערכות בסיכון גבוה מחויבות לעבור הערכת תאימות קפדנית, לדווח על תקלות, לשמור על שקיפות לגבי תהליך קבלת ההחלטות של המערכת ולהבטיח את האפשרות של התערבות אנושית; מערכות בסיכון מוגבל מחויבות לדווח על מידע מסוים בלבד, כגון מטרת המערכת והנתונים המשמשים לאימונה, ומערכות בסיכון מינימלי כפופות לתקנות כלליות יותר, כגון תקנות הגנת הפרטיות.
בנוסף, החוק מגדיר קטגוריה נפרדת של "AI לשימוש כללי", הכוללת מודלים ומערכות AI המסוגלים לשרת מגוון רחב של מטרות. לקטגוריה זו יש דרישות ציות נוספות, במיוחד עבור מודלים בעלי "סיכון מערכתי".
קנס של עד 35 מיליון אירו
החוק ייכנס לתוקף בהדרגה במהלך השנים הקרובות, כאשר לארגונים יהיו שישה חודשים להבטיח שאינם משתמשים במערכות AI המהוות סיכון בלתי קביל, ו-24 חודשים להיערך לדרישות התפעוליות עבור מערכות AI בסיכון גבוה.
אי-ציות לחוק עלול להוביל לקנסות כבדים, הנעים בין 7.5 מיליון אירו או 1% מהמחזור השנתי העולמי עבור מסירת מידע שגוי או מטעה לרשויות, ועד ל-35 מיליון אירו או 7% מהמחזור השנתי העולמי עבור הפרת איסורים מפורשים."
איך זה נוגע אלינו?
ההשפעה של החוק, כאמור, היא הרבה מעבר לאירופה. לדברי טובי, "הגישה האירופית לרגולציה של AI הופכת במהירות לסטנדרט עבור ממשלות ורגולטורים ברחבי העולם. כבר עכשיו ניתן לראות את השפעתה בארצות הברית ובמדינות אחרות כמו קנדה. למעשה, כל חברה בעולם שרוצה לפנות לקהל אירופי תצטרך לעמוד בכללים ולהשקיע משאבים כדי להבטיח ציות לחוק. לכן, לארגונים בישראל, בארה"ב ובעולם כולו מומלץ כי יתחילו לשקול כיצד הם מתכוונים לציית לחוק ה-AI האירופי, ומה המשמעות של זה עבור הציות ברמה המקומית. פעולה מוקדמת תאפשר לארגונים להתאים את שיטות הציות שלהם באופן המתאים ביותר לפעילותם, תוך הבטחת ציות לחוקים קיימים ואלה הצפויים להיחקק בעתיד הקרוב."
לסיכום, חוק ה-AI האירופי מסמן התחלה של עידן חדש ברגולציה של בינה מלאכותית. ארגונים ברחבי העולם צריכים להיות מודעים להשלכותיו ולהתחיל להיערך בהתאם.