מאז 2 בפברואר 2025 חלים בפועל שני הפרקים הראשונים של חוק ה-AI האירופי: רשימת שימושים ב-AI שנאסרו כליל, וחובה על מי שמפתח או מפעיל מערכות AI להבטיח רמה מספקת של אוריינות AI אצל העובדים. בימים שאחרי המועד פרסמה הנציבות האירופית שתי הנחיות פרשנות ראשונות.
מה נכנס לתוקף
תקנה (EU) 2024/1689, חוק ה-AI האירופי, נכנסה לתוקף באוגוסט 2024, אבל היא חלה בשלבים. לפי סעיף 113 לתקנה, פרקים I ו-II חלים מ-2 בפברואר 2025. פרק I כולל את ההוראות הכלליות, ובהן ההגדרות וסעיף 4 על אוריינות AI. פרק II כולל סעיף אחד, סעיף 5, שמונה את הפרקטיקות האסורות.
סעיף 5(1) אוסר שמונה סוגי שימוש: טכניקות סמויות, מניפולטיביות או מטעות שמעוותות התנהגות וגורמות נזק משמעותי; ניצול פגיעות הנובעת מגיל, ממוגבלות או ממצב חברתי או כלכלי; דירוג חברתי (Social Scoring) שמוביל ליחס פוגעני או לא מידתי; הערכת סיכון לביצוע עבירה שמבוססת רק על פרופיילינג או על תכונות אישיות; בניית מאגרי זיהוי פנים באמצעות איסוף לא ממוקד של תמונות מהאינטרנט או ממצלמות אבטחה; זיהוי רגשות במקום העבודה ובמוסדות חינוך, למעט מטעמים רפואיים או בטיחותיים; קטגוריזציה ביומטרית שמסיקה גזע, דעות פוליטיות, חברות באיגוד, אמונה דתית או נטייה מינית; וזיהוי ביומטרי מרחוק בזמן אמת במרחב ציבורי לצורכי אכיפת חוק, למעט חריגים מוגדרים.
חובת האוריינות
סעיף 4 קצר, אבל רחב במיוחד. הוא מחייב ספקים (Providers) ומפעילים (Deployers) של מערכות AI לנקוט צעדים כדי להבטיח, ככל יכולתם, רמה מספקת של אוריינות AI אצל העובדים ואצל מי שמפעיל מערכות AI מטעמם. הרמה הנדרשת נקבעת לפי הידע, הניסיון וההכשרה של אותם אנשים, ההקשר שבו המערכת פועלת והאנשים שמושפעים ממנה.
החובה לא מוגבלת למערכות בסיכון גבוה. Jones Day מדגישים שהיא חלה גם על מערכות בסיכון נמוך או בלי סיכון כלל. המשמעות המעשית: כל ארגון באיחוד שעובדיו משתמשים בכלי AI במסגרת מקצועית, כולל משרד עורכי דין שעובד עם צ'טבוט או עם כלי לסקירת מסמכים, נכנס בגדר "מפעיל" ונדרש לחשוב על הדרכה. ב-Lewis Silkin מציינים שלא צפויה אכיפה משמעותית של הסעיף עד שיתווסף לו תוכן מעשי, למשל דרך קוד התנהגות.
הנחיות הנציבות ולוח האכיפה
ב-4 בפברואר פרסמה הנציבות הנחיות לפרשנות הפרקטיקות האסורות, עם הסברים משפטיים ודוגמאות מעשיות. ההנחיות אינן מחייבות, והנציבות מציינת שפרשנות מוסמכת שמורה לבית הדין של האיחוד האירופי. ב-6 בפברואר פורסמו הנחיות נוספות על הגדרת "מערכת AI" לפי סעיף 3(1), שאמורות לעזור לארגונים לקבוע אם התוכנה שלהם בכלל נכנסת לגדר החוק.
הסנקציות עדיין לא חלות. פרק XII, שעוסק בעונשים, חל רק מ-2 באוגוסט 2025, ועד אז המדינות החברות צריכות גם למנות רשויות אכיפה. לפי סעיף 99(3), הפרת האיסורים שבסעיף 5 חושפת לקנס של עד 35 מיליון אירו או 7% מהמחזור העולמי השנתי, הגבוה מביניהם. לסעיף 4 לא נקבע קנס ייעודי. רוב שאר החובות, כולל אלה של מערכות בסיכון גבוה לפי נספח III, יחולו מ-2 באוגוסט 2026.
הזווית הישראלית
החוק לא עוצר בגבולות האיחוד. לפי סעיף 2(1) לתקנה, הוא חל על ספקים שמציבים מערכות AI בשוק האירופי גם אם הם ממוקמים מחוץ לאיחוד, וגם על ספקים ומפעילים במדינה שלישית כשהתוצר של המערכת משמש באיחוד. חברות ישראליות שמוכרות מוצרי AI ללקוחות אירופיים, ועורכי הדין שמלווים אותן, צריכים לבדוק כבר עכשיו שהמוצר לא נוגע באחת משמונה הקטגוריות האסורות, ולתכנן מסגרת הדרכה שתענה על חובת האוריינות.
מקורות
- EUR-Lex: Regulation (EU) 2024/1689 (Artificial Intelligence Act)
- European Commission: Guidelines on prohibited AI practices
- European Commission: Guidelines on the AI system definition
- Jones Day: EU AI Act first rules take effect on prohibited AI systems
- Lewis Silkin: Prohibited practices and AI literacy requirements now applicable