מערכות AI בסיכון גבוה באיחוד האירופי: מועדי החובה, דרישות הציות והקנסות

הנקודה החשובה היא לוח הזמנים: מלוא החובות של האיחוד האירופי לגבי מערכות בינה מלאכותית בסיכון גבוה נדחו — הן עדיין אינן חלות על כלל המערכות הללו. מערכות עצמאיות המופיעות בנספח III לחוק צפויות להיות כפופות לדרישות החל מ־2 בדצמבר 2027. מערכות AI בסיכון גבוה שהן חלק ממוצרים מסוימים שכבר מוסדרים בדין האירופי יקבלו מועד מאוחר יותר: 2 באוגוסט 2028. 18

עבור חברות המתכננות לשווק מערכות כאלה באיחוד האירופי, המשמעות המעשית היא להקים כבר כעת תהליך ציות שמסוגל להוכיח בטיחות, עקיבות ואחריותיות — עוד לפני ההשקה.

אילו מערכות נחשבות ל״סיכון גבוה״?

הקטגוריה כוללת שתי קבוצות מרכזיות:

• מערכות AI המשמשות רכיב בטיחות במוצרים הכפופים לחקיקת מוצר אירופית מסוימת, כאשר המוצר מחויב בבדיקת התאמה של צד שלישי.
• מערכות AI לשימושים מסוימים המנויים בנספח III, בכפוף לתנאים ולחריגים הקבועים בחוק. 15

הסיווג קריטי: הגדרה כמערכת בסיכון גבוה מפעילה חובות נרחבות לאורך מחזור החיים של המוצר, מעבר לאלו החלות על כלי AI רגילים.

דרישות הציות שספקים צריכים להכין

החובות אינן אמורות להיבנות רק כאשר רגולטור מבקש הסברים. הן צריכות להיות חלק מתהליך הפיתוח, הבדיקות וההפצה של המערכת.

ניהול סיכונים וממשל נתונים

על הספקים להפעיל אמצעים להערכת סיכונים ולהפחתתם. עליהם גם להשתמש במערכי נתונים באיכות מספקת כדי לצמצם סיכון לתוצאות מפלות. המסגרת למערכות בסיכון גבוה מדגישה נתוני אימון, אימות ובדיקה רלוונטיים, מייצגים ומנוהלים כראוי. 115

תיעוד ועקיבות

מערכות בסיכון גבוה נדרשות לשמור יומני פעילות, כדי לאפשר עקיבות אחר תוצאותיהן, וכן תיעוד טכני מפורט של המערכת ושל ייעודה. החומרים האלה אמורים לאפשר לרשויות לבדוק אם המערכת עומדת בדרישות החוק. 1

פיקוח אנושי וחוסן תפעולי

החוק דורש מנגנוני פיקוח אנושי הולמים, לצד רמה גבוהה של דיוק, עמידות ואבטחת סייבר. הספקים יצטרכו למסור למפעילי המערכת מידע ברור ומספק, כדי שיוכלו להשתמש בה בהתאם לייעודה ולהבין את מגבלותיה. 1

הערכת התאמה, רישום ומעקב לאחר ההשקה

לפני הוצאת מערכת בסיכון גבוה לשוק, הספק יצטרך להשלים את הליך הערכת ההתאמה הרלוונטי. במקרים שבהם הדבר נדרש, עליו לרשום את המערכת, לעקוב אחר ביצועיה לאחר ההשקה ולדווח על אירועים חמורים. כלומר, ציות אינו אישור חד־פעמי אלא יכולת תפעולית מתמשכת. 115

רשימת בדיקה מעשית לקראת 2027 ו־2028

ארגונים צריכים להיות מסוגלים להשיב על השאלות הבאות:

1. האם המערכת אכן בסיכון גבוה? יש למפות את השימוש המיועד מול הקטגוריות בנספחים I ו־III.
2. מי אחראי? יש להגדיר בעלות ברורה על בטיחות המוצר, ציות משפטי, תיעוד וטיפול באירועים.
3. האם אפשר להוכיח שהסיכונים נבדקו והופחתו? נדרש תהליך ניהול סיכונים עקבי, עם תוצאות בדיקה ותיעוד החלטות.
4. האם בקרות הנתונים ניתנות להגנה? יש לתעד רלוונטיות, ייצוגיות, בדיקות איכות ומגבלות ידועות של מערכי הנתונים.
5. האם אפשר לבקר את המערכת? יש לשמר לוגים, תיק טכני והוראות שימוש שמבהירות את הייעוד ואת המגבלות.
6. האם הפיקוח האנושי עובד בפועל? יש לקבוע מתי אדם יכול להתערב, לעקוף פלט או להפסיק את פעולת המערכת.
7. האם המעקב לאחר השיווק מוכן לפעולה? נדרשים תהליכים לניטור ביצועים, פעולות תיקון ודיווח על אירועים.

אילו קנסות עשויים לחול?

מנגנון הקנסות בחוק ה-AI משלב תקרות כספיות באירו ואחוז מהמחזור השנתי העולמי. ברף החמור ביותר — בגין פרקטיקות AI אסורות — הקנס עשוי להגיע ל־35 מיליון אירו או 7% מהמחזור השנתי העולמי. על אי־ציות אחר עשויים לחול קנסות של עד 15 מיליון אירו או 3% מהמחזור השנתי העולמי. 3

גובה הקנסות האפשרי מחייב מעורבות רחבה יותר ממחלקה משפטית בלבד. צוותי מוצר, אבטחת מידע, מדעי הנתונים, רכש, ציות ותפעול צריכים להיות מסוגלים להציג ראיות לכך שאמצעי ההגנה פועלים.

למה הדחייה לא מאפשרת לחכות?

המועדים החדשים נותנים לחברות זמן היערכות, אך אינם מצמצמים את היקף החובות. חברה שתמתין לסוף 2027 עלולה לגלות שנותר לה מעט מדי זמן לבנות מערכי תיעוד, להתאים את שיטות פיתוח המודלים, ליישם רישום פעילות, לבחון מנגנוני פיקוח ולהקים תהליכי דיווח לאחר ההשקה.

הגישה היעילה היא להתייחס לחוק ה-AI של האיחוד האירופי כאל תקן ממשל מוצר: לזהות מוקדם שימושים בסיכון גבוה, לאסוף ראיות לאורך הפיתוח, ולשלב בטיחות, עקיבות ושליטה אנושית בתהליך השחרור של המוצר. 115