בישראל אין חוק ייעודי לבינה מלאכותית. חברה ישראלית שמפתחת בינה מלאכותית או משתמשת בה כפופה לדין הקיים, ובראשו לחוק הגנת הפרטיות בכל פעם שמעורב מידע אישי, ואם המוצר שלה מוצע באיחוד האירופי או שהפלט שלו משמש שם, גם לחוק הבינה המלאכותית של האיחוד האירופי. התקן ISO/IEC 42001 ומסגרת ניהול הסיכונים של NIST הם וולונטריים: אף חוק לא מחייב אותם, אבל לקוחות, משקיעים ושותפים שואלים עליהם. לתקן אפשר לקבל הסמכה מגוף חיצוני, ולמסגרת של NIST אין הסמכה. שלושתם נשענים על אותם מסמכי ליבה, ולכן מערכת מסמכים אחת שמתוחזקת כראוי יכולה לשמש בסיס לכולם.
מה חל בישראל
מסמך "עקרונות מדיניות, רגולציה ואתיקה בתחום הבינה המלאכותית", שפרסמו משרד החדשנות, המדע והטכנולוגיה ומשרד המשפטים בדצמבר 2023 (הנוסח האנגלי, PDF), מותיר את האסדרה של בינה מלאכותית לרגולטור של כל תחום, ומעדיף זאת על פני חקיקה רוחבית. הוא ממליץ על גישה מבוססת סיכון ועל כלים "רכים", כמו עקרונות אתיים לא מחייבים, תקנים ואסדרה עצמית. התוכנית הלאומית להאצת בינה מלאכותית, שפרסם המטה הלאומי לבינה מלאכותית באוגוסט 2026, ממשיכה באותו כיוון: הפרק שלה על רגולציה עוסק בהסרת חסמים, והיא לא מציעה הצעת חוק לבינה מלאכותית.
גם אסדרה ענפית יכולה להגיע לספק. הדוח הסופי על בינה מלאכותית בסקטור הפיננסי, שפרסם בדצמבר 2025 צוות בין־משרדי שבין חבריו משרד המשפטים והרגולטורים הפיננסיים, מעדיף בשלב זה קווי מדיניות על פני אסדרה קשיחה. הוא מציע לראות בהתקשרות של גוף פיננסי עם צד שלישי לגבי מערכות בינה מלאכותית מיקור חוץ, כשהאחריות נשארת אצל הגוף הפיננסי והדירקטוריון שלו. ארגז הכלים שהדוח מציע לממשל בינה מלאכותית אינו מחייב כל עוד הרגולטורים הפיננסיים לא החליטו אחרת, אבל מכיוון שהאחריות נשארת אצל הבנק או חברת הביטוח, השאלות עשויות להגיע גם לספקים שלהם.
חוק הגנת הפרטיות, התשמ״א–1981, חל על כל מערכת בינה מלאכותית שמעבדת מידע אישי, והרשות להגנת הפרטיות פרסמה טיוטת הנחיה על האופן שבו הוא חל עליהן. הסברנו את זה במאמר מידע אישי בכלי בינה מלאכותית.
התקן ISO/IEC 42001: מערכת ניהול שניתנת להסמכה
התקן ISO/IEC 42001:2023, שפורסם בדצמבר 2023, קובע דרישות להקמה, ליישום, לתחזוקה ולשיפור מתמיד של מערכת לניהול בינה מלאכותית, לכל ארגון שמספק מוצרים או שירותים שמבוססים על בינה מלאכותית או משתמש בהם. כמו ISO/IEC 27001, זה תקן למערכת ניהול: ההסמכה מתייחסת לאופן שבו הארגון מנהל בינה מלאכותית, ולא למוצר מסוים.
תוכן העניינים של התקן מראה מה הוא מבקש מהארגון להקים:
- ההנהלה הבכירה מחויבת למערכת, קובעת מדיניות בינה מלאכותית ומגדירה תפקידים, אחריות וסמכויות.
- הארגון מעריך את סיכוני הבינה המלאכותית שלו ומטפל בהם, ועורך הערכות השפעה למערכות הבינה המלאכותית שלו.
- לאנשים המעורבים יש הכשירות והמודעות שהתפקיד שלהם מחייב.
- נספח A לתקן מונה בקרות לדוגמה, והארגון נעזר בהן כשהוא מטפל בסיכונים.
- מבדק פנימי וסקר הנהלה בודקים שהמערכת עובדת, ואי־התאמות מובילות לפעולה מתקנת ולשיפור מתמיד.
את ההסמכה מעניק גוף הסמכה חיצוני, אחרי מבדק, וארגון התקינה הבין־לאומי עצמו אינו מעניק הסמכות. התקן ISO/IEC 42006:2025, שפורסם ביולי 2025, קובע דרישות נוספות לגופי ההסמכה האלה, ויכול לשמש בסיס להכרה בהם (אקרדיטציה). אקרדיטציה אינה חובה, אבל כשלקוח מבקש תעודת הסמכה, כדאי לבדוק שגוף ההסמכה קיבל אקרדיטציה לתקן הזה.
מכיוון ש־ISO/IEC 42001 בנוי במבנה המשותף לתקני מערכות הניהול של ארגון התקינה הבין־לאומי, חברה שכבר מוסמכת ל־ISO/IEC 27001 יכולה לבנות על הנהלים, המבדקים וסקרי ההנהלה שכבר יש לה. התקן לפרטיות, ISO/IEC 27701, פורסם מחדש באוקטובר 2025 כתקן עצמאי, שכבר לא חייב להישען על ISO/IEC 27001.
לגבי אירופה יש מגבלה אחת: הסמכה ל־ISO/IEC 42001 אינה מוכיחה בעצמה עמידה בחוק הבינה המלאכותית של האיחוד האירופי, שמקנה חזקת התאמה לתקנים הרמוניים שההפניות אליהם פורסמו ביומן הרשמי של האיחוד האירופי. ב־14 באוקטובר 2026 פרסמה הנציבות האירופית את ההפניה לתקן EN 18286:2026, על מערכות ניהול איכות של מערכות בינה מלאכותית בסיכון גבוה, ו־ISO/IEC 42001 אינו ברשימה הזו.
מסגרת ניהול הסיכונים של NIST
המכון הלאומי האמריקאי לתקנים וטכנולוגיה (NIST) פרסם בינואר 2023 את מסגרת ניהול סיכוני הבינה המלאכותית, גרסה 1.0 (AI RMF). היא חינמית ומיועדת לשימוש וולונטרי, ואין עליה הסמכה. בליבה שלה ארבע פונקציות. ממשל (Govern) בונה תרבות של ניהול סיכונים, עם מדיניות, תפקידים ואחריותיות, והוא חוצה את שלוש הפונקציות האחרות. מיפוי (Map) מגדיר את ההקשר של כל מערכת ואת הסיכונים שנובעים ממנו. מדידה (Measure) מנתחת, בודקת ומנטרת את הסיכונים האלה. וניהול (Manage) קובע איך מטפלים בהם ואיך מגיבים לאירועים.
ביולי 2024 הוסיף NIST פרופיל לבינה מלאכותית יוצרת (NIST AI 600-1). לפי NIST, גרסה 1.0 נמצאת בעדכון במסגרת תוכנית הפעולה לבינה מלאכותית של הבית הלבן, ולכן כדאי לבדוק אם יצאה גרסה חדשה לפני שמסתמכים על הנוסח שלה.
חוק הבינה המלאכותית האירופי וחברה ישראלית
חוק הבינה המלאכותית של האיחוד האירופי, תקנה 2024/1689 של האיחוד, חל על חברה מחוץ לאיחוד בשני מקרים עיקריים (סעיף 2(1)). הראשון: ספק שמעמיד בשוק האיחוד מערכת בינה מלאכותית או מודל בינה מלאכותית לשימוש כללי, או מכניס שם מערכת לשימוש, בלי קשר למקום שבו הוא נמצא. השני: ספק או מפעיל מחוץ לאיחוד, שהפלט של מערכת הבינה המלאכותית שלו משמש באיחוד. ספק (provider) הוא מי שמפתח מערכת ומציע אותה בשמו, ומפעיל (deployer) הוא מי שמשתמש במערכת בסמכותו.
תקנה 2026/1744 (Digital Omnibus on AI), שנכנסה לתוקף ב־27 ביולי 2026, דחתה את המועדים של מערכות בסיכון גבוה וריככה חלק מהחובות. הטבלה מרכזת מה חל ממתי:
| החובה | על מי היא חלה | ממתי |
|---|---|---|
| איסור על שימושים מסוימים בבינה מלאכותית | ספקים ומפעילים | 2 בפברואר 2025. איסור חדש, על יצירת תמונות אינטימיות של אדם מזוהה בלי הסכמתו או חומר של פגיעה מינית בילדים, חל מ־2 בדצמבר 2026 |
| אוריינות בינה מלאכותית של העובדים | ספקים ומפעילים | 2 בפברואר 2025. מאז 27 ביולי 2026 החובה היא לנקוט צעדים לקידומה, בלי להבטיח רמה מסוימת |
| מודלים של בינה מלאכותית לשימוש כללי | הספק של המודל עצמו | 2 באוגוסט 2025 |
| שקיפות (סעיף 50): יידוע אנשים שהם מתקשרים עם מערכת בינה מלאכותית, סימון תוכן שנוצר, וסימון זיופים עמוקים | ספקים ומפעילים, כל אחד לפי החובות שלו | 2 באוגוסט 2026. מערכות בינה מלאכותית יוצרת שהועמדו בשוק לפני המועד הזה צריכות לעמוד בחובת הסימון עד 2 בדצמבר 2026 |
| מערכות בסיכון גבוה בתחומים שבנספח III, כמו גיוס עובדים, חינוך ודירוג אשראי | בעיקר ספקים, ומפעילים לגבי החובות שלהם | 2 בדצמבר 2027 |
| מערכות בסיכון גבוה במוצרים שחלים עליהם דיני המוצרים האירופיים שבנספח I | בעיקר ספקים, ומפעילים לגבי החובות שלהם | 2 באוגוסט 2028 |
ספק ישראלי צריך לברר קודם כול אם המוצר שלו מגיע לאיחוד, ובאיזה תפקיד. חברה שבונה את המוצר שלה על מודל של חברה אחרת היא בדרך כלל ספק של מערכת בינה מלאכותית שמשלבת את המודל (downstream provider), ולא הספק של המודל עצמו. צ׳אטבוט או יכולת של בינה מלאכותית יוצרת שמשמשים באיחוד כבר כפופים לחובות השקיפות. ואם שימוש מסוים נכנס לנספח III, לספק יש עד 2 בדצמבר 2027 להקים, בין היתר, מערכת לניהול סיכונים ומערכת לניהול איכות, ואם הוא נמצא מחוץ לאיחוד, גם למנות נציג מורשה באיחוד.
בחירה ושילוב בין המסגרות
כל מסגרת עונה על דרישה אחרת. במקום שבו חוק הבינה המלאכותית האירופי חל, הוא דין מחייב, ושום הסמכה לא מחליפה את העמידה בו. כששאלון של לקוח מבקש הסמכה, ISO/IEC 42001 הוא תקן הבינה המלאכותית שאפשר לקבל עליו הסמכה, והוא מרחיב מערכת ISO/IEC 27001 קיימת. בדיקת נאותות של משקיע בתחום הבינה המלאכותית בוחנת באילו כלים החברה משתמשת, אילו מערכות היא מפתחת, אילו סיכונים היא זיהתה, והאם חל עליה החוק האירופי. המסגרת של NIST יכולה לשמש שיטה להערכת הסיכונים ש־ISO/IEC 42001 דורש, שכן התקן משאיר לארגון לבחור את שיטת ניהול הסיכונים.
בכל מסגרת שתבחרו, אותם מסמכים עושים את רוב העבודה:
- מדיניות שימוש בבינה מלאכותית קובעת מי רשאי להשתמש באילו כלים, לאילו מטרות ועם איזה מידע.
- מרשם מפרט את כלי הבינה המלאכותית שהחברה משתמשת בהם ואת מערכות הבינה המלאכותית שהיא מפתחת או מוכרת, עם אחראי לכל אחד מהם.
- הערכת סיכונים והשפעה נערכת לכל מערכת ומתעדכנת כשהמערכת או השימוש בה משתנים.
- תסקיר השפעה על הפרטיות נערך לכל מערכת שמעבדת מידע אישי, כפי שממליצה טיוטת ההנחיה של הרשות להגנת הפרטיות, וה־GDPR מחייב אותו במקרים מסוימים.
- הגדרת התפקידים קובעת מי מאשר כלי או יכולת חדשים, ומי שמשתמש בבינה מלאכותית עובר הדרכה.
- נוהל לאירועים שקשורים לבינה מלאכותית מתחבר לנוהל הקיים לטיפול באירועי אבטחת מידע.
אין באמור ייעוץ משפטי
המאמר הזה, כמו כל התוכן באתר, הוא מידע כללי בלבד. הוא לא ייעוץ משפטי ולא חוות דעת משפטית, והוא לא מתייחס לנסיבות של ארגון מסוים. הדין משתנה, ומה שהיה נכון ביום הפרסום עשוי שלא להיות נכון היום, ולכן אין להסתמך עליו בלי ייעוץ שמתייחס לעובדות שלכם. קריאת המאמר אינה יוצרת יחסי עורך דין–לקוח.
המאמר משקף את מסמך המדיניות הממשלתי בנושא בינה מלאכותית מדצמבר 2023, את התוכנית הלאומית לבינה מלאכותית מאוגוסט 2026, את הדוח על בינה מלאכותית בסקטור הפיננסי מדצמבר 2025, את חוק הגנת הפרטיות ואת טיוטת ההנחיה של הרשות להגנת הפרטיות בנושא בינה מלאכותית, את חוק הבינה המלאכותית של האיחוד האירופי כפי שתוקן בתקנה 2026/1744, את מסמכי NIST AI 100-1 ו־NIST AI 600-1, ואת התיאורים שפורסמו של התקנים ISO/IEC 42001, ISO/IEC 42006 ו־ISO/IEC 27701. השאלה אם החוק האירופי חל על מוצר מסוים תלויה בנסיבות שלו. המידע נכון ליום 19 באוקטובר 2026.