מי אחראי לאוריינות בינה מלאכותית? מדוע חוק הבינה המלאכותית של האיחוד האירופי מטיל את האחריות עליכם

מי אחראי לאוריינות בינה מלאכותית? חוק ה-AI האירופי מציב את האחריות אצל הארגון

עובדת במחלקת השיווק מזינה לכלי בינה מלאכותית מסמך ובו מידע על לקוחות. מנהל גיוס מסתמך על דירוג מועמדים שמפיקה מערכת אוטומטית. צוות שירות בונה, באמצעות פלטפורמת ללא קוד, צ'טבוט שעונה לעובדים על שאלות בנושאי שכר וזכויות.

אף אחד מהאנשים האלה אינו מפתח מודלים. ובכל זאת, הארגון שלהם עשוי להיחשב ל"מפעיל" של מערכת בינה מלאכותית לפי חוק הבינה המלאכותית של האיחוד האירופי. מכאן נגזרת חובה שכבר אי אפשר לדחות: לוודא שלאנשים המשתמשים במערכות האלה מטעם הארגון יש אוריינות בינה מלאכותית המתאימה לתפקידם.

סעיף 4 לתקנה האירופית EU 2024/1689 חל מאז 2 בפברואר 2025. מרבית הוראות החוק נכנסו לתחולה ב-2 באוגוסט 2026, אף שלחלק מהמערכות בסיכון גבוה נקבעו מועדים אחרים. המשמעות המעשית היא שאוריינות AI אינה פרויקט עתידי שמחכה לסיום תקופת ההיערכות. זו חובה קיימת, שארגונים צריכים להיות מסוגלים להסביר כיצד הם מיישמים אותה.

התשובה הקצרה לשאלה מי אחראי היא זו: האחריות המשפטית מוטלת על ספקים ומפעילים של מערכות בינה מלאכותית. בתוך הארגון, לעומת זאת, אי אפשר להפקיד אותה בידי מחלקה אחת. ההנהלה צריכה לקבוע בעלות, והביצוע דורש שיתוף פעולה בין משפטים, משאבי אנוש, מערכות מידע, אבטחת מידע, ניהול סיכונים והיחידות העסקיות.

מה דורש סעיף 4 לחוק הבינה המלאכותית?

החוק דורש מספקים וממפעילים של מערכות AI לנקוט אמצעים שיבטיחו, ככל האפשר, רמה מספקת של אוריינות בינה מלאכותית בקרב עובדים ואנשים אחרים המפעילים מערכות כאלה מטעמם. בעת קביעת האמצעים יש להתחשב בידע הטכני, בניסיון, בהשכלה ובהכשרה של אותם אנשים, וכן בהקשר שבו המערכת משמשת ובאנשים שעליהם היא עשויה להשפיע.

הניסוח הזה חשוב. הוא אינו דורש מכל עובד ללמוד כיצד מאמנים מודל שפה, לכתוב קוד או להבין נוסחאות סטטיסטיות. הוא כן דורש הבנה מעשית: מה המערכת עושה, מהן מגבלותיה, אילו נתונים מותר להזין אליה, מתי נדרשת בדיקה אנושית וכיצד מדווחים על טעות או אירוע חריג.

החוק גם אינו קובע תוכנית לימודים אחידה, מספר שעות חובה או תעודה אירופית רשמית. הגמישות מאפשרת לכל ארגון להתאים את ההדרכה לסיכונים האמיתיים שלו. אך היא גם יוצרת מלכודת: קשה להסתפק בסרטון כללי שנשלח פעם בשנה ולראות בכך הוכחה לאוריינות אפקטיבית.

לפי ההסברים שפרסמה הנציבות האירופית, קריאת הוראות השימוש של מערכת אינה בהכרח אמצעי מספיק. ארגון צריך לבחון מי משתמש בכלי, לשם מה, באיזה מידע ובאילו החלטות. ככל שההשפעה האפשרית על עובדים, לקוחות או אזרחים גבוהה יותר, כך נדרשת הכשרה ממוקדת ומעמיקה יותר.

מיהו "מפעיל" ומדוע ההגדרה נוגעת כמעט לכל עסק?

בחוק האירופי, מפעיל הוא גוף המשתמש במערכת בינה מלאכותית בסמכותו, במסגרת פעילות מקצועית. לכן האחריות אינה שמורה לחברות שמפתחות מודלים או מוכרות מוצרי AI. גם חברה שרוכשת שירות תוכנה ומשתמשת ביכולת הבינה המלאכותית המובנית בו יכולה להיות מפעילה.

בנק המשתמש במערכת לאיתור עסקאות חשודות, רשת קמעונאית שמפעילה צ'טבוט לשירות לקוחות וחברת שירותים שמטמיעה עוזר כתיבה לעובדים — כולם עשויים להיכנס להגדרה. הדבר נכון גם כאשר יכולת ה-AI נוספה לעדכון של מערכת שכבר הייתה בארגון, ולא נרכשה כפרויקט חדש.

זו נקודה קריטית בעולם של פלטפורמות ללא קוד. כיום אפשר להקים במהירות תהליך שמסכם פניות, מדרג לידים, מנתב בקשות או מייצר תשובות אוטומטיות, בלי להפעיל צוות פיתוח. קלות ההקמה אינה מבטלת את האחריות. להפך: כאשר יותר עובדים יכולים לבנות פתרונות, הארגון זקוק לכללי שימוש, לבקרות ולהכשרה שמגיעים גם אל בוני התהליכים העסקיים.

סעיף 4 אינו מוגבל רק למערכות המסווגות כ"סיכון גבוה". רמת ההכשרה יכולה להשתנות לפי הסיכון, אך גם שימוש בעוזר גנרטיבי, מנוע חיפוש מבוסס AI או כלי לסיכום ישיבות מחייב שיקול דעת. אפילו מערכת שנראית שולית עלולה לחשוף מידע חסוי, להפיק תשובה שגויה או להוביל עובד לקבל החלטה על בסיס תוכן משכנע אך לא מבוסס.

מי צריך להוביל את אוריינות ה-AI בתוך הארגון?

הטעות הנפוצה היא להעביר את הנושא למחלקה המשפטית ולחכות למדיניות. משפטנים יכולים לפרש את החוק ולהגדיר מגבלות, אך הם אינם שולטים לבדם בתהליכי העבודה, במערכות, בהדרכה ובהרגלים היומיומיים של העובדים.

גם מחלקת מערכות המידע אינה יכולה לשאת באחריות לבדה. היא עשויה לנהל רישיונות, הרשאות ואבטחה, אך לא תמיד יודעת כיצד מנהל גיוס מפרש ציון שמפיקה מערכת, או כיצד נציג שירות משתמש בתשובה שנוצרה אוטומטית בשיחה רגישה עם לקוח.

מודל יעיל יותר מתחיל באחריות הנהלתית ברורה. מנהל בכיר או ועדת ממשל צריכים לאשר את מדיניות ה-AI, להגדיר מי רשאי לקבל החלטות ולוודא שיש תקציב, מדידה ותהליך דיווח. מתחת לרמה הזאת נדרשת חלוקת עבודה מעשית.

המחלקה המשפטית מפרשת את דרישות הדין; מערכות מידע ואבטחת מידע ממפות כלים ומנהלות גישה; משאבי אנוש והדרכה מתאימים את התכנים לקבוצות עובדים; ניהול סיכונים קובע את רמת הבקרה; והיחידות העסקיות אחראיות להבין כיצד השימוש משפיע על לקוחות, עובדים והחלטות.

בארגונים שבהם האינטראנט או סביבת העבודה הדיגיטלית משמשים שער מרכזי לעובדים, גם למנהלי הערוצים האלה יש תפקיד מהותי. הם יכולים להפוך מדיניות משפטית להנחיות שימושיות, להציג דוגמאות, להפנות לכלים מאושרים ולאפשר דיווח פשוט על בעיות.

אוריינות אינה קורס אחיד לכל העובדים

עובד שמשתמש ב-AI כדי לנסח טיוטת דוא"ל אינו זקוק לאותה הכשרה כמו מנהלת משאבי אנוש שמפעילה כלי לסינון מועמדים. שניהם צריכים להבין את עקרונות הבסיס, אך הסיכון, סוג הנתונים והשלכות הטעות שונים לחלוטין.

לעובדים כלליים כדאי להסביר כיצד לזהות פלט שגוי, מדוע אין להזין מידע רגיש לכלי לא מאושר, מה ההבדל בין טיוטה לבין מקור מוסמך ומתי יש לציין שנעשה שימוש ב-AI. לבוני אוטומציות ללא קוד נדרש רובד נוסף: בחירת מקורות מידע, הרשאות, בדיקות לפני פרסום, טיפול בכשל ותיעוד השינויים בתהליך.

מנהלים שמקבלים החלטות בסיוע מערכת צריכים להבין שהמלצה אלגוריתמית אינה מסירה מהם אחריות. אם כלי מדרג מועמדים, חוזה נטישת לקוחות או מציע למי להעניק אשראי, יש לבחון את איכות הנתונים, את ההטיות האפשריות ואת הנסיבות שבהן חייב אדם להתערב.

גם רכש הוא קהל יעד חשוב. מנהלי רכש ומוצר צריכים לדעת אילו שאלות להפנות לספק: על אילו נתונים נשען השירות, האם מידע ארגוני משמש לאימון, היכן נשמרים הנתונים, אילו יומנים זמינים, כיצד מדווחים על תקרית ומה משתנה כאשר הספק מעדכן את המודל.

הבעיה שהמדיניות לא רואה: בינה מלאכותית בצללים

המערכת המאושרת של הארגון היא רק חלק מהתמונה. עובדים יכולים לפתוח חשבון בכלי חיצוני בתוך דקות, להפעיל תוסף בדפדפן או לחבר מודל שפה לפלטפורמת אוטומציה. לפעמים הכוונה טובה: לחסוך זמן, לסכם מסמך או לתת שירות מהיר יותר. הסיכון נוצר כאשר הארגון אינו יודע שהשימוש מתקיים.

אי אפשר להדריך ביחס לכלי שאינו מופיע במיפוי, לבדוק תהליך שאיש לא דיווח עליו או להציג לרגולטור כיצד נשלט סיכון שאינו מתועד. איסור גורף אינו תמיד פותר את הבעיה; לעיתים הוא רק מעביר את השימוש מתחת לרדאר.

גישה מעשית משלבת רשימת כלים מאושרים, דרך פשוטה לבקש אישור לכלי חדש וערוץ בטוח להתייעצות. כאשר עובד יודע למי לפנות ומקבל תשובה בזמן סביר, גדל הסיכוי שהארגון יראה את השימוש לפני שהוא הופך לתהליך עסקי קבוע.

שלושה תרחישים שממחישים מה נדרש

מערכת גיוס המסכמת קורות חיים

מגייסת מקבלת תקציר אוטומטי של כל מועמד. אוריינות בסיסית אינה מסתכמת בידיעה היכן ללחוץ. עליה להבין שהסיכום עלול להשמיט ניסיון רלוונטי, לשקף הטיה בנתונים או לייחס משקל מופרז למונחים מסוימים. הארגון צריך להגדיר אם מותר לפסול מועמד על בסיס התוצר, מי בודק את המקור וכיצד מתעדים את ההחלטה.

צ'טבוט פנים-ארגוני בתחום משאבי אנוש

צ'טבוט שמסביר מדיניות חופשה נראה כמו כלי בסיכון נמוך, עד שהוא נותן תשובה שגויה לעובדת בנוגע לזכאות. ההכשרה צריכה ללמד את צוות משאבי האנוש כיצד לעדכן מקורות, לזהות שאלות רגישות ולהעביר מקרים מורכבים לטיפול אנושי. לעובדים יש להבהיר מתי התשובה היא מידע כללי ומתי נדרש אישור רשמי.

אוטומציה ללא קוד לטיפול בתלונות לקוחות

מנהל שירות בונה תהליך שקורא פנייה, מסווג את חומרתה ומציע תשובה. לפני ההפעלה צריך לבדוק אילו נתונים עוברים למודל, מה קורה כאשר הסיווג שגוי, מי מאשר תשובות בנושאים רגישים ואילו לוגים נשמרים. זו בדיוק הנקודה שבה אוריינות AI מתחברת לממשל מוצר ולניהול תפעולי.

האם החוק חל גם על חברות מחוץ לאיחוד האירופי?

לחוק הבינה המלאכותית יש תחולה חוץ-טריטוריאלית במצבים מסוימים. הוא עשוי לחול על ספקים ומפעילים מחוץ לאיחוד כאשר הם משווקים או מפעילים מערכת באיחוד, וכן במקרים שבהם תוצר שהפיקה המערכת משמש בתחומי האיחוד.

חברה ישראלית, אמריקאית או בריטית אינה כפופה אוטומטית לכל סעיף רק משום שיש לה לקוחות בינלאומיים. עם זאת, אם יש לה פעילות, עובדים, משתמשים או תהליכי קבלת החלטות באיחוד, נדרשת בדיקה משפטית מסודרת. לדוגמה, כלי גיוס מרכזי המסייע לסנן מועמדים באירופה עשוי ליצור זיקה ברורה לתחולת החוק.

ארגונים גלובליים בוחרים לעיתים להחיל רף אחיד על כלל העובדים, במקום לתחזק תוכניות נפרדות לכל מדינה. זה יכול לפשט את ההדרכה ואת הממשל, אך אינו מחליף בדיקה של דינים מקומיים. בארצות הברית, למשל, קיימות דרישות מדינתיות ומקומיות בנוגע לכלי החלטה אוטומטיים, ובהן כללים החלים על שימושים מסוימים בתחום התעסוקה.

איך מוכיחים שננקטו צעדים סבירים?

החוק אינו מחייב תעודה מסוימת, אך ארגון צריך להיות מסוגל להציג תהליך אמין. תיעוד הוא ההבדל בין אמירה כללית — "הדרכנו את העובדים" — לבין ראיות שמראות מי הוכשר, באילו נושאים, ביחס לאיזה כלי ומתי התוכן עודכן.

כדאי לשמור מיפוי של מערכות ושימושים, חלוקה של העובדים לקבוצות לפי תפקיד וסיכון, חומרי הדרכה, נתוני השתתפות, גרסאות של הנחיות ותיעוד של תרגולים או בדיקות הבנה. בנוסף, רצוי לתעד דיווחים על כשלים ואת השינויים שנעשו בעקבותיהם.

אין צורך להפוך כל פעולה לתיק בירוקרטי. המטרה היא ליצור שרשרת הגיונית: הארגון זיהה שימוש, העריך את הסיכון, הדריך את האנשים הרלוונטיים, בדק שההנחיות מובנות ועדכן אותן כאשר הכלי או התהליך השתנו.

חשוב גם להבחין בין קנס ישיר בגין סעיף 4 לבין המשמעות הרחבה של כשל באוריינות. מסגרת האכיפה אינה מציגה בהכרח קנס עצמאי ופשוט לכל הדרכה חסרה. אולם במקרה של הפרה אחרת, תקרית או נזק, היעדר צעדים ותיעוד עלול להקשות על הארגון להראות שפעל באופן אחראי. את החשיפה המדויקת יש לבחון לפי סוג המערכת, השימוש והדין החל.

סיכום: מה נדרש מהארגון?

נושא	המשמעות המעשית	בעל תפקיד מרכזי
אחריות משפטית	ספקים ומפעילים נדרשים לנקוט אמצעים לאוריינות AI בהתאם להקשר ולסיכון	הנהלה והמחלקה המשפטית
מיפוי מערכות	זיהוי כלים רשמיים, יכולות AI בתוך תוכנות קיימות ושימושים לא מדווחים	מערכות מידע, אבטחה ורכש
הדרכה לפי תפקיד	התאמת התוכן לעובדים, מנהלים, בוני אוטומציות ומקבלי החלטות	משאבי אנוש, הדרכה והיחידות העסקיות
בקרה אנושית	הגדרה מתי אפשר להסתמך על תוצר ומתי נדרשת בדיקה או הסלמה	מנהלי תהליך, מוצר וסיכונים
תיעוד	שמירת ראיות למיפוי, להכשרה, להנחיות, לבדיקות ולעדכונים	בעל התהליך או צוות ממשל AI
שיפור מתמשך	עדכון ההדרכה כאשר מערכות, ספקים, סיכונים או שימושים משתנים	כל הגורמים במודל ממשל משותף

חמש שאלות שכל הנהלה צריכה לשאול עכשיו

1. האם אנחנו יודעים באילו מערכות בינה מלאכותית העובדים משתמשים, לרבות יכולות המובנות בתוכנות קיימות וכלי ללא קוד?
2. מי בארגון נושא באחריות הנהלתית לאוריינות AI, ומי מוסמך לעצור שימוש שאינו בטוח?
3. האם ההדרכה מותאמת לתפקיד ולרמת הסיכון, או שכל העובדים מקבלים את אותו תוכן כללי?
4. האם העובדים יודעים אילו נתונים אסור להזין, כיצד לבדוק תוצר ולמי לדווח על טעות?
5. האם נוכל להציג תיעוד ברור של הצעדים שנקטנו ושל השינויים שביצענו בעקבות אירועים או עדכוני מערכת?

אוריינות בינה מלאכותית אינה עוד שם להדרכת מודעות. היא היכולת של אנשים להשתמש במערכת מתוך הבנה של כוחה, מגבלותיה והאחריות הנלווית אליה. חוק ה-AI האירופי הופך את היכולת הזאת לחלק מממשל ארגוני, ולא ליוזמה אופציונלית של צוות החדשנות.

הארגונים שיטפלו בנושא היטב לא יהיו בהכרח אלה שיציעו את הקורס הארוך ביותר. אלה יהיו הארגונים שידעו לחבר בין כלים, תפקידים, סיכונים והחלטות — ולתת לעובדים הנחיות שאפשר ליישם ברגע שבו הבינה המלאכותית פוגשת עבודה אמיתית.