חוק ה-AI האירופי ו-ISO 42001: מה חברה ישראלית צריכה לדעת

התשובה הקצרה: כן, חוק ה-AI האירופי יכול לחול על חברה ישראלית בלי שום משרד באירופה. הוא תופס כל מי שמוכר מערכת AI לשוק האירופי, וגם כל מי שהפלט של המערכת שלו משמש בתוך האיחוד, לא משנה איפה החברה יושבת. החובות הכבדות חלות רק על רשימה קצרה של שימושים בסיכון גבוה, והמועד שלהן נדחה ביולי 2026 ל-2 בדצמבר 2027. ISO/IEC 42001 הוא תקן ניהול וולונטרי, ועסק ישראלי קטן או בינוני צריך אותו בדרך כלל רק כשלקוח דורש אותו במכרז או בשאלון ספקים.

עודכן לאחרונה: 9 בספטמבר 2026

המדריך נבדק ב-9 בספטמבר 2026 מול רגולציה (EU) 2024/1689 כפי שתוקנה ברגולציה (EU) 2026/1744 (ה"אומניבוס הדיגיטלי ל-AI"), מול דפי ה-AI Act של הנציבות האירופית, מול דף התקן ISO/IEC 42001:2023 באתר ISO, ומול המקורות הישראליים שמקושרים בסוף. זו התמצאות לבעל עסק או למנהל תפעול, לא ייעוץ משפטי. תאריכים וספים הם בדיוק הדברים שמשתנים, אז בדקו את הנוסח העדכני לפני שאתם נשענים על אחד מהם.

האם חוק ה-AI האירופי חל על חברה ישראלית?

כן, אם מערכת ה-AI שלכם מגיעה לאיחוד באחת הדרכים שסעיף 2 מונה. לרגולציה לא אכפת איפה החברה רשומה. אכפת לה איפה המערכת מוצעת לשוק ואיפה הפלט שלה משמש.

סעיף 2(1) מכסה ספקים שמציבים מערכת AI או מודל AI לשימוש כללי בשוק האיחוד, "בין אם הם מבוססים או נמצאים באיחוד ובין אם במדינה שלישית"; ספקים ומפעילים במדינה שלישית "כאשר הפלט שהמערכת מייצרת משמש באיחוד"; ויבואנים ומפיצים. לפי סעיף 25, מי ששם את המותג שלו על מערכת בסיכון גבוה של מישהו אחר, או משנה אותה מהותית, הופך לספק שלה.

שתי הגדרות נושאות את כל הרגולציה. ספק (provider) הוא מי שבונה מערכת, או מזמין את בנייתה, ומוציא אותה תחת השם שלו. מפעיל (deployer) הוא מי שמשתמש במערכת בסמכותו לצרכים עסקיים. חברה ישראלית היא לעיתים קרובות שניהם: ספקית של ה-SaaS שהיא מוכרת, ומפעילה של הכלים שהיא מריצה בפנים.

הסעיף על "פלט שמשמש באיחוד" הוא זה שמפתיע אנשים. מבוא 22 מסביר את הכוונה: למנוע מחברה אירופית לשלוח נתונים למפעיל מחוץ לאיחוד, להריץ שם את ה-AI, ולייבא את התוצאה בלי שהכללים נגעו בה. אז SaaS ישראלי עם לקוחות באירופה מכוסה כספק. יצואן ישראלי שמדרג מפיצים אירופיים עם מודל פנימי מכוסה כמפעיל, אם כי ברוב השימושים האלה החובות קלות או לא קיימות. צוות שיווק בתל אביב שמייצר תוכן לקמפיינים לקהל אירופי פוגש את סעיף 50 רק כשהוא מפרסם דיפ-פייק או טקסט שנכתב ב-AI בעניין ציבורי.

צוות שמשתמש ב-AI רק לתפעול בישראל, בלי לקוח אירופי ובלי פלט שחוצה לאיחוד, נמצא מחוץ לרגולציה. חוק הגנת הפרטיות הישראלי עדיין חל עליו, ועל זה בהמשך.

מה החוק דורש בפועל, לפי רמת סיכון?

הוא אוסר רשימה קצרה של פרקטיקות, מסדיר בכבדות רשימה ארוכה יותר של שימושים בסיכון גבוה, מטיל חובות גילוי על כמה סוגי אינטראקציה, ומשאיר את כל השאר בשקט. רוב האוטומציה העסקית נופלת בקטגוריה האחרונה.

שני פרטים מכריעים את רוב שאלות הסיווג.

הראשון: סעיף 6(3) מוציא מערכת מנספח III מרמת הסיכון הגבוה כשהיא מבצעת משימה פרוצדורלית צרה, משפרת תוצאה של פעולה אנושית שכבר הושלמה, מזהה חריגה מדפוס בלי להחליף שיקול דעת אנושי, או עושה עבודת הכנה. סוכן שממלא מראש את פרטי המועמד במערכת הגיוס עושה עבודת הכנה. סוכן שמדרג את המועמדים הוא סיכון גבוה. וכל מערכת שעושה פרופיילינג על בני אדם היא תמיד סיכון גבוה, בלי קשר לחריג.

השני: קטגוריות התעסוקה והאשראי תופסות עסקים רגילים. מכרתם כלי סינון עובדים לגרמניה, או שהפינטק שלכם מדרג צרכנים אירופיים, ואתם ספק בסיכון גבוה עם כל נטל התיעוד, בכל גודל.

מה חובות ה-GPAI אומרות כשבונים על Claude, GPT או Gemini?

חובות המודלים לשימוש כללי יושבות על ספק המודל, כלומר על Anthropic, OpenAI ו-Google, והן לא עוברות אליכם כשאתם קוראים ל-API. החובות שלכם נגזרות ממה שהמערכת שלכם עושה, לפי הרמות שלמעלה.

סעיף 53 דורש מספקי מודלים לתחזק תיעוד טכני, לתת לבוני מערכות במורד השרשרת מספיק מידע כדי להבין את היכולות והמגבלות של המודל, לנהל מדיניות זכויות יוצרים, ולפרסם סיכום של תוכן האימון. החובות האלה חלות מ-2 באוגוסט 2025. קוד הפרקטיקה ל-GPAI פורסם ב-10 ביולי 2025, ו-Anthropic, OpenAI, Google, Microsoft ו-Amazon בין החתומות עליו.

השאלה ששואלים אותי הכי הרבה: כיוונון עדין (fine-tuning) הופך אותנו לספק מודל? כמעט אף פעם. הנחיות הנציבות קובעות סף מנחה של יותר משליש מכוח החישוב ששימש לאימון המודל המקורי. כיוונון של מודל חזית על פניות התמיכה שלכם לא מתקרב לזה.

מה שכן עובר אליכם הוא הצד השני של סעיף 53: אתם זכאים לתיעוד של הספק, ומצפים מכם להשתמש בו. כשאנחנו מאפיינים סוכן AI, מדיניות השימוש וכרטיס המערכת של ספק המודל הופכים לקלט לתכנון, והחוזה מולו נכנס לתיק הציות.

מתי כל חלק בחוק נכנס לתוקף?

הרגולציה נכנסה לתוקף ב-1 באוגוסט 2024, ורוב החובות היו אמורות לחול מ-2 באוגוסט 2026, עד שהאומניבוס הדיגיטלי ל-AI הזיז את מועדי הסיכון הגבוה. התיקון הוא רגולציה (EU) 2026/1744, שפורסמה ברשומות האיחוד ב-24 ביולי 2026 ונכנסה לתוקף ב-27 ביולי 2026, שישה ימים לפני המועד המקורי. דף ה-AI Act של הנציבות מציג את התאריכים המתוקנים.

האומניבוס גם ריכך את סעיף 4 על אוריינות AI, מחובה "להבטיח" כשירות של העובדים לחובה "לתמוך" בה, והרחיב את ההקלות לעסקים קטנים גם לחברות בינוניות-קטנות. בחובות ה-GPAI הוא לא נגע.

אזהרה אחת. העבודה של ספק בסיכון גבוה (תיק טכני, מערכת ניהול סיכונים, הערכת התאמה) לוקחת לצוות קטן את רוב השנה. אם המוצר שלכם בנספח III, דצמבר 2027 קרוב ממה שהוא נראה.

מה הקנסות?

המספרים בסעיף 99. פרקטיקה אסורה: עד 35 מיליון אירו או 7% מהמחזור השנתי העולמי, הגבוה מביניהם. רוב ההפרות האחרות, כולל חובות סיכון גבוה ושקיפות: עד 15 מיליון אירו או 3%. מסירת מידע שגוי או מטעה לרשויות: עד 7.5 מיליון אירו או 1%.

לעסקים קטנים ובינוניים ולסטארטאפים הכלל מתהפך: כל קנס מוגבל לנמוך מבין שני הסכומים. סעיף 101 מאפשר לנציבות לקנוס ספקי מודלים לשימוש כללי עד 3% או 15 מיליון אירו, ושוב, זה נוחת על חברות המודלים.

אכיפה נגד חברה ממדינה שלישית עוברת דרך רשות פיקוח השוק במדינה שבה המערכת בשימוש, וספק בסיכון גבוה מחוץ לאיחוד חייב למנות נציג מורשה בתוכו (סעיף 22). לא מצאתי קנס שפורסם נגד חברה ישראלית מכוח החוק, ומשטר הסיכון הגבוה עוד לא בתחולה, אז הפסיקה ריקה בינתיים.

מה זה ISO/IEC 42001?

ISO/IEC 42001:2023 הוא התקן הבינלאומי למערכת ניהול בינה מלאכותית, AIMS. ISO פרסם אותו בדצמבר 2023. הוא אומר לארגון איך למשול ב-AI שהוא בונה או משתמש בו, והוא בנוי על אותו מבנה מתואם כמו ISO 27001, כך שחברה שכבר מריצה מערכת ניהול אבטחת מידע תזהה כל סעיף.

סעיפים 4 עד 10 הם מערכת הניהול המחייבת: הקשר ותחולה, מנהיגות ומדיניות AI, תכנון (הערכת סיכונים, הערכת השפעה, יעדים), תמיכה, תפעול, הערכת ביצועים ושיפור. נספח A מונה 38 בקרות ייחוס ב-9 קבוצות: מדיניות AI, תפקידים פנימיים, משאבים, הערכת השפעה, מחזור חיי המערכת, נתונים, מידע לבעלי עניין, שימוש אחראי, ויחסים עם צד שלישי. נספח B הוא הנחיות יישום, נספח C מונה יעדים ומקורות סיכון, ונספח D עוסק בשילוב ה-AIMS לצד מערכות ניהול אחרות.

במילים פשוטות, ארגון מוסמך יכול להראות למבקר מדיניות AI חתומה, מצאי של מערכות AI עם אחראי לכל אחת, הערכת סיכונים והשפעה לכל מערכת שמכסה גם את האנשים שמושפעים וגם את החברה, בקרות לאורך מחזור החיים מדרישות ועד גריעה, ממשל נתונים, בקרות ספקים לספקי מודלים ולמטמיעים, ולולאה של ניטור וסקירה.

ההסמכה ניתנת על ידי גופי הסמכה מוכרים, אותם גופים שמבקרים 27001, במחזור הרגיל של 3 שנים עם ביקורות מעקב שנתיות. כמה מספקי המודלים והענן הגדולים כבר מחזיקים בה. Microsoft מפרסמת את התעודות שלה, ומציינת שלקוח עדיין צריך להעביר את היישום שלו עצמו הערכה נפרדת.

איך ISO 42001 ממופה מול ה-AI Act?

קרוב בשכבת הניהול, ובכלל לא בשכבת המוצר. התקן אומר איך לנהל ממשל; החוק אומר אילו מערכות צריכות אילו בקרות ומה חייב להיות בתיק הטכני.

אז 42001 הוא הפיגום שספק בנספח III יבנה עליו, והוא מביא חברה בסיכון מזערי את רוב הדרך ל"אנחנו מנהלים את ה-AI שלנו כמו שצריך", עם תעודה שמוכיחה. האיחוד לא אימץ אותו כתקן מתואם מכוח החוק, אז ההסמכה לא מקנה חזקת התאמה.

עסק ישראלי קטן או בינוני צריך ISO 42001?

בדרך כלל לא, עד שלקוח מבקש, ואז כן.

שום דבר בדין הישראלי ושום דבר ב-AI Act לא דורש את התעודה. הלחץ מגיע מרכש. שאלוני אבטחה של ארגונים גדולים כוללים היום פרק AI, לקוחות אירופיים מבקשים מספקים להראות ממשל AI, ותעודת 42001 עונה על 30 שאלות בשורה אחת. אם אתם מוכרים תוכנה או שירותים עתירי AI לארגונים גדולים או לאירופה, העסקה שנתקעת על השאלה הזאת היא הרגע שבו התעודה מחזירה את עצמה.

אם אתם חברה של 40 עובדים שמשתמשת ב-AI לתפעול פנימי עם לקוחות ישראליים, התעודה לא נותנת לכם שום דבר שמדיניות AI כתובה ומצאי מערכות לא היו נותנים. תעשו את שני אלה בכל מקרה; הם עולים שבוע. דרך ביניים שאנחנו רואים הרבה: מיישמים את הסעיפים, שומרים את הראיות, ודוחים את הביקורת עד שהלקוח הראשון דורש את הנייר.

מה ישראל עצמה דורשת היום?

לישראל אין חוק ייעודי ל-AI נכון לספטמבר 2026. היא מסדירה AI דרך מדיניות ממשלתית מ-2023, דרך חוק הגנת הפרטיות עם התיקון של 2025, ודרך רגולטורים ענפיים. זה עדיין משאיר חובות אמיתיות, רק מפוזרות על כמה מסמכים.

מדיניות הממשלה בנושא AI, שפרסמו משרד החדשנות, המדע והטכנולוגיה ומשרד המשפטים בדצמבר 2023, בחרה בגישה ההפוכה לבריסל: רגולציה ענפית במקום חוק רוחבי, מבוססת סיכון, וכלים רכים קודם. היא מונה 6 עקרונות (AI ממוקד אדם, שוויון ואי-אפליה, שקיפות והסברתיות, אמינות ובטיחות, אחריותיות, וחדשנות לרווחה חברתית) והקימה מרכז תיאום לרגולטורים הענפיים. המדיניות עצמה לא יוצרת שום סנקציה.

תיקון 13 לחוק הגנת הפרטיות הוא המסמך עם השיניים. הוא בתוקף מ-14 באוגוסט 2025, והוא נתן לרשות להגנת הפרטיות עיצומים כספיים וצווים להפסקת עיבוד, הרחיב את ההגדרות של מידע אישי ומידע בעל רגישות מיוחדת, חייב מינוי ממונה הגנת פרטיות בארגונים רבים, הרחיב את חובות היידוע בעת האיסוף, והחליף את רישום המאגרים בדיווח אצל רוב החברות. כל מערכת AI שנוגעת במידע אישי של ישראלים חיה תחת החוק הזה.

הרשות פרסמה טיוטת הנחיה על תחולת החוק על מערכות AI ב-28 באפריל 2025. הטיוטה אומרת שהחוק חל מאימון ועד שימוש; שמידע שמערכת מסיקה על אדם הוא מידע אישי; שעיבוד לצורכי AI צריך בסיס חוקי והסכמה מדעת; שצריך להגיד לאנשים כשהם מול בוט; שמצפים לתסקיר השפעה על פרטיות לפני פריסה; שגירוד מידע אישי בלי הסכמה הוא לא חוקי גם מפרופילים ציבוריים; ושארגון צריך מדיניות לשימוש עובדים בכלי AI יוצר. משרד האוצר והתעשייה יצאו נגד הטיוטה באוגוסט 2025, ונכון לתאריך המדריך כל מקור שהצלחנו להגיע אליו עדיין קורא לה טיוטה. בדקו באתר הרשות אם יצא נוסח סופי, והתייחסו לטיוטה כתצוגה מקדימה הוגנת של איך הרשות תאכוף. בעניין החלטות אוטומטיות, בדין הישראלי אין זכות עצמאית כמו סעיף 22 ל-GDPR; הטיוטה מגיעה לאותו מקום דרך יידוע, דיוק וזכויות עיון.

בפיננסים, צוות בין-משרדי (רשות ניירות ערך, משרד המשפטים, משרד האוצר, הפיקוח על הבנקים, רשות שוק ההון, ורשות התחרות) פרסם את הדוח הסופי על AI במגזר הפיננסי ב-24 בדצמבר 2025. הוא ממליץ על גישה מבוססת סיכון, מטיל את האחריות על מערכת AI על הגוף המפוקח בלי קשר למי שבנה את המודל, מצפה להסברתיות ברמת המערכת, ודורש גילוי פשוט ללקוחות כשה-AI משפיע מהותית על שירות. אלה המלצות לרגולטורים; ההוראות שיבואו אחריהן הן מה שכדאי לעקוב אחריו.

בבריאות, משרד הבריאות פעל עד עכשיו דרך אבטחת מידע. הנחיה ממרץ 2026 הורתה לארגוני בריאות להפסיק להשתמש בכלי AI ציבוריים חיצוניים ברשתות הארגוניות, וביוני 2026 המשרד חסם את הכלים האלה בבתי החולים הממשלתיים. AI בתוך מכשור רפואי עדיין עובר רישום באמ"ר לפי חוק ציוד רפואי.

רשימת פעולות לחברה ישראלית עם לקוחות או משתמשים באירופה

כתובה לבעל העסק או למנהל התפעול, בסדר שבו אנחנו באמת עושים את זה.

1. מצאי של כל מערכת AI, כולל הטאבים של ChatGPT: מה היא עושה, לאיזה מודל היא קוראת, של מי הנתונים שנכנסים, של מי ההחלטות שיוצאות. ISO 42001 וטיוטת הרשות מבקשים את אותו מצאי, אז בונים אותו פעם אחת.
2. סיווג של כל מערכת לפי הרמות. רובן יהיו סיכון מזערי. מסמנים כל מה שנוגע בגיוס, אשראי, תמחור ביטוח, חינוך או ביומטריה, וכל מה שעושה פרופיילינג.
3. מפת זרימת נתונים: איזה מידע אישי נכנס לכל מערכת, לאן הוא הולך (האזור של ספק המודל, השרתים שלכם, מופע n8n), כמה זמן הוא נשאר.
4. הודעות גילוי: שורה בווידג'ט הצ'אט שאומרת שזה AI, תווית על תמונות וסרטונים שנוצרו ב-AI ויוצאים מהחברה, הודעה למועמדים או ללקוחות כש-AI מעצב החלטה לגביהם.
5. פיקוח אנושי איפה שזה חשוב. סוקר בשם, סמכות לעקוף, ותיעוד של העקיפה.
6. לוגים. שישה חודשים הם הרצפה בחוק למפעילי מערכות בסיכון גבוה; אנחנו שומרים היסטוריית ריצות לכל דבר, כי השאלה הראשונה אחרי תשובה שגויה היא "מה המערכת ראתה".
7. תנאי ספקים: הסכם עיבוד נתונים מול ספק המודל, בלי אימון על הנתונים שלכם, אזור שאתם יכולים לנקוב בשמו, והתיעוד של הספק בתיק. אותו דבר לכל מטמיע, כולל אותנו.
8. מדיניות AI. שני עמודים: למה החברה משתמשת ב-AI, מה היא לא תעשה, מי אחראי על כל מערכת, איך עובדים רשאים להשתמש בכלי AI יוצר עם מידע של החברה, איך מדווחים על אירוע.
9. עורך דין לכל הכרעת סיווג בנספח III, לכל מוצר שנמכר לאירופה ועלול להיות בסיכון גבוה, לשאלת הנציג המורשה, ולחוזים עם לקוחות ארגוניים באירופה שכוללים התחייבויות AI.
10. סקירה כל 6 חודשים. התאריכים במדריך הזה כבר זזו פעם אחת.

זו התמצאות ולא ייעוץ משפטי. סעיף 9 קיים מסיבה.

איך הדרך שבה אנחנו בונים מתחברת לחובות האלה?

רוב מה שהרשימה מבקשת הוא כבר איך שאוטומציה בנויה היטב נראית, וזו בשורה טובה למי שצריך להשלים את זה בדיעבד.

אנחנו בונים על n8n, Claude ופייתון, ולכל אחד יש צד של ממשל. n8n שומר לוג ריצה לכל הפעלה, אז ל"מה המערכת ראתה ועשתה" יש תשובה בלי כלים נוספים, ואת תקופת השמירה מכוונים לפי החובה. תהליך על קנבס הוא גם התיעוד של עצמו: מבקר, או מנהל התפעול שלכם, יכול לקרוא את השלבים בלי לקרוא קוד. פיקוח אנושי הוא החלטת תכנון שאנחנו מקבלים מוקדם: צמתי אישור לפני כל דבר שמשפיע על אדם, סוקר בשם, והעקיפה נרשמת באותו לוג. זה מה שסעיף 14 מבקש מספק לתכנן ומה שסעיף 26 מבקש ממפעיל לאייש. הדף איך אנחנו עובדים מראה איפה נקודות הבדיקה האלה יושבות בפרויקט.

הבעלות חשובה כאן יותר ממה שאנשים מצפים. בפרויקטים שלנו הקוד, התהליכים והתיעוד עוברים ללקוח. כשרגולטור או לקוח שואל מי הספק, התשובה היא אתם, ואתם מחזיקים בתיק הטכני, בלוגים ובזכות לשנות את המערכת. ספק ששומר את התהליך על החשבון שלו הפך אתכם לתלויים בו בכל שאלת ביקורת.

שום דבר מזה לא הופך מערכת בסיכון גבוה לתואמת בפני עצמו; לזה צריך הערכת התאמה ותיק טכני לפי נספח IV. זה כן אומר שכשאנחנו מאפיינים פרויקט ייעוץ AI, המצאי והסיווג קורים בשבוע הראשון. המדריך על הטמעת AI בעסק עובר על אותו רצף מהצד התפעולי, המדריך על המוח הארגוני עוסק באיפה התיעוד חי אחרי שהוא קיים, ולמילון המונחים יש הגדרות קצרות למונחים שמופיעים כאן.

שאלות נפוצות

אנחנו משתמשים ב-ChatGPT רק פנימית. החוק האירופי חל עלינו?

אם שום פלט לא משמש באיחוד ואתם לא מוכרים שם כלום, ה-AI Act לא חל עליכם. חוק הגנת הפרטיות הישראלי חל ברגע שמידע אישי נכנס לכלי, וטיוטת ההנחיה של הרשות מצפה למדיניות פנימית לשימוש עובדים בכלי AI יוצר. כתבו את המדיניות הזאת, ובדקו את תנאי הספק לגבי אימון על הנתונים שלכם.

הצ'אטבוט שלנו הוא מערכת בסיכון גבוה?

כמעט אף פעם לא. צ'אטבוט מול לקוחות הוא מערכת בסיכון מוגבל לפי סעיף 50, אז הוא חייב להגיד לאנשים שהם מדברים עם AI אלא אם זה ברור. הוא הופך לסיכון גבוה רק אם הוא עושה עבודה מנספח III, כמו הכרעה בבקשת אשראי או סינון מועמד לעבודה, והוא תמיד סיכון גבוה אם הוא עושה פרופיילינג על אנשים.

צריך נציג מורשה באיחוד?

רק ספקים של מערכות בסיכון גבוה שיושבים מחוץ לאיחוד חייבים למנות אחד, לפי סעיף 22, לפני שהמערכת זמינה שם. לספקי מודלים לשימוש כללי מחוץ לאיחוד יש אותה חובה לפי סעיף 54. ספק בסיכון מזערי או מוגבל לא צריך.

הסמכת ISO 42001 הופכת אותנו לתואמים ל-AI Act?

לא. היא מראה שאתם מנהלים AI כמו שצריך ומכסה את רוב חובות מערכת הניהול, אבל היא לא תקן מתואם מכוח החוק, אז היא לא מקנה חזקת התאמה, והיא לא עושה כלום להערכת ההתאמה, לסימון CE ולרישום שמוצר בסיכון גבוה צריך.

מה השתנה בתיקון של יולי 2026?

רגולציה (EU) 2026/1744 הזיזה את מועד הסיכון הגבוה לנספח III מ-2 באוגוסט 2026 ל-2 בדצמבר 2027 ואת המועד לנספח I מ-2 באוגוסט 2027 ל-2 באוגוסט 2028, נתנה למערכות שכבר בשוק עד 2 בדצמבר 2026 לסמן תוכן סינתטי, הוסיפה שני איסורים על תמונות אינטימיות וחומרי התעללות בילדים, וריככה את חובת אוריינות ה-AI. האיסורים, חובות ה-GPAI וחובות השקיפות של סעיף 50 שמרו על המועדים שלהם.

מאיפה מתחילים כשלקוח אירופי שלח שאלון ממשל AI?

מהמצאי וממפת זרימת הנתונים, כי רוב השאלות נענות משני המסמכים האלה. אחר כך מדיניות ה-AI, ואז תנאי הספק מול ספק המודל. אם השאלון מבקש 42001, בררו אם הם רוצים את התעודה או ראיות לפרקטיקות, כי אלה כמויות עבודה שונות מאוד.

מקורות

נבדקו ב-9 בספטמבר 2026:

• רגולציה (EU) 2024/1689 כפי שתוקנה, סעיפים 2, 4, 5, 6, 14, 22, 25, 26, 50, 53, 54, 99, 101, 113 ונספח III, נקראו ב-artificialintelligenceact.eu, שמשקף את נוסח הרשומות
• רגולציה (EU) 2026/1744, האומניבוס הדיגיטלי ל-AI, רשומות 24 ביולי 2026
• הנציבות האירופית, דף ה-AI Act, קוד הפרקטיקה ל-GPAI והנחיות ל-GPAI
• ISO/IEC 42001:2023 ודף ISO 42001 של Microsoft
• מדיניות ה-AI של ישראל, דצמבר 2023; תיקון 13 דרך law.co.il; טיוטת הנחיית הרשות להגנת הפרטיות; הדוח על המגזר הפיננסי; הנחיית משרד הבריאות

הצעד הבא

אם יש לכם לקוחות באירופה ועדיין אין מצאי, זו עבודה של שבועיים, וכל חובה אחרת בעמוד הזה מתחילה ממנה. דברו איתנו ונגיד לכם אילו מהמערכות שלכם צריכות מבט שני ואילו אפשר להשאיר בשקט.