תקן אירופי חדש למערכות ‎AI‎ בסיכון גבוה: מה משמעותו לחברות ישראליות

ב-‎14‎ באוקטובר ‎2026‎ פורסמה ברשומות האיחוד האירופי הפניה לתקן ‎EN 18286:2026‎, העוסק במערכות ניהול איכות לצורכי ה-‎EU AI Act‎. זהו התקן המתואם הראשון במסגרת הרגולציה של בינה מלאכותית באיחוד האירופאי. עמידה בתקן זה מקנה חזקת עמידה בדרישות ה-EU AI ACT ביחס לנושאים הכלולים בתקן. מדובר בהתפתחות חשובה לחברות המבקשות לפעול בשוק האירופי, אך לא אישור כולל וגורף לכך שמוצריהן עומדים בכל דרישות ה-EU AI ACT.

מהו ה-‎EU AI Act‎?

חוק ה-‎AI Act‎ הוא רגולציית הבינה המלאכותית של האיחוד האירופי. הוא מסדיר פיתוח, שיווק ושימוש במערכות ‎AI‎ בגישה המבוססת על סיכון: שימושים מסוימים נאסרים, מערכות בסיכון גבוה כפופות לדרישות מוגברות, ועל מערכות אחרות חלות, בין היתר, חובות שקיפות. המטרה היא להגן על בריאות, בטיחות וזכויות היסוד של אזרחי אירופה, של המשתמשים במערכות, לצד מתן אפשרות לפיתוח הטכנולוגיה ולשימוש בה.

אילו מערכות נחשבות בסיכון גבוה?

החוק קובע שני מסלולים מרכזיים לסיווג מערכת AI כמערכת בסיכון גבוה: האחד מתמקד במערכת שהיא מוצר מוסדר או רכיב בטיחות במוצר כזה; השני מתמקד בייעוד המערכת ובשימושים מסוימים שהחוק מזהה כבעלי סיכון מוגבר לבריאות, לבטיחות או לזכויות יסוד.

המסלול הראשון

המסלול הראשון מתייחס למערכות AI שהן בעצמן מוצר, או משמשות רכיב בטיחות במוצר, כגון מכשור רפואי. כדי שמערכת תיחשב בסיכון גבוה במסלול זה, נדרשים שני תנאים מצטברים: המוצר כפוף לאחד מדברי החקיקה האירופיים המפורטים ב- EU AI ACT, ולפי אותה חקיקה נדרשת בדיקה של עמידתו בדרישות בידי גוף חיצוני, לפני שיווקו או הכנסתו לשימוש. לכן, לא כל שילוב של AI במכשור רפואי מסווג אוטומטית בסיכון גבוה.

המסלול השני

המסלול השני נוגע לשימושים המנויים בנספח ‎III‎ ל-EU AI ACT, כגון סינון מועמדים לעבודה, הערכת כושר אשראי של אנשים וקבלת החלטות מסוימות בתחום החינוך.

לא כל מערכת המיועדת לתחום רגיש מסווגת אוטומטית בסיכון גבוה. יש לבדוק את ייעודה, תפקידה והשפעתה על ההחלטות המתקבלות, וכן את התנאים והחריגים שבחוק. לדוגמה, כלי המבצע משימת הכנה מוגבלת לא בהכרח שקול למערכת המשפיעה מהותית על בחירת מועמדים.

מה התקן החדש מוסיף?

סעיף ‎17‎ לחוק מחייב ספקי מערכות בסיכון גבוה לקיים מערכת ניהול איכות מתועדת. אין הכוונה לתוכנה נוספת, אלא למדיניות, נהלים, חלוקת אחריות ובקרות: כיצד מפתחים ובודקים את המערכת, מנהלים סיכונים ונתונים, מתעדים שינויים ועוקבים אחר פעולתה לאחר השיווק.

התקן החדש מספק מסגרת מעשית להקמה ולתחזוקה של מערכת ניהול זו. פרסום ההפניה אליו מאפשר להסתמך על עמידה בהוראותיו לצורך חזקת התאמה לדרישות המקבילות שהוא מכסה. משמעות החזקה היא הקלה בהוכחת הציות באותם נושאים, ולא פטור מהחובות עצמן. השימוש בתקן וולונטרי: ניתן להוכיח עמידה בדרישות גם בדרכים אחרות.

מדוע זה רלוונטי לחברות ישראליות?

החוק עשוי לחול ישירות על חברה ישראלית המציעה מערכת ‎AI‎ לשוק האירופי או מכניסה אותה לשימוש באיחוד, גם ללא התאגדות או משרד באירופה. החוק עשוי לחול גם על ספקים ומפעילים מחוץ לאיחוד בהינתן שפלט המערכת משמש באיחוד. היקף החובות תלוי בתפקיד החברה: ספקית המערכת, מפעילה המשתמשת בה, יבואנית, מפיצה או יצרנית מוצר הכולל ‎AI‎.

מעבר לתחולה הישירה, מבחינה מסחרית ניתן לצפות שלקוחות אירופיים יבקשו מספקיהם תיעוד, התחייבויות ושיתוף פעולה לצורך הציות שלהם. יש להבחין בין דרישות חוזיות אלה לבין החובות שהחוק מטיל על החברה עצמה. גם אספקת רכיב בלבד מחייבת בחינה של תפקידה בשרשרת הערך.

מה כדאי לעשות כעת?

בעקבות תיקון שנכנס לתוקף ביולי 2026, נדחו המועדים להחלת הדרישות על מערכות AI בסיכון גבוה. לגבי מערכות המסווגות לפי ייעודן והשימוש בהן, כגון מערכות לסינון מועמדים לעבודה או להערכת כושר האשראי של אנשים, המנויות בנספח III לחוק, המועד המרכזי הוא 2 בדצמבר 2027.

לגבי מערכות שהן מוצר מוסדר או רכיב בטיחות במוצר כזה, למשל מכשור רפואי או מערכת לבקרת בטיחות של מעלית, העומדות בתנאי הסיווג במסלול שבנספחI , המועד המרכזי הוא 2 באוגוסט 2028. מועדים אלה כבר עוגנו בדין, ויש לבחון גם את הוראות המעבר הרלוונטיות לכל מערכת. הדחייה לא חלה על כלל הוראות החוק: חובות אחרות, ובהן חובות שקיפות מסוימות, חלות כבר עתה.

מומלץ לנצל את הזמן שנותר כדי:

• למפות את המערכות ואת השימושים המיועדים באירופה, ולבחון את הסיווג ואת תפקיד החברה.
• לבצע בדיקת פערים בין הנהלים הקיימים לדרישות החוק והתקן, תוך שימוש במערכות ניהול איכות שכבר קיימות.
• להסדיר אחריות ותיעוד לפיתוח, בדיקות, שינויים ומעקב לאחר השיווק.
• לבחון חוזים ותוכנית היערכות, בהתאם לחובות החלות ולמועד הרלוונטי לכל מוצר.