הצ'אטבוט שלכם חייב להגיד שהוא AI:החוק האירופי נכנס לתוקף, וגם עסק ישראלי נתפס בו

ב-2 באוגוסט 2026 הנציבות האירופית התחילה לאכוף את ה-AI Act, ובמקביל נכנסו לתוקף כללי שקיפות חדשים. מאותו יום, ה-AI Office יחד עם רשויות לאומיות מתחיל לאכוף את החוק. באותו יום גם נכנסים לתוקף כללי שקיפות חדשים. הם מחייבים מערכות AI מסוימות להגיד למשתמש מתי הוא מדבר עם AI, ומתי תוכן נוצר או שונה בעזרתו.

החלק המעשי נמצא בסעיף 50. לפי הכללים החדשים, צ'אטבוטים ומערכות AI אינטראקטיביות אחרות יצטרכו להגיד למשתמשים שהם מדברים עם AI, לא עם בן אדם. זה לא סעיף לחברות ענק בלבד. גם ארגון בלי שום מערכת בסיכון גבוה יכול לשאת בחובות משמעותיות תחת סעיף 50, למשל כי הוא מפעיל צ'אטבוט מול לקוחות, מפרסם תוכן שנוצר ב-AI, או משתמש במערכת שמייצרת דיפפייק.

הרבה עסקים הניחו שכל החוק נדחה, כי החלק הכבד באמת נדחה. התאריך 2 באוגוסט הפסיק להיות מועד היעד לסיכון גבוה כשה-Digital Omnibus נחתם, וספק שעדיין מוכר אותו כמצוק החובות הגבוה עובד לפי תסריט ישן. חובות הסיכון הגבוה נכנסות רק בדצמבר 2027. אבל סעיף 50 הוא החובה היחידה בגל הזה שנוגעת לעסקים רגילים, והוא קיבל שבריר מתשומת הלב שהסיכון הגבוה קיבל.

השאלה הראשונה שכל קורא ישראלי שואל היא אם זה בכלל נוגע לו. התשובה, ברוב המקרים, כן. סעיף 2 של החוק חל על ספקים שמעמידים מערכות AI בשוק האירופי בלי קשר למקום ההתאגדות. הוא חל גם על מטמיעים שנמצאים באיחוד. והוא חל על ספקים ומטמיעים מחוץ לאיחוד שהפלט של המערכת שלהם נצרך באיחוד. אם אתם מוכרים AI לאירופה, או שמשתמשים באיחוד צורכים את הפלט שלכם, אתם בפנים.

החוליה הזו היא מה שתופס עסק ישראלי. אם מערכת ה-AI שלכם מייצרת פלט שנצרך בתוך האיחוד, החוק חל עליכם, גם אם החברה, השרתים והעובדים שלכם כולם מחוץ לאיחוד. אחד המקורות המשפטיים מונה את ישראל בשם. אם החברה שלכם ממוקמת בארצות הברית, בבריטניה, בישראל, או בכל מקום אחר מחוץ לאיחוד, אתם עלולים להניח שה-AI Act הוא לא הבעיה שלכם. אתם טועים.

המבחן פשוט ממה שנראה. אם אף אחד מהבוטים או הסוכנים שלכם לא מדבר עם מישהו שנמצא באיחוד, הסעיף לא חל על אותה מערכת. אם יש לכם לקוחות, מועמדים או מבקרי אתר מהאיחוד שיכולים להגיע לבוט, סביר שכן. בעברית פשוטה: אם הצ'אטבוט באתר או בוואטסאפ שלכם עונה גם למישהו שיושב בברלין או במדריד, אתם בתוך זה.

החובה עצמה צנועה בהיקף, אבל מדויקת במיקום. אם אתם מפעילים צ'אטבוט או עוזר וירטואלי מול לקוחות, צריך לוודא שהמשתמש יודע בתחילת כל אינטראקציה שהוא מדבר עם AI. המקום קובע. הגילוי צריך לשבת בתחילת האינטראקציה, בממשק עצמו, בנוסח כמו "אתם מדברים עם עוזר AI". שורה במדיניות הפרטיות לא עומדת בסטנדרט, וגילוי שמופיע אחרי שהשיחה נגמרה חסר ערך.

המבחן הוא מה שהמשתמש באמת רואה, לא מה שמתועד אצלכם. תווית קבועה בממשק, הודעת פתיחה, או שתיהן, כולן עשויות לעמוד בחוק. אבל הסטנדרט הוא בהירות מול הצרכן, לא תיעוד פנימי. רגולטור שבודק עמידה בחוק יסתכל על מה שמשתמש טיפוסי באמת קולט. וזה נוגע גם לסוכנים, לא רק לבוט טקסט פשוט. הקווים המנחים מאשרים שסוכני AI נכנסים לסעיף 50(1). אם הספק לא יכול לחזות בוודאות אם הסוכן ידבר עם בן אדם, צריך לתכנן אותו כך שיגלה את היותו AI בכל מצב כזה.

מי שמשתמש בבוט של ספק צד שלישי לא פטור מזה. אם אתם מלבישים צ'אטבוט של צד שלישי ומריצים אותו כממשק השירות שלכם, אי אפשר להישען לגמרי על מנגנון הגילוי של הספק. צריך לוודא שהוא קיים ועומד בסטנדרט בהקשר הפריסה הספציפי שלכם.

כאן נמצאת הזווית שנעלמת ברוב הכיסוי. יש שני מועדים, ואנשים מבלבלים ביניהם. ה-Omnibus נתן ארכה עד 2 בדצמבר 2026 לחובת הסימון המכונתי, כלומר שכבת ה-watermarking ומטא-דאטה על מקור התוכן, כי תקני הכלים עדיין לא מוכנים. חובות הגילוי מול בני אדם עדיין מתחילות ב-2 באוגוסט.

המשמעות פשוטה. הבוט שמדבר עם לקוח חייב להזדהות עכשיו. סימון של תמונה או טקסט שנוצרו ב-AI, במטא-דאטה מכונתי, קיבל עוד כמה חודשים. מי שמניח שיש לו ארכה על שני הדברים טועה בחלק שכבר בתוקף.

החלק שקל לשכוח נוגע לספק, לא לכם. כמטמיעים, הצעד המעשי הוא מייל אחד: לשאול את ספק הצ'אטבוט איפה הוא עומד לגבי סימון תחת סעיף 50(2), והאם הוא נשען על הארכה. אם כן, לבקש את התאריך שלו בדצמבר. תתייקו את התשובה, כי היא ראיה לעמידה בחוק. על היקף העונש כדאי לשמור פרופורציה. חובות השקיפות יושבות בטווח הנמוך: לפי סעיף 99(4), אי עמידה עלולה להגיע לקנס של עד 15 מיליון אירו או 3% מהמחזור השנתי העולמי, הגבוה מביניהם. תווית חסרה בצ'אטבוט לא צפויה למשוך קנס מקסימלי ביום השלישי, אבל זה הפער הכי גלוי שיכול להיות לכם.

הטוב בסיפור הזה הוא שהתיקון קצר. אצל רוב הצוותים, העמידה בחוק נמדדת בשעות, לא בחודשים. נתחיל ממיפוי. עשו רשימה של כל מקום שבו AI מדבר עם בן אדם: הצ'אטבוט באתר, הבוט בוואטסאפ, סוכן שעונה ללידים, מענה קולי אוטומטי. זו אותה מפת תהליכים שכל אוטומציה טובה מתחילה ממנה, ואפשר לבנות אותה עם תבנית מיפוי התהליכים שלנו.

על כל נקודה כזו, בדקו את ההודעה הראשונה. תבדקו את ההודעה הראשונה, לא את מסך ההגדרות. פתחו כל תסריט צ'אט חי וודאו שהדבר הראשון שהמשתמש רואה, או שומע בסוכן קולי, מגלה שהוא מדבר עם AI, בשפה פשוטה, לפני שנאספים פרטים. אחר כך, המייל לספק על הסימון, והתיעוד. רשמו כל בוט במלאי ה-AI שלכם: המערכת, מי אחראי עליה, הספק, סטטוס הגילוי, סטטוס הסימון, ומועד הבדיקה הבא.

מעבר לחובה, יש כאן הזדמנות. גילוי ברור בפתיחה הוא לא נטל, הוא בונה אמון. אותו בוט שמזדהה כ-AI יכול עדיין להישאר נוכח ולתת שירות טוב, כמו שכתבנו על נוכחות של סוכן בשיחה. אם אתם בונים או מפעילים סוכן AI מול לקוחות, הגילוי הזה הוא פשוט חלק מהתכנון של מערך השירות, לא סעיף שמדביקים בסוף.