ממשל AI ורישוי מודלים

למי זה מיועד?

לחברות AI שבונות מוצר על מודל פתוח, ולחברות שמכניסות כלי AI לעבודה השוטפת. הרגע שבו זה נהיה דחוף הוא כמעט תמיד חיצוני: בדיקת נאותות לפני גיוס, לקוח גדול ששולח נספח אבטחה ו־AI לחתימה, או החלטה להתחיל למכור באירופה.

בדיקת רישוי מודלים וקוד פתוח

״קוד פתוח״ אינו אומר ״מותר לכל שימוש״. כל מודל וכל ספרייה מגיעים עם רישיון, ובמודלים רבים גם עם מדיניות שימוש מקובל שהיא חלק מתנאי הרישיון. לדוגמה, מדיניות השימוש המקובל של Llama אוסרת שימוש למטרות צבאיות, לוחמה, תעשיות גרעין וריגול, ושימוש בפעילות הכפופה ל־ITAR. לחברת דואל־יוז זה יכול להיות ההבדל בין מוצר שאפשר למכור לבין מוצר שצריך לבנות מחדש.

• רישיונות מתירניים (כמו Apache 2.0 ו־MIT): מתירים בדרך כלל שימוש מסחרי, בכפוף לשמירת הודעות זכויות ותנאים נוספים.
• רישיונות ״הדדיים״ (כמו GPL ו־AGPL): עלולים לחייב לפתוח קוד של המוצר במצבים מסוימים, כולל שירות ברשת ב־AGPL.
• רישיונות לא־מסחריים (כמו CC BY-NC או רישיונות מחקר): אוסרים שימוש מסחרי, גם אם המודל זמין להורדה חופשית.
• רישיונות ייעודיים של מודלים: עם מדיניות שימוש מקובל, מגבלות על תחומי שימוש, ולעיתים תנאים שתלויים בהיקף המשתמשים.

הבדיקה כוללת רשימת רכיבים מלאה של המוצר: אילו מודלים, משקלים, ספריות ומאגרי נתונים בשימוש, באיזו גרסה ותחת איזה רישיון, ומה מותר לעשות בתוצרים. הפירוט נמצא בתשובה האם מותר לנו להשתמש מסחרית במודל קוד פתוח.

מדיניות שימוש ב־AI לעובדים

בלי מדיניות, כל עובד מחליט בעצמו מה להעתיק לכלי חיצוני. מדיניות טובה היא קצרה ומעשית: אילו כלים מאושרים ובאיזו הגדרה, איזה מידע אסור להזין (מידע אישי, סודות מסחריים, מידע של לקוחות שהתחייבתם לשמור בסוד), מה בודקים לפני ששולחים תוצר ללקוח, ומי אחראי.

צריך לחבר אותה גם לדיני העבודה. פסק הדין בע״ע 90/08 איסקוב ענבר נ׳ מדינת ישראל (2011) קבע מסגרת לשאלה מתי ובאיזה אופן מעסיק רשאי לנטר ולעיין בתיבת הדואר של עובד, ואותם עקרונות של שקיפות, מידתיות ותכלית רלוונטיים גם לניטור שימוש בכלי AI. ראו מה האחריות כשעובד מזין מידע של לקוחות לכלי AI.

חוזים מול ספקי AI

בחוזה מול ספק AI, או מול ספק תוכנה שמשלב AI במוצר שלו, אלה הסעיפים שקובעים את הסיכון:

• שימוש בנתונים: האם הקלט והפלט משמשים לאימון המודל, כמה זמן נשמרים, באיזו מדינה, ומי ניגש אליהם.
• אבטחה ואירועים: התחייבויות אבטחה, חובת הודעה על אירוע, ושיתוף פעולה בטיפול.
• קניין רוחני בתוצרים: למי שייכים התוצרים, והאם הספק מתחייב לשפות אתכם על טענת הפרה.
• הגבלת אחריות: תקרה, וחריגים לדליפת מידע ולהפרת סודיות.
• שינויים במודל: מה קורה כשהספק מחליף גרסה או מפסיק לתמוך בה.
• יציאה: איך מוציאים את הנתונים ומה נמחק בסיום ההתקשרות.

היערכות לחוק ה־AI האירופי

חוק ה־AI של האיחוד האירופי (Regulation (EU) 2024/1689) נכנס לתוקף ב־1 באוגוסט 2024 וחל בהדרגה. לפי לוח הזמנים של הנציבות האירופית, האיסורים וחובת אוריינות ה־AI חלים מ־2 בפברואר 2025, הכללים למודלים לשימוש כללי מ־2 באוגוסט 2025, וחובות השקיפות (סעיף 50) מ־2 באוגוסט 2026. אחרי תיקוני ה־Digital Omnibus, הכללים למערכות בסיכון גבוה לפי נספח III יחולו מ־2 בדצמבר 2027, ולמערכות שמשולבות במוצרים מוסדרים לפי נספח I מ־2 באוגוסט 2028.

החוק יכול לחול גם על חברה ישראלית: למשל כשהיא מציבה מערכת AI בשוק האירופי, או כשהפלט של המערכת משמש באיחוד. ההיערכות מתחילה בסיווג: האם המערכת נופלת לאיסור, לסיכון גבוה, לחובות שקיפות בלבד, או לאף אחד מאלה, ומה התפקיד של החברה לפי החוק (ספק, מפיץ או משתמש).

ובישראל?

מדיניות הרגולציה והאתיקה בתחום הבינה המלאכותית שפרסם משרד החדשנות, המדע והטכנולוגיה בדצמבר 2023 מבוססת על הסדרה מגזרית ועל החקיקה הקיימת: פרטיות, הגנת הצרכן, זכויות יוצרים, דיני עבודה ודיני חוזים. לכן השאלה בישראל היא בדרך כלל לא ״האם מותר להשתמש ב־AI״, אלא איך עושים את זה בהתאם לדינים הקיימים, ובראשם חוק הגנת הפרטיות אחרי תיקון 13.

למי שייך הקוד שעובד או קבלן כתב?

לפי חוק זכות יוצרים, התשס״ח־2007, יצירה שעובד יצר לצורך עבודתו ובמהלכה שייכת ככלל למעסיק (סעיף 34). ביצירה שהוזמנה מקבלן חיצוני, בהיעדר הסכם אחר, הבעלים הראשון הוא היוצר (סעיף 35). חברה ששילמה לפרילנסר על פיתוח בלי הסכם בכתב עלולה לגלות שאינה הבעלים של הקוד.

לגבי אמצאות, חוק הפטנטים, התשכ״ז־1967, קובע ש״אמצאת שירות״ של עובד שייכת למעסיק אם לא הוסכם אחרת, ומסדיר את זכותו של העובד לתמורה. לכן הסכמי עבודה ופיתוח צריכים לכלול סעיפי קניין רוחני מפורשים. ראו סטארטאפים ודיפ־טק.

מחיר, זמנים ומי מטפל

מחיר קבוע, מוסכם מראש בהסכם שכר טרחה. המשרד עובד עם כלי AI משלו לסריקת רישיונות, חוזים ומאגרי קוד, וזה מה שמאפשר זמן תגובה קצר.

את התחום מנהל אילון צור, משפטן (LL.B), שהוביל תוכניות AI ובניין כוח במשרד הביטחון ומייעץ לחברות בישראל, בארה״ב, בבריטניה ובאמירויות בהטמעת AI בתפעול. הייעוץ המשפטי ניתן על ידי עו״ד שמעון צור.