דוח משנת 2026 מצא שמספר התביעות בארה״ב הקשורות ל-AI גדל ב-978% בין 2021 ל-2025, והשוק מגיב בשאלות חדשות ובהחרגות חדשות. חברה שמגיעה לחידוש עם תיעוד של שרשרת הנתונים, של בקרות הפלט ושל ניטור הביצועים מנהלת דיון ענייני על תמחור. חברה שמגיעה עם מצגת שיווקית מקבלת החרגה רחבה שתתגלה בשלב התביעה.
עיקרי הדברים
- שאלת נתוני האימון היא שאלה משפטית לפני שהיא שאלה טכנית. חתמים מבקשים לדעת מהיכן הגיע כל מאגר, האם הוא כולל מידע אישי, האם ההסכמה או הבסיס החוקי לעיבוד מתועדים ומה מצב זכויות היוצרים. חברה שאין ברשותה מיפוי כתוב של מקורות הנתונים מתקשה לענות, והתשובה החסרה מתומחרת.
- הזיות מודל הפכו לקטגוריית תביעות מתפתחת. כשפלט שגוי מוצג בביטחון מלא ומשמש בסיס להחלטה יקרה של משתמש, נפתחת שאלה של חבות מקצועית. נוסחי הפוליסה הסטנדרטיים נכתבו לפני שהתרחיש הזה היה קיים, והתוצאה היא אזור אפור שהשוק מתמחר בצורה לא אחידה.
- תלות בספק API חיצוני היא חשיפה תפעולית וחוזית כאחת. חתם ישאל מה קורה למוצר כשהשירות של OpenAI או של Anthropic מושבת, ומה תנאי השימוש של הספק אומרים על אחריות כלפי לקוח הקצה. הסעיפים האלה נוטים להסיט אחריות במורד השרשרת אל החברה שמוכרת את המוצר.
- המענה הביטוחי מפוזר על פני כמה קווים: סייבר, אחריות מקצועית טכנולוגית, דירקטורים ונושאי משרה, ולעיתים קניין רוחני. אף אחד מהם לא נבנה במקור לתרחיש של מודל שטעה, ולכן ההתאמה נעשית דרך הגדרות, הרחבות ובדיקה מול נוסח ספציפי.
מה בדיוק השתנה בשולחן החיתום
עד לא מזמן חיתום של חברת תוכנה התמקד בסביבת המחשוב: הרשאות, גיבויים, ניהול פגיעויות ותגובה לאירוע. חברת AI מוסיפה שכבה שלמה, מפני שהמוצר עצמו מייצר החלטות ותוכן שמשפיעים על צד שלישי, והחתם רוצה לדעת מה המודל עושה, על מה הוא אומן ומי בודק אותו לפני שהפלט מגיע ללקוח.
השינוי הזה מסביר למה שאלוני החיתום התארכו. שאלה על גיבויים אפשר לענות בשורה אחת. שאלה על מקור נתוני האימון דורשת מיפוי שמישהו צריך לבנות ולתחזק. חברות שמגיעות לשוק בלי המיפוי הזה מגלות שהפער הופך לעיכוב בלוח הזמנים של סבב הגיוס או של עסקת רכש ארגונית, מפני שהלקוח הארגוני מבקש אישור קיום ביטוח לפני חתימה. הזמן שנדרש להשלים את המסמכים ארוך בדרך כלל מהזמן שנשאר עד המועד המבוקש. התוצאה היא כיסוי שנרכש בחיפזון, ולעיתים בתנאים פחות טובים ממה שהחברה יכלה להשיג בלוח זמנים סביר.
החיתום עבר מהסביבה שבה המוצר רץ אל המוצר עצמו.
שש השאלות שחוזרות כמעט בכל שאלון
מקור נתוני האימון ופרטיות
החתם שואל מהיכן הגיעו הנתונים ששימשו לאימון, האם הם כוללים מידע אישי מזוהה, האם הבסיס החוקי לעיבוד מתועד והאם קיימת חשיפה לזכויות יוצרים. תשובה טובה נשענת על מרשם מקורות שמנוהל כמסמך חי, עם ציון רישיון, טריטוריה, תאריך רכישה ובעלים אחראי, מפני שבמסגרת GDPR ובמסגרת חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע) הבסיס לעיבוד ומיקום האחסון דורשים תשובה כתובה ולא הערכה בעל פה.
פלט המודל והזיות
השאלה כאן היא האם הפלט עלול להיתפס כייעוץ מקצועי, ומה התהליך שמאמת אותו לפני שהוא מגיע למשתמש. חתם מחפש שכבת בקרה: אדם בלולאה בהחלטות בעלות השפעה, סף ביטחון שמעביר מקרים גבוליים לבדיקה ידנית, תיעוד של גרסת המודל ששימשה בכל תשובה שנשמרת, ורישום של המקרים שנדחו. חברות שמאפשרות פלט חופשי לתחומים מוסדרים נתקלות בשאלות קשות יותר ולעיתים בהחרגה ממוקדת. חברות שמצמצמות את הפלט לתחום מוגדר מקבלות בדרך כלל שאלון קצר יותר.
תלות בממשק חיצוני
מוצרים רבים נשענים על API של ספק מודל חיצוני, ולעיתים על שכבת תשתית של AWS מתחתיו. החתם בודק מה קורה בהשבתה ממושכת, האם קיים ספק חלופי שנבדק, ומה תנאי השימוש של הספק קובעים בנוגע לאחריות כלפי לקוח הקצה. תשובה מסודרת כוללת מיפוי תלויות, יעדי זמן התאוששות שנבדקו בפועל וקריאה של סעיפי הגבלת האחריות בחוזה הספק.
ממשל מודל וסחיפת ביצועים
ביצועי מודל משתנים עם הזמן, וסחיפה שלא מזוהה הופכת בהדרגה למוצר שמספק תשובות פחות מדויקות מאלה שהוצגו ללקוח בעת המכירה. השאלה החיתומית היא מי מודד את הביצועים ומה קורה כשמדד יורד מתחת לסף. מסגרת ניהול הסיכונים של NIST ל-AI מספקת שלד שחתמים מתחילים להזכיר בשיחות, והיא מקלה על תרגום ההסבר הטכני לשפה של ממשל תאגידי.
הטיה והוגנות בענפים מוסדרים
בפינטק, בביטוח, בבריאות ובטכנולוגיות גיוס והעסקה, מערכת שמקבלת החלטה על אדם עלולה להיחשף לתביעה לפי דיני איסור אפליה. חתמים בענפים האלה בודקים אם מתבצעת בדיקת הטיה תקופתית ואם הממצאים מטופלים ומתועדים, וזו קטגוריית חבות מתפתחת שהמענה הביטוחי לה עדיין נבנה בשוק.
פרטיות ומיקום אחסון הנתונים
כשמשתמש מזין שאילתה, השאלה היא האם המידע עובר דרך המודל בזמן ההסקה, האם הוא נשמר לצורך שיפור המודל, והאם הדבר גלוי למשתמש בתנאי השימוש. אצל לקוח אירופי או מוסדי השאלה מתרחבת למיקום הפיזי של השרתים ולהעברות בין מדינות. תשובה חסרה כאן פוגעת גם בעסקה המסחרית וגם בחיתום, מפני שאותו מסמך משרת את שניהם.
שאלות החיתום החדשות והמענה שכדאי להכין מראש:
| תחום בחיתום | מה החתם שואל | מה להכין מראש | קו הביטוח שעשוי להגיב |
| מקור נתוני האימון | מהיכן הגיעו הנתונים, האם הם כוללים מידע אישי ומה מצב הרישיונות | מרשם מקורות עם רישיון, טריטוריה ובסיס חוקי לעיבוד | אחריות מקצועית טכנולוגית לרכיב המוצר, סייבר לרכיב הפרטיות, קניין רוחני לרכיב הזכויות |
| פלט המודל והזיות | האם הפלט עשוי להיחשב ייעוץ מקצועי ומי מאמת אותו לפני חשיפה | נוהל אימות פלט, אדם בלולאה בהחלטות בעלות השפעה ותיעוד גרסאות | אחריות מקצועית טכנולוגית, בכפוף להגדרת השירות ולהחרגות בנוסח |
| תלות בספק API | מה קורה בהשבתה ממושכת ומה קובעים תנאי השימוש של הספק | מיפוי תלויות, ספק חלופי שנבדק ובחינת סעיפי הגבלת אחריות | סייבר להפסק תפעולי שמקורו בספק, בכפוף להגדרת מערכת תלויה בנוסח |
| ממשל מודל וסחיפה | מי מנטר ביצועים, באיזו תדירות ומה סף ההתערבות | מדדי איכות, לוח בקרה תקופתי ונוהל טיפול בחריגה | אחריות מקצועית טכנולוגית, ולעיתים דירקטורים ונושאי משרה כשהיה מצג להנהלה או למשקיעים |
| הטיה והוגנות | האם מתבצעת בדיקת הטיה ומה נעשה עם הממצאים | דוח בדיקה תקופתי ותיעוד התיקון שבוצע | אחריות מקצועית, לצד בחינת כיסוי פרקטיקות העסקה במוצרי גיוס וסינון |
| פרטיות ומיקום אחסון | האם שאילתות נשמרות, היכן הן יושבות ומה נאמר למשתמש | מפת זרימת נתונים, הסכמי עיבוד ומדיניות שמירה ומחיקה | סייבר לרכיב הפרטיות, בכפוף לעמידה בחובת הדיווח ולמועדים שבנוסח |
| מצגים למשקיעים וללקוחות | מה נאמר על יכולות המודל ועל הבקרות סביבו | התאמה בין חומרי השיווק לבין התיעוד התפעולי הפנימי | דירקטורים ונושאי משרה |
הפער בין הזיה של מודל לבין רשלנות מקצועית
כשמודל מספק תשובה שגויה בביטחון מלא ומשתמש פועל לפיה, השאלה הביטוחית היא לאיזה תא הסיכון הזה שייך. פוליסת סייבר נבנתה סביב אירוע אבטחה: חדירה, כופר, דליפת מידע או השבתה. פוליסת אחריות מקצועית טכנולוגית נבנתה סביב כשל במתן שירות מקצועי בידי בני אדם. הזיה של מודל יושבת בין השתיים, מפני שאין כאן חדירה ולעיתים גם אין מעשה אנושי מזוהה שאפשר להצביע עליו כרשלנות.
נוסחי הפוליסה הסטנדרטיים נכתבו לעולם שקדם לתרחיש הזה. חלק מהנוסחים מגדירים מעשה מקצועי באופן שמכיל גם תוצר אוטומטי של המערכת, וחלקם דורשים מעשה או מחדל של המבוטח עצמו. בשנתיים האחרונות נכנסו לשוק גם החרגות בינה מלאכותית רחבות, שמנוסחות לעיתים כך שהן שוללות כיסוי לכל תביעה שנוגעת לשימוש במודל. חברת AI שרוכשת נוסח כזה עלולה לגלות שהיא קנתה כיסוי שמחריג בדיוק את ליבת פעילותה. הגילוי מגיע בדרך כלל בשלב שבו כבר אין מה לשנות.
בשוק לוידס החלו להתפתח נוסחים ייעודיים שמתייחסים ישירות להזיות ולסחיפת מודל, אך מדובר בשוק צעיר עם שונות גדולה בין נוסחים ובלי סטנדרט מקובל, ולכן הבדיקה נעשית מילה במילה במקום לפי שם המוצר. הברוקר (LAMDA Broking) בוחן את הגדרת השירות בפוליסה מול תיאור המוצר בחוזה הלקוח, כדי לאתר את הפער לפני שהוא מתגלה בתביעה.
רגולציה: ה-EU AI Act, הדין הישראלי, והלוח שעדיין זז
ה-EU AI Act נכנס לתחולה בשלבים, וחלק מהלוח כבר חל. האיסורים על שימושים אסורים חלים מפברואר 2025. חובות שחלות על מודלים לשימוש כללי חלות מאוגוסט 2025. חובות השקיפות כלפי משתמשים חלות מאוגוסט 2026. לוח הזמנים לחובות שחלות על מערכות בסיכון גבוה לפי נספח III נמצא בהליך תיקון ואינו סגור. חברה שבונה תוכנית עמידה תעשה טוב אם תתכנן לפי מהות הדרישות במקום לפי תאריך יעד יחיד.
בישראל, תיקון 13 לחוק הגנת הפרטיות הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות והוסיף חובת דיווח על אירוע אבטחה חמור. תקנות הגנת הפרטיות (אבטחת מידע) קובעות דרישות תפעוליות שחלות גם על מאגר ששימש לאימון מודל, ובכלל זה מיפוי המאגר, ניהול הרשאות, תיעוד אירועים וסקירה תקופתית. חברת AI ישראלית שמוכרת ללקוחות בחו״ל נדרשת להראות עמידה בשתי מערכות במקביל, ולעיתים גם להסביר לחתם כיצד השתיים משתלבות.
מסגרת ניהול הסיכונים של NIST ל-AI ותקן ISO 27001 מספקים שפה משותפת מול לקוחות ומול חתמים, גם כשאין חובה חוקית ישירה. דוח SOC 2 הוא דוח ביקורת שמנפיקה פירמת רואי חשבון עצמאית מול קריטריוני AICPA לתקופה מוגדרת, ואיש אינו מחזיק תעודת הסמכה כזאת בכיס, כך שחברה שמנהלת את התיעוד באופן שוטף מגלה שאותם מסמכים משרתים גם את הרכש הארגוני וגם את החתם.
מפת הדרישות שמשפיעות היום על שאלון החיתום:
| מקור הדרישה | מה היא דורשת | כיצד זה מתורגם בשאלון החיתום |
| EU AI Act, איסורים | איסור על שימושים מסוימים, חל מפברואר 2025 | הצהרה מנומקת שהמוצר נמצא מחוץ לרשימת השימושים האסורים |
| EU AI Act, מודלים לשימוש כללי | חובות תיעוד ושקיפות מאוגוסט 2025 | תיעוד טכני של המודל ושל מקורות הנתונים ששימשו לאימון |
| EU AI Act, שקיפות כלפי משתמש | יידוע שהמשתמש מקיים אינטראקציה עם מערכת AI, מאוגוסט 2026 | בדיקת ממשק המוצר ותנאי השימוש מול הדרישה |
| EU AI Act, סיכון גבוה לפי נספח III | לוח הזמנים נמצא בהליך תיקון ועדיין פתוח | תכנון לפי מהות הדרישות במקום לפי תאריך יעד |
| תקנות הגנת הפרטיות (אבטחת מידע) | מיפוי מאגר, ניהול הרשאות, תיעוד וסקירה | ראיות תפעוליות במקום הצהרה כללית על מדיניות |
| תיקון 13 לחוק הגנת הפרטיות | אכיפה מוגברת וחובת דיווח לרשות להגנת הפרטיות | נוהל דיווח כתוב עם לוחות זמנים ובעלים מוגדר |
| GDPR | בסיס חוקי לעיבוד וכללים להעברות בין מדינות | מפת זרימת נתונים והסכמי עיבוד חתומים |
| NIST AI RMF ו-ISO 27001 | מסגרות ממשל וניהול סיכונים שאימוצן וולונטרי | שפה מקובלת לתיאור בקרות בפני חתם ובפני לקוח ארגוני |
טעויות נפוצות
- מניחים שפוליסת סייבר מכסה גם טעות של המודל, מפני שהמוצר טכנולוגי.
- חותמים על נוסח שכולל החרגת בינה מלאכותית רחבה בלי לבדוק כיצד היא מתיישבת עם תיאור המוצר בחוזה הלקוח, ואז מגלים בתביעה שהחרגה אחת סוגרת את כל קו הפעילות.
- מתארים במצגת למשקיעים יכולות מודל שהמדידה הפנימית לא תומכת בהן.
- מסתמכים על תנאי השימוש של ספק ה-API בלי לבדוק אילו התחייבויות הם מטילים על המשתמש ואילו הם שוללים.
- מנהלים מרשם מקורות נתונים בגיליון שמתעדכן פעם בשנה, ומגיעים לחיתום עם תמונה ישנה.
- בודקים הטיה פעם אחת לפני ההשקה, ומדלגים על הבדיקה אחרי כל אימון מחדש.
- משאירים את שאלון החיתום לשבוע האחרון, כשהתשובות דורשות עבודה של חודש בצוות המוצר ובייעוץ המשפטי.
צ׳ק־ליסט מקצועי
- נהלו מרשם מקורות לנתוני אימון, עם רישיון, טריטוריה, תאריך רכישה ובסיס חוקי לעיבוד.
- סווגו אילו מאגרים כוללים מידע אישי, והגדירו נוהל מחיקה ומענה לבקשת גישה.
- הגדירו נוהל אימות פלט לפני חשיפה למשתמש, עם אדם בלולאה בהחלטות בעלות השפעה.
- תעדו את גרסת המודל ואת ההנחיות ששימשו בכל תשובה שנשמרת, לצורכי חקירה עתידית.
- מדדו סחיפת ביצועים בקצב קבוע, וקבעו סף שמחייב עצירה או חזרה לגרסה קודמת.
- מנו בעלים בכיר לביצועי המודל, והציגו את המדדים להנהלה אחת לרבעון.
- מפו את התלות בספקי API חיצוניים, ובדקו חלופה מעשית לכל תלות חד-נקודתית.
- קראו את תנאי השימוש של ספק המודל, וסמנו את הסעיפים שמסיטים אחריות אליכם.
- בצעו בדיקת הטיה תקופתית בכל מוצר שמקבל החלטה על אדם, ותעדו ממצא ותיקון.
- בנו מפת זרימת נתונים שמראה היכן שאילתות נשמרות, לכמה זמן ומי ניגש אליהן.
- התאימו את תנאי השימוש ואת מדיניות הפרטיות למה שהמערכת עושה בפועל.
- השוו את חומרי השיווק ואת מצגי המשקיעים לתיעוד המדידה הפנימי לפני פרסום.
- בקשו מהברוקר לאתר החרגות בינה מלאכותית בנוסח, ולבחון את הגדרת השירות מול חוזה הלקוח.
- כתבו נוהל דיווח לאירוע אבטחה, עם לוחות זמנים ובעלים מוגדר מול הרשות להגנת הפרטיות.
- הביאו את שאלון החיתום לצוות המוצר ולייעוץ המשפטי חודשיים לפני מועד החידוש.
שאלות נפוצות
האם פוליסת סייבר מכסה נזק שנגרם מהזיה של מודל?
ברוב הנוסחים פוליסת סייבר בנויה סביב אירוע אבטחה, כלומר חדירה, כופר, דליפת מידע או השבתה, ולכן תשובה שגויה של מודל ללא אירוע אבטחה נופלת בדרך כלל מחוץ להגדרה. התרחיש הזה נבחן בדרך כלל תחת אחריות מקצועית טכנולוגית, בכפוף להגדרת השירות ולהחרגות שבנוסח. הבדיקה המעשית היא לקרוא את שתי ההגדרות זו מול זו לפני הרכישה, ולא אחרי האירוע.
מה חתם רוצה לראות בנוגע לנתוני האימון?
מסמך שמראה מהיכן הגיע כל מאגר, מה הרישיון שלו, האם הוא כולל מידע אישי ומה הבסיס החוקי לעיבוד. מרשם מסודר שמתעדכן בכל רכישת מאגר עונה על רוב השאלות בשיחה אחת. חברה שמסתמכת על זיכרונו של מהנדס בכיר מתקשה להוכיח את שרשרת המקור, וחוסר הוודאות הזה מתומחר או מוחרג בנוסח.
האם קיימות היום פוליסות ייעודיות לחברות AI?
בשוק לוידס החלו להתפתח נוסחים שמתייחסים ישירות להזיות ולסחיפת מודל, לצד הרחבות שמשולבות בנוסחי אחריות מקצועית קיימים. השוק צעיר והשונות בין הנוסחים גדולה, ולכן השם המסחרי של המוצר מלמד מעט על היקף הכיסוי. ההשוואה המועילה נעשית ברמת ההגדרות, ההחרגות והטריגר לתביעה, במקום ברמת הכותרת.
מה נדרש מחברת AI ישראלית מול ה-EU AI Act?
האיסורים על שימושים אסורים חלים מפברואר 2025, חובות על מודלים לשימוש כללי חלות מאוגוסט 2025, וחובות השקיפות כלפי משתמשים חלות מאוגוסט 2026. לוח הזמנים לחובות שחלות על מערכות בסיכון גבוה לפי נספח III נמצא בהליך תיקון וטרם התייצב. הכיוון המעשי הוא לבנות תיעוד לפי מהות הדרישות, מפני שאותו תיעוד נדרש גם בחיתום וגם ברכש ארגוני.
מי נושא באחריות כשספק ה-API משנה את המודל?
החוזה קובע. תנאי השימוש של ספקים מרכזיים מטילים בדרך כלל על המשתמש את האחריות לאופן השילוב ולתוצאה כלפי לקוח הקצה, ומגבילים את אחריות הספק לסכומים נמוכים. חברה שמוכרת מוצר מבוסס מודל חיצוני נושאת אפוא בחשיפה מול הלקוח שלה, וכיסוי אחריות מקצועית טכנולוגית הוא המקום שבו התרחיש נבחן, בכפוף לנוסח.
כיצד סחיפת מודל הופכת לשאלה של דירקטוריון?
כשאיכות המודל יורדת והחברה ממשיכה להציג את הביצועים המקוריים ללקוחות או למשקיעים, נוצר פער בין המצג לבין המציאות. פער כזה הוא בדיוק סוג הטענה שמופנית נגד נושאי משרה. דיווח רבעוני מתועד על מדדי המודל, לצד החלטה מתועדת מה עושים בחריגה, מחזק את עמדת הדירקטוריון ואת התיק מול מבטח הדירקטורים.
האם בדיקת הטיה נדרשת גם כשאין רגולציה ישירה?
בענפים כמו פינטק, ביטוח, בריאות וטכנולוגיות העסקה, דיני איסור אפליה חלים על התוצאה גם בלי חקיקה ייעודית ל-AI. חתמים באותם ענפים בודקים אם מתבצעת בדיקה תקופתית ואם הממצאים מטופלים. מעבר לחיתום, לקוחות ארגוניים מתחילים לבקש את הדוח הזה כחלק מהרכש, ולכן הבדיקה משרתת שתי מטרות באותה עבודה.
חברת AI נמדדת היום בחיתום לפי המוצר שהיא מפעילה ולפי הראיות שהיא יכולה להציג, ולכן איכות הכיסוי נקבעת לפי התיעוד של מקור הנתונים, של אימות הפלט ושל ניטור המודל.
האמור לעיל הוא מידע כללי בלבד ואין בו משום ייעוץ ביטוחי, משפטי או מקצועי אחר. תנאי הכיסוי, ההחרגות והחובות נקבעים בנוסח הפוליסה הספציפי ובכפוף לדין החל. יש לבחון כל מקרה לגופו מול נוסח הפוליסה ומול יועץ מוסמך.



































































