בשנה האחרונה יותר ויותר פניות של בעלי מקצוע שונים אשר פיתחו חיבה יתרה לבניית קוד ובדרך כלל הסיפור מתחיל כך. לפני כמה חודשים ישבתי בסלון בערב שבת, בלי כוונה רצינית, ובניתי כלי קטן. כמעט לא כתבתי שורת קוד. פשוט דיברתי עם הבינה המלאכותית בשפה חופשית, תיארתי מה אני רוצה, והיא בנתה. מה שפעם דרש צוות פיתוח וחודשי עבודה, קם מול העיניים שלי בערב אחד. לדרך הזו קוראים היום ויבקודינג (vibecoding), פיתוח בשיחה במקום בקוד.

העליתי את הכלי לאוויר, שירות ענן קטן (SaaS), והייתי בטוח שזה צעצוע פרטי. אחרי כמה ימים נכנסה ההרשמה הראשונה, ואחריה עוד אחת. אחת מהן הגיעה ממינכן. וכך, בלי שזזתי מהספה, הפכתי בלי לדעת לשחקן בשוק האירופי.

שימו לב לדפוס. ויבקודר יחיד, שמשיק מוצר מהסלון, יכול להפוך למי שהחוק האירופי מכנה ספק (provider) או מטמיע (deployer), בלי שפתח אף מסמך משפטי. וכאן מתחילה השאלה האמיתית. איך חוק שנחקק בבריסל חל על מי שיושב בתל אביב, ומה בעצם נדרש ממנו כבר עכשיו.

הצד הטכנולוגי

כדי להבין את החשיפה צריך קודם להבין את המנגנון, לא את החוק. מערכת בינה מלאכותית אינה צריכה משרד באירופה כדי לגעת בה. ברגע שמשתמש באיחוד מפעיל את המוצר שלכם, או שהפלט (output) שהמערכת מייצרת נצרך בתוך האיחוד, החוט כבר חצה את הגבול. אין גבול פיזי בקוד. יש רק זרימת נתונים, והיא אינה עוצרת בביקורת דרכונים.

הרובד הראשון שנכנס לפעולה הוא שקיפות והוא כולו טכני. אם משתמש משוחח עם בוט, צריך לומר לו שהוא מדבר עם מכונה, אלא אם זה מובן מאליו. תוכן שהמערכת מייצרת, תמונה, שמע, וידאו או טקסט, צריך להיות מסומן בצורה קריאה למכונה כתוכן סינתטי. מצגי דיפ פייק חייבים תיוג גלוי. אלו אינן דרישות של ניירת, אלה שורות קוד וסימוני מים (watermark) שצריך לשבץ במוצר עצמו.

הרובד השני נסתר יותר. רוב הויבקודרים אינם מאמנים מודל משלהם, אלא עוטפים מודל קיים לשימוש כללי (GPAI). כאן נוצרת שרשרת. לספק המודל יש חובות משלו ותנאי שימוש משלו (ToS), והמוצר שלכם יורש מהם מגבלות וחובות גילוי. המשמעות המעשית היא שהציות אינו יושב רק בקוד, הוא חייב להימצא גם בתנאי השימוש שאתם מציגים למשתמשים, ואלה חייבים לשאת את הודעות השקיפות.

הצד המשפטי

בישראל, נכון לשנת 2026, עדיין אין חוק ייעודי לבינה מלאכותית. מסמך עקרונות המדיניות של משרד החדשנות, המדע והטכנולוגיה משנת 2023 בחר בגישה רכה, ענפית ומבוססת סיכון, בלי חקיקה כופה (מסמך עקרונות המדיניות). המשמעות עבור מייסד ישראלי כפולה. מצד אחד, אין חוק מקומי שמכתיב לו כיצד לבנות את המוצר. מצד שני, ובדיוק כאן הטעות הנפוצה, השקט המקומי אינו מעניק חסינות מפני דין זר. הדין האירופי חל מכוח כללי התחולה שלו עצמו, לפי מיקום צריכת הפלט או הצבת המערכת בשוק האיחוד, ולא משום שנוצר חלל שאותו הוא ממלא.

חוק הבינה המלאכותית האירופי (EU AI Act) חל, לפי לשונו שלו, גם על ספק או מטמיע שמקום מושבו במדינה שלישית, כאשר הוא מציב מערכת בשוק האיחוד או כאשר הפלט שהמערכת מייצרת נצרך בתוך האיחוד (סעיף 2). זו אינה פרשנות מרחיבה, זו לשון החוק. לאחר תיקון שכונה Digital Omnibus, הוא פורסם כרגולציה מחייבת, Regulation (EU) 2026/1744, ברשומות האיחוד ב-24 ביולי 2026, ונכנס לתוקף ב-27 ביולי 2026 (הנוסח ברשומות; סקירת התיקון).

מה נכנס לתוקף באוגוסט 2026 ומה נדחה. זו נקודת הבלבול המרכזית. אבן הדרך של 2 באוגוסט 2026 אמיתית, אך היא בעיקר שכבת השקיפות (סעיף 50). לצדה כבר חלים איסורים על שימושים אסורים, שתקפים מפברואר 2025, וחובות על מודלים לשימוש כללי, שתקפות מאוגוסט 2025, ואלה לא נדחו (סקירה). לעומת זאת, הרגולציה הכבדה על מערכות בסיכון גבוה בתחומים כמו תעסוקה, אשראי, חינוך ושירותים חיוניים, נדחו ל-2 בדצמבר 2027, ומערכות בסיכון גבוה המשובצות במוצרים מוסדרים נדחו ל-2 באוגוסט 2028 (פירוט המועדים). ניואנס אחד חשוב, לסימון הטכני של מערכות שכבר היו בשוק לפני אוגוסט 2026 ניתנה ארכה עד 2 בדצמבר 2026.

וגובה הקנסות. התקרה העליונה גבוהה, עד 35 מיליון אירו או 7 אחוזים מהמחזור השנתי העולמי, הגבוה מביניהם, והיא שמורה לשימושים האסורים (סעיף 99). הפרות של חובות אחרות, ובכללן שכבת השקיפות, ממוקמות בתקרה נמוכה יותר, עד 15 מיליון אירו או 3 אחוזים מהמחזור. חשוב לומר זאת בהגינות, אלו תקרות מקסימום ולא קנס אוטומטי. לעסקים קטנים ובינוניים ולסטארטאפים הרגולציה אף קובעת שהקנס ייקבע לפי הנמוך מבין השניים ולא הגבוה, כך שהחשיפה בפועל של מוצר קטן מוגבלת יותר. אך גם החלק התחתון של הסולם גדול בהרבה מכל מוצר קטן שנבנה בסלון.

השאלה מתי בדיוק פלט נחשב כנצרך באיחוד האירופי תלויה בעובדות, והפיכת התחולה לרשימת מטלות קונקרטית עבור חברה מסוימת מחייבת בדיקה פרטנית, לא הכללה גורפת. מי שמבקש את התמונה הרחבה של אחריות בעולם הבינה המלאכותית ימצא אותה גם בעמוד עורך דין בינה מלאכותית של המשרד.

מה זה אומר עבורכם בפועל

אם אתם מוכרים, או שוקלים למכור, לאירופה, הנה סדר הפעולות. ראשית, מיפוי. בדקו אם הפלט שלכם מגיע לאיחוד, אם יש לכם משתמשים אירופים, שיווק שמכוון לשם, או תוצר שנצרך שם. שנית, סיווג תפקיד. הגדירו אם אתם ספק או מטמיע, ואם המוצר נופל לקטגוריית שקיפות, בוט שיחה, ייצור תוכן או דיפ פייק, או, פחות סביר במוצר קטן, לשימוש בסיכון גבוה. שלישית, שכבת השקיפות. הטמיעו את המטלות המעשיות של אוגוסט 2026, שורת גילוי שמדובר בבינה מלאכותית, סימון קריא למכונה לתוכן שנוצר, ותיוג דיפ פייק. רביעית, שרשרת ה-GPAI. קראו את תנאי השימוש של ספק המודל שעליו אתם נשענים, וודאו שתנאי השימוש שלכם נושאים את ההודעות הנדרשות. חמישית, תיעוד. שמרו את הניתוח ואת הצעדים, כך שאם רשות פיקוח שוק תפנה אליכם, תוכלו להראות עמידה, ולא להתחיל לחפש.

וכאן אנו שבים אל אותו ערב שבת בסלון, אל הכלי הקטן שקם בערב אחד ואל ההרשמה שהגיעה ממינכן. הקוד שנכתב בסלון חצה את הגבול הרבה לפני שהמקודד חשב על אירופה בכלל. הריחוק הגיאוגרפי כבר אינו הגנה, וגודל המוצר אינו פטור. אירופה אינה מבקשת מכם להיות חברה גדולה. היא מבקשת מכם להיות חברה שקופה.