מחקר: מודלי ה-AI המובילים מפרים שוב ושוב את חוקי האיחוד האירופי

מנהלת מוצר בחברת ביטוח גרמנית פתחה את הדוח החדש של TechRepublic, קראה את הממצאים, ושלחה אותו למנכ"ל בלי הקדמה. היא לא הייתה צריכה להוסיף הערות: המחקר מה-1 ביוני 2026 תיעד בדיוק את מה שהיא חשדה בו — שמודלי ה-AI המובילים בשוק, אלה שבארגון שלה משתמשים בהם יום-יום, נופלים באופן שגרתי בדרישות של ה-GDPR האירופי ושל ה-EU AI Act. זה לא 'בעיה של הרגולטור'. זו בעיה של המודלים עצמם.

מה מצא המחקר

המחקר שדווח ב-1 ביוני 2026 ב-TechRepublic בדק את המודלים המובילים של OpenAI, Anthropic ו-Google מול דרישות ה-GDPR וה-EU AI Act. הממצא המרכזי לא היה שהמודלים נופלים באופן חד-פעמי, אלא שהם נופלים בדפוס חוזר — על פני קטגוריות שונות של דרישות, ועל פני סוגיות שונות של ציות.

המשמעות: אי אפשר להסביר את הכשלים כ'באג מקומי' או 'פיסת דרישה אזוטרית'. המודלים נופלים בצורה שיטתית, וזה מרמז שמדובר בארכיטקטורה שלהם — באיך הם נבנו, אומנו, ונשלחים לשוק — לא בעניין של תיקון נקודתי.

המחקר גם בדק דפוסים דומים באזור APAC, כולל אוסטרליה וסינגפורר, ומצא אותם כשלים בדיוק באותה צורה. זה חיזק את הטענה שמדובר בבעיה מערכתית של המודלים, לא ברגולציה אזורית ספציפית שאפשר 'לעקוף' על ידי פריסה באזור אחר.

GDPR: שלוש דרישות שהמודלים נופלים בהן

GDPR, התקנה האירופית להגנת פרטיות, כופה שלוש דרישות מרכזיות על מערכות שמעבדות דאטה אישי. ראשית, שקיפות על איזה דאטה אומן המודל — משמע, הצהרה ברורה של מקורות האימון ושל סוגי הדאטה. שנית, זכות למחיקה — משמע, יכולת טכנית להסיר השפעה של דאטה מסוים מהמודל (machine unlearning). שלישית, בקרה על מי שמעבד את הדאטה — משמע, Data Processing Agreement ברור עם כל ספק.

המחקר מצא שהמודלים נופלים בכל אחת מהדרישות האלה. השקיפות על דאטה מוגבלת בדרך כלל לרמה גבוהה — 'אומן על web crawl' — בלי פירוט מספיק כדי לעמוד בסטנדרט של GDPR. זכות למחיקה היא בעיה טכנית קשה: מודלים לרוב לא תומכים במחיקה ממוקדת, והסרה מלאה דורשת fine-tuning מחדש על כל הדאטה מלבד זה שנמחק.

בקרה על מעבדי דאטה היא הדרישה שבה ארגונים יכולים לפעול הכי הרבה — באמצעות Data Processing Agreements עם ספקי ה-AI, ובחירת ספקים שיש להם תשתית תאימות מובנית (כמו EU-based inference). אבל גם כאן, רוב הספקים מציעים תשתית חלקית בלבד.

EU AI Act: דרישות על מערכות בסיכון גבוה

EU AI Act, התקנה האירופית ל-AI, מוסיפה שכבה נוספת של דרישות על מערכות שמסווגות כ'בסיכון גבוה' (high-risk). הסיווג כולל שימושים כמו גיוס עובדים, הערכת אשראי, אבחון רפואי, ומערכות ביומטריות. עבור מודלי שפה כלליים, הסיווג תלוי בשימוש — אם משתמשים בהם לסיכון גבוה, הם נכללים.

הדרישות של ה-EU AI Act למערכות בסיכון גבוה כוללות: תיעוד מלא של תהליכי האימון (training data documentation); הערכת סיכון שיטתית (risk assessment); פיקוח אנושי על החלטות אוטומטיות (human oversight); שקיפות כלפי משתמשים שמקבלים החלטה מ-AI; ויכולת ערעור על החלטות אוטומטיות.

מודלי שפה גדולים לרוב לא מספקים את היכולות האלה out-of-the-box. הם מספקים 'מנוע inference' — מה שמאפשר קריאה וקבלת תשובה. אבל הם לא מספקים תיעוד של אימון, הערכת סיכון, או מנגנוני ערעור. אלו צריכים להיבנות מסביב למודל — על ידי הארגון שמפעיל אותו.

ההשלכות בשטח: סיכון רגולטורי אמיתי

עבור ארגונים שמפעילים את המודלים האלה בעבודות רגישות — בריאות, פיננסים, גיוס, משפטים — הממצאים של המחקר הם לא עניין אקדמי. הם סיכון תפעולי ממשי. קנסות GDPR יכולים להגיע ל-4% מהמחזור השנתי הגלובלי של הארגון, או 20 מיליון אירו, הגבוה מבין השניים. עבור חברות Fortune 500, מדובר במיליארדי דולרים.

בנוסף לקנסות, אכיפה של EU AI Act יכולה לחייב השבתת מוצרים באירופה. רגולטורים אירופיים יכולים לדרוש הסרת מוצר מהשוק עד לתיקון ליקויים — ועבור חברה ש-AI הוא חלק מרכזי מהמוצר שלה, זה אומר השבתת פעילות בשוק מרכזי.

מעבר לסיכון הכלכלי, יש גם סיכון מוניטיני. חשיפה תקשורתית של מקרה אי-ציות בתחום פרטיות פוגעת במוניטין באופן שלא ניתן לתקן בקלות. לקוחות אירופיים שמגלים שהמוצר שלהם לא עומד ב-GDPR נוטים לעבור למתחרים — גם אם המוצר של המתחרים פחות טוב טכנית.

מה המודלים כן נותנים, ומה חסר

חשוב להבחין בין מה שהמודלים עושים טוב לבין מה שהם לא עושים. בצד החיובי: כל הספקים הגדולים מציעים תשתית אבטחה סבירה — הצפנה במנוחה, הצפנה בתעבורה, גישה מבוססת role-based ל-API שלהם. יש להם גם תיעוד סביר של מדיניות הדאטה, ואפשרויות להגבלת אזור גיאוגרפי (data residency) במידה מסוימת.

בצד השלילי: הם לא מספקים תיעוד אימון מפורט מספיק לסטנדרט של GDPR. הם לא מספקים machine unlearning מסחרי בשל. הם לא מספקים מנגנוני פיקוח אנושי מובנים — זה תלוי בארגון שמפעיל אותם. והם לא מספקים יכולת ערעור על החלטות אוטומטיות שמבוססות על המודל.

המשמעות: המודל עצמו הוא רכיב גנרי שעושה עבודה טובה על שפה, אבל לא נושא באחריות לציות. האחריות לבנות את הציות סביב המודל — תיעוד, governance, oversight — נופלת על הארגון שמפעיל אותו.

המשמעות האסטרטגית: ציות הופך לתחרות

הממצאים של המחקר מצביעים על מגמה שתלך ותתעצם: ציות רגולטורי יהפוך מ'פרויקט משלים' ל'גורם תחרותי מרכזי'. חברות שיבנו תשתית ציות מובנית סביב המודלים שלהן יוכלו לפרוס באירופה וב-APAC ללא חשש. חברות שלא — ייאלצו להגביל את עצמן לשווקים שבהם הרגולציה פחות נוקשה.

זה יוצר הזדמנות לסטארטאפים שמתמחים בתשתית ציות — כלי תיעוד אוטומטי של אימון, מערכות machine unlearning, מנגנוני פיקוח אנושי. הספקים האלה יכולים להפוך לשכבת תיווך בין המודל לבין הרגולטור, ולבסס את עצמם כקטגוריה חדשה בשוק ה-AI infrastructure.

במקביל, הספקים הגדולים ייאלצו להגיב. הציות הרגולטורי הוא לא רק תכונה טכנית; הוא תכונה שמשפיעה על אילו שווקים פתוחים בפני הלקוחות שלהם. ככל שהלקוחות ידרשו יותר ציות, כך הספקים יצטרכו להציע יותר תשתית ציות מובנית. זהו תהליך שלוקח שנים — אבל הוא התחיל.

מה ארגון צריך לעשות עכשיו

עבור ארגון שמפעיל מודלים מובילים בעבודות רגישות, הצעד הראשון הוא מיפוי: באילו מוצרים משתמשים ב-AI, באילו מודלים, ועל איזה דאטה. זה נשמע טריוויאלי, אבל רוב הארגונים לא יודעים לענות על כך בצורה מדויקת. רק אחרי המיפוי אפשר להעריך את החשיפה הרגולטורית.

הצעד השני הוא הערכת סיכון לכל מוצר שמשתמש ב-AI. אם המוצר מסווג כ'בסיכון גבוה' לפי EU AI Act, הוא דורש תיעוד מלא, הערכת סיכון שיטתית, פיקוח אנושי, ושקיפות כלפי משתמשים. כל אחד מאלה דורש תקציב נפרד, ולא כל ארגון מוכן לכך.

הצעד השלישי הוא לבחור ספקים בצורה מושכלת. לא כל המודלים שווים בציות. חלק מהספקים מציעים תשתית טובה יותר מאחרים — למשל, אפשרויות data residency באירופה, תיעוד אימון מפורט יותר, או מנגנוני בקרה מובנים. הבחירה צריכה לכלול שיקולי ציות, לא רק ביצועים.

הצעד הרביעי, והקשה ביותר, הוא לבנות את התשתית החסרה. תיעוד אימון, מנגנוני פיקוח אנושי, יכולת ערעור — כל אלו לא באים מהמודל. הם צריכים להיבנות בצד של הארגון, וזה דורש השקעה רצינית. חברות שיעשו את זה יקבלו יתרון תחרותי; חברות שלא יעשו — יחכו לאכיפה שתכריח אותן.

מודל מוביל בביצועים הוא לא מודל מוביל בציות — והאחריות לסגור את הפער נופלת על הארגון שמפעיל אותו, לא על הספק שבנה אותו.

השורה התחתונה: המחקר מה-1 ביוני 2026 לא חשף הפתעה גדולה; הוא ניסח בצורה ברורה מה שרבים חשדו. מודלי ה-AI המובילים נופלים בדרישות GDPR ו-EU AI Act, והאחריות לסגור את הפער נופלת על הארגון שמפעיל אותם. עבור חברות שפועלות באירופה או ב-APAC, זה כבר לא שאלה של 'אם' אלא של 'מתי' הרגולטור יגיע. ההכנה עכשיו עולה פחות מהתיקון אחרי האכיפה.