כאשר ה-AI מקבל את ההחלטה: פער האחריות והסיכון שבמגן האלגוריתמי
כאשר ה-AI מקבל את ההחלטה: פער האחריות והסיכון שבמגן האלגוריתמי
מדוע בינה מלאכותית אינה צריכה להפוך למנגנון המרחיק בני אדם ותאגידים מאחריות משפטית
אוגוסט 2026
מאמר זה בוחן את הסיכון המשפטי והראייתי הנוצר כאשר מערכות בינה מלאכותית משולבות בקבלת החלטות מסחריות, מקצועיות וארגוניות. הטענה המרכזית היא כי AI אינו רק יוצר קושי בזיהוי הגורם האחראי לנזק, אלא עלול להפוך ל״מגן אלגוריתמי״: שכבה טכנולוגית וארגונית המאפשרת לבני אדם, לתאגידים ולספקי מערכות ליהנות מיתרונות האוטומציה, אך להתנער מאחריות כאשר ההחלטה גורמת לנזק. המאמר מציע לבחון אחריות במערכות אוטונומיות באמצעות שאלות של שליטה, תועלת, יכולת מניעת נזק ושליטה בראיות, ומדגיש את חשיבותם של תיעוד, פיקוח אנושי ממשי, הקצאת אחריות חוזית וממשל ארגוני מוקדם. על רקע דיני הנזיקין בישראל, התפתחויות רגולטוריות באיחוד האירופי ובארצות הברית, והאתגרים המעשיים של ״קופסה שחורה״ טכנולוגית וראייתית, נטען כי המשפט צריך למנוע מצב שבו עצם השימוש ב-AI מטשטש או מדלל את האחריות האנושית והתאגידית להחלטות שהועברו למערכת.
ככל שמערכות AI תופסות מקום רחב יותר בקבלת החלטות מסחריות ומקצועיות, הבעיה המשפטית אינה רק כיצד לחלק אחריות כאשר מערכת נכשלת. מתפתח סיכון נוסף: AI עלול להפוך לשכבה נוחה בין מי שנהנה מן ההחלטה לבין מי שנפגע ממנה. הטענה במאמר זה היא שהמשפט צריך למנוע מן השכבה הזו להפוך למגן אלגוריתמי.
המשפט שנשמע יותר ויותר: "המערכת קיבלה את ההחלטה"
אני מעריך שבשנים הקרובות עורכי דין, שופטים ורגולטורים ישמעו בתדירות הולכת וגוברת משפט אחד: "ה-AI קיבל את ההחלטה". במבט ראשון זה נשמע כהסבר טכני. עם הזמן, הוא עלול להפוך גם לטענת הגנה משפטית.
בנק עשוי לטעון שמודל סיווג לקוח כבעל סיכון גבוה. חברת ביטוח עשויה לומר שכלי אוטומטי המליץ לדחות תביעה. מעסיק עשוי להסביר שמערכת גיוס סיננה מועמד. בעל מקצוע עשוי להסתמך על ניתוח שהופק באמצעות AI ולאחר מכן התברר כשגוי באופן מהותי. הנהלה עשויה לומר שאף עובד מסוים לא קיבל בעצמו את ההחלטה שבמחלוקת.
ייתכן שכל אחת מן האמירות האלה תהיה נכונה מבחינה עובדתית. השאלה הקשה יותר היא האם יש בכך כדי להפחית את האחריות המשפטית.
ה-AI המודרני הופך את השאלה הזו למורכבת באמת. מערכות למידת מכונה עשויות להיות מסתגלות, הסתברותיות ולא שקופות; התוצאה יכולה להיות מושפעת מנתוני האימון, מארכיטקטורת המודל, מהוראות המערכת, מקלט המשתמש ומעדכונים שבוצעו לאחר מכן. מסמכי מדיניות בישראל כבר זיהו חוסר שקיפות, פיקוח אנושי ואחריותיות כאתגרים רגולטוריים מרכזיים בתחום ה-AI, ועבודת מדיניות קודמת תיארה את הקושי המעשי לשחזר את כללי ההחלטה של מערכות למידת מכונה מסוימות.[1]
אבל בעיניי קיימת בעיה נוספת שראויה לפחות לאותה מידה של תשומת לב: עצם קיומו של "פער אחריות" יוצר גם תמריץ להשתמש בפער הזה. לכן המשפט אינו צריך לשאול רק מי יישא באחריות כאשר מערכת AI גורמת לנזק, אלא גם האם הטכנולוגיה הופכת למסך שמאחוריו אחריות אנושית ותאגידית יכולה להיעלם.
אני משתמש בביטוי "המגן האלגוריתמי" כמונח תיאורי ולא כדוקטרינה משפטית קיימת. הכוונה היא למבנה ארגוני שבו ההחלטה מועברת למערכת, האחריות מתפזרת בין מספר גורמים, ולאחר האירוע אותה התפזרות עצמה משמשת כנימוק לכך שאין גורם אחד שניתן להטיל עליו אחריות.
האצלת סמכות אינה צריכה להפוך להתנערות מאחריות
ארגונים מאצילים החלטות כל הזמן. דירקטוריונים מאצילים סמכויות להנהלה. מנהלים מאצילים לעובדים. חברות מוציאות פעילויות לקבלני משנה ונשענות על תוכנות, מומחים וספקים חיצוניים. המשפט מעולם לא קיבל, ככלל, את הרעיון שעצם ההאצלה פוטרת אוטומטית מאחריות. אין סיבה שה-AI יהפוך לחריג רק משום שמקבל הסמכות הוא מכונה ולא אדם.
נניח שחברה ממכנת תהליך קבלת החלטות משום שהמערכת מהירה יותר, זולה יותר ויכולה לפעול בהיקף שהיה מחייב כוח אדם גדול בהרבה. החברה בוחרת את השימוש, קובעת כמה סמכות להעניק למערכת ומפיקה את התועלת הכלכלית. אם אותה חברה תוכל לאחר מכן לטעון שאחריותה פחותה משום שאף אדם לא קיבל אישית את ההחלטה המזיקה, נוצר מבנה משפטי א-סימטרי: הארגון שומר לעצמו את יתרונות האוטומציה, אך מנסה להחצין את הסיכון שהיא יוצרת.
ככל שמוענקת למערכת אוטונומית סמכות רחבה יותר, כך צריכה להתחזק החובה למשול בה, לפקח עליה ולתעד את האצלת הסמכות.
אין פירוש הדבר שהארגון המשתמש במערכת צריך לשאת תמיד במלוא האחריות. מודל פגום, אינטגרציה רשלנית, מצגים מטעים של הספק או כשל ברכיב של צד שלישי עשויים להצדיק העברת חלק מן האחריות לגורם אחר. הטענה שלי מצומצמת יותר: עצם העובדה שהמערכת פעלה באופן אוטונומי אינה יכולה, כשלעצמה, ליצור חלל משפטי.
כיוון הרגולציה הנוכחית כבר מתיישב עם תפיסה זו. חוק ה-AI האירופי מחייב, לגבי מערכות מסוימות בסיכון גבוה, יכולות תיעוד ופיקוח אנושי משמעותי, וכן הסדרי פיקוח המאפשרים לבני אדם להבין את מגבלות המערכת, להיות מודעים להטיית אוטומציה, לפרש פלטים ובמקרים המתאימים להתעלם מהם, להפוך אותם או להתערב בפעולת המערכת. מסגרת ניהול הסיכונים של NIST דורשת באופן דומה הגדרה ברורה של תפקידים ארגוניים, מנגנוני אחריות ואחריות ניהולית להחלטות הנוגעות לסיכוני AI.[2][3]
המגן האלגוריתמי יכול להיווצר במקרה - או להפוך לכלי שימושי במכוון
המקרה הפשוט הוא פיצול מקרי של האחריות. חברה אחת מפתחת מודל, חברה אחרת משלבת אותו במוצר, לקוח ארגוני מטמיע אותו ועובד משתמש בו. כאשר משהו משתבש, כל אחד מהגורמים בשרשרת יכול להפנות אצבע אל האחר.
המקרה המטריד יותר הוא כאשר עצם המבנה הופך לנוח משום שהוא מקשה לזהות אחריות. דמיינו עסק שבו ההנהלה מאשרת תהליך קבלת החלטות באמצעות AI; הספק מסרב לחשוף כיצד המודל פועל; העובדים מונחים לפעול לפי המלצת המערכת במקרים שגרתיים; הלוגים נשמרים לזמן קצר בלבד; והחוזה מטיל אחריות רחבה על הלקוח, אך מעניק לו גישה מוגבלת מאוד לראיות הדרושות לבדיקת כשל. אף אחד מן המאפיינים האלה אינו מוכיח כשלעצמו מעשה פסול. יחד, הם עלולים ליצור מסך אחריות יעיל מאוד.
אותו סיכון קיים גם ברמת האדם הבודד. מנהל עשוי להעדיף לומר שהאלגוריתם הוא שבחר את העובד לפיטורים. בעל מקצוע עלול להתפתות להציג המלצה מזיקה כמסקנת המערכת ולא כמסקנה שלו. עובד יכול "לאשר" פלט של AI בלי בדיקה ממשית, בעוד שהארגון יצביע מאוחר יותר על אותו אישור כהוכחה לכך שאדם היה אחראי.
לכן הייתי נזהר מיישום דיני הקשר הסיבתי באופן שמתייחס ל-AI כאילו היה כוח חיצוני ועצמאי. כאשר הנזק שייך בדיוק לסוג ההחלטות שהארגון בחר במודע להעביר למערכת, העובדה שהמסלול הפנימי המדויק של המודל לא היה צפוי אינה צריכה לנתק אוטומטית את שרשרת האחריות.
מנוע AI עלול ליצור לא רק פער אחריות - אלא גם תמריץ לייצר פער כזה.
מבחן מעשי: שליטה, תועלת, יכולת מניעה ושליטה בראיות
במקום לשאול רק "מי כתב את הקוד?", אני סבור שבתי משפט ועסקים צריכים לבחון אחריות באמצעות ארבע שאלות מעשיות:
· ראשית: מי שלט בהאצלה? מי בחר את המערכת, קבע את המטרה שלשמה תשמש והחליט אם ה-AI רק ייעץ, או למעשה יקבל את ההחלטה?
· שנית: מי קיבל את התועלת? תועלת כלכלית אינה צריכה לקבוע לבדה את האחריות, אך יש לה חשיבות כאשר צד אחד נהנה מהחיסכון בעלויות ומהיעילות שמייצרת האוטומציה, ואילו צד אחר נושא בתוצאות הכשל.
· שלישית: מי היה בעמדה הטובה ביותר למנוע את הנזק? האם הספק יכול היה לתכנן מנגנון הגנה? האם הארגון המטמיע יכול היה לדרוש בדיקה אנושית, להגביל את סמכות המערכת, לבצע בדיקות יסודיות יותר או להגיב לאזהרות קודמות?
· רביעית: מי שלט בראיות? כאשר הנפגע רואה רק את התוצאה הסופית, בעוד שהנתבע או הספק שולטים בגרסת המודל, בתצורה, בקלט, בלוגים ובהיסטוריית הבקרה - לפער המידע הזה צריכה להיות משמעות משפטית.
האחריות במערכות אוטונומיות צריכה לעקוב יותר ויותר אחר שליטה, תועלת, יכולת למנוע נזק ושליטה בראיות הרלוונטיות - ולא רק אחר זהותו של מי שכתב את הקוד.
אינני מציע שארבעת הגורמים האלה יחליפו את הדוקטרינות הקיימות של חובת זהירות, הפרה, קשר סיבתי או אחריות למוצרים. הם מהווים דרך מעשית לשאול לאן צריכות אותן דוקטרינות להביט כאשר המעשה האנושי כבר אינו החלטה אחת, גלויה וברורה.
הקופסה השחורה היא גם בעיה ראייתית
מנקודת מבט של ליטיגציה, "הקופסה השחורה" איננה בראש ובראשונה בעיה פילוסופית. זו בעיה ראייתית.
תובע עשוי לדעת איזו החלטה התקבלה, מתי התקבלה ואיזה נזק נגרם בעקבותיה. אבל ייתכן שלא ידע איזו גרסה של המודל פעלה; איזה קלט מהותי הוזן; אילו הוראות מערכת היו בתוקף; האם אדם בדק את התוצאה; האם אירעו בעבר כשלים דומים; או האם המערכת השתנתה בין מועד ההטמעה לבין האירוע נשוא המחלוקת.
זו הסיבה שכללי תיעוד ושמירת מידע עשויים להפוך למרכזיים בליטיגציית AI. חוק ה-AI האירופי כבר מחייב מערכות בסיכון גבוה להיות מסוגלות מבחינה טכנית לרשום אירועים באופן אוטומטי לאורך חיי המערכת, באופן התומך ביכולת להתחקות אחר פעולתה. גם פרופיל ה-Generative AI של NIST ממליץ על ניהול מלאי מערכות, תיעוד, סקירת אירועים, מעקב אחר מקור המידע ומנגנוני שמירת מידע כחלק מניהול סיכוני AI.[4][5]
בהחלטות בעלות השלכות משמעותיות, אני מצפה שתיק הליטיגציה העתידי יכלול מעין "קופסה שחורה של AI": זהות המערכת וגרסתה, קלטים ופלטים רלוונטיים, תצורה או הוראות מהותיות, חותמות זמן, בדיקה אנושית, התערבויות ושינויים מאוחרים במערכת. בסכסוכים רבים, רישומים אלה עשויים להפוך למה שהודעות דוא״ל, מזכרים פנימיים ופרוטוקולים הם בליטיגציה מסחרית רגילה: החומר שממנו משחזרים את האחריות.
דיני הנזיקין בישראל: לעיתים שאלת הראיות חשובה מהתווית המשפטית
דיני הנזיקין בישראל כבר כוללים כלים היכולים להתמודד עם חלק מן הבעיה. סעיפים 35 ו-36 לפקודת הנזיקין [נוסח חדש] קובעים את המסגרת הכללית של עוולת הרשלנות, וסעיף 41 עשוי להעביר את נטל הראיה בנסיבות מוגדרות שבהן התובע לא ידע ולא יכול היה לדעת מה היו הנסיבות שגרמו לנזק, הנכס הרלוונטי היה בשליטתו המלאה של הנתבע והנסיבות מתיישבות יותר עם התרשלות מאשר עם נקיטת זהירות סבירה.[6]
AI מסבך את מושג "השליטה המלאה". חברה עשויה לשלוט בהחלטה להטמיע את המערכת ובסמכות שניתנה לה, בעוד שהספק שולט במודל עצמו ובלוגים הטכניים. במקרים מסוימים הדבר עשוי להפוך את סעיף 41 לרלוונטי, ובאחרים להקשות על יישומו. לא הייתי מניח שהדוקטרינה פותרת אוטומטית את בעיית ה-AI.
דוקטרינה ישראלית נוספת עשויה להתגלות כחשובה לא פחות: נזק ראייתי. הפסיקה בישראל הכירה בכך שכאשר התרשלות של נתבע שוללת מן התובע ראיה שיכולה הייתה להוכיח סוגיה עובדתית קונקרטית שבמחלוקת, ניתן בנסיבות המתאימות להעביר את נטל הראיה ביחס לאותה סוגיה. הדוקטרינה התפתחה באופן בולט בתיקים שעסקו ברשומות רפואיות, אך בית המשפט העליון הבהיר שהעיקרון אינו מוגבל להיעדרן של רשומות רפואיות.[7]
הדבר רלוונטי במיוחד ל-AI. אם ארגון יודע שמערכת אוטומטית מקבלת החלטות בעלות השלכות משמעותיות, אך אינו שומר את הלוגים הדרושים לשחזורן, השאלה המשפטית אינה צריכה להיות תמיד מנוסחת ככישלונו של התובע להוכיח כיצד האלגוריתם כשל. במקרה מתאים, עצם אי-שמירת הראיות עשויה לשאת תוצאה ראייתית.
כאן נפגשים המגן האלגוריתמי ודיני הראיות. אין לאפשר לנתבע להסתמך על עמימות שהוא עצמו יכול היה לצמצם באופן סביר באמצעות תיעוד, לוגים ושמירת מידע.
אדם בלולאה - או אדם כמנגנון להסבת אחריות?
אחת התשובות הנפוצות לחששות מפני סיכוני AI היא ש"תמיד יש אדם בלולאה" (Human in the Loop). הביטוי נשמע מרגיע. לפעמים משמעותו המעשית זעומה.
נניח שעובד מקבל מאות המלצות AI ביום. הוא אינו מבין כיצד הן נוצרו, אין לו זמן ממשי לבדוק כל אחת מהן, הוא יודע שההנהלה רואה במערכת מדויקת יותר משיקול דעת אנושי, וחלק מהערכת ביצועיו מבוססת על מהירות הטיפול. מבחינה טכנית הוא רשאי לדחות המלצה. בפועל כמעט איש אינו עושה זאת.
האם היה כאן פיקוח אנושי אמיתי, או שהעובד הוכנס לתהליך רק כדי שהארגון יוכל לומר מאוחר יותר שאדם אישר את ההחלטה?
חוק ה-AI האירופי מתייחס לבעיה זו במפורש באמצעות ההתייחסות להטיית אוטומציה ולפיקוח אנושי משמעותי. בעיניי, לפיקוח אנושי צריכה להיות משמעות משפטית רק כאשר לאדם יש מידע מספיק, כשירות, זמן וסמכות אמיתית לחלוק על המכונה. "חותמת גומי" אנושית אינה צריכה להפוך לשכבה נוספת במגן האלגוריתמי.[8]
בישראל כבר ננקטה עמדה חשובה במגזר הפיננסי
התפתחות מדיניות חשובה בישראל מצביעה לאותו כיוון. בדצמבר 2025 פרסם הצוות הבין-משרדי שבחן שימושי בינה מלאכותית במגזר הפיננסי את הדוח הסופי שלו. בין המלצותיו נקבע שאין מקום לסטות מן העיקרון הרגולטורי הקיים שלפיו האחריות המשפטית נותרת בידי הגוף הפיננסי המפוקח גם כאשר נעשה שימוש במערכות AI. הצוות המליץ גם, ככלל, שלא לאפשר הגבלת אחריות כלפי הלקוח בגין פעולתה של מערכת ה-AI.[9]
אין מדובר בכלל כללי בדיני הנזיקין בישראל, והדוח עוסק במגזר פיננסי מפוקח. עם זאת, העיקרון שבבסיסו משמעותי: ההחלטה להשתמש ב-AI אינה צריכה ליצור שחקן משפטי חדש בין העסק המפוקח לבין הלקוח שנפגע מפעילותו.
בנק נשאר בנק. מבטח נשאר מבטח. מעסיק נשאר מעסיק. בעל מקצוע נשאר אחראי להתנהלות המקצועית שלו. AI יכול לשנות את האופן שבו גופים אלה מבצעים את תפקידיהם; הוא לא צריך לשנות אוטומטית את זהות מי שנדרש להשיב על אופן ביצועם.
אחריות למוצרים מתחילה להסתגל לתוכנה שממשיכה להשתנות
גם דיני האחריות למוצרים ממחישים את הקושי. חוק האחריות למוצרים פגומים, תש״ם-1980, מטיל אחריות חמורה על יצרן בגין נזק גוף שנגרם ממוצר פגום ומגדיר פגם, בין היתר, בהתייחס לבטיחות ולאזהרות. החוק נחקק לעולם שבו בדרך כלל ניתן היה לזהות מוצר, לשחרר אותו לשוק ולאחר מכן לבחון אותו כאובייקט יציב יחסית.[10]
מערכות AI אינן תמיד מתאימות למודל הזה. תוכנה יכולה להתעדכן לאחר ההטמעה. מודל עשוי להשתנות בעקבות עדכוני ספק, שינויי תצורה, נתונים חדשים או שילוב עם שירותים אחרים. חלק ניכר מן הנזקים הקשורים ל-AI יהיו גם נזקים כלכליים, מפלים או מידעיים ולא נזקי גוף, ולכן יימצאו מחוץ לליבה של משטר האחריות החמורה הישראלי למוצרים פגומים.
האיחוד האירופי התקדם באופן מפורש יותר לעבר המציאות הדיגיטלית. דירקטיבה (EU) 2024/2853 מתייחסת לתוכנה, לרבות מערכות AI, כאל "מוצרים" לצורך אחריות למוצרים, ומכירה בכך שיצרן יכול להמשיך להפעיל שליטה באמצעות עדכוני תוכנה, שדרוגים ושירותים נלווים. המדינות החברות נדרשות להטמיע את הדירקטיבה עד 9 בדצמבר 2026; הדירקטיבה הקודמת ממשיכה לחול על מוצרים שהועמדו לשוק או לשימוש לפני מועד זה.[11]
העיקרון חשוב גם מעבר לדירקטיבה עצמה: במוצר דיגיטלי, "שחרור" המוצר אינו בהכרח סיום השליטה. מקום שבו השליטה נמשכת, יש למשפט סיבה חזקה יותר לשאול האם גם האחריות צריכה להימשך עמה.
תחום הבריאות ממחיש מדוע אחריות אנושית פורמלית עדיין חשובה
תחום הבריאות מספק דוגמה ברורה במיוחד להבדל בין שימוש ב-AI לבין העברת האחריות ל-AI. סעיף 10123.135 לקוד הביטוח של קליפורניה מסדיר שימוש ב-AI, אלגוריתמים וכלי תוכנה בביקורת ובניהול שימושים רפואיים. בין היתר, הוא קובע שכלים אלה אינם רשאים להחליף את שיקול הדעת של ספק שירותי הבריאות, וכי החלטה בדבר צורך רפואי הדוחה, מעכבת או משנה שירות חייבת להתקבל בידי בעל מקצוע מתאים ובעל רישיון.[12]
הבחירה הרגולטורית ראויה לתשומת לב. החוק אינו אוסר על AI לסייע בתהליך. הוא מונע מן השימוש ב-AI להמיס את האחריות המקצועית להחלטה עצמה.
פסיקת הפלטפורמות בארה״ב מספקת אזהרה צרה יותר
דיני הפלטפורמות בארה״ב מציעים המחשה שונה ומצומצמת יותר לשאלה כיצד תיווך טכנולוגי יכול להשפיע על אחריות. סעיף 230(c)(1) ל-Communications Decency Act קובע שספק או משתמש בשירות מחשוב אינטראקטיבי לא ייחשב כמפרסם או כדובר של מידע שסופק בידי ספק תוכן אחר. בעניין Force v. Facebook ראה בית המשפט הפדרלי לערעורים של ה-Second Circuit בהתאמה ובהמלצה אלגוריתמית של תוכן צד שלישי חלק מפונקציות הפרסום של Facebook לצורך התביעות שנדונו לפניו.[13]
בית המשפט העליון של ארה״ב העניק לאחר מכן רשות דיון בעניין Gonzalez v. Google בשאלות הנוגעות להמלצות ממוקדות, אך בסופו של דבר סיים את ההליך בלי להכריע בשאלה הרחבה יותר של סעיף 230. פסקי דין אלה עוסקים בחסינות סטטוטורית אמריקאית מסוימת ואין לבלבל בינם לבין אחריות נזיקית כללית בגין AI. הרלוונטיות שלהם כאן מצומצמת יותר: כאשר טכנולוגיה הופכת למתווך בין התנהגות לנזק, האופן שבו המשפט מסווג את אותו מתווך עשוי להשפיע באופן דרמטי על האחריות.[14]
לכן הדור הבא של דיני ה-AI צריך להיזהר שלא ליצור, בכוונה או במקרה, עיקרון כללי שלפיו עצם התיווך האלגוריתמי מדלל אחריות.
חוזים יקבעו לעיתים מי ישלם בסופו של דבר
הדין הציבורי והנזיקי קובע אם לנפגע עומדת עילת תביעה. החוזים קובעים פעמים רבות מי יישא בסופו של דבר בתשלום. לכן הסכמי רכש והטמעה של AI חשובים הרבה יותר מכפי שהם עשויים להיראות ביום שבו הטכנולוגיה נרכשת.
השאלה אינה צריכה להיות רק "מה המערכת יודעת לעשות?". הליך רכש רציני צריך לשאול גם: "מה קורה כאשר היא עושה את הדבר הלא נכון?"
מנקודת מבט חוזית ומעשית, בהסכמי AI מהותיים הייתי מבקש להסדיר, לפי העניין:
• אחריות לנתוני אימון, נתוני הלקוח ולקלטים של המערכת;
• שימושים מותרים והקשרים שבהם אסור למערכת לקבל החלטות;
• מגבלות ידועות, שיעורי שגיאה וסיכוני hallucination;
• שינויים במודל, עדכונים וחובות הודעה;
• דרישות פיקוח אנושי והליכי הסלמה;
• לוגים, תקופות שמירה ושימור ראיות;
• אירועי אבטחת מידע, פרטיות וקניין רוחני;
• זכויות ביקורת וחקירה;
• ביטוח, שיפוי ותקרות אחריות מתאימות; וכן
• הקצאת האחריות כאשר הספק שולט בטכנולוגיה אך הלקוח הוא שניצב מול הנפגע.
מבנה חוזי אחד מחייב זהירות מיוחדת: הספק שולט במודל, בעדכונים ובראיות הרלוונטיות, בעוד שהלקוח מקבל על עצמו כמעט את מלוא האחריות לפלטים. אין מדובר רק בחלוקה מסחרית של סיכון. במקרה של סכסוך, המבנה הזה יכול להפוך למנגנון של פיצול אחריות.
רשימת בדיקה לממשל ארגוני, לפני שהסכסוך מתחיל
המסקנה המעשית אינה שעסקים צריכים להימנע מ-AI. במקרים רבים הדבר יהיה בלתי מציאותי ואף בלתי הגיוני מבחינה כלכלית. המסקנה היא שהטמעת AI צריכה להיות מלווה בארכיטקטורה גלויה של אחריות.
לפני שמערכת AI בעלת השלכות משמעותיות נכנסת לשימוש, ההנהלה צריכה להיות מסוגלת להשיב לפחות על השאלות הבאות:
• איזו החלטה מועברת בפועל למערכת?
• מי נותר אחראי מבחינה משפטית וארגונית להחלטה?
• מה רשאית המערכת לעשות ללא אישור אנושי?
• מי רשאי להתערב או לבטל החלטה, והאם יש לו בפועל את המידע והסמכות לעשות זאת?
• אילו ראיות נשמרות כדי שניתן יהיה בעתיד לשחזר החלטה שבמחלוקת?
• מי אחראי כאשר הספק משנה את המודל או את התנהגותו?
• מה קורה מבחינה תפעולית וחוזית לאחר כשל חמור?
אם ארגון אינו יודע להשיב על השאלות האלה לפני ההטמעה, יהיה לו קשה מאוד להשיב עליהן לאחר שתוגש תביעה.
סיכום: האלגוריתם אינו הנתבע
AI יוצר אתגר משפטי אמיתי משום שהקשר בין כוונה, פעולה ותוצאה נעשה פחות ישיר. אבל הפתרון אינו יכול להיות לאפשר לאחריות להתאדות יחד עם הפשטות הסיבתית.
המשפט השקיע מאות שנים בפיתוח כללים לחלוקת אחריות בין בני אדם, תאגידים, שולחים, שלוחים, יצרנים ובעלי מקצוע. AI מחייב את הכללים האלה להתפתח. הוא אינו צריך לספק דרך מילוט מהם.
החשש שלי רחב אפוא יותר מן "הקופסה השחורה" הטכנית. החשש הוא מקופסה שחורה משפטית: מבנה שבו החלטה עוברת דרך מספיק מודלים, ספקים, חוזים ואישורים אנושיים פורמליים, עד שכל מי שהיה מעורב יכול לטעון באופן מתקבל על הדעת שמישהו או משהו אחר היה אחראי.
יהיו מקרים שבהם האחריות תוטל בצדק על המפתח, אחרים שבהם היא תוטל על הארגון שהטמיע את המערכת, ומקרים רבים שבהם יהיה נכון לחלק אותה בין מספר גורמים. ההקצאה תלויה בעובדות ובדין החל.
אין לאפשר לאדם או לתאגיד להעביר החלטה ל-AI, לשמור לעצמו את היתרונות של אותה האצלה, ולאחר מכן להשתמש באוטונומיה או בעמימות של המערכת כמסך מפני אחריות כאשר ההחלטה גורמת לנזק.
האלגוריתם עשוי לקבל את ההחלטה. המשפט עדיין חייב להיות מסוגל לזהות מי היה אחראי לכך שניתנה לו הסמכות לעשות זאת ומי היה אחראי לשמור את הראיות הדרושות כדי להוכיח זאת.
הערת המחבר: מאמר זה מציג את ניתוחו של המחבר ונועד לדיון כללי בלבד. אין בו משום ייעוץ משפטי.
[1]Ministry of Innovation, Science and Technology & Ministry of Justice, Responsible Innovation: Israel's Policy on Artificial Intelligence Regulation and Ethics (Dec. 2023) (identifying transparency, human oversight and accountability among core AI regulatory challenges); see also Ministry of Justice & Ministry of Innovation, Science and Technology, Policy on Artificial Intelligence Regulation and Ethics in Israel (2022 consultation paper) (discussing the difficulty, in some machine-learning systems, of reconstructing or tracing decision rules and the 'black box' phenomenon).
[2]National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1 (2023), GOVERN 2.1-2.3 (clear roles and responsibilities, training, and executive responsibility for AI risk decisions).
[3]Regulation (EU) 2024/1689 (Artificial Intelligence Act), arts. 14 and 26, OJ L 2024/1689, 12 July 2024 (human oversight and deployer obligations, including measures addressing automation bias and the ability to interpret, disregard, override or reverse outputs in relevant high-risk systems).
[4]National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile, NIST AI 600-1 (2024) (risk-management recommendations concerning documentation, inventories, provenance, incident review and human oversight).
[5]Regulation (EU) 2024/1689 (Artificial Intelligence Act), art. 12 (requiring high-risk AI systems to technically allow automatic recording of events over the lifetime of the system to support appropriate traceability).
[6]Torts Ordinance [New Version] (Israel), ss. 35-36 (negligence and foreseeability) and s. 41 ('the thing speaks for itself').
[7]See, e.g., CA 8151/98 Sternberg v. Chechik, PD 56(1) 539 (2001); CA 9328/02 Meir v. Laor, PD 58(5) 54, 64 (2004); CA 8693/08 Herman v. Sternberg (24 Mar. 2011) (Israeli evidentiary-damage doctrine and, in appropriate circumstances, burden shifting concerning a concrete factual issue where negligent loss or absence of evidence impairs proof).
[8]Regulation (EU) 2024/1689 (Artificial Intelligence Act), art. 14 (human oversight, including awareness of automation bias and the ability, where appropriate, to interpret, disregard, override or reverse outputs of high-risk AI systems).
[9]Bank of Israel, Final Report of the Inter-Ministerial Team Examining Uses of Artificial Intelligence in the Financial Sector, press release and final-report summary, 24 Dec. 2025 (recommending that legal responsibility remain with the regulated financial entity when AI is used and, as a general rule, that liability toward the customer not be limited because of the AI system's operation).
[10]Defective Products Liability Law, 5740-1980 (Israel), ss. 1-4 (definitions, manufacturer liability for bodily injury caused by a defective product, defectiveness and statutory defenses).
[11]Directive (EU) 2024/2853 on liability for defective products, recitals 13, 18-19 and arts. 21-22, OJ L 2024/2853, 18 Nov. 2024 (software, including AI systems, treated as products; continuing manufacturer control may include software updates and upgrades; Member States to transpose by 9 Dec. 2026, with the prior directive continuing to govern products placed on the market or put into service before that date).
[12]California Insurance Code § 10123.135(j) (as amended by SB 1120, effective 1 Jan. 2025) (AI, algorithms or other software tools used for utilization review may not supplant healthcare-provider decision-making, and medical-necessity determinations denying, delaying or modifying services must be made by an appropriately licensed professional).
[13]47 U.S.C. § 230(c)(1); Force v. Facebook, Inc., 934 F.3d 53, 65-70 (2d Cir. 2019) (addressing Section 230 protection in relation to algorithmic matching and recommendations of third-party content in the claims before the court).
[14]Gonzalez v. Google LLC, 598 U.S. 617 (2023) (per curiam) (vacating and remanding without resolving the broader Section 230 issue concerning targeted recommendations).