שני רגולטורים בחרו את אותו יום. זה לא צירוף מקרים
היום, ב-2 באוגוסט 2026, נכנסו לתוקף שני חוקים שנכתבו במרחק 9,000 קילומטרים זה מזה. באירופה התחילו לאכוף את סעיף 50 בחוק הבינה המלאכותית. בקליפורניה נכנס לתוקף חוק שקיפות הבינה המלאכותית של המדינה.
אותו תאריך. ולא במקרה.
החוק הקליפורני נחתם עוד בספטמבר 2024 והיה אמור להיכנס לתוקף בינואר 2026. ואז באפי וויקס, חברה בבית הנבחרים של המדינה, העבירה תיקון שדחה אותו בשבעה חודשים, במפורש כדי ליישר קו עם התאריך האירופי. חברות טכנולוגיה אוהבות טענה אחת יותר מכל טענה אחרת: שאי אפשר לציית לחוקים סותרים בשתי יבשות. קליפורניה פשוט לקחה מהן את הטענה.
מה בדיוק אסור מהיום?
הצד האירופי הוא הרחב יותר, וסעיף 50 עצמו מחלק את זה לארבע חובות.
ראשית, כל מערכת שמנהלת שיחה עם בני אדם חייבת ליידע אותם שהם מדברים עם מכונה. יש פטור אחד: מצב שבו זה מובן מאליו לאדם סביר. צ'אטבוט תמיכה באתר בנק לא נכנס לשם.
שנית, כל מי שמייצר תוכן סינתטי חייב לסמן את הפלט בפורמט קריא-מכונה. זה חל על תמונות, וידאו, אודיו, וגם על טקסט. הנקודה האחרונה גדולה יותר משנשמעת.
שלישית, מי שמפעיל מערכות זיהוי רגשות או סיווג ביומטרי חייב ליידע את האנשים שנסרקים.
רביעית, מי שמפרסם דיפפייק חייב להצהיר שהתוכן נוצר או שונה בבינה מלאכותית. אותו כלל חל על טקסט שנוצר במכונה ומתפרסם כדי ליידע את הציבור בעניינים ציבוריים. ליצירות אמנותיות, סאטיריות ובדיוניות יש הקלה: מספיק לציין את קיום התוכן המיוצר בדרך שלא הורסת את הצפייה. לעיתונות יש פטור נפרד, בתנאי שאדם אמיתי עבר על הטקסט ונושא באחריות עריכתית.
הקנס על הפרת סעיף 50 עומד על עד 15 מיליון יורו או 3% מהמחזור העולמי השנתי, הגבוה מביניהם. שימו לב שהמספרים שמסתובבים ברשת, 35 מיליון יורו ו-7%, שייכים לסעיף אחר לגמרי, זה שאוסר על שימושים אסורים. לעסקים קטנים וסטארטאפים הכלל מתהפך לטובתם: הקנס נקבע לפי הנמוך מבין השניים.
והכי חשוב לישראלים שקוראים את זה: אין שום דרישה שהחברה תהיה אירופית. החוק חל על ספקים ומפעילים במדינה שלישית ברגע שהפלט של המערכת משמש באיחוד. אין גם סף משתמשים. סטארטאפ בן ארבעה אנשים בתל אביב שמוכר כלי יצירת וידאו ללקוחות בגרמניה נמצא בפנים בדיוק כמו גוגל.
וקליפורניה?
שם התמונה צרה יותר אבל תובענית יותר טכנית. החוק חל על מערכות שנגישות לציבור בקליפורניה ויש להן יותר ממיליון משתמשים חודשיים. מי שנכנס לקטגוריה חייב שלושה דברים.
כלי זיהוי ציבורי וחינמי, שמקבל העלאת קובץ או כתובת ומחזיר תשובה, וגם חושף ממשק תכנות לצד שלישי. חתימת מקור נסתרת בכל תמונה, וידאו וקובץ שמע, שכוללת את שם הספק, שם המודל וגרסתו, חותמת זמן ומזהה ייחודי. ואפשרות לתווית גלויה שהמשתמש יכול להחיל.
הקנס: 5,000 דולר להפרה, וכל יום נחשב הפרה נפרדת. חודש של כלי זיהוי לא תקין עולה 150 אלף דולר. יש גם סעיף שאני מודה שאהבתי: אם ספק מגלה שלקוח שרכש ממנו רישיון למודל ניתק את חתימת המקור, יש לו 96 שעות לנתק לו את הגישה. אחרת הוא עצמו חשוף לתביעה.
מה שקליפורניה לא כיסתה זה טקסט. החוק שלה נוגע לתמונה, וידאו ואודיו בלבד. באירופה הטקסט בפנים.
עכשיו החלק שבו הכל מתפרק
שתי המערכות האלה נשענות על אותה הנחת יסוד: שאפשר לחתום על קובץ, ושהחתימה תשרוד עד לקורא.
לפני יומיים בדיוק ראינו כמה זה מחזיק. גוגל שחררה כפתור יצירת תמונות לתוך גוגל ארת', ומשתמשים שתלו כור גרעיני באיראן ומכתש פצצה בעזה. כל תמונה כזאת נשאה סימן מים מסוג סינת'-איי-די. בדיוק המנגנון שהחוק דורש. ובכל זאת, כשהאכילו את ג'מיני בתמונה מזויפת של בית חולים והוא נשאל אם היא אמיתית, הוא ענה שלא זוהו סימנים מהימנים לגבי אופן יצירת התוכן. כלי זיהוי חיצוניים כשלו גם הם בחלק מהמקרים.
החתימה הייתה שם. היא פשוט לא נקראה.
וזה עוד לפני הבעיה הפשוטה שכולם מכירים: אף אחד לא מפיץ קובץ מקורי. מפיצים צילום מסך. וצילום מסך מוחק את המטא-דאטה בלי לשאול אף אחד.
הנציבות האירופית מודעת לזה ברמה מסוימת. היא פרסמה ביוני קוד התנהגות וולונטרי לשקיפות תוכן שנוצר בבינה מלאכותית, שכבר חתמו עליו יותר מ-180 ארגונים, וגם סדרת אייקונים אחידה לסימון תוכן מיוצר. מי שלא חותם יצטרך להוכיח לרשויות שהאמצעים שלו מספקים. במקביל מונה יועץ מדעי ראשי לצד פאנל של 60 מומחים בלתי תלויים.
גם לוח הזמנים עצמו כבר ספג מכה. במאי הושגה פשרה פוליטית שדחתה חלקים מרכזיים מהחוק: חובות המערכות בסיכון גבוה, אלה שנוגעות לגיוס עובדים, דירוג אשראי, חינוך ואכיפת חוק, נדחו לדצמבר 2027. חובות המוצרים המפוקחים נדחו לאוגוסט 2028. גם דרישת הסימון עצמה קיבלה ארכה של ארבעה חודשים למערכות שכבר היו בשוק לפני היום. סעיף 50 עצמו נשאר על כנו, אבל הכיוון ברור.
אז מה זה שווה?
הנה וירקונן, סגנית נשיאת הנציבות לענייני ריבונות טכנולוגית, אמרה היום שאירופה עושה צעד חשוב לעבר בינה מלאכותית שאנשים ועסקים יכולים להבין ולסמוך עליה. זו אמירה נכונה בכיוון ושגויה בציפייה.
הרגולציה הזאת לא תעצור דיפפייק אחד שנוצר בכוונה רעה. מי שרוצה לזייף תמונת לוויין של תקיפה לא הולך לפתוח מודל מפוקח באיחוד האירופי, לא ישאיר את המטא-דאטה, ובוודאי לא יוסיף תווית.
אבל זו גם לא מטרת החוק. המטרה היא לתפוס את השכבה הענקית שמתחת: מערכות אוטומטיות שמדברות איתכם בלי לומר שהן מכונות, כלי שיווק שמייצרים דמויות שנראות כמו לקוחות אמיתיים, ומערכות שסורקות את הפנים שלכם בקופה ומנחשות אם אתם עצבניים. לרוב המכריע של המקרים האלה אין כוונה זדונית. יש רק העדר חובה. מהיום יש חובה.
ומה שבאמת יקבע אם זה עובד זה לא הקנס. זה מה שקורה בשנה הקרובה לכלי הזיהוי. כי חוק שמחייב לסמן, בעולם שבו הסימון לא נקרא, הוא לא רגולציה. הוא טקס.
