מדריך לחברות ישראליות: כך נערכים לפיצול גושי רגולציית ה-AI

הקמת WAICO בשנחאי ב-16 ביולי, עם 29 מדינות חתומות ודחיפה מוצהרת לקוד פתוח, סוגרת את הפינה על מה שהיה עד עכשיו רק חשש תיאורטי: עולם ה-AI מתפצל לגושי רגולציה נפרדים שלא מדברים זה עם זה. חברה ישראלית שמוכרת מוצר מבוסס AI לברזיל, לגרמניה ולארצות הברית תצטרך לעמוד בקרוב בשלוש מערכות כללים שונות, לפעמים סותרות. המדריך הזה עושה סדר: איך ממפים את החשיפה, איך בוחרים בין מודלים פתוחים לסגורים, ואיך בונים תשתית compliance שלא תקרוס בכל שינוי רגולטורי.

01מה בעצם קרה: שלושה גושים במקום סטנדרט אחד

עד השבוע אפשר היה להעמיד פנים שהרגולציה העולמית מתכנסת סביב ציר אחד: ה-EU AI Act באירופה, עקרונות ה-OECD ותהליך הירושימה של ה-G7. הקמת WAICO שוברת את התמונה הזאת. הארגון החדש, שמטהו בשנחאי, כולל מדינות מפתח מהדרום הגלובלי כמו אינדונזיה, ברזיל, מלזיה, דרום אפריקה, סנגל, רוסיה ופקיסטן, ואף דמוקרטיה מערבית גדולה לא הצטרפה. הנשיא שי ג'ינפינג קרא בנאום הפתיחה לאמץ AI בקוד פתוח והתחייב ל-5,000 הזדמנויות הכשרה למדינות מתפתחות.

בצד השני של האוקיינוס, ארצות הברית הלכה לכיוון הפוך לחלוטין: הצו הנשיאותי 14409 מ-2 ביוני 2026 מציע חלון סקירה וולונטרי של 30 יום למודלי חזית ואוסר במפורש על רישוי ממשלתי מחייב, ומזכר NSPM-11 מאיץ אימוץ AI במודיעין ובלחימה. במקביל, חקיקה ברמת המדינות ממשיכה להסתעף: באילינוי, S.B. 315 מחייב לראשונה ביקורת שנתית עצמאית של צד שלישי למודלי חזית. התוצאה בפועל: מדינות שיתיישרו עם WAICO יפתחו רגולציות שאינן חייבות תאימות למסגרות המערביות, וציות גלובלי ידרוש ניווט בו-זמני בשתי מערכות לא תואמות ויותר.

02שלב 1: מיפוי שוקי היעד לפי גוש רגולטורי

הצעד הראשון הוא לקחת את רשימת השווקים שבהם אתם פועלים או מתכננים לפעול, ולסווג כל אחד מהם לאחד משלושה גושים. זה תרגיל של יום עבודה אחד עם צוות משפטי ומוצר, והוא הבסיס לכל ההחלטות הבאות.

1. גוש ה-EU AI Act: האיחוד האירופי ומדינות שמאמצות רגולציה בהשראתו. מאופיין בסיווג מערכות לפי רמת סיכון, חובות תיעוד ושקיפות, וקנסות משמעותיים. אם אתם מוכרים באירופה, זה עדיין הרף הגבוה ביותר.
2. הגוש האמריקאי: פדרלית, גישה של סקירה וולונטרית ואיסור על רישוי מחייב לפי צו 14409. אבל זהירות: חקיקת מדינות כמו אילינוי יוצרת טלאים מקומיים, וצריך לעקוב אחרי כל מדינה שבה יש לכם לקוחות משמעותיים.
3. גוש WAICO: סין ומדינות שצפויות לאמץ כללים בהשראתה, ובראשן שווקים גדולים כמו אינדונזיה, ברזיל ודרום אפריקה. כאן הרגולציה עוד בהתהוות, אבל הכיוון ברור: העדפה למודלים פתוחים, סטנדרטים טכניים בהובלה סינית, ודרישות מקומיות שלא בהכרח יכירו בציות למסגרות מערביות.

לכל שוק ברשימה תעדו שלושה נתונים: אחוז ההכנסות (או פוטנציאל הצמיחה), רגישות המוצר מבחינת דאטה וסיכון, ומי הרגולטור המקומי הרלוונטי. שווקים שנופלים בין הגושים, כמו הודו או מדינות המפרץ, מסמנים לעצמכם למעקב רבעוני.

03שלב 2: החלטת מודלים - פתוח, סגור או היברידי

הדחיפה של WAICO לקוד פתוח היא לא רק הצהרה אידיאולוגית, היא מהלך אסטרטגי: לפי ניתוחים שליוו את ההשקה, דרך מודלים פתוחים וזולים בייג'ינג שואפת ליצור תלות טכנולוגית בדרום הגלובלי. לחברה שבונה מוצר, זה מתורגם לשאלה מעשית: על איזה מודלים לבסס את ה-stack, ובאילו שווקים.

• אם רוב ההכנסות שלכם מאירופה ומארה"ב: מודלים סגורים דרך API (עם הסכמי עיבוד נתונים מסודרים) נשארים הדרך הפשוטה ביותר לעמוד בדרישות תיעוד ואבטחה.
• אם אתם נכנסים לשווקים בגוש WAICO: היערכו לאפשרות שרגולציה מקומית תעדיף או תדרוש מודלים פתוחים שניתן לארח מקומית (self-hosting), כולל דרישות ריבונות דאטה.
• ארכיטקטורה היברידית היא ברירת המחדל הנבונה: שכבת אבסטרקציה מעל המודל (model-agnostic layer) שמאפשרת להחליף בין ספק סגור למודל פתוח לפי שוק, בלי לשכתב את המוצר.
• בדקו את רישיונות המודלים הפתוחים בקפידה: 'קוד פתוח' ברגולציה סינית לא בהכרח זהה להגדרות המקובלות במערב, וההבדל יכול להשפיע על חובות משפטיות.

04שלב 3: בניית תשתית compliance שמחזיקה שני עולמות

כשמערכות הכללים לא תואמות זו לזו, הפתרון הוא לא לנהל שני מערכי תיעוד נפרדים אלא לבנות שכבת בסיס אחת שממנה נגזרות התאמות מקומיות. בפועל, זה אומר לתעד פעם אחת ברמה הגבוהה ביותר, ולמפות מהתיעוד הזה לכל דרישה מקומית.

// דוגמה: שכבת compliance לפי שוק בקונפיגורציית המוצר
const marketPolicies = {
  EU:    { modelHosting: "api",  auditLog: "full",  riskClass: "eu-ai-act" },
  US:    { modelHosting: "api",  auditLog: "state", riskClass: "voluntary" },
  WAICO: { modelHosting: "self", auditLog: "local", riskClass: "pending" },
};

function getPolicy(countryCode: string) {
  const bloc = resolveBloc(countryCode); // מיפוי מדינה לגוש
  return marketPolicies[bloc];
}

מעבר לקוד, ההיערכות הארגונית כוללת מינוי אחראי compliance ל-AI (גם אם זה חצי משרה של היועץ המשפטי בהתחלה), מנגנון מעקב רבעוני אחרי שינויים רגולטוריים בכל גוש, ותרגול תרחיש של דרישה סותרת: מה קורה אם רגולטור בשוק WAICO דורש גישה לנתונים שה-GDPR אוסר להעביר? עדיף לגלות את התשובה בסימולציה ולא מול לקוח.

05הזווית הישראלית: בין וושינגטון לשנחאי

ישראל לא חתומה על WAICO ולא צפויה להצטרף, והאקוסיסטם המקומי מיושר בפועל עם הגוש האמריקאי והאירופי. אבל דווקא בגלל זה, חברות ישראליות שמוכרות בברזיל, באינדונזיה או בדרום אפריקה, שלושה שווקים שנוכחים ב-WAICO כמדינות מייסדות, צריכות להיערך לכך שהכללים שם יתרחקו מהמוכר להן. סטארטאפ ישראלי בתחום הפינטק, למשל, צריך לקחת בחשבון שמוסדות פיננסיים גלובליים צפויים לעולם שבו כלי AI פיננסיים וסטנדרטים דיגיטליים יתפצלו משמעותית בין שווקים מערביים לאחרים.

06מה הלאה: על מה לעקוב ברבעונים הקרובים

WAICO הוא בשלב זה מסגרת דיפלומטית יותר מאשר רגולטור פעיל, והשאלה הגדולה היא כמה מהר הוא יתורגם לחקיקה מקומית במדינות החברות. הסימנים שכדאי לעקוב אחריהם: פרסום סטנדרטים טכניים ראשונים מטעם הארגון, חקיקת AI חדשה בברזיל או באינדונזיה שמאמצת מונחים סיניים, והאם מדינות נוספות יצטרפו. בצד האמריקאי, שווה לעקוב אחרי אכיפת החוק באילינוי כאינדיקציה לכיוון של שאר המדינות. מי שיעשה את שיעורי הבית עכשיו, ימפה, יבנה ארכיטקטורה גמישה ויתעד נכון, יגלה שריבוי משטרי רגולציה הוא מטרד שאפשר לנהל ולא איום קיומי.