Novelli, C., Casolari, F., Hacker, P., Spedicato, G., & Floridi, L. (2024). Generative AI in EU law: Liability, privacy, intellectual property, and cybersecurity. Computer Law & Security Review, 55, 106066.
מבוא
המאמר "בינה מלאכותית גנרטיבית במשפט האיחוד האירופי: אחריות, פרטיות, קניין רוחני וביטחון סייבר" בוחן את האתגרים המשפטיים שמציבה הבינה המלאכותית הגנרטיבית (Generative AI), ובעיקר מודלים רחבי־שפה (LLMs), לאור המסגרת הרגולטורית באיחוד האירופי. המחברים, החוקרים ממספר מוסדות מובילים באירופה וארצות הברית, מתמקדים בארבעה תחומים מרכזיים: אחריות נזיקית, פרטיות והגנת מידע, קניין רוחני וביטחון סייבר. הם בוחנים את ההתאמה של החקיקה הקיימת והמתוכננת, ובפרט של חוק הבינה המלאכותית (AI Act), לצרכים המתעוררים מהתפתחות מהירה של טכנולוגיות גנרטיביות, ומציעים כיווני תיקון והשלמה.
המאמר מצביע על כך שהאוטונומיה ההולכת וגוברת של מערכות בינה מלאכותית מעלה שאלות חדשות של אחריות משפטית, בעלות על תוצרים, הגנה על נתונים אישיים והבטחת ביטחון דיגיטלי. הוא מדגיש כי אף שהחקיקה האירופית מתקדמת ביחס לעולם, עדיין קיימים פערים מהותיים הדורשים עדכון והתאמה למציאות המשתנה.
אחריות נזיקית ורגולציה
החלק השני של המאמר עוסק באחריות המשפטית לנזקים הנגרמים משימוש במערכות בינה מלאכותית גנרטיבית. המחברים מתמקדים בשני הצעות רגולציה עיקריות של האיחוד האירופי: דירקטיבת האחריות למוצרים פגומים (Product Liability Directive – PLD) ודירקטיבת האחריות בבינה מלאכותית (Artificial Intelligence Liability Directive – AILD). שתי ההצעות נועדו ליצור מנגנון יעיל להטלת אחריות ולפיצוי נפגעים, אך הן תלויות במידה רבה בהגדרות ובסיווגים של חוק הבינה המלאכותית עצמו.
המאמר מבהיר כי שתי ההצעות מעניקות יתרונות מסוימים, ובהם הרחבת תחולת האחריות גם על מערכות בינה מלאכותית, קביעת מנגנוני גילוי מידע והיפוך נטל הראיה, והכרה בכך שמערכות לומדות עשויות להפוך "פגומות" גם לאחר שיווקן כתוצאה מלמידה עצמאית. עם זאת, הן סובלות מחולשות: הן מבוססות על סיווגי סיכון שאינם מתאימים למורכבות של מודלים גנרטיביים, תלויות יתרה ב-AI Act, ומתעלמות מהעובדה שמערכות רבות אינן ניתנות לסיווג ברור כבעלות סיכון גבוה או נמוך.
המחברים ממליצים להרחיב את תחולת מנגנוני הגילוי וההנחה החלוטה של קשר סיבתי גם למודלים גנרטיביים שאינם בהכרח בעלי סיכון גבוה, וכן לשפר את הקריטריונים להערכת פגמים ואשמה. הם מדגישים כי יש צורך בשיטות הערכה חדשות המתחשבות באופי הלא דטרמיניסטי של המודלים, ובהן טכניקות לבקרת אקראיות ולמדידת אי־ודאות בתוצרי המערכת.
פרטיות והגנת מידע
פרק זה הוא מהמקיפים במאמר ומתאר שמונה בעיות עיקריות בהצלבת הבינה המלאכותית הגנרטיבית עם דיני הגנת המידע באירופה (GDPR): הבסיס החוקי לעיבוד מידע אישי לצורכי אימון, עיבוד מידע אישי בהנחיות המשתמשים (prompts), חובת מתן מידע לנושאי הנתונים, בעיות דיוק ו"הלוצינציות", התקפות הפוכות (model inversion), הזכות להישכח, החלטות אוטומטיות, הגנה על קטינים ועקרון צמצום המידע.
המחברים מבהירים כי השימוש במידע אישי לאימון מודלים הוא בעייתי במיוחד. ברוב המקרים לא ניתן להשיג הסכמה מדעת ממיליוני נושאי הנתונים, ולכן חברות מסתמכות על עקרון "מאזן האינטרסים הלגיטימיים" שב-GDPR, אך יישומו שנוי במחלוקת. סוגיות קשות נוספות נוגעות למידע רגיש (sensitive data), אשר לפי פסיקת בית הדין האירופי עשוי להיחשף גם כאשר אינו מצוין במפורש. לפיכך מוצע לעצב מנגנון חריג חדש שיאפשר עיבוד מידע כזה לצורכי אימון, בצד אמצעי הגנה מחמירים.
בנוגע לפרומפטים, המחברים מבחינים בין מצב שבו המשתמש מזין מידע על עצמו – אז ניתן לבקש הסכמה – לבין מצב שבו הוא מזין מידע על אחרים, דבר המהווה הפרה של זכויותיהם. הם מדגישים כי האחריות במקרה כזה תוטל על מפעיל המודל. כמו כן, מאמר מזהיר מפני אי־עמידה בחובות השקיפות שבסעיפים 12–15 ל-GDPR, במיוחד כאשר הנתונים נאספים ממקורות פתוחים ברשת.
המאמר מתייחס גם לתופעת ההלוצינציות ולבעיית הדיוק, וטוען כי אף שה-GDPR מחייב דיוק בנתונים אישיים, אין לצפות לדיוק מוחלט בתוצרים סטטיסטיים של מודלים גנרטיביים, אלא יש להתרכז בתיקון טעויות משמעותיות הפוגעות בפרט. כן נדונה הסוגיה האם מודלים גנרטיביים עצמם עשויים להיחשב "מידע אישי" בשל יכולתם לשחזר נתונים פרטיים, דבר שיכול להוביל לדרישות למחיקת המודל כולו. המחברים סבורים כי יש לעודד טכנולוגיות של "שכחת מכונה" (machine unlearning) המאפשרות מחיקת השפעת נתונים מסוימים מהמודל מבלי לאמן אותו מחדש.
בנוסף נדונה ההבחנה בין החלטות אוטומטיות לפי סעיף 22 ל-GDPR – למשל החלטות קבלה לעבודה או דירוג אשראי – והצורך להבטיח פיקוח אנושי והסכמה מודעת. המחברים מדגישים את הצורך בהגנות מיוחדות על קטינים ובאימות גיל המשתמשים, בעקבות צעדים שנקט הרגולטור האיטלקי נגד OpenAI.
לסיום, הם ממליצים לחזק את ההגנות על פרטיות באמצעות שילוב אמצעים טכנולוגיים כגון פרטיות דיפרנציאלית והצפנה, עידוד מנגנוני opt-out לאתרים, ואימוץ סטנדרטים מחייבים לממשל נתונים.
קניין רוחני
הפרק הרביעי מתמקד בשאלות של זכויות יוצרים וזכויות פטנט בהקשר של בינה מלאכותית גנרטיבית. הבעיה המרכזית נוגעת לשימוש ביצירות מוגנות במהלך אימון המודלים. החוקרים מציינים כי קשה ואף בלתי אפשרי לקבל רשות מפורשת ממיליוני בעלי זכויות, ולכן נוצר צורך במנגנוני החרגה כגון "החרגת כריית טקסט ונתונים" (Text and Data Mining – TDM) המעוגנת בדירקטיבות האירופיות. עם זאת, חריגה זו מוגבלת ולעיתים אינה חלה על שימושים מסחריים.
המאמר מנתח את השאלה האם תוצרים שנוצרו בידי בינה מלאכותית עשויים ליהנות מהגנה בזכויות יוצרים. לפי הדין האירופי, ההגנה ניתנת רק ליצירה אנושית מקורית, ולכן יצירה אוטונומית של מערכת בינה מלאכותית אינה זכאית להגנה כזו. המחברים מדגישים את האופי האנטרופוצנטרי של דיני הקניין הרוחני ומציעים לחשוב על פתרונות חלופיים, כגון זיהוי תרומתו של האדם כמפעיל, עורך או יוצר משותף.
נושא נוסף הוא חובת הכיבוד של בקשות opt-out מצד בעלי זכויות יוצרים, המונעות שימוש ביצירותיהם לאימון, והצורך להבהיר את תחולתן של הוראות הדירקטיבה האירופית בעניין זה. המחברים קוראים לפרשנות רחבה של החרגת ה-TDM, תוך שמירה על איזון בין קידום חדשנות לבין הגנה על זכויות יוצרים.
ביטחון סייבר
בחלק האחרון של המאמר נידונים האתגרים בתחום ביטחון הסייבר שמציבה הבינה המלאכותית הגנרטיבית. המחברים מתמקדים בקשר בין חוק החוסן הקיברנטי (Cyber Resilience Act – CRA) לבין חוק הבינה המלאכותית, וטוענים כי יש להתאים את חוק החוסן כך שיכלול במפורש גם מערכות גנרטיביות. הם מציעים לקבוע חובות מחמירות של אבטחת מידע לכל המודלים הכלליים (GPAI), במיוחד אלה בעלי השפעה מערכתית, ולחייבם בבדיקות חדירה, ניטור סיכונים, ודיווח על תקריות לארגון ה-AI Office האירופי.
בנוסף נידונה תרומתו האפשרית של חוק השירותים הדיגיטליים (Digital Services Act) במאבק במידע כוזב ובתוכן מזיק שנוצר על ידי מערכות גנרטיביות, וכן תפקידה של הדירקטיבה NIS2 בהבטחת אבטחת סייבר רחבה יותר בתחומים שאינם מכוסים על ידי חוק החוסן הקיברנטי.
סיכום
המאמר מציג ניתוח משפטי מעמיק של המפגש בין בינה מלאכותית גנרטיבית לבין הדין האירופי, ומראה כי אף שה-EU מוביל רגולטורית בתחום, קיימים עדיין פערים משמעותיים המחייבים תיקון. המחברים קוראים לעדכן את החקיקה כך שתתאים למודלים דינמיים, לא־דטרמיניסטיים ורב־תחומיים, תוך שמירה על עקרונות יסוד של הגנה על זכויות אדם, פרטיות, אחריותיות ושקיפות. תרומתו העיקרית של המאמר היא בהצעת גישה משולבת – משפטית, טכנולוגית ואתית – שתבטיח פיתוח והפעלה של מערכות בינה מלאכותית גנרטיבית באופן אחראי, בטוח ותואם לדיני האיחוד האירופי.
חשיבות המאמר
המאמר חשוב במיוחד משום שהוא מספק מענה שיטתי ומעמיק לאחת הסוגיות הבוערות ביותר בעידן הדיגיטלי – כיצד להסדיר מבחינה משפטית את פעילותן של מערכות בינה מלאכותית גנרטיביות במסגרת המשפט האירופי. הוא מאחד תחת קורת גג אחת ארבעה תחומים מרכזיים – אחריות, פרטיות, קניין רוחני וביטחון סייבר – ומראה כיצד הם משתלבים זה בזה ומשפיעים הדדית. תרומתו המרכזית היא ביצירת גשר בין ההיבט הטכנולוגי לבין המסגרת הנורמטיבית, תוך הצעת תיקונים והמלצות יישומיות לחקיקה קיימת ולמדיניות עתידית. בכך המאמר אינו רק ניתוח תיאורטי של החוק, אלא גם מציע תשתית מעשית לעיצוב מדיניות ציבורית באיחוד האירופי ובמדינות נוספות, כולל ישראל, המבקשות לאזן בין קידום חדשנות לבין שמירה על זכויות אדם, פרטיות וביטחון משפטי. זהו מאמר טוב עבור כתיבת עבודת סמינריון בקורס העוסק בקניין רוחני.