רגולציה קובעת מה, תקן קובע איך
רגולציית בינה מלאכותית קובעת מה חייבים להשיג; תקן קובע איך עושים זאת ואיך מוכיחים שאכן עשו. תקן הוא מסמך מקצועי שמנסח ארגון תקינה — בין-לאומי כמו ISO ו-IEC, גוף ממשלתי כמו NIST האמריקאי, או אירופי כמו CEN ו-CENELEC — ומפורטים בו נהלים, בדיקות ותיעוד שארגון אמור לקיים. אימוץ תקן הוא בדרך כלל התנדבותי — אלא אם חוק או רגולטור אימצו אותו והפכו אותו למחייב — ואפשר להגיע לאותה תוצאה גם בדרך אחרת. מה שהופך אותו למשמעותי הוא הצד השני של המשוואה: כשתקן כתוב כרשימת דרישות, גוף בדיקה חיצוני יכול לבחון ארגון מולו ולהנפיק לו תעודה. כך הופכת הצהרה כללית על בינה מלאכותית אחראית למשהו שאפשר לדרוש עליו ראיה — לא "אנחנו מקפידים", אלא "נבדקנו מול תקן מוכר, והנה התעודה".
ISO/IEC 42001: התקן המרכזי
התקן המרכזי בתחום הוא ISO/IEC 42001, שפורסם בדצמבר 2023 בידי ועדת התקינה המשותפת של ISO ושל IEC לבינה מלאכותית. שמו המלא באנגלית: "Information technology — Artificial intelligence — Management system". הסיומת היא העיקר — מה שנבדק אינו מודל, אלא מערכת ניהול. התקן מנסח דרישות להקמה, להפעלה ולשיפור מתמשך של מערכת לניהול בינה מלאכותית בארגון: מי אחראי, איזו מדיניות ואילו יעדים נקבעו, כיצד מזהים ומעריכים סיכונים לאורך מחזור החיים של המערכת, מה מתועד, וכיצד מנוהלת שרשרת האספקה. הוא חל על כל ארגון שמספק מוצרים ושירותים המבוססים על בינה מלאכותית או משתמש בהם, בכל גודל ובכל מגזר — חברת טכנולוגיה, בנק, בית חולים או רשות ציבורית.
מכאן נובעת נקודה שקל להתבלבל בה. תעודה לפי ISO/IEC 42001 אינה קובעת שהמודל של הארגון מדויק, נטול הטיה או בטוח לשימוש. היא קובעת שגוף בדיקה חיצוני בחן את מערכת הניהול של הארגון ומצא שהיא עומדת בדרישות התקן — כלומר שקיים בארגון תהליך מסודר לזיהוי סיכונים ולטיפול בהם. הבדיקה נעשית בשלבים: סקירה מקדימה, מבדק התעדה, ולאחריהם ביקורות מעקב תקופתיות שמוודאות שהמערכת ממשיכה לפעול. לרוכש ולמשתמש זה מידע שימושי — ארגון שנבדק מבחוץ נבדל מארגון שרק הצהיר — אבל זה מידע על התהליך, לא אישור על התוצר.
NIST AI RMF: מסגרת אמריקאית וולונטרית
בארצות הברית התגבש כלי מסוג אחר: מסגרת ניהול הסיכונים של NIST לבינה מלאכותית (AI Risk Management Framework), שגרסה 1.0 שלה פורסמה בינואר 2023. המכון מגדיר אותה כמיועדת לשימוש התנדבותי, והיא בנויה סביב ארבע פעולות ליבה: ממשל (Govern) — קביעת אחריות ומשמעת ארגונית; מיפוי (Map) — זיהוי ההקשר והסיכונים; מדידה (Measure) — הערכה ובחינה של המערכת; וטיפול (Manage) — מענה לסיכונים לפי סדר עדיפויות. ביולי 2024 נוסף לה פרופיל ייעודי לבינה מלאכותית יוצרת, והיא נמצאת כעת בתהליך עדכון. בשונה מ-ISO/IEC 42001 היא מציעה אוצר מילים משותף וסדר עבודה שכל ארגון מתאים לעצמו, ולא רשימת דרישות שנבדקים מולה.
'תקנים מתואמים' באירופה ו-EN 18286
באירופה נבנה מנגנון שמחבר במפורש בין תקן לחוק, ושמו "תקנים מתואמים" (harmonised standards). הנציבות האירופית פונה בבקשה רשמית לארגוני התקינה האירופיים ומטילה עליהם לכתוב תקן שמכסה דרישה מסוימת בחקיקה; עבודת התקינה בתחום הבינה המלאכותית מתנהלת בוועדה טכנית משותפת ל-CEN ול-CENELEC בשם JTC 21. כשתקן כזה מוכן וההפניה אליו מתפרסמת בעיתון הרשמי של האיחוד האירופי (Official Journal), מי שעומד בו נהנה מ"חזקת התאמה": ההנחה המשפטית היא שהוא עומד בדרישות החוק, ואינו נדרש להוכיח זאת מחדש. השימוש בתקן נשאר התנדבותי גם כאן — מותר לבחור פתרון טכני אחר — אבל אז נטל ההוכחה נשאר על היצרן. זהו גם המסלול שמוביל לסימון CE, שמערכות בסיכון גבוה נדרשות לשאת אותו.
בפועל המנגנון האירופי עדיין באמצע הדרך, וזה חלק מהתמונה ולא הערת שוליים. EN 18286, התקן האירופי הראשון שנכתב במיוחד לצורכי חוק הבינה המלאכותית ושעוסק במערכת ניהול איכות אצל ספקי מערכות בינה מלאכותית, פורסם רק ביולי 2026 — אך ההפניה אליו טרם פורסמה בעיתון הרשמי, ולכן הוא עדיין אינו מקנה מעצמו את חזקת ההתאמה; שאר התקנים בסדרה עדיין בשלבי כתיבה ואישור, ובאוקטובר 2025 החליטו CEN ו-CENELEC על צעדי האצה חריגים כדי להשלים את המרכזיים שבהם עד סוף 2026. חשוב גם להבחין: חזקת ההתאמה נקשרת לתקן אירופי שההפניה אליו פורסמה בעיתון הרשמי, ולא לכל תקן בין-לאומי — תעודת ISO/IEC 42001 היא נכס מקצועי ומסחרי אמיתי, אך אינה מקנה מעצמה את החזקה המשפטית הזאת.
התעדה בישראל
בישראל מציע מכון התקנים הישראלי ביקורת והתעדה מול ISO 42001, כך שארגון ישראלי יכול להיבדק מול התקן בארץ. למי שאינו מפתח, זהו הצד המעשי של כל הדיון: תקן הוא הדרך שבה שאלה מופשטת — "האם אפשר לסמוך על המערכת הזאת?" — מתורגמת לשאלה שיש עליה תשובה במסמך: מי בדק, לפי איזה תקן, מתי, ומה בדיוק נכלל בבדיקה.