פרסום דוח ביניים להערות הציבור בנושא בינה מלאכותית בסקטור הפיננסי

לאחרונה פרסם צוות משותף של משרד המשפטים (ייעוץ וחקיקה), משרד האוצר, רשות התחרות, רשות ניירות ערך, רשות שוק ההון, ביטוח וחיסכון והפיקוח על הבנקים בבנק ישראל דוח ביניים הכולל המלצות ראשונות מסוגן ביחס לרגולציה על שימוש בטכנולוגיית AI במגזר הפיננסי בישראל. הדוח עמד במרכזם של שני דיונים ציבוריים שנערכו לאחרונה באוניברסיטת תל אביב בהפקת מרכז שמגר ומרכז בתיה יששכר פישר לממשל תאגידי, בשיתוף עם משרד המשפטים ורשות ניירות ערך - האחד כדיון ציבורי רחב במכלול הדוח, והשני בסוגיות הפרטיות שנדונו בדוח. הדיונים הפגישו בין רגולטורים פיננסיים מובילים, אנשי אקדמיה ונציגי תעשייה, שדנו באתגרים ובאפשרויות שמציבה הבינה המלאכותית במגזר הפיננסי, בהמלצות שהועלו בדוח ובנקודות לשיפור ההמלצות מנקודת מבטם.

לדוח קדמה סקירה מקיפה שערכו צוות חוקרים מאוניברסיטת תל אביב - פרופ׳ אסף חמדני ופרופ' קובי קסטיאל מהפקולטה למשפטים, עמיתים בכירים במרכז שמגר, ופרופ׳ דן עמירם וד״ר ארי אחיע מהפקולטה לניהול. חוקרים אלה המשיכו ללוות את הצוות בשלב גיבוש ההמלצות.

ברקע הכנת הדוח עומד מסמך המדיניות שפורסם בדצמבר 2023 מטעם משרד החדשנות ומשרד המשפטים (https://www.gov.il/he/pages/ai_23), בו הוצגו עקרונות כלליים מנחים לאסדרת בינה מלאכותית בישראל. העיקרים שבהם, הם רגולציה "רכה" וענפית, המתבססת על רגולציה עצמית (להבדיל מחקיקה) בכל ענף בנפרד בהתאם לצרכיו ובהתאם לדרגת הסיכון שבו, תוך התכתבות עם הרגולציה של בינה מלאכותית המתפתחת בעולם. הדוח מתכתב עם עקרונות אלה.

הדוח עומד על הפוטנציאל הגלום בשימוש ב-AI בתחום הפיננסי לשיפור איכות המוצרים והשירותים הפיננסיים, הוזלת עלויות, הנגשת שירותים פיננסיים לקהלים רחבים יותר, שיפור הפעילות התפעולית והעסקית ושיפור ניהול הסיכונים. זאת לצד האתגרים הפוטנציאליים הכרוכים בשימוש בטכנולוגיה ובהם סיכוני יציבות פיננסית, סיכוני סייבר הונאה ודיסאינפורמציה, מחיר טעות גבוהה וחששות מפגיעה בפרטיות או הדרת אוכלוסיות משירותים פיננסיים.
הדוח פותח בהגדרה של מערכת בינה מלאכותית, ומגדירה כ"מערכת מבוססת מחשב, הפועלת בדרגות שונות של אוטונומיה, במטרה להפיק תוצרים כגון תוכן, תחזיות, המלצות או החלטות, אשר עשויה להיות לה השפעה על משקיעים, לקוחות, או על פעילותו של הגוף המפוקח", תוך שישנה התייחסות נפרדת למערכות בעלות "השפעה מהותית" כזו.
לאחר מכן הצוות מתייחס לסוגיות רוחב (ברובן חוצות-ענף) הנובעות ממאפיינים ייחודיים של הבינה המלאכותית, וביחס לכל אחת מהן מציע המלצות יישומיות:
1. הסברתיות: בהיות מערכות הבינה המלאכותית עכירות הן מוכרות בשל בעיית "הקופסה השחורה" והעובדה שלא ניתן להסביר באופן מלא את תוצריהן. בהקשר זה, הדוח מבחין בין הסברתיות כללית הנוגעת לאופן פעולת המערכת, ובין הסברתיות פרטנית בנוגע להחלטות ספציפיות. ההמלצה היא שתחול חובת הסברתיות כללית כלפי הגוף הפיננסי עצמו וכן כלפי הציבור בכפוף לאילוצים משפטיים ואחרים. כמו כן מומלץ לקבוע חובת הסברתיות פרטנית מקום בו מדובר בהחלטה מהותית לצרכן, בעיקר כזו שמרעה עמו, בעלת סיכון בינוני-גבוה. כאשר הדין הקיים ממילא מחייב הנמקה ללקוח, כאשר המערכת רק מסייעת להחלטה אנושית או כאשר יש חלופות מספקות להסברתיות כגון בקרה הדוקה, אין להטיל חובת הסברתיות נוספת.
2. מעורבות אנושית: אחד הכלים הנפוצים המוצעים על מנת להתמודד עם האתגרים הגלומים בפעילות של בינה מלאכותית הוא מעורבות ופיקוח אנושי. ישנה גם ביקורת על דרישה זו שעלולה לצמצם את התועלת בשימוש בטכנולוגיה, ושאינה מניבה בהכרח תוצאות. בדוח עורך הצוות הבחנה בין סוגים שונים של מעורבות אנושית – מעורבות בזמן אמת מול מעורבות בדיעבד, מעורבות בכל החלטה פרטנית מול מעורבות על פעילות המערכת בכללותה. הצוות ממליץ על מודל מדורג של מעורבות אנושית, שיכלול חובת בקרה אנושית כללית על פעילות המערכת, ומעורבות ישירה בהחלטות מהותיות בשימושים שיסווגו בסיכון בינוני או גבוה, כתלות במידת מעורבותם של אמצעים אחרים כגון הסברתיות מספקת. חובות אלה יחולו על הגוף הפיננסי המפעיל את המערכת ולא על מפתח המערכת.
3. חובות יידוע וגילוי: הצוות סבור כי היתרונות בגילוי אודות הבינה המלאכותית עולים על החסרונות בעילוי כזה. מכאן מומלץ ליידע את הציבור על עצם השימוש במערכות AI או אינטראקציה עם מערכות כאלה בטרם תחילת ההתקשרות עם הלקוח. כמו כן, מקום בו מדובר בהחלטות מהותיות עבור הלקוח, יש לכלול גם גילוי בדבר מאפייני המערכת, בסיכונים האפשריים הנובעים משימוש בה ובמתודולוגיה בה היא פועלת, וכל זאת בגילוי בהיר, פשוט ותמציתי ככל הניתן. כן יש לפעול כנגד התופעה של AI washing באמצעות הסל הרגולטורי הקיים, כגון פעולות אכיפה כנגד גילוי מטעה.
4. פרטיות והגנה על מידע אישי: מידע הוא ה"דלק" של מערכות הבינה המלאכותית, שעל פי רוב מחייבות שימוש במידע אישי, שעשוי להיות גם רגיש בפרט בתחום הפיננסי. מתוך הנחת המוצא שדיני הגנת הפרטיות חלים גם על שימוש במערכות בינה מלאכותית, הצוות מתייחס למספר אתגרים שעולים בהקשר לשימוש במידע פרטי על המערכות. תחילה הצוות מתייחס למידע שעבר התממה ככלי למזעור הפגיעה בפרטיות. בהקשר זה מוצע להכווין את הגופים הפיננסיים המפוקחים לבצע הערכת סיכונים לזיהוי חוזר של מידע אישי שעבר התממה, לערוך בקרה תקופתית על שמירת המידע כאישי ולגבש תכנית פעולה למקרה של חשיפת המידע. עוד הצוות מתייחס לאתגר ה"הסכמה מדעת" לפיו לקוחות וצרכנים נוטים להסכים למסירת המידע הפרטי שלהם מבלי שהם מבינים בהכרח את משמעות המסירה או מתוך לחץ הנובע מפערי כוחות או צורך בשירות חיוני. אתגר קשור לכך הוא חיוב הדין לצמידות המטרה, כך שמידע פרטי ישמש רק למטרה לשמה נמסר. בהקשר זה ממליץ הצוות לקבל הסכמה במתכונת opt in תוך שמתבקשת הסכמה מפורשת לשימוש במידע לשימוש במערכות בינה מלאכותית. גופים שירצו להשתמש במידע קיים של לקוחות לצרכי בינה מלאכותית יצטרכו לפנות ללקוחות לקבלת הסכמה מחודשת, וכך גם במקרה בו ייעשה שימוש במידע למטרות נוספות מעבר לאלה שהלקוח אישר מלכתחילה. עוד עומד הצוות על האתגר במידע מוסק על ידי מערכות הבינה המלאכותית, שעשוי להיות אף הוא מידע רגיש ועונה להגדרת מידע אישי בחוק, ומבקש לקבל את עמדות הציבור לגבי השאלה האם נדרש להחיל ביחס למידע מסוג זה חובות או זכויות ייעודיות נוספות או שיש התאמות שנכון לערוך במסגרת יישום החוק בנושא. לבסוף מומלץ לאמץ כלים ארגוניים לניהול וצמצום הסיכונים לפרטיות הכרוכים בפיתוח מערכות בינה מלאכותית כגון: תסקיר השפעה על פרטיות, יישום והטמעת תפיסות של עיצוב לפרטיות, וזאת בנוסף למינוי ממונה על הגנת הפרטיות.
5. הטעיה ואפליה: מתוך הנחת המוצא שדיני האפליה בישראלים חלים על הגופים המפוקחים גם בשימושם במערכות בינה מלאכותית, הצוות ממליץ על עריכת בקרה מוגברת לכל אורך חיי המערכת, החל מהשימוש בנתונים, דרך הטמעה ויישום ועד לבחינה בדיעבד של תוצאות היישום, על מנת להימנע משימוש במידע לא רלוונטי או קריטריונים מוגנים, לרבות באמצעות פרוקסי. עוד מומלץ להחיל חובת הסברתיות פרטניות שתאפשר לספק לצרכן או הלקוח מידע בנוגע לקריטריונים ששימשו לקבלת החלטה בעניינו.
6. אחריות: הצוות מתמקד בשאלה על מי ראוי להטיל את האחריות לעמוד בחובות הרגולטוריות מבלי להתייחס לתחולת דיני הנזיקין הכלליים. נקודת המוצא של הצוות היא כי ככלל האחריות למערכות הבינה המלאכותית מוטלת על הגוף הפיננסי המפוקח בהתאם לרגולציה שחלה עליו, זאת בין שהשירות הניתן על ידו פותח על ידו במישרין ובין שהוא נעזר במיקור חוץ או בצד ג' לצורך מתן השירות. אחריות מפתחי המערכות עשויה להיות בעתיד שיקול או תנאי להטמעת המערכת בישראל.
7. ממשל בינה מלאכותית: ממשל בינה מלאכותית (AI Governance) היא המסגרת הרחבה ליצירת מנגנוני ניהול ובקרה ראויים בתאגיד שאמורים להכתיב ולהסדיר את אופן קבלת ההחלטות, ניהול הסיכונים, הבקרה והפיקוח על הפעלת מערכות בינה מלאכותית בארגונים. כהמלצות ראשוניות וכלליות, הצוות ממליץ לקבוע מסמכי מדיניות, תהליכים, נהלים ופרקטיקות שיסייעו במיפוי, מדידה וניהול הסיכונים הכרוכים בשימוש מערכות הבינה המלאכותית, שיעודכנו בהתאם להתפתחויות טכנולוגיות, יתייחסו לכל מחזור החיים של המערכות ויוטמעו בקרב עובדי הארגון תוך הקניית ידע מספק. הגורם האחראי לפעילות הגוף הפיננסי, לרבות בהיבטי אימוץ, פיקוח, ניטור ושימוש של מערכות בינה מלאכותית יהיה דירקטוריון הגוף הפיננסי וההנהלה הבכירה. טרם תחילת השימוש במערכת הבינה המלאכותית ייערך ניטור ופיקוח לרבות תיקוף התוצאות, זאת לצד ביקורת שוטפת ובדיקה תקופתית של תוצאות המערכת לבחינתן בדיעבד. כמו כן יוסדר אמצעי לעצירה מיידית של פעילות המערכת במקרה של כשל מהותי (kill switch). בנוסף כולל הדו"ח המלצות בנוגע לממשל נתונים תקין, לרבות מינוי ממונה מידע ונתונים במקביל למינוי ממונה בינה מלאכותית או בכפוף לו.
הצוות מתייחס לגישה מבוססת סיכונים ומציע כי המלצות אלה שהוצגו ביחס לכל אחת מסוגיות הרוחב יחולו באופן שונה על מערכות ברמות סיכון שונות. הצוות מבקש, בין היתר, את התייחסות הציבור האם סיווג מערכות בינה מלאכותית תחת קטגוריות של סיכון נמוך, בינוני וגבוה, הנו מועיל; האם יש מקום לקבוע מראש תחת אילו רמות סיכון יסווגו מערכות בינה מלאכותית המבצעות פעילויות פיננסיות ספציפיות; והאם יש מקום לקבוע בשלב זה אם הסיווג צריך להיעשות בידי הגופים המפוקחים או הרגולטור.
מעבר לבחינת סוגיות הרוחב, הצוות מתייחס לסיכונים פוטנציאליים משימוש בבינה מלאכותית ספציפית בענף הפיננסי. סיכון עיקרי כזה הוא פגיעה ביציבות הפיננסית בישראל, נוכח פוטנציאל להתנהגות עדרית; ריכוזיות של פעילות פיננסית בידי מספר קטן של גורמים, המחזיקים במידע וביכולות הטכנולוגיות לשימושי בינה מלאכותית, דבר שמעורר חששות לא רק במישור התחרותי אלא גם במישור היציבות; החשש לקישוריות והדבקה, שגובר בהנתן פעילות בינה מלאכותית נוכח קורלציה או תלות בין גורמים שונים במערכת, והחשש לסיכונים תפעוליים וסיכוני סייבר שגובר עם הכנסת הטכנולוגיה. סיכון נוסף הוא העדר תחרות מספקת בתחום פיתוח המודלים של בינה מלאכותית, נוכח חסמים בגישה לתשומות הנדרשות, חשש מחיזוק המעמד הדומיננטי של חברות הטכנולוגיה הגדולות באמצעות מודלים של בינה מלאכותית וחשש מהתפתחות שווקים בעלי דינמיקה של "המנצח לוקח הכל" או "המנצח לוקח הרוב". חששות אלה מתעצמים בהינתן רמת ריכוזיות גבוהה בקרב שוק הפיננסיים בישראל. לצד אלה ישנם גם סיכונים תפעוליים כגון סיכוני סייבר, הונאה ודיסאינפורמציה. תופעת הדיסאינפורמציה הנרחבת בעלת השלכות הרסניות במיוחד בפעילויות פיננסיות המתאפיינות בתמחור רציף על בסיס מידע ובביצוע פעולות מהירות.
בחלקו האחרון של הדוח, הצוות התמקד בשלושה תחומי פעילות ספציפיים שבהם יש כבר שימוש מסוים בבינה מלאכותית: ייעוץ השקעות וניהול תיקים, חיתום אשראי וחיתום ביטוח. ביחס לכל אחד מאלה נערכה סקירה של הדין הקיים בישראל ובעולם תוך ניתוח של סוגיות הליבה שמעוררת כניסת הבינה המלאכותית.
הדוח המלא זמין כאן: https://www.gov.il/he/pages/regulation_cmisa_11
הציבור מוזמן להגיש התחייסויות לדו"ח, כאשר המועד להגשת התייחסויות הוארך עד ליום 31.12.24.