95% מהחברות מפרות חוק AI שרוב האנשים כלל אינם יודעים על קיומו
שוחחתי בטלפון עם סמנכ"לית משאבי אנוש (CHRO) של חברה מרשימת Fortune 500 בתחילת ינואר, כשהיא אמרה משהו שגרם לי לעצור באמצע המשפט.
״הצוות המשפטי שלנו אמר לנו שבטוח יותר פשוט לא לציית לחוק.״
היא לא פעלה מתוך פזיזות, אלא מתוך רציונליות מוחלטת. החברה שלה משתמשת בכלי סינון מבוסס בינה מלאכותית לגיוס עובדים בעיר ניו יורק, מה שאומר שהם כפופים לחוק המקומי 144 (Local Law 144) — רגולציה המחייבת חברות לפרסם בפומבי מבדקי הטיות עבור כל כלי אוטומטי המסייע בקבלת החלטות העסקה. עורכי הדין שלה עשו את החישוב: הקנס על אי-ציות היה בין 500 ל-1,500 דולר לכל הפרה. העונש על ציות — כלומר פרסום ממשי של מבדק ההטיות — היה מסירת מפת דרכים סטטיסטית ישירות לידיהם של עורכי דין המייצגים תובעים בתביעות אפליה.
השיחה הזו גיבשה תובנה שהסתובבתי סביבה במשך חודשים. אין לנו בעיה של אתיקה ב-AI. יש לנו בעיה בארכיטקטורת ה-AI. ומבדק הביקורת שפרסם מבקר מדינת ניו יורק בדצמבר 2025 בדיוק הוכיח זאת.
הביקורת שניפצה את האשליה
ב-2 בדצמבר 2025, פרסם מבקר מדינת ניו יורק, טום דינאפולי, דוח ביקורת על האופן שבו המחלקה להגנת הצרכן והעובדים בעיריית ניו יורק (DCWP) אכפה את חוק מקומי 144. התוצאות היו הרסניות.
הבודקים מטעם העירייה בחנו 32 מעסיקים ומצאו בדיוק מקרה אחד של חשד לאי-ציות. מבקרי המדינה בדקו את אותן 32 חברות באמצעות שיטות טכניות קפדניות בהרבה, ומצאו 17 הפרות.
אין כאן שגיאת עיגול, אלא פער של 1,600% בין מה שהעירייה תפסה לבין מה שהתרחש בפועל.
אני זוכר שקראתי את דוח הביקורת במחשב הנייד שלי ב-11 בלילה, גללתי בין הממצאים והרגשתי תערובת של אישוש מוחלט וחרדה. אישוש משום שזה היה בדיוק סוג הכשל שהזהרנו מפניו את לקוחותינו — ציות שטחי ב-AI שמתפרק תחת ביקורת אמיתית; וחרדה משום שהיקף הבעיה היה חמור אפילו ממה ששיערתי.
כאשר העירייה מוצאת הפרה 1 והמדינה מוצאת 17 באותו מדגם, אין זה פער אכיפה — זוהי אכיפה פיקטיבית.
דוח הביקורת חשף כשל כמעט קומי: 75% משיחות הבדיקה למוקד 311 של העירייה בנוגע לסוגיות גיוס ב-AI נותבו באופן שגוי ומעולם לא הגיעו ל-DCWP. הסוכנות הודתה שהיא חסרה את המומחיות הטכנית להעריך האם חברות אכן משתמשות בכלים לקבלת החלטות אוטומטיות, ומעולם לא התייעצה עם משרד הטכנולוגיה והחדשנות של העירייה עצמה. כל מנגנון האכיפה היה, מבחינה מעשית, כפר פוטיומקין.
מדוע רוב החברות בחרו בשתיקה
וכאן המצב נהיה גרוע אף יותר. מחקר שנערך על ידי אוניברסיטת קורנל, מכון Data & Society ו-Consumer Reports בחן 391 מעסיקים הכפופים לחוק מקומי 144. מתוכם, רק 18 פרסמו את מבדקי ההטיות הנדרשים, ורק 13 פרסמו הודעות שקיפות.
פירוש הדבר הוא שכ-95% מהמעסיקים החייבים בחוק פשוט התעלמו ממנו לחלוטין.
הצוות שלי ואני הקדשנו שבוע לבחינת המחקר, תוך הצלבת הממצאים עם מה שידענו על כלי ה-AI שחברות אלו הפעילו. התנהל אצלנו במשרד ויכוח מתמשך האם מדובר ברשלנות המונית או במהלך מחושב. סמנכ"ל הטכנולוגיות שלי חשב שמדובר בעצלות — חברות פשוט לא הגיעו לזה. אני לא הסכמתי.
אני סבור שרוב החברות הללו ביצעו את המבדקים באופן פנימי, ראו את המספרים ונתקפו בהלה.
הסיבה לכך היא מבנית. חוק מקומי 144 מחייב לפרסם «יחסי השפעה» (impact ratios) — כלומר להשוות את שיעורי הבחירה של קבוצות דמוגרפיות שונות ולבדוק האם הם עומדים בכלל ארבע החמישיות של ה-EEOC. אם הכלי שלך בוחר גברים בשיעור של 60% ונשים בשיעור של 40%, יחס ההשפעה הוא 0.67 — נמוך מסף ה-0.80 המאותת על אפליה עקיפה אפשרית.
הבעיה? רוב כלי הגיוס ב-AI שנבנו על גבי מודלי שפה לשימוש כללי ייכשלו במבחן הזה. לא בגלל הטיה זדונית, אלא משום שהם אומנו על נתונים בהיקף של כלל רשת האינטרנט, המשקפים עשרות שנים של הטיות חברתיות. כשמחשבים את המספרים ביושר, ההטיה צפה מיד; וכשמפרסמים את המספרים הללו, מייצרים למעשה ראיה משפטית מרשיעה.
אותה סמנכ"לית משאבי אנוש לא הייתה צינית, אלא תיארה את התגובה הרציונלית למערכת שבה הכלים עצמם מייצרים ראיות לאפליה ברגע שבודקים אותם.
מה קורה כשבונים AI על בסיס «תחושות בטן»
אני חייב להסביר משהו על האופן שבו רוב ה-AI הארגוני פועל כיום בפועל, משום שזהו שורש המשבר כולו.
המודל השולט בשוק כיום הוא מה שאני מכנה «כלכלת המעטפת» (Wrapper Economy). חברת ייעוץ לוקחת מודל יסוד — GPT-4, Claude, Gemini — עוטפת אותו בשכבה דקה של פרומפטים מותאמים אישית וקריאות API, ומוכרת אותו לארגון כפתרון. סינון קורות חיים, עיבוד תביעות, הערכת סיכונים — המעטפת מנהלת את הממשק, אך החשיבה מתרחשת בתוך מודל שאיש בארגון אינו שולט בו, אינו מבקר אותו ואינו מבין אותו במלואו.
מודלים אלה פועלים באמצעות חיזוי המילה הבאה בעלת ההסתברות הסטטיסטית הגבוהה ביותר ברצף. הם פועלים על בסיס מה שאני מכנה סבירות סמנטית — מה שנשמע נכון — ולא מציאות פורנזית — מה שבאמת נכון.
למדתי זאת בדרך הקשה. בראשית ימיה של Veriprajna, בטרם התחייבנו במלואנו לארכיטקטורה הנוכחית שלנו, ערכנו ניסוי שבו ביקשנו ממודל שפה מוביל להעריך קבוצת קורות חיים תוך «התעלמות ממגדר». הוא עדיין הפלה. לא באופן גלוי — הוא לא סימן את המילה «אישה» כשלילית — אלא העדיף באופן שיטתי קורות חיים שציינו אוניברסיטאות מסוימות, השתמשו בדפוסי ניסוח ספציפיים ופירטו פעילויות חוץ-לימודיות מסוימות — שכולן היו במתאם סטטיסטי עם מגדר בנתוני האימון של המודל.
לומר למודל שפה «להתעלם ממגדר» זה כמו לומר למישהו לא לחשוב על פילים. המתאמים טבועים עמוק במשקולות. אי אפשר להיפטר מהטיה מבנית באמצעות הנדסת פרומפטים בלבד.
כאשר קולורדו או האיחוד האירופי דורשים ממך להסביר מדוע ה-AI שלך קיבל החלטה לרעת מועמד, מערכת מעטפת יכולה לספק לך רק סיפור בדיעבד — נרטיב בעל צליל סביר לגבי הסיבה שלדעתה היא החליטה כפי שהחליטה. זה אינו הסבר, אלא הזיה לגבי תהליך ההיסק של עצמה. כתבתי על בעיה זו בהרחבה בגרסה האינטראקטיבית של מחקרנו, שבה אנו מפרטים כיצד «פער הניתנות לביקורת» הזה מתבטא במשטרים רגולטוריים שונים.
הטרילמה הרגולטורית שאיש אינו מדבר עליה
הנה מה שמדיר שינה מעיניי: זה כבר לא רק ניו יורק.
עד אמצע 2026, חברות הפועלות במספר מדינות בארה"ב ובאירופה יעמדו בפני לפחות ארבע רגולציות AI חופפות — וסותרות מבחינה טכנית — במקביל:
חוק מקומי 144 של העיר ניו יורק דורש לפרסם סטטיסטיקת הטיות הצטלבותית בחלוקה לפי גזע ומין. חוק SB 24-205 של קולורדו שייכנס לתוקף ביוני 2026, דורש סטנדרט רחב יותר של «זהירות סבירה» ודיווח חובה לתובע הכללי במקרה של גילוי אפליה אלגוריתמית. חוק HB 3773 של אילינוי אוסר על שימוש במיקודים כתחליף לקבוצות מוגנות — טכניקה שרבים מכלים להפחתת הטיות מסתמכים עליה בפועל. וחוק ה-AI האירופי (EU AI Act) דורש תיעוד מפורט של מקור נתוני האימון ו«הערכות התאמה» עבור מערכות בסיכון גבוה.
אלו אינם רק כללים שונים, אלא כללים שאינם תואמים מבחינה ארכיטקטונית בחלק מהמקרים.
טכניקת מיסוך נתונים שתשתמש בה כדי לציית לאיסור המיקודים באילינוי עלולה להרוס את ייצוגיות הנתונים שהאיחוד האירופי דורש; מבדק הטיות שעומד במסגרת הגזע והמגדר של ניו יורק עלול להיכשל בסטנדרט של קולורדו אם אינו מביא בחשבון גם גיל ומוגבלות. ואף אחת ממסגרות אלו אינה מקבלת את הטענה «השתמשנו ב-GPT-4 והוספנו כמה מעקות בטיחות» כהערכת התאמה.
משקיע אמר לי בשנה שעברה: «פשוט תשתמש ב-GPT ותוסיף שכבת ציות מעל». שאלתי אותו: איזו שכבת ציות? לאיזה תחום שיפוט? נבדקה לפי אילו מדדים? לא הייתה לו תשובה, כי אין כזו. אי אפשר להרכיב ציות כתוסף חיצוני על מערכת שמעולם לא תוכננה להיות ניתנת לביקורת.
מה שאנחנו בונים בפועל במקום זאת
ב-Veriprajna הימרנו בשלב מוקדם על כיוון שאודה שהרגיש בודד באותה עת: דחינו לחלוטין את מודל המעטפת. בלי שכבות API דקות, בלי למכור הנדסת פרומפטים כמוצר. במקום זאת, אנו בונים את מה שאני מכנה Deep AI — מערכות שתוכננו מן היסוד עבור דטרמיניזם, עקיבות ושליטה ריבונית מלאה.
רעיון הליבה הוא ארכיטקטורה נוירו-סימבולית — מערכת המפרידה בין ה«קול» לבין ה«מוח». הרשת העצבית מטפלת בזיהוי דפוסים: קריאת קורות חיים, ניתוח מסמכים וזיהוי מאפיינים רלוונטיים; אך כל החלטה עוברת דרך שכבת לוגיקה סימבולית — כללים מקודדים וקשיחים הנגזרים מהחוק בפועל, מאונטולוגיות תעשייתיות וממגבלות התחום — לפני שהיא מגיעה למשתמש.
כאשר אילינוי קובעת שאינך יכול להשתמש במיקוד כתחליף לגזע, השכבה הסימבולית שלנו אינה «מנסה» להימנע מכך, אלא חוסמת זאת, באופן דטרמיניסטי, ומתעדת במדויק איזה כלל הופעל ומדוע. כאשר רגולטור דורש הסבר, איננו מייצרים סיפור בעל צליל סביר, אלא מספקים שרשרת לוגית מובנית וניתנת למעקב מלא מן הקלט ועד לפלט.
ההבדל בין מעטפת לבין Deep AI הוא ההבדל בין «המודל אמר כך» לבין «הנה הכלל המדויק, הקלט המדויק והנתיב הלוגי המדויק שהפיקו החלטה זו».
אנו מתעקשים גם על מה שאנו מכנים תשתית ריבונית — פריסת מודלים בענן הפרטי של הלקוח, ללא ניתוב נתונים רגישים דרך ממשקי API ציבוריים. כאשר אתה שולח רשומות עובדים או מידע על מועמדים ל-API של צד שלישי, נתונים אלה עלולים להישמר בלוגים, להיטמע באימונים עתידיים או להיחשף דרך פרצות אבטחה שאין לך כל נראות לגביהן. עבור חברה הכפופה ל-GDPR, ל-CCPA וכעת לרגולציות הייעודיות הללו ל-AI, זהו סיכון בלתי קביל.
לפירוט הטכני המלא של אופן הפעולה של ארכיטקטורות אלו — עקיבות מבוססת גרפים, שכבות אימות מונחות-פיזיקה ומודלי פריסה מותאמי-קצה — אפנה אתכם אל מאמר המחקר המפורט שלנו. ההנדסה עמוקה, אך העיקרון פשוט: כל פלט חייב להיות נכון באופן מוכח, ולא נכון באופן הסתברותי.
״אבל האם אין כאן הגזמה מופרזת?״
אנשים שואלים אותי זאת ללא הרף. בדרך כלל מדובר במישהו שהשתכנע ממודל המעטפת וסבור שאני מסבך דברים יתר על המידה.
הנה תשובתי: מבקר מדינת ניו יורק הוכיח זה עתה שאפילו סקירה רגולטורית ידידותית ומקילה — כזו שנערכה על ידי סוכנות של העירייה עצמה — פעלה בשיעור שגיאה של 1,600%. מבקרי המדינה תפסו 17 הפרות במקום שבו העירייה תפסה 1 בלבד, וזאת במדגם של 32 חברות בלבד.
מה יקרה כאשר התובע הכללי של קולורדו יפתח בחקירה? מה יקרה כאשר האיחוד האירופי יחל בהערכות ההתאמה שלו? מה יקרה כאשר עורך דין של תובע יוציא צו ליומני ההחלטות של המודל שלך ויגלה ש«הפחתת ההטיות» שלך הייתה רק פרומפט מערכת שאמר «אנא פעל בהוגנות»?
אין זה תרחיש היפותטי. דוח הביקורת של המבקר המליץ במפורש לעבור מאכיפה פסיבית המבוססת על תלונות אל חקירה יזומה ומבוססת מחקר. ה-DCWP הסכים לאמץ המלצה זו. עידן ה-«איש אינו בודק» הסתיים.
ישנה התנגדות נוספת שאני שומע: «אנחנו פשוט נחכה שהרגולציות יתייצבו לפני שנשקיע». אני מבין את הדחף, אך מחקר קורנל מצא שהחברות שהמתינו — אותם 95% שלא צייתו לחוק — יושבות כעת על הר הולך וגדל של חשיפה משפטית ללא תשתית לטפל בה. כשהאכיפה תגבר, לא יהיו להן חודשים לבנות מערכות תואמות, אלא שבועות ספורים בלבד.
הלילה שבו המספרים שינו את דעתי
אני רוצה לשתף ברגע ששינה מן היסוד את האופן שבו אני חושב על הבעיה הזו.
לפני כ-8 חודשים הרצנו הוכחת היתכנות (PoC) עבור לקוח מתחום השירותים הפיננסיים. הם רצו לבדוק האם כלי הסינון הקיים שלהם ב-AI — מוצר של ספק מוכר, הבנוי על גבי מודל שפה גדול ומוביל — יכול לעבור ביקורת מדומה לפי חוק מקומי 144. הצוות שלי הקים את הבדיקה, חישב את יחסי ההשפעה ושלח לי את התוצאות בסביבות השעה 21:00.
ציפיתי לכשלים גבוליים — יחסים של 0.75 או 0.78, קרובים מספיק כדי שכיול מחדש יוכל לתקנם. במקום זאת, מצאנו יחסי השפעה נמוכים שהגיעו עד 0.58 עבור קטגוריות הצטלבותיות מסוימות. רחוקים לחלוטין מן הסף, ואינם ניתנים לתיקון באמצעות כוונון פרומפטים. מוטים באופן מבני ומהותי בדרכים שהיו בלתי נראות לאנשים שהשתמשו בכלי יום-יום.
ישבתי במשרדי הביתי, בהיתי במספרים הללו והבנתי משהו שאני סבור שהתעשייה כולה חייבת להתעמת איתו: הכלים שרוב החברות משתמשות בהם כעת ייכשלו במבדקי ההטיות של עצמם. שיעור אי-הציות של 95% אינו נובע רק מכך שחברות מתעלמות מהחוק; הוא נובע מחברות שהביטו במה שהציות יחשוף והחליטו שהן מעדיפות פשוט לא לדעת.
אין זו בעיה רגולטורית. זהו כשל הנדסי מוחלט.
לאן זה ממשיך מכאן
ביקורת דצמבר 2025 אינה סוף חבלי הלידה של רגולציית ה-AI, אלא תחילת שלב הבגרות שלה. הרגולטורים לומדים מהטעויות שלהם. הדור הבא של האכיפה לא יסתמך על מוקדי 311 ודיווחים עצמיים, אלא ישתמש בכלי חקירה פורנזיים כדי לבחון מה ה-AI שלך באמת עושה — ולא מה שצוות הציות שלך טוען שהוא עושה.
עבור ארגונים, המשמעות היא שחלון ההזדמנויות להחלטות ארכיטקטוניות הולך ונסגר. אינך יכול להטמיע דטרמיניזם בדיעבד על מערכת הסתברותית; אינך יכול לחבר יכולת ביקורת כתוסף חיצוני על קופסה שחורה; ואינך יכול לציית לארבעה תחומי שיפוט סותרים באמצעות תבנית פרומפט יחידה.
החברות שישגשגו ב-2026 ומעבר לה הן אלו שמקבלות את ההחלטה הקשה כעת: בניית מערכות שבהן לכל החלטה יש שרשרת לוגית עקיבה, ניתנת לביקורת וברת-הגנה. לא משום שזה קל ולא משום שזה זול, אלא משום שזו הארכיטקטורה היחידה ששורדת מפגש עם רגולטור שבאמת מבין מה הוא מחפש.
עידן ה-AI שנבנה על תחושות בטן תם ונשלם. מה שיחליף אותו יוגדר על ידי חברות שמוכנות להנדס ודאות מוחלטת לתוך מערכות ששאר התעשייה בנתה על הסתברות.
סמנכ"לית משאבי האנוש ששוחחתי איתה בינואר התקשרה אליי שוב בשבוע שעבר. הצוות המשפטי שלה קרא את דוח הביקורת של המבקר. הם כבר לא המליצו על אי-ציות לחוק, אלא שאלו כמה מהר נוכל לפרוס את המערכת.
