בנינו ביקורת הטיה אחת כדי לעמוד בשישה חוקי גיוס מבוססי בינה מלאכותית. היא נכשלה באותו שבוע שבו שילחנו אותה.
הדבר הראשון שנאלצתי להסביר למנהלת משאבי אנוש ראשית בחורף שעבר היה שהחברה שלה מפרה כעת את החוק באופן שלאיש בצוות שלה לא היה אוצר מילים לתאר.
היא ניהלה גיוס בניו יורק, שיקגו, דנוור, אוסטין, ובמשרד בלונדון. המערך הטכנולוגי שלה לא היה יוצא דופן — מערכת מעקב אחר מועמדים, שכבת סינון מבוססת בינה מלאכותית שהוצמדה אליה, ספק ראיונות וידאו, צ'אטבוט לתיאום פגישות. רכש סטנדרטי של 2024. הבעיה הייתה שבין אוקטובר 2025 לאוגוסט 2026, שש ממשלות שונות החליטו, פחות או יותר באופן עצמאי, שבדיוק המערך הזה הוא פעילות בסיכון גבוה המוסדרת ברגולציה. וכל אחת מהן ניסחה את הכללים מעט אחרת.
זה מה שציות בגיוס מבוסס בינה מלאכותית באמת נראה כיום: לא חוק אחד לציית לו, אלא ערימה של חוקים חופפים שלעיתים סותרים זה את זה, היושבים על צינור גיוס שמעולם לא נבנה כדי להיבדק. כשהתחלתי לחפור בנושא, הנחתי שהמשימה היא להריץ ביקורת הטיה טובה. טעיתי, והאופן שבו טעיתי הוא כל הסיפור.
מנהלת משאבי האנוש שהייתה כפופה לשישה משטרים רגולטוריים לפני ארוחת הצהריים
הרשו לי לפרוש את מה שהיא באמת התמודדה איתו, כי ההתכנסות היא החלק שאנשים מזלזלים בו.
תיקוני FEHA של קליפורניה בנוגע למערכות החלטה אוטומטיות נכנסו לתוקף ב-1 באוקטובר 2025 — ארבע שנים של שמירה מחייבת על כל קלט, פלט, ותוצאת בדיקת הטיה, ואחריות שחלה בין אם האפליה הייתה מכוונת ובין אם לאו, עבור כל מעסיק המגייס בקליפורניה ללא קשר למיקום המטה שלו. חוק HB 3773 של אילינוי נכנס לתוקף ב-1 בינואר 2026, והוא אוסר במפורש על שימוש במיקודים כפרוקסי למעמדים מוגנים. חוק TRAIGA של טקסס נכנס לתוקף באותו יום — אלא שטקסס דחתה בכוונה תחילה את השפעת האפליה השונה (disparate impact) כתיאוריה ומענישה רק על אפליה מכוונת, עם קנסות שנעים מ-$12,000 על הפרה הניתנת לתיקון ועד $200,000 על הפרה שאינה ניתנת לתיקון — עם חלון של 60 יום לתיקון לפני שהעונש מתקבע, פרט שמשנה כיצד ממיינים התראה מטקסס לעומת אחת מניו יורק. חוק הבינה המלאכותית של קולורדו נכנס לתוקף ב-30 ביוני 2026. חוק הבינה המלאכותית של האיחוד האירופי מתייחס לגיוס כפעילות בסיכון גבוה לפי נספח III החל מ-2 באוגוסט 2026, עם עונשים המגיעים ל-35 מיליון אירו או 7% מהמחזור השנתי הגלובלי.
אז חברה יחידה עם משרדים בחמש הערים הללו ובלונדון כפופה לשישה משטרים רגולטוריים, שלושה מהם כבר בתוקף, שלושה נכנסים לפעולה לפני סוף הקיץ. אותה החלטת גיוס. שש הגדרות שונות למה שהופך אותה לבלתי חוקית.
חברה המגייסת בניו יורק, שיקגו, דנוור, אוסטין, ולונדון אינה מנהלת תהליך גיוס אחד. היא מנהלת תהליך אחד ששש ממשלות — כל אחת מהן — מאמינות שהוא שייך להן.
ואז הגיע החלק שהשתיק את החדר: הדבר שרובם הסתמכו עליו כדי להישאר מוגנים פשוט הפסיק לעבוד.
האם "הספק שלנו אומר שזה לא AEDT" עדיין מהווה הגנה?
במשך שנתיים, האסטרטגיה השקטה בניו יורק הייתה משהו שחוקרים כינו ציות אפס — וברגע שאתה מזהה אותו, אתה מזהה אותו בכל מקום. חוק העירייה 144 (Local Law 144) של העיר ניו יורק מאפשר למעסיק להחליט האם הכלי שלו "מסייע באופן מהותי" להחלטת גיוס. אז מעסיקים החליטו שהוא לא. מחקר של אוניברסיטת קורנל, Data & Society, ו-Consumer Reports שהוצג ב-FAccT בשנת 2024 סקר 391 מעסיקים בעיר ניו יורק המפעילים את הכלים הללו ומצא שרק 4.6% פרסמו את ביקורת ההטיה שהחוק דורש. רק 3.3% פרסמו את הודעת השקיפות. השאר סיווגו את עצמם למעשה אל מחוץ לתחולה.
זה היה מזכר. אי-שם במחלקה המשפטית, היה מזכר בן עמוד אחד מ-2024 שאמר הספק שלנו אמר לנו שזה לא AEDT, ולכן LL144 לא חל. המזכר הזה היה תוכנית הציות.
ואז הגיע 2 בדצמבר 2025. מבקר המדינה של ניו יורק ביקר את אכיפת העירייה ומצא 17 הפרות פוטנציאליות של LL144 באותו מדגם של 32 חברות שבו סוכנות העירייה עצמה מצאה אחת בלבד. שבעים וחמישה אחוזים משיחות התלונה נותבו בטעות. הסוכנות הודתה, באופן רשמי, שלצוות שלה חסרה המומחיות הטכנית להעריך את הכלים הללו — והסכימה לעבור לאכיפה יזומה ומבוססת מחקר. מבנה העונשים לא השתנה: עד $1,500 ליום, לכל הפרה. הפעל כלי אחד לא מבוקר ברציפות בניו יורק ואתה צופה בלמעלה מחצי מיליון דולר בשנה עוד לפני שמישהו מגיש תביעה פרטית.
"ציות אפס" מעולם לא היה עמדה משפטית. זה היה הימור שאף אחד לא בודק. ב-2 בדצמבר 2025, מישהו התחיל לבדוק.
אני זוכר שקראתי את קובץ ה-PDF של ביקורת המבקר ביום ראשון וחשבתי: כל אחד ממזכרי הסיווג-העצמי ההם מ-2024 הפך זה עתה למוצג בהליך גילוי מסמכים. וזה, מסתבר, אינו מטאפורה.
התביעות שמשכתבות בשקט את שאלת האחריות
כי הדבר האחר שקורה במקביל הוא שבתי המשפט מפרקים את הרעיון שדעת הספק מגינה עליך.
בMobley v. Workday, השופטת ריטה פ. לין סירבה לדחות את התיק, וקבעה שספק גיוס מבוסס בינה מלאכותית יכול להיות אחראי במישרין כ"סוכן" של המעסיק כאשר הכלי שלו ממליץ על מועמדים או מסנן אותם — ללא קשר למה שמזכר המעסיק טוען שהכלי עושה. בית המשפט העניק אישור קולקטיבי מקדים במאי 2025, וחלון ההצטרפות למועמדים מעל גיל 40 נסגר ב-7 במרץ 2026. לאחר מכן הורה השופט ל-Workday להפיק רשימה ממצה של כל מעסיק שהפעיל את מוצרי הסינון HiredScore שלה, ודחה את הניסיון להשאיר את הכלים שנרכשו לאחר הרכישה מחוץ לתיק. לפי חישוב בית המשפט עצמו, מעל למיליארד מועמדים ייתכן שעברו דרך אותו צינור.
וב-20 בינואר 2026 נפתחה חזית חדשה. Kistler v. Eightfold שואל שאלה שאף אחד בתחום טכנולוגיית משאבי האנוש לא רצה שתישאל: האם הפלטפורמות הללו הן סוכנויות דיווח צרכני לפי חוק דיווח האשראי ההוגן (Fair Credit Reporting Act)? התלונה טוענת ש-Eightfold גרפה נתונים מ-LinkedIn, GitHub, ו-Stack Overflow, הרכיבה תיקי מועמדים מ"יותר מ-1.5 מיליארד נקודות נתונים גלובליות," והפיקה ציון "סבירות להצלחה" בסולם 0 עד 5 ללא הודעה למועמד, ללא גילוי, ללא הליך ערעור. אם בית משפט יסכים, כל פלטפורמה דומה חייבת לכל מועמד שקיבל ציון הודעת פעולה שלילית ודרך לערער עליה — ופיצויים סטטוטוריים לפי FCRA נעים בין $100 ל-$1,000 לצרכן, לכל הפרה. הכפל זאת בכל מועמד שפלטפורמה אי פעם נתנה לו ציון.
אז זה הנוף שבו הלקוחה שלי עמדה. שישה משטרים רגולטוריים, שתי תביעות פעילות המגדירות מחדש את האחריות, רגולטור שרק עכשיו למד כיצד לבקר. האינסטינקט שלי — ואני אקח על זה אחריות, כי זה עלה לי חודש — היה שהתשובה היא ביקורת הטיה אוניברסלית ממש טובה.
הביקורת האוניברסלית שלא יכלה להתקיים
מה שבניתי תחילה שווה תיאור, כי זה בדיוק המקום שבו כל הגישה התמוטטה.
התוכנית הייתה אלגנטית: ניתוח השפעה שלילית קפדני אחד, שמורץ לפי המתודולוגיה שמבקרים עצמאיים כמו DCI Consulting ו-ORCAA משתמשים בה, שאותו נמפה על פני כל שישה תחומי השיפוט. עבור אותו פעם אחת, תעד אותו היטב, וספק את כולם. בנינו את הצינור, שלפנו את נתוני הגיוס, הרצנו את יחסי ההשפעה של ארבע-חמישיות, ואפילו עשינו את החתכים המצטלבים של גזע-לפי-מין שניו יורק דורשת במפורש.
ואז התיישבתי כדי למפות את התוצאה היחידה מול שישה המשטרים הרגולטוריים, וזה התפרק לנגד עיניי.
ניו יורק דורשת יחסי השפעה מצטלבים. קולורדו מבקשת "טיפול סביר" ללא כל דרישה למצטלב. טקסס אינה מכירה כלל בהשפעת אפליה שונה כתיאוריה מלכתחילה, ולכן כל התרגיל הסטטיסטי חסר משמעות משפטית שם — רק כוונה חשובה. לחוק הבינה המלאכותית של האיחוד האירופי אין כלל של ארבע-חמישיות; יש לו מנדט של ייצוגיות נתונים לפי סעיף 10.ביקורת אחת, המורצת בדרך אחת, מפיקה תוצר שהוא נכון עבור תחום שיפוט אחד ובלתי מספק או בלתי רלוונטי עבור האחרים.
העמוקה ביותר — זו שבאמת עצרה אותי — הייתה המיקוד. חוק HB 3773 של אילינוי אוסר במפורש על שימוש במיקודים כפרוקסי למעמדים מוגנים; הסר אותם, ואתה מציית. אך סעיף 10(3) של חוק הבינה המלאכותית של האיחוד האירופי דורש שנתוני האימון יהיו "רלוונטיים, מייצגים, ונקיים משגיאות," והכיסוי הגיאוגרפי שהופך מערך נתונים למייצג הוא לעיתים קרובות בדיוק מה שמיקודים מקודדים. הסר את השדה ואתה נכשל במבחן הייצוגיות של אירופה. השאר אותו ואתה נכשל באילינוי.
אותו שדה נתונים הוא חומר אסור באילינוי וראיה מחייבת בבריסל. אין גרסה של מערך הנתונים שהיא נקייה בשני המקומות בו-זמנית.
אי אפשר לבקר את דרכך החוצה מסתירה בחוק. ביליתי שבועות בבניית כלי כדי לענות על שאלה, והבעיה האמיתית הייתה שלשאלה היו שש תשובות נכונות שונות, ששתיים מהן סותרות זו את זו. זו הייתה נקודת המפנה. המוצר לא היה מנוע ביקורת טוב יותר. המוצר היה הדבר שיושב מעל לביקורות ומיישב ביניהן — ואומר לך בכנות אילו סתירות לא ניתן ליישב, כדי שהיועץ המשפטי הראשי שלך יוכל לקבל החלטת אסטרטגיה משפטית במקום להעמיד פנים שהסתירה אינה קיימת.
החשיפה שאף ביקורת הטיה לא תפסה
ברגע שהפסקתי לנסות לבנות ביקורת אחת, התחלתי לראות את הפערים שהביקורות מעולם לא כיסו. שניים מהם גדולים.
הראשון הוא נגישות, וזהו יקום משפטי בפני עצמו. במרץ 2025, ה-ACLU הגיש תלונה בשם מועמדת חירשת ילידית, "D.K.," בטענה שתהליך ריאיון וידאו מבוסס בינה מלאכותית הפלה אותה לרעה לפי ה-ADA, Title VII, וחוק זכויות האזרח של קולורדו. הסר את החוקים והנזק ברור: מועמדת כשירה סוננה החוצה כי המכונה פשוט לא יכלה לשמוע אותה — ואיש במשאבי אנוש מעולם לא ראה את הדחייה מתרחשת. המציאות הטכנית שמתחת לטענה הזו אכזרית: זיהוי דיבור אוטומטי עדיין מתפקד גרוע בהרבה על דיבור של אנשים עם מוגבלות. מודל Whisper של OpenAI פועל בערך פי שלושה משיעור שגיאת המילים על דיבור רב-לשוני ולא-סטנדרטי, ואפילו הצוות המנצח באתגר Interspeech Speech Accessibility Project Challenge לשנת 2025 — שאומן על יותר מ-400 שעות מלמעלה מ-500 דוברים עם מוגבלויות דיבור — הגיע ל-8.11% שיעור שגיאת מילים על דיבור לקוי, עדיין פי כמה מהמדד הסטנדרטי של אנגלית. ביקורת הטיה הבודקת יחסי השפעה של גזע ומין תעביר בהצלחה כלי שאינו מסוגל באופן שיטתי להבין מועמדת חירשת, כי זו תיאוריה משפטית שונה עם מבחן שונה שכמעט אף אחד לא מריץ. אני מתייחס כעת לבדיקת נגישות כדיסציפלינה נפרדת עם תוצר משלה, כי היא כזו.
השני הוא אבטחה, ולמדתי להעלות אותו לשולחן אחרי McHire. ביוני 2025, החוקרים איאן קרול וסם קארי גילו שפלטפורמת הגיוס של מקדונלד'ס, הבנויה על Paradox.ai, חשפה את הרשומות של כ-64 מיליון מועמדים — שמות, כתובות אימייל, מספרי טלפון, תמלילי ריאיון צ'אטבוט מלאים. שורש הבעיה היה חשבון מנהל בדיקה מ-2019 שבו שם המשתמש והסיסמה היו שניהם 123456, ללא אימות רב-שלבי, בתוספת פגם ב-API שאפשר לכל אחד לעבור על מזהי מועמדים. מערך הציות שלך לא אכפת לו שהחוליה החלשה הייתה חשבון בדיקה נשכח של ספק. חובת ההודעה על פרצה, החשיפה לתביעה ייצוגית, אובדן הבסיס החוקי להמשך עיבוד הנתונים הללו — כל זה נוחת על המעסיק. אחרי אותה חשיפה, מנהל אבטחת המידע (CISO) נמצא ליד השולחן בכל רכישת טכנולוגיית משאבי אנוש, ומכתב SOC 2 גנרי אינו סקירת אבטחה מודעת לבינה מלאכותית.
מדוע אי אפשר פשוט לקנות כלי לזה?
אנשים תמיד שואלים אותי גרסה כלשהי של: אי אפשר פשוט לקנות כלי לזה? ואני מבין את האינסטינקט, כי השוק מלא באפשרויות שנראות אמינות. התשובה הכנה היא לא, וכדאי לדעת מדוע לפני שאתה מוציא כסף.
פלטפורמות הממשל הייעודיות — FairNow, Holistic AI, Credo AI, שגייסה כ-45 מיליון דולר — טובות באמת במה שהן עושות. אך כל אחת מהן מספקת למעשה מתודולוגיה אחת ופועלת על הנתונים שלך; אף אחת מהן אינה יושבת בינך לבין Workday ומחלצת את מה שחוזה הספק האמיתי שלך מגן ואינו מגן עליו. המבקרים העצמאיים כמו DCI ו-ORCAA מפיקים עבודה מצוינת ב-$50,000 עד $200,000 למערכת לשנה, אך זהו תצלום מצב במחזוריות שנתית, לא תשובה קבועה לשישה משטרים נעים. וארבע הגדולות ייקחו בהחלט את ההתקשרות — תמורת $500,000 עד כמה מיליונים — עם צוותי ייעוץ שאינם בונים טכנולוגיה ואינם יכולים להיכנס לפרטים הטכניים של מדוע מודל הסינון שלך מתנהג כפי שהוא מתנהג.
הפער אינו ספק ביקורת חסר. הוא שאף אחד ברשימה המצומצמת שלך אינו יכול לשבת בו-זמנית בין מנהלת משאבי האנוש הראשית, היועץ המשפטי הראשי, מנהל אבטחת המידע, וכל ספק טכנולוגיית משאבי אנוש — ומוכן לומר לך היכן פשוט אי אפשר לספק את דרישות החוק.
מה שבנינו ב-Veriprajna הוא הדבר שחי בפער הזה: פרקטיקה של יישוב בין תחומי שיפוט ובדיקת נאותות של AEDT, הממפה כל כלי שנוגע בגיוס שלך, ומריצה את הביקורת הנכונה עבור כל משטר רגולטורי שאתה כפוף לו במקום ביקורת גנרית אחת, בודקת נגישות ואבטחה כדיסציפלינות נפרדות משלהן, ונותנת ליועץ המשפטי הראשי שלך את מספרי העלויות ואת לוחות הזמנים של ההתדיינות כדי להגן על התקציב מול מנהל הכספים. לא ביטוח שאתה מקווה לעולם לא להשתמש בו — תיעוד שתשמח מאוד להחזיק בו כאשר האכיפה היזומה של ניו יורק, או רשימת הגילוי של Mobley, יבואו לחפש.
120 הימים שמכריעים את זה
הסיבה שאני שומר על ספירה לאחור בנושא אינה דרמה. זה שהלוח שנה אכזרי במיוחד כרגע. המועד האחרון של קולורדו הוא כשנים-עשר שבועות מכאן. חובות הסיכון הגבוה של האיחוד האירופי נוחתות כארבעה שבועות לאחר מכן. עמדת האכיפה של ניו יורק כבר התהפכה. הליך הגילוי של Mobley מפיק את רשימת המעסיקים בזמן שאתה קורא את זה.
מה ששינה את החשיבה שלי, ומה שהייתי רוצה שמנהלת משאבי אנוש ראשית או יועץ משפטי ראשי ייקחו מכל זה, הוא צר וספציפי: המהלך המגונן הישן — לתת לספק להגדיר את הכלי אל מחוץ לתחולה, להריץ ביקורת אחת, ולתייק את המזכר — מעולם לא היה תוכנית ציות. זה היה הימור שאף אחד עם כישורים טכניים לא מסתכל. כולם מסתכלים עכשיו, משישה כיוונים, ושניים מאותם כיוונים חלוקים בשאלה מה בכלל אתה אמור לעשות. העבודה כבר אינה מעבר של ביקורת. היא הכרה, משטר אחר משטר, בדיוק היכן אתה עומד — כולל המקומות שבהם התשובה הכנה היא שהחוק סותר את עצמו ומישהו חייב להחליט לאיזה כיוון לנטות. זה לא כלי שאתה קונה. זהו שיפוט שאתה חייב באמת לעשות את העבודה כדי לזכות בו. אתה יכול לראות כיצד אנו עושים זאת כאן.
