רגולציה לסוכן AI שמוכר בישראל: חוק הספאם, פרטיות וחובת גילוי

רגולציה לסוכן AI שמוכר בישראל נשענת על דינים קיימים, לא על חוק AI ייעודי: חוק הספאם קובע מתי מותר לפנות ללקוח ביוזמתכם, תיקון 13 לחוק הגנת הפרטיות קובע מה מותר לעשות במידע שנשמר, וחוק הגנת הצרכן חל כשעסקה נסגרת מרחוק. חוק AI מחייב עוד אין, אבל הכיוון ברור: שקיפות, ולומר ללקוח שהוא מדבר עם מערכת אוטומטית.

ככל שיותר עסקים מפעילים סוכני AI שמנהלים שיחות מכירה, עונים, פונים, סוגרים, עולה שאלה שמעטים עוצרים לשאול: מה מותר, ומה חושף אותנו? הרגולציה בתחום הזה לא "עתידית". היא כבר כאן. המאמר הזה עושה סדר: מה החוק דורש מסוכן AI שמוכר בישראל, מה עדיין פתוח, ואיך עושים את זה נכון.

הבהרה חשובה לפני הכול: זהו הסבר חינוכי, לא ייעוץ משפטי. הדינים מורכבים ומתעדכנים, ולכל עסק כדאי להיוועץ בעורך דין לגבי המצב הספציפי שלו. המצב המתואר כאן נכון ל-4 באוקטובר 2026.

חוק הספאם, בקצרה

אם הסוכן פונה ללקוחות ביוזמתו, ולא רק עונה למי שכתב, הדין הראשון שצריך להכיר הוא סעיף 30א לחוק התקשורת, שנוסף בתיקון 40 (ספר החוקים 2153, 2008): אסור לשלוח "דבר פרסומת" בהודעה אלקטרונית או במסר קצר בלי הסכמה מפורשת מראש של הנמען, וכל הודעת פרסומת צריכה להזדהות ולאפשר סירוב. מענה למי שפנה ראשון הוא סיפור אחר, כי את השיחה פתח הלקוח. פנייה יזומה בוואטסאפ כפופה גם לכללים של הממשק הרשמי של וואטסאפ, כמו תבניות מאושרות וחלון של 24 שעות. מה נחשב הסכמה, מה מותר ללקוח קיים, וכמה בתי משפט פוסקים בפועל על הודעות בוואטסאפ, במאמר על חוק הספאם בוואטסאפ.

פרטיות: תיקון 13 לחוק הגנת הפרטיות

סוכן AI ששומר שיחות, לידים ופרטי לקוחות מנהל, מבחינת החוק, מאגר מידע, וזה מפעיל את חוק הגנת הפרטיות. ובאוגוסט 2025 החוק הזה עבר את השינוי הגדול ביותר שלו מזה עשורים.

תיקון 13 לחוק הגנת הפרטיות אושר בכנסת ב-5 באוגוסט 2024, פורסם ברשומות (ספר החוקים 3287) ונכנס לתוקף ב-14 באוגוסט 2025. לפי המדריך של הרשות להגנת הפרטיות, הוא משנה כמה דברים מהותיים לעסק שמפעיל סוכן שיחתי:

• רישום מאגרים במגזר הפרטי בוטל כמעט לחלוטין, אבל החובות המהותיות נשארו. גם בלי חובת רישום, צריך לעמוד בכל השאר.
• הודעת יידוע בעת איסוף המידע. כשהסוכן אוסף פרטים מהלקוח, צריך לומר לו, לפי סעיף 11, לאיזו מטרה, האם יש חובה חוקית למסור את המידע או שהמסירה מרצון, מה התוצאה של סירוב, למי המידע יימסר, ומה זכויותיו לעיין בו ולתקן אותו.
• אבטחת מידע. תקנות הגנת הפרטיות (אבטחת מידע) מ-2017 ממשיכות לחול: נוהל אבטחה, בקרות גישה, תיעוד, וטיפול באירועי אבטחה.
• ממונה על הגנת הפרטיות. נדרש, בין היתר, כשעיקר הפעילות הוא ניטור שוטף ושיטתי בהיקף ניכר, או עיבוד של מידע בעל רגישות מיוחדת בהיקף ניכר.

האכיפה התחזקה מאוד. לפי מדריך הרשות, התיקון מאפשר לה להטיל עיצומים כספיים שיכולים להגיע למיליוני שקלים בגין הפרה. לצד זה החוק מאפשר לבית המשפט לפסוק פיצוי לדוגמה של עד ₪10,000 בלי הוכחת נזק, על רשימה מוגדרת של הפרות (סעיף 15א). בקצרה: מאגר של שיחות מכירה הוא לא "רק דאטה". הוא נכס משפטי שצריך לנהל באחריות.

חובת גילוי שמדובר ב-AI, מה המצב

זו השאלה שהכי הרבה אנשים שואלים: האם חייבים לומר ללקוח שהוא מדבר עם AI? התשובה, נכון לאוקטובר 2026, מדויקת ומעניינת.

בישראל אין עדיין חוק מחייב שדורש במפורש לגלות שהאינטראקציה מנוהלת על ידי מערכת AI. ישראל בחרה ב"אסדרה רכה": מסמך עקרונות המדיניות, הרגולציה והאתיקה בתחום הבינה המלאכותית של משרד החדשנות ומשרד המשפטים (דצמבר 2023) קובע שהרגולציה "תיעשה באופן ענפי ולא רוחבי", כלומר דרך הרגולטורים של כל תחום, בלי חוק AI אחד שחל על כולם.

הדבר הקרוב ביותר לחובת גילוי הוא טיוטת הנחיה של הרשות להגנת הפרטיות מאפריל 2025. לפיה, כשמי שמשוחח עם אדם אינו בן אנוש אלא מערכת אוטומטית מבוססת בינה מלאכותית, יש ליידע אותו על כך, ככל שלעובדה הזאת עשויה להיות השפעה מהותית על ההסכמה שהוא נותן. אבל, וזה חשוב, זו טיוטה. נכון לאוקטובר 2026 לא פורסם נוסח סופי, ואי אפשר להתייחס אליה כחובה קיימת. היא אינדיקציה לכיוון, לא דין.

בעולם, לעומת זאת, הכיוון כבר מחייב. חוק ה-AI האירופי (Regulation (EU) 2024/1689) קובע בסעיף 50(1) שמערכות שנועדו לתקשר ישירות עם בני אדם צריכות להבטיח שהאדם יידע שהוא מתקשר עם מערכת AI, אלא אם זה מובן מאליו. החובה חלה מ-2 באוגוסט 2026, והעדכון לחוק שנכנס לתוקף ביולי 2026 לא שינה אותה. הפרה חשופה לקנס של עד 15 מיליון אירו או 3% מהמחזור העולמי, הגבוה מביניהם (לעסקים קטנים ובינוניים, הנמוך מביניהם). עסק ישראלי שמשרת לקוחות באיחוד האירופי כפוף לכך.

בארה"ב התמונה משתנה ממדינה למדינה. חוק ה-BOT של קליפורניה, בתוקף מיולי 2019, אוסר להשתמש בבוט כדי להטעות אדם לגבי זהותו המלאכותית במטרה לעודד רכישה, ומי שמגלה בצורה ברורה שמדובר בבוט לא חשוף לאיסור. ביוטה, מאז מאי 2025, עסק צריך לגלות שהלקוח מדבר עם AI גנרטיבי כשהלקוח מבקש זאת במפורש, ומקצועות מפוקחים צריכים לגלות זאת מראש באינטראקציות רגישות.

וכאן הזווית שלנו. ב-Upperfloor אנחנו לא טוענים שאי אפשר לזהות שזה AI, ולא מוכרים "בוט בלתי-ניתן-לזיהוי". אנחנו בונים סוכן שמנהל שיחה טבעית ואנושית, משאיר תמיד מסלול לאדם, וכל שיחה שלו נמדדת מול הסטנדרט של העסק. העמדה הזאת לא רק נכונה ערכית; היא גם מקדימה את החוק. בזמן שהרגולציה בעולם נעה לכיוון חובת שקיפות, מי שבנה על יושרה מלכתחילה כבר נמצא בצד הנכון.

סגירה וסליקה בשיחה, הגנת הצרכן

עוד שכבה, למי שהסוכן שלו סוגר וגובה תשלום בשיחה. עסקה כזאת היא "עסקת מכר מרחוק" לפי חוק הגנת הצרכן (סעיף 14ג), ומפעילה חובות משלה:

• זיהוי העוסק: שם, מספר זהות או ח"פ, וכתובת, לצד פרטי המוצר, המחיר הכולל ותנאי הביטול.
• זכות ביטול: בעסקת מכר מרחוק הצרכן רשאי לבטל בתוך 14 יום, בתנאים שבחוק. לאנשים עם מוגבלות, לאזרחים ותיקים ולעולים חדשים התקופה ארוכה יותר, עד ארבעה חודשים, "ובלבד שההתקשרות בעסקה כללה שיחה בין העוסק לצרכן, ובכלל זה שיחה באמצעות תקשורת אלקטרונית" (סעיף 14ג1(ג)).

כלומר, כשהסוכן סוגר עסקה, הוא לא רק "מבצע מכירה". הוא נכנס למרחב של חובות גילוי צרכני, ומערכת שבנויה נכון כוללת את הגילויים האלה בזרימת הסגירה.

איך עושים את זה נכון

אם לתמצת את כל הרגולציה למעשי, זה נראה כך:

1. הסכמה אמיתית לפני פנייה יזומה: הסכמה ברורה וייעודית, לא סעיף בתנאי השימוש.
2. זיהוי והסרה בכל הודעת פרסומת: "פרסומת", שם המפרסם, ודרך פשוטה להסיר.
3. הודעת יידוע בעת איסוף המידע, ועמידה בתקנות אבטחת המידע.
4. מסלול לאדם וגילוי הוגן, לא הסוואה, בהתאם לכיוון הרגולטורי בארץ ובעולם.
5. גילוי צרכני בסגירה: זהות העוסק וזכות הביטול.

הרשימה הזאת נראית ארוכה, אבל שימו לב: כמעט כל סעיף בה הוא מה שמערך מכירות מנוהל עושה ממילא כשהוא בנוי נכון, הסכמה, זהות ברורה, מסלול לאדם, ותיעוד מסודר. הרגולציה לא מתנגשת עם ניהול טוב; היא, במידה רבה, ההגדרה שלו. האחריות המשפטית תמיד נשארת אצל העסק, אבל מערכת שבנויה עם הכללים האלה מלכתחילה הופכת את "לעשות את זה נכון" מנטל למובנה.

שאלות נפוצות

האם יש בישראל חוק שמסדיר סוכני AI? לא. נכון לאוקטובר 2026 אין בישראל חוק AI רוחבי. מסמך העקרונות של משרד החדשנות ומשרד המשפטים מדצמבר 2023 קובע שהרגולציה תיעשה באופן ענפי, דרך הרגולטור של כל תחום. סוכן AI שמוכר כפוף בפועל לדינים קיימים: חוק הספאם, חוק הגנת הפרטיות וחוק הגנת הצרכן.

האם חובה לגלות ללקוח שהוא מדבר עם AI? בישראל אין עדיין חוק מחייב שדורש זאת במפורש. טיוטת הנחיה של הרשות להגנת הפרטיות מאפריל 2025 נוטה לכיוון הזה, אבל נכון לאוקטובר 2026 היא עדיין טיוטה. בחוק ה-AI האירופי, לעומת זאת, מ-2 באוגוסט 2026 מערכת שמתקשרת ישירות עם אנשים צריכה ליידע שמדובר ב-AI, אלא אם זה מובן מאליו.

סוכן AI ששומר שיחות עם לקוחות, מה חובות הפרטיות? מאגר שיחות ולידים כפוף לחוק הגנת הפרטיות. אחרי תיקון 13, בתוקף מ-14.8.2025, חובה למסור ללקוח הודעת יידוע בעת איסוף המידע, לעמוד בתקנות אבטחת המידע, ובמקרים מסוימים, כמו עיבוד מידע רגיש בהיקף ניכר, למנות ממונה על הגנת הפרטיות. הפרות חשופות לעיצומים כספיים.

עסקה שנסגרת בשיחה עם סוכן AI נחשבת עסקת מכר מרחוק? כן, עסקה שנסגרת בלי שהצדדים נפגשים היא עסקת מכר מרחוק לפי סעיף 14ג לחוק הגנת הצרכן. העוסק צריך למסור את זהותו, את המחיר הכולל ואת תנאי הביטול, והצרכן רשאי לבטל בתוך 14 יום, בתנאים שבחוק. לאנשים עם מוגבלות, לאזרחים ותיקים ולעולים חדשים התקופה ארוכה יותר כשההתקשרות כללה שיחה.

אם אתם מפעילים, או שוקלים להפעיל, סוכן AI שמדבר עם לקוחות.