המתחרות מתאחדות: OpenAI, גוגל ואנתרופיק מקימות גוף תקינה משותף לבטיחות AI

OpenAI, גוגל ואנתרופיק מתכננות להשיק גוף תקינה לבטיחות AI עד סוף השנה או תחילת השנה הבאה, כך על פי דיווח של The Information שצוטט ב-PYMNTS. מדובר בשיתוף פעולה נדיר בין מתחרות ישירות, שעשוי להגדיר את כללי המשחק לכל מי שבונה מערכות בינה מלאכותית. במאמר הזה נפרק מה ידוע על המהלך, מה גוף כזה צפוי להגדיר בפועל, ואיך כדאי לצוותי פיתוח ומוצר, כולל בישראל, להיערך כבר עכשיו.

מה הוכרז בפועל ולמה זה מהלך חריג בשוק ה-AI

לפי הדיווח, שלוש החברות שמפתחות את המודלים המובילים בעולם, GPT של OpenAI, Gemini של גוגל ו-Claude של אנתרופיק, מתכננות להקים גוף תקנים ייעודי לבינה מלאכותית, עם השקה מתוכננת עד סוף השנה או תחילת השנה הבאה. הפרטים המלאים על מבנה הגוף, סמכויותיו ומנגנוני האכיפה שלו טרם פורסמו, וזה כשלעצמו נתון חשוב: יש הבדל מהותי בין פורום המלצות וולונטרי לבין גוף שמנפיק תקנים עם תהליכי הסמכה ובדיקה.

החריגות של המהלך ברורה למי שעוקב אחרי השוק. שלוש החברות מתחרות ראש בראש על אותם לקוחות ארגוניים, על אותם מפתחים ועל אותו כישרון הנדסי. הן משקיעות עשרות מיליארדי דולרים בתשתיות אימון ומריצות מרוץ חימוש על יכולות מודל. כשמתחרות בסדר גודל כזה בוחרות לשבת יחד סביב שולחן התקינה, המסר הוא שהן מזהות סיכון משותף שגדול מהתחרות ביניהן: ואקום רגולטורי שעלול להתמלא בחקיקה מפוצלת, לא עקבית ויקרה ליישום.

חשוב להזכיר שזה לא הניסיון הראשון לשיתוף פעולה בתחום. ב-2023 הקימו OpenAI, אנתרופיק, גוגל ומיקרוסופט את Frontier Model Forum, פורום שמתמקד במחקר בטיחות של מודלי חזית. גוף תקינה פורמלי הוא צעד משמעותי קדימה, כי תקן, בניגוד למחקר, אמור להיות דבר שאפשר להיבדק מולו ולהיכשל בו.

למה דווקא עכשיו: הרקע הרגולטורי שדוחף להקמת גוף תקינה לבטיחות AI

העיתוי אינו מקרי: החברות פועלות בסביבה רגולטורית שהולכת ומתפצלת, וגוף תקינה משותף הוא ניסיון להציע נקודת ייחוס אחת לפני שכל שוק ימציא כללים משלו. באיחוד האירופי, ה-AI Act נכנס לתוקף בשלבים, עם דרישות מחמירות למערכות בסיכון גבוה ולמודלים בעלי שימוש כללי. בארצות הברית התמונה מפוצלת בין מדינות, כשקליפורניה ומדינות נוספות מקדמות חקיקה עצמאית, ובמקביל קיימות מסגרות וולונטריות כמו NIST AI Risk Management Framework.

מנקודת המבט של החברות, פיצול רגולטורי הוא בעיה הנדסית ולא רק משפטית. כל דרישת ציות שונה מתורגמת לענפי קוד נפרדים, למדיניות סינון תוכן שונה לפי אזור גיאוגרפי ולמערכי בדיקות כפולים. תקן אחד מוסכם, גם אם מחמיר, זול יותר לתחזוקה מעשרה תקנים סותרים. זו אותה לוגיקה שהובילה בזמנו לתקני אבטחת מידע כמו SOC 2 ו-ISO 27001: השוק העדיף שפה משותפת אחת על פני שאלוני אבטחה נפרדים מכל לקוח.

יש כאן גם אינטרס אסטרטגי גלוי: מי שכותב את התקן משפיע על תוכנו. אם הגוף החדש יהפוך לנקודת הייחוס שרגולטורים מאמצים, שלוש החברות יעצבו את הדרישות שהן עצמן, ומתחרותיהן, יצטרכו לעמוד בהן.

מה גוף תקנים לבינה מלאכותית צפוי להגדיר בפועל

על בסיס תקנים קיימים בתחום, כמו ISO/IEC 42001 לניהול מערכות AI ומסגרת NIST, אפשר להעריך אילו תחומים גוף כזה יכסה, גם אם הפרטים הרשמיים טרם פורסמו. הליבה הצפויה היא סטנדרטיזציה של תהליכי הערכה ובקרה שכיום כל חברה מבצעת בשיטה משלה.

תחומי התקינה המרכזיים שסביר שיכוסו

• הערכות יכולת וסיכון (Evaluations): פרוטוקולים אחידים לבדיקת מודלים לפני שחרור, כולל בדיקות ליכולות מסוכנות כמו סיוע לפיתוח נשק או תקיפות סייבר.
• Red Teaming מובנה: מתודולוגיה מוסכמת לתקיפה יזומה של מודלים, במקום התהליכים הפנימיים הנפרדים שכל חברה מנהלת היום.
• שקיפות ותיעוד: פורמט אחיד ל-Model Cards ול-System Cards, המסמכים שמתארים יכולות, מגבלות ונתוני אימון של מודל.
• סימון תוכן מסונתז: תקנים לזיהוי וסימון תוכן שנוצר על ידי AI, בדומה ליוזמת C2PA לאימות מקור תוכן.
• דיווח אירועים: מנגנון משותף לדיווח על כשלי בטיחות, מקביל ל-CVE בעולם אבטחת המידע.

ISO/IEC 42001

תקן בינלאומי לניהול מערכות AI בארגון - הבסיס הסביר ביותר לכל תקן עתידי בתחום.

NIST AI RMF

מסגרת וולונטרית אמריקאית לניהול סיכוני בינה מלאכותית, מקבילה לתקני NIST שאומצו בעולם הסייבר.

Red Teaming

תקיפה יזומה ומכוונת של מודל כדי לחשוף חולשות בטיחות, לפני שמישהו זדוני ימצא אותן.

Model Card

מסמך שמתאר את יכולות המודל, מגבלותיו ונתוני האימון שלו - מועמד טבעי לפורמט אחיד.

C2PA

יוזמה קיימת לאימות מקור תוכן, שמשמשת השראה לתקני זיהוי וסימון של תוכן שנוצר על ידי AI.

Evals

מערכי הערכה שיטתיים לבדיקת יכולות וסיכונים של מודל, לפני שחרור ואחרי כל שינוי.

מנקודת מבט של בונה מוצר, הסעיף הקריטי הוא הראשון. כיום, אם אתם בונים מערכת מבוססת LLM ורוצים להוכיח ללקוח ארגוני שהיא בטוחה, אין לכם benchmark מוסכם להצביע עליו. כל ספק מודל מפרסם תוצאות על מערכי הערכה שונים, בתנאים שונים. תקן משותף עשוי לייצר לראשונה בסיס השוואה אמיתי.

Google, OpenAI and Anthropic are moving ahead with plans for an AI safety standards body without government oversight.

The group could launch by year-end or early 2027 and would set rules for model testing, audits and incident reporting.

Read more: https://t.co/DSp8SppyjD

— The Information (@theinformation) 25 בספטמבר 2026

מה המשמעות למי שבונה מוצרי AI בפרודקשן

ההשלכה המעשית המרכזית היא שדרישות בטיחות צפויות לזלוג במורד שרשרת האספקה: מהספקיות אל כל מי שבונה עליהן. אם אתם מפתחים אפליקציה מעל API של OpenAI או Anthropic, סביר שתנאי השימוש והדרישות הטכניות יתעדכנו כך שישקפו את התקן החדש, בדיוק כפי שדרישות GDPR זלגו מהעננים הציבוריים אל כל לקוחותיהם.

בפועל, כדאי להיערך לכמה שינויים ארכיטקטוניים. ראשית, לוגים ועקיבות (Traceability): תקני בטיחות כמעט תמיד דורשים יכולת לשחזר איזה מודל, באיזו גרסה ועם איזה prompt ייצר פלט נתון. אם המערכת שלכם לא שומרת model version ו-request ID לצד כל תשובה שנשלחה למשתמש, זה חוב טכני שכדאי לסגור עכשיו. שנית, שכבת הערכה עצמאית: מערכי evals פנימיים שרצים ב-CI על כל שינוי prompt או החלפת מודל יהפכו מ-best practice להמלצה מחייבת, וסביר שתקן יגדיר להם מבנה מינימלי.

שלישית, הפרדת שכבת המודל מהלוגיקה העסקית. אם תקן חדש יחייב מעבר לגרסת מודל מוסמכת או יפסול גרסה קיימת, ארכיטקטורה שבה המודל הוא dependency מוחלף מאחורי ממשק אחיד תחסוך לכם שכתוב. מי שקשר את הלוגיקה שלו ישירות ל-API ספציפי ולהתנהגות של גרסה ספציפית ישלם על כך במעברים כאלה.

איך תקינה גלובלית תשפיע על חברות AI ישראליות

לחברות ישראליות שמוכרות לשוק הגלובלי, תקן משותף הוא בעיקר הזדמנות: הוא מחליף עשרות שאלוני ציות שונים בנקודת ייחוס אחת. כיום, סטארטאפ ישראלי שמוכר מוצר מבוסס AI לבנק אמריקאי, לחברת תרופות אירופית וללקוח יפני נדרש לענות על שלושה עולמות דרישות שונים. תקן שמגובה על ידי שלוש ספקיות המודלים הגדולות צפוי להפוך לשפה המשותפת שרוכשים ארגוניים ידרשו, בדומה למה שקרה עם SOC 2 בעולם ה-SaaS.

הצד השני של המטבע הוא רף כניסה גבוה יותר. עמידה בתקן דורשת תיעוד, תהליכי בדיקה ולעיתים ביקורת חיצונית, וכל אלה עולים כסף וזמן הנדסי. סטארטאפים בשלב מוקדם יצטרכו להחליט מתי להשקיע בציות: מוקדם מדי וזה מאט את הפיתוח, מאוחר מדי וזה חוסם עסקאות אנטרפרייז. הניסיון מעולם אבטחת המידע מלמד שהנקודה הנכונה היא בדרך כלל רגע לפני המכירה הארגונית הראשונה, ושבניית התשתית, לוגים, בקרות גישה, תיעוד, זולה פי כמה כשעושים אותה מההתחלה.

יתרון ישראלי ספציפי: לאקוסיסטם המקומי יש ניסיון עמוק בציות אבטחתי מעולם הסייבר. חברות שכבר מחזיקות תהליכי SOC 2 ו-ISO 27001 ימצאו שחלק ניכר מהתשתית הארגונית, ניהול סיכונים, תיעוד ובקרות, ניתן להרחבה לתחום ה-AI.

הביקורת: תקינה עצמית או קביעת חסמים למתחרים

הביקורת המרכזית על המהלך היא שגוף תקינה שמוקם על ידי שלוש החברות הדומיננטיות בשוק עלול לשרת את האינטרסים שלהן יותר מאשר את הציבור. תקנים מחמירים שדורשים תשתיות הערכה יקרות הם חסם כניסה טבעי: OpenAI וגוגל יכולות לממן צוותי בטיחות של מאות אנשים, סטארטאפ מודלים צעיר או פרויקט קוד פתוח לא בהכרח.

שאלה פתוחה נוספת היא מעמדם של שחקנים שאינם בשולחן: מטא עם משפחת Llama בקוד פתוח, מיסטרל האירופית, xAI, וחברות סיניות כמו DeepSeek שמודליהן זמינים גלובלית. תקן שמכסה רק חלק מהשוק יוצר מגרש לא אחיד, ותקן שמנוסח סביב מודל עסקי של API סגור עלול להקשות מבנית על אקוסיסטם הקוד הפתוח, שבו אין ישות אחת ששולטת בפריסה של המודל.

מנגד, יש טיעון פרגמטי חזק: תקינה שמובלת על ידי מי שמבין את הטכנולוגיה לעומק עדיפה על חקיקה שנכתבת בלי הבנה טכנית. התוצאה הסבירה היא מודל היברידי, שבו הגוף החדש מייצר את התשתית הטכנית ורגולטורים מאמצים ממנה חלקים, כפי שקרה עם תקני NIST בעולם הסייבר. השאלה שתקבע את אמינות הגוף היא מי עוד יצורף אליו: אקדמיה, גופי מחקר עצמאיים ונציגות למפתחים קטנים.

איך להיערך כבר עכשיו: צעדים מעשיים לצוותי פיתוח ומוצר

ההיערכות הנכונה אינה להמתין לפרסום התקן אלא ליישר קו עם המסגרות הקיימות, שכמעט בוודאות ישמשו בסיס לכל תקן עתידי. אלה הצעדים שאנחנו ממליצים עליהם לפי סדר עדיפות:

1. מפו את שרשרת ה-AI שלכם: אילו מודלים, גרסאות וספקים נמצאים בשימוש בפרודקשן, ומה התלות של כל פיצ'ר בכל אחד מהם.
2. הטמיעו עקיבות מלאה: שמרו לכל קריאת מודל את הגרסה, הפרמטרים וה-system prompt, עם retention policy מוגדרת.
3. בנו מערך evals אוטומטי: סט בדיקות שרץ על כל שינוי, כולל בדיקות רגרסיה לבטיחות ולא רק לאיכות.
4. הכירו את ISO/IEC 42001 ואת מסגרת NIST AI RMF: גם בלי הסמכה פורמלית, מבנה הבקרות שלהם הוא תרגול מצוין לקראת כל תקן עתידי.
5. הגדירו בעלות ארגונית: מי אחראי על ציות AI בחברה. בלי owner מוגדר, שום דרישה לא תיושם בזמן.

הצעדים האלה נכונים בפני עצמם, גם אם הגוף החדש לא יתרומם: הם משפרים אמינות מוצר, מקצרים מחזורי מכירה לארגונים ומקטינים סיכון תפעולי.

מבט קדימה: מה לעקוב אחריו בחודשים הקרובים

שלושה סימנים יגידו לנו אם מדובר במהלך משמעותי או ביחסי ציבור: הרכב החברות והגופים שיצורפו מעבר לשלוש המייסדות, קיומו של מנגנון בדיקה או הסמכה עצמאי, והיחס של רגולטורים באירופה ובארצות הברית לתקנים שיפורסמו. אם האיחוד האירופי יכיר בתקני הגוף כדרך לעמידה בחלק מדרישות ה-AI Act, זו תהיה נקודת המפנה שתהפוך אותו מסטנדרט וולונטרי לדרישת שוק בפועל.

למי שבונה קריירה או מוצר בתחום, זה הזמן להעמיק בהבנת בטיחות ותקינה של מערכות AI, תחום שהופך ממומחיות נישתית לדרישת ליבה. תוכלו למצוא קורסי בינה מלאכותית מעשיים לבניית מערכות AI שמכסים גם היבטי הערכה ובטיחות, ולהמשיך לעקוב אחרי הסיקור השוטף של חדשות ומגמות AI במגזין, שם נעדכן ברגע שהפרטים הרשמיים על הגוף החדש יתפרסמו.