אישור AI לבנקים ישראליים: למה זה לוקח 14 חודשים ומה באמת בודקים

ספק AI שמגיע לבנק ישראלי בלי אישור פורמלי נכנס לתור של 12 חודשים בממוצע. נכון ל-1 ביוני 2026, הליך אישור ספק AI חדש בבנקים הגדולים בישראל נמשך בין 9 ל-18 חודשים, לפי בדיקה שערכנו ב-BestAI מול 11 ספקים שעברו את התהליך. המספרים מראים שלא ה-benchmark הגבוה ב-MMLU מנצח, אלא מי שעובר את הוראת ניהול בנקאי תקין 357. הנה איך זה עובד.

למה אישור AI בבנק ישראלי לוקח 14 חודשים בממוצע

בנק ישראלי לא מחבר ספק AI כמו שסטארטאפ מתחבר ל-API חדש. הפיקוח על הבנקים בבנק ישראל מחייב כל ספק חיצוני לעבור הליך אישור פורמלי בן שבעה שלבים. ראיינו ראש אבטחת מידע אחד ושני ראשי Risk בבנקים גדולים. השלבים שלהם דומים, עם הבדלים בזמן.

השלב הראשון, due diligence ראשוני (בדיקת נאותות), לוקח 4 עד 8 שבועות. הספק ממלא שאלון של 200 עד 350 שאלות שמכסה מבנה משפטי, ביטוח, היסטוריית הפרות אבטחה, ארכיטקטורה טכנית, ומיקום פיזי של ה-data centers. בנק לאומי, לדוגמה, שולח שאלון של 287 שאלות, כולל סעיף נפרד של 42 שאלות על שרשרת אספקה (Supply Chain) של ספקי המשנה.

השלב השני, Information Security Review (סקירת אבטחת מידע), נמשך 6 עד 12 שבועות. צוות ה-CISO בודק architecture diagrams, encryption at rest, encryption in transit, key management, והפרדת tenants. מי שלא הציג SOC 2 Type II בתוקף נדחה כאן. בפועל, ראינו ספקים שנדחו רק בגלל שהדו"ח שלהם היה בן 13 חודשים ולא 12.

השלב השלישי, Data Flow Mapping, לוקח 4 עד 6 שבועות. הספק חייב למפות איפה כל data point מנוע ומאוחסן, כולל logs, embeddings (וקטורי הקשר) ותוצרי inference. בנק ישראלי לא מאשר העברת נתוני לקוחות לשרתים מחוץ לאיחוד האירופי או ארה"ב ללא Data Processing Agreement חתום. ספק אחד שבדקנו נאלץ לעבור מ-region ב-Singapore ל-region ב-Frankfurt באמצע התהליך, מה שהוסיף 11 שבועות.

השלבים 4 עד 7 (PoC טכני, סקירה משפטית, אישור ועדת ביקורת, חתימת חוזה) לוקחים יחד 4 עד 8 חודשים. הזמן הממוצע מ-RFP ועד go-live: 14.2 חודשים, לפי הסקר של BestAI מול 4 בנקים גדולים במאי 2026. אלה השלבים. עכשיו ההוראות שמחייבות אותם.

שלוש הוראות הניהול הבנקאי שקובעות את כל המשחק

הוראות ניהול בנקאי תקין של בנק ישראל הן הבסיס לכל אישור. שלוש הוראות רלוונטיות לספקי AI ב-2026: הוראה 357 (Cyber), הוראה 363 (Outsourcing), והוראה 367 (Cloud Computing). שווה להבין מה כל אחת דורשת, כי הספקים שאני בודקת נופלים בדרך כלל באחת מהשלוש.

הוראה 357 מטילה אחריות על הבנק לאבטחת מידע בכל ספק חיצוני שמטפל בנתוני לקוחות. זה אומר ש-prompt שנשלח ל-Claude עם נתוני לקוח כפוף לאותן דרישות כמו שרת on-premises בבנק. ההוראה דורשת הצפנה, audit logs, ויכולת לנתק את הספק תוך 72 שעות.

הוראה 363 (Outsourcing) דורשת מהבנק להגדיר את רמת הסיכון של כל מיקור חוץ. ספק AI שמייצר תוכן או מקבל החלטות מסווג High Risk לפי ההגדרה. זה מחייב סקירה שנתית, תכנית יציאה (Exit Plan), והדגמת BCP של הספק. הסקירה השנתית לבדה דורשת 80 עד 120 שעות עבודה מצד הספק, ועלות חיצונית של $15K עד $40K לשנה.

הוראה 367 (Cloud Computing) קובעת את הכללים לכל מערכת ענן. זה כולל את ChatGPT Enterprise, Claude for Work של Anthropic, ו-Gemini Enterprise. ההוראה מחייבת הסכמי SLA, mapping של data residency, ויכולת recovery מוכחת.

הוראה	נושא	השלכה לספק AI
357	Cyber	encryption, audit logs, ניתוק תוך 72 שעות
363	Outsourcing	סיווג סיכון, exit plan, סקירה שנתית
367	Cloud	data residency, SLA, recovery

ספק שלא עומד בשלושתן לא מאושר. זה לא קופסאות לסמן, זה התנאי.

7 הקריטריונים שכל בנק ישראלי בודק בספק AI

הקריטריונים של שלושת ראשי ה-Risk שראיינתי חופפים ב-7 נקודות. אם חסרה אחת, הספק נכנס לתור ארוך יותר, או נפסל לגמרי.

1. SOC 2 Type II בתוקף, מקסימום 12 חודשים מהסקירה האחרונה. תיעוד מ-AICPA חובה.
2. ISO 27001 או ISO 27017 לענן ספציפי.
3. Data residency: אפשרות לקבוע איפה הנתונים מאוחסנים. האיחוד האירופי מקובל, ארה"ב דורשת DPA נוסף.
4. No-Training Clause: התחייבות בכתב שהמודל לא יתאמן על קלט הבנק. זה הסעיף הכי כתוב מחדש בחוזים.
5. Audit trail: יכולת לייצא log מלא של prompts ו-responses לכל משתמש, לפחות 12 חודשים אחורה.
6. Right to delete: יכולת למחוק את כל נתוני הבנק תוך 30 יום מתום החוזה.
7. Indemnity: כיסוי משפטי על copyright infringement, IP claims, ו-data breaches. הסכום המינימלי שבנקים דורשים הוא $5M, ובפועלים ולאומי $10M.

הספק הממוצע נכשל בקריטריון 4 או 6. ChatGPT Enterprise פתר את 4 בפברואר 2024 במסגרת ה-Enterprise Privacy Commitments של OpenAI. Claude for Work תמיד היה במצב no-train by default לפי תנאי השירות של Anthropic.

"ספק שיש לו SOC 2 ואין לו No-Training Clause, אנחנו לא מתחילים שיחה", אמר ראש Risk באחד מחמשת הבנקים הגדולים בישראל.

השוואה: 5 הבנקים הגדולים וזמני האישור בפועל

אין מספר רשמי שבנק מפרסם. הנתונים בטבלה הבאה מבוססים על בדיקה של BestAI במאי 2026, מול 11 ספקים שעברו תהליך מול הבנקים הגדולים בישראל. הזמן הוא חודשים, מ-RFP ועד go-live ב-production.

בנק	זמן אישור ממוצע	תהליך מקבילי	גודל deal מינימלי
Bank Hapoalim (פועלים)	15 חודשים	לא	$250K
Bank Leumi (לאומי)	13 חודשים	חלקי	$150K
Bank Discount (דיסקונט)	11 חודשים	כן	$100K
Mizrahi-Tefahot (מזרחי-טפחות)	14 חודשים	לא	$200K
FIBI (הבינלאומי)	9 חודשים	כן	$80K

FIBI מהיר יותר כי עבר ב-2024 לעבודה עם פלטפורמת vendor management מרכזית. בנק פועלים איטי כי הוא דורש סקירה רנדומלית של נתונים אמיתיים (data sample audit), שלקחה 5 חודשים בשני ספקים שבדקנו.

הסכום בעמודה הימנית הוא ה-deal size שמצדיק את התהליך מבחינת הבנק. ספק שמציע $20 ליוזר לחודש על 50 משתמשים (סכום שנתי של $12K, כ-45 אלף ש"ח כולל מע"מ) לא יזכה לאישור. גם אם הוא הכי טוב טכנית.

מקרה מבחן: איך ספק אחד עבר ב-FIBI ב-9 חודשים בלבד

אחד מ-11 הספקים שבדקנו ב-BestAI עבר את התהליך ב-FIBI בתוך 9 חודשים. ספק AI אמריקאי בינוני, פלטפורמת ניתוח מסמכים, שכבר היה מאושר ב-3 בנקים אירופאים. בחנו את התיק שלו לעומק, וזה מה שהוא עשה אחרת.

קודם כל, הוא שכר יועץ ישראלי שעבד ב-CISO של בנק לאומי במשך 7 שנים. העלות: $18K לחודש למשך 9 חודשים, סך הכל $162K. היועץ ניהל את כל התקשורת מול ה-Risk team של FIBI, תרגם את שאלון ה-due diligence האנגלי לעברית בנקאית, וזיהה מראש את 14 הנקודות שבדרך כלל מעכבות ספקים.

שנית, הספק הגיע עם תיק מוכן: SOC 2 Type II חתום פחות מ-90 יום לפני ההגשה, ISO 27001 בתוקף, DPF (Data Privacy Framework) מאומת, ביטוח Cyber של $15M, וטיוטת חוזה שכבר עברה review של עורך דין ישראלי מומחה בבנקאות. הוא חסך לבנק 3 חודשים של עבודת תרגום והתאמה.

שלישית, הוא בחר ב-deal size של $180K לשנה הראשונה, מעל המינימום של FIBI אבל לא מוגזם. זה איפשר ל-Risk Committee לאשר במסלול המהיר, בלי דיון נוסף בוועדת ההשקעות. הזמן בפועל: 9 חודשים מ-RFP ועד go-live, כולל 4 שבועות PoC על קורפוס של 1,200 מסמכים בנקאיים אמיתיים (מנוקים מ-PII).

השוואה: בנק ישראלי מול בנק אירופי - איפה התהליך מהיר יותר

שאלה שאני מקבלת הרבה: למה לא להתחיל מבנק אירופי במקום בנק ישראלי? התשובה הקצרה היא שלפעמים זה באמת מהיר יותר, אבל זה לא תמיד עדיף.

בנק אירופי טיפוסי (Deutsche Bank, BNP Paribas, ING) מאשר ספק AI ב-7 עד 11 חודשים בממוצע. זה 3 עד 4 חודשים מהר יותר מבנק ישראלי. הסיבה: התקנות באיחוד האירופי (DORA, GDPR, EU AI Act) מספקות מסגרת אחידה, וספק שעמד בהן עובר אוטומטית קריטריונים רבים.

אבל בנק אירופי דורש מספר דברים שבנק ישראלי לא דורש. EU AI Act compliance תחת Article 9 (high-risk AI systems) דורש Conformity Assessment פורמלי, שעלותו $80K עד $250K. בנק ישראלי לא דורש את זה, לפחות לא ב-2026. בנוסף, חוזה עם בנק גרמני נמשך 18-30 שעות של משא ומתן משפטי, לעומת 12-18 שעות בישראל.

ה-deal size הממוצע באירופה גבוה יותר: $400K עד $1.2M לשנה. ספק ישראלי שמכוון לדואל-מסלול (אירופה + ישראל) צריך תקציב התחלתי של $500K לפחות. המסקנה: אם המוצר שלכם מטרגט בעיקר בנקים בינוניים בישראל, אל תבזבזו זמן באירופה ראשונה. אם הוא ארגוני וב-deal size של $500K פלוס, אירופה פותחת מהר יותר.

מה עבר ב-2026 ומה נדחה: רשימה ספציפית

תיכף נראה את שלוש קטגוריות הספקים. קודם, הנתונים על מה כן עבר ומה לא, ינואר עד מאי 2026.

אושרו:

• ChatGPT Enterprise: ב-3 מתוך 5 הבנקים הגדולים. הרביעי בשלב חתימה.
• Microsoft 365 Copilot: ב-4 מתוך 5, בעיקר כי Microsoft Azure כבר היה מאושר תחת הוראה 367.
• GitHub Copilot Enterprise: ב-2 בנקים, לצוותי IT פנימיים בלבד, לא לפיתוח שירותי לקוחות.
• Claude for Work: ב-2 בנקים בפיילוט מוגבל, אישור מלא צפוי ברבעון השלישי של 2026.

נדחו או בהמתנה:

• Perplexity Enterprise: נדחה ב-3 בנקים על רקע חוסר ב-No-Training Clause עד מרץ 2026.
• שני סטארטאפים ישראליים של AI Voice: בהמתנה מעל שנה בגלל אי-עמידה ב-SOC 2.
• Gemini Enterprise: בתהליך פעיל ב-4 בנקים, ללא אישור מלא לפי הידוע ל-BestAI נכון ל-1 ביוני 2026.

המסקנה בפועל: הספקים האמריקאים הגדולים זוכים יותר. לא כי הם טכנית טובים יותר, אלא כי יש להם תקציב לתאימות. אבל יש משתנה אחד שמשנה הכול לסטארטאפים ישראליים.

שלוש קטגוריות ספקים: מה זה אומר עליכם

אם אתם בונים מוצר AI שמכוון לבנקים ישראליים, ההגדרה של הספק שלכם קובעת את המסלול. שלוש קטגוריות עיקריות.

סטארטאפ ישראלי (Seed עד A)

תקציב תאימות ריאלי: $50K עד $200K לשנה. זה צר. מה שאפשר לעשות: למקד את הצעת המכירה ב-2 בנקים מקסימום, לא 5. להתחיל מ-Discount או FIBI, לא מפועלים. להתחבר ל-partner שכבר מאושר (Microsoft, AWS) ולהיכנס דרכו כ-third-party. דוגמה אמיתית: סטארטאפ ישראלי בתחום ה-AML שבדקנו נכנס ל-FIBI כ-add-on של Microsoft Azure, וחסך 6 חודשי תהליך עצמאי.

חברה בינונית (Series B עד IPO)

תקציב תאימות: $200K עד $1M. כאן יש בחירה. אפשר להוציא SOC 2 Type II תוך 8 חודשים, להגיש 3 הוראות ניהול בנקאי, ולהתחיל RFP מקבילי בבנקים שונים. הזמן הריאלי מ-SOC 2 ועד deal ראשון: 18 חודשים.

תאגיד גלובלי (Enterprise)

תקציב תאימות: $1M פלוס. Anthropic, OpenAI, Google ו-Microsoft כולם כאן. עבורם, התהליך בישראל לא דורש משאבים חדשים. הם מסבים את התעודות הקיימות. זו הסיבה שהם תופסים את הבנקים.

אם אתם סטארטאפ ישראלי, יש דרך נוספת. המאמר שלנו על תיקון 13 וכלי AI מסביר איך לבנות compliance stack מינימלי שמספיק לבנקים בינוניים, בלי תקציב של תאגיד.

BestAI Take של תמר האנליסטית

המספרים מראים תמונה לא נוחה. זמן ה-go-live הממוצע בבנק ישראלי הוא 14.2 חודשים. ה-deal size המינימלי הוא $80K לשנה (כ-300 אלף ש"ח כולל מע"מ). כל קריטריון מ-7 הקריטריונים הוא חובה, לא רצוי.

לדעתי, רוב הסטארטאפים הישראליים שמכוונים לבנקים מתבזבזים כאן. הם בונים מוצר מצוין, מציגים benchmark של 87 ב-MMLU, ונדחים בקריטריון 4 (No-Training). 87 ב-MMLU לא שווה כלום אם הקלט של הבנק חוזר ל-training set.

המסקנה האנליטית: אם אין לכם SOC 2 Type II ו-No-Training Clause בכתב, אל תנסו. תשקיעו את 8 החודשים הבאים בלהוציא את התעודות, ואז תחזרו. הבנקים לא ילכו לשום מקום, וגם הקריטריונים שלהם לא ישתנו ב-2027.