Wypadek zagraniczny - co robić? Pobierz darmowy poradnik
Sztuczna inteligencja coraz częściej wspiera codzienne funkcjonowanie przedsiębiorstw - od automatyzacji obsługi klienta i analizy danych, przez procesy rekrutacyjne, aż po tworzenie treści i podejmowanie decyzji biznesowych. Wraz z rozwojem tych technologii pojawiają się jednak nowe obowiązki prawne dotyczące ich stosowania.
AI Act to unijne ramy prawne określające zasady rozwoju, udostępniania i wykorzystywania systemów sztucznej inteligencji. Zakres wymagań dla przedsiębiorstw zależy między innymi od roli jaką przedsiębiorstwo pełni, przeznaczenia systemu oraz poziomu ryzyka związanego z jego zastosowaniem.
Oferujemy doradztwo prawne w zakresie regulacji AI Act, obejmujące między innymi analizę obowiązków przedsiębiorstwa, audyt wykorzystywanych rozwiązań, przygotowanie polityki korzystania z AI oraz wsparcie przy wdrażaniu wymaganych procedur. Pomagamy uporządkować prawne aspekty wykorzystania sztucznej inteligencji i dostosować wewnętrzne zasady do charakteru prowadzonej działalności.
Umów konsultację dotyczącą AI Act
AI Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, nazywane w polskiej wersji aktem w sprawie sztucznej inteligencji, ustanawia wspólne zasady dotyczące systemów AI na rynku Unii Europejskiej.
Regulacja obejmuje nie tylko podmioty opracowujące i sprzedające rozwiązania oparte na sztucznej inteligencji. Określone obowiązki mogą dotyczyć także przedsiębiorstw, które wykorzystują takie narzędzia w działalności operacyjnej.
Dotyczy to między innymi organizacji stosujących AI do:
Nie każde wykorzystanie sztucznej inteligencji wiąże się z identycznymi obowiązkami. Inne wymagania mogą dotyczyć przedsiębiorstwa korzystającego z gotowego narzędzia generatywnego, a inne podmiotu opracowującego system AI przeznaczony do podejmowania decyzji wpływających na sytuację konkretnych osób.
Dlatego przygotowanie do wprowadzenia AI Act warto rozpocząć od ustalenia, jakie technologie są wykorzystywane w organizacji, do jakich celów służą i które przepisy dotyczą ich zastosowania.
Jednym z podstawowych elementów analizy zgodności z AI Act jest określenie roli, jaką przedsiębiorstwo pełni wobec danego systemu sztucznej inteligencji.
Rozporządzenie rozróżnia między innymi dostawców systemów AI, podmioty stosujące systemy AI, importerów i dystrybutorów. Poszczególne role wiążą się z odmiennym zakresem odpowiedzialności i wymagań prawnych.
Dostawcą może być przedsiębiorca, które opracowuje system sztucznej inteligencji lub zleca jego opracowanie, a następnie wprowadza go do obrotu albo oddaje do użytku pod własną nazwą lub znakiem towarowym.
W zależności od rodzaju systemu obowiązki dostawcy mogą obejmować między innymi zarządzanie ryzykiem, przygotowanie dokumentacji technicznej, zapewnienie odpowiedniej przejrzystości działania systemu oraz przeprowadzenie wymaganej procedury oceny zgodności.
Podmiotem stosującym system AI (deployer) jest co do zasady organizacja wykorzystująca system sztucznej inteligencji pod swoją kontrolą w ramach działalności zawodowej lub gospodarczej.
Taką rolę może pełnić na przykład firma korzystająca z rozwiązania AI w procesach kadrowych, obsłudze klientów lub analizie informacji.
Zakres obowiązków podmiotu stosującego zależy jednak od charakteru systemu. W określonych przypadkach istotne znaczenie mają między innymi nadzór ludzki, odpowiednie wykorzystanie danych, monitorowanie działania systemu i informowanie osób, których dotyczą jego wyniki.
W określonych sytuacjach przedsiębiorstwo, które pierwotnie korzystało z rozwiązania dostarczonego przez inny podmiot, może zostać objęte obowiązkami właściwymi dla dostawcy. Znaczenie mogą mieć w szczególności istotne modyfikacje systemu lub zmiana jego przeznaczenia, na warunkach określonych w AI Act.
Ustalenie właściwej roli organizacji jest zatem ważnym etapem analizy prawnej, zwłaszcza gdy przedsiębiorstwo rozwija własne rozwiązania albo dostosowuje gotowe technologie do swoich procesów.
Audyt AI Act pozwala ustalić, w jaki sposób organizacja wykorzystuje sztuczną inteligencję, jakie przepisy mają zastosowanie do poszczególnych rozwiązań oraz czy obecne zasady ich stosowania wymagają zmian.
Audyt prawny nie ogranicza się do sprawdzenia, czy firma korzysta z narzędzi generatywnych. Obejmuje również analizę celu ich wykorzystania, przepływu danych, odpowiedzialności poszczególnych podmiotów i istniejącej dokumentacji.
Pierwszym etapem audytu może być identyfikacja systemów sztucznej inteligencji wykorzystywanych w przedsiębiorstwie.
W ramach inwentaryzacji analizowane są między innymi:
Inwentaryzacja narzędzi AI umożliwia określenie, które zastosowania wymagają dalszej analizy prawnej oraz jakie jednostki organizacyjne powinny uczestniczyć w tym procesie.
Kolejnym etapem jest ocena zastosowań i klasyfikacja systemów AI w świetle przepisów rozporządzenia.
Analiza obejmuje w szczególności sprawdzenie, czy dane rozwiązanie wiąże się z zakazanymi praktykami, jest kwalifikowane jako system wysokiego ryzyka lub podlega szczególnym obowiązkom przejrzystości.
Ocena ryzyka systemów nie powinna opierać się wyłącznie na nazwie zastosowanej technologii. Znaczenie ma jej faktyczne przeznaczenie, sposób działania oraz kontekst wykorzystania.
W ramach audytu możliwy jest również przegląd wewnętrznych regulacji, dokumentacji dostawców oraz umów związanych z wykorzystaniem AI.
Badaniu mogą podlegać między innymi zasady przetwarzania danych osobowych, ochrona informacji poufnych, mechanizmy nadzoru człowieka, procedury weryfikacji wyników AI oraz podział odpowiedzialności pomiędzy przedsiębiorstwem a dostawcą technologii.
Wynikiem audytu może być raport obejmujący zidentyfikowane zagadnienia prawne, rekomendacje dotyczące dokumentacji oraz propozycję działań dostosowawczych.
AI Act przewiduje szczególne zasady dla systemów sztucznej inteligencji, których zastosowanie może wiązać się z istotnym ryzykiem dla zdrowia, bezpieczeństwa lub praw podstawowych.
Do zastosowań, które mogą zostać zakwalifikowane jako systemy AI wysokiego ryzyka, należą między innymi określone rozwiązania wykorzystywane w rekrutacji, zarządzaniu pracownikami, edukacji i ocenie zdolności kredytowej. Odrębna kategoria dotyczy również wybranych systemów związanych z produktami podlegającymi regulacjom sektorowym.
Sama obecność sztucznej inteligencji w procesie biznesowym nie oznacza jednak automatycznie zakwalifikowania systemu do kategorii wysokiego ryzyka. Konieczna jest analiza jego przeznaczenia i właściwych kryteriów prawnych.
W zależności od roli przedsiębiorstwa i kwalifikacji systemu, przepisy dotyczące systemów wysokiego ryzyka mogą wymagać odpowiednich działań związanych z zarządzaniem ryzykiem, jakością danych, dokumentacją, przejrzystością, nadzorem ludzkim oraz monitorowaniem działania systemu.
Dostawcy systemów wysokiego ryzyka mogą być zobowiązani do przeprowadzenia formalnej oceny zgodności systemów na zasadach przewidzianych w rozporządzeniu.
Audyt prawny wykonywany przez kancelarię nie jest tożsamy z formalną oceną zgodności wymaganą od dostawcy systemu. Może natomiast służyć identyfikacji obowiązków związanych z taką oceną oraz analizie dokumentacji i odpowiedzialności stron.
Jednym z istotnych zagadnień jest zapewnienie odpowiedniego nadzoru ludzkiego nad wykorzystaniem systemów wysokiego ryzyka.
W określonych przypadkach przepisy przewidują również ocenę wpływu systemu na prawa podstawowe, określaną jako Fundamental Rights Impact Assessment (FRIA).
Obowiązek przeprowadzenia takiej oceny nie dotyczy każdego przedsiębiorstwa i każdego systemu AI. Jego zastosowanie wymaga sprawdzenia przesłanek określonych w rozporządzeniu.
Doradztwo prawne może obejmować analizę konieczności przeprowadzenia FRIA, podziału odpowiedzialności oraz wymagań dotyczących dokumentowania i nadzorowania wykorzystania określonego systemu.
W wielu przedsiębiorstwach pracownicy korzystają z narzędzi sztucznej inteligencji w codziennych zadaniach. Generują materiały marketingowe, analizują dokumenty, przygotowują raporty lub automatyzują powtarzalne czynności.
Takie wykorzystanie AI wymaga jednak odpowiedniego podejścia do ochrony danych, informacji poufnych, odpowiedzialności za wyniki oraz kontroli nad wykorzystywanymi narzędziami.
Polityka AI w firmie pozwala uporządkować wewnętrzne zasady korzystania ze sztucznej inteligencji i określić odpowiedzialność poszczególnych osób oraz działów.
W ramach przygotowania polityki korzystania z AI możliwe jest uregulowanie następujących zagadnień:
Samo AI Act nie nakłada na każdą firmę ogólnego obowiązku posiadania dokumentu zatytułowanego „Polityka AI”. Opracowanie takich zasad może jednak wspierać realizację określonych obowiązków prawnych oraz wewnętrzne zarządzanie wykorzystaniem technologii.
Oferujemy przygotowanie polityki AI oraz analizę już obowiązujących regulaminów, procedur i dokumentów wewnętrznych. Zakres dokumentacji dostosowujemy do struktury przedsiębiorstwa, stosowanych rozwiązań oraz charakteru przetwarzanych informacji.
Zgodność z AI Act stanowi jeden z elementów prawnej oceny wykorzystywania sztucznej inteligencji. W zależności od zastosowania systemu konieczne może być również uwzględnienie przepisów o ochronie danych osobowych, prawie autorskim, tajemnicy przedsiębiorstwa, prawie pracy czy odpowiedzialności kontraktowej.
Systemy sztucznej inteligencji mogą przetwarzać dane pracowników, klientów i kontrahentów. Dotyczy to zarówno rozwiązań analizujących informacje, jak i narzędzi generatywnych, do których użytkownicy wprowadzają dokumenty lub dane biznesowe.
Wykorzystanie AI nie zwalnia przedsiębiorcy z obowiązków wynikających z RODO.
Analiza prawna może obejmować między innymi podstawy przetwarzania danych, role administratora i podmiotu przetwarzającego, zakres informacji przekazywanych dostawcom, transfery danych poza Europejski Obszar Gospodarczy oraz konieczność przeprowadzenia oceny skutków dla ochrony danych (DPIA).
Warto przy tym pamiętać, że DPIA na gruncie RODO i FRIA przewidziana w AI Act stanowią odrębne instrumenty prawne, które w określonych sytuacjach mogą wymagać odpowiedniego skoordynowania.
Generatywna sztuczna inteligencja jest wykorzystywana do przygotowywania tekstów, materiałów reklamowych, grafik, projektów i innych rezultatów pracy twórczej.
W działalności gospodarczej znaczenie ma ustalenie zasad korzystania z takich materiałów, możliwości ich dalszej eksploatacji, warunków licencyjnych dostawcy oraz ryzyka naruszenia praw osób trzecich.
Istotne mogą być także zasady wykorzystywania danych treningowych, ochrona tajemnicy przedsiębiorstwa i praw do opracowywanych rozwiązań technologicznych.
Więcej o jednym z zagadnień związanych z wykorzystaniem sztucznej inteligencji przeczytasz w naszym artykule: Korzystanie z AI może pozbawić Cię ochrony patentowej.
Współpraca z dostawcami technologii AI wymaga również analizy warunków umownych.
Przedsiębiorstwo powinno wiedzieć, na jakich zasadach dostawca przetwarza przekazywane informacje, w jakim zakresie odpowiada za działanie systemu oraz jakie prawa przysługują organizacji w przypadku nieprawidłowości.
Audyt umów IT związanych z AI może obejmować postanowienia dotyczące:
Doradztwo prawne w tym obszarze może obejmować przygotowanie i opiniowanie umów, ocenę warunków dostawców AI oraz wsparcie w negocjowaniu postanowień odnoszących się do odpowiedzialności stron.
AI Act obejmuje także obowiązki, które mogą dotyczyć przedsiębiorstw niezależnie od przepisów odnoszących się do systemów wysokiego ryzyka.
Transparentność w AI oznacza między innymi konieczność zapewnienia określonych informacji osobom mającym kontakt z systemami sztucznej inteligencji.
W zależności od rodzaju i sposobu wykorzystania rozwiązania może to dotyczyć informowania o interakcji z AI, ujawniania określonych treści wygenerowanych lub zmanipulowanych przez sztuczną inteligencję, w tym deepfake'ów, oraz stosowania technicznych mechanizmów oznaczania treści syntetycznych.
Zakres obowiązków przejrzystości różni się w zależności od tego, czy przedsiębiorstwo jest dostawcą systemu, czy podmiotem stosującym AI.
Nie istnieje natomiast powszechny wymóg oznaczania każdej treści, przy której przygotowaniu wykorzystano sztuczną inteligencję. Konieczne jest ustalenie właściwego przepisu i rodzaju publikowanego materiału.
Od 2 lutego 2025 r. stosowane są przepisy dotyczące szeregu zakazanych praktyk sztucznej inteligencji. Nowelizacja z 2026 r. przewidziała osobny termin stosowania dla dodatkowych wskazanych zakazów.
Regulacja obejmuje między innymi określone praktyki manipulacyjne, niektóre formy oceny społecznej oraz wybrane zastosowania biometryczne. Zakres zakazów wynika z konkretnych przesłanek prawnych, dlatego wymaga oceny w odniesieniu do sposobu działania i przeznaczenia systemu.
Przedsiębiorstwa objęte odpowiednimi obowiązkami AI Act powinny podejmować działania służące zapewnieniu wystarczającego poziomu kompetencji w zakresie AI osobom zajmującym się obsługą i wykorzystaniem systemów w ich imieniu.
AI literacy nie oznacza jednak automatycznego obowiązku uzyskania określonego certyfikatu przez każdego pracownika.
Dobór działań powinien uwzględniać wiedzę personelu, sposób wykorzystania technologii oraz potencjalne skutki jej działania.
Wsparcie kancelarii może obejmować szkolenia dotyczące prawnych zasad korzystania z AI, ochrony danych, odpowiedzialności pracowników oraz obowiązków wynikających z regulacji.
Wdrożenie AI Act powinno uwzględniać rzeczywisty sposób wykorzystania sztucznej inteligencji w organizacji. Nie każda firma potrzebuje takiego samego zakresu dokumentacji, procedur i działań organizacyjnych.
Współpracę z kancelarią można podzielić na kilka etapów.
1. Rozpoznanie działalności i zastosowań AI
Na początku analizujemy, w jakich obszarach przedsiębiorstwo wykorzystuje sztuczną inteligencję, jakie narzędzia stosuje oraz które działy są odpowiedzialne za ich wdrażanie i obsługę.
2. Identyfikacja ról i obowiązków prawnych
Ustalamy rolę organizacji wobec poszczególnych systemów, analizujemy ich przeznaczenie i kwalifikację oraz określamy przepisy mające zastosowanie do danych rozwiązań.
3. Audyt istniejącej dokumentacji i procedur
Przeglądamy odpowiednie dokumenty, zasady korzystania z AI, umowy z dostawcami oraz regulacje dotyczące przetwarzania danych, ochrony informacji i nadzoru nad systemami.
4. Opracowanie rekomendacji i dokumentacji
W zależności od potrzeb przygotowujemy opinie prawne, projekty polityk AI, procedury wewnętrzne, propozycje zmian w umowach oraz rekomendacje dotyczące podziału odpowiedzialności w organizacji.
5. Wsparcie we wdrażaniu zasad i szkoleniach
Wspieramy przedsiębiorstwo w prawno-organizacyjnym wdrażaniu przyjętych rozwiązań. Zakres prac może obejmować konsultacje z działami HR, IT, prawnym i compliance oraz szkolenia dla osób korzystających z systemów AI.
6. Aktualizacja zasad korzystania z AI
Zmiany przepisów, wprowadzanie nowych narzędzi i modyfikacje procesów mogą wymagać ponownej analizy przyjętych rozwiązań. Dlatego współpraca może również obejmować okresowy przegląd dokumentacji i zasad korzystania z AI.
Zakres obsługi prawnej ustalamy indywidualnie, z uwzględnieniem potrzeb przedsiębiorstwa i charakteru wykorzystywanych technologii.
Przepisy dotyczące sztucznej inteligencji są wprowadzane etapami. Istotne znaczenie ma również rozporządzenie (UE) 2026/1744, określane jako Digital Omnibus on AI, które zmieniło harmonogram stosowania wybranych obowiązków.
Najważniejsze terminy dla przedsiębiorstw przedstawiają się następująco:
Przesunięcie terminów dotyczących wybranych systemów wysokiego ryzyka nie oznacza odroczenia wszystkich obowiązków wynikających z AI Act. Przedsiębiorstwa powinny odrębnie przeanalizować przepisy już stosowane oraz wymagania, których terminy przypadają w kolejnych latach.
Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji ustanawia krajowe ramy nadzoru nad stosowaniem unijnego rozporządzenia.
Przewiduje między innymi funkcjonowanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako organu nadzoru rynku oraz regulacje dotyczące postępowań prowadzonych w związku z przestrzeganiem przepisów.
W przypadku przedsiębiorstw oznacza to konieczność uwzględniania nie tylko regulacji unijnych, ale również właściwych przepisów krajowych dotyczących nadzoru i postępowań administracyjnych.
Szczegółowe informacje o założeniach unijnej regulacji przedstawiliśmy również w artykule AI Act w pigułce.
AI Act może dotyczyć przedsiębiorstw wykorzystujących systemy sztucznej inteligencji w działalności gospodarczej, jednak zakres obowiązków zależy od roli firmy, przeznaczenia systemu oraz charakteru jego zastosowania. Nie każde narzędzie AI jest systemem wysokiego ryzyka i nie każda organizacja podlega takim samym wymaganiom.
Samo korzystanie z ChatGPT nie oznacza automatycznie obowiązku przeprowadzenia pełnego audytu czy wdrożenia dokumentacji przewidzianej dla systemów wysokiego ryzyka. Przedsiębiorstwo powinno jednak przeanalizować sposób wykorzystania narzędzia, obowiązki dotyczące kompetencji AI, ochronę danych osobowych, poufność informacji oraz ewentualne obowiązki przejrzystości.
Audyt AI Act obejmuje analizę sposobu wykorzystania sztucznej inteligencji w przedsiębiorstwie, identyfikację systemów AI, ustalenie roli organizacji, klasyfikację ryzyka oraz przegląd odpowiednich umów i dokumentacji. Na tej podstawie możliwe jest przygotowanie rekomendacji dotyczących działań prawnych i organizacyjnych.
AI Act nie przewiduje ogólnego obowiązku posiadania dokumentu pod nazwą „Polityka AI” przez każde przedsiębiorstwo. Opracowanie takiej polityki może jednak pomagać w zarządzaniu wykorzystaniem sztucznej inteligencji, ochronie danych, ustalaniu odpowiedzialności pracowników i realizacji określonych obowiązków prawnych.
Do tej kategorii mogą należeć określone systemy wykorzystywane między innymi w rekrutacji, zarządzaniu pracownikami, edukacji, ocenie zdolności kredytowej oraz wybranych obszarach związanych z bezpieczeństwem produktów. O kwalifikacji decydują kryteria określone w AI Act, a nie samo wykorzystanie technologii sztucznej inteligencji.
Terminy stosowania przepisów są zróżnicowane. Część obowiązków obowiązuje już od 2025 i 2026 r., natomiast wybrane wymagania dotyczące systemów wysokiego ryzyka zostały przesunięte na 2 grudnia 2027 r. i 2 sierpnia 2028 r. Właściwy harmonogram należy ustalić w odniesieniu do konkretnych zastosowań AI w organizacji.
AI Act przewiduje obowiązki dotyczące zapewnienia odpowiedniego poziomu kompetencji w zakresie AI, określane jako AI literacy. Nie oznacza to jednak powszechnego obowiązku ukończenia jednego konkretnego kursu lub uzyskania certyfikatu. Działania edukacyjne powinny być dostosowane do roli pracowników, ich wiedzy i sposobu wykorzystania systemów AI.
Wsparcie kancelarii może obejmować audyt prawny systemów AI, identyfikację obowiązków przedsiębiorstwa, przygotowanie polityki korzystania z AI, opiniowanie umów z dostawcami, analizę zagadnień RODO i własności intelektualnej oraz doradztwo przy wdrażaniu procedur i szkoleniach pracowników.
Korzystanie ze sztucznej inteligencji w przedsiębiorstwie wymaga uwzględnienia zarówno możliwości technologicznych, jak i obowiązujących zasad prawnych. Zakres wymaganych działań zależy od sposobu wykorzystania AI, charakteru przetwarzanych danych oraz roli organizacji wobec poszczególnych systemów.
Wspieramy przedsiębiorstwa w analizie prawnych aspektów wykorzystania sztucznej inteligencji, przygotowaniu dokumentacji oraz wdrażaniu zasad korzystania z AI.
Jeśli Twoja organizacja wykorzystuje narzędzia AI, planuje ich wdrożenie albo potrzebuje przeglądu obowiązujących procedur, skontaktuj się z naszą kancelarią.
Porozmawiajmy o zakresie doradztwa prawnego, audytu AI Act lub przygotowania polityki AI odpowiedniej do potrzeb Twojej firmy.
Umów konsultację dotyczącą AI Act
Telefon: +48 61 221 63 59
