Dział sprzedaży testuje chatbota do komunikacji z klientami, kadry oglądają się za oprogramowaniem do wstępnej selekcji podań o pracę, marketing automatycznie generuje obrazy i teksty. Sztuczna inteligencja (AI) wchodzi do Państwa firmy — zwykle szybciej, niż ktokolwiek zapyta, jakie reguły prawne są z tym związane. A odpowiedź jest dziś niewygodnie szczera: ramy dopiero powstają. Europejski akt w sprawie sztucznej inteligencji (AI Act, rozporządzenie (UE) 2024/1689) obowiązuje od 2024 roku, ale stosuje się go stopniowo — część obowiązków już działa, inne dopiero od 2026 roku i później. Do tego dochodzą reguły obowiązujące już dziś: ochrona danych, odpowiedzialność, prawo umów. Ten tekst porządkuje dla Państwa, co obowiązuje dziś, co dopiero nadejdzie i gdzie leżą prawdziwe ryzyka Państwa firmy — tak, aby wdrożyli Państwo AI, nie nadwyrężając się prawnie.
Chatbot, generator tekstu, oprogramowanie analityczne — narzędzie jest szybko wykupione i rozdane w zespole. Pytania, jakie dane przetwarza, czy klient rozpozna, że rozmawia z maszyną, i czy użycie podpada pod nowe reguły, często nikt nie stawia z wyprzedzeniem. Właśnie tu warto spojrzeć, zanim ruszy praca.
W procesie przetargowym albo przy kwalifikacji dostawców pada pytanie: jak podchodzą Państwo do AI, jakie systemy stosują, jak wygląda kwestia ochrony danych i zgodności z prawem? Kto nie ma na to nośnej odpowiedzi, w najgorszym razie traci zlecenie. Uporządkowana inwentaryzacja staje się tak czynnikiem konkurencyjnym.
Oprogramowanie wstępnie sortuje podania o pracę, ocenia zdolność kredytową klientów albo steruje decyzjami w obsłudze klienta. Gdy tylko w grę wchodzą decyzje o skutku dla pojedynczych osób, spotykają się dwa światy: nowe kategorie aktu w sprawie sztucznej inteligencji i obowiązujące już dziś reguły ochrony danych o decyzji zautomatyzowanej.
Ramy, o których mówi się obecnie najwięcej, to akt w sprawie sztucznej inteligencji (rozporządzenie (UE) 2024/1689), w Niemczech często zwany „KI-VO", a po angielsku „AI Act". Ważne dla właściwego umiejscowienia: rozporządzenie weszło w życie 1 sierpnia 2024 roku, ale nie obowiązuje od razu w całości. Prawodawca świadomie rozłożył stosowanie w czasie — rozporządzenie jest wdrażane przez kilka lat, a znaczna część jego obowiązków dziś jeszcze nie ma zastosowania. Kto czyta „AI Act obowiązuje", powinien więc zawsze dopytać: która część i od kiedy?
Zgodnie ze stopniowym harmonogramem rozporządzenia obowiązki wchodzą etapami: praktyki zakazane (o nich niżej) stały się skuteczne jako jeden z pierwszych etapów — na początku 2025 roku. Dla modeli AI ogólnego przeznaczenia (dużych, szeroko stosowanych modeli) kolejne obowiązki weszły w toku 2025 roku. Ogólny początek stosowania oraz przeważająca część obowiązków dla AI wysokiego ryzyka przewidziane są na 2 sierpnia 2026 roku, a pojedyncze przypadki nawet później. Daty te podajemy świadomie jako ramy, nie jako zapewnienie co do dnia — harmonogram jest stopniowy i w szczegółach złożony, a dla Państwa konkretnego zastosowania rozstrzyga, który etap je obejmuje.
Praktyka Niech Państwo nie traktują aktu w sprawie sztucznej inteligencji ani jako „już wszystko obowiązuje", ani jako „mnie to jeszcze nie dotyczy". Oba nastawienia prowadzą na manowce. Właściwa droga to trzeźwe przyporządkowanie: jakie systemy Państwo stosują, do której kategorii wpadają i który etap harmonogramu dotyczy Państwa kiedy? Kto wcześnie sporządzi taką mapę, nie musi później pod presją czasu nadrabiać.
Rozporządzenie nie reguluje AI ryczałtowo, lecz według ryzyka, jakie stwarza dany system. Trzy poziomy są dla firm szczególnie ważne — każdy z inną konsekwencją prawną.
Pewne zastosowania AI są całkowicie zabronione — rozporządzenie uznaje je za ryzyko niedopuszczalne (np. określone formy manipulacyjnego wykorzystywania słabości albo pewien „scoring społeczny"). Te zakazy należą do wcześnie skutecznych części rozporządzenia. Dla większości firm praktyki zakazane nie są tematem codziennym — warto jednak wiedzieć, że taka czerwona linia w ogóle istnieje.
Dla systemów uznanych za system wysokiego ryzyka rozporządzenie przewiduje osobne obowiązki. Załącznik III wymienia obszary zastosowań — wśród nich takie, które bezpośrednio dotykają wielu firm, np. zatrudnienie i rekrutację albo ocenę zdolności kredytowej. Przeważająca część tych obowiązków wysokiego ryzyka przewidziana jest dopiero na późniejszy etap harmonogramu (w stronę sierpnia 2026), ale już dziś powinni Państwo wiedzieć, czy któryś z Państwa systemów zmierza w tę stronę.
W kontakcie AI z ludźmi rozporządzenie przewiduje obowiązki przejrzystości — np. by było rozpoznawalne, że rozmawia się z systemem AI, oraz by treści wygenerowane lub zmanipulowane sztucznie („deepfake") były odpowiednio oznaczane. Kto prowadzi chatbota dla klientów albo publikuje treści wytworzone przez AI, powinien mieć ten kierunek na oku.
To, czy i jak surowo objęty jest pojedynczy system, zależy od jego konkretnej funkcji i od danego etapu harmonogramu. Zaszeregowanie do „nieszkodliwe", „objęte przejrzystością" albo „wysokiego ryzyka" nie jest więc formalnością, lecz właściwym ustawieniem zwrotnicy — na nim rozstrzyga się, jakie obowiązki w ogóle na Państwa spadną.
Akt w sprawie sztucznej inteligencji nie jest bezzębnym apelem: przy naruszeniach przewiduje dotkliwe kary pieniężne, stopniowane według wagi naruszenia — za naruszenie praktyk zakazanych wyraźnie wyższe niż za naruszenie pojedynczych obowiązków. Konkretnych liczb świadomie tu nie podajemy: ramy kar i ich stosowanie są częścią nowego, stopniowo wchodzącego w życie rozporządzenia, którego praktyczne stosowanie przez organy dopiero się kształtuje — nośna ocena dla Państwa przypadku należy do indywidualnego badania, a nie do ryczałtowej liczby.
Ważniejsze niż abstrakcyjna liczba jest dla Państwa i tak nastawienie, które za nią stoi: prawodawca traktuje reguły poważnie, a odpowiedzialność leży po stronie tego, kto decyduje o użyciu AI — nie po stronie narzędzia. To prowadzi do drugiego, obowiązującego już dziś w pełni poziomu: odpowiedzialności.
Obok nowego rozporządzenia stoi obowiązujące już dziś prawo odpowiedzialności — a ono co do zasady nie zmienia się przez AI. Jeśli Państwa firma używa narzędzia AI i powstaje przez to szkoda, działają istniejące reguły. W stosunku umownym naruszenie obowiązku może prowadzić do odszkodowania: jeśli dłużnik naruszy obowiązek ze stosunku zobowiązaniowego, wierzyciel może żądać naprawienia wynikłej stąd szkody, o ile dłużnik ponosi za naruszenie odpowiedzialność (§ 280 ust. 1 BGB). Wadliwy wynik AI, na którym oparli się Państwo wobec klienta, nie zwalnia więc automatycznie — obowiązek wobec klienta pozostaje Państwa.
Poza stosunkami umownymi wchodzi prawo deliktowe: kto umyślnie lub z niedbalstwa bezprawnie naruszy życie, ciało, zdrowie, wolność, własność albo inne prawo drugiego, jest zobowiązany do naprawienia wynikłej stąd szkody (§ 823 ust. 1 BGB); obok tego odpowiada, kto naruszy ustawę ochronną (§ 823 ust. 2 BGB). Punkt rozstrzygający: sama AI nie jest podmiotem przypisania. Szkody, którą wyrządzi używany przez Państwa system, nie przypisuje się „AI", lecz temu, kto ją stosuje i decyduje o jej użyciu. Przeniesienie zadania na narzędzie nie jest przeniesieniem odpowiedzialności.
Praktyka Osobna europejska dyrektywa o odpowiedzialności za AI była wprawdzie w przygotowaniu — została jednak przez Komisję wycofana i nie obowiązuje. Niech Państwo nie liczą więc na rzekomo nowy reżim odpowiedzialności za AI, którego nie ma. Miarodajne pozostaje istniejące prawo odpowiedzialności. A dla poziomu kierowniczego pojawia się pytanie o odpowiedzialność członka zarządu, gdy ryzyka związane z AI nie zostaną w firmie uporządkowane.
AI niemal zawsze przetwarza dane — a często dane osobowe. Tym samym jej użycie jest zarazem tematem ochrony danych, i to według reguł obowiązujących już dziś. Szczególnie ostro robi się, gdy AI nie tylko wspiera, lecz decyduje. Tu wchodzi art. 22 RODO: osoba, której dane dotyczą, ma prawo, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu — w tym profilowaniu — i wywołuje wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa (art. 22 ust. 1 RODO).
Takie w pełni zautomatyzowane decyzje indywidualne są dopuszczalne tylko pod wąskimi warunkami — np. gdy są niezbędne do zawarcia lub wykonania umowy, są dozwolone przepisem prawa albo opierają się na wyraźnej zgodzie (art. 22 ust. 2 RODO). A nawet wtedy administrator musi wdrożyć właściwe środki ochrony osób, których dane dotyczą, do których należy co najmniej prawo do interwencji człowieka, do przedstawienia własnego stanowiska i do zakwestionowania decyzji (art. 22 ust. 3 RODO). Dla użycia AI oznacza to całkiem praktycznie: jeśli pozwolą Państwo, by oprogramowanie samo decydowało o podaniach o pracę, kredytach albo podobnych sprawach, wkraczają Państwo na regulacyjnie grząski grunt — tu człowiek w pętli nie jest dodatkiem, lecz jest prawnie z góry przewidziany.
Osobne pytanie brzmi, na jakiej podstawie prawnej w ogóle wolno przetwarzać dane osobowe do trenowania i używania AI. Odpowiedzi trzeba szukać w art. 6 RODO — przetwarzanie jest zgodne z prawem tylko wtedy, gdy opiera się na jednej z wymienionych tam przesłanek, np. na zgodzie (art. 6 ust. 1 lit. a RODO), na niezbędności do wykonania umowy (lit. b) albo na prawnie uzasadnionym interesie po ważeniu z prawami osób (lit. f). Kto karmi model danymi klientów albo pracowników, powinien tę podstawę ustalić i udokumentować, zanim system ruszy — a nie dopiero, gdy pyta o nią organ.
Tam, gdzie AI przetwarza dane osobowe, wchodzą do gry ogólne obowiązki ochrony danych — od podstawy prawnej przez przejrzystość po bezpieczeństwo. Przegląd daje tekst o podstawowych obowiązkach RODO; jeśli używają Państwo narzędzia AI zewnętrznego dostawcy, często potrzebna jest umowa powierzenia przetwarzania danych, a gdy przy systemie AI coś raz pójdzie nie tak, może zajść podlegające zgłoszeniu naruszenie ochrony danych. O to, co system AI „wie" o pojedynczej osobie, ta osoba może zresztą zapytać, korzystając z prawa dostępu do danych.
Niech Państwo założą rejestr: jakich narzędzi AI używa Państwa firma — chatbotów, generatorów tekstu i obrazu, oprogramowania analitycznego i selekcyjnego, w działach często także nieoficjalnie? Bez tej inwentaryzacji nie da się czysto przyporządkować ani aktu w sprawie sztucznej inteligencji, ani prawa ochrony danych.
Niech Państwo wyjaśnią dla każdego narzędzia: czy podpada pod praktykę zakazaną (art. 5), należy do kategorii wysokiego ryzyka (załącznik III), czy działają obowiązki przejrzystości (art. 50)? I dalej: czy przetwarza dane osobowe, czy podejmuje decyzje o ludziach (art. 22 RODO) i na jakiej podstawie prawnej to robi (art. 6 RODO)? To zaszeregowanie jest właściwym ustawieniem zwrotnicy.
Niech Państwo przypiszą każdemu systemowi, który etap aktu w sprawie sztucznej inteligencji i kiedy go dotyczy — wiele jeszcze nie ma zastosowania, ale przygotowanie na późniejsze etapy (np. obowiązki wysokiego ryzyka w stronę 2026) sensownie zaczyna się wcześnie, nie dopiero w dniu wejścia.
Niech Państwo równolegle zbadają poziomy obowiązujące już dziś: podstawę prawną (art. 6 RODO) i umowy dla przetwarzania danych, interwencję człowieka przy decyzjach zautomatyzowanych (art. 22 RODO) oraz sytuację odpowiedzialności w umowie (§ 280 BGB) i w prawie deliktowym (§ 823 BGB), gdy wynik AI wyrządzi szkodę.
Niech Państwo określą, kto w firmie odpowiada za zgodność AI z prawem, i utrwalą swoje zaszeregowania oraz decyzje. Czytelna dokumentacja jest zarazem Państwa dowodem, że użycie odpowiedzialnie uporządkowali Państwo, a nie puścili je w ciemno.
Nakład zależy od tego, jak daleko AI jest u Państwa już w użyciu i w jakich obszarach. Firma, która chce wdrożyć i prawnie zabezpieczyć pojedyncze, jasno zarysowane narzędzie, ma inną potrzebę niż taka, która w poprzek działów używa już wielu narzędzi AI i po raz pierwszy potrzebuje uporządkowanej inwentaryzacji i zaszeregowania. Najbardziej pracochłonna jest zwykle początkowa mapa — jakie systemy, jaka kategoria, jaki etap harmonogramu; gdy raz jest sporządzona, chodzi przeważnie już tylko o pielęgnację i korekty.
Stałych cen ryczałtowych świadomie nie podajemy: czy chodzi o zbadanie pojedynczego zastosowania AI, o zaszeregowanie zautomatyzowanej decyzji pod kątem ochrony danych, czy o inwentaryzację obejmującą całą firmę, robi dla nakładu i sposobu działania rozstrzygającą różnicę. Rząd wielkości i uczciwą ocenę, która droga jest dla Państwa sensowna, otrzymają Państwo, gdy tylko dowiemy się, jak Państwa firma używa AI i o co konkretnie chodzi.
Tylko częściowo. Akt w sprawie sztucznej inteligencji (rozporządzenie (UE) 2024/1689) wszedł w życie 1 sierpnia 2024 roku, ale stosuje się go stopniowo i nie jest jeszcze w pełni stosowany. Wczesne etapy (np. praktyki zakazane) już działają; przeważająca część obowiązków wysokiego ryzyka przewidziana jest na późniejszy etap — w stronę sierpnia 2026 — a pojedyncze przypadki jeszcze później. Co konkretnie i kiedy dotyczy Państwa, zależy od danego systemu i jego kategorii.
Rozporządzenie uznaje pewne obszary zastosowań za wysokiego ryzyka i wiąże z nimi osobne obowiązki. Załącznik III wymienia te obszary — wśród nich np. zatrudnienie i rekrutację albo ocenę zdolności kredytowej. Czy któryś z Państwa systemów pod to wpada, jest kwestią jego konkretnej funkcji i wart jest badania indywidualnego, bo od tego zależy zakres Państwa obowiązków.
Rozporządzenie przewiduje obowiązki przejrzystości (art. 50) — należy do nich kierunek, by dla ludzi było rozpoznawalne, gdy rozmawiają z systemem AI, oraz by treści wygenerowane lub zmanipulowane sztucznie były oznaczane. Kto prowadzi chatbota dla klientów albo publikuje treści wytworzone przez AI, powinien zlecić zbadanie tych obowiązków dla własnego przypadku.
Firma, która używa AI — nie „AI". W umowie naruszenie obowiązku może prowadzić do odszkodowania (§ 280 BGB), poza umową wchodzi prawo deliktowe (§ 823 BGB). AI jest narzędziem, nie podmiotem odpowiedzialności. Osobna dyrektywa UE o odpowiedzialności za AI była planowana, ale została wycofana i nie obowiązuje — miarodajne pozostaje istniejące prawo odpowiedzialności.
Tylko pod wąskimi warunkami. Zgodnie z art. 22 RODO osoby, których dane dotyczą, mają co do zasady prawo, by nie podlegać wyłącznie zautomatyzowanej decyzji o istotnym skutku. Wyjątki istnieją np. przy niezbędności do umowy, przy zezwoleniu ustawowym albo przy wyraźnej zgodzie — a nawet wtedy trzeba zachować m.in. prawo do interwencji człowieka. W pełni zautomatyzowanych decyzji o ludziach nie powinni Państwo więc wdrażać bez zbadania.
Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48. Zwłaszcza gdy w planach jest wdrożenie AI albo klient pyta o Państwa zgodność AI z prawem, opłaca się badanie z wyprzedzeniem — proszę opisać sytuację raczej wcześnie, zanim system będzie już w normalnym ruchu.
„AI nie przesuwa odpowiedzialności, tworzy tylko nowe sposoby, by ją przeoczyć. Kto używa narzędzia, pozostaje tym, kto ma odpowiadać za wynik — reguły do tego są częściowo nowe i wciąż w fazie wdrażania, częściowo obowiązują od dawna. Uporządkować oba wcześnie jest znacznie łatwiej niż nadrabiać to później pod presją", mówi adwokat Sebastian Müller.
Proszę krótko opisać, o co chodzi — otrzymają Państwo pierwszą ocenę. Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48.
Opisz swoją sprawę