Firma korzysta z AI. Ale czy wie, w jakiej roli prawnej występuje?

Zakup narzędzia AI nie oznacza, że cała odpowiedzialność pozostaje po stronie jego twórcy.

Przedsiębiorcy coraz częściej wykorzystują sztuczną inteligencję do obsługi klientów, analizy dokumentów, tworzenia treści, rekrutacji, kontroli jakości, prognozowania sprzedaży lub zarządzania procesami produkcyjnymi. W praktyce wdrożenie AI często rozpoczyna się od zakupu licencji albo uruchomienia dostępu do aplikacji działającej w modelu SaaS.

Z perspektywy prawnej pytanie nie brzmi jednak wyłącznie: „z jakiego narzędzia korzysta firma?”. Równie ważne jest ustalenie:

w jakiej roli firma występuje na gruncie unijnego AI Act?

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, czyli AI Act, rozróżnia kilka kategorii podmiotów uczestniczących w tworzeniu, udostępnianiu i wykorzystywaniu systemów sztucznej inteligencji. Są to przede wszystkim:

• dostawca systemu AI;
• podmiot stosujący system AI;
• importer;
• dystrybutor;
• producent produktu zawierającego system AI.

Zakres obowiązków przedsiębiorcy zależy nie od nazwy zawartej w umowie, ale przede wszystkim od tego, co firma faktycznie robi z systemem, pod czyją nazwą go oferuje, kto określa jego przeznaczenie oraz czy system został zmodyfikowany.

Od 2 sierpnia 2026 r. zasadnicza część AI Act jest stosowana, a Komisja Europejska i właściwe organy krajowe rozpoczęły egzekwowanie części jego wymagań. Obowiązki dotyczące systemów AI wysokiego ryzyka będą jednak wdrażane później: dla przypadków użycia wskazanych w załączniku III od 2 grudnia 2027 r., a dla systemów stanowiących element regulowanych produktów – od 2 sierpnia 2028 r.

AI Act reguluje role, a nie tylko technologie

Ta sama technologia może zostać wykorzystana przez kilka przedsiębiorstw, z których każde będzie podlegało innym obowiązkom.

Twórca systemu może być jego dostawcą. Spółka sprowadzająca rozwiązanie spoza Unii Europejskiej może występować jako importer. Partner handlowy odsprzedający dostęp do systemu może być dystrybutorem. Natomiast przedsiębiorca wykorzystujący narzędzie w swojej działalności będzie najczęściej podmiotem stosującym.

Co więcej, jeden przedsiębiorca może występować w różnych rolach wobec różnych systemów, a niekiedy również łączyć kilka ról w ramach jednego łańcucha dostaw. AI Act posługuje się zbiorczym pojęciem „operatora”, które obejmuje m.in. dostawcę, producenta produktu, podmiot stosujący, importera i dystrybutora.

1. Dostawca systemu AI – nie tylko twórca algorytmu

Dostawcą jest podmiot, który:

• rozwija system AI lub model AI ogólnego przeznaczenia;
• zleca jego rozwój innemu podmiotowi;
• wprowadza system do obrotu pod własną nazwą lub znakiem towarowym;
• albo oddaje go do użytku pod własną nazwą, także nieodpłatnie.

Dostawcą nie musi być zatem wyłącznie programista lub software house, który samodzielnie napisał kod. Może nim zostać również przedsiębiorca, który zamówił stworzenie systemu u zewnętrznego wykonawcy, a następnie udostępnia go klientom albo wdraża we własnej organizacji jako własne rozwiązanie.

Przykład

Spółka zamawia u software house’u stworzenie narzędzia do automatycznej oceny kandydatów do pracy. System jest następnie wdrażany pod nazwą spółki i przedstawiany jako jej własne rozwiązanie.

Nawet jeżeli całość prac programistycznych wykonał zewnętrzny wykonawca, spółka może zostać uznana za dostawcę systemu AI.

Najważniejsze obowiązki dostawcy

Zakres obowiązków zależy od rodzaju systemu i poziomu jego ryzyka. W przypadku systemów wysokiego ryzyka dostawca odpowiada m.in. za:

• zgodność systemu z wymaganiami AI Act;
• system zarządzania jakością;
• zarządzanie ryzykiem;
• odpowiednią jakość danych;
• dokumentację techniczną;
• automatyczne rejestrowanie zdarzeń;
• nadzór człowieka;
• cyberbezpieczeństwo, dokładność i odporność systemu;
• przeprowadzenie oceny zgodności;
• sporządzenie deklaracji zgodności UE;
• oznakowanie CE;
• rejestrację systemu;
• monitorowanie systemu po wprowadzeniu go do obrotu;
• podejmowanie działań naprawczych.

To dostawca znajduje się zazwyczaj w centrum systemu odpowiedzialności regulacyjnej.

Dostawcy określonych systemów generatywnych mają również obowiązki dotyczące technicznego oznaczania treści wygenerowanych lub zmanipulowanych przez AI, tak aby były one wykrywalne jako sztucznie wygenerowane. Wymagania przejrzystości określone w art. 50 AI Act są stosowane od 2 sierpnia 2026 r.

2. Podmiot stosujący – najczęstsza rola przedsiębiorcy

Podmiotem stosującym jest przedsiębiorca, organ lub inna organizacja, która wykorzystuje system AI znajdujący się pod jej kontrolą w ramach działalności zawodowej.

Nie obejmuje to korzystania z AI wyłącznie w ramach osobistej, pozazawodowej aktywności.

Podmiotem stosującym będzie najczęściej firma, która wykorzystuje zakupiony system do:

• obsługi klientów;
• analizy umów i dokumentów;
• generowania materiałów marketingowych;
• wykrywania oszustw;
• oceny zdolności kredytowej;
• selekcji kandydatów do pracy;
• monitorowania pracowników;
• analizy obrazów medycznych;
• sterowania procesami produkcyjnymi.

Samo określenie przedsiębiorcy w umowie jako „użytkownika końcowego” nie przesądza jeszcze o jego sytuacji prawnej. Należy zbadać, czy firma jedynie korzysta z gotowego systemu zgodnie z instrukcją, czy wpływa również na jego przeznaczenie, sposób działania lub oferowanie na rynku.

Obowiązki podmiotu stosującego

W przypadku systemów wysokiego ryzyka podmiot stosujący powinien m.in.:

• wykorzystywać system zgodnie z instrukcją obsługi;
• wprowadzić odpowiednie środki techniczne i organizacyjne;
• zapewnić nadzór człowieka sprawowany przez osoby posiadające odpowiednie kompetencje i uprawnienia;
• monitorować działanie systemu;
• zapewnić adekwatność danych wejściowych pozostających pod jego kontrolą;
• przechowywać rejestry zdarzeń, zasadniczo przez co najmniej sześć miesięcy;
• informować dostawcę, dystrybutora i właściwe organy o stwierdzonych ryzykach lub poważnych incydentach;
• zawiesić korzystanie z systemu, gdy jego dalsze używanie może stwarzać ryzyko.

Jeżeli system wysokiego ryzyka jest wykorzystywany w miejscu pracy, pracodawca powinien również wcześniej poinformować przedstawicieli pracowników oraz pracowników, których system będzie dotyczył.

Podmiot stosujący może mieć także obowiązki informacyjne niezależnie od tego, czy system został zakwalifikowany jako wysokiego ryzyka. Przykładowo podmiot wykorzystujący system rozpoznawania emocji lub kategoryzacji biometrycznej powinien poinformować osoby objęte jego działaniem. Podmiot publikujący deepfake powinien natomiast ujawnić, że materiał został wygenerowany albo zmanipulowany przez AI, z uwzględnieniem wyjątków określonych w przepisach.

3. Importer – gdy system pochodzi spoza Unii Europejskiej

Importerem jest podmiot mający siedzibę lub znajdujący się w Unii Europejskiej, który po raz pierwszy wprowadza na rynek unijny system AI oznaczony nazwą albo znakiem towarowym przedsiębiorcy mającego siedzibę w państwie trzecim.

Nie każdy przedsiębiorca korzystający z aplikacji stworzonej w Stanach Zjednoczonych, Wielkiej Brytanii lub Azji automatycznie staje się importerem. Kluczowe jest ustalenie, czy faktycznie wprowadza system do obrotu w Unii, czy jedynie korzysta z usługi jako końcowy użytkownik.

Przykład

Polska spółka zawiera umowę z producentem systemu AI z państwa trzeciego i uzyskuje wyłączne prawo do jego wprowadzania na rynek europejski pod nazwą zagranicznego producenta.

W takim przypadku polska spółka może występować jako importer.

Obowiązki importera

Przed wprowadzeniem systemu AI wysokiego ryzyka na rynek importer powinien zweryfikować m.in., czy:

• przeprowadzono odpowiednią ocenę zgodności;
• przygotowano dokumentację techniczną;
• system posiada wymagane oznakowanie CE;
• sporządzono deklarację zgodności UE;
• dołączono właściwą instrukcję obsługi;
• dostawca spoza UE wyznaczył upoważnionego przedstawiciela.

Importer powinien również podać własne dane identyfikacyjne, zapewnić odpowiednie warunki przechowywania i transportu oraz przechowywać określoną dokumentację przez dziesięć lat. Jeżeli ma podstawy, aby uznać system za niezgodny, nie powinien wprowadzać go na rynek do czasu usunięcia niezgodności.

4. Dystrybutor – nie tylko klasyczny sprzedawca

Dystrybutorem jest podmiot uczestniczący w łańcuchu dostaw, inny niż dostawca lub importer, który udostępnia system AI na rynku Unii Europejskiej.

W tej roli może występować m.in.:

• sprzedawca oprogramowania;
• partner handlowy dostawcy;
• reseller;
• podmiot oferujący licencje lub dostęp do systemu;
• przedsiębiorca udostępniający rozwiązanie klientom w ramach szerszej usługi.

Udostępnianie na rynku może mieć charakter odpłatny albo nieodpłatny. Sam fakt, że system jest przekazywany bez wynagrodzenia, nie wyłącza zatem zastosowania AI Act.

Obowiązki dystrybutora

Przed udostępnieniem systemu wysokiego ryzyka dystrybutor powinien zweryfikować, czy system:

• posiada oznakowanie CE;
• jest objęty deklaracją zgodności UE;
• ma dołączoną instrukcję obsługi;
• został prawidłowo oznaczony danymi dostawcy i importera.

Jeżeli dystrybutor ma powody przypuszczać, że system jest niezgodny z przepisami, nie powinien go udostępniać. Powinien także zapewnić, aby sposób przechowywania i transportu nie wpływał negatywnie na zgodność systemu oraz współpracować z organami nadzoru.

5. Producent produktu wykorzystującego AI

Szczególna sytuacja dotyczy przedsiębiorstw, które integrują systemy AI z produktami podlegającymi unijnym regulacjom bezpieczeństwa.

Może to dotyczyć m.in.:

• maszyn;
• urządzeń medycznych;
• zabawek;
• wind;
• środków transportu;
• urządzeń ochronnych;
• innych produktów objętych prawodawstwem harmonizacyjnym UE.

Jeżeli system AI wysokiego ryzyka stanowi związany z bezpieczeństwem element takiego produktu, producent produktu może zostać uznany za dostawcę systemu AI. Będzie tak w szczególności wtedy, gdy system jest wprowadzany do obrotu wraz z produktem albo oddawany do użytku pod nazwą lub znakiem towarowym producenta produktu.

Przykład

Producent urządzenia medycznego integruje w nim system analizujący dane pacjenta i wpływający na działanie urządzenia. Produkt jest sprzedawany pod marką producenta urządzenia.

Producent nie może przyjąć, że za zgodność części AI odpowiada wyłącznie zewnętrzny dostawca algorytmu. Na gruncie AI Act sam może zostać uznany za dostawcę systemu AI i przejąć związane z tym obowiązki.

W takich przypadkach regulacje dotyczące AI nakładają się na sektorowe prawo produktowe. Konieczne może być zintegrowanie oceny zgodności systemu AI z oceną zgodności całego produktu.

Kiedy firma przestaje być tylko użytkownikiem?

Jednym z najważniejszych mechanizmów AI Act jest możliwość zmiany roli prawnej przedsiębiorcy.

Importer, dystrybutor, podmiot stosujący albo inna osoba trzecia może zostać uznana za dostawcę systemu AI wysokiego ryzyka, jeżeli:

1. umieszcza na systemie własną nazwę lub znak towarowy;
2. dokonuje istotnej modyfikacji systemu;
3. zmienia przeznaczenie systemu w taki sposób, że system staje się systemem wysokiego ryzyka.

W takiej sytuacji przedsiębiorca przejmuje obowiązki dostawcy, obejmujące m.in. dokumentację, zarządzanie ryzykiem, ocenę zgodności, monitorowanie i działania naprawcze.

Rebranding

Firma kupuje gotowy system, usuwa oznaczenia jego pierwotnego twórcy, umieszcza własne logo i oferuje narzędzie klientom jako własny produkt.

Takie działanie może spowodować uznanie firmy za dostawcę.

Istotna modyfikacja

Przedsiębiorca modyfikuje system w sposób, który wpływa na jego zgodność z wymaganiami lub zmienia warunki, dla których pierwotnie przeprowadzono ocenę zgodności.

Nie każda aktualizacja lub konfiguracja będzie istotną zmianą. Decydujące znaczenie ma zakres ingerencji oraz wpływ modyfikacji na działanie, ryzyko i przeznaczenie systemu.

Zmiana przeznaczenia

Firma nabywa narzędzie przeznaczone do ogólnej analizy danych, a następnie dostosowuje je do automatycznej oceny kandydatów w procesie rekrutacyjnym.

Jeżeli nowe wykorzystanie spełnia przesłanki systemu wysokiego ryzyka, firma może przejąć rolę dostawcy, mimo że nie stworzyła podstawowego modelu ani oprogramowania.

Umowa z dostawcą AI nie rozwiązuje całego problemu

Umowa może określać podział zadań pomiędzy przedsiębiorcami, ale nie powinna ograniczać się do udzielenia licencji i wskazania ceny.

W zależności od modelu współpracy należy uregulować m.in.:

• status stron na gruncie AI Act;
• przeznaczenie systemu i dopuszczalne sposoby jego wykorzystania;
• zakres dozwolonych modyfikacji;
• dostęp do dokumentacji technicznej;
• zasady aktualizacji systemu;
• dostęp do rejestrów i informacji o incydentach;
• obowiązki związane z oceną zgodności;
• zasady monitorowania po wprowadzeniu do obrotu;
• obowiązek współpracy z organami;
• odpowiedzialność za dane wejściowe i wyniki;
• ochronę tajemnicy przedsiębiorstwa i własności intelektualnej;
• zasady postępowania w razie utraty zgodności;
• koszty wycofania systemu lub wdrożenia działań naprawczych.

AI Act wymaga, aby dostawca systemu wysokiego ryzyka oraz podmiot dostarczający komponenty, narzędzia lub usługi potrzebne do jego działania określili w pisemnej umowie zakres informacji, dostępu technicznego i pomocy koniecznej do zapewnienia zgodności.

Samo zapisanie w umowie, że „za zgodność odpowiada producent”, może być niewystarczające, jeżeli faktyczne działania przedsiębiorcy wskazują, że sam pełni rolę dostawcy, importera albo dystrybutora.

Jak ustalić rolę firmy?

Audyt wykorzystania AI powinien zostać przeprowadzony osobno dla każdego systemu. Firma może być podmiotem stosującym jedno narzędzie, dystrybutorem drugiego i dostawcą trzeciego.

W pierwszej kolejności warto odpowiedzieć na następujące pytania:

1. Kto stworzył system albo zlecił jego stworzenie?
2. Pod czyją nazwą lub marką system jest oferowany?
3. Czy system jest wykorzystywany wyłącznie wewnętrznie?
4. Czy firma udostępnia go klientom, kontrahentom lub spółkom z grupy?
5. Czy system pochodzi od podmiotu spoza Unii Europejskiej?
6. Kto jako pierwszy wprowadza go na rynek UE?
7. Czy firma odsprzedaje licencje albo dostęp do systemu?
8. Kto określa przeznaczenie systemu?
9. Czy firma zmieniła sposób działania lub przeznaczenie narzędzia?
10. Czy system jest częścią produktu sprzedawanego pod marką firmy?
11. Czy system wpływa na bezpieczeństwo produktu?
12. Czy zastosowanie AI może zostać zakwalifikowane jako wysokiego ryzyka?
13. Czy wykorzystanie systemu podlega obowiązkom przejrzystości?
14. Jakie dane osobowe, poufne lub prawnie chronione są przetwarzane?
15. Czy firma dysponuje dokumentacją pozwalającą wykazać zgodność?

Jedna firma, wiele ról i wiele poziomów odpowiedzialności

Najczęstszym błędem jest założenie, że przedsiębiorca korzystający z zewnętrznego narzędzia jest zawsze wyłącznie jego użytkownikiem.

W rzeczywistości firma może stać się dostawcą, jeżeli oferuje system pod własną marką, zleciła jego opracowanie, istotnie go zmodyfikowała albo nadała mu nowe przeznaczenie. Może być importerem, jeżeli wprowadza na rynek UE system zagranicznego producenta. Może być dystrybutorem, jeżeli udostępnia system kolejnym podmiotom. Może również przejąć obowiązki dostawcy jako producent produktu zawierającego element AI.

Prawidłowe ustalenie roli jest pierwszym etapem wdrożenia AI Act. Dopiero później można poprawnie określić:

• poziom ryzyka systemu;
• zakres dokumentacji;
• obowiązki informacyjne;
• wymagania dotyczące nadzoru człowieka;
• potrzebę przeprowadzenia oceny zgodności;
• zasady współpracy z dostawcami i kontrahentami;
• odpowiedzialność za działanie systemu.

W przypadku AI pytanie „kto stworzył narzędzie?” nie jest jedynym pytaniem prawnym. Równie ważne jest to, kto je kontroluje, zmienia, oznacza własną marką, udostępnia oraz decyduje, do czego będzie wykorzystywane.