Wprowadzenie narzędzi AI w firmie - obowiązki prawne, RODO i wymogi Ai Act krok po kroku

Wdrożenie AI w firmie – znajomość prawa jako konieczny element wdrożenia

Rosnące znaczenie narzędzi AI widać w niemal każdej branży: od IT, przez marketing, HR i obsługę klienta, po finanse i sektor prawny. Jednak wraz z potencjałem pojawia się konkretna odpowiedzialność. Wdrożenie AI w organizacji to nie tylko decyzja technologiczna czy biznesowa – to także proces obwarowany konkretnymi wymogami prawnymi. Ochrona danych osobowych czyli RODO (o której pokrót wspominaliśmy tutaj), bezpieczeństwo informacji, prawa własności intelektualnej czy nadchodzące regulacje unijne, w tym AI Act, stanowią ramy, w których przedsiębiorca musi się poruszać.

Balans między innowacją a zgodnością z prawem staje się więc kluczowy. Firmy, które potrafią połączyć efektywne wykorzystanie AI z przestrzeganiem obowiązków prawnych, zyskują przewagę konkurencyjną – nie tylko technologiczną, ale i wizerunkową. Te, które ten aspekt zlekceważą, mogą narazić się na ryzyko sankcji finansowych, utratę reputacji czy konflikty z klientami i partnerami biznesowymi.

Ochrona danych osobowych przy wdrożeniu AI – od privacy by design po nadzór człowieka

Wprowadzenie sztucznej inteligencji do firmy to nie tylko kwestie techniczne czy organizacyjne. To także obowiązek zmierzenia się z wymaganiami prawnymi w zakresie ochrony danych osobowych. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, czyli znane wszystkim RODO, oraz nadchodzący Akt o Sztucznej Inteligencji (AI Act) jasno mówią: innowacja jest mile widziana, ale nie może odbywać się kosztem praw osób, których dane przetwarzamy.

Privacy by design i privacy by default – art. 25 RODO

Najprościej mówiąc, chodzi o to, by myślenie o ochronie danych zaczynało się już na etapie pomysłu, a nie dopiero po uruchomieniu projektu. „Privacy by design” oznacza w praktyce:

zbierajmy tylko te dane, które są naprawdę potrzebne,
tam gdzie się da – anonimizujmy lub pseudonimizujmy informacje,
konfigurujmy narzędzia tak, by domyślnie działały na najwyższym poziomie bezpieczeństwa.

Przykład? Jeśli w firmie korzystamy z Copilota czy ChatGPT, warto upewnić się, że ustawienia uniemożliwiają wykorzystywanie wprowadzanych treści do dalszego trenowania modeli, zwłaszcza gdy zawierają one dane poufne, tajemnice handlowe czy informacje o klientach. To prosta zmiana w konfiguracji, która może uchronić przed poważnymi problemami.

Ochrona danych osobowych przy wdrożeniu AI – Kluczowe obowiązki wynikające z RODO

Każde przetwarzanie danych osobowych w systemach AI musi opierać się na konkretnej podstawie prawnej: zgodzie osoby, wykonaniu umowy, obowiązku prawnego lub tzw. prawnie uzasadnionym interesie. Dodatkowo przedsiębiorca ma obowiązek przekazania osobom, których dane dotyczą, jasnej informacji o tym, że ich dane będą przetwarzane z użyciem AI, w jakim celu, na jakiej podstawie oraz jakie prawa im przysługują. Ten wymóg dotyczy zarówno klientów, jak i pracowników, a w przyszłości – w przypadku niektórych systemów – stanie się także obowiązkiem wynikającym z AI Act w zakresie transparentności.

Masz pytania lub potrzebujesz pomocy?
Zadzwoń do nas: +48 61 307 09 91
lub napisz na adres: kancelaria@rpms.pl.

Zakaz automatycznych decyzji bez udziału człowieka – art. 22 RODO

RODO zabrania podejmowania decyzji wywołujących wobec osoby skutki prawne lub w podobny sposób istotnie na nią wpływających wyłącznie na podstawie zautomatyzowanego przetwarzania, w tym profilowania. Wyjątki są ściśle określone i wymagają m.in. wyraźnej zgody lub oparcia się na przepisach prawa. Dlatego wdrażając AI np. w procesie rekrutacji, oceny pracowników czy weryfikacji zdolności kredytowej klientów, należy zapewnić „human-in-the-loop” – mechanizm nadzoru człowieka, który może zweryfikować i zmienić decyzję algorytmu.

Wymogi AI Act w zakresie transparentności i nadzoru

AI Act, który zacznie obowiązywać w najbliższych latach, rozszerza obowiązki w tym zakresie. W przypadku systemów wysokiego ryzyka przewiduje m.in. obowiązek zapewnienia ciągłego nadzoru człowieka nad działaniem AI oraz pełnej dokumentacji procesu decyzyjnego. Z kolei systemy ograniczonego ryzyka (np. chatboty czy generatory treści) będą musiały spełnić wymogi transparentności – użytkownik ma wiedzieć, że komunikuje się z AI lub korzysta z treści przez nią wygenerowanych.

Analiza ryzyka i dokumentacja zgodności – jak przygotować się na kontrolę

Przedsiębiorstwo, które wdraża narzędzia AI, musi nie tylko upewnić się, że są one bezpieczne technologicznie, ale również udokumentować zgodność z obowiązującymi przepisami. Kluczowym narzędziem w tym zakresie jest ocena skutków dla ochrony danych osobowych (DPIA), przewidziana w art. 35 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). DPIA jest obowiązkowa, gdy przetwarzanie – zwłaszcza z użyciem nowych technologii – może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, np. przy analizie danych wrażliwych, profilowaniu klientów czy automatyzacji decyzji kadrowych.

AI Act wprowadza dodatkowy wymóg dla systemów wysokiego ryzyka – analizę wpływu na prawa podstawowe (FRIA). Jej celem jest zbadanie, w jaki sposób dany system AI może oddziaływać na wolności obywatelskie, równe traktowanie, prywatność czy bezpieczeństwo. FRIA obejmuje zarówno ocenę ryzyk, jak i plan działań ograniczających ich skutki.

Najlepszą praktyką jest integracja DPIA i FRIA w jeden spójny proces – pozwala to uniknąć dublowania analiz, skraca czas wdrożenia i zapewnia, że zarówno wymogi RODO, jak i AI Act, są uwzględnione w dokumentacji. Efektem powinien być kompletny raport techniczno-prawny, który opisuje cele i sposób działania AI, kategorie przetwarzanych danych, mechanizmy kontroli oraz plan reagowania na incydenty. Taka dokumentacja nie tylko spełnia wymogi organów nadzorczych, ale stanowi także wewnętrzny punkt odniesienia w procesie audytu zgodności.

Regulamin korzystania z narzędzi AI i ochrona danych poufnych

Skuteczne wdrożenie AI wymaga jasnych zasad korzystania z nowych technologii. Zgodnie z art. 11 ustawy o zwalczaniu nieuczciwej konkurencji, przedsiębiorca ma obowiązek chronić tajemnicę handlową, co oznacza konieczność wprowadzenia polityki regulującej użycie AI – określającej dopuszczalne zastosowania, sposób przechowywania i wprowadzania danych oraz wymagania bezpieczeństwa.

Podstawą jest zakaz wprowadzania do zewnętrznych narzędzi AI danych poufnych i wrażliwych (dane osobowe, kod źródłowy, dokumentacja, strategie) bez uprzedniego zatwierdzenia i konfiguracji narzędzia. Niezbędna jest także procedura weryfikacji wygenerowanych treści pod kątem merytorycznym, prawnym i zgodności z prawami autorskimi, aby uniknąć plagiatu i naruszeń licencji.

Dobrze przygotowany regulamin wraz z procedurami minimalizuje ryzyko prawne, zwiększa bezpieczeństwo operacyjne i wspiera kulturę odpowiedzialnego korzystania z AI.

Własność intelektualna i licencje a treść generowana przez AI

Wykorzystanie narzędzi AI do generowania treści – czy to kodu źródłowego, tekstów marketingowych, grafik czy analiz – wiąże się z szeregiem zagadnień prawnych z zakresu prawa autorskiego i licencji.

Brak ochrony dla treści wygenerowanych wyłącznie przez AI

Zgodnie z art. 1 ust. 1 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, ochronie podlega jedynie przejaw działalności twórczej o indywidualnym charakterze, stworzony przez człowieka. Algorytm – nawet najbardziej zaawansowany – nie jest twórcą w rozumieniu prawa. W konsekwencji treści stworzone w całości przez AI nie korzystają z ochrony prawno-autorskiej. Firma, która wykorzysta taki materiał, nie uzyska wyłącznych praw i nie będzie mogła skutecznie zakazać innym podmiotom jego kopiowania czy modyfikacji.

Ryzyko naruszenia cudzych praw autorskich

Choć modele AI są trenowane na ogromnych zbiorach danych, mogą generować treści podobne lub identyczne z istniejącymi utworami. Dotyczy to zwłaszcza kodu źródłowego, wzorów graficznych czy fragmentów tekstów. W przypadku publikacji lub komercyjnego użycia takiego materiału istnieje ryzyko naruszenia praw autorskich osób trzecich. Odpowiedzialność za taki naruszenie ponosi podmiot korzystający z AI, a nie dostawca narzędzia.

Porównanie regulaminów dostawców – różne podejście do ryzyka

Regulaminy narzędzi AI istotnie różnią się w zakresie alokacji ryzyka prawnego:

OpenAI (np. ChatGPT) – użytkownik otrzymuje prawa do korzystania z wygenerowanej treści, ale korzysta z niej na własną odpowiedzialność. OpenAI nie gwarantuje braku naruszeń praw autorskich i nie przejmuje odpowiedzialności za ewentualne roszczenia osób trzecich.
Microsoft Copilot – w ramach wersji komercyjnej zobowiązuje się bronić użytkownika przed roszczeniami związanymi z zarzutami naruszenia praw autorskich przez podpowiedzi wygenerowane przez AI, pod warunkiem, że zostały one wykorzystane w niezmienionej formie. Copilot stosuje też filtry wykrywające i blokujące dłuższe fragmenty kodu identyczne z publicznymi repozytoriami.

Świadomość tych różnic jest kluczowa dla działów IT, prawnych i compliance. Wybór narzędzia AI powinien być poprzedzony analizą regulaminu pod kątem licencji, odpowiedzialności i środków zabezpieczających użytkownika przed roszczeniami.

AI Act – nowe regulacje i wysokie kary za naruszanie przepisów

Unijny Akt o Sztucznej Inteligencji (AI Act) to pierwsze w Europie tak kompleksowe ramy prawne dotyczące AI. Jego celem jest zapewnienie bezpieczeństwa użytkowników i ujednolicenie standardów w całej Unii. Kluczowym elementem AI Act jest klasyfikacja systemów według poziomu ryzyka:

Systemy zakazane – np. masowa, nieuzasadniona inwigilacja biometryczna, tzw. social scoring obywateli, manipulacja z użyciem podprogowych technik wpływu. Ich stosowanie będzie całkowicie zabronione.
Systemy wysokiego ryzyka – m.in. AI w rekrutacji i ocenie pracowników, systemy kredytowe i ubezpieczeniowe, narzędzia w ochronie zdrowia, edukacji czy infrastrukturze krytycznej. Wymagają prowadzenia szczegółowej dokumentacji, zapewnienia nadzoru człowieka, wysokiej jakości danych i rejestracji systemu w unijnym wykazie.
Systemy ograniczonego ryzyka – np. chatboty, generatory treści marketingowych. Obowiązek informowania użytkownika o interakcji z AI lub korzystaniu z treści wygenerowanych przez AI.
Systemy minimalnego ryzyka – narzędzia wspierające procesy biznesowe, które nie wywołują istotnych skutków prawnych lub faktycznych.

Z perspektywy biznesu najważniejsza jest kategoria wysokiego ryzyka, ponieważ to ona wiąże się z najbardziej rozbudowanymi wymogami compliance. Brak ich spełnienia może prowadzić do dotkliwych sankcji określonych w art. 99 AI Act:

do 35 000 000 EUR lub 7% globalnego obrotu – za naruszenie zakazów z art. 5 (systemy zakazane),
do 15 000 000 EUR lub 3% globalnego obrotu – za naruszenie obowiązków dotyczących m.in. dostawców, importerów, dystrybutorów, podmiotów stosujących oraz wymogów przejrzystości (art. 16, 22–24, 26, 31, 33–34, 50),
do 7 500 000 EUR lub 1% globalnego obrotu – za dostarczenie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji organom nadzoru lub jednostkom notyfikowanym.

Co istotne, kary z AI Act mogą być kumulowane z sankcjami z RODO, jeśli naruszenia dotyczą również przetwarzania danych osobowych. To oznacza, że nawet pojedyncze uchybienie może kosztować firmę miliony euro i poważnie nadszarpnąć reputację.

Audyt wykorzystania AI w firmie – jak minimalizować ryzyko prawne

Wyobraźmy sobie, że Twoi programiści zaczynają korzystać z GitHub Copilot – asystenta kodowania opartego na AI. Narzędzie przyspiesza pracę, podpowiada fragmenty kodu i pomaga w rozwiązywaniu problemów. Jednak Copilot działa w oparciu o ogromne zbiory publicznego kodu, a jego regulamin określa precyzyjnie, w jakich warunkach Microsoft przejmuje odpowiedzialność (tzw. indemnizacja), a kiedy ryzyko pozostaje po stronie użytkownika.

Bez audytu możesz przeoczyć, że:

w projekcie znalazły się fragmenty kodu objęte licencjami, które są niezgodne z Twoim modelem biznesowym,
programiści przypadkowo wprowadzają do Copilota elementy kodu objęte tajemnicą przedsiębiorstwa,
nie masz procedur weryfikacji wygenerowanych podpowiedzi, co zwiększa ryzyko błędów lub naruszeń praw autorskich,
nie zostały spełnione obowiązki dokumentacyjne i nadzorcze wymagane przez AI Act w przypadku narzędzi używanych w procesach wysokiego ryzyka.

W ramach audytu:

sprawdzimy zgodność praktyk w firmie z regulaminem Copilota,
ocenimy ryzyko naruszeń praw autorskich i tajemnicy przedsiębiorstwa,
opracujemy procedury weryfikacji wyników AI,
przygotujemy dokumentację i polityki wymagane przez RODO i nadchodzący AI Act,
przeszkolimy zespół, by korzystał z narzędzia bezpiecznie i zgodnie z prawem.

Takie podejście sprawia, że możesz w pełni korzystać z możliwości Copilota (i innych narzędzi AI), jednocześnie minimalizując ryzyka finansowe, prawne i wizerunkowe, zachęcamy do kontaktu!

MAM PYTANIA | JESTEM ZAINTERESOWANY / A OFERTĄ