AI Act a Twoja firma: zamiana ról, luka w IP i systemy HR wysokiego ryzyka
Wprowadzenie
Na webinarze „Zakazać AI” Natalia Lener Bobek (radczyni prawna, Kancelaria Sawaryn i Partnerzy) omawia praktyczne konsekwencje AI Act dla firm technologicznych: klasyfikację systemów, pułapkę zamiany ról, lukę w prawach autorskich do treści AI oraz obowiązki dotyczące narzędzi HR.
5 najważniejszych wniosków z webinaru
- AI Act nie przewiduje wyłączeń dla startupów ani MŚP. Przepisy obejmują każdy podmiot wprowadzający system AI na rynek UE, niezależnie od skali działalności i przychodów.
- Dodanie własnego logo do zewnętrznego modelu AI może zmienić Twoją rolę z podmiotu stosującego na dostawcę. To oznacza obowiązek dokumentacji technicznej, systemu zarządzania ryzykiem i procedury oceny zgodności.
- Do treści wygenerowanych przez AI nie powstają prawa autorskie. Standardowa klauzula o przeniesieniu praw w umowach B2B może być nieskuteczna, co rodzi ryzyko sporów o własność technologii.
- Narzędzia AI w rekrutacji, ocenie pracowników i przydzielaniu zadań wchodzą w reżim systemów wysokiego ryzyka. Dotyczy to osób na UoP i B2B. Przepisy zaczną obowiązywać od sierpnia 2026.
- Pierwszym krokiem jest inwentaryzacja i klasyfikacja systemów AI w organizacji. Bez niej nie wiesz, które obowiązki Cię dotyczą ani ile czasu potrzebujesz na wdrożenie.
Jak AI Act zmienia zasady gry: praktyki i wnioski z webinaru
Zamiana ról w łańcuchu dostaw: jak stać się dostawcą, nie planując tego
AI Act wyraźnie rozdziela role w łańcuchu dostaw technologii. Podmiot stosujący to firma, która kupuje gotowy system AI i korzysta z niego zgodnie z przeznaczeniem. Dostawca to podmiot, który system opracował lub zlecił jego opracowanie i wprowadził go na rynek pod własną marką. Zakres obowiązków dla tych ról jest zupełnie inny.
Problem pojawia się wtedy, gdy granica między rolami się zaciera. AI Act przewiduje mechanizm tzw. zamiany ról (change of roles), który działa w trzech sytuacjach:
- Umieszczasz swoją nazwę handlową lub znak towarowy w systemie AI już wprowadzonym do obrotu.
- Dokonujesz istotnej zmiany w istniejącym systemie wysokiego ryzyka.
- Zmieniasz przeznaczenie modelu ogólnego przeznaczenia tak, że staje się systemem wysokiego ryzyka.
W praktyce oznacza to, że firma integrująca zewnętrzny model AI (np. przez API od OpenAI czy Anthropic), która opakowuje go we własny interfejs i sprzedaje jako swoją funkcjonalność, może zostać zakwalifikowana jako dostawca systemu AI. Nie integrator. Nie reseller. Dostawca. Z pełnym zakresem obowiązków: dokumentacja techniczna, system zarządzania ryzykiem, procedura oceny zgodności.
„Chodzi o to, że jesteśmy podmiotem stosującym i nagle stajemy się dostawcą ze wszystkimi wynikającymi z tego obowiązkami. Bardzo łatwo może dojść do takiego przekwalifikowania nas ze stosującego na dostawcę. I dlaczego tak prosto to zrobić? Bo właśnie wystarczy umieścić swoją nazwę towarową lub znak towarowy w już wprowadzonym systemie i obrendować go.”
Natalia Lener Bobek
Jeśli budujesz produkt SaaS z komponentem AI, sprawdź, jak Twoja platforma prezentuje technologię użytkownikowi końcowemu. Czy widzi markę dostawcy modelu, czy Twoją? Odpowiedź na to pytanie determinuje Twoją rolę regulacyjną i zakres obowiązków.
Każda kancelaria IT, która obsługuje firmy technologiczne, powinna uwzględniać ten mechanizm przy przeglądzie umów z dostawcami API. Podział odpowiedzialności między dostawcą modelu a firmą integrującą musi być jasno uregulowany kontraktowo, zanim produkt trafi na rynek.
Luka w prawach autorskich: co oznacza brak IP do treści generowanych przez AI
AI Act nie reguluje kwestii praw autorskich. To jedna z największych luk w obecnym stanie prawnym, która bezpośrednio wpływa na umowy B2B, wycenę firm i bezpieczeństwo transakcji M&A.
Problem wygląda tak: polskie prawo autorskie chroni utwory będące wynikiem twórczej działalności człowieka. Jeśli fragment kodu, grafika, tekst marketingowy czy koncepcja kampanii zostały wygenerowane przez AI, nie są utworem w rozumieniu ustawy. Prawa autorskie do nich nie powstają. A skoro nie powstają, nie można ich przenieść na klienta.
Standardowa klauzula w umowie B2B: „Wykonawca przenosi na Zamawiającego całość autorskich praw majątkowych do utworów powstałych w ramach realizacji umowy” jest w tej części nieskuteczna.
„Najczęściej tych praw autorskich nie będziemy mieli. Jeżeli wytworzyliśmy cokolwiek za pomocą narzędzia AI-owego, nieważne jak bardzo później to modyfikowaliśmy, to te prawa autorskie nie powstają. Jeżeli mamy w umowie zapis, że przekazujemy prawa autorskie naszemu klientowi, to ten zapis po prostu może być nieważny, może być nieskuteczny.”
Natalia Lener Bobek
Dla software house’ów i agencji oznacza to konieczność przebudowy wzorów umów. Zamiast klasycznego przeniesienia praw, warto wdrożyć model mieszany:
- Przeniesienie praw do elementów stworzonych przez człowieka (koncepcja, selekcja, obróbka, kod napisany ręcznie).
- Licencja na korzystanie z elementów wygenerowanych przez AI.
- Obowiązek oznaczania, które fragmenty produktu powstały w jaki sposób.
Brak takiego rozróżnienia to ryzyko, które pojawia się przy każdej umowie inwestycyjnej i procesie due diligence. Jeśli inwestor lub kupujący nie jest w stanie ustalić, do jakiej części produktu firma ma prawa, nie wie, co kupuje. To bezpośrednio przekłada się na wycenę, warunki transakcji i zabezpieczenia wymagane od foundera.
Obsługa prawna startupów, które korzystają z narzędzi AI w procesie developmentu, powinna obejmować wdrożenie polityki korzystania z AI w zespołach technicznych oraz aktualizację umów z developerami (zarówno UoP, jak i B2B) o klauzule dotyczące AI-generated output.
Systemy HR i zarządzanie zespołem: wysokie ryzyko, które dotyczy też B2B
AI Act klasyfikuje narzędzia AI wykorzystywane w obszarze zatrudnienia jako systemy wysokiego ryzyka. Dotyczy to systemów używanych w rekrutacji, do screeningu CV, podejmowania decyzji o awansie lub zwolnieniu, przydzielania zadań w oparciu o indywidualne cechy osobowości oraz oceny wydajności.
Przepisy nie mówią o „pracownikach” ani o „osobach zatrudnionych na podstawie umowy o pracę”. Mówią o osobach dotkniętych działaniem systemu. To oznacza, że obowiązki compliance obejmują zarówno osoby na UoP, jak i kontraktorów na B2B.
W praktyce wiele firm technologicznych stosuje te same narzędzia do zarządzania całym zespołem niezależnie od formy współpracy: Jira z pluginem AI do estymacji, system do time-trackingu z elementem scoringowym, narzędzia do automatycznej oceny pull requestów. Każde z tych narzędzi może podlegać wymogom AI Act, jeśli wpływa na decyzje dotyczące ludzi.
Firma korzystająca z takiego narzędzia (nawet kupionego od zewnętrznego dostawcy) musi:
- Przeprowadzić ocenę ryzyka przed wdrożeniem.
- Zapewnić nadzór ludzki nad decyzjami systemu.
- Dokumentować sposób działania algorytmu i jego wpływ na osoby oceniane.
- Informować kandydatów i osoby współpracujące o tym, że AI uczestniczy w procesie.
Przepisy dotyczące systemów wysokiego ryzyka w obszarze HR zaczną obowiązywać od sierpnia 2026. Wdrożenie procedur wymaga miesięcy pracy zespołu produktowego i prawnego. Kancelaria prawa pracy wspierająca szybko rosnące organizacje powinna już teraz inicjować przegląd narzędzi AI stosowanych w procesach kadrowych.
Jak wdrożyć te wnioski w praktyce
Poniżej znajdziesz konkretne kroki, które możesz podjąć w swojej organizacji. Kolejność ma znaczenie: każdy następny krok opiera się na wynikach poprzedniego.
Krok 1: Inwentaryzacja systemów AI w organizacji
Wypisz wszystkie narzędzia i funkcjonalności w Twoim produkcie oraz w procesach wewnętrznych, które wykorzystują algorytmy AI. Nie ograniczaj się do oczywistych przypadków (chatboty, generatory treści). Sprawdź też narzędzia do zarządzania zespołem, analityki, scoringu i automatyzacji decyzji.
Krok 2: Klasyfikacja ryzyka
Dla każdego zidentyfikowanego systemu ustal, do jakiej kategorii ryzyka należy według AI Act: praktyka zakazana, system wysokiego ryzyka, system ograniczonego ryzyka czy system minimalnego ryzyka. Pamiętaj, że Komisja Europejska może rozszerzać załącznik nr 3, który definiuje systemy wysokiego ryzyka. Weryfikuj go regularnie.
Krok 3: Ocena roli w łańcuchu dostaw
Dla każdego systemu AI, który Twoja firma oferuje na rynku, ustal, czy jesteś dostawcą czy podmiotem stosującym. Sprawdź, czy Twój produkt nie prezentuje zewnętrznej technologii AI pod Twoją marką. Jeśli tak, przygotuj się na obowiązki dostawcy.
Krok 4: Audyt umów i dokumentacji IP
Przejrzyj umowy z klientami B2B pod kątem klauzul o przeniesieniu praw autorskich. Jeśli Twój zespół korzysta z narzędzi AI przy tworzeniu deliverables, zaktualizuj mechanizm prawny: rozdziel elementy stworzone przez człowieka od elementów wygenerowanych przez AI. Zaktualizuj umowy z developerami i podwykonawcami.
Krok 5: Przegląd narzędzi AI w HR
Zidentyfikuj, które narzędzia używane w rekrutacji, ocenie wydajności i zarządzaniu zespołem korzystają z algorytmów AI. Objęcie przeglądem wszystkich osób współpracujących z firmą (nie tylko na etacie) jest obowiązkowe. Zaplanuj wdrożenie procedur nadzoru, informowania i dokumentowania.
Krok 6: Weryfikacja dostawców narzędzi AI
Przed wdrożeniem jakiegokolwiek narzędzia AI przeczytaj regulamin i politykę prywatności dostawcy. Sprawdź, co dostawca robi z danymi wejściowymi. Jeśli oferuje DPA zgodne z RODO, podpisz je. Ustal plan awaryjny na wypadek zmiany warunków przez dostawcę.
Krok 7: Szkolenie zespołu (AI literacy)
Obowiązek AI literacy obowiązuje od lutego 2025. Dotyczy wszystkich firm, niezależnie od kategorii ryzyka systemu. Przeszkol zespół z zasad odpowiedzialnego korzystania z AI, ryzyk związanych z wrzucaniem danych do narzędzi AI oraz procedur bezpieczeństwa.
Co dalej: harmonogram i następne działania
AI Act wchodzi w życie etapami. Zakaz praktyk niedozwolonych i obowiązek AI literacy obowiązują od lutego 2025. Przepisy dotyczące modeli ogólnego przeznaczenia zaczną obowiązywać od sierpnia 2025. Pełne przepisy o systemach wysokiego ryzyka wejdą w życie w sierpniu 2026.
Dla firm technologicznych, software house’ów i organizacji korzystających z AI w procesach operacyjnych oznacza to jedno: czas na przygotowanie się kurczy się z każdym miesiącem. Wdrożenie procedur dla systemu wysokiego ryzyka to dokumentacja techniczna, system zarządzania ryzykiem, mechanizmy nadzoru ludzkiego, testy i logi. To nie jest zadanie na tydzień.
Obsługa prawna firm działających w sektorze technologicznym wymaga dziś uwzględnienia AI Act jako elementu roadmapy produktowej, a nie osobnego projektu compliance uruchamianego na ostatnią chwilę.
Jeśli Twoja firma integruje AI w produkcie, korzysta z narzędzi AI w procesach HR albo przenosi prawa autorskie do treści tworzonych z udziałem AI, warto zrobić przegląd umów i procesów zanim przepisy zaczną obowiązywać w pełnym zakresie.
Skontaktuj się z nami. Pomożemy ustalić, co wymaga zmiany i w jakiej kolejności.
Obejrzyj i posłuchaj
Obejrzyj webinar:
