AI w firmie technologicznej: prawa autorskie, RODO, AI Act i umowy B2B. Co musisz wiedzieć i zmienić w 2025 roku

AI w firmie technologicznej: prawa autorskie, RODO, AI Act i umowy B2B. Co musisz wiedzieć i zmienić w 2025 roku

Natalia Lener Bobek, radczyni prawna z Kancelarii Sawaryn i Partnerzy

W tym webinarze Natalia Lener Bobek (radczyni prawna, Kancelaria Sawaryn i Partnerzy) omawia konkretne ryzyka prawne związane z wykorzystaniem AI w firmach technologicznych: wadliwe umowy IT, wycieki danych, klasyfikację ról w AI Act i odpowiedzialność za output generatywnej sztucznej inteligencji.

5 najważniejszych wniosków z webinaru

1. Dzieła wygenerowane w całości przez AI nie podlegają ochronie prawnoautorskiej. Jeśli w umowie B2B gwarantujesz przeniesienie praw autorskich do takiego outputu, składasz oświadczenie, którego nie możesz wykonać.
2. Darmowe narzędzia AI trenują na Twoich danych. Pracownik wrzucający do nich kod źródłowy, umowy lub dane klientów naraża firmę na naruszenie RODO i umów NDA z partnerami biznesowymi.
3. Integracja modelu AI przez API może uczynić Cię Dostawcą w rozumieniu AI Act. To oznacza obowiązki regulacyjne, które mogą zablokować sprzedaż produktu w UE, jeśli nie zostaną wcześniej zmapowane.
4. Copyright shield od big techów zawiera liczne wyłączenia. Odpowiedzialność za naruszenie praw osób trzecich przez output AI spoczywa na Twojej firmie, nie na dostawcy narzędzia.
5. Wewnętrzna polityka AI z białą listą narzędzi i zasadą anonimizacji danych to minimum operacyjne. Zakaz używania AI nie działa. Uporządkowane zasady tak.

Ryzyka i rekomendacje: co zmienić w umowach, procesach i organizacji

Natalia Lener Bobek przeprowadziła uczestników webinaru przez pięć obszarów, w których firmy technologiczne najczęściej popełniają błędy. Każdy z nich przekłada się na konkretne konsekwencje finansowe, operacyjne i reputacyjne.

Prawa autorskie do kodu i materiałów generowanych przez AI: wadliwe oświadczenia w umowach B2B

Jeśli prowadzisz software house, agencję marketingową lub firmę tworzącą oprogramowanie na zlecenie, sprawdź jedno: czy Twoje umowy IT zawierają oświadczenie o przeniesieniu praw autorskich do materiałów, które Twój zespół generuje przy użyciu AI.

Problem polega na tym, że prawa autorskie do dzieł wygenerowanych w całości przez sztuczną inteligencję po prostu nie powstają. Autorem w rozumieniu prawa może być wyłącznie człowiek. Jeśli output pochodzi z narzędzia AI i nie został przez człowieka w wystarczającym stopniu zmodyfikowany, nie podlega ochronie prawnoautorskiej. A skoro nie ma praw, nie można ich przenieść.

„Jeżeli stworzyliśmy oprogramowanie, grafikę, kampanię marketingową w całości za pomocą narzędzia AIowego i oświadczamy w umowie, że przenosimy wszystkie prawa autorskie na rzecz naszego klienta, to takie oświadczenie może być oświadczeniem nieprawdziwym, ponieważ najczęściej nie będziemy mieć tych praw autorskich, więc nie możemy ich na nikogo przenieść.”
Natalia Lener Bobek

To nie jest odległy scenariusz. To codzienność firm, które nie zaktualizowały wzorów umów B2B. Problem ujawnia się najpóźniej przy due diligence przed inwestycją lub transakcją M&A. Inwestor widzi wadliwe oświadczenia, identyfikuje ryzyko roszczeń ze strony klientów i obniża wycenę spółki albo wycofuje się z transakcji.

Webinar wskazał trzy poziomy kwalifikacji dzieł tworzonych z AI:

• Dzieła wspomagane przez AI (np. korekta tekstu, poprawa zdjęcia). Prawa autorskie należą do Ciebie, bo to Ty stworzyłeś dzieło. AI było tylko narzędziem pomocniczym.
• Dzieła wygenerowane w całości przez AI (prosty prompt, brak modyfikacji). Prawa autorskie nie powstają. Output jest niczyj. Każdy może go skopiować i wykorzystać.
• Dzieła powstałe we współpracy z AI (wielokrotne promptowanie, szczegółowa koncepcja). Kwestia sporna. Urząd Praw Autorskich w USA uznał, że samo promptowanie, nawet wielokrotne, nie tworzy ochrony. Sąd w Pekinie zajął przeciwne stanowisko. W Europie na razie jeden wyrok czeskiego sądu, który praw autorskich nie przyznał.

Co zrobić:

• Zmapuj projekty, w których zespół używa AI do generowania kodu, grafik lub treści.
• Zaktualizuj wzory umów B2B. Zamiast pustego oświadczenia o przeniesieniu praw, wprowadź zapisy opisujące sposób korzystania z AI i określające zasady odpowiedzialności za ten element pracy.
• Traktuj AI jako narzędzie pomocnicze. Modyfikuj output ręcznie i dokumentuj historię tworzenia dzieła.
• Ustal z klientem, czy akceptuje materiały bez pełnej ochrony prawnoautorskiej.

Wyciek danych poufnych i naruszenia RODO przez darmowe narzędzia AI

Drugi obszar ryzyka dotyczy tego, co Twój zespół wrzuca do narzędzi AI. Każdy prompt to input. Każdy dokument, fragment kodu, dane klientów, strategia biznesowa, umowy z kontrahentami. Jeśli Twoi pracownicy korzystają z darmowych wersji narzędzi AI, te dane trafiają do trenowania publicznych modeli. Mogą pojawić się w odpowiedziach dla innych użytkowników, w tym dla Twojej konkurencji.

Natalia Lener Bobek przytoczyła dwie realne sytuacje. W Niemczech prawnicy wrzucili pozew do narzędzia AI, a po odpowiednim zapromptowaniu jego treść pojawiła się u strony przeciwnej, zanim dokument został złożony w sądzie. W sektorze paliwowym w Europie strategia marketingowo-biznesowa firmy trafiła do czata i po zapromptowaniu była dostępna dla konkurenta.

„Nie korzystajcie z bezpłatnych narzędzi. Jeżeli chcecie z tego korzystać w ramach swojej organizacji w biznesie, to zdecydowanie polecam używanie narzędzi płatnych, ponieważ te narzędzia bezpłatne w znacznej większości, o ile nie wszystkie, trenują na tym, co wrzucamy.”
Natalia Lener Bobek

Konsekwencje to naruszenie przepisów RODO (jeśli w prompcie znalazły się dane osobowe), złamanie umów NDA z klientami i partnerami oraz ujawnienie tajemnicy przedsiębiorstwa. Odpowiedzialność za te naruszenia ponosi Twoja firma, nie pracownik, który wrzucił dane.

Co zrobić:

• Przejdź na wersje płatne (enterprise) narzędzi AI. Zapewniają izolację danych i blokują wykorzystanie promptów do nauki modelu.
• Wdróż wewnętrzną politykę AI z białą listą dozwolonych narzędzi.
• Wprowadź twardą zasadę anonimizacji danych przed wprowadzeniem czegokolwiek do promptu.
• Zweryfikuj regulaminy narzędzi, z których korzysta zespół: czy trenują na danych, czy można wyłączyć tę funkcję, czy możliwe jest zawarcie umowy powierzenia danych osobowych (DPA).
• Przeprowadź szkolenie zespołu. Bez świadomości ryzyk żadna polityka nie zadziała.

Klasyfikacja ról w AI Act: pułapka „Dostawcy” dla firm SaaS i integrujących modele AI

Trzeci temat webinaru dotyczył AI Act i tego, jak ustalić, czy regulacja dotyczy Twojej firmy. Wokół AI Act narosło wiele mitów. Najczęstszy z nich: „Nie tworzę modelu językowego, więc AI Act mnie nie dotyczy.”

AI Act wprowadza podział na dwie główne role: Dostawca (Provider) i Stosujący (Deployer). Dostawcą jest nie tylko firma, która tworzy model AI od zera. Dostawcą może być każdy podmiot, który:

• Tworzy oprogramowanie oparte o AI i sprzedaje je na zewnątrz.
• Zleca komuś stworzenie systemu AI i wprowadza go do obrotu pod własną marką.
• Tworzy rozwiązanie AI do użytku wewnętrznego w swojej organizacji.
• Integruje model AI (np. przez API) z własnym produktem i wypuszcza go na rynek.

Ostatni punkt jest szczególnie ważny dla firm SaaS. Jeśli budujesz aplikację, łączysz ją przez API z modelem językowym (np. ChatGPT) i oferujesz klientom jako swój produkt, możesz wpaść w definicję Dostawcy. A to oznacza obowiązki regulacyjne: ocena ryzyka, dokumentacja techniczna, nadzór nad systemem po wdrożeniu.

Zakres obowiązków zależy od kategorii ryzyka systemu:

• Systemy zakazane (np. manipulacja podprogowa, social scoring). Całkowity zakaz. Przepisy obowiązują od 2 lutego 2025.
• Systemy wysokiego ryzyka (np. zatrudnienie, edukacja, wymiar sprawiedliwości). Najobszerniejszy zestaw obowiązków z AI Act. Wchodzą w życie od sierpnia 2026 i 2027.
• Systemy ograniczonego ryzyka (np. chatboty). Obowiązek oznaczania, że użytkownik rozmawia z AI.
• Systemy minimalnego ryzyka. Brak dodatkowych obowiązków.

AI Act dotyczy też firm spoza UE, jeśli ich system jest dostępny na rynku europejskim. Dlatego Open AI, Microsoft czy Google muszą się dostosować do przepisów.

Co zrobić:

• Ustal, czy Twój produkt spełnia definicję systemu AI w rozumieniu AI Act.
• Sprawdź, jaką rolę pełnisz: Dostawca czy Stosujący.
• Określ kategorię ryzyka systemu.
• Jeśli wpadasz w definicję Dostawcy systemu wysokiego ryzyka, zaplanuj wdrożenie wymagań regulacyjnych przed oficjalnym launchem produktu.
• Uwzględnij wymogi AI Act w roadmapie produktowej. Brak przygotowania to brak możliwości legalnej sprzedaży w UE.

Jak wdrożyć te wnioski w praktyce

Webinar wskazał konkretne kroki, które możesz podjąć niezależnie od tego, czy prowadzisz software house, firmę SaaS, agencję marketingową czy sklep e-commerce korzystający z AI.

Krok 1: Audyt użycia AI w projektach

Zmapuj, w których projektach Twój zespół korzysta z narzędzi AI. Dotyczy to kodu, grafik, treści marketingowych, analiz i automatyzacji obsługi klienta. Ustal, które z tych projektów są objęte umowami z klientami zawierającymi oświadczenia o przeniesieniu praw autorskich.

Krok 2: Aktualizacja umów B2B i kontraktów z podwykonawcami

Przejrzyj wzory umów IT pod kątem trzech rzeczy:

• Czy zawierają oświadczenia o przeniesieniu praw autorskich do materiałów, które mogły zostać wygenerowane przez AI.
• Czy regulują sposób korzystania z narzędzi AI przez wykonawcę lub podwykonawcę.
• Czy zawierają klauzule ograniczające odpowiedzialność za wady prawne outputu AI i za halucynacje modeli generatywnych.

Jeśli współpracujesz z podwykonawcami B2B, dodaj trzy zapisy: obowiązek informowania o wykorzystaniu AI, zakaz używania darmowych narzędzi trenujących na danych i odpowiedzialność finansową podwykonawcy za naruszenie praw osób trzecich.

Krok 3: Wdrożenie wewnętrznej polityki AI

Stwórz dokument operacyjny (nie regulamin na 20 stron, którego nikt nie przeczyta), zawierający:

• Białą listę narzędzi AI dopuszczonych do użytku w organizacji.
• Zasadę anonimizacji: zakaz wprowadzania danych osobowych, danych finansowych i informacji poufnych do promptów. Bez wyjątków.
• Obowiązek oznaczania outputu: informowanie przełożonego i klienta, że dany element powstał przy wsparciu AI.
• Procedurę weryfikacji wyników przez człowieka (human-in-the-loop).

Krok 4: Research i weryfikacja narzędzi

Sprawdź regulaminy narzędzi AI, z których korzysta Twój zespół. Ustal:

• Czy narzędzie trenuje na Twoich danych (input i output).
• Czy można wyłączyć trenowanie.
• Czy jest możliwość zawarcia umowy powierzenia danych osobowych (DPA).
• Czy licencja pozwala na komercyjne wykorzystanie outputu. Niektóre licencje tego zabraniają, a naruszenie warunków licencji uprawnia dostawcę do wystąpienia z roszczeniem o odszkodowanie.

Krok 5: Klasyfikacja w AI Act

Jeśli tworzysz, integrujesz lub sprzedajesz rozwiązania oparte na AI, przeprowadź audyt klasyfikacji:

• Rola: Dostawca czy Stosujący.
• Kategoria ryzyka: zakazany, wysoki, ograniczony, minimalny.
• Harmonogram: przepisy dotyczące systemów wysokiego ryzyka wchodzą od sierpnia 2026. Czas na przygotowanie jest teraz.

Co dalej: uporządkuj obsługę prawną firmy zanim pojawi się spór lub audyt inwestora

Regulacje dotyczące AI w Europie są w fazie kształtowania. AI Act wprowadza pierwsze ramy, ale nie rozwiązuje wszystkich problemów, takich jak prawa autorskie do outputu AI, odpowiedzialność za halucynacje modeli czy zasady wynagradzania twórców, na których dziełach trenowano modele językowe. Unia Europejska wycofała się z dyrektywy o odpowiedzialności za AI, co oznacza, że w każdym kraju kwestia ta będzie regulowana inaczej, na gruncie przepisów krajowych.

Dla firm technologicznych oznacza to jedno: nie czekaj na gotowe przepisy. Zabezpieczaj się teraz, na poziomie umów, procedur i wewnętrznych zasad pracy z AI. Zaktualizuj umowy IT i kontrakty B2B. Wdróż politykę AI. Zmapuj ryzyka wynikające z AI Act. Uporządkuj własność intelektualną, zanim audytorzy inwestora znajdą luki sami.

Nasza kancelaria IT ma doświadczenie w obsłudze prawnej firm z branży technologicznej, w tym we wdrożeniach AI, weryfikacji narzędzi, przygotowywaniu umów IT i przeprowadzaniu audytów IP przed transakcjami M&A. Pracujemy z founderami, zarządami i managerami, łącząc prawo spółek, umowy inwestycyjne, ochronę danych i prawo cyfrowe w jeden spójny model obsługi prawnej spółek.

Jeśli Twoja firma korzysta z AI w projektach dla klientów, a wzory umów nie zostały zaktualizowane pod kątem praw autorskich i odpowiedzialności za output AI, skontaktuj się z nami.

Obejrzyj webinar

Obejrzyj nagranie: