AI Act: klasyfikacja ryzyka, zamiana ról i obowiązki, które dotyczą każdej firmy technologicznej

Kancelaria Sawaryn & Partnerzy

W tym webinarze Natalia Lener Bobek (radczyni prawna, Kancelaria Sawaryn & Partnerzy) omawia kluczowe mechanizmy AI Act: klasyfikację ryzyka systemów AI, pułapkę zamiany ról w łańcuchu dostaw oraz praktyczne obowiązki dostawców i podmiotów stosujących.

5 najważniejszych wniosków z webinaru

1. AI Act nie różnicuje obowiązków ze względu na wielkość firmy. Startup wdrażający system wysokiego ryzyka podlega tym samym wymogom co globalna korporacja. Brak taryfy ulgowej dla MŚP.
2. White-labeling zmienia Twoją rolę regulacyjną. Obrandowanie gotowego systemu AI pod własną marką przekwalifikuje Cię z podmiotu stosującego na dostawcę, z pełnym pakietem obowiązków compliance.
3. AI Act nie reguluje praw autorskich ani odpowiedzialności za szkody. Wygenerowane przez AI treści mogą nie podlegać ochronie IP, co komplikuje umowy IT, rundy inwestycyjne i transakcje M&A.
4. AI Literacy obowiązuje od lutego 2025 i dotyczy każdej organizacji. Nawet firma korzystająca wyłącznie z systemów minimalnego ryzyka musi wdrożyć procedury świadomego korzystania z AI.
5. Przepisy przejściowe dają czas, ale nie tak dużo, jak się wydaje. Inwentaryzacja narzędzi AI, klasyfikacja ryzyka i przygotowanie dokumentacji w średniej organizacji to miesiące pracy, nie pojedyncze spotkanie.

Kluczowe mechanizmy i dobre praktyki

Webinar odsłonił kilka obszarów, które wymagają natychmiastowej uwagi ze strony zarządów i osób odpowiedzialnych za compliance w firmach technologicznych. Poniżej prezentujemy najważniejsze wnioski pogrupowane według tematów.

Klasyfikacja systemów AI i konsekwencje dla produktu

AI Act dzieli systemy sztucznej inteligencji na cztery poziomy ryzyka: systemy zakazane (np. social scoring, manipulacja podprogowa), systemy wysokiego ryzyka (np. rekrutacja, scoring kredytowy, diagnostyka medyczna), systemy ograniczonego ryzyka (np. chatboty, generatory treści) oraz systemy minimalnego ryzyka.

Reguła decyzyjna jest prosta. Jeśli Twój produkt dotyka rekrutacji, oceny zdolności kredytowej, biometrii, ubezpieczeń lub edukacji, trafiasz do kategorii wysokiego ryzyka. Oznacza to obowiązek prowadzenia dokumentacji technicznej, wdrożenia systemu zarządzania ryzykiem, zapewnienia audytowalności i nadzoru ludzkiego.

Co istotne, Komisja Europejska może modyfikować załącznik nr 3 do rozporządzenia, rozszerzając lub zawężając listę systemów wysokiego ryzyka. To oznacza, że system, który dziś klasyfikujesz jako ograniczone ryzyko, jutro może trafić do kategorii wysokiego ryzyka. Obsługa prawna firm technologicznych w tym kontekście wymaga bieżącego monitoringu zmian regulacyjnych.

Najczęstszy błąd, który widzimy w praktyce: klasyfikacja ryzyka pojawia się dopiero wtedy, gdy produkt jest gotowy do wdrożenia u klienta enterprise. A klient enterprise pyta o zgodność z AI Act już na etapie zapytania ofertowego.

Dodaj ocenę ryzyka AI Act do procesu planowania każdego nowego modułu produktowego. Przed pierwszą linijką kodu, nie po fakcie. Koszt wczesnej klasyfikacji to kilka godzin pracy. Koszt przebudowy architektury pod compliance to tygodnie i przesunięte releasy.

Pułapka zamiany ról w łańcuchu dostaw oprogramowania

To jeden z najbardziej niedocenianych mechanizmów AI Act, który bezpośrednio wpływa na firmy działające w modelu SaaS, white-label czy integracji systemów.

Zamiana ról polega na tym, że podmiot stosujący (deployer) staje się dostawcą (provider) ze wszystkimi wynikającymi z tego obowiązkami. Do przekwalifikowania wystarczy spełnienie jednego z trzech warunków:

• Umieszczenie własnej nazwy handlowej lub znaku towarowego w już wprowadzonym systemie AI. To najprostszy i najczęstszy scenariusz. Kupujesz gotowy system, obrandujesz go, oferujesz klientom pod swoją marką. Z perspektywy biznesowej to white-label. Z perspektywy AI Act to zmiana roli.
• Dokonanie istotnej zmiany w systemie wysokiego ryzyka już wprowadzonym do obrotu. Istotna zmiana jest zdefiniowana szeroko: każda modyfikacja, która nie została przewidziana przez pierwotnego dostawcę.
• Zmiana przeznaczenia modelu ogólnego przeznaczenia w taki sposób, że staje się on systemem wysokiego ryzyka. Na przykład: wykorzystanie publicznego modelu językowego do budowy narzędzia scoringu kredytowego.

„Chodzi o to, że jesteśmy podmiotem stosującym i nagle stajemy się dostawcą ze wszystkimi wynikającymi z tego obowiązkami. Wystarczy umieścić swoją nazwę handlową lub znak towarowy w już wprowadzonym systemie i obrandować go.”

Natalia Lener Bobek, podczas webinaru Kancelarii Sawaryn & Partnerzy

Dla software house’ów i spółek SaaS budujących ofertę w oparciu o cudze modele AI to kluczowe ryzyko. Marża jest na dystrybucji i integracji, nie na budowie modelu. Ale odpowiedzialność regulacyjna nie podąża za marżą. Podąża za marką.

Co warto zrobić: Przejrzyj umowy IT z dostawcami technologii AI. Zmapuj swoją rolę w łańcuchu dostaw dla każdego produktu osobno. Jeden produkt może oznaczać rolę deployera, inny już providera. Zaplanuj budżet na compliance zanim wypuścisz produkt na rynek.

Luki prawne: prawa autorskie i odpowiedzialność za działanie AI

AI Act nie jest regulacją kompletną. To rozporządzenie produktowe, które reguluje bezpieczeństwo systemów AI i klasyfikację ryzyka. Nie zajmuje się dwoma kluczowymi obszarami: własnością intelektualną i odpowiedzialnością za szkody.

Problem pierwszy: kto ma prawa do outputu? Jeśli Twój zespół deweloperski generuje kod za pomocą Copilota, a agencja tworzy kampanię marketingową w ChatGPT, status prawny tych materiałów jest w najlepszym razie niepewny. Dominująca doktryna (idąca ze Stanów Zjednoczonych) wskazuje, że treści wygenerowane przez AI mogą nie podlegać ochronie prawnoautorskiej. To oznacza, że zapis o przeniesieniu praw autorskich w umowie z klientem może być nieskuteczny.

Widzimy to w praktyce przy transakcjach M&A i rundach inwestycyjnych. Inwestor pyta: „Czy spółka posiada pełne prawa do swojego produktu?” Jeśli istotna część kodu powstała z udziałem narzędzi generatywnych, a w umowach z deweloperami nie ma ani słowa o AI, odpowiedź brzmi: „nie wiemy”. A „nie wiemy” w due diligence blokuje transakcję. Dobrze przygotowana umowa inwestycyjna wymaga wcześniejszego uporządkowania struktury IP.

Problem drugi: czyje prawa naruszasz? Duże modele językowe trenowano na danych pobranych z internetu bez zgody twórców. Rezultat, który otrzymasz od narzędzia AI, może stanowić naruszenie praw autorskich osoby trzeciej. Model AI nie ma podmiotowości prawnej. Odpowiada ten, kto materiał opublikował.

„AI Act to jest regulacja, która dotyczy systemów AI i systemów ogólnego przeznaczenia. Natomiast AI Act nie porusza bardzo wielu istotnych kwestii. Nie reguluje kwestii praw autorskich.”

Natalia Lener Bobek, podczas webinaru Kancelarii Sawaryn & Partnerzy

Problem trzeci: odpowiedzialność za szkody. Odrębne rozporządzenie unijne, które miało regulować odpowiedzialność za szkody wyrządzone przez AI, zostało wstrzymane. Na dziś odpowiedzialność jest regulowana osobno w każdym państwie członkowskim. Dla obsługi prawnej spółek działających transgranicznie oznacza to dodatkową warstwę niepewności.

Jak wdrożyć te wnioski w praktyce

Poniżej znajdziesz konkretne kroki, które możesz podjąć w swojej organizacji. Kolejność ma znaczenie: każdy następny krok opiera się na wynikach poprzedniego.

Krok 1: Przeprowadź inwentaryzację systemów AI

Zrób listę wszystkich narzędzi AI używanych w organizacji. Nie tylko tych kupionych oficjalnie, ale też tych, z których zespoły korzystają samodzielnie (shadow IT). Dla każdego narzędzia zapisz: kto używa, do czego, jakie dane przetwarza, kto jest dostawcą. To Twoja mapa startowa. Bez niej każdy kolejny krok compliance będzie oparty na domysłach.

Krok 2: Sklasyfikuj ryzyko każdego systemu

Dla każdego zidentyfikowanego narzędzia oceń: czy to jest praktyka zakazana (jeśli tak, zmień sposób wykorzystywania natychmiast), system wysokiego ryzyka, ograniczonego ryzyka, czy minimalnego ryzyka. Pamiętaj, że granica między praktykami zakazanymi a systemami wysokiego ryzyka bywa wąska i dyskusyjna.

Krok 3: Zmapuj swoją rolę w łańcuchu dostaw

Dla każdego produktu z komponentem AI ustal, czy Twoja firma jest dostawcą czy podmiotem stosującym. Zwróć szczególną uwagę na scenariusze zamiany ról: white-labeling, istotne modyfikacje, zmiana przeznaczenia modelu. Jeśli działasz jako kancelaria IT obsługująca klientów technologicznych lub sam rozwijasz produkty AI, ta analiza powinna objąć każdy element oferty osobno.

Krok 4: Zaktualizuj umowy

Przejrzyj wzory umów IT (MSA, SLA, umowy wdrożeniowe) pod kątem klauzul dotyczących AI. Określ precyzyjnie granice odpowiedzialności za działanie modelu. Oddziel odpowiedzialność za integrację od odpowiedzialności za output modelu bazowego. Zaktualizuj umowy z deweloperami (B2B i UoP) o postanowienia dotyczące korzystania z asystentów kodowania i praw do wygenerowanego outputu.

Krok 5: Wdróż AI Literacy (obowiązuje od lutego 2025)

Zamiast 50-stronicowej polityki, wdróż trzy elementy:

• Krótką instrukcję promptowania: jakich danych nigdy nie wklejamy do publicznych narzędzi AI (dane osobowe, warunki handlowe, kod źródłowy, dane finansowe, tajemnica przedsiębiorstwa).
• Listę zatwierdzonych narzędzi z określeniem, do jakich zadań można ich używać. Weryfikuj regulaminy i polityki prywatności dostawców. Jeśli da się podpisać umowę DPA, podpisz ją.
• Jedno szkolenie, 60 minut, dla całego zespołu. Nie teoria o AI Act, lecz konkretne scenariusze: co się stanie, jeśli wkleisz draft umowy do publicznego chata. Przypadki z praktyki (wyciek pozwu w Niemczech, wyciek strategii marki) działają lepiej niż slajdy z paragrafami.

Krok 6: Zaplanuj compliance dla systemów wysokiego ryzyka

Jeśli Twoja klasyfikacja wykazała systemy wysokiego ryzyka, przygotuj się na obowiązki obowiązujące od sierpnia 2026: system zarządzania ryzykiem, dokumentacja techniczna, system rejestrowania zdarzeń, obowiązek informacyjny, zapewnienie nadzoru ludzkiego, zabezpieczenie przed cyberatakami i procedura oceny zgodności. Budżetuj compliance od pierwszego sprintu, nie po pierwszej reklamacji klienta.

Compliance jako element strategii produktowej

AI Act wchodzi w życie etapami, ale okres przejściowy nie jest tak komfortowy, jak się wydaje. Inwentaryzacja, klasyfikacja i przygotowanie dokumentacji w organizacji 200+ osób to praca na miesiące. Klienci enterprise już teraz wpisują zgodność z AI Act do umów wdrożeniowych, zmieniając dynamikę każdej negocjacji kontraktu IT z komponentem AI.

Kluczowa perspektywa jest taka: dobrze zaprojektowany compliance nie hamuje innowacji. Zwiększa wiarygodność produktu wobec klientów i inwestorów. Obsługa prawna spółek technologicznych w erze AI Act to nie tylko reagowanie na przepisy, ale projektowanie modelu zgodności, który wspiera skalowanie.

Jeśli nie masz pewności, jaką rolę pełni Twoja firma w łańcuchu dostaw AI, chcesz sklasyfikować ryzyko produktu albo uporządkować IP przed rundą inwestycyjną, pierwsza analiza to zwykle kilka godzin, które oszczędzają tygodnie poprawek po fakcie.

Skontaktuj się

Obejrzyj i posłuchaj

Obejrzyj webinar: