AI Compliance przed Go-to-Market. Prawny checklist dla firm sprzedających produkty oparte o sztuczną inteligencję.
10 minut
Spis treści
- Kluczowe pojęcia, które musisz znać
- Dlaczego compliance warunkuje Twój Go-to-Market
- Provider czy Deployer – od czego zależy zakres Twoich obowiązków
- Czy Twój produkt to system wysokiego ryzyka pod AI Act
- RODO i AI – gdzie zaciera się granica
- Prawa autorskie do outputów AI – kto jest właścicielem
- Checklist: co musisz mieć gotowe przed podpisaniem kolejnej umowy
- Możemy Ci w tym pomóc
- Podsumowanie
Masz produkt AI, masz klientów, masz traction. Ale czy masz dokumenty, które pozwalają Ci to legalnie sprzedawać?
Większość firm technologicznych buduje produkt pierwszy, a compliance robi „potem”. Problem w tym, że Rozporządzenie (UE) 2024/1689 – AI Act nie daje tego luksusu. Pełne stosowanie przepisów dla systemów wysokiego ryzyka zaczyna obowiązywać 2 sierpnia 2026 r., a przygotowania trwają miesiące. Część obowiązków – jak wymóg AI literacy – obowiązuje już od 2 lutego 2025 r.
Dla firmy SaaS oferującej produkt oparty o sztuczną inteligencję brak uporządkowanego compliance oznacza konkretne ryzyka: blokadę sprzedaży, roszczenia kontraktowe klientów, obniżoną wycenę przy rundzie finansowania. Bez ustandaryzowanych dokumentów każde nowe wdrożenie u klienta wymaga indywidualnego ustalania ról, odpowiedzialności i zasad przetwarzania od nowa.
W tym artykule przeprowadzę Cię przez praktyczny prawny checklist AI compliance – od kwalifikacji systemu, przez obowiązki wynikające z AI Act i RODO, po wzorcowe klauzule w umowach z klientami. Dowiesz się, co musisz uporządkować, zanim wyślesz kolejną ofertę.
Kluczowe pojęcia, które musisz znać
Zanim przejdziemy do konkretnych obowiązków, warto uporządkować terminologię. AI Act i RODO operują pojęciami, które mają precyzyjne znaczenie prawne – i od ich właściwej interpretacji zależy zakres Twoich obowiązków.
| Pojęcie | Co oznacza w praktyce |
|---|---|
| System AI (art. 3 AI Act) | System maszynowy działający z pewnym stopniem autonomii, który na podstawie danych wejściowych wnioskuje i generuje wyniki (predykcje, rekomendacje, decyzje) mogące wpływać na środowisko fizyczne lub wirtualne |
| Provider (dostawca) | Podmiot, który rozwija system AI lub zleca jego opracowanie i wprowadza go do obrotu pod własną nazwą – to Ty, jeśli sprzedajesz produkt AI |
| Deployer (podmiot stosujący) | Podmiot, który używa systemu AI pod swoją kontrolą – to Twój klient, który wdraża Twoje rozwiązanie w swoich procesach |
| System wysokiego ryzyka | System AI należący do jednej z ośmiu kategorii z Załącznika III AI Act (m.in. biometria, zatrudnienie, dostęp do usług, ocena zdolności kredytowej) lub stanowiący komponent bezpieczeństwa produktu z Załącznika I |
| AI literacy (art. 4 AI Act) | Obowiązek zapewnienia pracownikom odpowiedniej wiedzy i umiejętności do bezpiecznego korzystania z AI – obowiązuje od 2 lutego 2025 r. |
| DPIA (art. 35 RODO) | Ocena skutków dla ochrony danych – wymagana, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw osób fizycznych |
| Automatyczne podejmowanie decyzji (art. 22 RODO) | Decyzja oparta wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne lub istotnie wpływa na osobę – co do zasady zakazana, z trzema wyjątkami |
Dlaczego compliance warunkuje Twój Go-to-Market
Granica pomiędzy klasycznym przetwarzaniem danych a zaawansowaną automatyzacją decyzyjną zaczyna się zacierać. Dla firmy sprzedającej produkt AI to zmienia kwalifikację prawną produktu – i zakres wymagań, które musisz spełnić przed każdą transakcją.
AI Act wprowadza etapowy harmonogram obowiązków:
| Data | Co wchodzi w życie |
|---|---|
| 2 lutego 2025 r. | Zakazy praktyk niedopuszczalnych (art. 5), wymóg AI literacy (art. 4) |
| 2 sierpnia 2025 r. | Przepisy dotyczące modeli AI ogólnego przeznaczenia (GPAI), przepisy o organach nadzoru |
| 2 sierpnia 2026 r. | Pełne obowiązki dla systemów wysokiego ryzyka z Załącznika III |
| 2 sierpnia 2027 r. | Systemy wysokiego ryzyka zintegrowane z produktami z Załącznika I |
Co to oznacza dla Twojej firmy? Jeśli sprzedajesz produkt oparty o AI – np. rozwiązanie OCR, automatyzację dokumentów, klasyfikację czy rekomendacje – musisz już teraz wiedzieć:
- Czy Twój system spełnia definicję „systemu AI” w rozumieniu art. 3 AI Act
- Jaki jest Twój status prawny – Provider czy Deployer
- Czy produkt podlega klasyfikacji jako system wysokiego ryzyka
- Jakie dokumenty musisz mieć gotowe przed podpisaniem umowy z klientem
Brak odpowiedzi na te pytania spowalnia każde wdrożenie. Widzę to w praktyce: firma ma świetny produkt, ale każdy nowy klient wymaga ad hoc negocjacji klauzul RODO i odpowiedzialności. Brak wzorcowych dokumentów opóźnia Go-to-Market o tygodnie.
A jeśli przygotowujesz się do rundy finansowania – inwestor zapyta o zgodność z AI Act. Brak kwalifikacji systemu i strategii compliance może obniżyć wycenę lub zablokować deal.
Provider czy Deployer – od czego zależy zakres Twoich obowiązków
To jedno z kluczowych pytań pod AI Act. Od odpowiedzi zależy, jak rozległy katalog obowiązków musisz spełnić.
Firma SaaS dostarczająca rozwiązanie AI klientom korporacyjnym pełni rolę Providera wobec własnego systemu AI. Jednocześnie – jeśli wewnętrznie korzysta z systemu AI opracowanego przez inny podmiot (np. modelu GPT, narzędzia do analizy danych) – pełni rolę Deployera wobec tego zewnętrznego systemu.
Role nie wykluczają się wzajemnie. Firma może być jednocześnie Providerem i Deployerem – w odniesieniu do różnych systemów.
Obowiązki Providera vs Deployera – porównanie
| Obszar obowiązków | Provider (dostawca) | Deployer (podmiot stosujący) |
|---|---|---|
| System zarządzania ryzykiem (art. 9) | Ustanowienie, wdrożenie i utrzymanie przez cały cykl życia systemu | Brak takiego obowiązku |
| Dokumentacja techniczna (art. 11) | Kompletna dokumentacja: architektura, algorytmy, dane, testowanie, metryki | Brak obowiązku tworzenia; korzysta z instrukcji Providera |
| Automatyczne rejestrowanie zdarzeń (art. 12) | Zaprojektowanie systemu logowania | Przechowywanie rejestrów przez min. 6 miesięcy |
| Nadzór człowieka (art. 14) | Zaprojektowanie systemu umożliwiającego realny nadzór ludzki | Powierzenie nadzoru kompetentnym osobom |
| Informowanie osób (art. 26) | Instrukcja obsługi dla Deployera | Informowanie pracowników i osób trzecich o stosowaniu AI przed oddaniem systemu do użytku |
| DPIA (art. 35 RODO) | Może być wymagana | Wymagana, jeśli przetwarzanie wiąże się z wysokim ryzykiem |
| Przechowywanie dokumentacji | 10 lat od wprowadzenia do obrotu | 6 miesięcy (rejestry zdarzeń) |
Kiedy Deployer staje się Providerem
Art. 25 AI Act przewiduje trzy sytuacje, w których Deployer przejmuje obowiązki Providera:
- White-labeling – umieszczenie własnej nazwy lub znaku towarowego na systemie AI już wprowadzonym do obrotu
- Istotna modyfikacja systemu AI
- Zmiana przeznaczenia systemu w taki sposób, że staje się on systemem wysokiego ryzyka
Jeśli Twój klient modyfikuje Twój produkt lub sprzedaje go dalej pod własną marką – może stać się Providerem. To trzeba uregulować w umowie.
Czy Twój produkt to system wysokiego ryzyka pod AI Act
Kwalifikacja systemu jako high-risk pod AI Act uruchamia rozbudowane obowiązki dokumentacyjne, techniczne i organizacyjne. Dlatego prawidłowa ocena jest warunkiem dalszego planowania compliance.
Dwa tory kwalifikacji (art. 6 AI Act)
- Tor 1: system AI stanowi komponent bezpieczeństwa produktu z Załącznika I i podlega ocenie zgodności przez stronę trzecią
- Tor 2: system AI należy do jednej z ośmiu kategorii z Załącznika III – m.in. biometria, infrastruktura krytyczna, edukacja, zatrudnienie, dostęp do usług publicznych i prywatnych, ocena zdolności kredytowej
Cztery warunki wyłączenia z kwalifikacji high-risk (art. 6 ust. 3)
Nawet jeśli Twój system mieści się w jednej z kategorii Załącznika III, może nie podlegać obowiązkom high-risk, jeśli spełnia jeden z czterech warunków:
- Wąskie zadania proceduralne – np. przekształcanie danych nieustrukturyzowanych w ustrukturyzowane, kategoryzacja przychodzących dokumentów, wykrywanie duplikatów
- Poprawa wyniku wcześniej ukończonej czynności człowieka – np. korekta języka w dokumentach
- Wykrywanie wzorców decyzyjnych bez zastępowania oceny człowieka
- Zadania przygotowawcze do oceny – np. indeksowanie, wyszukiwanie, przetwarzanie tekstu i mowy
Ważne zastrzeżenie: system zawsze jest uznawany za high-risk, jeśli dokonuje profilowania osób fizycznych – niezależnie od spełnienia powyższych warunków.
Praktyczne scenariusze klasyfikacji
| Zastosowanie systemu | Klasyfikacja pod AI Act |
|---|---|
| OCR do anonimizacji orzeczeń sądowych | Nie jest systemem high-risk (czysto pomocnicze czynności administracyjne) |
| OCR do kategoryzacji przychodzących dokumentów | Nie jest systemem high-risk (wąskie zadanie proceduralne) |
| OCR ekstrahujący dane z dokumentów zatrudnienia bez podejmowania decyzji | Ograniczone ryzyko – zmienia się, gdy integruje się z systemem decyzyjnym dot. wynagrodzeń lub uprawnień |
| OCR jako część systemu oceny zdolności kredytowej | System high-risk (Załącznik III wymienia ocenę zdolności kredytowej) |
Obowiązek dokumentacji nawet przy wyłączeniu z high-risk
Art. 6 ust. 4 AI Act: jeśli uważasz, że Twój system z Załącznika III nie jest systemem high-risk – musisz to udokumentować przed wprowadzeniem systemu do obrotu. Dokumentacja powinna zawierać:
- Opis funkcjonalności systemu
- Zakres przetwarzanych danych
- Cel przetwarzania
- Ocenę RODO
- Analizę wpływu na prawa osób fizycznych
- Uzasadnienie braku kwalifikacji jako system high-risk
Brak tej dokumentacji od 2 sierpnia 2026 r. może stanowić podstawę dla kar administracyjnych. Dodatkowo – art. 49 AI Act wymaga rejestracji w unijnej bazie danych zarówno systemów high-risk, jak i systemów, dla których udokumentowano wyłączenie.
RODO i AI – gdzie zaciera się granica
Przetwarzanie danych osobowych przez system AI samo w sobie nie powoduje automatycznej kwalifikacji jako system high-risk pod AI Act. Ale uruchamia odrębny zestaw obowiązków wynikających z RODO – i tu pojawiają się realne ryzyka dla firm sprzedających produkty AI.
Art. 22 RODO – automatyczne podejmowanie decyzji
Jeśli Twój system AI podejmuje decyzje wyłącznie na podstawie automatycznego przetwarzania, które wywołują skutki prawne lub istotnie wpływają na osobę – podlegasz zakazowi z art. 22 ust. 1 RODO. Trzy wyjątki od tego zakazu:
- Decyzja jest niezbędna do zawarcia lub wykonania umowy
- Decyzja jest dozwolona prawem UE lub krajowym z właściwymi środkami ochrony
- Osoba wyraziła wyraźną zgodę (umieszczenie informacji w długich warunkach użytkownika nie spełnia tego wymogu)
Pozorny udział człowieka – stanowisko UODO
Stanowisko UODO jest jednoznaczne: samo mianowanie człowieka do roli zatwierdzającego decyzję algorytmu nie spełnia wymogów art. 22 RODO, jeśli udział tego człowieka jest pozorny. Pracownicy, którzy jedynie mechanicznie klikają przycisk „zatwierdź” bez możliwości weryfikacji lub zmiany wyniku, nie zapewniają realnej interwencji ludzkiej.
Osoba zatwierdzająca musi posiadać:
- Dostęp do wszystkich istotnych informacji
- Wiedzę niezbędną do ich oceny
- Faktyczną możliwość podjęcia decyzji innej niż zaproponowana przez system
Obowiązki informacyjne
Art. 13 i 14 RODO wymagają poinformowania osoby fizycznej o tym, że decyzja będzie podjęta automatycznie, oraz przekazania istotnych informacji o zasadach podejmowania takiej decyzji. Nie oznacza to konieczności ujawnienia pełnego algorytmu – ale wymaga wyjaśnienia logiki działania systemu i jego konsekwencji.
Skala egzekwowania RODO w 2024 r.
Dane z działalności UODO za 2024 r. pokazują rosnącą aktywność organu: 1719 decyzji administracyjnych, 22 kary pieniężne na łączną kwotę 13 907 740,96 zł (wzrost z 31 kar na kwotę 1 230 331,28 zł w 2023 r.) oraz 8056 skarg (wzrost o ponad 1000 w stosunku do roku poprzedniego).
Jednocześnie – według badania UODO – zaledwie 17% organizacji z próby 497 podmiotów deklaruje korzystanie z AI, przy czym najczęstsze zastosowania to automatyzacja procesów administracyjnych (41,2%) oraz analiza danych (31%).
Prawa autorskie do outputów AI – kto jest właścicielem
Jeśli Twoi pracownicy lub kontraktorzy korzystają z narzędzi AI (GitHub Copilot, ChatGPT, modele generatywne) do tworzenia kodu, treści czy grafik – musisz wiedzieć, kto jest właścicielem wyników ich pracy.
W polskim prawie autorskim (art. 1 ustawy o prawie autorskim) utwór musi być przejawem działalności twórczej o indywidualnym charakterze. Sąd Najwyższy w wyroku z 14 lutego 2014 r. (II CSK 281/13) potwierdził, że ochronie podlega jedynie rezultat pracy intelektualnej człowieka wykazujący cechy indywidualnej twórczości.
Co to oznacza w praktyce:
| Scenariusz | Status prawnoautorski |
|---|---|
| Pracownik pisze kod z pomocą AI jako narzędzia wspierającego, wnosząc istotny wkład twórczy | Utwór chroniony – prawa przysługują pracodawcy (przy odpowiedniej umowie) |
| AI generuje kod/treść na podstawie promptu, bez istotnego wkładu twórczego człowieka | Brak ochrony prawnoautorskiej – wynik trafia do domeny publicznej |
| Kontraktor B2B tworzy output z wykorzystaniem AI | Prawa mogą nie przejść na firmę bez odpowiednich klauzul w umowie |
Stanowisko ZAiKS z maja 2024 r. potwierdza, że wytwory AI pozbawione istotnego wkładu twórczego człowieka nie podlegają ochronie.
Dodatkowy kontekst: nowelizacja ustawy o prawie autorskim z 20 września 2024 r. (implementacja Dyrektywy DSM) wprowadziła art. 26² i 26³ regulujące eksplorację tekstów i danych (TDM) – w tym procedurę opt-out, która pozwala uprawnionemu zastrzec, że jego treści nie mogą być wykorzystywane do trenowania modeli AI.
Co musisz zrobić:
- Zaktualizuj umowy z pracownikami (UoP) i kontraktorami (B2B) o klauzule dotyczące praw autorskich do outputów AI
- Określ zasady odpowiedzialności za błędy powstałe w wyniku pracy z narzędziami AI
- Wdróż wewnętrzną politykę AI regulującą, kiedy i jak pracownicy mogą korzystać z narzędzi generatywnych
Checklist: co musisz mieć gotowe przed podpisaniem kolejnej umowy
Poniżej znajdziesz uporządkowaną listę działań, które pozwolą Ci przygotować produkt AI do legalnej sprzedaży. Priorytetyzacja oparta jest na pilności i wpływie na operacje biznesowe.
Działania krytyczne (must do)
| Nr | Działanie | Co obejmuje |
|---|---|---|
| 1 | Analiza operacyjna AI w firmie | Zmapuj, do jakich celów biznesowych używasz AI, jakie modele integrujesz w produktach, jak wygląda przepływ danych (data flow) między produktem, klientem a dostawcą modelu AI |
| 2 | Wdrożenie wewnętrznej polityki AI (AI Policy) | Jeden dokument określający zasady korzystania z AI przez wszystkich pracowników i kontraktorów – eliminuje „samowolkę” i nieświadome naruszenia |
| 3 | Aktualizacja umów z personelem | Klauzule dotyczące praw autorskich do outputów AI (w tym promptowania) oraz odpowiedzialności za błędy powstałe w wyniku pracy z AI – dotyczy zarówno UoP, jak i B2B |
| 4 | Wzorcowe klauzule w umowach z klientami | Role administrator/procesor w kontekście AI, odpowiedzialność za dane wejściowe i wyniki systemu, zasady dotyczące podwykonawców (dostawców modeli AI) oraz procedury postępowania w przypadku incydentów |
| 5 | **Weryfikacja **dokumentacji RODO | Sprawdź, gdzie pojawiają się dane osobowe w dokumentach, metadanych i logach – czy rejestry i polityki odzwierciedlają rzeczywisty sposób działania systemów AI |
Działania zalecane (should do)
| Nr | Działanie | Co obejmuje |
|---|---|---|
| 6 | Kwalifikacja systemu pod AI Act | Oceń, czy produkt może zostać uznany za system high-risk; ustal, czy działasz jako Provider czy Deployer; udokumentuj ocenę zgodnie z art. 6 ust. 4 |
| 7 | Audyt Shadow AI | Zidentyfikuj wszystkie narzędzia AI, z których korzystają pracownicy wewnętrznie; zweryfikuj licencje i zgodność z politykami bezpieczeństwa danych |
| 8 | Szkolenie zespołu | Praktyczne szkolenie z bezpiecznego promptowania i ochrony danych przy pracy z AI – szczególnie dla osób mających kontakt z danymi klientów |
Działania uzupełniające (nice to have)
| Nr | Działanie | Co obejmuje |
|---|---|---|
| 9 | Model retencji i usuwania danych | Jasne reguły, kiedy i jak dane osobowe są trwale kasowane – uwzględniając specyfikę backupów i archiwów w systemach AI |
Sankcje, o których warto pamiętać
| Rodzaj naruszenia | Maksymalna kara |
|---|---|
| Naruszenie zakazów z art. 5 AI Act | Do 35 mln EUR lub 7% rocznego światowego obrotu |
| Naruszenie obowiązków Provider/Deployer (systemy high-risk) | Do 15 mln EUR lub 3% obrotu |
| Dostarczanie nieprawidłowych informacji organom | Do 7,5 mln EUR lub 1% obrotu |
| Naruszenie RODO | Do 20 mln EUR lub 4% obrotu |
Dla MŚP stosuje się niższy z progów (kwota lub procent – co niższe).
Kto będzie kontrolował – organ nadzoru AI Act w Polsce
Polska wdraża AI Act poprzez projekt ustawy o systemach sztucznej inteligencji. Projektowany organ nadzoru to Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – niezależna jednostka obsługiwana technicznie w ramach Ministerstwa Cyfryzacji.
Kluczowe kompetencje KRiBSI obejmą m.in.:
- Nadzór nad rynkiem systemów AI
- Rozpatrywanie wniosków o zezwolenie na wprowadzenie do obrotu systemów high-risk
- Przyjmowanie zgłoszeń dotyczących poważnych incydentów
- Wydawanie opinii indywidualnych dotyczących zgodności konkretnych systemów AI z przepisami
- Wydawanie interpretacji generalnych w zakresie zmian technologicznych
- Nakładanie administracyjnych kar finansowych
Przewodniczący KRiBSI ma być powoływany przez Sejm za zgodą Senatu na 5-letnią kadencję. Nadzór domyślnie będzie sprawowany zdalnie – kontrole w siedzibie przedsiębiorstwa będą możliwe tylko w wyjątkowych przypadkach.
Na wiosnę 2026 r. ustawa nie została jeszcze uchwalona – projekt ma trafić na posiedzenie Stałego Komitetu Rady Ministrów w lutym 2026 r., a do Sejmu – w marcu lub kwietniu 2026 r. To oznacza, że przez pewien czas po wejściu w życie obowiązków dla systemów high-risk (2 sierpnia 2026 r.) organ nadzoru może jeszcze nie funkcjonować w pełni. Nie zmienia to jednak faktu, że obowiązki wynikające bezpośrednio z AI Act mają zastosowanie niezależnie od powołania organu krajowego.
Możemy Ci w tym pomóc
AI Policy to nie dokument do segregatora. To instrukcja obsługi dla zespołu, eliminująca samowolkę i nieświadome naruszenia. Podobnie wzorcowe klauzule w umowach z klientami – to narzędzie, które przyspiesza Twój Go-to-Market zamiast go blokować.
Przygotowanie produktu AI do legalnej sprzedaży wymaga pracy na kilku poziomach jednocześnie: analiza operacyjna, kwalifikacja systemu, dokumentacja wewnętrzna, umowy z klientami i szkolenia zespołu.
Wspieramy firmy technologiczne w uporządkowaniu tych obszarów. Nasze podejście opiera się na kilku krokach:
- Mapowanie przepływu danych i zastosowań AI – zaczynamy od zrozumienia, jak faktycznie działa Twój produkt, jakie modele integrujesz i jak wygląda data flow między Tobą, klientem a dostawcą modelu
- Kwalifikacja systemu pod AI Act – ustalamy, czy jesteś Providerem, Deployerem, czy obydwoma; oceniamy, czy system podlega klasyfikacji high-risk; dokumentujemy ocenę
- Przegląd i aktualizacja dokumentacji RODO – weryfikujemy, czy istniejące polityki i rejestry odzwierciedlają rzeczywisty sposób działania systemów AI
- Opracowanie AI Policy i wzorcowych klauzul umownych – tworzymy dokumenty gotowe do użycia w relacjach z klientami, pracownikami i kontraktorami
- Szkolenie zespołu – praktyczne warsztaty z AI literacy, bezpiecznego promptowania i ochrony danych
Łączymy wiedzę regulacyjną z rozumieniem modeli AI i danych treningowych. Działamy na etapie projektowania compliance, nie dopiero po wdrożeniu – bo wtedy koszty naprawy są wielokrotnie wyższe.
AI compliance jako warunek skalowalności produktu
AI Act zmienia zasady gry dla firm sprzedających produkty oparte o sztuczną inteligencję. Kluczowe terminy zbliżają się szybko: obowiązki dla systemów high-risk wchodzą w życie 2 sierpnia 2026 r., a wymóg AI literacy obowiązuje już od 2 lutego 2025 r.
Uporządkowanie compliance nie jest kosztem – to warunek skalowalności. Firma z gotowymi wzorcowymi dokumentami, jasną kwalifikacją systemu i ustandaryzowanymi procesami wdraża nowych klientów szybciej, negocjuje umowy sprawniej i buduje wiarygodność wobec inwestorów.
Nie wiesz, czy Twój produkt AI jest gotowy na AI Act? Skontaktuj się – zaczynamy od zmapowania Twojej sytuacji.
Frequently asked questions
Czy mój produkt AI wymaga specjalnej dokumentacji prawnej, zanim mogę go legalnie sprzedawać?
Tak. Jeśli Twój produkt spełnia definicję systemu AI z art. 3 AI Act, musisz co najmniej ustalić swój status prawny (Provider/Deployer), ocenić klasyfikację ryzyka i przygotować odpowiednią dokumentację. Nawet jeśli system nie jest high-risk – art. 6 ust. 4 AI Act wymaga udokumentowania tej oceny przed wprowadzeniem produktu do obrotu. Dodatkowo obowiązki wynikające z RODO (rejestry, polityki, umowy powierzenia) muszą odzwierciedlać rzeczywisty sposób działania systemu AI.
Czym różni się rola Providera od Deployera i dlaczego to ma znaczenie?
Provider to podmiot, który rozwija system AI i wprowadza go do obrotu – ponosi najszerszy katalog obowiązków (system zarządzania ryzykiem, dokumentacja techniczna, nadzór człowieka, logi zdarzeń). Deployer to podmiot, który używa systemu AI pod swoją kontrolą – jego obowiązki są węższe, ale obejmują m.in. informowanie osób o stosowaniu AI i przechowywanie rejestrów. Firma SaaS sprzedająca własny produkt AI jest Providerem. Kwalifikacja wpływa na zakres dokumentacji, odpowiedzialność i wysokość potencjalnych kar.
Czy OCR i automatyzacja dokumentów mogą zostać uznane za system wysokiego ryzyka?
To zależy od kontekstu zastosowania. Tradycyjne OCR oparte na algorytmach transformacji obrazu na tekst może nie spełniać definicji systemu AI. Nowoczesne systemy OCR z deep learning – spełniają. Kwalifikacja jako high-risk zależy od tego, do czego wyniki OCR są wykorzystywane: kategoryzacja dokumentów to wąskie zadanie proceduralne (wyłączenie z high-risk), ale OCR jako element systemu oceny zdolności kredytowej to już system high-risk.
Kto odpowiada prawnie, gdy AI popełni błąd na danych klienta?
Bez jasnych klauzul umownych – odpowiedź jest niejasna, co prowadzi do sporów. Dlatego wzorcowe umowy z klientami powinny precyzyjnie regulować: podział ról administrator/procesor, odpowiedzialność za dane wejściowe i wyniki systemu, zasady dotyczące podwykonawców (dostawców modeli AI) oraz procedury postępowania w przypadku incydentów.
Czy muszę mieć AI Policy, jeśli mam już politykę RODO?
Tak. RODO i AI Act regulują odrębne wymiary ryzyka. Polityka RODO dotyczy ochrony danych osobowych. AI Policy reguluje zasady korzystania z narzędzi AI przez pracowników i kontraktorów – w tym bezpieczne promptowanie, ochronę danych w kontekście modeli generatywnych, prawa autorskie do outputów AI i procedury zgłaszania incydentów. Oba dokumenty są potrzebne i powinny się wzajemnie uzupełniać.
Jak szybko muszę się dostosować do AI Act?
Wymóg AI literacy obowiązuje od 2 lutego 2025 r. – jeśli jeszcze nie przeprowadziłeś szkoleń, to zaległość. Pełne obowiązki dla systemów high-risk wchodzą w życie 2 sierpnia 2026 r. Biorąc pod uwagę zakres wymaganej dokumentacji i zmian procesowych, przygotowania powinny rozpocząć się co najmniej 6–12 miesięcy wcześniej. Dla MŚP stosuje się niższe progi kar, ale obowiązki merytoryczne pozostają takie same.
Jak uregulować kwestię Shadow AI – pracownicy używają ChatGPT i innych narzędzi, a nie mam nad tym kontroli?
Pierwszym krokiem jest audyt: zidentyfikuj wszystkie narzędzia AI, z których korzystają pracownicy wewnętrznie. Następnie wdróż AI Policy – dokument określający, jakie narzędzia są dozwolone, jakie dane mogą być do nich wprowadzane i jakie są zasady korzystania. Uzupełnij to praktycznym szkoleniem z bezpiecznego promptowania. Bez tych działań ryzykujesz wyciek danych, naruszenie praw autorskich i niezgodność z politykami bezpieczeństwa.