AI w firmie technologicznej: prawa autorskie, RODO, AI Act i polityka korzystania z narzędzi AI

AI w firmie technologicznej: prawa autorskie, RODO, AI Act i polityka korzystania z narzędzi AI

Kancelaria Sawaryn & Partnerzy

W tym webinarze Natalia Lener Bobek (radczyni prawna, Kancelaria Sawaryn i Partnerzy) omawia cztery obszary ryzyka prawnego dla firm korzystających z AI: prawa autorskie do outputu, ochronę danych, kwalifikację ról w AI Act oraz wdrażanie polityki AI w organizacji.

5 najważniejszych wniosków z webinaru

1. Czysty output AI nie podlega ochronie prawnoautorskiej. Standardowa klauzula o przeniesieniu praw autorskich do kodu lub grafik stworzonych w całości przez AI jest prawnie wadliwa i naraża Twoją firmę na roszczenie klienta.
2. Darmowe narzędzia AI trenują na Twoich danych. Kod źródłowy, dokumenty objęte NDA i dane osobowe wrzucone do bezpłatnego narzędzia mogą pojawić się w odpowiedziach dla innych użytkowników.
3. Sprzedaż produktu z AI pod własną marką może uczynić Cię Dostawcą w rozumieniu AI Act. Dostawca odpowiada za dokumentację techniczną, zarządzanie ryzykiem i monitoring, nawet jeśli sam nie trenował modelu.
4. Dokumentowanie procesu twórczego zabezpiecza prawa do produktu. Modyfikacja outputu AI, oznaczanie commitów i historia zmian pozwalają przypisać firmie prawa autorskie i komercjalizować produkt.
5. AI Policy nie musi mieć 30 stron. Praktyczna instrukcja na dwóch stronach, określająca dozwolone narzędzia, zasady wprowadzania danych i odpowiedzialność za wyniki, wystarczy.

Wyzwania prawne i dobre praktyki przy korzystaniu z AI w organizacji

Natalia Lener Bobek przeprowadziła uczestników webinaru przez cztery obszary, które bezpośrednio wpływają na umowy IT, ochronę IP i compliance firm technologicznych. Poniżej znajdziesz podsumowanie wraz z rekomendacjami do wdrożenia.

Prawa autorskie do outputu AI: co możesz przenieść na klienta, a czego nie masz

Prawo autorskie chroni wyłącznie dzieła stworzone przez człowieka. Jeśli Twój zespół wygenerował kod, grafikę lub kampanię w całości za pomocą narzędzia AI, bez własnego wkładu twórczego, do tego outputu nie powstają prawa autorskie. Nie ma utworu, nie ma praw, nie ma czego przenosić.

W praktyce oznacza to, że klasyczna klauzula umowna „Wykonawca przenosi na Zamawiającego całość majątkowych praw autorskich do utworów powstałych w ramach realizacji umowy” jest wadliwa, gdy dotyczy czystego outputu AI. Klient płaci za prawa, których nie może otrzymać. Gdy to wyjdzie (np. przy audycie IP przed inwestycją), masz roszczenie o wadę prawną, odszkodowanie i potencjalnie odstąpienie od umowy.

„Jeżeli stworzyliśmy coś w całości za pomocą narzędzia AIowego i oświadczamy w umowie, że przenosimy wszystkie prawa autorskie na rzecz naszego klienta, to takie oświadczenie może być oświadczeniem nieprawdziwym, ponieważ najczęściej nie będziemy mieć tych praw autorskich, więc nie możemy ich na nikogo przenieść.”
Natalia Lener Bobek

Co zrobić:

• Przejrzyj wzór umowy z klientem. Jeśli masz klasyczne „przeniesienie praw autorskich” bez rozróżnienia na elementy tworzone przez ludzi i generowane przez AI, wzór wymaga zmiany.
• Wprowadź podział w umowie: prawa autorskie do części tworzonych przez zespół oraz licencja do elementów wspieranych przez AI.
• Traktuj AI jako narzędzie pomocnicze, nie jako autora. Modyfikuj output ręcznie: refaktoryzuj kod, zmieniaj grafikę, dodawaj własne elementy. Dokumentuj historię tworzenia, aby w przyszłości móc wykazać, że dzieło jest wynikiem pracy człowieka.

Natalia Lener Bobek podkreśliła, że zarówno Urząd Praw Autorskich w USA, jak i sąd w Czechach odmówiły przyznania ochrony prawnoautorskiej dziełom wygenerowanym przez AI, niezależnie od szczegółowości promptowania. Sąd w Pekinie zajął odmienne stanowisko, ale europejski kierunek interpretacji jest jasny: samo promptowanie nie wystarcza.

Darmowe narzędzia AI: ryzyko naruszenia NDA, RODO i wycieku tajemnicy przedsiębiorstwa

Darmowe wersje narzędzi AI w większości przypadków wykorzystują dane użytkowników do trenowania modeli. To jest napisane wprost w regulaminach. Kod źródłowy klienta, dane osobowe, fragment bazy, specyfikacja projektu, umowa z kontrahentem, plan biznesowy: wszystko to może trafić do modelu i pojawić się w odpowiedziach dla kogoś innego.

Natalia Lener Bobek przytoczyła dwa przypadki, w których to się wydarzyło:

• Kancelaria prawna w Niemczech: prawnicy wrzucili pozew do narzędzia AI. Po odpowiednim zapromptowaniu treść pozwu pojawiła się u drugiej strony, zanim dokument został złożony w sądzie.
• Sektor paliwowy w Europie: całą strategię marketingowo-biznesową wrzucono do czata. Konkurent po odpowiednim zapromptowaniu uzyskał informacje o planie biznesowym rywala.

„Nie korzystajcie z bezpłatnych narzędzi. Jeżeli chcecie z tego korzystać w ramach swojej organizacji w biznesie, to zdecydowanie polecam używanie narzędzi płatnych, ponieważ te narzędzia bezpłatne w znacznej większości, o ile nie wszystkie, trenują na tym, co wrzucamy.”
Natalia Lener Bobek

Co zrobić:

• Zablokuj dostęp do darmowych wersji narzędzi AI na urządzeniach firmowych. Wykup licencje komercyjne z wyłączonym trenowaniem na danych (np. ChatGPT Enterprise, GitHub Copilot Business).
• Zweryfikuj regulaminy narzędzi. Sprawdź, czy dane narzędzie trenuje na Twoim inpucie i outpucie, czy istnieje możliwość wyłączenia tej funkcji, czy możesz zawrzeć umowę powierzenia przetwarzania danych osobowych.
• Przygotuj AI Policy. Nie 40-stronicowy dokument. Praktyczną instrukcję na dwóch stronach: jakie narzędzia, do czego, z jakimi danymi. Czego nigdy nie wrzucasz: kod źródłowy klienta, dane osobowe, dokumenty objęte NDA, dane finansowe. Bez wyjątków.

AI Act: jak ustalić, czy Twoja firma jest Dostawcą, i co z tego wynika

AI Act nie rozwiązuje wszystkich problemów związanych ze sztuczną inteligencją. Nie reguluje praw autorskich, RODO ani odpowiedzialności cywilnej. Reguluje obowiązki podmiotów, które tworzą lub stosują systemy AI, w zależności od przypisanej im roli (Dostawca lub Stosujący) i poziomu ryzyka systemu.

Zakres pojęcia „Dostawca” jest szerszy, niż wynikałoby z intuicji. Dostawcą nie jest tylko firma, która samodzielnie wytrenowała model. Dostawcą jest również firma, która:

• Zleca stworzenie systemu AI i wprowadza go do własnej organizacji (np. firma HR, która zamawia oprogramowanie rekrutacyjne oparte na AI).
• Sprzedaje rozwiązanie oparte na AI pod własną marką (white-label, integracja przez API z modelem zewnętrznego dostawcy).
• Modyfikuje istniejący system AI w sposób istotny (fine-tuning, zmiana przeznaczenia, integracja z własnymi danymi).

Natalia Lener Bobek zwróciła uwagę na częsty błąd: firmy, które łączą się przez API z modelem językowym i budują na nim własną aplikację, zakładają, że nie są dostawcami, bo nie stworzyły modelu. To nieprawda. Tworzenie oprogramowania połączonego przez API z modelem sztucznej inteligencji również może kwalifikować firmę jako Dostawcę.

Co zrobić:

• Ustal, czy Twój produkt spełnia definicję systemu AI. Większość systemów opartych o sztuczną inteligencję będzie spełniać tę definicję.
• Sprawdź, jak Twój produkt jest prezentowany na rynku. Jeśli klient widzi Twoją markę, masz argument za kwalifikacją jako Dostawca.
• Ustal poziom ryzyka systemu. AI Act różnicuje obowiązki w czterech kategoriach: systemy zakazane, wysokiego ryzyka, ograniczonego ryzyka i minimalnego ryzyka. Jeśli Twój system to chatbot, głównym obowiązkiem jest oznaczenie, że użytkownik rozmawia z AI. Jeśli system dotyczy zatrudniania, edukacji lub wymiaru sprawiedliwości, obowiązki są znacznie szersze: dokumentacja techniczna, zarządzanie ryzykiem, monitoring, kontrola człowieka.

Harmonogram wejścia w życie AI Act:

• 2 lutego 2025: przepisy dotyczące systemów zakazanych (już obowiązują).
• 2 sierpnia 2025: przepisy dotyczące organów nadzoru.
• 2 sierpnia 2026: przepisy dotyczące systemów wysokiego ryzyka i pozostała część rozporządzenia.

Jak wdrożyć te wnioski w organizacji

Poniżej znajdziesz plan działania, który możesz uruchomić bez czekania na pełne wejście w życie AI Act.

Tydzień 1: Audyt narzędzi i umów

• Sporządź listę narzędzi AI używanych w firmie. Sprawdź, które z nich trenują na danych użytkowników. Wymień darmowe wersje na płatne z wyłączonym trenowaniem.
• Przejrzyj wzory umów z klientami. Zidentyfikuj klauzule o przeniesieniu praw autorskich, które mogą dotyczyć outputu AI. Przygotuj zmienione zapisy: podział na prawa autorskie (wkład człowieka) i licencję (elementy wspierane przez AI).

Tydzień 2: AI Policy dla zespołu

• Przygotuj dwustronicowy dokument: lista dozwolonych narzędzi (konkretne nazwy, konkretne plany licencyjne), zasady wprowadzania danych (czego nigdy nie wrzucasz), odpowiedzialność za wyniki (każdy output wymaga weryfikacji przez człowieka), zasady dokumentowania (jak oznaczać fragmenty pracy powstałe z udziałem AI).
• Wyślij do zespołu jednoznaczną informację: żadne dane klientów, kod źródłowy ani dokumenty objęte NDA nie mogą trafiać do narzędzi AI bez zatwierdzonej procedury.

Tydzień 3: Proces dokumentowania IP

• Wprowadź w repozytorium konwencję commitów oznaczającą fragmenty kodu wspierane przez AI. Proste tagowanie, które daje Ci kontrolę i historię.
• Ustal zasadę: każdy fragment kodu wygenerowany lub zasugerowany przez AI przechodzi code review z dodatkowym pytaniem o pochodzenie i zakres modyfikacji.

Tydzień 4: Kwalifikacja pod AI Act

• Ustal, czy którykolwiek z Twoich produktów spełnia definicję systemu AI. Określ swoją rolę: Dostawca czy Stosujący. Zidentyfikuj poziom ryzyka. Jeśli system kwalifikuje się jako wysokiego ryzyka, zaplanuj audyt compliance z uwzględnieniem harmonogramu wejścia w życie przepisów.

Na bieżąco: przegląd i aktualizacja

• Co kwartał weryfikuj AI Policy. Narzędzia się zmieniają, warunki licencji się zmieniają, regulacje się zmieniają. Polityka musi za tym nadążać.
• Szkol zespół. Edukacja w zakresie bezpiecznego korzystania z AI to nie jednorazowe szkolenie, a stały element kultury organizacyjnej.

Uporządkuj zasady korzystania z AI, zanim zrobi to za Ciebie kontrola lub klient

Firmy technologiczne, które porządkują zasady korzystania z AI teraz, budują przewagę. Nie technologiczną, a prawną i operacyjną. Uporządkowane umowy IT, jasna polityka AI, udokumentowany proces twórczy i prawidłowa kwalifikacja pod AI Act to elementy, które decydują o tym, czy Twój produkt jest gotowy do sprzedaży, inwestycji i skalowania.

Obsługa prawna firm korzystających z AI wymaga połączenia wiedzy z obszaru prawa IT, ochrony danych i compliance regulacyjnego. Jeśli Twoja firma korzysta z AI w rozwoju produktu, sprzedaży lub obsłudze klienta i nie masz jeszcze uporządkowanych umów, AI Policy ani audytu kwalifikacji pod AI Act, warto zająć się tym zanim pojawi się audyt ze strony inwestora, roszczenie klienta lub kontrola organu nadzoru.

Skontaktuj się

Obejrzyj i posłuchaj

Obejrzyj webinar: