Regulamin SaaS z modułem AI. Jeden wzorzec dla klienta B2B, konsumenta i anonimowego użytkownika.

Pobrałeś wzorzec regulaminu, dopisałeś akapit o sztucznej inteligencji i wrzuciłeś na stronę. Efekt: rękojmia wyłączona wobec konsumenta, licencja na treści udzielona przez podmiot, który tych treści nie wprowadził, brak procedury zgłaszania treści bezprawnych i zero odpowiedzi na pytanie, kto odpowiada za halucynację modelu wklejoną do urzędowego protokołu. Twój regulamin SaaS nie chroni Cię w żadnym z tych czterech miejsc.

Problem nie wynika z braku staranności. Wynika z tego, że standardowy wzorzec zakłada jedną relację: dostawca–klient. Tymczasem Twoja aplikacja wpuszcza do interfejsu klienta B2B, konsumenta z bezpłatnym kontem i anonimowego gościa z publicznego linku. Każda z tych osób podlega innemu reżimowi prawnemu. Dołóż do tego moduł AI, obowiązki wynikające z aktu o usługach cyfrowych (DSA) i sprzedaż do sektora publicznego — i jeden pobrany wzorzec staje się źródłem ryzyka, a nie ochrony.

W tym artykule pokażę siedem decyzji konstrukcyjnych, które musisz podjąć, żeby Twój regulamin działał wobec wszystkich kategorii użytkowników. Każda z nich zmienia coś nie tylko w dokumencie, ale w samym produkcie.

Podstawowe pojęcia, które musisz znać

Zanim przejdziemy do konkretnych decyzji, warto uporządkować terminologię. Regulamin SaaS z modułem AI operuje na styku kilku regulacji, a każda z nich posługuje się własnymi definicjami.

Kto jest po drugiej stronie Twojej aplikacji

To pytanie rozbija każdy pobrany wzorzec. Jeśli Twój SaaS ma warstwę publiczną — formularz opinii, mapę zgłoszeń, sekcję komentarzy, portal partycypacyjny — w jednej aplikacji funkcjonują cztery kategorie podmiotów o różnym statusie prawnym:

Art. 8 ust. 3 ustawy o świadczeniu usług drogą elektroniczną wiąże udostępnienie regulaminu z rozpoczęciem świadczenia, a nie z podpisem. To oznacza, że gość wchodzący z linku na Facebooku jest związany regulaminem — pod warunkiem, że regulamin był dostępny i czytelny przed rozpoczęciem korzystania.

Jeśli Twój regulamin nie rozróżnia tych czterech kategorii, klauzule ochronne (wyłączenie rękojmi, limit odpowiedzialności, poufność, właściwość sądu) mają jedną wersję. A ta wersja jest wobec konsumenta i przedsiębiorcy na prawach konsumenta po prostu nieskuteczna.

Napisz do nas, jeśli chcesz zweryfikować, czy Twój regulamin rozróżnia kategorie użytkowników.

Siedem decyzji konstrukcyjnych dla regulaminu SaaS z AI

1. Rozwarstwienie reżimów odpowiedzialności w jednym dokumencie

Nie potrzebujesz trzech osobnych regulaminów. Potrzebujesz jednego wzorca z wyraźnym rozwarstwieniem.

Technika jest prosta: każdy paragraf, w którym swoboda kontraktowa B2B różni się od ochrony konsumenckiej, zawiera odrębne ustępy. Ustęp pierwszy — reżim dla przedsiębiorcy (wyłączona rękojmia, limit odpowiedzialności odniesiony do opłat z 12 miesięcy). Ustęp drugi — wyraźne zastrzeżenie, że poprzedni ustęp nie ma zastosowania wobec konsumenta i przedsiębiorcy na prawach konsumenta. Ustęp trzeci — reżim wspólny (siła wyższa, specyfika AI).

Tę samą technikę powtarzasz przy:

1. Poufności — konsument nie może być zobowiązany do zachowania poufności na warunkach NDA
2. Właściwości sądu — wobec konsumenta obowiązuje sąd właściwy dla jego miejsca zamieszkania
3. Pomiarach dostępności — klauzula o wiążącym charakterze pomiarów własnych dostawcy może być abuzywna wobec konsumenta (art. 385³ k.c.)
4. Klauzuli marketingowej na logotyp — wymaga odrębnej zgody, nie domyślnego włączenia

Maksymalna kara UOKiK za praktyki naruszające zbiorowe interesy konsumentów wynosi 10% obrotu z roku obrotowego poprzedzającego rok nałożenia kary (UOKiK — niedozwolone klauzule). To nie jest ryzyko teoretyczne.

2. Nadzór ludzki jako stan systemu, nie deklaracja

„Wyniki AI należy weryfikować” — to zdanie. Nie chroni Cię przed niczym.

Bufor weryfikacyjny to stan systemu: treść wygenerowana przez AI istnieje w aplikacji, ale nie jest opublikowana do momentu zatwierdzenia przez klienta. Publikacja wymaga świadomej akceptacji osoby znającej kontekst.

Różnica jest fundamentalna. Wyobraź sobie: moduł AI streszcza 1 200 uwag mieszkańców do planu inwestycji drogowej. Urząd wkleja podsumowanie do raportu z konsultacji, raport trafia do dokumentacji planistycznej. Model pominął wątek pojawiający się w 200 komentarzach. Jeśli regulamin zawiera tylko deklarację o weryfikacji, odpowiedzialność za błąd jest niejednoznaczna. Jeśli produkt wymusza zatwierdzenie przed publikacją — odpowiedzialność merytoryczna spoczywa na osobie, która zatwierdziła wynik, znając kontekst procesu.

Co to wymaga od produktu:

1. Stan „bufor” w aplikacji — wynik widoczny, ale nieopublikowany
2. Przycisk zatwierdzenia z logowaniem czasu i tożsamości osoby zatwierdzającej
3. Wprost sformułowany zakaz opierania decyzji wyłącznie na automatycznym wyniku — w regulaminie i w interfejsie

3. Oznaczanie treści AI — dwutorowo

Art. 50 rozporządzenia (UE) 2024/1689 wymaga, aby treści generowane przez AI były oznaczone w formacie nadającym się do odczytu maszynowego, odporne na usunięcie i dostosowane do rodzaju treści. Obowiązek stosuje się od 2 sierpnia 2026 r.

Sam przepis nie wskazuje konkretnego standardu technicznego (C2PA, SynthID, IPTC). Dostawca musi samodzielnie wybrać i udokumentować rozwiązanie spełniające wymóg funkcjonalny.

Oznaczanie musi działać na dwóch poziomach:

1. Etykieta w interfejsie — widoczna informacja, że treść została wygenerowana lub zmodyfikowana przez AI
2. Metadane w eksportowanych plikach — zapisane w formacie maszynowo odczytywalnym, trwałe po pobraniu

I trzeci element, o którym większość wzorców zapomina: zakaz usuwania oznaczeń AI przez użytkowników. Bez tego oznaczenie ginie w pierwszym kroku obiegu dokumentu — a dostawca traci dowód, że obowiązek wykonał.

Kary za naruszenie obowiązków przejrzystości z AI Act mogą sięgać 35 mln euro lub 7% globalnego obrotu (rozporządzenie (UE) 2024/1689). Krajowy organ nadzoru — Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) — został powołany ustawą z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).

4. Prawa do wyniku AI — bez obietnic wyłączności

Model jest probabilistyczny. Dla tych samych danych wejściowych może dać różny wynik. A wynik może być po prostu nieprawdziwy.

Regulamin musi rozstrzygać trzy kwestie:

Brak tej klauzuli tworzy lukę, gdy klient chce zakazać konkurencji używania podobnej wizualizacji lub oprzeć na wyniku decyzję administracyjną. Obietnica praw wyłącznych do wyniku generowanego przez AI jest niewykonalna — a przy sporze kosztowna.

5. Licencja na treści użytkowników — konstrukcja dwutorowa

Komentarz mieszkańca w konsultacjach dotyczących inwestycji może zawierać informacje o stanie zdrowia, sytuacji rodzinnej i adres z dokładnością do numeru budynku. Dostawca potrzebuje licencji na tę treść, żeby przetworzyć ją modelem. Ale nie może jej wziąć bezpośrednio od autora, bo autor nie zawiera żadnej umowy.

Konstrukcja musi być dwutorowa:

1. Wobec użytkownika końcowego — licencja powstaje z chwilą przesłania treści, na podstawie mechanizmu regulaminowego plus informacji przy formularzu (nawet dla osób bez konta)
2. Wobec dostawcy — klient oświadcza i gwarantuje, że ma prawa i zgody do treści wprowadzanych przez użytkowników działających w jego procesie, wraz z klauzulą zwolnienia z odpowiedzialności obejmującą prawa autorskie, dobra osobiste i prywatność

Osobny temat to trenowanie modeli. Regulamin powinien rozdzielać trzy kierunki:

1. Wyłączenie danych wejściowych z uczenia publicznych modeli komercyjnych dostawców zewnętrznych
2. Warunki wykorzystania danych zagregowanych i nieodwracalnie zanonimizowanych do modeli własnych
3. Zakaz trenowania modeli konkurencyjnych na wynikach i interfejsie

6. Warstwa DSA — jeśli publikujesz treści użytkowników

Jeśli Twoja aplikacja na żądanie użytkownika przechowuje informacje i rozpowszechnia je publicznie, jest usługą hostingu — a potencjalnie platformą internetową w rozumieniu rozporządzenia (UE) 2022/2065. Wyjątek: publiczne rozpowszechnianie jest nieznaczną i poboczną cechą usługi głównej (motyw 13 DSA).

Obowiązki, które muszą znaleźć odzwierciedlenie w regulaminie:

1. Punkt kontaktowy dla organów i użytkowników (art. 11–12 DSA)
2. Mechanizm notice-and-action — formularz zgłoszenia treści bezprawnych z wymogami formalnymi, z wyjątkiem dla materiałów przedstawiających seksualne wykorzystywanie dzieci (art. 16 DSA)
3. Uzasadnienie decyzji moderacyjnych z informacją o użyciu narzędzi zautomatyzowanych (art. 17 DSA)
4. Wewnętrzny system skarg — bezpłatne odwołanie w ciągu 6 miesięcy, rozpatrywane z udziałem człowieka (art. 20 DSA)
5. Środki przeciw nadużywaniu zgłoszeń — zawieszenie uprawnień osób systematycznie składających bezzasadne zgłoszenia (art. 23 DSA)

Mikroprzedsiębiorstwa i małe przedsiębiorstwa korzystają ze zwolnienia z sekcji 3 rozdziału III DSA (art. 19 ust. 1), ale nie z obowiązków hostingu z sekcji 1.

Polska ustawa wykonawcza do DSA (Dz.U. 2026 poz. 1296) przewiduje kary administracyjne do 6% światowego obrotu z roku poprzedzającego nałożenie kary.

Dodatkowe ryzyko: jeśli wsparcie techniczne odpowiada na pytania klientów typu „czy ten komentarz mieszkańca możemy usunąć?”, dostawca wchodzi w rolę merytorycznego moderatora cudzego procesu. Regulamin powinien wyłączać ze wsparcia technicznego doradztwo w zakresie oceny i moderacji treści tworzonych przez użytkowników końcowych klienta.

7. Ścieżka wyjścia i gotowość na sektor publiczny

Rozporządzenie (UE) 2023/2854 (Data Act) stosuje się od 12 września 2025 r. i nakłada na dostawców SaaS obowiązki switching: eksport danych w formacie maszynowo odczytywalnym, usuwanie przeszkód w zmianie dostawcy, a od 12 stycznia 2027 r. — zakaz pobierania opłat za zmianę dostawcy (z wyjątkiem bezpośrednich kosztów transferu).

Regulamin powinien przewidywać:

1. Okres karencji po rozwiązaniu umowy — dostęp tylko do odczytu i eksportu (np. 6 miesięcy)
2. Format eksportu nadający się do odczytu maszynowego
3. Wyraźne wskazanie, co dzieje się po upływie terminu karencji (nieodwracalne usunięcie lub anonimizacja)
4. Blokadę usunięcia konta z aktywnym projektem do czasu przeniesienia roli właściciela

Jeśli sprzedajesz do podmiotów publicznych (JST, spółki komunalne), standardowe klauzule zderzają się z ich reżimem:

Przygotuj wariant wzorca skonfrontowany z tymi obowiązkami — zamiast negocjować od zera przy każdym zamówieniu.

Co sprawdzić na swoim regulaminie — lista kontrolna

Poniższą listę możesz przejść na własnym regulaminie w jedno popołudnie. Nie zastąpi audytu prawnego, ale pokaże, gdzie są luki.

Jak możemy pomóc

Regulamin SaaS z modułem AI to nie dokument do pobrania. To decyzja produktowa, która wymaga analizy architektury aplikacji, kategorii użytkowników, modelu rozliczeniowego i planów sprzedażowych.

Pracujemy z dostawcami SaaS, platformami z treściami użytkowników i firmami sprzedającymi do sektora publicznego. Łączymy prawo IT, AI, ochronę danych i prawo umów w jednym modelu — zamiast rozbijać te obszary na osobne zlecenia.

Nasze wsparcie obejmuje trzy poziomy wejścia:

1. Audyt luk i lista poprawek — przejście Twojego regulaminu przez listę kontrolną, wskazanie klauzul nieskutecznych wobec konsumenta, brakujących mechanizmów DSA i AI Act, niezgodności z Data Act
2. Przebudowa wzorca z rozwarstwieniem reżimów — jeden regulamin obsługujący B2B, konsumenta i gościa, z klauzulami AI, umową powierzenia i procedurą eksportu danych
3. Pełne zabezpieczenie — wzorzec wariantowany pod modele sprzedaży (self-service, ofertowy, sektor publiczny), warstwa DSA z procedurami moderacji, wsparcie w negocjacjach z klientem publicznym

Pierwszy krok: bezpłatna konsultacja i przejście listy kontrolnej na Twoim dokumencie —

Regulamin jako funkcja produktu — co zapamiętać

Regulamin SaaS z modułem AI musi obsłużyć trzy reżimy prawne w jednym wzorcu. Klauzule skuteczne w B2B — wyłączenie rękojmi, limit odpowiedzialności, właściwość sądu — są wobec konsumenta nieskuteczne lub abuzywne. Deklaracja o weryfikacji wyników AI nie przenosi odpowiedzialności — bufor weryfikacyjny jako stan systemu tak. Oznaczanie treści AI wymaga etykiet w interfejsie, metadanych w eksportach i zakazu ich usuwania. Licencja na treści użytkowników wymaga konstrukcji dwutorowej. Warstwa DSA i ścieżka wyjścia zgodna z Data Act to obowiązki, nie opcje.

Każda z tych decyzji zmienia coś w produkcie, nie tylko w dokumencie. Im wcześniej je podejmiesz, tym mniejsze ryzyko przebudowy wzorca przy pierwszym dużym kliencie publicznym lub pierwszym postępowaniu konsumenckim.

Jeśli chcesz zweryfikować swój regulamin pod kątem tych siedmiu obszarów — napisz do nas. Przejdziemy Twój dokument i wskażemy, co wymaga zmiany.

Najczęściej zadawane pytania

Mój produkt jest B2B, ale użytkownicy końcowi mojego klienta to konsumenci — czy potrzebuję dwóch regulaminów?
Nie musisz tworzyć dwóch osobnych dokumentów. Potrzebujesz jednego wzorca z wyraźnym rozwarstwieniem — odrębne ustępy dla przedsiębiorcy i konsumenta w każdym paragrafie, gdzie swoboda kontraktowa się różni. Dotyczy to przede wszystkim odpowiedzialności, rękojmi, właściwości sądu i poufności. Jeden wzorzec jest łatwiejszy w utrzymaniu niż kilka wersji aktualizowanych równolegle.

Jak mogę związać regulaminem kogoś, kto nie zakłada konta i nie klika żadnego checkboxa?
Art. 8 ust. 3 ustawy o świadczeniu usług drogą elektroniczną wiąże udostępnienie regulaminu z rozpoczęciem świadczenia, a nie z podpisem. Jeśli regulamin jest dostępny i czytelny przed rozpoczęciem korzystania z aplikacji, gość jest nim związany. Zadbaj o to, żeby informacja o regulaminie była widoczna przy każdym publicznym formularzu i punkcie wejścia.

Czy wystarczy, że w regulaminie napiszę „wyniki AI należy weryfikować”, czy muszę coś zmienić w produkcie?
Sama deklaracja nie przenosi odpowiedzialności na klienta. Bufor weryfikacyjny — stan systemu, w którym treść wygenerowana przez AI istnieje, ale nie jest opublikowana do momentu zatwierdzenia — to mechanizm, który realnie rozdziela odpowiedzialność. Wymaga zmiany w produkcie: stanu „bufor”, przycisku zatwierdzenia i logowania tożsamości osoby zatwierdzającej.

Czy mój klient dostaje prawa wyłączne do tego, co wygeneruje moje narzędzie?
Materiał wygenerowany w całości automatycznie może nie stanowić utworu w rozumieniu art. 1 ustawy o prawie autorskim — bo brak przejawu działalności twórczej o indywidualnym charakterze. Klient nabywa prawo korzystania z wyniku, ale nie prawa wyłączne. Aplikacja może wygenerować identyczny lub zbliżony wynik innemu użytkownikowi przy podobnym zapytaniu. Regulamin powinien to wprost komunikować.

Czy moja aplikacja podlega DSA, jeśli publikuje treści użytkowników?
Jeśli Twoja aplikacja na żądanie użytkownika przechowuje informacje i rozpowszechnia je publicznie, prawdopodobnie kwalifikuje się jako platforma internetowa w rozumieniu DSA. Wyjątek dotyczy sytuacji, gdy publiczne rozpowszechnianie jest nieznaczną i poboczną cechą usługi głównej. SaaS przyjmujący zgłoszenia dostępne wyłącznie dla zamkniętej grupy — prawdopodobnie nie podlega. Kwalifikacja wymaga analizy architektury Twojej usługi.

Od kiedy muszę oznaczać treści generowane przez AI?
Art. 50 AI Act stosuje się od 2 sierpnia 2026 r. Obowiązek obejmuje oznaczanie treści syntetycznych w formacie nadającym się do odczytu maszynowego. Sam przepis nie wskazuje konkretnego standardu technicznego — dostawca musi samodzielnie wybrać i udokumentować rozwiązanie. Pamiętaj o dwóch warstwach: etykieta w interfejsie i metadane w eksportowanych plikach. I o zakazie usuwania oznaczeń przez użytkowników.