Wyzwania i perspektywy w biznesie.
Sztuczna inteligencja (AI) i modele językowe LLM z impetem wkroczyły, w praktycznie każdy aspekt naszego życia prywatnego i zawodowego, rewolucjonizując sposób, w jaki pracujemy, tworzymy i komunikujemy się. Z każdym dniem rośnie popularność AI, nie tylko za sprawą kolejnych ekspertów od wdrożeń, ale również wielu popularnych przedsiębiorców, którzy prezentują obszary, w których AI wspiera ich w codziennej pracy ale i życiu prywatnym. Praktycznie zawsze pomijanym aspektem są tematy prawne. Mam nawet wrażenie, że w powszechnej opinii, AI zupełnie wymknęło się uregulowaniom prawnym i nikt nie zastanawia się zbyt długo nad tym, czy stosowanie LLM w codziennej pracy jest legalne lub jakie konsekwencje może za sobą nieść.
Jakie są zasady wykorzystania AI w firmie? Kto odpowiada za błędy generowane przez algorytmy? Co z prawami autorskimi do treści stworzonych przez AI? Unia Europejska, będąc prekursorem w regulowaniu tego obszaru, stara się odpowiedzieć na te wyzwania. Niestety AI Act nie miał w Polsce dobrego PR-u stając się nawet tematem politycznym, jakoby to UE próbowała tym rozporządzeniem ograniczyć innowacyjność europejskich twórców LLM.
Z tego artykułu dowiesz się:
- Jakie są kluczowe aspekty prawne, na które należy zwrócić uwagę, wdrażając AI w swojej firmie, w tym w kontekście ochrony danych osobowych.
- Kto jest uważany za twórcę treści generowanych przez sztuczną inteligencję i jakie to ma konsekwencje dla praw autorskich.
- Jakie są zasady przypisywania odpowiedzialności za potencjalne szkody wyrządzone przez systemy AI i kto ją ponosi.
- Czym jest unijny Akt o Sztucznej Inteligencji (AI Act) i w jaki sposób klasyfikuje oraz reguluje systemy AI, aby zapewnić ich bezpieczeństwo i zgodność z prawem.
AI w firmie, na co zwrócić uwagę z perspektywy prawnej?
Wdrożenie AI w środowisku biznesowym to nie tylko kwestia technologiczna, ale w dużej mierze prawna. Przedsiębiorcy, którzy decydują się na wykorzystanie systemów AI, muszą mieć świadomość szeregu obowiązków i ryzyk, a z moich doświadczeń wynika, że obecnie są one bardzo mocno ignorowane lub użytkownicy nie mają w ogóle świadomości ich występowania.
Prywatność i ochrona danych osobowych (RODO).
AI często przetwarza ogromne ilości danych, w tym danych osobowych. Konieczne jest zapewnienie pełnej zgodności z RODO. Oznacza to m.in.:
- legalność przetwarzania: posiadanie odpowiedniej podstawy prawnej do przetwarzania danych (np. zgoda, wykonanie umowy, uzasadniony interes administratora). Co istotne, fakt posiadania podstawy prawnej do przetwarzania danych osobowych przez firmę koreluje bezpośrednio z określnym celem w jakim dane są przetwarzane. Dla przykładu cel jakim jest realizacja umowy, może nie być wystarczający do wykorzystania AI w pracy nad tymi danymi. Modele LLM poza funkcjonalnościami dostępnymi dla użytkownika, bardzo często szkolą się na treściach przekazywanych przez tych ostatnich, a to jest już zupełnie odrębnym celem, do którego również powinniśmy posiadać podstawę prawną.
- Minimalizacja danych: zbieranie tylko tych danych, które są absolutnie niezbędne do działania systemu AI. Często bezwiednie modele LLM podłączane są pod duże zasoby danych, bez selekcjonowania czy określone kategorie faktycznie powinny się tam znaleźć. Takie podejście jest prostą drogą do zarzucenia firmie jako Administratorowi Danych Osobowych (ADO) naruszenie tej jednej z podstawowych zasad RODO, której naruszenie może wiązać się z administracyjną karą finansową nawet do 4% zeszłorocznego obrotu firmy lub 20 mln Euro kary.
- Transparentność: informowanie osób, których dane są przetwarzane, o celach, podstawach prawnych, kategoriach danych, odbiorcach oraz ich prawach. Systemy AI wysokiego ryzyka wymagają dodatkowo szczegółowych informacji o ich działaniu. Wszelkie obowiązki informacyjne, które były przekazywane podmiotom danych w momencie pozyskania od nich danych osobowych powinny zostać zaktualizowane o fakt wykorzystywania przez nasze systemy AI. Osoby których dane dotyczą muszą mieć świadomość co firma jako ADO robi z ich danymi, a także komu je powierza do przetwarzania lub udostępnia (na własny użytek AI – szkolenia LLM). Ten ostatni proces jest szczególnie ważny, a często pomijany przez użytkowników AI. Skoro modele LLM szkolą się na przekazywanych im danych, to wykorzystują je we własnym celu. Nie różni się to niczym od sytuacji w której przekazalibyśmy dane np. naszych klientów, zupełnie obcej firmie, aby robiła sobie z nimi, co jej się żywnie podoba. Chyba każdy z nas miałby obawy gdyby np. nasz bank lub gabinet lekarski przekazał dane osobie trzeciej, bez informowania nas o tym i bez wskazania w jaki celu to robi i co się stanie z danymi po ich udostępnieniu.
- Zabezpieczenia: wdrożenie odpowiednich środków technicznych i organizacyjnych chroniących dane przed nieuprawnionym dostępem, utratą czy uszkodzeniem. Oddanie od tak pracownikom dostępu do Chata GPT, czy innego LLM’a, bez określenia zasad w jaki mogą z nich korzystać, to prosta droga do przejęcia odpowiedzialności za nieprawidłowe wykorzystanie tych narzędzi, właśnie przez pracowników. Wystarczy, że ktoś z naszej organizacji „wrzuci” w LLM umowę z danymi kontrahenta, czy szczegółami kontraktu i już dochodzi do naruszenia szeregu przepisów w tym RODO czy ustawy o zwalczaniu czynów nieuczciwej konkurencji. Brak zasad korzystania z AI w organizacji sprawia, że konsekwencje takiego nieprawidłowego wykorzystania narzędzia spoczywają bezpośrednio np. na spółce lub zarządzie spółki kapitałowej.
- DPIA (Ocena Skutków dla Ochrony Danych): w przypadku systemów AI wysokiego ryzyka (np. stosowanych w zatrudnieniu, ocenie zdolności kredytowej), konieczne jest przeprowadzenie szczegółowej oceny skutków przetwarzania dla praw i wolności osób fizycznych. O ile w wielu organizacjach DPIA nie musiało być wcześniej przeprowadzane, przez wzgląd na niewielkie ryzyko naruszenia podstawowych praw i wolności osób których dane dotyczą, to często korzystanie z AI będzie wymagało takiej analizy. Brak jej przeprowadzenia i nie posiadanie odpowiednich zabezpieczeń może skutkować incydentami danych o dużych konsekwencjach dla podmiotów danych i odpowiedzialnością administratorów, w stosunku do Prezesa Urzędu Ochrony Danych Osobowych, a ta wiąże się z wysokimi karami.
Dyskryminacja i sprawiedliwość algorytmiczna.
Systemy AI uczą się na podstawie danych. Jeśli dane te zawierają uprzedzenia lub są nierównomierne, algorytmy mogą powielać i wzmacniać dyskryminację (np. w procesach rekrutacji, oceny kredytowej, systemach predykcyjnych). Firmy muszą dążyć do eliminowania stronniczości (bias) w danych treningowych i monitorować wyniki działania AI pod kątem sprawiedliwości. AI Act wprowadza wymóg zapewnienia ludzkiego nadzoru nad systemami AI wysokiego ryzyka. To jedno z nowych stanowisk, które pojawią się w firmach opierających swoje działania na AI.
Umowy i licencjonowanie.
Korzystanie z gotowych rozwiązań AI (SaaS, API) wymaga dokładnego analizowania umów licencyjnych. Należy zwrócić uwagę na zakres udzielanych praw, odpowiedzialność dostawcy, kwestie własności intelektualnej i ochrony danych. Wiele firm tworzy własne rozwiązania AI, co z kolei rodzi pytania o własność kodu, modeli i danych. Już teraz wiele modeli świadomie lub nie, szkoli się na danych stanowiących tajemnicę przedsiębiorstwa. Brak świadomości na temat tego, w jaki sposób AI wykorzystuje udostępniane mu dane do szkolenia może powodować w przyszłości naruszanie tajemnicy przedsiębiorstwa. Firmy wykorzystujące AI powinny jasno określić politykę korzystania z tych narzędzi lub uwzględnić rozwiązania zapewniające bezpieczeństwo przekazywanych im danych i np. szkolenie AI w zamkniętej strukturze, na danych firmowych lub wyłączenie opcji szkolenia LLM, zapobiegającego przekazywanie danych poza organizacje.
AI prawo autorskie: kto jest twórcą treści generowanych przez AI?
Jednym z najbardziej palących pytań w erze generatywnej AI jest kwestia praw autorskich do treści (tekstów, grafik, muzyki, kodu) stworzonych przy użyciu sztucznej inteligencji. Tradycyjne prawo autorskie zakłada, że twórcą może być jedynie człowiek.
Brak twórczości AI
Obecnie dominujące stanowisko jest takie, że AI, jako narzędzie, nie może być podmiotem praw autorskich. Twórcą jest człowiek, który posługuje się AI.
Wkład człowieka.
Kluczowe staje się pytanie o wkład człowieka w proces tworzenia. Jeśli człowiek jedynie wprowadza proste polecenie ("prompt"), a AI generuje złożoną grafikę, czy nadal jest on twórcą w świetle prawa? Jeśli człowiek intensywnie edytuje, wybiera i komponuje elementy generowane przez AI, jego wkład jest znacznie bardziej znaczący. Wiele jurysdykcji skłania się ku uznawaniu praw autorskich tam, gdzie występuje oryginalność i indywidualny charakter będący wynikiem twórczej pracy człowieka.
Trening AI, a prawa autorskie.
Coraz częściej dyskutuje się o legalności wykorzystywania dzieł chronionych prawem autorskim do treningu modeli AI. Czy skanowanie książek, obrazów, czy tekstów z internetu bez zgody autorów do celów uczenia maszynowego jest naruszeniem praw autorskich? Unia Europejska wprowadziła w Dyrektywie o Prawie Autorskim na Jednolitym Rynku Cyfrowym (DSM Copyright Directive) wyjątek w zakresie eksploracji tekstów i danych (TDM) dla celów badań naukowych, jednak jego zastosowanie w kontekście komercyjnego treningu AI jest przedmiotem sporów i przyszłych interpretacji. AI Act również dotyka tej kwestii, wymagając od dostawców modeli AI ogólnego przeznaczenia transparentności w zakresie danych użytych do treningu.
Odpowiedzialność za AI: kto ponosi winę za błędy algorytmów?
Kwestia odpowiedzialności za szkody wyrządzone przez systemy AI jest niezwykle złożona i stanowi jedno z największych wyzwań regulacyjnych. Tradycyjne zasady odpowiedzialności (np. odpowiedzialność za produkt wadliwy, odpowiedzialność deliktowa) często nie przystają do specyfiki AI.
- Złożoność łańcucha wartości: system AI może być tworzony przez jednego dostawcę, wdrażany przez drugiego, modyfikowany przez trzeciego, a używany przez czwartego. Ustalenie, kto ponosi winę za konkretną szkodę, staje się trudne.
- Autonomia AI: systemy AI, zwłaszcza te oparte na uczeniu maszynowym, mogą podejmować decyzje w sposób, który nie jest w pełni przewidywalny ani zrozumiały dla człowieka ("black box problem"). To utrudnia przypisanie odpowiedzialności.
- Wielość podmiotów: AI Act, a także projekt Dyrektywy w sprawie odpowiedzialności za szkodę wyrządzoną przez sztuczną inteligencję (AI Liability Directive), dążą do uregulowania odpowiedzialności poprzez przypisanie jej różnym podmiotom w łańcuchu wartości AI:
- Dostawcy systemów AI: to na nich spoczywa największa odpowiedzialność, zwłaszcza za systemy wysokiego ryzyka. Są zobowiązani do zapewnienia zgodności z wymogami AI Act, przeprowadzania oceny zgodności, zarządzania ryzykiem i zapewnienia ludzkiego nadzoru.
- Użytkownicy systemów AI: muszą dbać o prawidłowe wdrożenie, monitorowanie i używanie systemu AI, zgodnie z instrukcjami dostawcy. Jeżeli pracodawca chce jak najbardziej zabezpieczyć swoje interesy, powinien wprowadzić w swojej organizację politykę korzystania z AI, która w jasny sposób określi co i na jakich zasadach może być przekazywane do modeli LLM. Brak takiej polityki sprawia, że działanie niefrasobliwego pracownika będzie w pełni przeniesione w zakres odpowiedzialności pracodawcy. Na analogicznych zasadach jak się ma obecnie w temacie RODO i procedur związanych z ochroną danych osobowych w organizacji. Brak procedur to prosta droga do odpowiedzialności wobec PUODO. Sam organ nie karze za błędy ludzkie, czy omyłki, które doprowadziły do naruszeń. Kluczem jest tu posiadanie procedury do której stosowania zobowiązani są członkowie zespołu w danej organizacji.
- Importerzy i dystrybutorzy: również ponoszą część odpowiedzialności za wprowadzanie na rynek zgodnych z prawem systemów AI, szczególnie tam, gdzie reprezentują podmiot spoza EOG, czyli spoza jurysdykcji AI Act.
W przypadku systemów AI wysokiego ryzyka AI Act wprowadza szereg obowiązków prewencyjnych, które mają zminimalizować ryzyko szkód. W sytuacji, gdy szkoda jednak nastąpi, możliwe jest zastosowanie przepisów o odpowiedzialności za produkt wadliwy, odpowiedzialności deliktowej (na zasadzie winy lub ryzyka, w zależności od przypadku), a w przyszłości także przepisów wynikających z wspomnianej Dyrektywy AI Liability, która ma ułatwić dochodzenie roszczeń odszkodowawczych.
Regulacje AI UE: Akt o Sztucznej Inteligencji (AI Act)
Unia Europejska jest pionierem w kompleksowym uregulowaniu sztucznej inteligencji. Akt o Sztucznej Inteligencji (AI Act) to pierwsze na świecie tak obszerne rozporządzenie, którego celem jest zapewnienie, że systemy AI w UE są bezpieczne, zgodne z prawem, etyczne i chronią prawa podstawowe obywateli.
- Podejście oparte na ryzyku: AI Act klasyfikuje systemy AI według poziomu ryzyka, jakie mogą stwarzać:
- niezbywalne ryzyko (zakazane praktyki): Pewne systemy AI są całkowicie zakazane, np. te wykorzystujące techniki manipulacji podprogowej, systemy scoringu społecznego czy biometryczna identyfikacja w czasie rzeczywistym w miejscach publicznych (z pewnymi wyjątkami).
- Wysokie ryzyko: systemy AI, które mogą mieć znaczący negatywny wpływ na bezpieczeństwo lub prawa podstawowe (np. AI w medycynie, transporcie, rekrutacji, ocenie zdolności kredytowej, egzekwowaniu prawa). Dostawcy i użytkownicy tych systemów podlegają najbardziej rygorystycznym wymogom (m.in. ocena zgodności, systemy zarządzania jakością, ludzki nadzór, cyberbezpieczeństwo, transparentność, obowiązki w zakresie ochrony danych).
- Ograniczone ryzyko: systemy, które wymagają pewnych obowiązków w zakresie transparentności (np. chatboty informujące, że są AI).
- Minimalne ryzyko: większość systemów AI, które nie podlegają szczególnym regulacjom, ale są zachęcane do stosowania kodeksów postępowania. Tu warto podkreślić, że dostawcy AI w ramach regulaminów świadczonych przez siebie usług, a także polityk prywatności, często jasno określają w jaki sposób korzystać z narzędzia, wyłączając swoją odpowiedzialność za działalność prowadzoną w sposób niezgodny z tymi uregulowaniami. W takim przypadku całość odpowiedzialności za narzędzie z którego korzystają pracownicy, spoczywa na pracodawcy, który udostępnia system. Dlatego więc w jego największym interesie, jest określenie zasad i sposobów korzystania z modeli LLM w celach zawodowych.
- Kary: za naruszenia przepisów AI Act przewidziane są wysokie kary administracyjne, sięgające nawet do 35 milionów euro lub 7% rocznego światowego obrotu przedsiębiorstwa. To jeszcze wyższe sankcje niż te z którymi obecnie mamy do czynienia w RODO.
- Organy nadzorcze: w każdym państwie członkowskim, w tym w Polsce, powołane zostaną organy odpowiedzialne za nadzór i egzekwowanie przepisów AI Act. Na poziomie UE działa również Europejski Urząd ds. Sztucznej Inteligencji.
Podsumowanie
Prawne aspekty sztucznej inteligencji to dynamicznie rozwijająca się dziedzina, która wymaga od firm ciągłego monitorowania zmian i dostosowywania swoich praktyk. Odpowiedzialne wdrażanie AI, zgodne z przepisami RODO, zasadami prawa autorskiego oraz nowymi regulacjami AI Act, to klucz do wykorzystania pełnego potencjału tej technologii, minimalizując jednocześnie ryzyka prawne i budując zaufanie wśród klientów i partnerów biznesowych. Przedsiębiorcy powinni priorytetowo traktować analizę ryzyka prawnego związanego z AI i w razie potrzeby korzystać ze wsparcia ekspertów w tej dziedzinie.
Potrzebujesz wsparcia w zakresie legalnego wdrożenia AI w Twojej firmie? Skontaktuj się z nami! Oferujemy kompleksowe doradztwo, poparte 13 letnim doświadczeniem na rynku. Danych.
Skorzystaj z formularza szybkiego kontaktu poniżej lub napisz do nas na adres: biuro@ensiskancelaria.com lub zadzwoń: +48 519 56 36 26
FAQ - Pytania i Odpowiedzi
Jakie są główne aspekty prawne, na które należy zwrócić uwagę, wdrażając AI w firmie?
Kluczowe kwestie prawne to: zapewnienie zgodności z RODO (ochrona danych osobowych), uregulowanie kwestii praw autorskich do treści generowanych przez AI, ustalenie odpowiedzialności za ewentualne szkody oraz dostosowanie się do wymogów nowego unijnego AI Act.
Kto jest twórcą treści wygenerowanych przez AI i czy przysługują mu prawa autorskie?
Dominujące stanowisko prawne zakłada, że tylko człowiek może być twórcą w świetle prawa autorskiego. AI jest traktowane jako narzędzie. Kluczowe jest to, jaki był wkład twórczy człowieka w procesie tworzenia, np. poprzez precyzyjne polecenia (prompt) lub edycję.
Czy wykorzystanie AI w firmie jest zgodne z RODO?
Tak, ale tylko pod warunkiem, że firma przestrzega wszystkich zasad RODO. Obejmuje to posiadanie podstawy prawnej do przetwarzania danych, stosowanie zasady minimalizacji danych, zapewnienie transparentności dla osób, których dane są przetwarzane, oraz wdrożenie odpowiednich zabezpieczeń. W przypadku systemów wysokiego ryzyka konieczne może być przeprowadzenie DPIA (Oceny Skutków dla Ochrony Danych).
Kto ponosi odpowiedzialność za błędy i szkody wyrządzone przez systemy AI?
Odpowiedzialność jest złożona i zależy od roli w łańcuchu wartości. Może spoczywać na dostawcy, importerze lub użytkowniku systemu AI. Jako przedsiębiorca, jesteś odpowiedzialny za to, jak AI jest wykorzystywane w Twojej firmie. Brak wewnętrznych polityk i procedur w tym zakresie może przenieść pełną odpowiedzialność za działania pracowników na firmę.
Czym jest AI Act i jakie kary przewiduje za naruszenia?
AI Act to unijne rozporządzenie, które reguluje i klasyfikuje systemy AI na podstawie poziomu ryzyka, jakie stwarzają. Za naruszenia jego przepisów przewidziane są bardzo wysokie kary administracyjne, które mogą sięgnąć nawet do 35 milionów euro lub 7% rocznego światowego obrotu przedsiębiorstwa, co oznacza sankcje wyższe niż te z RODO.
Jakub Szajdziński
Specjalizuję się w pomocy prawnej na rzecz przedsiębiorstw z sektora nowych technologii, IT, e-commerce, web&mobile, a także obsłudze spółek prawa handlowego.
