Wsparcie prawne dla AI, danych, oprogramowania i środowisk regulowanych

AI Act, czyli unijny akt w sprawie sztucznej inteligencji (rozporządzenie 2024/1689), obejmuje zarówno podmioty tworzące systemy AI (dostawców), jak i te, które je wykorzystują (podmioty stosujące). Zakres obowiązków zależy od tej roli oraz od klasy ryzyka systemu. Punktem wyjścia jest ustalenie roli organizacji i klasyfikacja systemu.

Tak, jeśli korzystasz z nich w działalności zawodowej. Sięgając po gotowe narzędzie AI, najczęściej występujesz jako podmiot stosujący, a nie dostawca – zakres Twoich obowiązków jest wtedy węższy i zależy od tego, do czego i w jakim kontekście używasz narzędzia. Już przy prostych zastosowaniach trzeba zadbać o odpowiedni poziom kompetencji AI w zespole, a przy zastosowaniach wysokiego ryzyka – na przykład w rekrutacji czy ocenie pracowników – dochodzą dalej idące wymogi. Sytuacja zmienia się, gdy modyfikujesz takie narzędzie, integrujesz je z własnym produktem lub udostępniasz pod własną marką – wtedy możesz przejąć obowiązki dostawcy.

AI Act opiera klasyfikację na ryzyku związanym z przeznaczeniem i sposobem wykorzystania systemu, a nie na samej technologii. System AI jest klasyfikowany jako system wysokiego ryzyka, gdy jest produktem lub związanym z bezpieczeństwem elementem produktu objętego określonymi przepisami UE, a jego ocena zgodności wymaga udziału strony trzeciej, albo gdy jest wykorzystywany w obszarach wskazanych w AI Act, takich jak biometria, infrastruktura krytyczna, edukacja, zatrudnienie czy dostęp do niektórych podstawowych usług. Dla tej drugiej kategorii AI Act przewiduje ograniczone wyjątki, jeżeli system nie stwarza znaczącego ryzyka szkody i spełnia dodatkowe warunki określone w rozporządzeniu. Wyjątki te nie dotyczą systemów dokonujących profilowania osób fizycznych.

To zależy od rodzaju danych, celu, w którym zostały zebrane, oraz podstawy prawnej ich przetwarzania. Jeżeli zbiór zawiera dane osobowe, ich wykorzystanie do trenowania modelu AI musi być zgodne z RODO, w szczególności z zasadami ograniczenia celu i minimalizacji danych. Wykorzystanie danych w nowym celu może wymagać oceny zgodności z celem pierwotnym.

Ustawa o krajowym systemie cyberbezpieczeństwa, znowelizowana w celu wdrożenia dyrektywy NIS2, dzieli podmioty na kluczowe i ważne. Podmiot wpisywany do wykazu na wniosek występuje o wpis w terminie 6 miesięcy od spełnienia przesłanek, a obowiązki z rozdziału 3 ustawy – w tym wdrożenie systemu zarządzania bezpieczeństwem informacji – realizuje w terminie 12 miesięcy. Pierwszym krokiem jest ustalenie, czy organizacja podlega ustawie, a jeżeli tak – czy jako podmiot kluczowy, czy ważny.

DORA – rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego, stosowane od 17 stycznia 2025 r. – określa wymagania dotyczące umów zawieranych przez podmioty finansowe z zewnętrznymi dostawcami usług ICT. Każda taka umowa powinna zawierać określone postanowienia, m.in. dotyczące miejsc świadczenia usług i przetwarzania danych, bezpieczeństwa i ochrony danych, wsparcia w przypadku incydentów ICT oraz prawa wypowiedzenia. Umowy dotyczące usług ICT wspierających funkcje krytyczne lub istotne podlegają dodatkowym wymaganiom, w tym dotyczącym praw dostępu, kontroli i audytu oraz strategii wyjścia. Wymagania DORA mają zastosowanie również do umów zawartych przed 17 stycznia 2025 r.

Co do zasady nie. Z mocy prawa autorskie prawa majątkowe nabywa tylko pracodawca, i to wyłącznie do programu stworzonego przez pracownika w ramach jego obowiązków. Przy współpracy na podstawie umowy cywilnoprawnej, w tym B2B, prawa pozostają przy twórcy, dopóki nie zostaną przeniesione umową w formie pisemnej lub elektronicznej (z kwalifikowanym podpisem elektronicznym), ze wskazaniem pól eksploatacji. Samo zamówienie i zapłata wynagrodzenia nie wystarczą. Dlatego uporządkowanie łańcucha praw, także wobec podwykonawców, jest szczególnie istotne przed transakcją lub inwestycją.

AI Act nie ma zastosowania do systemów AI wprowadzanych do obrotu, oddawanych do użytku lub wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego – niezależnie od tego, czy robi to podmiot publiczny, czy prywatny. Kluczowy jest jednak cel, a nie rodzaj systemu. System AI przeznaczony zarówno do takich celów, jak i do innych, np. cywilnych lub ścigania przestępstw, jest objęty AI Act. To samo dotyczy systemu wojskowego, który zacznie być wykorzystywany do innych celów.

SAFE (Security Action for Europe) to unijny instrument udostępniający państwom członkowskim do 150 mld EUR pożyczek na wspólne zamówienia obronne w latach 2025–2030. Dla spółek technologicznych i ich dostawców oznacza rosnący popyt, ale też wymogi dotyczące m.in. siedziby i kontroli nad wykonawcą oraz pochodzenia komponentów. Doradzamy, jak przygotować się do udziału w takich projektach od strony kontraktowej i regulacyjnej.