Ten artykuł ma charakter informacyjny i nie jest poradą prawną. Przepisy dotyczące AI zmieniają się szybko, a każda firma ma inną sytuację. W konkretnej sprawie skonsultuj się z prawnikiem.
Coraz więcej małych firm korzysta z ChatGPT, Copilota czy generatorów grafik. Zwykle zaczyna się od prostych rzeczy: mail do klienta, opis produktu, podsumowanie notatki. Problem w tym, że narzędzia są łatwe, a prawo wokół nich nie. Ten tekst porządkuje pięć obszarów, o które najczęściej pytają przedsiębiorcy, i kończy się checklistą do odhaczenia.
RODO i dane w narzędziach AI
Zacznijmy od najprostszego pytania: co dzieje się z tekstem, który wklejasz do ChatGPT? W darmowej, konsumenckiej wersji większości narzędzi treść trafia na serwery dostawcy, zwykle poza Polską, i w zależności od ustawień może zostać użyta do trenowania modeli. Nie masz nad tym pełnej kontroli. Traktuj więc okno czatu tak, jakbyś wysyłał wiadomość do zewnętrznej firmy, bo w praktyce dokładnie to robisz.
Jeśli w tej wiadomości są dane osobowe, wchodzi RODO. Imię i nazwisko klienta, adres, numer telefonu, treść reklamacji, dane pracownika z umowy, wynik rozmowy rekrutacyjnej. To wszystko są dane osobowe, a ty jako firma jesteś ich administratorem. Wklejenie ich do narzędzia AI to przekazanie danych podmiotowi trzeciemu i wymaga podstawy prawnej oraz odpowiedniej umowy. Bez tego ryzykujesz kary, które w RODO sięgają do 20 mln euro lub 4% rocznego obrotu, a także skargi klientów.
Najprostsza ochrona to anonimizacja. Zanim wkleisz maila od klienta, usuń nazwisko, numer zamówienia i wszystko, co pozwala go zidentyfikować. Wpisz "klient" zamiast imienia, "[numer]" zamiast numeru. Model i tak odpowie równie dobrze, bo do napisania uprzejmej odpowiedzi nie potrzebuje wiedzieć, kim jest Jan Kowalski.
Jeśli anonimizacja nie wystarcza, bo na przykład chcesz analizować całe zgłoszenia, potrzebujesz umowy powierzenia przetwarzania danych z dostawcą narzędzia. Duzi dostawcy oferują takie umowy w planach biznesowych. Tryb "biznesowy" czy "enterprise" zwykle oznacza też, że dane nie są używane do trenowania modeli i że możesz ustawić, gdzie są przechowywane. Przeczytaj warunki, bo między planami są istotne różnice, a nazwy planów zmieniają się częściej niż przepisy.
Czasem najbezpieczniej jest nie wysyłać danych nigdzie. Modele lokalne, uruchamiane na własnym komputerze lub serwerze, przetwarzają wszystko na miejscu i nic nie opuszcza firmy. To rozwiązanie dla kancelarii, gabinetów, biur rachunkowych i każdego, kto pracuje na danych wrażliwych. Wymaga trochę konfiguracji, ale usuwa większość problemów z RODO u źródła. Jeśli chcesz sprawdzić, czy to opcja dla twojej firmy, zobacz, jak pomagamy firmom wdrażać AI.
AI Act
AI Act to unijne rozporządzenie o sztucznej inteligencji, pierwsza tak szeroka regulacja tej technologii na świecie. Obowiązuje bezpośrednio w Polsce, bez potrzeby osobnej ustawy, choć krajowe przepisy doprecyzowują, kto nadzoruje jego stosowanie. Rozporządzenie dzieli systemy AI według poziomu ryzyka: część zastosowań jest zakazana (na przykład manipulacja ludźmi czy ocena obywateli w stylu "social scoring"), część uznana za wysokie ryzyko (rekrutacja, ocena zdolności kredytowej, medycyna, edukacja), a reszta to ryzyko ograniczone lub minimalne.
Dla większości małych firm najważniejszy jest obowiązek przejrzystości. Jeśli klient rozmawia z chatbotem, musi wiedzieć, że to AI, a nie człowiek. Jeśli publikujesz treści wygenerowane przez AI, które mogą zostać wzięte za prawdziwe zdjęcia, nagrania czy wypowiedzi, powinny być oznaczone. To dotyczy także obrazów produktowych "z AI" czy głosu lektora w reklamie. Dodatkowo firmy korzystające z AI powinny zadbać o to, żeby pracownicy rozumieli narzędzia, z których korzystają, co w praktyce oznacza szkolenie.
Dobra wiadomość: pisanie maili, opisów produktów, podsumowań i analiz z pomocą AI to zastosowania niskiego ryzyka. Nie potrzebujesz certyfikacji ani audytów. Gorsza wiadomość: jeśli używasz AI do selekcji CV, oceny pracowników albo decydowania o kredycie kupieckim, wchodzisz w obszar wysokiego ryzyka i tam obowiązki są poważne. AI Act wchodzi w życie etapami, a terminy poszczególnych obowiązków są rozłożone na lata. Warto co jakiś czas sprawdzić, który etap właśnie się zaczął.
Prawa autorskie
Czy tekst lub obraz wygenerowany przez AI jest chroniony prawem autorskim? Krótka odpowiedź brzmi: nie wiadomo do końca. Polskie i unijne prawo autorskie chroni utwory stworzone przez człowieka. Treść wygenerowana w całości automatycznie, bez twórczego wkładu człowieka, według dominującego poglądu nie jest utworem. Oznacza to, że nie możesz jej "posiadać" tak jak tekstu napisanego przez copywritera i ktoś inny może ją legalnie skopiować.
Sprawa się komplikuje, gdy AI jest tylko narzędziem. Jeśli piszesz szczegółowy prompt, wielokrotnie poprawiasz wynik, redagujesz i łączysz fragmenty, twój wkład może być na tyle twórczy, że powstanie utwór. Gdzie dokładnie leży granica, dopiero ustalają sądy i urzędy, a rozstrzygnięcia w różnych krajach są różne. Na dziś bezpiecznie założyć, że im więcej twojej pracy w wyniku, tym mocniejsza ochrona, a czysto automatyczny wynik jest praktycznie bez ochrony.
Drugie ryzyko to naruszenie cudzych praw. Modele uczyły się na ogromnych zbiorach tekstów i obrazów, w tym chronionych. Wygenerowany obraz może zawierać rozpoznawalny styl konkretnego artysty, logo, postać z filmu albo fragment cudzego zdjęcia. Tekst może powielić akapit z czyjejś książki. Odpowiedzialność za publikację spada na ciebie, nie na dostawcę modelu. Dlatego nie proś o "obraz w stylu [nazwisko żyjącego artysty]" i nie używaj w materiałach firmowych niczego, co wygląda jak znana marka lub postać.
Sprawdź też regulamin narzędzia. Dostawcy różnie regulują, do kogo należą wyniki i czy można używać ich komercyjnie. Zwykle w planach płatnych masz pełne prawo do użytku komercyjnego, ale w darmowych bywa inaczej, a niektóre generatory obrazów wymagają oznaczenia lub ograniczają użycie w reklamie. Jeśli tworzysz logo, materiały sprzedażowe albo produkt, który sprzedajesz, przeczytaj ten fragment regulaminu przed publikacją, nie po.
Odpowiedzialność za treści z AI
Model językowy nie wie, że czegoś nie wie. Potrafi z pełną pewnością podać nieistniejący przepis, wymyślony numer normy, fałszywą cenę lub datę. To zjawisko nazywa się halucynacją i nie jest błędem, który zniknie w kolejnej wersji. To cecha tej technologii.
Jeśli na podstawie takiej odpowiedzi doradzisz klientowi, na przykład powiesz mu, że produkt spełnia określoną normę albo że może odliczyć jakiś koszt, to ty ponosisz konsekwencje. Klient nie zawarł umowy z ChatGPT, tylko z twoją firmą. Z punktu widzenia prawa nie ma znaczenia, czy błąd zrobił pracownik, czy narzędzie, z którego pracownik skorzystał.
Szczególnie ostrożnie podchodź do dokumentów, które tworzą zobowiązania: umów, ofert, regulaminów, cenników, odpowiedzi na reklamacje. AI może napisać dobry szkic, ale potrafi też dodać klauzulę, której nie chciałeś, pominąć istotny warunek albo użyć sformułowania, które w polskim prawie znaczy coś innego niż w angielskim. Każdy taki dokument musi przejść przez człowieka, który rozumie, co podpisuje. W sprawach o większej wartości nadal potrzebny jest prawnik.
Prosta zasada, którą warto wpisać w firmowe procedury: AI przygotowuje, człowiek zatwierdza. Wszystko, co wychodzi do klienta, urzędu albo kontrahenta, ma mieć konkretną osobę, która to przeczytała i bierze za to odpowiedzialność.
Pracownicy i AI
Jeśli masz pracowników, prawie na pewno część z nich już używa AI. Często na prywatnych kontach, bez wiedzy przełożonych, wklejając do czatu wszystko, co akurat mają na ekranie. To nie jest zła wola. Po prostu nikt im nie powiedział, gdzie jest granica.
Dlatego każda firma, która korzysta z AI, potrzebuje krótkiej polityki użycia. Nie regulaminu na dwadzieścia stron, tylko jednej czy dwóch stron z jasnymi zasadami: z jakich narzędzi korzystamy i na jakich kontach, czego nigdy nie wklejamy (dane osobowe klientów, hasła, dane finansowe, kod źródłowy, treść umów z kontrahentami), co wymaga sprawdzenia przez człowieka przed wysłaniem, jak oznaczamy treści z AI i do kogo iść z pytaniem.
Osobny temat to tajemnica przedsiębiorstwa. Cennik, lista klientów, receptura, strategia na przyszły rok. Jeśli te informacje trafiają do zewnętrznego narzędzia bez odpowiedniego zabezpieczenia, możesz mieć problem z wykazaniem, że w ogóle je chroniłeś, a to jest warunek ochrony prawnej tajemnicy. Ten sam problem dotyczy umów o poufności z kontrahentami: wklejenie ich dokumentów do publicznego czatu może być naruszeniem NDA.
Polityka bez szkolenia to tylko plik na dysku. Pracownicy muszą zrozumieć, dlaczego te zasady istnieją, zobaczyć na przykładach, co jest w porządku, a co nie, i nauczyć się dobrze korzystać z narzędzi, które firma dopuszcza. Wtedy AI staje się przewagą, a nie ryzykiem.
Taki dokument, razem z listą dopuszczonych narzędzi, przykładami promptów i procedurą zatwierdzania, nazywamy playbookiem AI. Przygotowujemy go dla firm w ramach wdrożeń, dopasowany do branży i tego, jak naprawdę pracuje zespół. Szczegóły znajdziesz w opisie naszych usług.
Checklista dla małej firmy
- Wiesz, z jakich narzędzi AI korzysta firma i na jakich kontach. Konta prywatne pracowników nie liczą się jako "pod kontrolą".
- Dane osobowe nie trafiają do konsumenckich wersji narzędzi. Albo anonimizujesz, albo masz plan biznesowy z umową powierzenia, albo używasz modelu lokalnego.
- Sprawdziłeś ustawienia prywatności w każdym używanym narzędziu, w szczególności czy twoje dane są używane do trenowania.
- Klient wie, kiedy rozmawia z AI. Chatbot na stronie i automatyczne odpowiedzi są oznaczone.
- Treści generowane przez AI, które mogą być wzięte za prawdziwe (zdjęcia, głos, wideo), są oznaczone.
- Przeczytałeś regulamin narzędzia w części o użytku komercyjnym i prawach do wyników, zanim użyłeś ich w materiałach firmowych.
- Każda umowa, oferta i odpowiedź do klienta przechodzi przez człowieka, który ją czyta i bierze za nią odpowiedzialność.
- Masz spisaną politykę użycia AI i przeszkoliłeś z niej zespół. Wiesz, kiedy wraca do przeglądu.
Jeśli odhaczasz wszystkie osiem punktów, jesteś w lepszej sytuacji niż większość firm. Jeśli nie, zacznij od punktów 2 i 8, bo tam są największe ryzyka i najprostsze rozwiązania.
Przypominamy: ten artykuł ma charakter informacyjny i nie zastępuje porady prawnej. Przepisy o AI, ich interpretacje i regulaminy narzędzi zmieniają się, a każda firma ma inną sytuację. Zanim podejmiesz decyzję, która ma skutki prawne, skonsultuj się z prawnikiem.