Jak wdrożyć AI w swojej aplikacji zgodnie z prawem? Poradnik od prawnika

Twoja aplikacja integruje AI – pytanie, czy Twoje regulaminy i umowy też za tym nadążają. Za błędy modelu, naruszenia RODO i roszczenia użytkowników odpowiadasz Ty – niezależnie od tego, czyj model był pod spodem. Ten artykuł przechodzi przez kluczowe obszary ryzyka: od licencji narzędzi przez odpowiedzialność za szkody AI i AI Act po nową dyrektywę o odpowiedzialności za produkty.

Podsumowanie na start

Główne punkty dotyczące wdrażania AI w aplikacjach:

1. Podstawowa zasada: „Bierz odpowiedzialność tylko za to, na co masz wpływ” – zadbaj o regulaminy i umowy z klientami
2. Różne modele AI mają różny zakres odpowiedzialności dostawcy
3. Istnieje wiele rodzajów sztucznej inteligencji – nie wszystkie działają na tych samych zasadach
4. Twórca, dostawca i wdrażający systemy AI to często różne podmioty wymagające odrębnych zabezpieczeń
5. Przed zakupieniem licencji AI sprawdź możliwość użytku komercyjnego i zakres odpowiedzialności dostawcy
6. Wdrożenie musi być zgodne z dyrektywą Omnibus i dyrektywą cyfrową
7. Umowa z software house’em powinna zabezpieczać interesy związane z odpowiedzialnością i ochroną danych
8. Trwają prace nad rozporządzeniem AI Act – już teraz warto przygotować się na nowe wymagania
9. W razie wątpliwości skonsultuj się z prawnikiem

Czym jest sztuczna inteligencja?

Mechanizmy sztucznej inteligencji opierają się na różnych modelach, w tym:

• Algorytmach samouczących
• Sieciach neuronowych – inspirowanych biologicznymi sieciami mózgu, dobrze sprawdzają się w klasyfikacji i rozpoznawaniu wzorców
• Przetwarzaniu języka naturalnego (NLP) – koncentruje się na interakcji komputerów z językiem ludzkim

Sieć neuronowe rozwinęły się szczególnie dzięki postępom w Big Data i data-driven economy. NLP ewoluował wraz z postępem w uczeniu maszynowym. ChatGPT stanowi przykład zastosowania NLP w praktyce.

Dlaczego to ważne: Jedna AI nie równa się drugiej AI. W zależności od technologii składowych mogą się kryć zupełnie inne narzędzia. Szybka analiza pozwala określić potrzeby prawne i ryzyka prawne.

Przykład: AI wykorzystująca Generative Adversarial Networks (GAN) generuje nowe dane na podstawie istniejących danych treningowych. Jeśli dane treningowe są fałszywe, także nowe będą obarczone błędem. AI może również generować dane treningowe w wyniku awarii – obie sytuacje mają konsekwencje prawne.

Jakie rodzaje sztucznej inteligencji może wykorzystywać moja aplikacja?

Wąska sztuczna inteligencja (narrow AI)

Odnosi się do systemów wyspecjalizowanych w wąskich zadaniach lub dziedzinach. Są zaprojektowane do wykonywania konkretnych zadań, ale nie wykazują ogólnej inteligencji ani zdolności do przekraczania swojego wąskiego obszaru zastosowania.

Przykłady:

• Systemy rekomendacyjne
• Rozpoznawanie mowy
• Chatboty

Wdrożenie wymaga zazwyczaj mniej zaangażowania i nie wiąże się z koniecznością przyjmowania szczególnych procedur. Firmy mogą prosto zautomatyzować swoje standardowe procesy.

Generatywna sztuczna inteligencja

Może tworzyć szerokie spektrum danych: obrazy, filmy, dźwięk, tekst i modele 3D. Osiąga to poprzez:

• Wykorzystanie technologii GAN
• Inne modele uczenia się wzorców z istniejących danych
• Wykorzystywanie tej wiedzy do generowania nowych i unikalnych wyników

Generuje wysoce realistyczne i złożone treści naśladujące ludzką kreatywność. Stała się ważnym narzędziem dla branż takich jak gry, rozrywka i projektowanie produktów. Zyskała popularność dzięki ChatGPT (GPT to skrót od Generative Pre-trained Transformer).

Różnica w zabezpieczeniach: Od wąskiej AI wymaga się niezawodności i pewności, stąd większy nacisk na wsparcie dostawcy. Generatywna AI nie gwarantuje prawdziwości danych ani niezawodności – regulaminy powinny zabezpieczać się przed ewentualnym pozwaniem.

Czy dostawca i twórca narzędzia AI to musi być ten sam podmiot?

Dostawca rozwiązania AI nie zawsze jest tym, który stworzył dane rozwiązanie w pełnym zakresie. Niektóre rozwiązania opierają się na technologiach lub modelach opracowanych przez inne podmioty, które dostawcy integrują, dostosowują i dostarczają jako część swojego produktu. Dostawcy mogą również tworzyć własne modele AI bazując na wynikach badań i osiągnięciach naukowych innych podmiotów.

Typowy scenariusz: X tworzy model AI, Y go rozwija, Z (Twoja firma) chce go zaimplementować w swojej aplikacji i zleca to Q. Po wdrożeniu Y sprzedaje rozwiązanie klientom końcowym.

Polityki poszczególnych dostawców

OpenAI: Udziela licencji Open Source pozwalającej na wykorzystywanie ChatGPT i DallE 2 do celów biznesowych, jednocześnie zwalniając się od odpowiedzialności za naruszenia praw osób trzecich.

Grammarly: Może być wykorzystywany tylko do potrzeb wewnętrznych firmy, nigdy do celów komercyjnych.

Midjourney: Różnicuje uprawnienia w zależności od statusu subskrypcji. Płatni subskrybenci mogą wykorzystywać narzędzie do celów komercyjnych. Bezpłatni subskrybenci muszą przestrzegać licencji Creative Commons Noncommercial 4.0, co wyklucza użytek zarobkowy.

Jakie wyzwania prawne wiążą się z wdrożeniem AI w aplikacji?

Kroki do podjęcia przy wdrażaniu AI

1. Zapoznaj się z regulaminem narzędzia AI – zastanów się, czy masz do czynienia z wąską czy generatywną AI
2. Analizuj odpowiedzialność dostawcy – zapoznaj się z zakresem, w jakim przerzuca on odpowiedzialność na Ciebie. Sprawdź, czy licencja obejmuje komercyjne wykorzystanie
3. Zabezpiecz się przy współpracy z software house’em – maksymalnie zabezpiecz interesy w zakresie wsparcia technicznego i odpowiedzialności za awarie
4. Modyfikuj regulamin Twojej aplikacji – na bazie ustaleń dotyczących typu AI. Szczególnie ważne przy generatywnej AI – nie możesz zagwarantować, co otrzymają użytkownicy ani czy będzie legalne. Doprecyzuj, co jest przedmiotem usługi i za co nie bierzesz odpowiedzialności
5. Zabezpiecz dane osobowe – przeprowadź audyt przetwarzania danych, określ, które mogą „wpaść” w AI i jakie ryzyka się z tym wiążą. Zadbaj o anonimizację lub uzyskaj zgodę na automatyczne przetwarzanie

Kluczowa zasada: „Bierz odpowiedzialność tylko za to, na co masz wpływ”

Błędy AI mogą prowadzić do

1. Naruszenia cudzej własności intelektualnej
2. Generowania nieprawdziwych informacji – jeśli użytkownik je wykorzysta do podjęcia decyzji biznesowych, mogą dojść do wyrządzenia szkód materialnych
3. Naruszenia cudzych dóbr osobistych

Każda z tych kwestii stała się przedmiotem pozwów przeciwko OpenAI. Zalecane jest możliwie najszersze zabezpieczenie się przez umieszczenie stosownych klauzul wyłączających odpowiedzialność.

Jakie ryzyka generuje wdrożenie AI dla Twojej firmy i modelu biznesowego Twojej aplikacji?

1. Zagrożenie dla Twojej własności intelektualnej

Wdrożenie AI wymaga modyfikacji działania aplikacji. Podmiot wdrażający uzyska dostęp do kodu źródłowego i autorskich mechanizmów funkcjonowania. Powstanie nowy program, którego autorem będzie software house.

Zabezpieczenie: Wskaż wyraźnie w umowie, że podmiot wdrażający nie uzyskuje żadnych praw autorskich do istniejącego programu. Powinien przenieść wszelkie autorskie prawa majątkowe do nowo utworzonego programu na Ciebie lub Twoją firmę, lub udzielić licencji umożliwiającej udzielanie dalszych licencji użytkownikom.

2. Zagrożenie dla danych osobowych

Wdrożenie AI stanowi duże wyzwanie dla ochrony danych osobowych użytkowników.

Zabezpieczenie: Na etapie wdrożenia zastanów się, czy dane powinny być zanonimizowane. Wskaż tę okoliczność w umowie z podmiotem wdrażającym.

3. Zagrożenie dla danych poufnych/tajemnic przedsiębiorstwa

Zabezpieczenie tajemnicy przedsiębiorstwa i danych poufnych wymaga nie tylko standardowej umowy o poufności, ale również mechanizmów separujących AI od tych danych.

4. Zagrożenie dla jakości świadczonych usług

Algorytmy AI, szczególnie generatywne, mogą nie zachowywać się w sposób oczekiwany.

Zabezpieczenie: Zmodyfikuj postanowienia regulaminu definiując, co jest przedmiotem świadczonych usług i za co nie bierzesz odpowiedzialności.

Klauzule informacyjne dla klientów

Warto przygotować specjalne klauzule informacyjne, w których poinformujesz klientów:

1. O wdrożeniu AI i korzyściach oraz ryzykach, jakie to pociąga
2. O zmianach w regulaminie wynikających z wdrożenia rozwiązań AI
3. O zmianach w zakresie funkcjonowania aplikacji
4. O zasadach ochrony danych osobowych oraz wykorzystaniu plików cookie

Jakie przepisy będą regulować korzystanie z AI w najbliższym czasie?

AI Act

W dniu 14 czerwca 2023 r. Parlament Europejski przyjął AI Act, skierowany do dostawców aplikacji wykorzystującej AI. Przedstawiciele państw członkowskich trwają nad ostatecznym kształtem regulacji.

Podstawowe założenie: Zapewnienie zgodności systemów AI (opracowanych w i poza UE) z prawami i wartościami Unii, w tym z bezpieczeństwem, prywatnością, przejrzystością, niedyskryminacją oraz dobrostanem społecznym i środowiskowym.

Struktura: Rozporządzenie ustanawia szereg obowiązków dla dostawców i podmiotów wdrażających systemy AI. Ich zakres jest zróżnicowany w zależności od poziomu ryzyka generowanego przez technologię.

Systemy zakazane

Systemy generujące największe ryzyka mają być zakazane. Należą do nich szczególnie:

• Systemy przeznaczone do oceniania zachowań społecznych ludzi lub ich cech osobistych
• Biometryczne systemy kategoryzacji wykorzystujące cechy wrażliwe (płeć, rasa, pochodzenie etniczne, status obywatelski, religia, orientacja polityczna)
• Predykcyjne systemy policyjne (oparte na profilowaniu, lokalizacji lub wcześniejszych zachowaniach przestępczych)

Podstawowe obowiązki dostawców

• Ocena i ograniczanie potencjalnych zagrożeń dla zdrowia, bezpieczeństwa, praw podstawowych, środowiska, demokracji czy praworządności
• Rejestrowanie swojego modelu w bazie danych UE przed wprowadzeniem na unijne rynki

Systemy wysokiego ryzyka

Obejmują systemy sztucznej inteligencji, które mogą wyrządzić znaczną szkodę dla zdrowia, bezpieczeństwa, praw podstawowych lub środowiska. Pojęcie „znacznej szkody” nie zostało jeszcze dokładnie zdefiniowane – oczekuje się doprecyzowania na dalszych etapach procesu ustawodawczego.

Dyrektywa w sprawie odpowiedzialności za sztuczną inteligencję

Drugi istotny dokument ma zobowiązać rządy państw członkowskich do zmodyfikowania swoich regulacji cywilnoprawnych w zakresie odpowiedzialności za systemy AI.

Główne elementy:

1. Regulacja odnosi się do roszczeń dochodzonych na zasadzie winy
2. Dostawcy usług opartych na AI będą zobowiązani do ujawniania dowodów dotyczących systemów wysokiego ryzyka, aby umożliwić poszkodowanym uzasadnienie cywilnoprawnego roszczenia odszkodowawczego
3. Wprowadzone będzie domniemanie istnienia związku przyczynowego między szkodą a funkcjonowaniem AI, polegające na przyjęciu domniemania niedopełnienia obowiązku dochowania należytej staranności. Innymi słowy, przypadku zaistnienia szkody dostawca będzie musiał wykazać brak winy, a nie poszkodowany musi wykazać winę (odwrócony ciężar dowodu)

Dyrektywa o odpowiedzialności za produkty (PLD)

Nowa dyrektywa o odpowiedzialności za produkty (Dyrektywa 2024/2853) wprost obejmuje produkty AI – w tym oprogramowanie i modele generatywne. Państwa UE mają czas na implementację do grudnia 2026 r.; Polska jeszcze jej nie wdrożyła, ale kierunek jest przesądzony.

Trzy elementy PLD szczególnie istotne dla dostawców systemów AI:

Ujawnianie dokumentacji technicznej. Jeśli poszkodowany uprawdopodobni swoje roszczenie, sąd może nakazać producentowi wydanie wewnętrznej dokumentacji technicznej systemu AI. Czarne skrzynki modeli LLM przestają być praktycznie niedostępne dla strony przeciwnej w sporze.

Domniemanie wadliwości przy produktach wysoce złożonych. Jeśli powód wykaże szkodę i sąd uzna, że wykazanie wadliwości jest nadmiernie trudne (przy LLM-ach jest to regułą), może przyjąć domniemanie, że produkt był wadliwy. Ciężar dowodu przechodzi na producenta – musi wykazać, że system był bezpieczny. To odwrócenie ciężaru dowodu działa wyłącznie w reżimie odpowiedzialności obiektywnej (na zasadzie ryzyka), nie na zasadzie winy.

Nowe kategorie szkód. PLD rozszerza pojęcie szkody o utratę lub zniszczenie danych oraz szkodę psychiczną – czego stara dyrektywa produktowa nie obejmowała. Dostawca chatbota lub systemu rekomendacyjnego może odpowiadać za szkodę psychiczną użytkownika albo utratę jego danych na zupełnie nowych zasadach.

Podsumowanie

Rozwój sztucznej inteligencji przynosi niespotykane możliwości rozwoju biznesu. Rozwiązania oparte na AI pozwalają na automatyzację wielu procesów biznesowych, przyczyniając się do poprawy efektywności i oszczędności czasu oraz zasobów. Możliwości obejmują analizę danych, prognozowanie trendów rynkowych, personalizację ofert dla klientów czy optymalizację procesów produkcyjnych lub logistycznych.

Wdrażanie AI wymaga jednak uwzględnienia wyzwań i zagrożeń. Konieczne jest odpowiednie zarządzanie danymi, zapewnienie ochrony prywatności użytkowników, bezpieczeństwa i zgodności z obowiązującymi i projektowanymi przepisami.

Zdjęcie dodane przez cottonbro studio.

Autor tekstu

Arkadiusz Szczudło

Jestem adwokatem i CEO w kancelarii Creativa Legal, mentorem i twórcą internetowym. Specjalizuję się w bezproblemowej obsłudze prawnej klientów z sektora technologicznego m.in. startupy, SaaS, spółki technologiczne, agencje marketingowe, czy e-commerce B2C/B2B. Jako prawnik, jak i przedsiębiorca, koncentruję się na wyznaczonym celu, starając się przewidzieć potencjalne zagrożenia w jego osiągnięciu. To z kolei sprawia, że trudno jest mnie zaskoczyć – a co za tym idzie – moich klientów.

Poznaj autora