Klauzule AI w umowach o świadczenie usług stają się kluczowym elementem nowoczesnych kontraktów biznesowych. Wykorzystywanie sztucznej inteligencji przez wykonawców wpływa na poufność danych, prawa autorskie oraz bezpieczeństwo informacji. Zrozumienie, jak skutecznie ograniczyć lub uregulować korzystanie z narzędzi AI, pozwala przedsiębiorcom lepiej chronić interesy firmy i unikać ryzyka związanego z wyciekiem poufnych danych czy niejasną odpowiedzialnością za rezultat usługi.
Klauzule AI w umowach o świadczenie usług – czy klient może zakazać wykonawcy korzystania z narzędzi AI i jak to zabezpieczyć?
Wykorzystywanie narzędzi sztucznej inteligencji przez wykonawców usług staje się jednym z istotnych, a zarazem często niedostatecznie uregulowanych elementów stosunków kontraktowych. Użycie modelu AI może bowiem wpływać nie tylko na sposób wykonania usługi, lecz również na poufność informacji, ochronę danych osobowych, prawa własności intelektualnej, bezpieczeństwo informacji i odpowiedzialność za rezultat – a także na możliwość wykazania, w jaki sposób powstał materiał przekazany klientowi. Przeczytaj poniższy artykuł i dowiedz się, kiedy klient może skutecznie ograniczyć lub wyłączyć korzystanie przez wykonawcę z narzędzi AI, jak skonstruować taką klauzulę oraz jak powiązać ją z poufnością, ochroną danych, prawami autorskimi, odpowiedzialnością i prawem do kontroli sposobu realizacji umowy.
Czy klient może wprowadzić klauzule AI w umowach o świadczenie usług?
Co do zasady nie ma przeszkód, aby strony umowy o świadczenie usług uzgodniły, że wykonawca nie będzie korzystał przy realizacji określonych świadczeń z narzędzi sztucznej inteligencji. Podstawą takiego rozwiązania jest przede wszystkim zasada swobody umów wyrażona w Kodeksie cywilnym. Strony mogą ułożyć stosunek prawny według swego uznania, o ile jego treść lub cel nie sprzeciwiają się właściwości stosunku, ustawie ani zasadom współżycia społecznego.
W praktyce oznacza to, że klient nie musi wykazywać, iż korzystanie z AI przez wykonawcę jest samo w sobie niedopuszczalne. Może po prostu określić sposób wykonania zobowiązania i zastrzec, że określone technologie nie mogą być wykorzystywane bez jego uprzedniej zgody. Taka konstrukcja jest szczególnie uzasadniona w umowach, których wykonanie wiąże się z dostępem do informacji poufnych, danych osobowych, dokumentacji technicznej, kodu źródłowego, danych klientów, informacji objętych tajemnicą przedsiębiorstwa albo materiałów, których wykorzystanie poza konkretnym procesem kontraktowym mogłoby spowodować szkodę.
Całkowity zakaz czy model zgody klienta?
Z perspektywy kontraktowej można wyróżnić dwa podstawowe modele. Pierwszy zakłada całkowity zakaz wykorzystywania AI przy wykonywaniu umowy. W takim przypadku wykonawca nie może wprowadzać do narzędzi AI ani informacji otrzymanych od klienta, ani dokumentów powstałych w toku realizacji umowy, ani danych dotyczących pracowników, klientów czy kontrahentów klienta. Zakaz może obejmować również generowanie przez AI materiałów, które następnie mają zostać przedstawione klientowi jako rezultat usługi.
Drugi model zakłada wykorzystanie AI za uprzednią zgodą klienta. Wykonawca może korzystać z określonych narzędzi, ale dopiero po uzyskaniu zgody oraz pod warunkiem spełnienia określonych wymagań bezpieczeństwa. Takie rozwiązanie jest często bardziej funkcjonalne w przypadku długoterminowych kontraktów. Technologia szybko się zmienia, a całkowity zakaz może powodować konieczność renegocjowania umowy w sytuacji, gdy pojawi się bezpieczne środowisko AI, którego wykorzystanie mogłoby usprawnić realizację usługi bez zwiększenia ryzyka po stronie klienta.
W takim przypadku zgoda może być powiązana z określonym narzędziem, jego konfiguracją oraz sposobem przetwarzania danych. Klient może przykładowo dopuścić korzystanie z AI działającego w dedykowanym środowisku przedsiębiorstwa, jednocześnie zakazując wprowadzania informacji poufnych do publicznie dostępnych usług AI. To rozwiązanie pozwala zastąpić prosty zakaz systemem kontroli technologicznej.
Poufność musi obejmować również prompt
Tradycyjne klauzule poufności były projektowane z myślą o dokumentach, wiadomościach e-mail, rozmowach i innych klasycznych formach przekazywania informacji. W środowisku AI pojawia się nowa kategoria informacji: prompt, czyli polecenie przekazane modelowi wraz z kontekstem potrzebnym do wygenerowania odpowiedzi.
Prompt może zawierać informacje stanowiące tajemnicę przedsiębiorstwa, dane osobowe, założenia biznesowe, informacje dotyczące produktu albo opis planowanej transakcji. Co więcej, prompt może zawierać tylko fragment informacji, który w połączeniu z innymi danymi pozwala odtworzyć poufny kontekst. Dlatego umowa powinna jednoznacznie wskazywać, że obowiązek poufności obejmuje również informacje przekazywane do systemów AI, w tym treść promptów, załączniki, dane kontekstowe, wyniki działania narzędzia oraz informacje uzyskane w związku z korzystaniem z systemu.
Warto również przesądzić, że wykonawca nie może wykorzystywać danych klienta do trenowania, dostrajania ani rozwijania modeli AI, jeżeli nie uzyskał na to odrębnej zgody. Jest to szczególnie istotne w przypadku modeli oferowanych jako usługi chmurowe, ponieważ klient powinien wiedzieć, czy dane przekazywane do narzędzia pozostają wyłącznie elementem pojedynczej sesji, czy też mogą być wykorzystywane w szerszym procesie przetwarzania przez dostawcę.
Takie podejście pozwala uniknąć sytuacji, w której spór koncentruje się wyłącznie na tym, czy konkretne oprogramowanie rzeczywiście stanowi system AI.
Klauzula AI a podwykonawcy
Osobnego uregulowania wymaga sytuacja, w której wykonawca korzysta z podwykonawców. Jeżeli umowa dopuszcza podwykonawców, ale nie zawiera regulacji dotyczącej ich korzystania z AI, wykonawca może argumentować, że sam nie wykorzystuje narzędzia AI, podczas gdy robi to podwykonawca realizujący część zamówienia.
Z punktu widzenia klienta takie rozróżnienie może być pozorne. Jeżeli rezultat wykonawcy powstaje przy wykorzystaniu AI przez podwykonawcę, klient nadal jest narażony na ryzyka związane z poufnością, prawami autorskimi, ochroną danych i bezpieczeństwem informacji. Dlatego umowa powinna przewidywać, że ograniczenia dotyczące AI obowiązują również podwykonawców i inne osoby, którymi wykonawca posługuje się przy realizacji zobowiązania.
Warto przy tym zachować spójność z ogólną regulacją odpowiedzialności wykonawcy za działania i zaniechania osób, którymi posługuje się przy wykonywaniu zobowiązania. Klient nie powinien być zmuszony do wykazywania, że sam wykonawca osobiście wprowadził informacje do systemu AI.
Czy wykonawca powinien informować klienta o wykorzystaniu AI?
W wielu umowach samo wprowadzenie zakazu nie będzie najlepszym rozwiązaniem. Zamiast tego można ustanowić obowiązek ujawnienia wykorzystania AI. Wykonawca może zostać zobowiązany do poinformowania klienta przed rozpoczęciem korzystania z danego systemu, wskazania jego dostawcy, rodzaju przetwarzanych danych, miejsca przetwarzania, zasad retencji danych oraz sposobu zabezpieczenia informacji.
Taka klauzula tworzy po stronie wykonawcy obowiązek transparentności. Może ona również przewidywać, że klient ma prawo sprzeciwić się wykorzystaniu konkretnego narzędzia z uzasadnionych przyczyn związanych w szczególności z poufnością, ochroną danych, bezpieczeństwem, prawami własności intelektualnej lub wymaganiami regulacyjnymi.
AI a prawa autorskie do rezultatu usługi
Kolejnym istotnym zagadnieniem jest własność intelektualna rezultatu. Jeżeli wykonawca przygotowuje materiał z wykorzystaniem generatywnego systemu AI, trzeba odrębnie ocenić, jakie prawa istnieją do danego rezultatu, jakie warunki korzystania przewiduje dostawca narzędzia oraz czy wygenerowany materiał nie narusza praw osób trzecich.
W polskim prawie autorskim ochronie podlega utwór, czyli przejaw działalności twórczej o indywidualnym charakterze. Sam fakt wygenerowania materiału przez system AI nie powoduje automatycznie powstania praw autorskich po stronie klienta albo wykonawcy. Ocena ochrony konkretnego rezultatu wymaga uwzględnienia rzeczywistego udziału człowieka w jego stworzeniu i opracowaniu oraz charakteru samego rezultatu.
W umowie warto zatem przewidzieć nie tylko obowiązek przeniesienia praw albo udzielenia licencji, lecz również obowiązek wykonawcy dotyczący zapewnienia, że sposób wykorzystania narzędzi AI nie uniemożliwi klientowi legalnego korzystania z rezultatu.
Odpowiedzialność wykonawcy za rezultat wygenerowany przez AI
Nie można przyjąć, że wykorzystanie AI powoduje automatyczne przeniesienie odpowiedzialności za rezultat na dostawcę narzędzia. Jeżeli wykonawca zobowiązał się do przygotowania określonego materiału, dostarczenia analizy, stworzenia kodu albo wykonania określonej usługi, klient co do zasady rozlicza się z wykonawcą, a nie z dostawcą wykorzystanego przez niego programu.
Umowa powinna więc jednoznacznie wskazywać, że wykorzystanie AI przez wykonawcę nie ogranicza jego odpowiedzialności wobec klienta. W szczególności nie powinno być możliwe powołanie się przez wykonawcę na fakt, że błąd został wygenerowany przez model AI jako okoliczność automatycznie wyłączającą odpowiedzialność.
Czy można powiązać korzystanie z AI z karą umowną?
Jeżeli klient chce, aby zakaz miał realny charakter, powinien rozważyć powiązanie go z odpowiednio skonstruowanym mechanizmem odpowiedzialności. Sama klauzula zakazująca korzystania z AI może być niewystarczająca z perspektywy prewencyjnej. Jeżeli jednak jej naruszenie zostanie powiązane z karą umowną, wykonawca otrzymuje jednoznaczny sygnał, że zakaz stanowi istotny obowiązek kontraktowy.
Trzeba przy tym odróżnić naruszenie formalne od naruszenia powodującego rzeczywiste ryzyko. Inaczej powinno być traktowane wykorzystanie zatwierdzonego przez klienta narzędzia AI do poprawy stylistyki dokumentu, a inaczej wprowadzenie do publicznego modelu AI danych zawierających tajemnicę przedsiębiorstwa klienta.
Dlatego kara umowna powinna być powiązana z konkretnymi obowiązkami, a jej wysokość powinna pozostawać racjonalna w relacji do wartości kontraktu i potencjalnych skutków naruszenia. W umowie można również przewidzieć odrębne konsekwencje dla naruszenia zakazu wykorzystania AI, naruszenia poufności oraz naruszenia obowiązków dotyczących ochrony danych. Nie należy jednak tworzyć konstrukcji, w której te same zdarzenia prowadzą do niejasnego, wielokrotnego naliczania sankcji bez jednoznacznego określenia zasad ich stosowania.
Przykład 1.
Spółka zleciła zewnętrznej firmie przygotowanie dokumentacji dotyczącej nowego produktu i w umowie zakazała wykorzystywania danych klienta w publicznie dostępnych narzędziach AI. Wykonawca przekazał fragment dokumentacji do modelu językowego, aby wygenerować wstępny opis funkcjonalności, a następnie poddał tekst własnej redakcji. Klient ustalił to podczas audytu i zażądał wyjaśnień, ponieważ przekazana treść zawierała informacje stanowiące tajemnicę przedsiębiorstwa. Jeżeli umowa wyraźnie obejmowała zakaz przekazywania informacji do zewnętrznych systemów AI, obejmowała nim również podwykonawców i przewidywała obowiązek zgłoszenia każdego wykorzystywanego narzędzia, wykonawcy znacznie trudniej będzie twierdzić, że naruszenie nie nastąpiło, ponieważ AI służyła jedynie do przygotowania wersji roboczej. Właściwie skonstruowana klauzula pozwoli więc ocenić zdarzenie przez pryzmat naruszenia konkretnego obowiązku kontraktowego, a nie przez spór o to, czy wygenerowany tekst był później zmieniany przez człowieka.
Obowiązek prowadzenia dokumentacji wykorzystania AI
W przypadku bardziej zaawansowanych usług klient może wymagać od wykonawcy prowadzenia dokumentacji dotyczącej wykorzystywania systemów AI. Nie musi to oznaczać rejestrowania każdego promptu. W wielu przypadkach wystarczające będzie prowadzenie wykazu narzędzi wykorzystywanych w projekcie, określenie celu ich użycia oraz kategorii informacji przekazywanych do systemu.
W przypadku usług o podwyższonym znaczeniu można jednak wprowadzić bardziej szczegółowy obowiązek dokumentacyjny. Pozwala to klientowi nie tylko kontrolować wykonawcę, lecz również odtworzyć sposób powstania konkretnego rezultatu w przypadku późniejszego sporu.
