W dynamicznie zmieniającym się obrocie gospodarczym rośnie znaczenie kwestii, jaką jest odpowiedzialność cywilna za błędy AI. Wadliwe działanie systemów sztucznej inteligencji, takich jak modele generatywne czy algorytmy wspierające decyzje, może prowadzić do poważnych strat finansowych. Zrozumienie, jak zabezpieczyć swoją organizację w kontraktach B2B w obliczu przepisów AI Act, staje się kluczowym wyzwaniem dla każdego nowoczesnego przedsiębiorstwa.
Jak regulować odpowiedzialność cywilną za błędy AI w relacjach B2B?
Obecnie z perspektywy odpowiedzialności za błędy AI kluczowego znaczenia nabiera odpowiednie uregulowanie odpowiedzialności kontraktowej w relacjach B2B. O ile bowiem przepisy prawa cywilnego wyznaczają podstawowe reguły odpowiedzialności za niewykonanie lub nienależyte wykonanie zobowiązania, o tyle strony mają znaczną swobodę w określaniu zakresu odpowiedzialności, procedur reklamacyjnych, zasad podziału ryzyka oraz mechanizmów regresowych.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 roku w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (dalej: AI Act) dodatkowo wzmacnia potrzebę szczegółowego regulowania tych kwestii. Rozporządzenie przewiduje bowiem szereg obowiązków zarówno po stronie dostawców systemów AI, jak i podmiotów stosujących takie rozwiązania. Naruszenie tych obowiązków może stać się podstawą dochodzenia roszczeń kontraktowych między przedsiębiorcami.
Dlaczego AI Act zmienia podejście do odpowiedzialności umownej?
W tradycyjnych projektach IT odpowiedzialność koncentrowała się przede wszystkim wokół poprawności działania oprogramowania zgodnie ze specyfikacją. W przypadku sztucznej inteligencji sytuacja wygląda odmiennie. Wiele systemów opiera się na modelach probabilistycznych, które z natury rzeczy nie gwarantują stuprocentowej poprawności wyników. Dotyczy to szczególnie generatywnej AI, gdzie nawet prawidłowo działający system może wygenerować błędną odpowiedź, tzw. halucynację.
Jednocześnie AI Act nakłada na dostawców systemów wysokiego ryzyka obowiązek zapewnienia odpowiedniego poziomu dokładności, solidności i cyberbezpieczeństwa systemu przez cały jego cykl życia. Systemy takie powinny być projektowane w sposób zapewniający odporność na błędy, usterki i niespójności oraz powinny być wyposażone w odpowiednie zabezpieczenia techniczne i organizacyjne.
Z perspektywy odpowiedzialności kontraktowej oznacza to, że przedsiębiorca nabywający system AI będzie mógł wykorzystywać nie tylko postanowienia umowy, lecz także obowiązki wynikające z AI Act jako argument przemawiający za wykazaniem nienależytego wykonania zobowiązania przez dostawcę.
Kto może ponosić odpowiedzialność za błąd AI?
W praktyce funkcjonowania systemów sztucznej inteligencji bardzo rzadko występuje wyłącznie jeden podmiot odpowiedzialny za cały proces.
Najczęściej w łańcuchu dostaw uczestniczą:
- dostawca modelu AI,
- dostawca końcowego systemu AI,
- integrator wdrażający rozwiązanie,
- dostawca danych,
- dostawca infrastruktury chmurowej,
- podmiot stosujący system AI.
AI Act przyjmuje zasadę, zgodnie z którą odpowiedzialność za wprowadzenie do obrotu lub oddanie do użytku systemu AI wysokiego ryzyka powinna być przypisana konkretnemu podmiotowi pełniącemu funkcję dostawcy niezależnie od tego, czy samodzielnie stworzył cały system. Nie oznacza to jednak, że pozostali uczestnicy procesu pozostają wolni od odpowiedzialności.
Rozporządzenie przewiduje obowiązek współpracy pomiędzy dostawcą a podmiotami dostarczającymi komponenty, usługi, narzędzia lub procesy wykorzystywane przez system AI. W szczególności strony powinny w drodze pisemnej umowy określić informacje, zdolności, dostęp techniczny oraz inne formy wsparcia niezbędne do zapewnienia zgodności systemu z wymogami AI Act.
Kluczowe klauzule zabezpieczające odpowiedzialność cywilną za błędy AI
W relacjach B2B standardem jest ograniczanie odpowiedzialności kontraktowej. Najczęściej stosowane rozwiązania obejmują: wyłączenie odpowiedzialności za utracone korzyści i ograniczenie odpowiedzialności do wysokości wynagrodzenia otrzymanego przez dostawcę. W przypadku systemów AI warto dodatkowo wskazać, że dostawca nie odpowiada za samodzielne decyzje biznesowe podejmowane przez użytkownika na podstawie wygenerowanych rekomendacji.
Coraz większego znaczenia nabierają postanowienia dotyczące zwrotu kosztów i ochrony przed roszczeniami osób trzecich. Przykładowo dostawca może przejąć odpowiedzialność za naruszenie praw autorskich lub własności przemysłowej przez model czy też nielegalne wykorzystanie danych treningowych.
Z drugiej strony użytkownik może zobowiązać się do zwolnienia dostawcy z odpowiedzialności za skutki wykorzystania systemu niezgodnie z instrukcją lub przeznaczeniem.
Jednym z istotniejszych postanowień umownych w kontekście zabezpieczenia odpowiedzialności w związku z błędami AI jest wyraźne wskazanie, że system AI generuje wyniki probabilistyczne. Przykładowo umowa może przewidywać, że: „Strony potwierdzają, że System wykorzystuje modele sztucznej inteligencji generujące wyniki statystyczne i probabilistyczne, wobec czego Dostawca nie gwarantuje całkowitej poprawności, kompletności ani bezbłędności wszystkich wyników generowanych przez System”. Taka klauzula ogranicza ryzyko formułowania wobec dostawcy oczekiwań niemożliwych do spełnienia.
AI Act nakłada na podmiot stosujący obowiązek zapewnienia adekwatności oraz reprezentatywności danych wejściowych pozostających pod jego kontrolą. W związku z tym warto przewidzieć zapis, zgodnie z którym: „Klient ponosi odpowiedzialność za zgodność z prawem, kompletność, aktualność oraz poprawność danych przekazywanych do Systemu”. W praktyce klauzula taka może mieć ogromne znaczenie przy sporach dotyczących błędnych wyników analiz lub rekomendacji generowanych przez AI.
AI Act szczególny nacisk kładzie na nadzór człowieka nad systemami AI wysokiego ryzyka. W umowie warto zatem przewidzieć postanowienie wskazujące, że: „Klient zobowiązuje się do zapewnienia każdorazowej weryfikacji przez odpowiednio upoważnione osoby wyników generowanych przez System przed podjęciem decyzji wywołujących skutki prawne lub finansowe”. Takie rozwiązanie może znacząco ograniczyć ryzyko odpowiedzialności dostawcy.
Coraz częściej klienci oczekują także możliwości weryfikacji sposobu funkcjonowania systemów AI. Nie oznacza to konieczności ujawniania kodu źródłowego lub tajemnic przedsiębiorstwa. Można natomiast przewidzieć: prawo do uzyskania raportów zgodności, dostęp do dokumentacji technicznej, możliwość przeprowadzenia audytu bezpieczeństwa czy obowiązek przedstawiania wyników testów skuteczności. Jest to szczególnie istotne w świetle obowiązków dokumentacyjnych przewidzianych w AI Act.
Przykład 1.
Spółka wdrożyła system AI służący do automatycznej oceny wiarygodności kontrahentów. Po kilku miesiącach narzędzie błędnie zakwalifikowało grupę klientów jako podmioty wysokiego ryzyka, co doprowadziło do odmowy zawarcia szeregu umów handlowych. Umowa przewidywała obowiązek każdorazowej weryfikacji rekomendacji AI przez pracownika oraz wyłączenie odpowiedzialności dostawcy za decyzje podejmowane wyłącznie na podstawie wyników systemu, jednak przedsiębiorca automatycznie akceptował wyniki. Czy klient może skutecznie żądać od dostawcy odszkodowania za utracone korzyści z niezrealizowanych kontraktów?
Roszczenie jest istotnie osłabione. Skoro umowa nakładała na użytkownika obowiązek kontroli rekomendacji, a ten go nie wykonywał, odpowiedzialność stron zostanie rozłożona z uwzględnieniem przyczynienia się użytkownika do powstania szkody (art. 362 kc), a klauzula wyłączająca odpowiedzialność dostawcy za decyzje oparte wyłącznie na wynikach systemu znajdzie zastosowanie.
Dobrze skonstruowana umowa dotycząca systemów AI powinna określać nie tylko zakres odpowiedzialności dostawcy, ale również obowiązki użytkownika, procedury nadzoru człowieka, zasady monitorowania działania systemu, sposób zgłaszania incydentów oraz mechanizmy współpracy przy realizacji wymogów regulacyjnych. Szczególnego znaczenia nabierają klauzule ograniczające odpowiedzialność za wyniki probabilistyczne, postanowienia dotyczące jakości danych wejściowych oraz regulacje odnoszące się do aktualizacji modeli AI.
Przedsiębiorcy, którzy pozostawią te kwestie wyłącznie ogólnym przepisom prawa cywilnego, mogą w przypadku sporu napotkać znacznie większe trudności dowodowe niż podmioty posiadające szczegółowo uregulowane umowy odpowiadające realiom funkcjonowania sztucznej inteligencji i wymogom AI Act.
