Kto odpowiada za błąd AI? Co musi wiedzieć każdy menedżer.

Scenariusz, który coraz częściej staje się rzeczywistością

Chatbot funkcjonujący na stronie internetowej przedsiębiorstwa obiecuje klientowi zwrot środków, którego regulamin nie przewiduje. System rekomendacyjny AI wskazuje handlowcowi warunki umowy niezgodne z obowiązującymi przepisami. W skrajnym przypadku algorytm wykorzystywany w procesie rekrutacyjnym odrzuca kandydata w sposób, który może zostać zakwalifikowany jako dyskryminacja.

W takich sytuacjach pojawia się pytanie, które od dwóch lat najczęściej słyszymy od kadry zarządzającej: kto ponosi za to odpowiedzialność?

Dostawca narzędzia AI? Przedsiębiorstwo, które je wdrożyło? Pracownik, który zaakceptował rekomendację systemu? Czy osoba zarządzająca organizacją?

Odpowiedź brzmi: to zależy od okoliczności. Można ją jednak rozłożyć na konkretne, weryfikowalne kryteria  i temu poświęcony jest niniejszy artykuł.

Trzy warstwy odpowiedzialności

Odpowiedzialność za błąd systemu sztucznej inteligencji należy rozpatrywać na trzech niezależnych płaszczyznach:

1. Odpowiedzialność kontraktowa – wynikająca z umowy z dostawcą rozwiązania AI oraz z umów zawieranych z klientami.
2. Odpowiedzialność deliktowa (cywilna) – dotycząca szkody wyrządzonej osobie trzeciej, niezależnie od stosunku umownego.
3. Odpowiedzialność regulacyjna – wynikająca z obowiązków nałożonych przez AI Act oraz przepisy sektorowe, niezależnie od tego, czy doszło do powstania szkody.

W praktyce przedsiębiorstwa najczęściej analizują wyłącznie pierwszą płaszczyznę tj. zapisy umowy z dostawcą, pomijając dwie pozostałe. Tymczasem to właśnie drugi i trzeci poziom najczęściej generują realne ryzyko finansowe i reputacyjne.

Poziom 1: Postanowienia umowy z dostawcą systemu AI

Jest to obszar, który przy odpowiednio skonstruowanej umowie daje się realnie kontrolować. Do kluczowych elementów wymagających szczególnej uwagi należą:

• Zakres odpowiedzialności dostawcy – czy umowa przewiduje odpowiedzialność za nieprawidłowe działanie modelu, czy wyłącznie za dostępność usługi. Jest to rozróżnienie o fundamentalnym znaczeniu, często pomijane przy zawieraniu standardowych umów SaaS.
• Limity odpowiedzialności – większość dostawców dużych modeli AI ogranicza swoją odpowiedzialność do wysokości opłaty licencyjnej, nierzadko w skali miesięcznej. Jeżeli ekspozycja przedsiębiorstwa na ryzyko przewyższa tę kwotę, umowa nie zapewnia rzeczywistej ochrony.
• Wyłączenia odpowiedzialności za tzw. halucynacje – wielu dostawców wprost wyłącza odpowiedzialność za nieprawdziwe lub nieprecyzyjne wyniki generowane przez model, traktując to jako właściwość technologii, a nie wadę usługi.

Wniosek praktyczny: w przypadku wdrożenia systemu AI mającego bezpośredni kontakt z klientem lub wpływającego na decyzje biznesowe, standardowa umowa dostawcy z reguły nie przenosi na niego ryzyka błędu. Ryzyko to pozostaje po stronie przedsiębiorstwa wdrażającego system.

Poziom 2: Odpowiedzialność wobec osób trzecich

Na tym poziomie skala potencjalnego ryzyka istotnie wzrasta. Jeżeli chatbot wprowadzi klienta w błąd, a klient poniesie z tego tytułu szkodę, na gruncie polskiego prawa cywilnego odpowiedzialność może zostać przypisana przedsiębiorcy posługującemu się AI jako narzędziem prowadzonej działalności na zasadach ogólnych odpowiedzialności za działania i narzędzia wykorzystywane w toku działalności (art. 415 i n. Kodeksu cywilnego), a w relacjach konsumenckich dodatkowo na podstawie przepisów o odpowiedzialności za produkt niebezpieczny oraz o przeciwdziałaniu nieuczciwym praktykom rynkowym.

Kluczowa zasada, którą należy mieć na uwadze: sztuczna inteligencja nie posiada podmiotowości prawnej i nie ponosi odpowiedzialności. Odpowiedzialność spoczywa zawsze na człowieku lub podmiocie wykorzystującym AI najczęściej na przedsiębiorcy. Fakt, że decyzję „podjął algorytm”, nie stanowi linii obrony w polskim ani unijnym systemie prawnym.

Na poziomie unijnym trwają ponadto prace legislacyjne mające ułatwić dochodzenie roszczeń z tytułu szkód wyrządzonych przez systemy AI. Kierunek zmian zmierza do ułatwienia poszkodowanemu wykazania związku przyczynowego między działaniem systemu a szkodą, co w praktyce zwiększa presję na przedsiębiorców wdrażających rozwiązania AI.

Poziom 3: Obowiązki wynikające z AI Act – odpowiedzialność niezależna od wystąpienia szkody

Jest to element, który najczęściej umyka uwadze kadry zarządzającej, ponieważ nie wiąże się z konkretnym incydentem. AI Act nakłada na przedsiębiorstwa obowiązki niezależnie od tego, czy doszło do powstania szkody. Dotyczy to w szczególności systemów zaklasyfikowanych jako systemy wysokiego ryzyka (m.in. w rekrutacji, ocenie zdolności kredytowej, niektórych zastosowaniach w obszarze HR) oraz obowiązków przejrzystości przy systemach generujących treści lub prowadzących interakcję z użytkownikiem, takich jak chatboty.

Naruszenie tych obowiązków – przykładowo brak odpowiedniego nadzoru ludzkiego nad systemem wysokiego ryzyka lub brak informowania użytkownika o interakcji z AI – może skutkować karą administracyjną niezależnie od wystąpienia szkody wobec konkretnej osoby.

Praktyczne implikacje dla przedsiębiorstwa

Jeżeli w organizacji funkcjonuje już jakikolwiek system AI np. chatbot obsługi klienta, narzędzie rekomendacyjne, system wspierający rekrutację, warto odpowiedzieć na trzy pytania:

1. Czy znane są postanowienia umowy z dostawcą regulujące odpowiedzialność za nieprawidłowe działanie systemu?
2. Czy funkcjonuje wewnętrzna procedura nadzoru nad decyzjami podejmowanymi lub wspieranymi przez AI?
3. Czy określona została kategoria ryzyka systemu według AI Act oraz czy spełnione są związane z nią obowiązki?

Brak jednoznacznej odpowiedzi na którekolwiek z powyższych pytań stanowi sygnał, że wskazane jest przeprowadzenie audytu  przed wystąpieniem incydentu, nie po nim.

__________

Prowadzą Państwo w firmie system AI i nie mają Państwo pewności, jak wygląda ekspozycja na ryzyko? Kancelaria LawIT oferuje analizę umów z dostawcami, ocenę klasyfikacji ryzyka według AI Act oraz opracowanie procedur realnie chroniących przedsiębiorstwo.