AI Act w zarządzie spółki

Odpowiedzialność członka zarządu wobec spółki

Rozporządzenie nie nakłada obowiązków na członka zarządu. Nakłada je na spółkę, w roli dostawcy albo podmiotu stosującego. Ryzyko osobiste powstaje gdzie indziej, w relacji z własną spółką, gdy okaże się, że nikt nie sprawdził, czym spółka się posługuje.

Art. 209(1) § 1 KSH wymaga od członka zarządu dołożenia staranności wynikającej z zawodowego charakteru działalności oraz dochowania lojalności wobec spółki (dla spółki akcyjnej art. 377(1) § 1). Art. 293 § 3 KSH dodaje ochronę, która jest tu ważniejsza od samej reguły. Członek zarządu nie narusza obowiązku dołożenia staranności, jeżeli działa w granicach uzasadnionego ryzyka gospodarczego, w tym na podstawie informacji, analiz i opinii, które powinny być w danych okolicznościach uwzględnione. Protokół, z którego widać, na jakiej podstawie zapadła decyzja, jest tańszy niż spór o to, czy w ogóle zapadła.

Zakazy, przejrzystość i rola dostawcy dotyczące spółki już dziś

Zakazy z art. 5 wiążą od lutego 2025 r., mają najwyższą stawkę kary i nie zależą od tego, czy narzędzie zbudowano samodzielnie, czy kupiono.

Przejrzystość z art. 50 obowiązuje od 2 sierpnia 2026 r. i rozkłada się między dostawcę i podmiot stosujący, więc realnym narzędziem zarządu jest umowa, w której ustala się, kto zapewnia informację o kontakcie z systemem i kto znakuje treści.

Spółka wchodzi w rolę dostawcy łatwiej, niż się zakłada. Nie trzeba niczego produkować, wystarczy zamówić narzędzie u wykonawcy i uruchomić je pod własną nazwą, choćby wyłącznie na potrzeby wewnętrzne. Definicja z art. 3 pkt 3 nie wymaga ani odpłatności, ani wysokiego ryzyka.

Przykładowy asystent odpowiadający klientom spółki

Dział marketingu zamawia u agencji asystenta odpowiadającego klientom na stronie spółki. Umowa jest na usługę wdrożenia, asystent działa pod nazwą spółki, na jej domenie.

Zarząd dowiaduje się o tym po fakcie i zadaje trzy pytania. Czy klient od pierwszej wiadomości wie, że pisze do programu. Kto odpowiada za treść odpowiedzi, jeżeli asystent poda błędną informację o warunkach umowy. Kim w tym układzie jest spółka.

Odpowiedź na trzecie pytanie jest zaskakująca. Skoro spółka zleciła zbudowanie systemu i oddała go do użytku pod własną nazwą, mieści się w definicji dostawcy. Konsekwencje zależą od klasyfikacji ryzyka, ale sam fakt zmienia układ obowiązków i powinien być rozstrzygnięty przed uruchomieniem, a nie po pierwszej reklamacji.

Drugie pytanie ma odpowiedź płynącą z zagranicznej sprawy opisanej w rejestrze. Trybunał odrzucił obronę przedsiębiorstwa, że chatbot odpowiada sam za siebie, i przyjął, że odpowiada ono za wszystkie informacje na swojej stronie.

Błędy zarządu przy ocenie roli spółki, terminów i dokumentacji

Uznanie, że skoro spółka niczego nie produkuje, to jest wyłącznie podmiotem stosującym, i zamknięcie tematu. Drugim błędem jest przyjęcie, że przesunięcie reżimu wysokiego ryzyka na 2027 i 2028 r. zwalnia z myślenia o nim przy umowach zawieranych dziś. Trzecim błędem jest brak śladu w protokole, przez co przy sporze nie da się wykazać, że decyzja opierała się na jakiejkolwiek podstawie.

Zmiany w latach 2027 i 2028

2 grudnia 2027 r. wchodzi reżim dla systemów z załącznika III, a w spółce dotyczy to najczęściej kadr (rekrutacja, ocena pracowników) oraz, w części branż, dostępu do usług. Dochodzą wtedy obowiązki z art. 26, w tym nadzór człowieka i przechowywanie rejestrów zdarzeń, oraz obowiązek uprzedniego poinformowania pracowników i ich przedstawicieli (art. 26 ust. 7).

2 sierpnia 2028 r. wchodzi reżim dla systemów z załącznika I, czyli AI w produktach objętych unijnym prawodawstwem harmonizacyjnym, a dla spółek produkcyjnych to termin ważniejszy od poprzedniego.

Wcześniej, od 28 października 2026 r., mają zastosowanie przepisy o kontroli, postępowaniu i karach z ustawy krajowej. Od tego momentu istnieje organ, który może wejść do spółki, a art. 112 i 113 tej ustawy przewidują odpowiedzialność za wykroczenie sięgającą osoby działającej w imieniu osoby prawnej.