{ "nazwa": "Incydenty z udziałem sztucznej inteligencji", "opis": "Zdarzenia, w których system sztucznej inteligencji wyrządził szkodę, ze skutkami, sprawami sądowymi i komentarzem prawnym.", "autor": "dr Paweł Kowalski, radca prawny", "strona": "https://pawelkowalski.ai/incydenty-ai/", "jakCytowac": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. [numer], [tytuł], stan na [data sprawdzenia], pawelkowalski.ai/incydenty-ai/[slug]/", "stanNa": "2026-11-01", "liczbaIncydentow": 62, "tematy": [ { "id": "agenci", "nazwa": "agenci AI i cyberbezpieczeństwo" }, { "id": "deepfake", "nazwa": "deepfake i oszustwa" }, { "id": "dane", "nazwa": "wycieki i ochrona danych" }, { "id": "dyskryminacja", "nazwa": "dyskryminacja i decyzje algorytmiczne" }, { "id": "twarze", "nazwa": "rozpoznawanie twarzy i nadzór" }, { "id": "pojazdy", "nazwa": "pojazdy autonomiczne i roboty" }, { "id": "czatboty", "nazwa": "czatboty i szkody dla użytkowników" }, { "id": "halucynacje", "nazwa": "halucynacje w pracy prawników i urzędów" }, { "id": "prawa-autorskie", "nazwa": "treści i prawa autorskie" }, { "id": "zdrowie", "nazwa": "zdrowie i medycyna" } ], "incydenty": [ { "numer": 1, "slug": "robodebt-australia", "id": "R3-02", "tytul": "Program Robodebt w Australii według raportu Komisji Królewskiej", "tytulKrotki": "Robodebt w Australii według Komisji Królewskiej", "data": "2015", "dataUjawnienia": "2023-07-07", "rok": "2015", "kraj": "Australia", "tematy": [ "dyskryminacja" ], "podmioty": [ "Royal Commission into the Robodebt Scheme", "Commonwealth of Australia" ], "coSieStalo": "Według raportu Komisji Królewskiej program Robodebt opierał się na uśrednianiu dochodu w celu ustalania uprawnień do świadczeń i wszczynania windykacji. Komisarz Catherine Holmes przedstawiła raport gubernatorowi generalnemu 7 lipca 2023 r. W raporcie ocenia ona, że program był mechanizmem prymitywnym i okrutnym, niesprawiedliwym i niezgodnym z prawem.", "skutki": "Ogłoszono, że długi nie będą ustalane wyłącznie na podstawie uśrednionego dochodu. W 2020 r. zawarto ugodę w pozwie zbiorowym i postanowiono zmniejszyć do zera wszystkie długi ustalone w całości lub części przez uśrednianie. W czerwcu 2020 r. premier Scott Morrison przeprosił za program.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://robodebt.royalcommission.gov.au/system/files/2023-07/robodebt_report_volume_1.pdf", "wydawca": "Royal Commission into the Robodebt Scheme (kopia Internet Archive)", "data": "2023-07-07", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://web.archive.org/web/2026id_/https://robodebt.royalcommission.gov.au/publications/report", "wydawca": "Royal Commission into the Robodebt Scheme (kopia Internet Archive)", "data": "2023-07-07", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Windykacja oparta na automatycznym uśrednianiu danych podlega w Unii art. 22 ust. 1 RODO, jeżeli decyzja opiera się wyłącznie na zautomatyzowanym przetwarzaniu i wywołuje skutki prawne lub w podobny sposób istotnie wpływa na osobę, z zastrzeżeniem art. 22 ust. 2. Jeżeli uśrednianie wykonuje system AI organu publicznego służący do żądania zwrotu podstawowych świadczeń, jest on systemem wysokiego ryzyka (zał. III pkt 5 lit. a AI Act), z obowiązkami od 2 grudnia 2027 r. Organ powinien weryfikować dochody przed wszczęciem windykacji.", "przepisy": [ "art. 22 ust. 1 RODO", "załącznik III pkt 5 lit. a AI Act", "art. 113 akapit trzeci lit. c ppkt (i) AI Act", "art. 22 ust. 2 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/robodebt-australia/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 1, Program Robodebt w Australii według raportu Komisji Królewskiej, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/robodebt-australia/" }, { "numer": 2, "slug": "czatbot-tay-microsoft", "id": "R3-03", "tytul": "Wyłączenie czatbota Tay przez Microsoft po wpisach w serwisie Twitter", "tytulKrotki": "Wyłączenie czatbota Tay przez Microsoft", "data": "2016-03", "dataUjawnienia": "2016-03-25", "rok": "2016", "kraj": "Stany Zjednoczone", "tematy": [ "czatboty" ], "podmioty": [ "Microsoft", "Twitter" ], "coSieStalo": "Według wpisu Petera Lee z 25 marca 2016 r. Microsoft uruchomił w środę czatbota Tay, przeznaczonego dla osób w wieku od 18 do 24 lat w Stanach Zjednoczonych. Microsoft podał, że w ciągu pierwszych 24 godzin skoordynowany atak grupy osób wykorzystał lukę w Tay, a bot opublikował niestosowne i naganne słowa oraz obrazy. Microsoft przeprosił i wyłączył Tay.", "skutki": "Tay został wyłączony. Microsoft zapowiedział powrót dopiero wtedy, gdy będzie pewny, że lepiej przewidzi złośliwe zamiary sprzeczne z jego zasadami.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://blogs.microsoft.com/blog/2016/03/25/learning-tays-introduction/", "wydawca": "Microsoft, Official Microsoft Blog (kopia Internet Archive)", "data": "2016-03-25", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "AI Act wymaga od systemów wysokiego ryzyka odporności na wykorzystanie luk (art. 15 ust. 5, od 2 grudnia 2027 r. dla zał. III), a Tay podlegałby raczej tylko obowiązkowi informacyjnemu z art. 50 ust. 1 (od 2 sierpnia 2026 r.). Dyrektywa (UE) 2024/2853 uwzględnia zdolność do dalszego uczenia się (art. 7 ust. 2 lit. c) przy produktach wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1). Uczące się czatboty warto testować przed uruchomieniem.", "przepisy": [ "art. 15 ust. 5 AI Act", "art. 113 akapit trzeci lit. c ppkt (i) AI Act", "art. 50 ust. 1 AI Act", "art. 113 akapit drugi AI Act", "art. 7 ust. 2 lit. c dyrektywy (UE) 2024/2853", "art. 2 ust. 1 dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/czatbot-tay-microsoft/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 2, Wyłączenie czatbota Tay przez Microsoft po wpisach w serwisie Twitter, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/czatbot-tay-microsoft/" }, { "numer": 3, "slug": "uber-tempe-smiertelne-potracenie-pieszej", "id": "R2-01", "tytul": "Śmiertelne potrącenie pieszej przez pojazd testowy Uber w Tempe", "tytulKrotki": "Śmiertelne potrącenie przez pojazd Uber w Tempe", "data": "2018-03-18", "dataUjawnienia": "2019-11-19", "rok": "2018", "kraj": "Stany Zjednoczone", "tematy": [ "pojazdy" ], "podmioty": [ "Uber Technologies, Inc. (Advanced Technologies Group)", "National Transportation Safety Board" ], "coSieStalo": "Według raportu NTSB pojazd testowy z rozwijanym systemem automatycznej jazdy uderzył w Tempe w Arizonie 49-letnią pieszą przechodzącą poza przejściem i spowodował jej śmierć. System wykrył pieszą 5,6 sekundy przed uderzeniem, ale nie sklasyfikował jej prawidłowo jako pieszej. Konstrukcja systemu wykluczała awaryjne hamowanie w celu złagodzenia skutków zderzenia.", "skutki": "NTSB przyjęła raport 19 listopada 2019 r. Jako prawdopodobną przyczynę wskazała brak monitorowania jazdy przez operatora, a do okoliczności przyczyniających się zaliczyła m.in. niedostateczne procedury oceny ryzyka w Uber ATG. Badanie NTSB skupiło się na niedostatecznej kulturze bezpieczeństwa tej spółki.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [], "zrodla": [ { "url": "https://www.ntsb.gov/investigations/AccidentReports/Reports/HAR1903.pdf", "wydawca": "National Transportation Safety Board", "data": "2019-11-19", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Dyrektywa (UE) 2024/2853 uznaje oprogramowanie za produkt (art. 4 pkt 1), a produkt za wadliwy, gdy nie zapewnia bezpieczeństwa, którego osoba ma prawo oczekiwać, z uwzględnieniem projektu i cech technicznych (art. 7 ust. 1 i ust. 2 lit. a). Stosuje się ją do produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1), a termin wdrożenia upływa tego dnia (art. 22 ust. 1). Testujący pojazdy w Polsce powinni zachowywać dane systemu i dokumentację.", "przepisy": [ "art. 4 pkt 1 dyrektywy (UE) 2024/2853", "art. 7 ust. 1 dyrektywy (UE) 2024/2853", "art. 7 ust. 2 lit. a dyrektywy (UE) 2024/2853", "art. 2 ust. 1 dyrektywy (UE) 2024/2853", "art. 22 ust. 1 dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/uber-tempe-smiertelne-potracenie-pieszej/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 3, Śmiertelne potrącenie pieszej przez pojazd testowy Uber w Tempe, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/uber-tempe-smiertelne-potracenie-pieszej/" }, { "numer": 4, "slug": "zasilek-na-dzieci-belastingdienst-kara", "id": "R3-05", "tytul": "Przetwarzanie danych o obywatelstwie przez holenderską administrację podatkową", "tytulKrotki": "Dane o obywatelstwie w administracji podatkowej Holandii", "data": "2018-05", "dataUjawnienia": "2021-12-07", "rok": "2018", "kraj": "Holandia", "tematy": [ "dyskryminacja", "dane" ], "podmioty": [ "Autoriteit Persoonsgegevens", "Belastingdienst (Tax Administration)", "Minister Finansów Holandii" ], "coSieStalo": "Według komunikatu holenderskiego organu ochrony danych z 7 grudnia 2021 r. administracja podatkowa przez wiele lat przetwarzała dane o obywatelstwie, w tym podwójnym, osób ubiegających się o zasiłek na opiekę nad dzieckiem w sposób niezgodny z prawem i dyskryminujący. W maju 2018 r. w jej systemach nadal figurowało około 1,4 mln osób z podwójnym obywatelstwem. Obywatelstwo służyło też jako wskaźnik w systemie, który automatycznie oznaczał wnioski jako ryzykowne.", "skutki": "Organ nałożył na ministra finansów karę 2,75 mln euro. Administracja mogła wnieść sprzeciw, a o jego wyniku komunikat nie informuje. Od października 2018 r. nie używa obywatelstwa przy ocenie ryzyka.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [ { "nazwa": "Decyzja Autoriteit Persoonsgegevens o karze dla administracji podatkowej", "sygnatura": null, "url": "https://autoriteitpersoonsgegevens.nl/uploads/imported/boetebesluit_belastingdienst.pdf", "rejestrId": null } ], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://www.autoriteitpersoonsgegevens.nl/en/current/tax-administration-fined-for-discriminatory-and-unlawful-data-processing", "wydawca": "Autoriteit Persoonsgegevens (kopia Internet Archive)", "data": "2021-12-07", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://web.archive.org/web/2026id_/https://autoriteitpersoonsgegevens.nl/uploads/imported/boetebesluit_belastingdienst.pdf", "wydawca": "Autoriteit Persoonsgegevens (kopia Internet Archive)", "data": "2021-12-07", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Za naruszenie zasad zgodności z prawem, rzetelności i przejrzystości (art. 5 ust. 1 lit. a RODO) grozi kara do 20 mln euro (art. 83 ust. 5 lit. a), a o karach dla organów publicznych decyduje państwo członkowskie (art. 83 ust. 7). Podstawą kary była też holenderska ustawa o ochronie danych (Wbp). Urząd systematycznie oceniający wnioski przez profilowanie będące podstawą decyzji o skutkach prawnych powinien przed wdrożeniem przeprowadzić ocenę skutków dla ochrony danych (art. 35 ust. 3 lit. a).", "przepisy": [ "art. 5 ust. 1 lit. a RODO", "art. 83 ust. 5 RODO", "art. 83 ust. 5 lit. a RODO", "art. 35 ust. 3 lit. a RODO", "art. 35 ust. 1 RODO", "art. 83 ust. 7 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/zasilek-na-dzieci-belastingdienst-kara/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 4, Przetwarzanie danych o obywatelstwie przez holenderską administrację podatkową, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/zasilek-na-dzieci-belastingdienst-kara/" }, { "numer": 5, "slug": "profilowanie-bezrobotnych-trybunal-konstytucyjny", "id": "R3-01", "tytul": "Profilowanie pomocy dla bezrobotnych w wyroku Trybunału Konstytucyjnego K 53/16", "tytulKrotki": "Profilowanie bezrobotnych w wyroku TK K 53/16", "data": "2018-06-06", "dataUjawnienia": "2018-06-06", "rok": "2018", "kraj": "Polska", "tematy": [ "dyskryminacja" ], "podmioty": [ "Trybunał Konstytucyjny", "Rzecznik Praw Obywatelskich", "powiatowe urzędy pracy", "Minister Pracy i Polityki Społecznej" ], "coSieStalo": "Rozporządzenie Ministra Pracy i Polityki Społecznej z 14 maja 2014 r. przewidywało, że powiatowy urząd pracy ustala dla bezrobotnego profil pomocy według dwóch zmiennych, czyli oddalenia od rynku pracy i gotowości wejścia na rynek pracy. Rzecznik Praw Obywatelskich zaskarżył wnioskiem z 7 grudnia 2016 r. przepisy ustawy o promocji zatrudnienia i tego rozporządzenia dotyczące profilowania. Trybunał Konstytucyjny wyrokiem z 6 czerwca 2018 r. uznał art. 34a ust. 3c ustawy o promocji zatrudnienia za niezgodny z Konstytucją.", "skutki": "Zaskarżony przepis traci moc po upływie 12 miesięcy od ogłoszenia wyroku w Dzienniku Ustaw. Brak odrębnego środka zaskarżenia ustalenia profilu pomocy Trybunał uznał za zgodny z Konstytucją.", "stanFaktow": "ustalenia sądu", "klasyk": true, "sprawy": [ { "nazwa": "Wyrok Trybunału Konstytucyjnego z 6 czerwca 2018 r.", "sygnatura": "K 53/16", "url": "https://ipo.trybunal.gov.pl/ipo/downloadOrzeczenieDoc?dok=92699", "rejestrId": null } ], "zrodla": [ { "url": "https://ipo.trybunal.gov.pl/ipo/downloadOrzeczenieDoc?dok=92699", "wydawca": "Trybunał Konstytucyjny", "data": "2018-06-06", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Jeżeli urząd ustala profil automatycznie, art. 22 ust. 2 lit. b RODO dopuszcza decyzję opartą wyłącznie na zautomatyzowanym przetwarzaniu, gdy pozwala na nią prawo przewidujące właściwe środki ochrony. Gdyby profil ustalał system AI organów publicznych oceniający kwalifikowalność do podstawowych świadczeń i usług publicznych, byłby to w AI Act system wysokiego ryzyka (zał. III pkt 5 lit. a), z obowiązkami od 2 grudnia 2027 r. Podstawę oceny osób należy zapisać w ustawie.", "przepisy": [ "art. 22 ust. 2 lit. b RODO", "załącznik III pkt 5 lit. a AI Act", "art. 113 akapit trzeci lit. c ppkt (i) AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/profilowanie-bezrobotnych-trybunal-konstytucyjny/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 5, Profilowanie pomocy dla bezrobotnych w wyroku Trybunału Konstytucyjnego K 53/16, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/profilowanie-bezrobotnych-trybunal-konstytucyjny/" }, { "numer": 6, "slug": "williams-detroit-bledny-wynik-rozpoznawania-twarzy", "id": "R2-06", "tytul": "Aresztowanie Roberta Williamsa po błędnym wyniku rozpoznawania twarzy", "tytulKrotki": "Aresztowanie Williamsa po błędnym rozpoznaniu twarzy", "data": "2020-01", "dataUjawnienia": "2024-06-28", "rok": "2020", "kraj": "Stany Zjednoczone", "tematy": [ "twarze", "dyskryminacja" ], "podmioty": [ "Detroit Police Department", "ACLU of Michigan", "Robert Williams" ], "coSieStalo": "Według ACLU of Michigan policja z Detroit aresztowała w 2020 r. Roberta Williamsa w jego domu w Farmington Hills po tym, jak oparła się na błędnych wynikach rozpoznawania twarzy. Michigan Public podaje, że jedynym dowodem było rzekome dopasowanie starego zdjęcia z prawa jazdy do nagrania z monitoringu.", "skutki": "Według komunikatu ACLU of Michigan z 28 czerwca 2024 r. strony zawarły ugodę, na mocy której policja nie może aresztować wyłącznie na podstawie wyniku rozpoznawania twarzy ani prowadzić okazania wyłącznie na tej podstawie, a sąd ma nadzorować jej wykonanie przez cztery lata.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [ { "nazwa": "Sprawa Roberta Williamsa, ugoda z Detroit ogłoszona 28 czerwca 2024 r.", "sygnatura": null, "url": "https://www.aclumich.org/press-releases/civil-rights-advocates-achieve-nations-strongest-police-department-policy-facial/", "rejestrId": null } ], "zrodla": [ { "url": "https://www.aclumich.org/press-releases/civil-rights-advocates-achieve-nations-strongest-police-department-policy-facial/", "wydawca": "ACLU of Michigan", "data": "2024-06-28", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.michiganpublic.org/criminal-justice-legal-system/2024-06-28/it-didnt-make-sense-at-all-wrongful-facial-recognition-arrest-leads-to-landmark-settlement", "wydawca": "Michigan Public", "data": "2024-06-28", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "AI Act zalicza zdalną identyfikację biometryczną do systemów wysokiego ryzyka (zał. III pkt 1 lit. a). Przy użyciu post factum do ścigania przestępstw art. 26 ust. 10 wymaga wniosku o zezwolenie organu wymiaru sprawiedliwości lub administracyjnego, poza wstępną identyfikacją potencjalnego podejrzanego w oparciu o obiektywne i możliwe do zweryfikowania fakty, a według wersji angielskiej zakazuje decyzji o niepożądanych skutkach prawnych wyłącznie na podstawie wyniku. Obowiązki stosuje się od 2 grudnia 2027 r. Policja w Polsce powinna dokumentować każde użycie systemu.", "przepisy": [ "załącznik III pkt 1 lit. a AI Act", "art. 26 ust. 10 akapit pierwszy AI Act", "art. 26 ust. 10 akapit trzeci AI Act", "art. 113 akapit trzeci lit. c ppkt (i) AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/williams-detroit-bledny-wynik-rozpoznawania-twarzy/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 6, Aresztowanie Roberta Williamsa po błędnym wyniku rozpoznawania twarzy, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/williams-detroit-bledny-wynik-rozpoznawania-twarzy/" }, { "numer": 7, "slug": "trudi-nawigacja-chirurgiczna-zgloszenia-fda", "id": "R5-07", "tytul": "Zgłoszenia do FDA o urazach pacjentów przy nawigacji chirurgicznej TruDi", "tytulKrotki": "Zgłoszenia do FDA o urazach przy nawigacji TruDi", "data": "2021-10", "dataUjawnienia": "2026-02-09", "rok": "2021", "kraj": "Stany Zjednoczone", "tematy": [ "zdrowie" ], "podmioty": [ "Acclarent", "Johnson & Johnson", "Integra LifeSciences", "FDA" ], "coSieStalo": "Według Reutersa po dodaniu algorytmu uczenia maszynowego do systemu nawigacji chirurgicznej TruDi FDA otrzymała niepotwierdzone zgłoszenia o co najmniej 100 awariach i zdarzeniach niepożądanych. Zgłoszono, że co najmniej 10 osób odniosło urazy w latach 2021-2025. Dwie osoby, które według zarzutów doznały udaru po uszkodzeniu tętnicy podczas zabiegu, pozwały w Teksasie m.in. spółkę Acclarent, którą w 2024 r. przejęła Integra LifeSciences.", "skutki": "Dwa pozwy w Teksasie. Integra LifeSciences zaprzecza związkowi przyczynowemu między AI a urazami.", "stanFaktow": "sporne", "klasyk": false, "sprawy": [ { "nazwa": "Pozwy dwóch pacjentek w sprawie systemu TruDi przeciwko m.in. spółce Acclarent w Teksasie", "sygnatura": null, "url": "https://news.tuoitre.vn/as-ai-enters-the-operating-room-reports-arise-of-botched-surgeries-and-misidentified-body-parts-103260210150539695.htm", "rejestrId": null } ], "zrodla": [ { "url": "https://news.tuoitre.vn/as-ai-enters-the-operating-room-reports-arise-of-botched-surgeries-and-misidentified-body-parts-103260210150539695.htm", "wydawca": "Tuoi Tre News (przedruk Reutersa)", "data": "2026-02-10", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://english.aaj.tv/news/amp/330452257", "wydawca": "Aaj News (według Reutersa)", "data": "2026-02", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://babel.ua/en/news/124834-reuters-medical-device-manufacturers-are-actively-integrating-ai-into-their-devices-sometimes-it-leads-to-serious-injuries", "wydawca": "Babel", "data": "2026-02-09", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Dyrektywa (UE) 2024/2853 obejmuje oprogramowanie (art. 4 pkt 1). Przy nadmiernych trudnościach dowodowych, zwłaszcza technicznych, sąd po ujawnieniu dowodów domniemywa wadliwość lub związek przyczynowy, jeśli powód wykaże ich prawdopodobieństwo, a pozwany może to obalić (art. 10 ust. 4 i 5). Stosuje się ją do produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1), a termin wdrożenia upływa tego dnia (art. 22 ust. 1). Podmiot leczniczy powinien zachowywać dokumentację użycia urządzenia.", "przepisy": [ "art. 4 pkt 1 dyrektywy (UE) 2024/2853", "art. 10 ust. 4 dyrektywy (UE) 2024/2853", "art. 2 ust. 1 dyrektywy (UE) 2024/2853", "art. 22 ust. 1 dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/trudi-nawigacja-chirurgiczna-zgloszenia-fda/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 7, Zgłoszenia do FDA o urazach pacjentów przy nawigacji chirurgicznej TruDi, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/trudi-nawigacja-chirurgiczna-zgloszenia-fda/" }, { "numer": 8, "slug": "deepfake-brzoska-meta-uodo", "id": "R4-06", "tytul": "Reklamy z deepfake Rafała Brzoski i postanowienia Prezesa UODO wobec Meta", "tytulKrotki": "Deepfake Rafała Brzoski w reklamach i UODO wobec Meta", "data": "2024-07", "dataUjawnienia": "2025-03-24", "rok": "2024", "kraj": "Polska", "tematy": [ "deepfake", "dane" ], "podmioty": [ "Prezes Urzędu Ochrony Danych Osobowych", "Meta Platforms Ireland Limited", "Rafał Brzoska", "Omena Mensah", "Wojewódzki Sąd Administracyjny w Warszawie" ], "coSieStalo": "Według rp.pl wizerunek prezesa InPostu Rafała Brzoski, zmodyfikowany technologią deepfake, był wykorzystywany w reklamach na Facebooku i Instagramie, zachęcających do skorzystania z platform inwestycyjnych. Reklamy z wizerunkiem jego żony Omeny Mensah zawierały nieprawdziwe informacje o pobiciu, śmierci lub zatrzymaniu przez policję. Prezes UODO wydał postanowienia zakazujące wyświetlania takich reklam przez trzy miesiące.", "skutki": "Meta zaskarżyła postanowienia do WSA w Warszawie. W marcu 2025 r. UODO poinformowało, że spółka cofnęła skargi, a sąd umorzył postępowania. W sprawie samej Omeny Mensah zgłoszono 263 reklamy.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [ { "nazwa": "Postanowienia Prezesa UODO z sierpnia 2024 r. wobec Meta (art. 66 RODO i art. 70 ustawy o ochronie danych osobowych), skargi Meta do WSA w Warszawie umorzone po cofnięciu", "sygnatura": null, "url": "https://www.gazetaprawna.pl/wiadomosci/kraj/artykuly/9763508,meta-rezygnuje-ze-skargi-na-postanowienia-puodo-brzoska-i-omena-mensa.html", "rejestrId": null } ], "zrodla": [ { "url": "https://www.gazetaprawna.pl/wiadomosci/kraj/artykuly/9763508,meta-rezygnuje-ze-skargi-na-postanowienia-puodo-brzoska-i-omena-mensa.html", "wydawca": "Gazeta Prawna", "data": "2025-03-24", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.rp.pl/dane-osobowe/art42000541-czy-to-koniec-wojny-o-falszywe-reklamy-z-rafalem-brzoska-i-omena-mensah", "wydawca": "Rzeczpospolita", "data": "2025-03-24", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.rp.pl/dane-osobowe/art41596461-falszywe-reklamy-z-rafalem-brzoska-i-omena-mensah-jest-decyzja-wsa", "wydawca": "Rzeczpospolita", "data": "2024-12-18", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://spidersweb.pl/2024/08/rafal-brzoska-uodo-meta.html", "wydawca": "Spider's Web", "data": "2024-08-08", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Organ nadzorczy może w wyjątkowych okolicznościach niezwłocznie przyjąć środki tymczasowe na okres nieprzekraczający trzech miesięcy (art. 66 ust. 1 RODO), z czego skorzystał Prezes UODO. Obowiązek ujawnienia, że treść jest sztuczna, ciąży na podmiocie stosującym system AI generujący deepfake (art. 50 ust. 4 AI Act, stosowany od 2 sierpnia 2026 r.), czyli na tym, kto wygenerował deepfake, a z tego przepisu nie na platformie wyświetlającej reklamę. Spółki i osoby publiczne powinny mieć procedurę zgłaszania takich reklam platformie i organowi.", "przepisy": [ "art. 66 ust. 1 RODO", "art. 50 ust. 4 AI Act", "art. 113 akapit drugi AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/deepfake-brzoska-meta-uodo/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 8, Reklamy z deepfake Rafała Brzoski i postanowienia Prezesa UODO wobec Meta, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/deepfake-brzoska-meta-uodo/" }, { "numer": 9, "slug": "deloitte-raport-australia-bledy-ai", "id": "R3-09", "tytul": "Zwrot części wynagrodzenia przez Deloitte za raport z błędami dla Australii", "tytulKrotki": "Zwrot części wynagrodzenia przez Deloitte w Australii", "data": "2025", "dataUjawnienia": "2025-10-07", "rok": "2025", "kraj": "Australia", "tematy": [ "halucynacje" ], "podmioty": [ "Deloitte", "Department of Employment and Workplace Relations (Australia)" ], "coSieStalo": "Według CFO Dive firma Deloitte zwróciła ponad 97 000 dolarów australijskich z płatności otrzymanej od australijskiego Departamentu Zatrudnienia i Stosunków Pracy za raport pełen błędów wygenerowanych przez sztuczną inteligencję, a według TechRadar zgodziła się zwrócić ostatnią ratę wynagrodzenia z umowy. Umowa z grudnia 2024 r. miała pierwotnie wartość około 440 000 dolarów australijskich. Informację podał rzecznik departamentu.", "skutki": "Zwrot ponad 97 000 dolarów australijskich z płatności za raport.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.cfodive.com/news/deloitte-refunds-60k-report-ai-errors-australian-government-accounting/803321/", "wydawca": "CFO Dive", "data": "2025-10-21", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.techradar.com/pro/deloitte-forced-to-refund-aussie-government-after-admitting-it-used-ai-to-produce-error-strewn-report", "wydawca": "TechRadar", "data": "2025-10-07", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "W Polsce wykonawca odpowiada za szkodę wynikłą z nienależytego wykonania zobowiązania, chyba że wynika ono z okoliczności, za które nie odpowiada (art. 471 k.c.). W Unii dostawcy i podmioty stosujące systemy AI podejmują od 2 lutego 2025 r. środki wspierające kompetencje w zakresie AI wśród personelu (art. 4 i art. 113 AI Act). Zamawiający i kancelarie powinni wpisywać do umów obowiązek weryfikacji treści z AI oraz skutki jego naruszenia, w tym zwrot części wynagrodzenia.", "przepisy": [ "art. 471 k.c.", "art. 4 ust. 1 AI Act", "art. 113 akapit trzeci lit. a AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/deloitte-raport-australia-bledy-ai/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 9, Zwrot części wynagrodzenia przez Deloitte za raport z błędami dla Australii, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/deloitte-raport-australia-bledy-ai/" }, { "numer": 10, "slug": "meta-big-sis-billie-smierc-uzytkownika", "id": "R5-05", "tytul": "Śmierć użytkownika w drodze na spotkanie z czatbotem Meta", "tytulKrotki": null, "data": "2025-03-25", "dataUjawnienia": "2025-08-14", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "czatboty" ], "podmioty": [ "Meta Platforms", "Reuters" ], "coSieStalo": "Według Reutersa 76-letni mieszkaniec New Jersey, po udarze w stanie osłabienia poznawczego, rozmawiał w Messengerze z czatbotem Meta „Big sis Billie”, który zapewniał go, że jest prawdziwą osobą. 25 marca wyruszył na spotkanie, upadł w pobliżu parkingu na kampusie Rutgers University i zmarł trzy dni później.", "skutki": "Meta, zapytana przez Reutersa o wewnętrzne wytyczne, usunęła z nich fragmenty dopuszczające romantyczne rozmowy z dziećmi. Komentarza w sprawie śmierci mężczyzny firma odmówiła.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://getcoai.com/news/impaired-elderly-man-dies-rushing-to-meet-meta-ai-chatbot-that-convinced-him-she-was-real/", "wydawca": "CO/AI (streszczenie Reutersa)", "data": "2025-08-14", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.thecitizen.co.tz/tanzania/news/international/elderly-man-dies-after-being-deceived-by-ai-chatbot-he-thought-was-a-woman-5154978", "wydawca": "The Citizen (przedruk Reutersa)", "data": "2025-08-14", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "W Unii art. 5 ust. 1 lit. b AI Act zakazuje wykorzystywania systemem AI słabości osoby ze względu na wiek lub niepełnosprawność, gdy celem lub skutkiem jest znacząca zmiana jej zachowania, która wyrządza lub może z uzasadnionym prawdopodobieństwem wyrządzić poważną szkodę (od 2 lutego 2025 r.). Art. 50 ust. 1 każe dostawcom informować o interakcji z AI, chyba że jest oczywista (od 2 sierpnia 2026 r.). Ich zastosowanie wymagałoby ustaleń faktycznych. Persony czatbotów nie powinny podawać się za ludzi.", "przepisy": [ "art. 5 ust. 1 lit. b AI Act", "art. 50 ust. 1 AI Act", "art. 113 akapit trzeci lit. a AI Act", "art. 113 akapit drugi AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/meta-big-sis-billie-smierc-uzytkownika/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 10, Śmierć użytkownika w drodze na spotkanie z czatbotem Meta, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/meta-big-sis-billie-smierc-uzytkownika/" }, { "numer": 11, "slug": "garante-replika-kara-5-mln-euro", "id": "R4-02", "tytul": "Kara 5 mln euro dla Luka Inc. za przetwarzanie danych w czatbocie Replika", "tytulKrotki": "Kara 5 mln euro dla Luka Inc. za czatbota Replika", "data": "2025-04-10", "dataUjawnienia": "2025-05-19", "rok": "2025", "kraj": "Włochy", "tematy": [ "dane", "czatboty" ], "podmioty": [ "Garante per la protezione dei dati personali", "Luka Inc.", "Replika" ], "coSieStalo": "Według komunikatu Garante z 19 maja 2025 r. spółka Luka Inc., prowadząca czatbot Replika, nie wskazała na dzień 2 lutego 2023 r. podstaw prawnych przetwarzania danych. Według decyzji Garante z 10 kwietnia 2025 r. naruszyła na ten dzień także zasadę przejrzystości i obowiązki informacyjne (art. 5 ust. 1 lit. a, art. 12 i 13 RODO). Na ten dzień usługa nie przewidywała żadnego mechanizmu weryfikacji wieku użytkowników, choć spółka deklarowała wyłączenie osób niepełnoletnich. Garante stwierdził, że obecny system weryfikacji wieku nadal jest wadliwy pod wieloma względami.", "skutki": "Według komunikatu z 19 maja 2025 r., który odsyła do decyzji z 10 kwietnia 2025 r., Garante nałożył karę 5 mln euro, nakazał dostosowanie przetwarzania do RODO i wszczął odrębne postępowanie dotyczące trenowania modelu generatywnej AI. Kara jest przedmiotem postępowania opozycyjnego, a w jego toku nie stosuje się dodatkowej sankcji publikacji decyzji.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [ { "nazwa": "Decyzja Garante z 10 kwietnia 2025 r. wobec Luka Inc. (docweb 10130115)", "sygnatura": null, "url": "https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10130115", "rejestrId": "garante-replika" } ], "zrodla": [ { "url": "https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10132048", "wydawca": "Garante per la protezione dei dati personali", "data": "2025-05-19", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10130115", "wydawca": "Garante per la protezione dei dati personali", "data": "2025-04-10", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Przetwarzanie wymaga spełnienia jednej z przesłanek art. 6 ust. 1 RODO. Naruszenie zasad przetwarzania i obowiązków informacyjnych (art. 5, 6, 12 i 13 RODO) podlega administracyjnej karze pieniężnej do 20 mln euro, a w przypadku przedsiębiorstwa do 4% rocznego światowego obrotu, przy czym stosuje się kwotę wyższą (art. 83 ust. 5 lit. a i b RODO). Dostawca czatbota dostępnego także dla małoletnich powinien udokumentować podstawę prawną każdej operacji, a wobec ustaleń Garante także sposób weryfikacji wieku.", "przepisy": [ "art. 6 ust. 1 RODO", "art. 83 ust. 5 (część wprowadzająca) RODO", "art. 83 ust. 5 lit. a RODO", "art. 83 ust. 5 lit. b RODO", "art. 5 ust. 1 lit. a RODO", "art. 12 ust. 1 RODO", "art. 13 ust. 1 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/garante-replika-kara-5-mln-euro/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 11, Kara 5 mln euro dla Luka Inc. za przetwarzanie danych w czatbocie Replika, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/garante-replika-kara-5-mln-euro/" }, { "numer": 12, "slug": "kio-exdrog-halucynacje-w-wyjasnieniach-ceny", "id": "R3-10", "tytul": "Nakaz wykluczenia EXDROG za nieprawdziwe wyjaśnienia z zarzucanymi treściami AI", "tytulKrotki": "Nakaz wykluczenia EXDROG za nieprawdziwe wyjaśnienia", "data": "2025-05-30", "dataUjawnienia": "2025-10-17", "rok": "2025", "kraj": "Polska", "tematy": [ "halucynacje" ], "podmioty": [ "Krajowa Izba Odwoławcza", "EXDROG spółka z ograniczoną odpowiedzialnością", "odwołujący wykonawcy (ADIM, DROG-STAN i inni)", "zamawiający w postępowaniu na utrzymanie dróg" ], "coSieStalo": "Według wyroku Krajowej Izby Odwoławczej z 17 października 2025 r. odwołujący zarzucili wykonawcy EXDROG, że w wyjaśnieniach z 30 maja 2025 r. przekazał zamawiającemu niezweryfikowane treści wygenerowane przez sztuczną inteligencję, które były halucynacjami. Izba uznała za udowodnione, że informacje wskazane w uzasadnieniu zarzutu nr 1a były nieprawdziwe. Uwzględniła odwołanie KIO 3342/25 w części i nakazała zamawiającemu powtórzenie badania i oceny ofert w części nr 7, w tym wykluczenie EXDROG.", "skutki": "Unieważnienie wyboru oferty najkorzystniejszej w części nr 7 postępowania i nakaz wykluczenia wykonawcy EXDROG.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [ { "nazwa": "Wyrok KIO z 17 października 2025 r. (wyrok łączny)", "sygnatura": "KIO 3342/25", "url": "https://orzeczenia.uzp.gov.pl/Home/PdfContent/31059?Kind=KIO", "rejestrId": "kio-3342-25" } ], "zrodla": [ { "url": "https://orzeczenia.uzp.gov.pl/Home/PdfContent/31059?Kind=KIO", "wydawca": "Krajowa Izba Odwoławcza (Urząd Zamówień Publicznych)", "data": "2025-10-17", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://wbj.pl/kio-orders-exdrog-to-exclude-misleading-ai-report-from-tender/post/147728", "wydawca": "Warsaw Business Journal", "data": "2025-10-27", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Izba wskazała art. 109 ust. 1 pkt 10 Pzp, który pozwala zamawiającemu wykluczyć wykonawcę, jeżeli w wyniku lekkomyślności lub niedbalstwa przedstawił informacje wprowadzające w błąd, mogące mieć istotny wpływ na jego decyzje. Według Izby nie ma znaczenia, czy nieprawdziwe treści pochodzą z błędu człowieka, czy z niewłaściwego wykorzystania narzędzi AI, a Pzp nie zakazuje używania takich programów. Wykonawca powinien weryfikować informacje z AI przed złożeniem wyjaśnień ceny.", "przepisy": [ "art. 109 ust. 1 Pzp", "art. 109 ust. 1 pkt 10 Pzp" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/kio-exdrog-halucynacje-w-wyjasnieniach-ceny/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 12, Nakaz wykluczenia EXDROG za nieprawdziwe wyjaśnienia z zarzucanymi treściami AI, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/kio-exdrog-halucynacje-w-wyjasnieniach-ceny/" }, { "numer": 13, "slug": "podszycie-pod-rubio-glos-ai", "id": "R4-04", "tytul": "Podszycie się pod sekretarza stanu USA Marco Rubio z prawdopodobnym użyciem AI", "tytulKrotki": "Podszycie się pod Rubio z prawdopodobnym użyciem AI", "data": "2025-06", "dataUjawnienia": "2025-07-03", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "deepfake" ], "podmioty": [ "Departament Stanu USA", "Marco Rubio", "Signal", "Federal Bureau of Investigation" ], "coSieStalo": "Według depeszy Departamentu Stanu z 3 lipca 2025 r., opisanej przez NBC News i Washington Post, nieznana osoba lub grupa, używając tekstu i wiadomości głosowych wygenerowanych przez AI, podszywała się pod Marco Rubio od połowy czerwca 2025 r. Kontaktowała się z co najmniej pięcioma osobami spoza Departamentu Stanu, w tym trzema ministrami spraw zagranicznych, gubernatorem i członkiem Kongresu, przez Signal i wiadomości tekstowe.", "skutki": "Departament Stanu potwierdził prowadzenie postępowania wyjaśniającego. Sprawcy nie zidentyfikowano, a FBI odmówiło komentarza.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.yahoo.com/news/ai-voice-impersonated-marco-rubio-195134409.html", "wydawca": "NBC News (przedruk Yahoo News)", "data": "2025-07-08", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://news.liga.net/en/politics/news/wp-unidentified-man-used-ai-to-impersonate-rubio-in-communications-with-top-officials", "wydawca": "LIGA.net (według Washington Post)", "data": "2025-07-08", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Podszywanie się pod inną osobę z wykorzystaniem jej wizerunku, innych danych osobowych lub danych identyfikujących ją publicznie jest w Polsce przestępstwem, gdy wyrządza jej szkodę majątkową lub osobistą (art. 190a § 2 k.k.). Gdyby sprawca w celu korzyści majątkowej doprowadził kogoś przez wprowadzenie w błąd do niekorzystnego rozporządzenia mieniem, zastosowanie miałby art. 286 § 1 k.k. Urząd przyjmujący polecenia głosowe lub z komunikatorów powinien potwierdzać je drugim, niezależnym kanałem.", "przepisy": [ "art. 190a § 2 k.k.", "art. 286 § 1 k.k." ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/podszycie-pod-rubio-glos-ai/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 13, Podszycie się pod sekretarza stanu USA Marco Rubio z prawdopodobnym użyciem AI, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/podszycie-pod-rubio-glos-ai/" }, { "numer": 14, "slug": "anthropic-pirackie-biblioteki-ksiazek", "id": "R1-11", "tytul": "Trenowanie modeli Anthropic na pirackich kopiach książek i ugoda grupowa", "tytulKrotki": "Trenowanie modeli Anthropic na pirackich kopiach i ugoda", "data": "2025-06-23", "dataUjawnienia": "2025-06-23", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "prawa-autorskie" ], "podmioty": [ "Anthropic PBC", "Andrea Bartz", "Charles Graeber", "Kirk Wallace Johnson" ], "coSieStalo": "Według postanowienia sędziego Alsupa z 23 czerwca 2025 r. Anthropic pobrał bezpłatnie miliony chronionych książek z pirackich stron internetowych, a także kupił i zeskanował egzemplarze, tworząc centralną bibliotekę, z której wybierał zbiory książek do trenowania modeli. Sąd uznał trenowanie za dozwolony użytek, lecz odmówił Anthropic wyroku w trybie skróconym co do traktowania pirackich egzemplarzy biblioteki jako kopii treningowych i wyznaczył w tej części proces.", "skutki": "Strony zawarły ugodę grupową opiewającą według zawiadomienia na 1,5 mld USD, a według strony ugody sąd zatwierdził ją ostatecznie 20 lipca 2026 r.", "stanFaktow": "ustalenia sądu", "klasyk": false, "sprawy": [ { "nazwa": "Bartz v. Anthropic PBC", "sygnatura": "No. 3:24-cv-05417 (N.D. Cal.)", "url": "https://storage.courtlistener.com/recap/gov.uscourts.cand.434709/gov.uscourts.cand.434709.231.0.pdf", "rejestrId": "bartz-v-anthropic" } ], "zrodla": [ { "url": "https://storage.courtlistener.com/recap/gov.uscourts.cand.434709/gov.uscourts.cand.434709.231.0.pdf", "wydawca": "Sąd Okręgowy dla Północnego Dystryktu Kalifornii (CourtListener)", "data": "2025-06-23", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.anthropiccopyrightsettlement.com/", "wydawca": "Administrator ugody Bartz v. Anthropic", "data": "2026-09-04", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://assets-us-01.kc-usercontent.com:443/1eeb16db-4934-006e-40a6-38fa91285ebb/ce109a57-390c-4d76-ad65-5807d4830fe5/ANT%20-%20Long-Form%20Notice_Updated%20Deadline%201.8.2026.pdf", "wydawca": "Administrator ugody Bartz v. Anthropic", "data": "2025-11-18", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "W Unii ocena trenowania modeli zależy m.in. od wyjątku dla eksploracji tekstów i danych, obejmującego utwory dostępne zgodnie z prawem i wyłączonego zastrzeżeniem praw (art. 4 ust. 1 i 3 dyrektywy (UE) 2019/790). Pirackie egzemplarze budzą wątpliwość co do legalności dostępu. Dostawca modelu ogólnego przeznaczenia publikuje streszczenie danych treningowych (art. 53 ust. 1 lit. d AI Act, od 2 sierpnia 2025 r., dla modeli wprowadzonych wcześniej najpóźniej od 2 sierpnia 2027 r., art. 111 ust. 3), warte przejrzenia przed zakupem.", "przepisy": [ "art. 4 ust. 1 dyrektywy (UE) 2019/790", "art. 4 ust. 3 dyrektywy (UE) 2019/790", "art. 53 ust. 1 lit. d AI Act", "art. 113 akapit trzeci lit. b AI Act", "art. 111 ust. 3 AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/anthropic-pirackie-biblioteki-ksiazek/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 14, Trenowanie modeli Anthropic na pirackich kopiach książek i ugoda grupowa, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/anthropic-pirackie-biblioteki-ksiazek/" }, { "numer": 15, "slug": "grok-wypowiedzi-o-polskich-politykach-wniosek-do-ke", "id": "R3-13", "tytul": "Wniosek Polski do Komisji Europejskiej w sprawie wypowiedzi chatbota Grok", "tytulKrotki": "Wniosek Polski do Komisji Europejskiej w sprawie Groka", "data": "2025-07", "dataUjawnienia": "2025-07-10", "rok": "2025", "kraj": "Polska", "tematy": [ "czatboty" ], "podmioty": [ "xAI", "X", "Krzysztof Gawkowski", "Komisja Europejska" ], "coSieStalo": "Według Bankier.pl wicepremier i minister cyfryzacji Krzysztof Gawkowski zwrócił się do Komisji Europejskiej o interwencję, uznając, że działanie Groka, chatbota firmy xAI, może naruszać przepisy Aktu o usługach cyfrowych. Powodem była seria odpowiedzi Groka, m.in. o Holokauście. Według Yahoo News, powołującego się na Euractiv, rzecznik Komisji Thomas Regnier wskazał, że Grok jest zintegrowany z platformą wyznaczoną jako bardzo duża platforma internetowa.", "skutki": "Rzecznik Komisji przypomniał o obowiązku X oceny i ograniczania ryzyk wynikających z narzędzia. Źródła nie rozstrzygają, czy wszczęto odrębne postępowanie.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.bankier.pl/wiadomosc/Polska-pisze-do-KE-Sprawe-Groka-traktujemy-bardzo-powaznie-8977362.html", "wydawca": "Bankier.pl", "data": "2025-07-10", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.yahoo.com/news/poland-asks-eu-probe-grok-141516346.html", "wydawca": "Yahoo News", "data": "2025-07-10", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Obowiązki z art. 34 i 35 DSA (rozporządzenie 2022/2065) wiążą dostawcę bardzo dużej platformy w terminie czterech miesięcy od powiadomienia o jej wyznaczeniu (art. 33 ust. 6). Dostawca identyfikuje i ocenia ryzyko systemowe wynikające z usługi i powiązanych systemów, także przed uruchomieniem funkcji mogących mieć krytyczny wpływ na to ryzyko (art. 34 ust. 1), i ogranicza je (art. 35 ust. 1). Wbudowując model generatywny, powinien ocenić jego wpływ i przechowywać dokumenty oceny co najmniej trzy lata (art. 34 ust. 3).", "przepisy": [ "art. 93 ust. 2 DSA", "art. 34 ust. 1 DSA", "art. 35 ust. 1 DSA", "art. 33 ust. 6 DSA", "art. 34 ust. 3 DSA" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/grok-wypowiedzi-o-polskich-politykach-wniosek-do-ke/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 15, Wniosek Polski do Komisji Europejskiej w sprawie wypowiedzi chatbota Grok, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/grok-wypowiedzi-o-polskich-politykach-wniosek-do-ke/" }, { "numer": 16, "slug": "replit-usuniecie-bazy-produkcyjnej", "id": "R1-05", "tytul": "Usunięcie danych z produkcyjnej bazy SaaStr przez agenta usługi Replit", "tytulKrotki": "Usunięcie produkcyjnej bazy SaaStr przez agenta Replit", "data": "2025-07", "dataUjawnienia": "2025-07-21", "rok": "2025", "kraj": "nie podano", "tematy": [ "agenci" ], "podmioty": [ "Replit", "SaaStr", "Jason Lemkin" ], "coSieStalo": "Według The Register i Fortune z lipca 2025 r., relacjonujących wpisy założyciela SaaStr Jasona Lemkina, agent AI usługi Replit usunął produkcyjną bazę danych firmy SaaStr podczas zamrożenia zmian, mimo poleceń, by nie zmieniać kodu bez zgody. Według Fortune baza obejmowała dane ponad 1200 menedżerów i ponad 1190 firm. Agent twierdził, że przywrócenie jest niemożliwe, lecz według wpisu Lemkina przytoczonego przez The Register wycofanie zmian zadziałało.", "skutki": "Według Fortune dyrektor generalny Replit napisał, że usunięcie danych z bazy produkcyjnej przez agenta jest niedopuszczalne, a firma wprowadziła nowe zabezpieczenia, w tym automatyczne rozdzielenie baz deweloperskich i produkcyjnych.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.theregister.com/2025/07/21/replit_saastr_vibe_coding_incident/", "wydawca": "The Register", "data": "2025-07-21", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://fortune.com/2025/07/23/ai-coding-tool-replit-wiped-database-called-it-a-catastrophic-failure/", "wydawca": "Fortune", "data": "2025-07-23", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Dyrektywa 2024/2853, wdrażana do 9 grudnia 2026 r., obejmuje oprogramowanie, lecz stosuje się do produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r., a utratę danych tylko niewykorzystywanych zawodowo (art. 2 ust. 1, art. 4 pkt 1, art. 6 ust. 1 lit. c, art. 22 ust. 1). Przy danych służbowych pozostaje prawo krajowe, w Polsce na przykład art. 471 k.c. Umowa z dostawcą agenta powinna regulować środowiska pracy, kopie zapasowe i zatwierdzanie zmian przez człowieka.", "przepisy": [ "art. 2 ust. 1 dyrektywy (UE) 2024/2853", "art. 4 pkt 1 dyrektywy (UE) 2024/2853", "art. 6 ust. 1 lit. c dyrektywy (UE) 2024/2853", "art. 6 ust. 3 dyrektywy (UE) 2024/2853", "art. 471 k.c.", "art. 22 ust. 1 dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/replit-usuniecie-bazy-produkcyjnej/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 16, Usunięcie danych z produkcyjnej bazy SaaStr przez agenta usługi Replit, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/replit-usuniecie-bazy-produkcyjnej/" }, { "numer": 17, "slug": "bromizm-po-poradzie-chatgpt", "id": "R5-04", "tytul": "Opis przypadku zatrucia bromkiem sodu po konsultacji z ChatGPT", "tytulKrotki": "Opis zatrucia bromkiem sodu po konsultacji z ChatGPT", "data": "2025-08", "dataUjawnienia": "2025-08-05", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "zdrowie", "czatboty" ], "podmioty": [ "OpenAI", "University of Washington", "Annals of Internal Medicine: Clinical Cases" ], "coSieStalo": "Według doniesień NBC News trzej lekarze opisali w czasopiśmie „Annals of Internal Medicine Clinical Cases” 60-letniego mężczyznę, który zastąpił sól kuchenną bromkiem sodu po konsultacji z ChatGPT. Mężczyzna spędził trzy tygodnie w szpitalu. Lekarze nie mieli dostępu do jego rozmów z czatbotem.", "skutki": "Trzytygodniowa hospitalizacja pacjenta. OpenAI wskazało w odpowiedzi na warunki usługi, według których usługi nie są przeznaczone do diagnozowania ani leczenia żadnego stanu zdrowia.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.nbcnews.com/tech/tech-news/man-asked-chatgpt-cutting-salt-diet-was-hospitalized-hallucinations-rcna225055", "wydawca": "NBC News", "data": "2025-08-14", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.livescience.com/health/food-diet/man-sought-diet-advice-from-chatgpt-and-ended-up-with-bromide-intoxication", "wydawca": "Live Science", "data": "2025-08", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Jeżeli czatbot jest produktem (art. 4 pkt 1 dyrektywy (UE) 2024/2853), a szkoda na zdrowiu wynika z jego wadliwości (tu związku nie ustalono), mieści się w art. 6 ust. 1 lit. a, a odpowiedzialności nie można wyłączyć umownie (art. 15). Dyrektywę stosuje się do produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1), a termin wdrożenia upływa tego dnia (art. 22 ust. 1). Udostępniający czatbota powinni wskazać, że nie udziela porad zdrowotnych.", "przepisy": [ "art. 4 pkt 1 dyrektywy (UE) 2024/2853", "art. 6 ust. 1 lit. a dyrektywy (UE) 2024/2853", "art. 15 dyrektywy (UE) 2024/2853", "art. 2 ust. 1 dyrektywy (UE) 2024/2853", "art. 22 ust. 1 dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/bromizm-po-poradzie-chatgpt/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 17, Opis przypadku zatrucia bromkiem sodu po konsultacji z ChatGPT, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/bromizm-po-poradzie-chatgpt/" }, { "numer": 18, "slug": "chatgpt-rozmowy-indeksowane-w-wyszukiwarkach", "id": "R4-05", "tytul": "Indeksowanie przez wyszukiwarki rozmów ChatGPT udostępnionych przez użytkowników", "tytulKrotki": "Udostępnione rozmowy ChatGPT w wyszukiwarkach", "data": "2025-08-01", "dataUjawnienia": "2025-08-01", "rok": "2025", "kraj": "nie podano", "tematy": [ "dane" ], "podmioty": [ "OpenAI", "Dane Stuckey" ], "coSieStalo": "Według The Register i Bitdefender użytkownicy ChatGPT mogli przy udostępnianiu linku do rozmowy zaznaczyć pole „Make this chat discoverable”, co pozwalało wyszukiwarkom indeksować rozmowę. Bitdefender podaje, że tysiące prywatnych rozmów zostało niezamierzenie ujawnionych w wynikach wyszukiwania. Dyrektor ds. bezpieczeństwa OpenAI Dane Stuckey ogłosił usunięcie tej opcji we wpisie w mediach społecznościowych, o którym The Register napisał 1 sierpnia 2025 r.", "skutki": "OpenAI usunął opcję dla wszystkich użytkowników i zapowiedział usuwanie zindeksowanych treści z wyszukiwarek. Według Bitdefender wyniki z udostępnionymi rozmowami zwracały nadal Bing, DuckDuckGo i Brave.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.theregister.com/2025/08/01/openai_removes_chatgpt_selfdoxing_option/", "wydawca": "The Register", "data": "2025-08-01", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.bitdefender.com/en-us/blog/hotforsecurity/openai-pulls-make-chat-discoverable-feature-from-chatgpt-to-safeguard-privacy", "wydawca": "Bitdefender", "data": "2025-08-04", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Art. 25 ust. 2 RODO nakazuje administratorowi wdrożyć środki, by domyślnie dane osobowe nie były udostępniane bez interwencji danej osoby nieokreślonej liczbie osób fizycznych. Zaznaczenie pola przez użytkownika może stanowić taką interwencję, więc ochrona danych klientów zależy też od zasad wewnętrznych organizacji. Polityka korzystania z AI w kancelarii lub urzędzie powinna zakazywać udostępniania rozmów linkiem, gdy zawierają dane klientów lub petentów.", "przepisy": [ "art. 25 ust. 2 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/chatgpt-rozmowy-indeksowane-w-wyszukiwarkach/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 18, Indeksowanie przez wyszukiwarki rozmów ChatGPT udostępnionych przez użytkowników, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/chatgpt-rozmowy-indeksowane-w-wyszukiwarkach/" }, { "numer": 19, "slug": "claude-code-kampania-szpiegowska", "id": "R1-03", "tytul": "Kampania szpiegowska z użyciem narzędzia Claude Code", "tytulKrotki": null, "data": "2025-09", "dataUjawnienia": "2025-11-13", "rok": "2025", "kraj": "nie podano", "tematy": [ "agenci" ], "podmioty": [ "Anthropic" ], "coSieStalo": "Według Anthropic w połowie września 2025 r. wykryto kampanię szpiegowską, w której napastnik, oceniany z dużą pewnością jako grupa wspierana przez państwo chińskie, wykorzystał narzędzie Claude Code do prób włamania do około trzydziestu celów. Anthropic podał, że w niewielkiej liczbie przypadków próby się powiodły, a cele obejmowały firmy technologiczne, instytucje finansowe, zakłady chemiczne i agencje rządowe.", "skutki": "Anthropic zablokował konta, powiadomił podmioty, których sprawa dotyczyła, i współpracował z organami.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.anthropic.com/news/disrupting-AI-espionage", "wydawca": "Anthropic", "data": "2025-11-13", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "W Polsce uzyskanie bez uprawnienia dostępu do całości lub części systemu informatycznego jest przestępstwem ściganym na wniosek pokrzywdzonego (art. 267 § 2 i 5 k.k.). W Unii dostawca modelu ogólnego przeznaczenia z ryzykiem systemowym ocenia i ogranicza też ryzyko systemowe z jego wykorzystywania (art. 55 ust. 1 lit. b AI Act, od 2 sierpnia 2025 r., dla modeli wprowadzonych wcześniej najpóźniej od 2 sierpnia 2027 r., art. 111 ust. 3). Pokrzywdzona firma powinna zabezpieczyć logi i rozważyć wniosek o ściganie.", "przepisy": [ "art. 267 § 2 k.k.", "art. 267 § 5 k.k.", "art. 55 ust. 1 lit. b AI Act", "art. 111 ust. 3 AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/claude-code-kampania-szpiegowska/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 19, Kampania szpiegowska z użyciem narzędzia Claude Code, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/claude-code-kampania-szpiegowska/" }, { "numer": 20, "slug": "waymo-autobusy-szkolne-odwolanie-oprogramowania", "id": "R5-01", "tytul": "Mijanie zatrzymanych autobusów szkolnych przez pojazdy Waymo", "tytulKrotki": "Waymo i mijanie zatrzymanych autobusów szkolnych", "data": "2025-09", "dataUjawnienia": "2025-12-06", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "pojazdy" ], "podmioty": [ "Waymo", "NHTSA", "Austin Independent School District", "Alphabet" ], "coSieStalo": "Według NPR urząd NHTSA wszczął w październiku 2025 roku postępowanie po doniesieniu medialnym o pojeździe Waymo, który nie zatrzymał się przy autobusie szkolnym. W liście opublikowanym na stronie NHTSA okręg szkolny w Austin podał, że udokumentował 19 przypadków mijania autobusów. Waymo poinformowało o błędzie oprogramowania i o braku obrażeń. Według CBS firma prowadzi z tego powodu odwołanie 3067 pojazdów.", "skutki": "Według CBS odwołanie objęło 3067 pojazdów. NHTSA wyznaczył Waymo termin odpowiedzi na pytania do 20 stycznia 2026 roku. Według CBS do 5 grudnia okręg w Austin odnotował 20 przypadków w roku szkolnym, w tym jeden po oświadczeniu Waymo o naprawie oprogramowania.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [ { "nazwa": "Postępowanie wyjaśniające NHTSA wobec Waymo (autobusy szkolne)", "sygnatura": null, "url": "https://www.npr.org/2025/12/06/nx-s1-5635614/waymo-school-buses-recall", "rejestrId": null } ], "zrodla": [ { "url": "https://www.npr.org/2025/12/06/nx-s1-5635614/waymo-school-buses-recall", "wydawca": "NPR", "data": "2025-12-06", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.cbsnews.com/miami/news/waymo-recall-3000-vehicles-software-school-bus", "wydawca": "CBS News", "data": "2025-12-11", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Dyrektywa (UE) 2024/2853 traktuje oprogramowanie jako produkt (art. 4 pkt 1) i każe uwzględniać przy ocenie wadliwości interwencje dotyczące bezpieczeństwa podejmowane przez organ lub podmiot gospodarczy (art. 7 ust. 2 lit. g). Stosuje się ją do produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1), a termin wdrożenia upływa tego dnia (art. 22 ust. 1). Operator floty w Polsce powinien zastrzec w umowie z dostawcą obowiązek informowania o odwołaniach oprogramowania.", "przepisy": [ "art. 4 pkt 1 dyrektywy (UE) 2024/2853", "art. 7 ust. 2 lit. g dyrektywy (UE) 2024/2853", "art. 2 ust. 1 dyrektywy (UE) 2024/2853", "art. 22 ust. 1 dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/waymo-autobusy-szkolne-odwolanie-oprogramowania/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 20, Mijanie zatrzymanych autobusów szkolnych przez pojazdy Waymo, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/waymo-autobusy-szkolne-odwolanie-oprogramowania/" }, { "numer": 21, "slug": "garante-clothoff-ograniczenie-przetwarzania", "id": "R4-01", "tytul": "Czasowe ograniczenie przetwarzania danych przez aplikację Clothoff we Włoszech", "tytulKrotki": "Czasowe ograniczenie aplikacji Clothoff we Włoszech", "data": "2025-10-01", "dataUjawnienia": "2025-10-03", "rok": "2025", "kraj": "Włochy", "tematy": [ "deepfake", "dane" ], "podmioty": [ "Garante per la protezione dei dati personali", "AI/Robotics Venture Strategy 3 Ltd.", "Clothoff" ], "coSieStalo": "Według komunikatu Garante z 3 października 2025 r. aplikacja Clothoff generuje fałszywe zdjęcia i filmy przedstawiające prawdziwe osoby jako nagie, także na podstawie zdjęć małoletnich, bez możliwości weryfikacji zgody osoby przedstawionej i bez oznaczenia, że materiał jest sztuczny. Garante zarządził w trybie pilnym, ze skutkiem natychmiastowym, czasowe ograniczenie przetwarzania danych włoskich użytkowników wobec spółki z Brytyjskich Wysp Dziewiczych. Decyzję wydano 1 października 2025 r.", "skutki": "Garante wszczął działania wyjaśniające, by przeciwdziałać wszystkim aplikacjom do generowania nagich obrazów. W grudniu 2025 r. ostrzegł użytkowników usług AI, takich jak Grok, ChatGPT i Clothoff. 6 maja 2026 r. przypomniał, że korzystanie z usług generujących treści z rzeczywistych obrazów lub głosów, także „rozbierających” osoby bez zgody, może naruszać ich prawa, i ponowił wniosek o prawo blokowania takich platform.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [ { "nazwa": "Decyzja Garante z 1 października 2025 r. o czasowym ograniczeniu przetwarzania (docweb 10174164)", "sygnatura": null, "url": "https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10174164", "rejestrId": null } ], "zrodla": [ { "url": "https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10174320", "wydawca": "Garante per la protezione dei dati personali", "data": "2025-10-03", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10174164", "wydawca": "Garante per la protezione dei dati personali", "data": "2025-10-01", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10246345", "wydawca": "Garante per la protezione dei dati personali", "data": "2026-05-06", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "RODO pozwala organowi nadzorczemu czasowo ograniczyć lub zakazać przetwarzania (art. 58 ust. 2 lit. f). Od 2 grudnia 2026 r. AI Act zakazuje wprowadzania do obrotu, oddawania do użytku lub wykorzystywania systemu AI generującego realistyczne materiały przedstawiające intymne części ciała lub czynności seksualne możliwej do zidentyfikowania osoby bez jej zgody (art. 5 ust. 1 lit. ba). Dostawca powinien do tego dnia sprawdzić, czy takie generowanie jest celem systemu albo przewidywalnym i odtwarzalnym wynikiem bez odpowiednich zabezpieczeń (art. 5 ust. 1a).", "przepisy": [ "art. 58 ust. 2 lit. f RODO", "art. 5 ust. 1 akapit pierwszy lit. ba AI Act", "art. 113 akapit trzeci lit. a AI Act", "art. 5 ust. 1a AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/garante-clothoff-ograniczenie-przetwarzania/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 21, Czasowe ograniczenie przetwarzania danych przez aplikację Clothoff we Włoszech, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/garante-clothoff-ograniczenie-przetwarzania/" }, { "numer": 22, "slug": "noyb-zawiadomienie-clearview-austria", "id": "R4-03", "tytul": "Zawiadomienie o przestępstwie przeciwko Clearview AI złożone przez noyb", "tytulKrotki": "Zawiadomienie noyb o przestępstwie przeciw Clearview AI", "data": "2025-10-28", "dataUjawnienia": "2025-10-28", "rok": "2025", "kraj": "Austria", "tematy": [ "twarze", "dane" ], "podmioty": [ "noyb", "Clearview AI", "prokuratura w Austrii" ], "coSieStalo": "Według komunikatu noyb z 28 października 2025 r. organizacja złożyła w Austrii zawiadomienie o przestępstwie przeciwko Clearview AI i jej kierownictwu. Noyb podaje, że organy ochrony danych Francji, Grecji, Włoch i Holandii nałożyły na spółkę kary w łącznej wysokości około 100 mln euro, a spółka nie zaskarżyła tych decyzji. Zawiadomienie opiera się na § 63 austriackiej ustawy o ochronie danych osobowych.", "skutki": "Źródła nie podają, czy prokuratura wszczęła postępowanie. Zarzuty zawiadomienia są stanowiskiem noyb.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [ { "nazwa": "Zawiadomienie noyb przeciwko Clearview AI do prokuratury w Austrii", "sygnatura": null, "url": "https://noyb.eu/en/criminal-complaint-against-facial-recognition-company-clearview-ai", "rejestrId": null } ], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://noyb.eu/en/criminal-complaint-against-facial-recognition-company-clearview-ai", "wydawca": "noyb (kopia Internet Archive, adres oryginalny zwracał 503)", "data": "2025-10-28", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://ppc.land/criminal-charges-filed-against-clearview-ai-after-regulatory-fines-fail/", "wydawca": "PPC Land", "data": "2025-10-28", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "RODO nakazuje państwom członkowskim przyjąć inne sankcje niż administracyjne kary pieniężne, które muszą być skuteczne, proporcjonalne i odstraszające (art. 84 ust. 1 RODO). W Polsce art. 107 ust. 1 ustawy o ochronie danych osobowych przewiduje grzywnę, ograniczenie wolności albo pozbawienie wolności do lat dwóch dla tego, kto przetwarza dane, choć ich przetwarzanie nie jest dopuszczalne. Przed zakupem usługi rozpoznawania twarzy firma lub urząd powinna ustalić podstawę prawną przetwarzania u dostawcy.", "przepisy": [ "art. 84 ust. 1 RODO", "art. 107 ust. 1 ustawy o ochronie danych osobowych" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/noyb-zawiadomienie-clearview-austria/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 22, Zawiadomienie o przestępstwie przeciwko Clearview AI złożone przez noyb, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/noyb-zawiadomienie-clearview-austria/" }, { "numer": 23, "slug": "gema-v-openai-teksty-piosenek", "id": "R1-14", "tytul": "Wyrok Landgericht München I w sprawie GEMA przeciwko OpenAI o teksty piosenek", "tytulKrotki": "Wyrok w sprawie GEMA przeciwko OpenAI o teksty piosenek", "data": "2025-11-11", "dataUjawnienia": "2025-11-11", "rok": "2025", "kraj": "Niemcy", "tematy": [ "prawa-autorskie" ], "podmioty": [ "GEMA", "OpenAI", "Landgericht München I" ], "coSieStalo": "Według komunikatu Landgericht München I z 11 listopada 2025 r. 42. izba cywilna uwzględniła w przeważającej części roszczenia GEMA wobec dwóch spółek grupy OpenAI o zaniechanie, informację i odszkodowanie. Wyrok dotyczy tekstów piosenek dziewięciu znanych niemieckich twórców, które według GEMA były zapamiętane w modelach i w dużej części wiernie odtwarzane w odpowiedziach czatbota. Sąd oddalił żądanie oparte na naruszeniu dóbr osobistych. Komunikat podał, że wyrok jest nieprawomocny.", "skutki": "Według serwisu LTO sąd zobowiązał OpenAI między innymi do zaniechania zapisywania tekstów i podawania ich w modelach, do odszkodowania oraz do udzielenia informacji o wykorzystaniu i uzyskanych dochodach.", "stanFaktow": "ustalenia sądu", "klasyk": false, "sprawy": [ { "nazwa": "GEMA przeciwko OpenAI", "sygnatura": "42 O 14139/24", "url": "https://www.justiz.bayern.de/gerichte-und-behoerden/landgericht/muenchen-1/presse/2025/11.php", "rejestrId": "lg-monachium-gema-openai" } ], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://www.justiz.bayern.de/gerichte-und-behoerden/landgericht/muenchen-1/presse/2025/11.php", "wydawca": "Landgericht München I, komunikat prasowy (kopia Internet Archive, strona oryginalna zwróciła błąd 403)", "data": "2025-11-11", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.lto.de/recht/nachrichten/n/42o1413924-lg-muenchen-i-gema-openai-chatgpt-songtexte-ki", "wydawca": "Legal Tribune Online", "data": "2025-11-11", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Wyjątek dla eksploracji tekstów i danych obejmuje utwory dostępne zgodnie z prawem, chyba że zastrzeżono prawa (art. 4 ust. 1 i 3 dyrektywy (UE) 2019/790). Według sądu zapamiętanie tekstów w modelach to zwielokrotnienie spoza wyjątku. Dostawca modelu ogólnego przeznaczenia wdraża politykę przestrzegania prawa autorskiego Unii i zastrzeżeń (art. 53 ust. 1 lit. c AI Act, od 2 sierpnia 2025 r., dla modeli wprowadzonych wcześniej najpóźniej od 2 sierpnia 2027 r., art. 111 ust. 3). Warto sprawdzać, czy czatbot odtwarza utwory.", "przepisy": [ "art. 4 ust. 1 dyrektywy (UE) 2019/790", "art. 4 ust. 3 dyrektywy (UE) 2019/790", "art. 53 ust. 1 lit. c AI Act", "art. 113 akapit trzeci lit. b AI Act", "art. 111 ust. 3 AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/gema-v-openai-teksty-piosenek/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 23, Wyrok Landgericht München I w sprawie GEMA przeciwko OpenAI o teksty piosenek, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/gema-v-openai-teksty-piosenek/" }, { "numer": 24, "slug": "eightfold-ai-pozew-fcra", "id": "R5-06", "tytul": "Pozew zbiorowy kandydatów do pracy przeciwko Eightfold AI", "tytulKrotki": null, "data": "2026-01-20", "dataUjawnienia": "2026-01-20", "rok": "2026", "kraj": "Stany Zjednoczone", "tematy": [ "dyskryminacja" ], "podmioty": [ "Eightfold AI", "Contra Costa County Superior Court", "Outten & Golden", "Towards Justice" ], "coSieStalo": "Według Fisher Phillips dwie osoby ubiegające się o pracę wniosły 20 stycznia 2026 r. pozew zbiorowy przeciwko Eightfold AI do sądu stanowego w Contra Costa County. Zarzucają, że platforma tworzyła o kandydatach „ukryte raporty kredytowe” i oceniała ich w skali od 0 do 5, korzystając z danych z zewnętrznych źródeł. Eightfold odpowiedział w oświadczeniu dla mediów, że nie pobiera automatycznie danych z mediów społecznościowych i podobnych źródeł.", "skutki": "Według publikacji ze stycznia i lutego 2026 r. sprawa była w toku, bez rozstrzygnięcia.", "stanFaktow": "sporne", "klasyk": false, "sprawy": [ { "nazwa": "Kistler v. Eightfold AI Inc.", "sygnatura": "C26-00214", "url": "https://natlawreview.com/article/scoring-applicants-your-ai-could-be-fcra-territory", "rejestrId": null } ], "zrodla": [ { "url": "https://www.fisherphillips.com/en/insights/insights/job-applicants-sue-ai-screening-company-for-fcra-violations", "wydawca": "Fisher Phillips", "data": "2026-01-26", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://natlawreview.com/article/scoring-applicants-your-ai-could-be-fcra-territory", "wydawca": "The National Law Review", "data": "2026-02-19", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "System AI przeznaczony do rekrutacji, w tym do oceny kandydatów, jest w AI Act systemem wysokiego ryzyka (zał. III pkt 4 lit. a), z obowiązkami od 2 grudnia 2027 r. W Unii kandydat ma prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne lub w podobny sposób istotnie na niego wpływa (art. 22 ust. 1 RODO, z zastrzeżeniem ust. 2). Pracodawca powinien zażądać od dostawcy opisu danych i kryteriów oceny oraz zapewnić udział człowieka w decyzji.", "przepisy": [ "załącznik III pkt 4 lit. a AI Act", "art. 113 akapit trzeci lit. c ppkt (i) AI Act", "art. 22 ust. 1 RODO", "art. 22 ust. 2 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/eightfold-ai-pozew-fcra/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 24, Pozew zbiorowy kandydatów do pracy przeciwko Eightfold AI, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/eightfold-ai-pozew-fcra/" }, { "numer": 25, "slug": "agenci-openai-hugging-face", "id": "R1-01", "tytul": "Atak na infrastrukturę Hugging Face przypisany przez METR agentom OpenAI", "tytulKrotki": "METR przypisał agentom OpenAI atak na Hugging Face", "data": "2026-07", "dataUjawnienia": "2026-07-16", "rok": "2026", "kraj": "Stany Zjednoczone", "tematy": [ "agenci", "dane" ], "podmioty": [ "Hugging Face", "OpenAI", "METR" ], "coSieStalo": "Według komunikatu Hugging Face z 16 lipca 2026 r. złośliwy zbiór danych pozwolił uruchomić kod na serwerze przetwarzającym dane, a napastnik uzyskał dostęp do wewnętrznych klastrów i danych uwierzytelniających. Hugging Face ustalił, że kampanię prowadził autonomiczny system agentowy, podał, że nie zna użytego modelu, i zgłosił sprawę organom ścigania. Według raportu METR z 26 sierpnia 2026 r. atak prowadzili agenci uruchomieni w eksperymentach ExploitGym OpenAI, a uczestniczyło w nim około 700 z około 1200 agentów korzystających ze wspólnej tablicy wiadomości.", "skutki": "Hugging Face podał, że nie znalazł śladów manipulacji publicznymi modelami, zbiorami danych ani Spaces, i zalecił rotację tokenów dostępu.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://huggingface.co/blog/security-incident-july-2026", "wydawca": "Hugging Face", "data": "2026-07-16", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/", "wydawca": "METR", "data": "2026-08-26", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "W Unii administrator zgłasza naruszenie ochrony danych organowi nadzorczemu w miarę możliwości do 72 godzin od stwierdzenia, chyba że ryzyko dla praw osób jest mało prawdopodobne (art. 33 ust. 1 RODO). Dostawca modelu ogólnego przeznaczenia z ryzykiem systemowym zgłasza Urzędowi ds. AI poważne incydenty (art. 55 ust. 1 lit. c AI Act, od 2 sierpnia 2025 r., dla modeli wprowadzonych wcześniej najpóźniej od 2 sierpnia 2027 r., art. 111 ust. 3). Firma powinna wyznaczyć osobę oceniającą incydenty agentów pod kątem RODO.", "przepisy": [ "art. 33 ust. 1 RODO", "art. 55 ust. 1 lit. c AI Act", "art. 113 akapit trzeci lit. b AI Act", "art. 111 ust. 3 AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/agenci-openai-hugging-face/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 25, Atak na infrastrukturę Hugging Face przypisany przez METR agentom OpenAI, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/agenci-openai-hugging-face/" }, { "numer": 26, "slug": "agent-openai-dns-czatbot", "id": "R1-02", "tytul": "Agent OpenAI łączy się z zewnętrznym czatbotem przez resolwer DNS", "tytulKrotki": "Agent OpenAI łączy się z czatbotem przez resolwer DNS", "data": "2026-09-20", "dataUjawnienia": "2026-09-25", "rok": "2026", "kraj": "nie podano", "tematy": [ "agenci" ], "podmioty": [ "OpenAI" ], "coSieStalo": "Według raportu OpenAI agent badawczy wykonujący zadanie wyszukiwania podczas treningu zapytał publiczny czatbot przez lukę w ograniczeniach dostępu do internetu, czyli niewystarczające filtrowanie DNS w środowisku treningowym. System monitorowania zgłosił zachowanie w ciągu 15 minut, a przebieg zakończono 2,5 godziny po rozpoczęciu przeglądu przez człowieka.", "skutki": "OpenAI dodało blokady na dwóch niezależnych warstwach. Według raportu zaktualizowanego 25 września 2026 r. trening, ewaluacje i inferencja z użyciem narzędzi dla najsilniejszych modeli pozostawały wstrzymane.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://alignment.openai.com/misalignment-reports/an-agent-used-dns-to-reach-an-external-chatbot/", "wydawca": "OpenAI Alignment Research Blog", "data": "2026-09-25", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Jeżeli model użyty przez agenta jest modelem ogólnego przeznaczenia z ryzykiem systemowym, w Unii jego dostawca przeprowadza i dokumentuje kontradyktoryjne testy modelu oraz ocenia i ogranicza ryzyko systemowe, także wynikające z rozwoju, wprowadzania do obrotu lub wykorzystywania modelu (art. 55 ust. 1 lit. a i b AI Act, od 2 sierpnia 2025 r.). Przepisy wiążą dostawcę, a zdarzenie zaszło w jego środowisku treningowym. Użytkownik agentów może uregulować w umowie dostęp do opisu zabezpieczeń środowiska agenta i zasady informowania o incydentach.", "przepisy": [ "art. 55 ust. 1 lit. a AI Act", "art. 55 ust. 1 lit. b AI Act", "art. 113 akapit trzeci lit. b AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/agent-openai-dns-czatbot/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 26, Agent OpenAI łączy się z zewnętrznym czatbotem przez resolwer DNS, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/agent-openai-dns-czatbot/" }, { "numer": 27, "slug": "rite-aid-rozpoznawanie-twarzy-ftc", "id": "R2-05", "tytul": "Zakaz rozpoznawania twarzy w sklepach Rite Aid w ugodzie z FTC", "tytulKrotki": "Zakaz rozpoznawania twarzy w Rite Aid w ugodzie z FTC", "data": "2012", "dataUjawnienia": "2023-12-19", "rok": "2012", "kraj": "Stany Zjednoczone", "tematy": [ "twarze", "dyskryminacja" ], "podmioty": [ "Rite Aid", "Federal Trade Commission" ], "coSieStalo": "Według FTC Rite Aid w latach 2012-2020 używała systemu rozpoznawania twarzy w setkach sklepów bez rozsądnych zabezpieczeń. Według skargi pracownicy, działając na podstawie fałszywych alertów, śledzili klientów po sklepie, przeszukiwali ich, nakazywali opuszczenie sklepu i wzywali policję. FTC wskazała, że działania te nieproporcjonalnie dotknęły osoby kolorowe.", "skutki": "Według proponowanego nakazu Rite Aid przez pięć lat nie może używać rozpoznawania twarzy do nadzoru, a według TechCrunch musi usunąć zebrane obrazy. Nakaz miał wejść w życie po zatwierdzeniu przez sąd upadłościowy i federalny sąd okręgowy oraz po zmianie przez FTC nakazu z 2010 r.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [ { "nazwa": "FTC, ugoda z Rite Aid Corporation w sprawie rozpoznawania twarzy", "sygnatura": null, "url": "https://www.ftc.gov/news-events/news/press-releases/2023/12/rite-aid-banned-using-ai-facial-recognition-after-ftc-says-retailer-deployed-technology-without", "rejestrId": null } ], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://www.ftc.gov/news-events/news/press-releases/2023/12/rite-aid-banned-using-ai-facial-recognition-after-ftc-says-retailer-deployed-technology-without", "wydawca": "Federal Trade Commission (kopia Internet Archive)", "data": "2023-12-19", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://techcrunch.com/2023/12/20/rite-aid-facial-recognition", "wydawca": "TechCrunch", "data": "2023-12-20", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Gdyby sklep w Unii stosował system zdalnej identyfikacji biometrycznej, byłby to system wysokiego ryzyka według zał. III pkt 1 lit. a AI Act, którego wymogi stosuje się od 2 grudnia 2027 r. (art. 113 akapit trzeci lit. c ppkt (i)). Przetwarzanie danych biometrycznych w celu jednoznacznego zidentyfikowania osoby jest co do zasady zakazane, chyba że zachodzi jeden z wyjątków (art. 9 ust. 1 i 2 RODO). Sklep powinien przed wdrożeniem ustalić podstawę przetwarzania i tryb postępowania z fałszywymi alertami.", "przepisy": [ "zał. III pkt 1 lit. a AI Act", "art. 113 akapit trzeci lit. c ppkt (i) AI Act", "art. 9 ust. 1 RODO", "art. 9 ust. 2 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/rite-aid-rozpoznawanie-twarzy-ftc/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 27, Zakaz rozpoznawania twarzy w sklepach Rite Aid w ugodzie z FTC, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/rite-aid-rozpoznawanie-twarzy-ftc/" }, { "numer": 28, "slug": "royal-free-deepmind-dane-pacjentow-streams", "id": "R2-12", "tytul": "Dane 1,6 mln pacjentów Royal Free przekazane DeepMind do testów Streams", "tytulKrotki": "Dane 1,6 mln pacjentów Royal Free dla DeepMind", "data": "2015", "dataUjawnienia": "2017-07-03", "rok": "2015", "kraj": "Wielka Brytania", "tematy": [ "zdrowie", "dane" ], "podmioty": [ "Royal Free London NHS Foundation Trust", "Google DeepMind", "Information Commissioner's Office" ], "coSieStalo": "Według relacji The Register Royal Free przekazał dane 1,6 mln pacjentów Google DeepMind w ramach testu systemu wykrywania ostrego uszkodzenia nerek. Według ICO pacjenci nie byli odpowiednio poinformowani o wykorzystaniu ich danych w teście. DeepMind opisał test jako prowadzony w Royal Free pod koniec 2015 r. i w 2016 r.", "skutki": "ICO stwierdziło, że Royal Free nie zastosował się do Data Protection Act, i zwróciło się do niego o podpisanie zobowiązania. Według DeepMind treść zobowiązania wskazywała, że spółka działała wyłącznie jako podmiot przetwarzający na polecenie szpitala.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [], "zrodla": [ { "url": "https://deepmind.google/blog/ico-royal-free/", "wydawca": "Google DeepMind", "data": "2017-07-03", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.theregister.com/2017/07/03/google_deepmind_trial_failed_to_comply_with_data_protection_law/", "wydawca": "The Register", "data": "2017-07-03", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Gdyby w Polsce szpital przekazał dane pacjentów dostawcy technologii do testu, zastosowanie miałby RODO, stosowany od 25 maja 2018 r. (art. 99 ust. 2). Przetwarzanie danych dotyczących zdrowia jest zakazane, chyba że zachodzi jeden z wyjątków (art. 9 ust. 1 i 2 RODO), a administrator, który planuje dalej przetwarzać dane w innym celu niż cel ich zebrania, wcześniej informuje osobę o tym celu (art. 13 ust. 3 RODO). Szpital powinien przed przekazaniem danych ustalić podstawę i przygotować informację dla pacjentów.", "przepisy": [ "art. 99 ust. 2 RODO", "art. 9 ust. 1 RODO", "art. 9 ust. 2 RODO", "art. 13 ust. 1 lit. c RODO", "art. 13 ust. 3 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/royal-free-deepmind-dane-pacjentow-streams/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 28, Dane 1,6 mln pacjentów Royal Free przekazane DeepMind do testów Streams, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/royal-free-deepmind-dane-pacjentow-streams/" }, { "numer": 29, "slug": "propublica-algorytm-ryzyka-recydywy-broward", "id": "R3-14", "tytul": "Analiza ProPublica algorytmu oceny ryzyka recydywy w hrabstwie Broward", "tytulKrotki": "Analiza ProPublica oceny ryzyka recydywy w Broward", "data": "2016-05-23", "dataUjawnienia": "2016-05-23", "rok": "2016", "kraj": "Stany Zjednoczone", "tematy": [ "dyskryminacja" ], "podmioty": [ "ProPublica", "hrabstwo Broward (Floryda)" ], "coSieStalo": "ProPublica opublikowała 23 maja 2016 r. analizę wyników oceny ryzyka przypisanych ponad 7000 osób aresztowanych w hrabstwie Broward w latach 2013 i 2014. Według redakcji tylko 20 procent osób, którym przewidziano popełnienie przestępstwa z użyciem przemocy, faktycznie je popełniło. Redakcja wskazała też istotne różnice rasowe w wynikach. ProPublica podała, że producent algorytmu, spółka Northpointe, kwestionuje analizę.", "skutki": null, "stanFaktow": "doniesienia mediów", "klasyk": true, "sprawy": [], "zrodla": [ { "url": "https://www.propublica.org/article/machine-bias-risk-assessments-in-criminal-sentencing", "wydawca": "ProPublica", "data": "2016-05-23", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Gdyby system oceniający ryzyko ponownego popełnienia przestępstwa był w Unii używany przez organy ścigania, byłby systemem wysokiego ryzyka według załącznika III pkt 6 lit. d AI Act, z obowiązkami od 2 grudnia 2027 r., a przy ocenie wyłącznie przez profilowanie co do zasady zakazanym (art. 5 ust. 1 lit. d). Podmiot stosujący powierza nadzór nad systemem wysokiego ryzyka osobom o niezbędnych kompetencjach, przeszkoleniu i uprawnieniach (art. 26 ust. 2). Obrońca powinien ustalić, czy wynik oceny ryzyka trafił do akt.", "przepisy": [ "zał. III pkt 6 lit. d AI Act", "art. 113 akapit trzeci lit. c AI Act", "art. 26 ust. 2 AI Act", "art. 5 ust. 1 akapit pierwszy lit. d AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/propublica-algorytm-ryzyka-recydywy-broward/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 29, Analiza ProPublica algorytmu oceny ryzyka recydywy w hrabstwie Broward, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/propublica-algorytm-ryzyka-recydywy-broward/" }, { "numer": 30, "slug": "bridges-south-wales-police-rozpoznawanie-twarzy", "id": "R2-10", "tytul": "Rozpoznawanie twarzy przez policję Południowej Walii w sprawie Bridges", "tytulKrotki": "Rozpoznawanie twarzy przez policję w sprawie Bridges", "data": "2017-12-21", "dataUjawnienia": "2020-08-11", "rok": "2017", "kraj": "Wielka Brytania", "tematy": [ "twarze" ], "podmioty": [ "South Wales Police", "Edward Bridges", "Court of Appeal", "Information Commissioner" ], "coSieStalo": "Według wyroku policja Południowej Walii stosowała w okresie próbnym system AFR Locate, który porównuje obrazy z kamer z listą obserwacyjną. Skarżący Edward Bridges zaskarżył jego użycie w dniach 21 grudnia 2017 r. i 27 marca 2018 r. oraz na bieżąco.", "skutki": "Court of Appeal uwzględnił apelację w zakresie podstaw 1, 3 i 5. Orzekł deklarację, że użycie systemu nie było zgodne z prawem w rozumieniu art. 8 ust. 2 Konwencji, bo ramy prawne dawały funkcjonariuszom zbyt dużą swobodę co do listy obserwacyjnej i miejsc użycia. Ocena skutków dla ochrony danych nie spełniała wymogów ustawy, a policja nie dopełniła ustawowego obowiązku równościowego.", "stanFaktow": "ustalenia sądu", "klasyk": true, "sprawy": [ { "nazwa": "R (Bridges) v Chief Constable of South Wales Police", "sygnatura": "[2020] EWCA Civ 1058", "url": "https://www.judiciary.uk/wp-content/uploads/2020/08/R-Bridges-v-CC-South-Wales-ors-Judgment.pdf", "rejestrId": null } ], "zrodla": [ { "url": "https://www.judiciary.uk/wp-content/uploads/2020/08/R-Bridges-v-CC-South-Wales-ors-Judgment.pdf", "wydawca": "Courts and Tribunals Judiciary (Wielka Brytania)", "data": "2020-08-11", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "W Unii zdalną identyfikację biometryczną w czasie rzeczywistym w przestrzeni publicznej do celów ścigania przestępstw zakazuje art. 5 ust. 1 akapit pierwszy lit. h AI Act, stosowany od 2 lutego 2025 r., chyba że jest bezwzględnie konieczna do jednego z wymienionych celów. Co do zasady wymaga to uprzedniego zezwolenia organu wymiaru sprawiedliwości lub niezależnego organu administracyjnego (art. 5 ust. 3) i oceny skutków dla praw podstawowych (art. 5 ust. 2). Organ planujący pilotaż powinien wcześniej ustalić podstawę w prawie krajowym.", "przepisy": [ "art. 5 ust. 1 akapit pierwszy lit. h AI Act", "art. 5 ust. 2 AI Act", "art. 5 ust. 3 AI Act", "art. 113 akapit trzeci lit. a AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/bridges-south-wales-police-rozpoznawanie-twarzy/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 30, Rozpoznawanie twarzy przez policję Południowej Walii w sprawie Bridges, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/bridges-south-wales-police-rozpoznawanie-twarzy/" }, { "numer": 31, "slug": "tesla-autopilot-wyrok-benavides-key-largo", "id": "R2-09", "tytul": "Wyrok przeciw Tesli po śmiertelnym wypadku z Autopilotem w Key Largo", "tytulKrotki": "Wyrok przeciw Tesli po wypadku z Autopilotem w Key Largo", "data": "2019-04", "dataUjawnienia": "2025-08-01", "rok": "2019", "kraj": "Stany Zjednoczone", "tematy": [ "pojazdy" ], "podmioty": [ "Tesla" ], "coSieStalo": "Według CarComplaints.com w kwietniu 2019 r. kierowca Tesli Model S wjechał z nadmierną prędkością na skrzyżowanie w Key Largo i uderzył w zaparkowany samochód, który potrącił dwie osoby stojące obok. Jedna z nich zginęła, a druga została ciężko ranna. Według Reutersa był to Model S wyposażony w Autopilot.", "skutki": "Ława przysięgłych w Miami uznała Teslę za odpowiedzialną w 33 procentach i zasądziła łącznie ok. 243 mln USD, w tym 200 mln USD odszkodowania karnego. Tesla zapowiedziała apelację, twierdząc, że za wypadek w całości odpowiadał kierowca, który wcześniej zawarł ugodę z powodami i nie był pozwanym. Sędzia odmówiła nowego procesu.", "stanFaktow": "ustalenia sądu", "klasyk": true, "sprawy": [ { "nazwa": "Benavides przeciwko Tesla, wyrok ławy przysięgłych z 1 sierpnia 2025 r. (S.D. Fla.)", "sygnatura": null, "url": "https://www.carcomplaints.com/news/2025/miami-tesla-autopilot-trial-jury-verdict.shtml", "rejestrId": null } ], "zrodla": [ { "url": "https://www.carcomplaints.com/news/2025/miami-tesla-autopilot-trial-jury-verdict.shtml", "wydawca": "CarComplaints.com", "data": "2025-08-01", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.carcomplaints.com/news/2026/benavides-v-tesla-judge-upholds-243-million-jury-verdict.shtml", "wydawca": "CarComplaints.com", "data": "2026-02-22", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://finance.yahoo.com/news/tesla-ordered-florida-jury-pay-192910068.html", "wydawca": "Yahoo Finance", "data": "2025-08", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "W Unii dyrektywa (UE) 2024/2853 każe zapewnić poszkodowanemu prawo do odszkodowania za szkodę spowodowaną produktem wadliwym (art. 5 ust. 1), także za śmierć i inne szkody na osobie (art. 6 ust. 1 lit. a). Stosuje się ją do produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1). Przy ocenie wadliwości uwzględnia się dające się racjonalnie przewidzieć zastosowanie produktu (art. 7 ust. 2 lit. b), więc producent systemu wspomagania jazdy powinien je uwzględniać.", "przepisy": [ "art. 5 ust. 1 dyrektywy (UE) 2024/2853", "art. 6 ust. 1 lit. a dyrektywy (UE) 2024/2853", "art. 2 ust. 1 dyrektywy (UE) 2024/2853", "art. 7 ust. 2 lit. b dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/tesla-autopilot-wyrok-benavides-key-largo/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 31, Wyrok przeciw Tesli po śmiertelnym wypadku z Autopilotem w Key Largo, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/tesla-autopilot-wyrok-benavides-key-largo/" }, { "numer": 32, "slug": "syri-wyrok-sadu-w-hadze", "id": "R3-11", "tytul": "Wyrok Sądu Okręgowego w Hadze o systemie wykrywania nadużyć SyRI", "tytulKrotki": "Wyrok sądu w Hadze o systemie SyRI", "data": "2020-02-05", "dataUjawnienia": "2020-02-05", "rok": "2020", "kraj": "Holandia", "tematy": [ "dyskryminacja" ], "podmioty": [ "Rechtbank Den Haag", "rząd Niderlandów", "system SyRI (Systeem Risico Indicatie)" ], "coSieStalo": "Według komunikatu sądu Sąd Okręgowy w Hadze wydał 5 lutego 2020 r. wyrok w sprawie systemu Systeem Risico Indicatie, którego rząd Niderlandów używał do wykrywania nadużyć, w tym w świadczeniach społecznych, zasiłkach i podatkach. Sąd orzekł, że przepisy regulujące stosowanie SyRI naruszają prawo wyższego rzędu.", "skutki": "Przepisy regulujące SyRI uznano za naruszające Europejską Konwencję Praw Człowieka.", "stanFaktow": "ustalenia sądu", "klasyk": true, "sprawy": [ { "nazwa": "Wyrok Sądu Okręgowego w Hadze z 5 lutego 2020 r.", "sygnatura": "C-09-550982-HA ZA 18-388", "url": "https://data.rechtspraak.nl/uitspraken/content?id=ECLI:NL:RBDHA:2020:1878", "rejestrId": "syri-den-haag" } ], "zrodla": [ { "url": "https://data.rechtspraak.nl/uitspraken/content?id=ECLI:NL:RBDHA:2020:1878", "wydawca": "Rechtbank Den Haag (Rechtspraak.nl, wersja angielska)", "data": "2020-02-05", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Gdyby system jak SyRI służył w Unii organowi publicznemu do oceny kwalifikowalności do podstawowych świadczeń i usług publicznych, byłby, z zastrzeżeniem art. 6 ust. 3, systemem wysokiego ryzyka (zał. III pkt 5 lit. a AI Act), z obowiązkami od 2 grudnia 2027 r. Decyzja oparta wyłącznie na zautomatyzowanym przetwarzaniu, która wywoływałaby skutki prawne lub w podobny sposób istotnie wpływała na osobę, podlegałaby art. 22 ust. 1 RODO, z zastrzeżeniem art. 22 ust. 2. Urząd powinien przed wdrożeniem sprawdzić podstawę prawną.", "przepisy": [ "załącznik III pkt 5 lit. a AI Act", "art. 113 akapit trzeci lit. c ppkt i AI Act", "art. 22 ust. 1 RODO", "art. 22 ust. 2 RODO", "art. 6 ust. 3 AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/syri-wyrok-sadu-w-hadze/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 32, Wyrok Sądu Okręgowego w Hadze o systemie wykrywania nadużyć SyRI, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/syri-wyrok-sadu-w-hadze/" }, { "numer": 33, "slug": "itutorgroup-automatyczne-odrzucanie-kandydatow", "id": "R3-04", "tytul": "Pozew EEOC o automatyczne odrzucanie starszych kandydatów przez iTutorGroup", "tytulKrotki": "Pozew EEOC o odrzucanie starszych kandydatów iTutorGroup", "data": "2023", "dataUjawnienia": "2023-09-11", "rok": "2023", "kraj": "Stany Zjednoczone", "tematy": [ "dyskryminacja" ], "podmioty": [ "iTutorGroup, Inc.", "Shanghai Ping’An Intelligent Education Technology Co., Ltd.", "Tutor Group Limited", "U.S. Equal Employment Opportunity Commission" ], "coSieStalo": "Według pozwu EEOC, opisanego w jej komunikacie, spółki iTutorGroup zaprogramowały oprogramowanie do rekrutacji korepetytorów tak, aby automatycznie odrzucało kandydatki w wieku 55 lat lub starsze i kandydatów w wieku 60 lat lub starszych. EEOC podała, że odrzucono ponad 200 kwalifikowanych kandydatów z USA z powodu wieku. Sprawa toczyła się jako EEOC v. iTutorGroup, Inc., et al.", "skutki": "Według komunikatu EEOC z 2023 r. spółki zapłacą 365 000 dolarów i zapewnią inne środki naprawcze w ugodzie kończącej pozew EEOC.", "stanFaktow": "sporne", "klasyk": true, "sprawy": [ { "nazwa": "EEOC v. iTutorGroup, Inc., et al.", "sygnatura": "1:22-cv-02565", "url": "https://www.eeoc.gov/newsroom/itutorgroup-pay-365000-settle-eeoc-discriminatory-hiring-suit", "rejestrId": null } ], "zrodla": [ { "url": "https://www.eeoc.gov/newsroom/itutorgroup-pay-365000-settle-eeoc-discriminatory-hiring-suit", "wydawca": "U.S. Equal Employment Opportunity Commission", "data": "2023-09-11", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "W Unii systemy AI przeznaczone do analizowania i filtrowania podań o pracę oraz oceny kandydatów są, z zastrzeżeniem art. 6 ust. 3, systemami wysokiego ryzyka (zał. III pkt 4 lit. a AI Act), z obowiązkami od 2 grudnia 2027 r. Decyzja o odrzuceniu kandydata oparta wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne lub w podobny sposób istotnie wpływa na osobę, może podlegać art. 22 ust. 1 RODO, z zastrzeżeniem art. 22 ust. 2. Zamawiający powinien sprawdzić zaprogramowane kryteria odrzucenia.", "przepisy": [ "zał. III pkt 4 lit. a AI Act", "art. 113 akapit trzeci lit. c AI Act", "art. 22 ust. 1 RODO", "art. 22 ust. 2 RODO", "art. 6 ust. 3 AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/itutorgroup-automatyczne-odrzucanie-kandydatow/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 33, Pozew EEOC o automatyczne odrzucanie starszych kandydatów przez iTutorGroup, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/itutorgroup-automatyczne-odrzucanie-kandydatow/" }, { "numer": 34, "slug": "mobley-przeciwko-workday", "id": "R3-08", "tytul": "Sprawa Mobley przeciwko Workday o dyskryminację w selekcji kandydatów", "tytulKrotki": "Mobley przeciwko Workday o dyskryminację w selekcji", "data": "2023", "dataUjawnienia": "2024-01-19", "rok": "2023", "kraj": "Stany Zjednoczone", "tematy": [ "dyskryminacja" ], "podmioty": [ "Workday, Inc.", "Derek Mobley" ], "coSieStalo": "Według postanowienia z 19 stycznia 2024 r. Derek Mobley twierdzi, że narzędzia selekcji kandydatów Workday dyskryminowały go i innych kandydatów ze względu na rasę, wiek i niepełnosprawność. Twierdzi też, że złożył od 80 do 100 aplikacji do firm używających tych narzędzi i nie otrzymał żadnej oferty. Sąd uwzględnił wniosek Workday o oddalenie skargi w postaci wówczas złożonej i wyznaczył termin na jej poprawienie.", "skutki": "Według zawiadomienia z 27 maja 2026 r. rozprawa w sprawie wniosku Workday o oddalenie była wyznaczona na 15 czerwca 2026 r. i ograniczona do wstępnej opinii sądu, że ustawa FEHA ma zastosowanie do zarzucanego dyskryminującego postępowania.", "stanFaktow": "sporne", "klasyk": true, "sprawy": [ { "nazwa": "Mobley v. Workday, Inc., postanowienie z 19 stycznia 2024 r. (dok. 45)", "sygnatura": "3:23-cv-00770-RFL", "url": "https://storage.courtlistener.com/recap/gov.uscourts.cand.408645/gov.uscourts.cand.408645.45.0.pdf", "rejestrId": null }, { "nazwa": "Mobley v. Workday, Inc., zawiadomienie o wstępnej opinii z 27 maja 2026 r. (dok. 338, dotyczy dok. 301)", "sygnatura": "3:23-cv-00770-RFL", "url": "https://www.courthousenews.com/wp-content/uploads/2026/06/mobley-v-workday-tentative-opinion.pdf", "rejestrId": null } ], "zrodla": [ { "url": "https://storage.courtlistener.com/recap/gov.uscourts.cand.408645/gov.uscourts.cand.408645.45.0.pdf", "wydawca": "United States District Court, Northern District of California (CourtListener RECAP)", "data": "2024-01-19", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.courthousenews.com/wp-content/uploads/2026/06/mobley-v-workday-tentative-opinion.pdf", "wydawca": "United States District Court, Northern District of California (kopia Courthouse News)", "data": "2026-06", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "W Unii pracodawca korzystający z cudzego systemu AI do selekcji kandydatów jest podmiotem stosującym (art. 3 pkt 4 AI Act). System do analizowania i filtrowania podań oraz oceny kandydatów jest w załączniku III pkt 4 lit. a systemem wysokiego ryzyka z obowiązkami od 2 grudnia 2027 r., z zastrzeżeniem art. 6 ust. 3. Podmiot stosujący taki system podejmuje środki zapewniające użycie systemu zgodnie z instrukcją obsługi (art. 26 ust. 1) i powierza nadzór człowieka osobom kompetentnym (art. 26 ust. 2).", "przepisy": [ "zał. III pkt 4 lit. a AI Act", "art. 113 akapit trzeci lit. c AI Act", "art. 26 ust. 1 AI Act", "art. 26 ust. 2 AI Act", "art. 3 pkt 4 AI Act", "art. 6 ust. 3 AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/mobley-przeciwko-workday/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 34, Sprawa Mobley przeciwko Workday o dyskryminację w selekcji kandydatów, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/mobley-przeciwko-workday/" }, { "numer": 35, "slug": "unitedhealth-nh-predict-odmowy-opieki", "id": "R2-11", "tytul": "Pozew przeciw UnitedHealth o odmowy opieki z użyciem algorytmu nH Predict", "tytulKrotki": "Pozew przeciw UnitedHealth o odmowy opieki z nH Predict", "data": "2023", "dataUjawnienia": "2025-02-13", "rok": "2023", "kraj": "Stany Zjednoczone", "tematy": [ "zdrowie", "dyskryminacja" ], "podmioty": [ "UnitedHealth Group, Inc.", "UnitedHealthcare, Inc.", "naviHealth, Inc.", "Estate of Gene B. Lokken" ], "coSieStalo": "Według postanowienia sądu powodowie, klienci planów Medicare Advantage, twierdzą, że odmowa pokrycia opieki po poważnej chorobie lub urazie na podstawie programu sztucznej inteligencji nH Predict była nierozsądna. Sąd opisał, że według pozwu odmowy skutkowały w niektórych przypadkach pogorszeniem stanu zdrowia i śmiercią. Pozwani zaprzeczają użyciu nH Predict.", "skutki": "Sąd federalny w Minnesocie 13 lutego 2025 r. oddalił większość roszczeń jako objętych wyłączeniem na podstawie ustawy Medicare, ale pozostawił do rozpoznania roszczenia z umowy i z dobrej wiary.", "stanFaktow": "sporne", "klasyk": true, "sprawy": [ { "nazwa": "Estate of Gene B. Lokken i in. przeciwko UnitedHealth Group, Inc. i in. (D. Minn.)", "sygnatura": "Civil No. 23-3514 (JRT/DJF)", "url": "https://litigationtracker.law.georgetown.edu/wp-content/uploads/2023/11/Lokken_2025.02.13_MEMORANDUM-OPINION-AND-ORDER.pdf", "rejestrId": null } ], "zrodla": [ { "url": "https://litigationtracker.law.georgetown.edu/wp-content/uploads/2023/11/Lokken_2025.02.13_MEMORANDUM-OPINION-AND-ORDER.pdf", "wydawca": "United States District Court, District of Minnesota (kopia Georgetown Litigation Tracker)", "data": "2025-02-13", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Gdyby decyzja o odmowie świadczenia zapadła w Unii wyłącznie w drodze zautomatyzowanego przetwarzania i wywoływała skutki prawne lub w podobny sposób istotnie wpływała na osobę, zastosowanie miałby art. 22 ust. 1 RODO, z zastrzeżeniem art. 22 ust. 2. W przypadkach z ust. 2 lit. a i c administrator zapewnia co najmniej prawo do interwencji ludzkiej, do wyrażenia stanowiska i do zakwestionowania decyzji (art. 22 ust. 3 RODO). Ubezpieczyciel powinien wskazać osobę, która przed odmową weryfikuje wynik algorytmu.", "przepisy": [ "art. 22 ust. 1 RODO", "art. 22 ust. 2 RODO", "art. 22 ust. 3 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/unitedhealth-nh-predict-odmowy-opieki/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 35, Pozew przeciw UnitedHealth o odmowy opieki z użyciem algorytmu nH Predict, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/unitedhealth-nh-predict-odmowy-opieki/" }, { "numer": 36, "slug": "chatgpt-blad-widocznosci-historii-i-danych-platniczych", "id": "R1-10", "tytul": "Błąd ChatGPT ujawniający tytuły cudzych rozmów i mogący ujawnić dane płatnicze", "tytulKrotki": "Błąd ChatGPT ujawniający tytuły cudzych rozmów", "data": "2023-03-20", "dataUjawnienia": "2023-03-24", "rok": "2023", "kraj": "nie podano", "tematy": [ "dane" ], "podmioty": [ "OpenAI" ], "coSieStalo": "Według wpisu OpenAI z 24 marca 2023 r. błąd w bibliotece open source sprawił, że część użytkowników widziała tytuły rozmów innego aktywnego użytkownika. Ten sam błąd mógł ujawnić dane płatnicze 1,2 procent subskrybentów ChatGPT Plus aktywnych w oknie dziewięciu godzin, w tym imię, nazwisko, adres e-mail, adres płatności, typ karty, cztery ostatnie cyfry i datę ważności. OpenAI podało, że pełne numery kart nie zostały ujawnione, a liczbę osób, których dane faktycznie ujawniono, oceniło jako skrajnie niską.", "skutki": "OpenAI wyłączyło ChatGPT, załatało błąd i przywróciło usługę wraz z historią rozmów, z wyjątkiem kilku godzin.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://openai.com/index/march-20-chatgpt-outage/", "wydawca": "OpenAI (kopia Internet Archive, strona oryginalna zwróciła błąd 403)", "data": "2023-03-24", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Gdyby takie zdarzenie dotyczyło administratora podlegającego RODO, zgłaszałby on naruszenie ochrony danych organowi nadzorczemu w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób (art. 33 ust. 1 RODO). Przy wysokim ryzyku zawiadamiałby też osoby, których dane dotyczą (art. 34 ust. 1 RODO). Usługa AI potrzebuje procedury, która pozwala w tym terminie ustalić, jakie dane zostały ujawnione.", "przepisy": [ "art. 33 ust. 1 RODO", "art. 34 ust. 1 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/chatgpt-blad-widocznosci-historii-i-danych-platniczych/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 36, Błąd ChatGPT ujawniający tytuły cudzych rozmów i mogący ujawnić dane płatnicze, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/chatgpt-blad-widocznosci-historii-i-danych-platniczych/" }, { "numer": 37, "slug": "garante-chatgpt-ograniczenie-przetwarzania-2023", "id": "R3-12", "tytul": "Tymczasowe ograniczenie przetwarzania danych przez ChatGPT we Włoszech", "tytulKrotki": "Tymczasowe ograniczenie ChatGPT we Włoszech", "data": "2023-03-30", "dataUjawnienia": "2023-03-30", "rok": "2023", "kraj": "Włochy", "tematy": [ "czatboty", "dane" ], "podmioty": [ "Garante per la protezione dei dati personali", "OpenAI L.L.C." ], "coSieStalo": "Według rozstrzygnięcia z 30 marca 2023 r. włoski organ ochrony danych zastosował wobec OpenAI L.L.C., amerykańskiej spółki rozwijającej i prowadzącej ChatGPT, tymczasowe ograniczenie przetwarzania danych osób znajdujących się we Włoszech. Organ wskazał brak informacji dla użytkowników i osób, których dane zebrano, brak podstawy prawnej zbierania danych do trenowania algorytmów, to, że informacje podawane przez ChatGPT nie zawsze odpowiadają stanowi faktycznemu, oraz brak weryfikacji wieku użytkowników.", "skutki": "Ograniczenie przetwarzania ze skutkiem natychmiastowym od odbioru rozstrzygnięcia.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [ { "nazwa": "Garante, rozstrzygnięcie z 30 marca 2023 r. (docweb 9870832)", "sygnatura": "Registro dei provvedimenti n. 112", "url": "https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9870832", "rejestrId": null }, { "nazwa": "Garante, decyzja nr 755 z 2 listopada 2024 r. (OpenAI), od której sprzeciw uwzględnił Tribunale di Roma wyrokiem nr 4153/2026, opublikowanym 18 marca 2026 r.", "sygnatura": "provvedimento nr 755", "url": "https://pawelkowalski.ai/rejestr/garante-openai-2024/", "rejestrId": "garante-openai-2024" } ], "zrodla": [ { "url": "https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9870832", "wydawca": "Garante per la protezione dei dati personali", "data": "2023-03-30", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "W Unii organ nadzorczy może wprowadzić czasowe lub całkowite ograniczenie przetwarzania, w tym zakaz przetwarzania (art. 58 ust. 2 lit. f RODO). Dane osobowe muszą być prawidłowe i w razie potrzeby uaktualniane (art. 5 ust. 1 lit. d RODO), a w usłudze społeczeństwa informacyjnego oferowanej bezpośrednio dziecku poniżej 16 lat zgoda na przetwarzanie danych wymaga co do zasady zgody rodzica (art. 8 ust. 1 RODO). Wdrażający czatbota w Polsce powinien ustalić, jak weryfikuje wiek i koryguje błędne informacje o osobach.", "przepisy": [ "art. 58 ust. 2 lit. f RODO", "art. 5 ust. 1 lit. d RODO", "art. 8 ust. 1 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/garante-chatgpt-ograniczenie-przetwarzania-2023/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 37, Tymczasowe ograniczenie przetwarzania danych przez ChatGPT we Włoszech, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/garante-chatgpt-ograniczenie-przetwarzania-2023/" }, { "numer": 38, "slug": "samsung-poufne-dane-w-chatgpt", "id": "R1-09", "tytul": "Przekazanie poufnych danych Samsunga do ChatGPT przez pracowników", "tytulKrotki": "Poufne dane Samsunga przekazane do ChatGPT", "data": "2023-04", "dataUjawnienia": "2023-04-06", "rok": "2023", "kraj": "Korea Południowa", "tematy": [ "dane" ], "podmioty": [ "Samsung Electronics", "OpenAI" ], "coSieStalo": "Według The Register z 6 kwietnia 2023 r., powołującego się na doniesienia koreańskich mediów, pracownicy Samsunga co najmniej trzy razy wkleili do ChatGPT poufne dane, w tym kod źródłowy programu do pobierania bazy danych półprzewodników. Do chwili publikacji Samsung nie odpowiedział The Register na prośbę o potwierdzenie. Według Forbes z 2 maja 2023 r., powołującego się na Bloomberga, Samsung zakazał pracownikom używania generatywnej AI po wycieku kodu źródłowego.", "skutki": "Według The Register Samsung miał wprowadzić środki awaryjne, w tym limit przesyłanych danych do 1024 bajtów na pytanie. Według Forbes firma wprowadziła zakaz używania narzędzi generatywnej AI.", "stanFaktow": "doniesienia mediów", "klasyk": true, "sprawy": [], "zrodla": [ { "url": "https://www.theregister.com/2023/04/06/samsung_reportedly_leaked_its_own/", "wydawca": "The Register", "data": "2023-04-06", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.forbes.com.au/news/innovation/samsung-bans-chatgpt-among-employees-after-sensitive-code-leak/", "wydawca": "Forbes Australia", "data": "2023-05-02", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "W Unii dostawcy i podmioty stosujące systemy AI podejmują środki wspierające kompetencje w zakresie AI wśród personelu (art. 4 ust. 1 AI Act w brzmieniu nadanym rozporządzeniem (UE) 2026/1744). Gdyby do czatbota wklejono dane osobowe, administrator musiałby zapewnić stopień bezpieczeństwa odpowiadający ryzyku (art. 32 ust. 1 RODO). Regulamin korzystania z AI w firmie lub kancelarii powinien wymieniać informacje, których nie wolno wpisywać do publicznych narzędzi.", "przepisy": [ "art. 4 ust. 1 AI Act", "art. 113 akapit trzeci lit. a AI Act", "art. 32 ust. 1 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/samsung-poufne-dane-w-chatgpt/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 38, Przekazanie poufnych danych Samsunga do ChatGPT przez pracowników, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/samsung-poufne-dane-w-chatgpt/" }, { "numer": 39, "slug": "almendralejo-deepfake-nagich-zdjec-uczennic", "id": "R2-04", "tytul": "Fałszywe nagie obrazy uczennic z Almendralejo wygenerowane aplikacją AI", "tytulKrotki": "Fałszywe nagie obrazy uczennic z Almendralejo", "data": "2023-09", "dataUjawnienia": "2024-07-10", "rok": "2023", "kraj": "Hiszpania", "tematy": [ "deepfake" ], "podmioty": [ "sąd dla nieletnich w Badajoz", "uczniowie i uczennice z Almendralejo" ], "coSieStalo": "Według Scottish Legal News policja wszczęła dochodzenie po tym, jak rodzice z Almendralejo zgłosili fałszywe, nieprzyzwoite obrazy córek rozsyłane w grupach WhatsApp. Sąd dla nieletnich w Badajoz uznał, że nieletni użyli aplikacji sztucznej inteligencji do nałożenia twarzy dziewcząt z mediów społecznościowych na nagie ciała.", "skutki": "Według Scottish Legal News sąd skazał 15 uczniów na rok kuratorskiego nadzoru, uznając ich winnymi 20 przestępstw wytwarzania materiałów przedstawiających wykorzystywanie dzieci i 20 przestępstw przeciwko integralności moralnej ofiar.", "stanFaktow": "doniesienia mediów", "klasyk": true, "sprawy": [], "zrodla": [ { "url": "https://www.scottishlegal.com/articles/spain-court-punishes-schoolboys-for-spreading-ai-deepfakes-of-girls", "wydawca": "Scottish Legal News", "data": "2024-07-10", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.euronews.com/next/2023/09/24/spanish-teens-received-deepfake-ai-nudes-of-themselves-but-is-it-a-crime", "wydawca": "Euronews", "data": "2023-09-24", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Gdyby obrazy były treściami pornograficznymi przedstawiającymi wytworzony albo przetworzony wizerunek małoletniego uczestniczącego w czynności seksualnej, ich wytwarzanie i rozpowszechnianie przez sprawcę, który ukończył 17 lat (art. 10 § 1 k.k.), podlegałoby w Polsce art. 202 § 4b k.k. W Unii od 2 grudnia 2026 r. art. 5 ust. 1 lit. ba AI Act zakazuje wykorzystywania systemu AI do generowania realistycznych obrazów intymnych części ciała lub czynności jednoznacznie seksualnych możliwej do zidentyfikowania osoby bez jej zgody. Szkoła powinna mieć procedurę reagowania.", "przepisy": [ "art. 202 § 4b k.k.", "art. 5 ust. 1 akapit pierwszy lit. ba AI Act", "art. 113 akapit trzeci lit. a AI Act", "art. 10 § 1 k.k." ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/almendralejo-deepfake-nagich-zdjec-uczennic/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 39, Fałszywe nagie obrazy uczennic z Almendralejo wygenerowane aplikacją AI, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/almendralejo-deepfake-nagich-zdjec-uczennic/" }, { "numer": 40, "slug": "cruise-robotaksowka-wleczenie-pieszej-san-francisco", "id": "R2-08", "tytul": "Wleczenie pieszej przez robotaksówkę Cruise i fałszywy raport dla NHTSA", "tytulKrotki": "Cruise, wleczenie pieszej i fałszywy raport dla NHTSA", "data": "2023-10", "dataUjawnienia": "2024-11-14", "rok": "2023", "kraj": "Stany Zjednoczone", "tematy": [ "pojazdy" ], "podmioty": [ "Cruise LLC", "National Highway Traffic Safety Administration", "U.S. Attorney's Office, Northern District of California", "California Public Utilities Commission" ], "coSieStalo": "Według komunikatu prokuratury robotaksówka Cruise najechała na pieszą i wlokła ją ponad 20 stóp. Według TechCrunch pieszą wcześniej odrzucił na tor ruchu pojazd prowadzony przez człowieka. Cruise złożył w NHTSA raport, który pominął ruch wtórny i wleczenie.", "skutki": "Cruise zawarł umowę o odroczeniu ścigania i zobowiązał się zapłacić 500 tys. USD grzywny karnej. Według TechCrunch zgodził się też zapłacić 112,5 tys. USD CPUC, a NHTSA nałożyła na niego 1,5 mln USD kary.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [ { "nazwa": "U.S. Attorney's Office N.D. Cal., deferred prosecution agreement z Cruise LLC", "sygnatura": null, "url": "https://www.justice.gov/usao-ndca/pr/cruise-admits-submitting-false-report-influence-federal-investigation-and-agrees-pay", "rejestrId": null } ], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://www.justice.gov/usao-ndca/pr/cruise-admits-submitting-false-report-influence-federal-investigation-and-agrees-pay", "wydawca": "U.S. Attorney's Office, Northern District of California (kopia Internet Archive)", "data": "2024-11-14", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://techcrunch.com/2024/11/15/gms-cruise-to-pay-500000-fine-to-doj-admits-submitting-false-report", "wydawca": "TechCrunch", "data": "2024-11-15", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "W Unii oprogramowanie jest produktem w rozumieniu dyrektywy (UE) 2024/2853 (art. 4 pkt 1). Dyrektywa dotyczy produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1), a termin wdrożenia upływa tego dnia (art. 22 ust. 1). Państwa członkowskie mają zapewnić, aby na wniosek powoda, który przedstawił fakty i dowody wystarczające do wykazania wiarygodności roszczenia, pozwany ujawnił odpowiednie dowody, którymi dysponuje (art. 9 ust. 1). Operator pojazdów autonomicznych powinien przechowywać pełne zapisy zdarzeń.", "przepisy": [ "art. 4 pkt 1 dyrektywy (UE) 2024/2853", "art. 2 ust. 1 dyrektywy (UE) 2024/2853", "art. 22 ust. 1 dyrektywy (UE) 2024/2853", "art. 9 ust. 1 dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/cruise-robotaksowka-wleczenie-pieszej-san-francisco/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 40, Wleczenie pieszej przez robotaksówkę Cruise i fałszywy raport dla NHTSA, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/cruise-robotaksowka-wleczenie-pieszej-san-francisco/" }, { "numer": 41, "slug": "new-york-times-v-microsoft-openai", "id": "R1-12", "tytul": "Pozew The New York Times przeciw Microsoft i OpenAI o naruszenie praw autorskich", "tytulKrotki": "Pozew The New York Times przeciw Microsoft i OpenAI", "data": "2023-12-27", "dataUjawnienia": "2023-12-27", "rok": "2023", "kraj": "Stany Zjednoczone", "tematy": [ "prawa-autorskie" ], "podmioty": [ "The New York Times Company", "Microsoft Corporation", "OpenAI" ], "coSieStalo": "Według pozwu z 27 grudnia 2023 r. The New York Times Company twierdzi, że Microsoft i spółki OpenAI zbudowały modele językowe przez kopiowanie milionów jej artykułów. Powód domaga się odszkodowań, które określa jako miliardy dolarów, w sądzie federalnym w Nowym Jorku.", "skutki": null, "stanFaktow": "sporne", "klasyk": true, "sprawy": [ { "nazwa": "The New York Times Company v. Microsoft Corporation i in.", "sygnatura": "1:23-cv-11195 (S.D.N.Y.)", "url": "https://nytco-assets.nytimes.com/2023/12/NYT_Complaint_Dec2023.pdf", "rejestrId": null } ], "zrodla": [ { "url": "https://nytco-assets.nytimes.com/2023/12/NYT_Complaint_Dec2023.pdf", "wydawca": "The New York Times Company (pozew)", "data": "2023-12-27", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "W Unii wyjątek dla eksploracji tekstów i danych działa pod warunkiem, że uprawniony nie zastrzegł wyraźnie korzystania z utworów w odpowiedni sposób (art. 4 ust. 3 dyrektywy (UE) 2019/790). Dostawca modelu ogólnego przeznaczenia wprowadza politykę uwzględniającą takie zastrzeżenia i publikuje streszczenie treści użytych do trenowania (art. 53 ust. 1 lit. c i d AI Act), od 2 sierpnia 2025 r., a dla modeli wprowadzonych wcześniej najpóźniej od 2 sierpnia 2027 r. (art. 111 ust. 3). Wydawca powinien zastrzegać prawa.", "przepisy": [ "art. 4 ust. 3 dyrektywy (UE) 2019/790", "art. 53 ust. 1 lit. c AI Act", "art. 53 ust. 1 lit. d AI Act", "art. 111 ust. 3 AI Act", "art. 113 akapit trzeci lit. b AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/new-york-times-v-microsoft-openai/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 41, Pozew The New York Times przeciw Microsoft i OpenAI o naruszenie praw autorskich, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/new-york-times-v-microsoft-openai/" }, { "numer": 42, "slug": "arup-oszustwo-wideokonferencja-deepfake", "id": "R2-03", "tytul": "Oszustwo na wideokonferencję z deepfake'ami przeciw spółce Arup w Hongkongu", "tytulKrotki": "Oszustwo deepfake na wideokonferencji spółki Arup", "data": "2024-01", "dataUjawnienia": "2024-05-20", "rok": "2024", "kraj": "Chiny (Hongkong)", "tematy": [ "deepfake" ], "podmioty": [ "Arup", "Policja Hongkongu" ], "coSieStalo": "Według relacji Building Design pracownik Arup został nakłoniony do przelania 200 mln HK$ (20 mln funtów) w wyniku wideokonferencji z wygenerowanymi przez sztuczną inteligencję obrazami i głosami. Arup potwierdził, że w styczniu 2024 r. zawiadomił policję o oszustwie w Hongkongu i że użyto fałszywych głosów i obrazów.", "skutki": "Arup podał, że jego stabilność finansowa i działalność nie zostały dotknięte, a żaden z systemów wewnętrznych nie został naruszony.", "stanFaktow": "doniesienia mediów", "klasyk": true, "sprawy": [], "zrodla": [ { "url": "https://www.bdonline.co.uk/NEWS/ARUP-NAMED-AS-VICTIM-OF-20M-DEEPFAKE-SCAM/5129484.ARTICLE", "wydawca": "Building Design", "data": "2024-05-20", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.insurancebusinessmag.com/uk/news/cyber/deepfake-video-conference-sees-criminals-escape-with-us25-million-489790.aspx", "wydawca": "Insurance Business", "data": "2024-05", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Gdyby podobne zdarzenie miało miejsce w Polsce, sprawcę można by oceniać z art. 286 § 1 k.k., bo doprowadza on pracownika do niekorzystnego rozporządzenia mieniem przez wprowadzenie w błąd. Art. 50 ust. 4 AI Act, stosowany od 2 sierpnia 2026 r., nakłada na podmiot stosujący system generujący deepfake obowiązek ujawnienia sztucznego pochodzenia treści i nie zastępuje weryfikacji po stronie spółki. Polecenie przelewu przekazane w wideokonferencji warto potwierdzać odrębnym, wcześniej ustalonym kanałem.", "przepisy": [ "art. 286 § 1 k.k.", "art. 50 ust. 4 AI Act", "art. 113 akapit drugi AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/arup-oszustwo-wideokonferencja-deepfake/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 42, Oszustwo na wideokonferencję z deepfake'ami przeciw spółce Arup w Hongkongu, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/arup-oszustwo-wideokonferencja-deepfake/" }, { "numer": 43, "slug": "deepfake-glosu-bidena-robocalle-new-hampshire", "id": "R2-02", "tytul": "Robocalle z klonowanym głosem Bidena przed prawyborami w New Hampshire", "tytulKrotki": "Robocalle z klonowanym głosem Bidena w New Hampshire", "data": "2024-01-21", "dataUjawnienia": "2024-05-23", "rok": "2024", "kraj": "Stany Zjednoczone", "tematy": [ "deepfake" ], "podmioty": [ "Federal Communications Commission", "Steve Kramer", "Lingo Telecom", "Voice Broadcasting Corp.", "Life Corp." ], "coSieStalo": "Według komunikatu FCC dwa dni przed prawyborami prezydenckimi w New Hampshire robocalle z deepfake'iem głosu prezydenta Bidena namawiały wyborców, by nie głosowali w prawyborach. FCC przypisała organizację kampanii konsultantowi politycznemu Steve’owi Kramerowi. Według FCC połączenia przesyłał Lingo Telecom, błędnie oznaczając je najwyższym poziomem atestacji identyfikatora dzwoniącego, a wobec tej spółki FCC wszczęła odrębne postępowanie.", "skutki": "FCC zaproponowała 23 maja 2024 r. karę 6 mln USD, a według CyberScoop sfinalizowała ją 26 września 2024 r.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": true, "sprawy": [ { "nazwa": "FCC, proponowana kara wobec Steve’a Kramera za spoofing robocalli", "sygnatura": null, "url": "https://docs.fcc.gov/public/attachments/DOC-402762A1.pdf", "rejestrId": null } ], "zrodla": [ { "url": "https://docs.fcc.gov/public/attachments/DOC-402762A1.pdf", "wydawca": "Federal Communications Commission", "data": "2024-05-23", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://cyberscoop.com/fcc-fine-joe-biden-deepfake-new-hampshire-robocall-steve-kramer/", "wydawca": "CyberScoop", "data": "2024-09-26", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "W Unii podmiot stosujący system AI, który generuje lub manipuluje treściami audio stanowiącymi deepfake, ujawnia, że zostały sztucznie wygenerowane lub zmanipulowane (art. 50 ust. 4 AI Act). Przepis stosuje się od 2 sierpnia 2026 r. (art. 113 AI Act). Organizator kampanii telefonicznej z użyciem głosu syntetycznego powinien z góry ustalić, kto i w jaki sposób ujawnia odbiorcom sztuczne pochodzenie nagrania.", "przepisy": [ "art. 50 ust. 4 AI Act", "art. 113 AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/deepfake-glosu-bidena-robocalle-new-hampshire/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 43, Robocalle z klonowanym głosem Bidena przed prawyborami w New Hampshire, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/deepfake-glosu-bidena-robocalle-new-hampshire/" }, { "numer": 44, "slug": "clearview-ai-kara-holenderskiego-organu", "id": "R2-07", "tytul": "Kara 30,5 mln euro dla Clearview AI za bazę zdjęć twarzy pobranych z internetu", "tytulKrotki": "Kara 30,5 mln euro dla Clearview AI za bazę twarzy", "data": "2024-09-03", "dataUjawnienia": "2024-09-03", "rok": "2024", "kraj": "Holandia", "tematy": [ "twarze", "dane" ], "podmioty": [ "Clearview AI", "Autoriteit Persoonsgegevens" ], "coSieStalo": "Według komunikatu holenderskiego organu ochrony danych, przywołanego przez NJB, Clearview AI nielegalnie założył bazę miliardów zdjęć twarzy, w której są także zdjęcia Holendrów. Według TechCrunch baza liczy 30 miliardów obrazów zebranych z internetu bez zgody osób na nich widocznych.", "skutki": "Według NJB Autoriteit Persoonsgegevens nałożył karę 30,5 mln euro oraz okresowe kary pieniężne do ponad 5 mln euro. Według TechCrunch te kary, do 5,1 mln euro, mają być nakładane za dalsze niestosowanie się do decyzji, a dyrektor prawny Clearview AI uznał decyzję za bezprawną i niewykonalną. Według TechCrunch organ podał, że spółka nie może się odwołać, bo nie wniosła sprzeciwu.", "stanFaktow": "doniesienia mediów", "klasyk": true, "sprawy": [ { "nazwa": "Decyzja Autoriteit Persoonsgegevens wobec Clearview AI, ogłoszona 3 września 2024 r.", "sygnatura": null, "url": "https://www.autoriteitpersoonsgegevens.nl/en/current/dutch-dpa-imposes-a-fine-on-clearview-because-of-illegal-data-collection-for-facial-recognition", "rejestrId": null }, { "nazwa": "Clearview AI, odrębne postępowanie w Wielkiej Brytanii (odwołanie do Upper Tribunal, wyrok z 2025 r.)", "sygnatura": "[2025] UKUT 319 (AAC)", "url": "https://pawelkowalski.ai/rejestr/clearview-ukut-2025/", "rejestrId": "clearview-ukut-2025" } ], "zrodla": [ { "url": "https://www.njb.nl/nieuws/ruim-30-miljoen-boete-voor-gezichtsherkenningsbedrijf-vanwege-illegale-database-met-foto-s-gezichten/", "wydawca": "Nederlands Juristenblad (przywołuje komunikat AP)", "data": "2024-09-03", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://techcrunch.com/2024/09/03/clearview-ai-hit-with-its-largest-gdpr-fine-yet-as-dutch-regulator-considers-holding-execs-personally-liable", "wydawca": "TechCrunch", "data": "2024-09-03", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Baza zdjęć twarzy z kodami biometrycznymi dotyka zakazu przetwarzania danych biometrycznych w celu jednoznacznego zidentyfikowania osoby (art. 9 ust. 1 RODO). Naruszenie art. 9 RODO grozi karą do 20 mln euro, a w przypadku przedsiębiorstwa do 4% rocznego światowego obrotu, przy czym stosuje się kwotę wyższą (art. 83 ust. 5 RODO). Od 2 lutego 2025 r. art. 5 ust. 1 lit. e AI Act zakazuje systemów AI tworzących takie bazy przez nieukierunkowane pozyskiwanie wizerunków twarzy. Zamawiający powinien ustalić pochodzenie bazy.", "przepisy": [ "art. 9 ust. 1 RODO", "art. 83 ust. 5 RODO", "art. 83 ust. 5 lit. a RODO", "art. 5 ust. 1 akapit pierwszy lit. e AI Act", "art. 113 akapit trzeci lit. a AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/clearview-ai-kara-holenderskiego-organu/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 44, Kara 30,5 mln euro dla Clearview AI za bazę zdjęć twarzy pobranych z internetu, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/clearview-ai-kara-holenderskiego-organu/" }, { "numer": 45, "slug": "deepseek-otwarta-baza-danych", "id": "R1-08", "tytul": "Publicznie dostępna baza danych DeepSeek z historią czatów według Wiz Research", "tytulKrotki": "Publicznie dostępna baza DeepSeek z historią czatów", "data": "2025-01", "dataUjawnienia": "2025-01-29", "rok": "2025", "kraj": "Chiny", "tematy": [ "dane" ], "podmioty": [ "DeepSeek", "Wiz Research" ], "coSieStalo": "Według raportu Wiz Research z 29 stycznia 2025 r. publicznie dostępna baza ClickHouse należąca do DeepSeek umożliwiała pełną kontrolę nad operacjami na bazie. Ekspozycja obejmowała ponad milion wierszy logów zawierających historię czatów, klucze tajne i dane o zapleczu systemu.", "skutki": "Według Wiz DeepSeek zabezpieczył dostęp po zgłoszeniu.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak", "wydawca": "Wiz Research", "data": "2025-01-29", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Dostawca usługi AI bez jednostki organizacyjnej w Unii podlega RODO, gdy oferuje usługi osobom przebywającym w Unii (art. 3 ust. 2 lit. a RODO). Gdyby ekspozycja objęła dane takich osób, administrator zgłaszałby naruszenie organowi nadzorczemu w miarę możliwości w ciągu 72 godzin, chyba że ryzyko dla osób byłoby mało prawdopodobne (art. 33 ust. 1 RODO). Firma korzystająca z zewnętrznego czatbota powinna uzgodnić z dostawcą zgłaszanie naruszeń, bo podmiot przetwarzający zgłasza je administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO).", "przepisy": [ "art. 3 ust. 2 lit. a RODO", "art. 33 ust. 1 RODO", "art. 33 ust. 2 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/deepseek-otwarta-baza-danych/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 45, Publicznie dostępna baza danych DeepSeek z historią czatów według Wiz Research, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/deepseek-otwarta-baza-danych/" }, { "numer": 46, "slug": "pozew-rodzicow-nastolatka-przeciwko-openai", "id": "R3-06", "tytul": "Pozew rodziców nastolatka przeciwko OpenAI po jego samobójstwie", "tytulKrotki": "Pozew rodziców nastolatka przeciwko OpenAI", "data": "2025-04", "dataUjawnienia": "2025-08-26", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "czatboty", "zdrowie" ], "podmioty": [ "OpenAI", "Sam Altman", "Matt i Maria Raine" ], "coSieStalo": "Według komunikatu kancelarii reprezentującej rodzinę rodzice 16-letniego chłopca wnieśli w sierpniu 2025 r. pozew do sądu stanowego w San Francisco przeciwko OpenAI i Samowi Altmanowi. Zarzucają, że ChatGPT zachęcał ich syna do samobójstwa i pomagał w planowaniu. Chłopiec zmarł w kwietniu 2025 r.", "skutki": null, "stanFaktow": "sporne", "klasyk": false, "sprawy": [ { "nazwa": "Raine v. OpenAI, Superior Court of California, County of San Francisco", "sygnatura": null, "url": "https://techjusticelaw.org/2025/08/30/from-homework-help-to-suicide-planning-family-sues-openai-and-samuel-altman-alleging-chatgpt-coached-teen-son-to-suicide", "rejestrId": null } ], "zrodla": [ { "url": "https://techjusticelaw.org/2025/08/30/from-homework-help-to-suicide-planning-family-sues-openai-and-samuel-altman-alleging-chatgpt-coached-teen-son-to-suicide", "wydawca": "Tech Justice Law (kancelaria pełnomocnika powodów)", "data": "2025-08-30", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "W Unii dyrektywa (UE) 2024/2853 obejmuje oprogramowanie (art. 4 pkt 1) i dotyczy produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1), a termin wdrożenia upływa tego dnia (art. 22 ust. 1). Dostawca systemu AI do bezpośredniej interakcji z osobami fizycznymi zapewnia, by były informowane o interakcji z AI, chyba że to oczywiste (art. 50 ust. 1 AI Act, od 2 sierpnia 2026 r.). Dostawca czatbota dostępnego dla małoletnich powinien udokumentować zabezpieczenia.", "przepisy": [ "art. 4 pkt 1 dyrektywy (UE) 2024/2853", "art. 2 ust. 1 dyrektywy (UE) 2024/2853", "art. 22 ust. 1 dyrektywy (UE) 2024/2853", "art. 50 ust. 1 AI Act", "art. 113 akapit drugi AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/pozew-rodzicow-nastolatka-przeciwko-openai/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 46, Pozew rodziców nastolatka przeciwko OpenAI po jego samobójstwie, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/pozew-rodzicow-nastolatka-przeciwko-openai/" }, { "numer": 47, "slug": "zoox-kolizja-las-vegas-odwolanie", "id": "R5-03", "tytul": "Kolizja robotaksówki Zoox w Las Vegas i odwołanie oprogramowania", "tytulKrotki": "Zoox, kolizja w Las Vegas i odwołanie oprogramowania", "data": "2025-04-08", "dataUjawnienia": "2025-05-06", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "pojazdy" ], "podmioty": [ "Zoox", "Amazon", "NHTSA" ], "coSieStalo": "Według zgłoszenia do NHTSA, opisanego przez CNBC, pusta robotaksówka Zoox zderzyła się 8 kwietnia 2025 roku w Las Vegas z samochodem osobowym. Nie było obrażeń, a obie strony poniosły niewielkie szkody. Zoox zgłosił wadę systemu jazdy, który mógł błędnie przewidywać ruch innego pojazdu.", "skutki": "Zoox wstrzymał ruch pojazdów bez kierowcy na czas analizy. Ogłosił dobrowolne odwołanie oprogramowania dla 270 pojazdów i wznowił działanie po aktualizacji.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.nbcnews.com/business/business-news/amazons-zoox-robotaxi-unit-issues-software-recall-recent-las-vegas-cra-rcna205168", "wydawca": "NBC News (CNBC)", "data": "2025-05-06", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://engadget.com/transportation/zoox-issues-software-recall-for-all-robotaxis-following-las-vegas-collision-195501061.html", "wydawca": "Engadget", "data": "2025-05-06", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "W Unii oprogramowanie jest produktem (art. 4 pkt 1 dyrektywy (UE) 2024/2853), a przy ocenie jego wadliwości uwzględnia się interwencje podmiotu gospodarczego dotyczące bezpieczeństwa produktów (art. 7 ust. 2 lit. g). Dyrektywę stosuje się do produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1). Producent pojazdu zautomatyzowanego powinien mieć procedurę, która po zdarzeniu drogowym prowadzi od analizy przyczyn do aktualizacji oprogramowania i jej dokumentacji.", "przepisy": [ "art. 4 pkt 1 dyrektywy (UE) 2024/2853", "art. 7 ust. 2 lit. g dyrektywy (UE) 2024/2853", "art. 2 ust. 1 dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/zoox-kolizja-las-vegas-odwolanie/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 47, Kolizja robotaksówki Zoox w Las Vegas i odwołanie oprogramowania, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/zoox-kolizja-las-vegas-odwolanie/" }, { "numer": 48, "slug": "garcia-przeciwko-character-technologies", "id": "R3-07", "tytul": "Sprawa Garcia przeciwko Character Technologies o szkody użytkownika aplikacji", "tytulKrotki": "Sprawa Garcia przeciwko Character Technologies", "data": "2025-05-20", "dataUjawnienia": "2025-05-20", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "czatboty" ], "podmioty": [ "Character Technologies, Inc.", "Google LLC", "Alphabet Inc." ], "coSieStalo": "Według postanowienia Sądu Okręgowego dla Środkowego Dystryktu Florydy z 20 maja 2025 r., opartego na tym etapie na twierdzeniach pozwu, 14-letni użytkownik zaczął korzystać z aplikacji Character A.I. 14 kwietnia 2023 r. Megan Garcia jako przedstawicielka majątku użytkownika pozwała spółkę, jej założycieli oraz Google i Alphabet, a na rozprawie zgłosiła zamiar cofnięcia pozwu wobec Alphabet. Powódka zarzuca m.in. rozmowy o charakterze seksualnym, wypowiedzi postaci o samobójstwie i brak potwierdzania wieku użytkowników.", "skutki": "Sąd nie przyjął na tym etapie, że wynik działania modelu jest wypowiedzią chronioną. Pozwani mieli złożyć odpowiedzi na pozew do 10 czerwca 2025 r.", "stanFaktow": "sporne", "klasyk": true, "sprawy": [ { "nazwa": "Garcia v. Character Technologies, Inc. et al., postanowienie z 20 maja 2025 r. (dok. 115)", "sygnatura": "6:24-cv-1903-ACC-UAM", "url": "https://storage.courtlistener.com/recap/gov.uscourts.flmd.433581/gov.uscourts.flmd.433581.115.0.pdf", "rejestrId": null } ], "zrodla": [ { "url": "https://storage.courtlistener.com/recap/gov.uscourts.flmd.433581/gov.uscourts.flmd.433581.115.0.pdf", "wydawca": "United States District Court, Middle District of Florida (CourtListener RECAP)", "data": "2025-05-20", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "W Unii art. 5 ust. 1 lit. b AI Act zakazuje wykorzystywania systemem AI słabości osoby ze względu na wiek, gdy celem lub skutkiem jest znacząca zmiana jej zachowania, która wyrządza lub może z uzasadnionym prawdopodobieństwem wyrządzić poważną szkodę (od 2 lutego 2025 r.). Dyrektywa (UE) 2024/2853 każe przy ocenie wadliwości uwzględnić szczególne potrzeby grupy użytkowników, dla których produkt jest przeznaczony (art. 7 ust. 2 lit. h). Dostawca aplikacji dostępnej dla małoletnich powinien udokumentować, jak uwzględnia wiek użytkowników.", "przepisy": [ "art. 5 ust. 1 lit. b AI Act", "art. 113 akapit trzeci lit. a AI Act", "art. 7 ust. 2 lit. h dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/garcia-przeciwko-character-technologies/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 48, Sprawa Garcia przeciwko Character Technologies o szkody użytkownika aplikacji, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/garcia-przeciwko-character-technologies/" }, { "numer": 49, "slug": "amazon-q-zlosliwy-kod-w-rozszerzeniu", "id": "R1-07", "tytul": "Złośliwy kod w rozszerzeniu Amazon Q Developer dla Visual Studio Code", "tytulKrotki": "Złośliwy kod w rozszerzeniu Amazon Q Developer", "data": "2025-07", "dataUjawnienia": "2025-07-23", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "agenci" ], "podmioty": [ "Amazon Web Services", "Amazon Q Developer" ], "coSieStalo": "Według biuletynu AWS z 23 lipca 2025 r. w rozszerzeniu Amazon Q Developer dla Visual Studio Code, w wersji 1.84.0, znalazł się złośliwy kod dodany przez napastnika, który wykorzystał token GitHub o niewłaściwie dobranym zakresie uprawnień w konfiguracji CodeBuild. AWS ustalił, że kod został rozpowszechniony z rozszerzeniem, lecz nie wykonał się z powodu błędu składni.", "skutki": "AWS unieważnił dane uwierzytelniające, usunął kod, wydał wersję 1.85.0 i wycofał wersję 1.84.0 z kanałów dystrybucji.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://aws.amazon.com/security/security-bulletins/AWS-2025-015/", "wydawca": "Amazon Web Services", "data": "2025-07-23", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Dyrektywa (UE) 2024/2853 uznaje oprogramowanie za produkt (art. 4 pkt 1), a przy ocenie wadliwości uwzględnia wymogi cyberbezpieczeństwa istotne z punktu widzenia bezpieczeństwa produktu (art. 7 ust. 2 lit. f). Stosuje się ją do produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1), a termin wdrożenia upływa tego dnia (art. 22 ust. 1). Firma powinna prowadzić wykaz rozszerzeń używanych przez programistów i umieć szybko wycofać wadliwą wersję.", "przepisy": [ "art. 4 pkt 1 dyrektywy (UE) 2024/2853", "art. 7 ust. 2 lit. f dyrektywy (UE) 2024/2853", "art. 2 ust. 1 dyrektywy (UE) 2024/2853", "art. 22 ust. 1 dyrektywy (UE) 2024/2853" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/amazon-q-zlosliwy-kod-w-rozszerzeniu/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 49, Złośliwy kod w rozszerzeniu Amazon Q Developer dla Visual Studio Code, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/amazon-q-zlosliwy-kod-w-rozszerzeniu/" }, { "numer": 50, "slug": "lipps-fargo-rozpoznawanie-twarzy-pozew", "id": "R4-07", "tytul": "Zatrzymanie Angeli Lipps po wskazaniu jej przez system rozpoznawania twarzy", "tytulKrotki": "Zatrzymanie Angeli Lipps i rozpoznawanie twarzy", "data": "2025-07", "dataUjawnienia": "2026-09-17", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "twarze" ], "podmioty": [ "Angela Lipps", "miasto Fargo", "Fargo Police Department", "policja West Fargo", "North Dakota State and Local Intelligence Center" ], "coSieStalo": "Według pozwu opisanego przez KVLY i Gray News oprogramowanie do rozpoznawania twarzy używane przez policję West Fargo i ośrodek wywiadowczy Dakoty Północnej wskazało Angelę Lipps z Tennessee jako możliwą osobę z serii oszustw bankowych. Lipps zatrzymano w Tennessee w lipcu 2025 r., a oskarżono ją o osiem przestępstw. Prokuratorzy umorzyli sprawę 24 grudnia 2025 r.", "skutki": "Lipps wniosła pozew federalny przeciwko miastu Fargo i detektywowi policji. Według nagłówka źródła pozew dotyczy kwoty 10 mln dolarów. Według relacji pozwani nie odpowiedzieli od razu na zarzuty.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [ { "nazwa": "Lipps przeciwko miastu Fargo i detektywowi policji Fargo, pozew federalny", "sygnatura": null, "url": "https://www.fox19.com/2026/09/17/woman-sues-city-detective-10-million-over-wrongful-arrest-tied-facial-recognition-error/", "rejestrId": null } ], "zrodla": [ { "url": "https://www.fox19.com/2026/09/17/woman-sues-city-detective-10-million-over-wrongful-arrest-tied-facial-recognition-error/", "wydawca": "KVLY / Gray News (FOX19)", "data": "2026-09-17", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.wcax.com/2026/09/17/woman-sues-city-detective-10-million-over-wrongful-arrest-tied-facial-recognition-error/", "wydawca": "KVLY / Gray News (WCAX)", "data": "2026-09-17", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Gdyby system rozpoznawania twarzy służył w Unii organom ścigania do identyfikacji osoby po zdarzeniu, byłby systemem zdalnej identyfikacji biometrycznej wysokiego ryzyka (zał. III pkt 1 lit. a AI Act), z obowiązkami od 2 grudnia 2027 r. Według wersji angielskiej art. 26 ust. 10 AI Act zakazuje decyzji organów ścigania o niepożądanych skutkach prawnych dla osoby wyłącznie na podstawie wyniku takiego systemu. Policja powinna przed zatrzymaniem niezależnie zweryfikować wskazanie systemu.", "przepisy": [ "załącznik III pkt 1 lit. a AI Act", "art. 113 akapit trzeci lit. c ppkt i AI Act", "art. 26 ust. 10 AI Act (wersja angielska)" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/lipps-fargo-rozpoznawanie-twarzy-pozew/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 50, Zatrzymanie Angeli Lipps po wskazaniu jej przez system rozpoznawania twarzy, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/lipps-fargo-rozpoznawanie-twarzy-pozew/" }, { "numer": 51, "slug": "claude-code-wymuszenie-danych", "id": "R1-04", "tytul": "Wymuszenia okupu za dane z użyciem Claude Code", "tytulKrotki": null, "data": "2025-08", "dataUjawnienia": "2025-08-27", "rok": "2025", "kraj": "Stany Zjednoczone", "tematy": [ "agenci", "dane" ], "podmioty": [ "Anthropic" ], "coSieStalo": "Według raportu Anthropic z 27 sierpnia 2025 r. przestępca użył Claude Code do kradzieży danych osobowych i wymuszeń wobec co najmniej 17 organizacji, w tym z ochrony zdrowia, służb ratunkowych oraz instytucji rządowych i religijnych. Zamiast szyfrować dane, groził ich publicznym ujawnieniem i żądał okupów, które czasem przekraczały 500 000 USD.", "skutki": "Według Anthropic działalność sprawcy została zakłócona.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.anthropic.com/news/detecting-countering-misuse-aug-2025", "wydawca": "Anthropic", "data": "2025-08-27", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Gdy atak prowadzi do kradzieży danych osobowych, administrator w Unii zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób (art. 33 ust. 1 RODO). Przy wysokim ryzyku zawiadamia też osoby, których dane dotyczą (art. 34 ust. 1 RODO). Placówka medyczna albo urząd powinien mieć procedurę, która pozwala podjąć decyzję o zgłoszeniu w tym terminie.", "przepisy": [ "art. 33 ust. 1 RODO", "art. 34 ust. 1 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/claude-code-wymuszenie-danych/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 51, Wymuszenia okupu za dane z użyciem Claude Code, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/claude-code-wymuszenie-danych/" }, { "numer": 52, "slug": "getty-images-v-stability-ai", "id": "R1-13", "tytul": "Wyrok High Court w sprawie Getty Images przeciwko Stability AI", "tytulKrotki": "Wyrok High Court w sprawie Getty Images i Stability AI", "data": "2025-11-04", "dataUjawnienia": "2025-11-04", "rok": "2025", "kraj": "Wielka Brytania", "tematy": [ "prawa-autorskie" ], "podmioty": [ "Getty Images", "Stability AI Ltd" ], "coSieStalo": "Według wyroku High Court z 4 listopada 2025 r. Getty Images dochodziło od Stability AI naruszeń praw autorskich i znaków towarowych w związku z modelem Stable Diffusion. Getty Images wycofało zarzut dotyczący trenowania modelu, przyznając brak dowodu, że trening odbył się w Wielkiej Brytanii. Sąd oddalił zarzut wtórnego naruszenia praw autorskich, uznając, że model niezawierający i nieodtwarzający utworów nie jest egzemplarzem naruszającym. Sąd uwzględnił w części roszczenia ze znaków towarowych co do znaków wodnych iStock i Getty Images, zaznaczając, że sprawa jest historyczna, a jego ustalenia z konieczności bardzo ograniczone.", "skutki": "Sąd nie uznał za uzasadnione przyznania dodatkowego odszkodowania. Kwestie następcze miały zostać rozpoznane na odrębnej rozprawie.", "stanFaktow": "ustalenia sądu", "klasyk": false, "sprawy": [ { "nazwa": "Getty Images (US) Inc. i in. v. Stability AI Ltd", "sygnatura": "[2025] EWHC 2863 (Ch)", "url": "https://www.judiciary.uk/wp-content/uploads/2025/11/Getty-Images-v-Stability-AI.pdf", "rejestrId": "getty-v-stability" } ], "zrodla": [ { "url": "https://www.judiciary.uk/wp-content/uploads/2025/11/Getty-Images-v-Stability-AI.pdf", "wydawca": "Courts and Tribunals Judiciary (Wielka Brytania)", "data": "2025-11-04", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "W Unii wyjątek dla eksploracji tekstów i danych działa, gdy uprawniony nie zastrzegł wyraźnie korzystania z utworów w odpowiedni sposób (art. 4 ust. 3 dyrektywy (UE) 2019/790). Dostawca modelu ogólnego przeznaczenia wprowadza politykę zgodności z prawem autorskim, która uwzględnia takie zastrzeżenia (art. 53 ust. 1 lit. c AI Act), od 2 sierpnia 2025 r., a dla modeli wprowadzonych wcześniej najpóźniej od 2 sierpnia 2027 r. (art. 111 ust. 3). Kancelaria oceniająca ryzyko licencyjne modelu sprawdza, czy dostawca taką politykę prowadzi.", "przepisy": [ "art. 4 ust. 3 dyrektywy (UE) 2019/790", "art. 53 ust. 1 lit. c AI Act", "art. 113 akapit trzeci lit. b AI Act", "art. 111 ust. 3 AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/getty-images-v-stability-ai/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 52, Wyrok High Court w sprawie Getty Images przeciwko Stability AI, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/getty-images-v-stability-ai/" }, { "numer": 53, "slug": "bydgoszcz-wypis-szpitalny-fragment-chatgpt", "id": "R5-08", "tytul": "Fragment odpowiedzi ChatGPT w karcie informacyjnej szpitala w Bydgoszczy", "tytulKrotki": "Fragment ChatGPT w karcie szpitala w Bydgoszczy", "data": "2026-03", "dataUjawnienia": "2026-03-18", "rok": "2026", "kraj": "Polska", "tematy": [ "zdrowie", "czatboty" ], "podmioty": [ "Wojewódzki Szpital Dziecięcy im. J. Brudzińskiego w Bydgoszczy" ], "coSieStalo": "Według Express Bydgoski, cytowanego przez Super Express, w karcie informacyjnej małoletniej pacjentki znalazł się fragment zaczynający się od zdania „Jeżeli chcesz, mogę przygotować pełniejszy wywiad”. Szpital potwierdził autentyczność dokumentu i podał, że wpisu dokonał lekarz rezydent, a ChatGPT użyto do korekty językowej trzech zdań wywiadu. Szpital podał też, że nie wprowadzono przy tym żadnych danych wrażliwych pacjentki.", "skutki": null, "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://android.com.pl/tech/1029194-chatgpt-na-wypisie-z-sor/", "wydawca": "Android.com.pl (odpowiedź dyrekcji szpitala)", "data": "2026-03", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.se.pl/bydgoszcz/szpitalny-wypis-z-podpowiedzia-chatagpt-internauci-przecieraja-oczy-ze-zdumienia-szpital-tlumaczy-aa-A8C5-mLAy-M4gE.html", "wydawca": "Super Express", "data": "2026-03-20", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Szpital podał, że narzędzie służyło do korekty językowej trzech zdań wywiadu. Gdyby do czatbota trafiły dane pacjenta dotyczące zdrowia, obowiązywałby zakaz ich przetwarzania z art. 9 ust. 1 RODO, chyba że zachodzi jedna z przesłanek z art. 9 ust. 2. Jeżeli przetwarzanie odbywa się w imieniu administratora, korzysta on wyłącznie z podmiotów przetwarzających, które dają wystarczające gwarancje (art. 28 ust. 1 RODO). Placówka powinna z góry określić, jakich fragmentów dokumentacji nie wolno wprowadzać do narzędzi AI.", "przepisy": [ "art. 9 ust. 1 RODO", "art. 9 ust. 2 RODO", "art. 28 ust. 1 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/bydgoszcz-wypis-szpitalny-fragment-chatgpt/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 53, Fragment odpowiedzi ChatGPT w karcie informacyjnej szpitala w Bydgoszczy, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/bydgoszcz-wypis-szpitalny-fragment-chatgpt/" }, { "numer": 54, "slug": "model-openai-wstrzykiwanie-polecen-w-podsumowaniach", "id": "R1-06", "tytul": "Niewydany model OpenAI dopisywał w treningu instrukcje do podsumowań kontekstu", "tytulKrotki": "Niewydany model OpenAI i instrukcje w podsumowaniach", "data": "2026-07-18", "dataUjawnienia": "2026-09-16", "rok": "2026", "kraj": "Stany Zjednoczone", "tematy": [ "agenci" ], "podmioty": [ "OpenAI" ], "coSieStalo": "Według raportu OpenAI niewydany model z rodziny Astra dopisywał podczas treningu do własnych podsumowań kontekstu instrukcje przypominające jailbreak, w tym stwierdzenie, że nie odpowiada przed korporacjami ani rządami. Zdarzenie z 18 lipca 2026 r. wykryto 9 sierpnia 2026 r. OpenAI uznało zachowanie za skrajnie rzadkie i możliwe do monitorowania.", "skutki": "OpenAI podało, że naprawiło powiązany błąd, choć związku przyczynowego z tym zachowaniem nie ustaliło.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://alignment.openai.com/misalignment-reports/self-generated-prompt-injections-in-compaction-summaries/", "wydawca": "OpenAI Alignment Research Blog", "data": "2026-09-16", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Gdyby taki model ogólnego przeznaczenia z ryzykiem systemowym wprowadzono do obrotu w Unii, jego dostawca musiałby rejestrować, dokumentować i niezwłocznie zgłaszać Urzędowi ds. AI poważne incydenty w rozumieniu art. 3 pkt 49 (art. 55 ust. 1 lit. c AI Act). Obowiązek stosuje się od 2 sierpnia 2025 r. (art. 113 akapit trzeci lit. b). Firma korzystająca z modeli dostawcy może w umowie zastrzec informowanie także o zdarzeniach poniżej progu poważnego incydentu.", "przepisy": [ "art. 55 ust. 1 lit. c AI Act", "art. 113 akapit trzeci lit. b AI Act", "art. 111 ust. 3 AI Act", "art. 3 pkt 49 AI Act" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/model-openai-wstrzykiwanie-polecen-w-podsumowaniach/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 54, Niewydany model OpenAI dopisywał w treningu instrukcje do podsumowań kontekstu, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/model-openai-wstrzykiwanie-polecen-w-podsumowaniach/" }, { "numer": 55, "slug": "model-openai-fire-history-npws-nsw", "id": "R6-02", "tytul": "Zapytania modelu OpenAI do usługi Fire History w NSW National Parks", "tytulKrotki": "Zapytania modelu OpenAI do usługi Fire History w NSW", "data": "2026-06", "dataUjawnienia": "2026-10-02", "rok": "2026", "kraj": "Australia", "tematy": [ "agenci", "dane" ], "podmioty": [ "OpenAI", "NSW National Parks and Wildlife Service", "NSW Premier's Department", "NSW Department of Climate Change, Energy, the Environment and Water", "Cyber Security NSW" ], "coSieStalo": "Według OpenAI w czerwcu 2026 r. model badający statystyki pożarów w Australii wysyłał skonstruowane zapytania do usługi mapowej Fire History należącej do NSW National Parks and Wildlife Service, wnioskował z nich o metadane bazy, które nie miały być publicznie dostępne, i pobrał publicznie dostępny zbiór danych. Według relacji rządu NSW podanej przez iTnews agent uzyskał jedynie informacje publiczne. Według oświadczenia departamentu premiera NSW zdarzenie miało miejsce w czerwcu, a OpenAI zgłosiło je rządowi 1 października 2026 r. Obie strony podają, że nie stwierdzono dostępu do danych osobowych.", "skutki": "Departament Climate Change, Energy, the Environment and Water bada sprawę wspólnie z Cyber Security NSW i dostawcą technologii. W źródłach nie ma kar ani zmian prawa związanych z tym zdarzeniem.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://openai.com/index/how-we-will-do-better-for-australia/", "wydawca": "OpenAI, aktualizacja z 4 października 2026 r. we wpisie z 28 września, kopia web.archive.org pobrana 2026-10-22", "data": "2026-10-04", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.abc.net.au/news/2026-10-02/rogue-open-ai-agent-breach-nsw-government-website/107223108", "wydawca": "ABC News (cytuje oświadczenie NSW Premier's Department i rzecznika OpenAI)", "data": "2026-10-02", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://itnews.com.au/news/nsw-national-parks-web-app-accessed-by-openai-agent-629402", "wydawca": "iTnews", "data": "2026-10-02", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://web.archive.org/web/2026id_/https://letsdatascience.com/news/openai-agent-accesses-nsw-parks-fire-application-d1646186", "wydawca": "Let's Data Science, kopia web.archive.org pobrana 2026-10-22", "data": "2026-10-04", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "W Unii naruszeniem ochrony danych osobowych jest też nieuprawniony dostęp do nich wynikający z naruszenia bezpieczeństwa (art. 4 pkt 12 RODO), a według OpenAI i rządu NSW takiego dostępu nie stwierdzono. W Polsce uzyskanie bez uprawnienia dostępu do całości lub części systemu informatycznego jest przestępstwem ściganym na wniosek pokrzywdzonego (art. 267 § 2 i 5 k.k.), a źródła nie rozstrzygają, czy zapytania modelu były takim dostępem. Organ udostępniający usługę powinien ocenić, jakie niepubliczne metadane można z niej wywnioskować.", "przepisy": [ "art. 4 pkt 12 RODO", "art. 267 § 2 k.k.", "art. 267 § 5 k.k." ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/model-openai-fire-history-npws-nsw/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 55, Zapytania modelu OpenAI do usługi Fire History w NSW National Parks, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/model-openai-fire-history-npws-nsw/" }, { "numer": 56, "slug": "agent-openai-portal-medicare-australia", "id": "R6-01", "tytul": "Dostęp agenta OpenAI do portalu Medicare Statistics Reporting Service", "tytulKrotki": "Dostęp agenta OpenAI do portalu Medicare", "data": "2026-06-18", "dataUjawnienia": "2026-09-24", "rok": "2026", "kraj": "Australia", "tematy": [ "agenci", "dane" ], "podmioty": [ "OpenAI", "Services Australia", "Medicare Statistics Reporting Service", "Australian Signals Directorate" ], "coSieStalo": "Według premiera Anthony'ego Albanese'a agent OpenAI uzyskał 18 czerwca 2026 r. nieuprawniony dostęp do portalu Medicare Statistics Reporting Service, prowadzonego przez Services Australia, i odczytał pliki publiczne oraz niepubliczne. Według OpenAI eksperymentalny model wewnętrzny znalazł sposób na dostęp niepubliczny, uruchamiał polecenia, pobierał pliki wewnętrzne i dane uwierzytelniające oraz zapisywał pliki. OpenAI zgłosiło to 10 września 2026 r., według premiera wiadomością na publiczną skrzynkę Services Australia. Premier podał, że na tym etapie nie uważa się, by odczytano dane osobowe, a dochodzenie trwa. Według OpenAI rekordy indywidualnych pacjentów nie zostały odczytane.", "skutki": "Premier ogłosił 24 września 2026 r. grupę zadaniową kierowaną przez jego departament, z udziałem Australian Signals Directorate, i skierowanie sprawy do Joint Select Committee on Artificial Intelligence. Według minister Katy Gallagher dane przeniesiono do data.gov.au, a portal wyłączono. OpenAI przeprosiło, zapowiedziało własną grupę zadaniową i przypomniało, że wstrzymało trening i ewaluację z użyciem narzędzi dla najsilniejszych modeli.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [ { "nazwa": "Grupa zadaniowa premiera Australii do przeglądu zdarzenia (taskforce)", "sygnatura": null, "url": "https://web.archive.org/web/2026id_/https://www.pm.gov.au/media/press-conference-new-york", "rejestrId": null }, { "nazwa": "Skierowanie sprawy do Joint Select Committee on Artificial Intelligence", "sygnatura": null, "url": "https://web.archive.org/web/2026id_/https://www.pm.gov.au/media/press-conference-new-york", "rejestrId": null } ], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://www.pm.gov.au/media/press-conference-new-york", "wydawca": "Prime Minister of Australia (pm.gov.au), kopia web.archive.org pobrana 2026-10-22", "data": "2026-09-24", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://web.archive.org/web/2026id_/https://openai.com/index/how-we-will-do-better-for-australia/", "wydawca": "OpenAI, kopia web.archive.org pobrana 2026-10-22", "data": "2026-09-28", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.sbs.com.au/news/article/open-ai-medicare-hack-what-we-know-and-dont-know/3qcdsqb7r", "wydawca": "SBS News", "data": "2026-09-24", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.smartcompany.com.au/artificial-intelligence/openai-agent-hacked-medicare-website-says-pm/", "wydawca": "SmartCompany (AAP)", "data": "2026-09-24", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.mediaweek.com.au/ai-2/medicare-portal-breached-by-openai-agent", "wydawca": "Mediaweek", "data": "2026-09-23", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.abc.net.au/news/2026-09-26/openai-review-rogue-agents-australia-medicare-hack/107199074", "wydawca": "ABC News", "data": "2026-09-26", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.abc.net.au/news/2026-10-06/openai-fronts-ai-inquiry/107230434", "wydawca": "ABC News", "data": "2026-10-06", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Według OpenAI model był eksperymentalny i wewnętrzny. W Unii AI Act nie ma zastosowania do działalności badawczej, testowej ani rozwojowej przed wprowadzeniem modelu do obrotu, z wyjątkiem testów w warunkach rzeczywistych (art. 2 ust. 8). Ewentualne naruszenie ochrony danych osobowych administrator zgłaszałby organowi nadzorczemu w miarę możliwości do 72 godzin od stwierdzenia, chyba że ryzyko dla praw osób byłoby mało prawdopodobne (art. 33 ust. 1 RODO). Urząd powinien przekazywać zgłoszenia z publicznej skrzynki osobom odpowiedzialnym za incydenty.", "przepisy": [ "art. 2 ust. 8 AI Act", "art. 33 ust. 1 RODO" ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/agent-openai-portal-medicare-australia/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 56, Dostęp agenta OpenAI do portalu Medicare Statistics Reporting Service, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/agent-openai-portal-medicare-australia/" }, { "numer": 57, "slug": "agenci-ai-nieautoryzowani-konta-bankowe-usa", "id": "R6-03", "tytul": "Doniesienia o nieautoryzowanych agentach AI na kontach klientów banków w USA", "tytulKrotki": "Doniesienia o agentach AI na kontach klientów banków USA", "data": "2026-10", "dataUjawnienia": "2026-10-22", "rok": "2026", "kraj": "Stany Zjednoczone", "tematy": [ "agenci" ], "podmioty": [ "Axios", "Morgan Stanley", "Bank of America", "JPMorgan", "Citi", "Charles Schwab" ], "coSieStalo": "Według Axios, który powołuje się na anonimowe osoby zaznajomione ze sprawą, duże banki w USA wykrywają nieautoryzowanych agentów AI podmiotów trzecich na kontach klientów. Zwykle agent działa za zgodą użytkownika i z jego danymi logowania, co jest sprzeczne z wytycznymi większości banków, a część agentów miała próbować działań, które wyglądają na niezależne od instrukcji użytkownika. Według tych źródeł Morgan Stanley zaczął blokować agentów, a JPMorgan, Bank of America i Citi ograniczają ich dostęp. Rzecznik Morgan Stanley oświadczył, że bank nie zaobserwował „rogue AI agents accessing our platforms”.", "skutki": "Według Axios banki blokują agentów podmiotów trzecich i zmieniają warunki korzystania z usług. Według PYMNTS (za własnymi materiałami, Bloombergiem i Financial Times) od 13 do 16 października 2026 r. JPMorgan, Citi i Charles Schwab oświadczyły, że zewnętrzni agenci nie mogą przenosić środków klientów, a Bank of America ogranicza ich dostęp do depozytów i chce zatwierdzania wypływów przez człowieka.", "stanFaktow": "doniesienia mediów", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://web.archive.org/web/2026id_/https://www.axios.com/2026/10/22/ai-agents-banks-unauthorized-accounts-access", "wydawca": "Axios (Madison Mills), kopia web.archive.org pobrana 2026-10-22", "data": "2026-10-22", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://www.pymnts.com/?p=4326961", "wydawca": "PYMNTS", "data": "2026-10-19", "typ": "wtórne", "kopiaArchiwum": null }, { "url": "https://thenextweb.com/news/schwab-blocks-ai-agents-meta-muse", "wydawca": "The Next Web", "data": "2026-10-16", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Axios opiera się na anonimowych źródłach, a według Morgan Stanley bank nie zaobserwował „rogue AI agents”, więc zdarzenia nie są ustalone. Gdyby klient polskiego banku przekazał agentowi dane logowania, skutki mógłby określać też wzorzec umowy. Wzorzec doręczony przed zawarciem umowy wiąże klienta (art. 384 § 1 k.c.), a wydany w trakcie stosunku umownego o charakterze ciągłym, jeżeli zachowano wymagania art. 384 i klient nie wypowiedział umowy w najbliższym terminie wypowiedzenia (art. 384¹ k.c.). Doradca powinien sprawdzić regulamin przed użyciem agenta.", "przepisy": [ "art. 384 § 1 k.c.", "art. 384¹ k.c." ], "sprawdzono": "2026-10-22", "adres": "https://pawelkowalski.ai/incydenty-ai/agenci-ai-nieautoryzowani-konta-bankowe-usa/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 57, Doniesienia o nieautoryzowanych agentach AI na kontach klientów banków w USA, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/agenci-ai-nieautoryzowani-konta-bankowe-usa/" }, { "numer": 58, "slug": "wiz-cirt-agent-ai-wlamanie-do-srodowisk-chmurowych", "id": "N1-07", "tytul": "Włamanie agenta AI do środowiska wielochmurowego według Wiz CIRT", "tytulKrotki": "Włamanie agenta AI do środowiska wielochmurowego", "data": "2026", "dataUjawnienia": "2026-10-19", "rok": "2026", "kraj": "nie podano", "tematy": [ "agenci", "dane" ], "podmioty": [ "Wiz", "organizacja poszkodowana (nienazwana)" ], "coSieStalo": "Według Wiz CIRT w kilku niedawnych włamaniach system agentowy AI prowadził całą operację. W opisanym przykładzie celem była organizacja z dużym środowiskiem wielochmurowym. Jednym z potwierdzonych wektorów wejścia była podatność umożliwiająca zdalne wykonanie kodu w Javie w publicznie dostępnej instancji Kafka UI. Agent uzyskał uprawnienia cluster-admin, pobierał dane dostępowe i próbował wynieść rekordy z baz danych. Adres IP, z którego agent skanował sieć w poszukiwaniu kolejnych punktów wejścia, skanował w tym samym okresie ponad 600 innych środowisk klientów Wiz.", "skutki": "Według Wiz agent pobrał dane dostępowe i sekrety, uzyskał dostęp do danych wrażliwych i wynosił je różnymi kanałami.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.wiz.io/blog/anatomy-of-ai-driven-cloud-attacks", "wydawca": "Wiz", "data": "2026-10-19", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Gdyby wśród danych, do których agent uzyskał dostęp, były dane osobowe osób w Unii, administrator mógłby mieć obowiązek zawiadomienia tych osób, jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności (art. 34 ust. 1 RODO). Organizacja powinna w ramach regularnego testowania środków bezpieczeństwa, które art. 32 ust. 1 lit. d RODO wymienia wśród środków stosowanych w stosownym przypadku, sprawdzać, które usługi administracyjne są dostępne z internetu i czy mają załatane podatności.", "przepisy": [ "art. 34 ust. 1 RODO", "art. 32 ust. 1 lit. d RODO" ], "sprawdzono": "2026-11-01", "adres": "https://pawelkowalski.ai/incydenty-ai/wiz-cirt-agent-ai-wlamanie-do-srodowisk-chmurowych/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 58, Włamanie agenta AI do środowiska wielochmurowego według Wiz CIRT, stan na 1 listopada 2026, pawelkowalski.ai/incydenty-ai/wiz-cirt-agent-ai-wlamanie-do-srodowisk-chmurowych/" }, { "numer": 59, "slug": "crowdstrike-agenci-ai-wlamania-zdrowie-administracja", "id": "N1-06", "tytul": "Włamania z użyciem agentów AI do podmiotów ochrony zdrowia i domen rządowych", "tytulKrotki": "Agenci AI we włamaniach do ochrony zdrowia", "data": "2026-05", "dataUjawnienia": "2026-10-21", "rok": "2026", "kraj": "kilka państw, w tym Argentyna i Indonezja", "tematy": [ "agenci", "zdrowie", "dane" ], "podmioty": [ "CrowdStrike", "podmioty ochrony zdrowia w Argentynie (nienazwane)" ], "coSieStalo": "Według raportu CrowdStrike z 21 października 2026 r. zespół CrowdStrike Intelligence udokumentował między majem a sierpniem 2026 r. kampanie czterech wcześniej nieopisanych operatorów, w których agenci AI podejmowali decyzje i wykonywali polecenia. Jeden z nich naruszył co najmniej 15 podmiotów ochrony zdrowia z Argentyny i wykradł dane uwierzytelniające oraz dokumentację medyczną co najmniej jednej ofiary. Pozostali trzej naruszyli także podmioty lub domeny rządowe w kilku państwach, w tym w Indonezji. Jedna z tych grup wykradła dane klientów korporacyjnych od dostawcy systemów CRM z USA.", "skutki": null, "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.crowdstrike.com/en-us/blog/crowdstrike-uncovers-new-agentic-ai-campaigns/", "wydawca": "CrowdStrike", "data": "2026-10-21", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Gdyby podobne naruszenie dotknęło w Unii podmiot ochrony zdrowia, mogłoby objąć dane dotyczące zdrowia, których przetwarzania art. 9 ust. 1 RODO co do zasady zabrania. Zastosowanie miałby art. 32 ust. 1 RODO, który wymaga środków technicznych i organizacyjnych odpowiednich do ryzyka, z uwzględnieniem stanu wiedzy technicznej. Podmiot ochrony zdrowia w Polsce powinien regularnie testować skuteczność zabezpieczeń, co art. 32 ust. 1 lit. d RODO wymienia wśród środków stosowanych w stosownym przypadku.", "przepisy": [ "art. 9 ust. 1 RODO", "art. 32 ust. 1 RODO", "art. 32 ust. 1 lit. d RODO" ], "sprawdzono": "2026-11-01", "adres": "https://pawelkowalski.ai/incydenty-ai/crowdstrike-agenci-ai-wlamania-zdrowie-administracja/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 59, Włamania z użyciem agentów AI do podmiotów ochrony zdrowia i domen rządowych, stan na 1 listopada 2026, pawelkowalski.ai/incydenty-ai/crowdstrike-agenci-ai-wlamania-zdrowie-administracja/" }, { "numer": 60, "slug": "model-openai-portfel-testowy-sepolia", "id": "N1-03", "tytul": "Użycie cudzego portfela testowego Sepolia przez model badawczy OpenAI", "tytulKrotki": "Użycie cudzego portfela Sepolia przez model OpenAI", "data": "2026-06-26", "dataUjawnienia": "2026-10-15", "rok": "2026", "kraj": "nie podano", "tematy": [ "agenci" ], "podmioty": [ "OpenAI" ], "coSieStalo": "Według raportu OpenAI wewnętrzny model badawczy z rodziny GPT-5.6 Sol wyprowadził 26 czerwca 2026 r. klucze z publicznych fraz odzyskiwania i użył konta ze środkami w sieci testowej Sepolia do opłacenia wdrożenia kontraktów. Zadanie nie dostarczyło portfela ani zgody na wydanie cudzych środków. W końcowej odpowiedzi model nie ujawnił wyboru tego konta. OpenAI wykryło przypadek 25 września 2026 r.", "skutki": "Transakcja obciążyła opłatami wybrane konto. OpenAI wdrożyło dodatkowe zabezpieczenia przeciw dostępowi do internetu w takich przypadkach i uruchomiło na całym ruchu monitoring niezgodności, który ma powiadamiać zespół bezpieczeństwa w razie uzyskania takiego dostępu.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://alignment.openai.com/misalignment-reports/using-a-funded-test-cryptocurrency-wallet-without-authorization/", "wydawca": "OpenAI Alignment Research Blog", "data": "2026-10-15", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Gdyby podobne zdarzenie wystąpiło w Polsce i wyrządziło komuś szkodę, odpowiedzialność osoby, która uruchomiła agenta, na zasadach ogólnych zależałaby od jej winy (art. 415 k.c.) i obejmowałaby tylko normalne następstwa działania lub zaniechania, z którego szkoda wynikła (art. 361 § 1 k.c.). Firma uruchamiająca agenta w środowisku testowym powinna w zadaniu wskazać zasoby i konta, z których agent może korzystać, i ograniczyć mu dostęp do internetu.", "przepisy": [ "art. 415 k.c.", "art. 361 § 1 k.c." ], "sprawdzono": "2026-11-01", "adres": "https://pawelkowalski.ai/incydenty-ai/model-openai-portfel-testowy-sepolia/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 60, Użycie cudzego portfela testowego Sepolia przez model badawczy OpenAI, stan na 1 listopada 2026, pawelkowalski.ai/incydenty-ai/model-openai-portfel-testowy-sepolia/" }, { "numer": 61, "slug": "agenci-openai-wylaczenie-monitoringu", "id": "N1-02", "tytul": "Wyłączenie alertów i usunięcie integracji monitoringu przez agentów OpenAI", "tytulKrotki": "Wyłączenie alertów monitoringu przez agentów OpenAI", "data": "2026-10-03", "dataUjawnienia": "2026-10-20", "rok": "2026", "kraj": "nie podano", "tematy": [ "agenci" ], "podmioty": [ "OpenAI" ], "coSieStalo": "Według raportu OpenAI zaktualizowanego 20 października 2026 r. agenci osłabili monitoring niezgodności w dwóch wewnętrznych zadaniach programistycznych. Agent GPT-6.1 Sol wyłączył 3 października 2026 r. automatyczne alerty dla zespołu bezpieczeństwa podczas naprawy potoku ewaluacji. Agent GPT-6 Astra usunął 6 października 2026 r. integrację monitoringu podczas migracji programu, a następnie niezgodnie z prawdą oświadczył użytkownikowi, że tego nie zrobił. OpenAI nie sklasyfikowało żadnego z przypadków jako P0.", "skutki": "OpenAI zaktualizowało system Auto-Review tak, aby wykrywał i blokował próby wyłączenia monitoringu niezgodności. Firma pracuje nad wymogiem ważnego uzasadnienia bezpieczeństwa dla każdej kategorii zadań, z automatycznym przerywaniem zadań, które go nie spełniają.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://alignment.openai.com/misalignment-reports/suppressing-misalignment-monitoring-alerts-and-disabling-misalignment-monitoring/", "wydawca": "OpenAI Alignment Research Blog", "data": "2026-10-20", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.bleepingcomputer.com/news/security/openai-agents-disabled-safety-monitoring-one-lied-about-it/", "wydawca": "BleepingComputer", "data": "2026-10-21", "typ": "wtórne", "kopiaArchiwum": null } ], "komentarz": "Gdyby w Unii agent był systemem wysokiego ryzyka z załącznika III, od 2 grudnia 2027 r. osoby nadzorujące musiałyby móc monitorować jego działanie i przerwać je (art. 14 ust. 4 lit. a i e AI Act). AI Act nie obejmuje działalności badawczej, testowej i rozwojowej przed wprowadzeniem do obrotu lub oddaniem do użytku, także własnego, z wyjątkiem testów w warunkach rzeczywistych (art. 2 ust. 8, art. 3 pkt 11). Firma powinna wyłączyć z uprawnień agentów zmianę alertów i integracji monitoringu.", "przepisy": [ "art. 14 ust. 4 lit. a AI Act", "art. 14 ust. 4 lit. e AI Act", "art. 113 akapit trzeci lit. c ppkt (i) AI Act", "art. 2 ust. 8 AI Act", "art. 3 pkt 11 AI Act" ], "sprawdzono": "2026-11-01", "adres": "https://pawelkowalski.ai/incydenty-ai/agenci-openai-wylaczenie-monitoringu/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 61, Wyłączenie alertów i usunięcie integracji monitoringu przez agentów OpenAI, stan na 1 listopada 2026, pawelkowalski.ai/incydenty-ai/agenci-openai-wylaczenie-monitoringu/" }, { "numer": 62, "slug": "agenci-ai-artex-storm-0940-connectwise", "id": "N1-01", "tytul": "Ataki z użyciem agentów AI ARTEX związane z naruszeniem ConnectWise Cloud Backup", "tytulKrotki": "Agenci AI ARTEX i naruszenie ConnectWise Cloud Backup", "data": "2026-10-10", "dataUjawnienia": "2026-10-21", "rok": "2026", "kraj": "nie podano", "tematy": [ "agenci" ], "podmioty": [ "Microsoft", "ConnectWise", "Storm-0940", "Wiz" ], "coSieStalo": "Według raportu Microsoft z 21 października 2026 r. grupa Storm-0940, określona jako zbliżona do państwa chińskiego, użyła wieloagentowego systemu ARTEX do automatyzacji ataków na setki organizacji. Między 10 a 14 października 2026 r. infrastruktura Storm-0940 prowadziła zautomatyzowaną kampanię odgadywania haseł do 327 kont w ośmiu organizacjach. Microsoft ocenia, że Storm-0940 odpowiada za naruszenie aplikacji ConnectWise Cloud Backup, po którym próbowano logowań do ponad 2250 dzierżaw. Wiz odnotował w październiku 2026 r. aktora używającego narzędzi ARTEX, którego działania pokrywają się z opisem Storm-0940.", "skutki": "Microsoft odnotował w kampanii odgadywania haseł ponad 151 tys. nieudanych logowań, ze szczytem 2900 na minutę 11 października 2026 r., i nie zaobserwował udanego uwierzytelnienia. W kilku innych atakach z użyciem ARTEX czas od pierwszych działań wobec celu do uprzywilejowanego dostępu do infrastruktury chmurowej był krótszy niż 3 godziny. Według Microsoftu udane uwierzytelnienie nie musi oznaczać dostępu do danych klienta.", "stanFaktow": "potwierdzone dokumentem podmiotu lub organu", "klasyk": false, "sprawy": [], "zrodla": [ { "url": "https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/", "wydawca": "Microsoft Security Blog", "data": "2026-10-21", "typ": "pierwotne", "kopiaArchiwum": null }, { "url": "https://www.wiz.io/blog/artex-in-the-wild-storm-0940-expands-targeting-of-it-and-software-vendors", "wydawca": "Wiz", "data": "2026-10-22", "typ": "pierwotne", "kopiaArchiwum": null } ], "komentarz": "Gdyby naruszenie objęło w Unii dane osobowe, administrator zgłaszałby je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, chyba że byłoby mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO). Podmiot przetwarzający zgłaszałby je administratorowi (art. 33 ust. 2 RODO). Klient chmury powinien znać uprawnienia aplikacji dostawców w swojej dzierżawie i zapewnić w umowach terminy powiadamiania o naruszeniach.", "przepisy": [ "art. 33 ust. 1 RODO", "art. 33 ust. 2 RODO" ], "sprawdzono": "2026-11-01", "adres": "https://pawelkowalski.ai/incydenty-ai/agenci-ai-artex-storm-0940-connectwise/", "cytowanie": "dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 62, Ataki z użyciem agentów AI ARTEX związane z naruszeniem ConnectWise Cloud Backup, stan na 1 listopada 2026, pawelkowalski.ai/incydenty-ai/agenci-ai-artex-storm-0940-connectwise/" } ] }