Odpowiedzialność zarządu przy wdrażaniu AI

Na każdej sesji dla zarządu pada to samo pytanie, czy za błąd narzędzia zapłacę osobiście. Odpowiedź wymaga rozdzielenia trzech reżimów, bo mieszają się w nich adresat obowiązku, adresat kary i adresat roszczenia.

Odpowiedzialność wobec spółki z art. 293 ksh i staranność zawodowa

Podstawą jest art. 293 § 1 Kodeksu spółek handlowych: członek zarządu odpowiada wobec spółki za szkodę wyrządzoną „działaniem lub zaniechaniem sprzecznym z prawem lub postanowieniami umowy spółki, chyba że nie ponosi winy”. W spółce akcyjnej odpowiada mu art. 483 § 1, z odesłaniem do statutu.

Tu trzeba sprostować rozpowszechniony skrót. Art. 293 § 2 i art. 483 § 2 są uchylone, więc wzorca staranności już w nich nie ma. Zawiera go art. 209(1) § 1 ksh: członek zarządu „powinien przy wykonywaniu swoich obowiązków dołożyć staranności wynikającej z zawodowego charakteru swojej działalności oraz dochować lojalności wobec spółki”, w spółce akcyjnej zaś art. 377(1) § 1, a w prostej spółce akcyjnej art. 300(54).

Obowiązek działania wynika z art. 201 § 1 ksh, według którego zarząd prowadzi sprawy spółki i reprezentuje spółkę. Przy zarządzie wieloosobowym i jeżeli umowa spółki nie stanowi inaczej, każdy członek ma prawo i obowiązek prowadzenia spraw spółki (art. 208 § 2), a uprzednia uchwała zarządu jest wymagana, gdy sprawa przekracza zakres zwykłych czynności albo gdy sprzeciwi się jej choćby jeden członek (art. 208 § 4). Przy zarządzie jednoosobowym, typowym w mniejszych spółkach, cały ten mechanizm nie działa i podstawą pozostaje art. 201 § 1.

Odpowiedzialność kilku osób jest solidarna (art. 294 ksh). Jeżeli spółka nie wytoczy powództwa w terminie roku od dnia ujawnienia czynu wyrządzającego szkodę, pozew może wnieść każdy wspólnik (art. 295 § 1 ksh).

Zasada biznesowej oceny sytuacji i jej granice

Art. 293 § 3 ksh (odpowiednio art. 483 § 3) stanowi, że członek organu „nie narusza obowiązku dołożenia staranności wynikającej z zawodowego charakteru swojej działalności, jeżeli postępując w sposób lojalny wobec spółki, działa w granicach uzasadnionego ryzyka gospodarczego, w tym na podstawie informacji, analiz i opinii, które powinny być w danych okolicznościach uwzględnione przy dokonywaniu starannej oceny”.

Z brzmienia wynika, że przepis nie obejmuje decyzji nielojalnej, wykraczającej poza uzasadnione ryzyko gospodarcze oraz podjętej bez informacji i opinii, które w danych okolicznościach należało uwzględnić. W mojej ocenie to ostatnie jest przy AI najistotniejsze, bo wdrożenie bez rozpoznania, czy narzędzie w ogóle podlega reżimowi wysokiego ryzyka, trudno nazwać decyzją opartą na wymaganych analizach.

Wykładnia, a nie brzmienie przepisu, prowadzi do wniosku, że art. 293 § 3 odnosi się do obowiązku staranności i nie rozstrzyga sam przez się o pozostałych postaciach bezprawności z § 1, na przykład o naruszeniu przepisów o ochronie danych albo aktu o sztucznej inteligencji.

Ochrona danych osobowych i kara nakładana na spółkę

Za przetwarzanie danych odpowiada spółka jako administrator. Art. 5 ust. 2 RODO nakłada na nią rozliczalność, art. 24 ust. 1 obowiązek wdrożenia odpowiednich środków i wykazania zgodności, art. 82 ust. 2 odpowiedzialność odszkodowawczą wobec osób, których dane dotyczą. Kary pieniężne z art. 83 ust. 4 i 5 (do 10 mln euro albo 2% obrotu oraz do 20 mln euro albo 4% obrotu) obciążają administratora, a nie członka zarządu.

To nie znaczy, że członek zarządu jest wolny od ryzyka majątkowego. Kara nałożona na spółkę uszczupla jej majątek, a odrębne przepisy przewidują odpowiedzialność członków zarządu za zobowiązania spółki w razie bezskutecznej egzekucji. To jednak osobny reżim, który wymaga własnej analizy.

AI Act i polski nadzór

Obowiązki z rozporządzenia obciążają spółkę jako dostawcę albo podmiot stosujący, nie osobę fizyczną w organie. Art. 4, w brzmieniu po nowelizacji z 8 lipca 2026 r., wymaga „środków, które wspierają rozwój kompetencji w zakresie AI” wśród personelu i wprost zastrzega, że nie jest to obowiązek zapewnienia określonego poziomu kompetencji przez poszczególne osoby. Art. 26 ust. 2 nakazuje powierzyć nadzór ze strony człowieka osobom mającym „niezbędne kompetencje, przeszkolenie i uprawnienia, a także niezbędne wsparcie”. Obowiązki podmiotu stosującego stosuje się od 2 grudnia 2027 r. (systemy z załącznika III) i 2 sierpnia 2028 r. (załącznik I). Obowiązki przejrzystości z art. 50 działają już od 2 sierpnia 2026 r.

Kary z art. 99 ponosi operator. Wynoszą one do 35 000 000 EUR albo 7% całkowitego rocznego światowego obrotu za praktyki zakazane z art. 5 oraz do 15 000 000 EUR albo 3% za naruszenie obowiązków z art. 26 i art. 50, w zależności od tego, która kwota jest wyższa. Dla małych i średnich przedsiębiorstw stosuje się kwotę niższą (art. 99 ust. 6), a dla małych spółek o średniej kapitalizacji ta sama reguła dotyczy kar z ust. 4 i 5 (art. 99 ust. 6a).

W Polsce nakłada je Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, na podmiot obowiązany do przestrzegania rozporządzenia, czyli na spółkę (art. 5 ust. 1 i art. 104 ust. 1 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji). Ustawa weszła w życie 11 sierpnia 2026 r., a rozdziały o kontroli, postępowaniu i karach mają zastosowanie od 28 października 2026 r. Szerzej o tym w opracowaniu o nadzorze nad AI w Polsce.

Ustawa przewiduje sankcję wprost wobec osoby działającej za spółkę w dwóch miejscach, obu mających zastosowanie od 28 października 2026 r. Karą ograniczenia wolności albo grzywny zagrożone jest utrudnianie lub udaremnianie czynności kontrolnych oraz czynności w postępowaniu administracyjnym (art. 112 ust. 1), a także niewykonanie decyzji Komisji nakazującej zaprzestanie stosowania systemu lub wycofanie go z rynku, wydanej przy bezpośrednim zagrożeniu dla życia, zdrowia, bezpieczeństwa lub praw podstawowych (art. 113 ust. 1 w związku z art. 63 ust. 2). W obu wypadkach ustawa obejmuje tą samą karą tego, kto dopuszcza się czynu, działając „w imieniu lub interesie osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej” (art. 112 ust. 2 i art. 113 ust. 2). Orzekanie następuje w trybie Kodeksu postępowania w sprawach o wykroczenia (art. 114). Dla członka zarządu oznacza to, że zachowanie spółki wobec kontroli i wobec decyzji organu jest osobnym źródłem ryzyka osobistego, niezależnym od kary nakładanej na spółkę.

Rozkład ryzyka między spółkę a członka zarządu

W mojej ocenie ryzyko rozkłada się dwustopniowo. Kara administracyjna i odszkodowanie dla osób trzecich obciążają spółkę, a ta dopiero potem może dochodzić szkody od członka zarządu. W takim sporze zwykle rozstrzyga to, czy da się odtworzyć proces decyzyjny.

To materiał dowodowy pod art. 293 § 3 ksh i pod rozliczalność z art. 5 ust. 2 RODO. Ma jednak drugą stronę, o której łatwo zapomnieć. Uchwała zarządu o wdrożeniu wskazuje jednocześnie krąg osób, które podjęły decyzję, a odpowiedzialność kilku osób jest solidarna (art. 294 ksh). Dokumentowanie procesu nie gwarantuje więc uniknięcia odpowiedzialności, ale pozwala oprzeć ocenę staranności na faktach.

Źródła: Kodeks spółek handlowych, tekst jednolity Dz.U. 2024 poz. 18, art. 201, 208, 209(1), 293, 294, 295, 377(1), 483; rozporządzenie 2016/679 (RODO), art. 5, 24, 82 i 83; rozporządzenie (UE) 2024/1689 w brzmieniu nadanym rozporządzeniem (UE) 2026/1744, art. 4, 26, 50, 99 i 113; ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003, art. 5, 63, 104, 112, 113 i 114. Nie potwierdzono orzecznictwa sądów polskich stosującego art. 293 § 3 ksh wprost do wdrożeń sztucznej inteligencji. Treść ma charakter ogólny i nie zastępuje porady prawnej w indywidualnej sprawie ani oceny sytuacji konkretnej spółki.