dla zarząduOdpowiedzialność zarządu przy wdrażaniu AI

Pytanie zadawane na każdej sesji dla zarządu brzmi tak samo: czy za błąd narzędzia zapłacę osobiście. Odpowiedź wymaga rozdzielenia trzech reżimów, bo mieszają się w nich adresat obowiązku, adresat kary i adresat roszczenia. Poniżej stan prawny, a na końcu moja ocena tego, co realnie zmniejsza ryzyko.

Wobec spółki: art. 293 ksh i staranność zawodowa

Podstawą jest art. 293 § 1 Kodeksu spółek handlowych: członek zarządu odpowiada wobec spółki za szkodę wyrządzoną „działaniem lub zaniechaniem sprzecznym z prawem lub postanowieniami umowy spółki, chyba że nie ponosi winy”. W spółce akcyjnej odpowiada mu art. 483 § 1, z odesłaniem do statutu.

Tu trzeba sprostować rozpowszechniony skrót. Art. 293 § 2 i art. 483 § 2 są uchylone, więc wzorca staranności już w nich nie ma. Zawiera go art. 209¹ § 1 ksh: członek zarządu „powinien przy wykonywaniu swoich obowiązków dołożyć staranności wynikającej z zawodowego charakteru swojej działalności oraz dochować lojalności wobec spółki”; w spółce akcyjnej art. 377¹ § 1, a w prostej spółce akcyjnej art. 300⁵⁴.

Obowiązek działania wynika z art. 201 § 1 ksh: zarząd prowadzi sprawy spółki i reprezentuje spółkę. Przy zarządzie wieloosobowym i jeżeli umowa spółki nie stanowi inaczej, każdy członek ma prawo i obowiązek prowadzenia spraw spółki (art. 208 § 2), a uprzednia uchwała zarządu jest wymagana, gdy sprawa przekracza zakres zwykłych czynności albo gdy sprzeciwi się jej choćby jeden członek (art. 208 § 4). Przy zarządzie jednoosobowym, typowym w mniejszych spółkach, cały ten mechanizm nie działa i podstawą pozostaje art. 201 § 1.

Odpowiedzialność kilku osób jest solidarna (art. 294 ksh). Jeżeli spółka nie wytoczy powództwa w terminie roku od dnia ujawnienia czynu wyrządzającego szkodę, pozew może wnieść każdy wspólnik (art. 295 § 1 ksh).

Biznesowa ocena sytuacji: kiedy chroni, a kiedy nie

Art. 293 § 3 ksh (odpowiednio art. 483 § 3) stanowi, że członek organu „nie narusza obowiązku dołożenia staranności wynikającej z zawodowego charakteru swojej działalności, jeżeli postępując w sposób lojalny wobec spółki, działa w granicach uzasadnionego ryzyka gospodarczego, w tym na podstawie informacji, analiz i opinii, które powinny być w danych okolicznościach uwzględnione przy dokonywaniu starannej oceny”.

Z brzmienia wynika, czego przepis nie obejmuje: decyzji nielojalnej, wykraczającej poza uzasadnione ryzyko gospodarcze oraz podjętej bez informacji i opinii, które w danych okolicznościach należało uwzględnić. To ostatnie jest przy AI najistotniejsze, bo wdrożenie bez rozpoznania, czy narzędzie w ogóle podlega reżimowi wysokiego ryzyka, trudno nazwać decyzją opartą na wymaganych analizach.

Dalej wykładnia, nie treść przepisu: art. 293 § 3 odnosi się do obowiązku staranności i nie rozstrzyga sam przez się o pozostałych postaciach bezprawności z § 1, na przykład o naruszeniu przepisów o ochronie danych albo aktu o sztucznej inteligencji. Orzecznictwa stosującego ten przepis wprost do wdrożeń AI nie potwierdzono.

Ochrona danych: kara idzie w spółkę

Za przetwarzanie danych odpowiada spółka jako administrator. Art. 5 ust. 2 RODO nakłada na nią rozliczalność, art. 24 ust. 1 obowiązek wdrożenia odpowiednich środków i wykazania zgodności, art. 82 ust. 2 odpowiedzialność odszkodowawczą wobec osób, których dane dotyczą. Kary pieniężne z art. 83 ust. 4 i 5 (do 10 mln euro albo 2% obrotu oraz do 20 mln euro albo 4% obrotu) obciążają administratora, a nie członka zarządu.

To nie znaczy, że członek zarządu jest wolny od ryzyka majątkowego. Kara nałożona na spółkę uszczupla jej majątek, a odrębne przepisy przewidują odpowiedzialność członków zarządu za zobowiązania spółki w razie bezskutecznej egzekucji. To jednak osobny reżim, wykraczający poza zakres tej strony i wymagający własnej analizy.

AI Act i polski nadzór

Obowiązki z rozporządzenia obciążają spółkę jako dostawcę albo podmiot stosujący, nie osobę fizyczną w organie. Art. 4, w brzmieniu po nowelizacji z 8 lipca 2026 r., wymaga „środków, które wspierają rozwój kompetencji w zakresie AI” wśród personelu i wprost zastrzega, że nie jest to obowiązek zapewnienia określonego poziomu kompetencji przez poszczególne osoby. Art. 26 ust. 2 nakazuje powierzyć nadzór ze strony człowieka osobom mającym „niezbędne kompetencje, przeszkolenie i uprawnienia, a także niezbędne wsparcie”; obowiązki podmiotu stosującego stosuje się od 2 grudnia 2027 r. (systemy z załącznika III) i 2 sierpnia 2028 r. (załącznik I). Obowiązki przejrzystości z art. 50 działają już od 2 sierpnia 2026 r.

Kary z art. 99 ponosi operator: do 35 000 000 EUR albo 7% całkowitego rocznego światowego obrotu za praktyki zakazane z art. 5 oraz do 15 000 000 EUR albo 3% za naruszenie obowiązków z art. 26 i art. 50, w zależności od tego, która kwota jest wyższa; dla małych i średnich przedsiębiorstw stosuje się kwotę niższą (art. 99 ust. 6).

W Polsce nakłada je Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, na podmiot obowiązany do przestrzegania rozporządzenia, czyli na spółkę (art. 5 ust. 1 i art. 104 ust. 1 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003). Ustawa wchodzi w życie 11 sierpnia 2026 r., a rozdziały o kontroli, postępowaniu i karach dopiero 28 października 2026 r. Szerzej: nadzór nad AI w Polsce.

Jedyne miejsce, w którym sankcja dosięga wprost osobę działającą za spółkę, to art. 112 tej ustawy: od 28 października 2026 r. utrudnianie lub udaremnianie czynności kontrolnych będzie wykroczeniem zagrożonym karą ograniczenia wolności albo grzywny, także gdy sprawca działa „w imieniu lub interesie osoby prawnej”, orzekanym w trybie Kodeksu postępowania w sprawach o wykroczenia (art. 114).

Co z tego wynika

Dalej moja ocena, a nie treść przepisów. Ryzyko rozkłada się dwustopniowo: kara administracyjna i odszkodowanie dla osób trzecich obciążają spółkę, a ta dopiero potem może dochodzić szkody od członka zarządu. W takim sporze rozstrzyga zwykle jedno: czy da się odtworzyć proces decyzyjny.

To materiał dowodowy pod art. 293 § 3 ksh i pod rozliczalność z art. 5 ust. 2 RODO. Ma jednak drugą stronę, o której warto wiedzieć: uchwała zarządu o wdrożeniu wskazuje jednocześnie krąg osób, które podjęły decyzję, a odpowiedzialność kilku osób jest solidarna (art. 294 ksh). Dokumentowanie procesu nie jest więc receptą na bezkarność, tylko na to, żeby ocena staranności opierała się na faktach, a nie na rekonstrukcji po latach.

Źródła: Kodeks spółek handlowych, tekst jednolity Dz.U. 2024 poz. 18, art. 201, 208, 209¹, 293, 294, 295, 377¹, 483; rozporządzenie 2016/679 (RODO), art. 5, 24, 82 i 83; rozporządzenie (UE) 2024/1689 w brzmieniu nadanym rozporządzeniem (UE) 2026/1744, art. 4, 26, 50, 99 i 113; ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003, art. 5, 104, 112 i 114. Nie potwierdzono orzecznictwa sądów polskich stosującego art. 293 § 3 ksh wprost do wdrożeń sztucznej inteligencji. Treść ma charakter ogólny i nie zastępuje porady prawnej w indywidualnej sprawie ani oceny sytuacji konkretnej spółki.