Dlaczego pytanie „kto odpowiada za AI” nie ma prostych odpowiedzi
AI jako narzędzie, usługa i „czarny box” – trzy różne spojrzenia
Systemy sztucznej inteligencji funkcjonują jednocześnie w kilku rolach. Dla prawnika kluczowe jest, czy AI jest traktowana jako narzędzie, jako usługa, czy jako trudny do zrozumienia „czarny box”. Każda z tych perspektyw prowadzi do innego spojrzenia na odpowiedzialność za błędy AI.
Jeżeli AI jest postrzegana wyłącznie jako narzędzie – jak kalkulator czy edytor tekstu – większa część odpowiedzialności spoczywa na człowieku, który się nią posługuje. W takiej logice błąd oznacza najczęściej niewłaściwe użycie narzędzia, brak kontroli lub niedbalstwo użytkownika. Z kolei gdy AI jest traktowana jako usługa (np. zewnętrzny system scoringowy w modelu SaaS), pojawia się pytanie o odpowiedzialność dostawcy usługi, który kształtuje jej funkcjonalność, parametry i ograniczenia. Wreszcie wtedy, gdy model jest w praktyce „czarnym pudełkiem”, a jego wewnętrzne działanie jest nieprzejrzyste nawet dla ekspertów, rośnie znaczenie takich pojęć jak wyjaśnialność i transparentność AI, audyt modeli czy dokumentacja wpływająca na rozkład ryzyka.
W sporach dotyczących odpowiedzialności za błędy AI kluczowe jest udzielenie odpowiedzi na pozornie techniczne pytanie: jaką rolę pełnił dany system w danym procesie? Czy był jedynie kalkulatorem, z którego ktoś skorzystał bezrefleksyjnie, czy też systemem, który – w praktyce – zastąpił człowieka w podejmowaniu decyzji? Im bardziej AI „przejmuje stery”, tym trudniej utrzymywać, że to wyłącznie użytkownik odpowiada za konsekwencje.
Rozmyte granice między producentem, dostawcą, integratorem i użytkownikiem
W klasycznych sporach o wadliwy produkt łatwiej zidentyfikować producenta i konsumenta. W przypadku AI mamy zazwyczaj cały łańcuch podmiotów:
- twórca modelu bazowego (foundation model),
- dostawca platformy lub API,
- integrator, który łączy model z systemami klienta,
- klient biznesowy (np. bank, szpital, platforma e‑commerce),
- użytkownik końcowy (pracownik, lekarz, analityk, konsultant),
- osoba, której dotyczy decyzja podjęta z udziałem AI (pacjent, klient, kandydat do pracy).
Między tymi podmiotami istnieją różne relacje umowne, a także odrębne obowiązki wynikające z prawa powszechnego (np. z kodeksu cywilnego, prawa konsumenckiego czy RODO). To sprawia, że łańcuch odpowiedzialności w systemach AI jest wielopoziomowy i często sprzeczny interesami stron. Dostawca modelu będzie próbował ograniczyć swoją odpowiedzialność zapisami „as is”, integrator przerzuci część ryzyka na klienta, a klient na użytkownika końcowego poprzez regulaminy i procedury.
Granice tych ról bywają nieostre. Firma wdrażająca AI w banku może formalnie występować jako integrator, ale jednocześnie kształtuje logikę decyzji kredytowych, tworzy reguły biznesowe, a nawet doradza w zakresie polityki ryzyka. W razie sporu bardzo trudno będzie oddzielić, gdzie kończy się odpowiedzialność dostawcy modelu, a zaczyna odpowiedzialność integratora czy banku jako instytucji podejmującej decyzje.
„Błąd techniczny” a „zła decyzja na podstawie AI”
W praktyce warto odróżniać błędy techniczne systemu od błędnych decyzji człowieka, który korzysta z AI. Błąd techniczny to np. sytuacja, w której system zwraca dane w oczywisty sposób niepoprawne z punktu widzenia swojej specyfikacji: algorytm prognozowania popytu zwraca liczby ujemne, aplikacja do rozpoznawania twarzy myli osoby w 90% przypadków, model kredytowy nie uwzględnia w ogóle jednego z kluczowych parametrów, choć dokumentacja to obiecuje.
„Zła decyzja na podstawie AI” dotyczy raczej sytuacji, w której system działa zgodnie z projektem, ale użytkownik korzysta z jego wyników w sposób bezrefleksyjny lub niezgodny z przeznaczeniem. Przykładowo: lekarz traktuje rekomendację systemu diagnostycznego jako wiążącą diagnozę, choć system jest opisany jako „narzędzie wspomagające”, a dodatkowo pomija własne badanie pacjenta. Podobnie analityk kredytowy może odmówić klientowi finansowania wyłącznie na podstawie wskaźnika z modelu scoringowego, ignorując inne dane, choć procedura wewnętrzna wymaga analizy kilku źródeł.
Przy ustalaniu odpowiedzialności za błędy AI sąd będzie badał, czy szkoda wynikała z wady samego systemu, czy z nieprawidłowego korzystania z narzędzia. W pierwszym scenariuszu ciężar spoczywa zwykle na producencie lub dostawcy, w drugim – na użytkowniku lub organizacji, która użyła AI niezgodnie z zasadami należytej staranności.
Przykład: błędna rekomendacja kredytowa – kto naprawdę decyduje?
Model scoringowy AI ocenia klienta jako wysokiego ryzyka i proponuje odmowę kredytu. Bank ma procedury, w których jasno wskazano, że decyzję podejmuje analityk kredytowy, a wynik AI jest tylko jednym z elementów. W praktyce jednak analityk ma mało czasu, a wyniki modelu są traktowane jak wyrocznia. Klient, któremu odmówiono kredytu, twierdzi, że padł ofiarą dyskryminacji i składa pozew.
W takiej sytuacji można wskazać kilka potencjalnych źródeł odpowiedzialności za błędy AI:
- Dostawca modelu – jeśli model został źle zaprojektowany (wady projektowe) lub opiera się na danych historycznych utrwalających dyskryminujące wzorce, co nie zostało wyraźnie zakomunikowane.
- Integrator – gdy system został nieprawidłowo osadzony w infrastrukturze banku, np. pomijając część wymaganych danych lub nie zapewniając odpowiednich mechanizmów nadzoru i korekty.
- Bank jako organizacja – jeżeli wewnętrzne procedury w praktyce zachęcają do automatycznego polegania na wyniku AI i nie zapewniają realnej kontroli człowieka.
- Konkretny pracownik – gdy zignorował istotne informacje (np. dokumenty klienta), mimo że miał możliwość i obowiązek ich weryfikacji.
Analiza prawna nie ograniczy się więc do samego pytania, czy model się mylił. Konieczne będzie prześledzenie całego procesu decyzyjnego i tego, jaką rolę przypisano AI formalnie, a jaką faktycznie. To właśnie rozbieżność między teorią (procedury, regulaminy) a praktyką (rzeczywiste zachowania pracowników) często decyduje o rozkładzie odpowiedzialności.
Podstawowe pojęcia prawne potrzebne do uporządkowania tematu
Odpowiedzialność kontraktowa, deliktowa i za produkt – krótkie definicje
Aby zrozumieć odpowiedzialność za błędy AI, trzeba uporządkować kilka kluczowych pojęć z prawa cywilnego. Pierwsze to odpowiedzialność kontraktowa, czyli odpowiedzialność za niewykonanie lub nienależyte wykonanie zobowiązania wynikającego z umowy. Jeśli dostawca systemu AI zobowiązał się w umowie do dostarczenia rozwiązania spełniającego określone parametry, a system działa wadliwie, klient może dochodzić roszczeń właśnie na tej podstawie.
Drugie pojęcie to odpowiedzialność deliktowa (odpowiedzialność za czyn niedozwolony). Dotyczy sytuacji, gdy ktoś wyrządza drugiej osobie szkodę poza stosunkiem umownym, np. pacjent pozywa szpital za błąd w diagnostyce, który miał miejsce przy wykorzystaniu AI, choć sam z dostawcą AI nie ma żadnego kontraktu. Wówczas szpital, a ewentualnie także inne podmioty, mogą ponosić odpowiedzialność deliktową.
Trzecia kategoria to odpowiedzialność za produkt niebezpieczny. W prawie unijnym i polskim funkcjonują przepisy, które nakładają na producenta odpowiedzialność za szkodę wyrządzoną przez produkt niebezpieczny, nawet bez konieczności udowodnienia winy. W przypadku AI coraz częściej pojawia się pytanie, kiedy system lub urządzenie z AI może zostać zakwalifikowane jako produkt w tym znaczeniu, oraz jakie to rodzi skutki dla producentów i dostawców.
Należyta staranność a korzystanie z systemów AI
Kolejnym kluczowym pojęciem jest należyta staranność. W uproszczeniu: to poziom staranności, jakiego można oczekiwać od rozsądnego, profesjonalnego podmiotu w danej sytuacji. Przenosząc to na grunt AI, należyta staranność obejmuje m.in.:
- przeprowadzenie analizy ryzyka przed wdrożeniem systemu,
- weryfikację dostawcy modelu i parametrów usługi (due diligence),
- testy i walidację działania systemu przed użyciem w praktyce,
- szkolenie użytkowników końcowych, aby rozumieli ograniczenia narzędzia,
- monitorowanie jakości i aktualizacje systemu po wdrożeniu.
Jeżeli organizacja wdraża system wysokiego ryzyka (np. w obszarze medycyny, kredytów, HR), wymagania co do należytej staranności są wyższe. Zaniedbania na tym polu mogą skutkować przypisaniem winy za szkody wywołane błędami AI, nawet jeśli sam model pochodzi od zewnętrznego dostawcy.
Dostawca systemu AI, operator, użytkownik końcowy – różne role prawne
Dla rozkładu odpowiedzialności za błędy AI istotne jest odróżnienie trzech ról:
- Dostawca systemu AI – podmiot, który opracowuje, trenuje lub sprzedaje system, często z poziomu chmury lub jako komponent do integracji. Może to być twórca modelu foundation lub firma oferująca wyspecjalizowane rozwiązanie.
- Operator – organizacja, która wykorzystuje system AI w swojej działalności (np. bank, szpital, sieć sklepów). To operator decyduje, do jakich celów system jest używany, jak jest skonfigurowany i jak przebiega proces decyzyjny.
- Użytkownik końcowy – konkretny pracownik, lekarz, analityk, rekruter, który w praktyce korzysta z narzędzia AI przy podejmowaniu decyzji.
Te trzy role mogą się częściowo pokrywać, ale z prawnego punktu widzenia niosą inne obowiązki. Dostawca odpowiada za projekt, jakość i zgodność systemu z deklaracjami oraz przepisami. Operator za sposób wdrożenia, nadzór, procedury i poinformowanie użytkowników o ograniczeniach narzędzia. Użytkownik końcowy za to, jak faktycznie korzysta z systemu i czy stosuje się do wytycznych. Odpowiedzialność za błędy AI może więc rozkładać się między te trzy grupy w różny sposób, w zależności od okoliczności.
Szkoda, związek przyczynowy i wina – fundamenty odpowiedzialności
Aby pociągnąć kogoś do odpowiedzialności za skutki błędów AI, zwykle trzeba wykazać trzy elementy: szkodę, związek przyczynowy i winę (z wyjątkami, np. przy odpowiedzialności za produkt niebezpieczny). Szkoda może mieć charakter majątkowy (utrata pieniędzy, koszt dodatkowego leczenia, utrata możliwości inwestycyjnej) lub niemajątkowy (krzywda, utrata dobrego imienia).
Związek przyczynowy to odpowiedź na pytanie, czy błędne działanie systemu AI – lub niewłaściwe korzystanie z niego – było przyczyną szkody. W sporach wokół AI często nie wystarczy wykazać, że system popełnił błąd. Trzeba jeszcze dowieść, że bez tego błędu szkoda by nie powstała lub miałaby istotnie mniejszy zakres.
Wina może mieć charakter umyślny (świadome naruszenie obowiązków, ignorowanie znanych ryzyk) lub nieumyślny (niedbalstwo, brak należytej staranności). W kontekście systemów AI częściej mowa o winie nieumyślnej: brak testów, brak procedur, brak szkoleń, ignorowanie ostrzeżeń o ograniczeniach modelu. Właściwa identyfikacja tych elementów przesądza o tym, czy odpowiedzialność za błędy AI zostanie przypisana, a jeśli tak – komu.
Główne źródła regulacji: od kodeksu cywilnego po AI Act i RODO
Ogólne zasady odpowiedzialności cywilnej w prawie polskim i unijnym
Odpowiedzialność za błędy AI opiera się obecnie przede wszystkim na ogólnych zasadach prawa cywilnego. W Polsce podstawą są przepisy kodeksu cywilnego o odpowiedzialności kontraktowej i deliktowej, a także regulacje szczególne (np. prawo konsumenckie, prawo medyczne). W prawie unijnym istotne są dyrektywy i rozporządzenia dotyczące produktów, bezpieczeństwa wyrobów, danych osobowych.
Co do zasady, aby powstała odpowiedzialność, musi wystąpić naruszenie obowiązku (umownego lub ustawowego), szkoda oraz związek przyczynowy między naruszeniem a szkodą. W przypadku AI te zasady nie znikają – zmienia się jedynie kontekst techniczny i stopień skomplikowania dowodu. Sąd będzie oceniał, czy dany podmiot:
- dochował należytej staranności przy projektowaniu, wdrażaniu i użyciu AI,
- mógł przewidzieć określone ryzyka,
- podjął adekwatne środki, aby je ograniczyć (np. testy, monitoring, szkolenia).
AI Act – nowy reżim dla systemów wysokiego ryzyka
Przełomem dla oceny odpowiedzialności za AI w Unii Europejskiej jest AI Act, czyli rozporządzenie ustanawiające jednolite zasady dla systemów sztucznej inteligencji. Regulacja nie tworzy odrębnego, kompletnego systemu odpowiedzialności odszkodowawczej, ale podnosi poprzeczkę wymagań wobec podmiotów wdrażających i dostarczających AI. Niewykonanie tych obowiązków może później ułatwić poszkodowanym wykazanie winy w procesie cywilnym.
AI Act wprowadza przede wszystkim rozróżnienie na:
- systemy zakazane – np. pewne formy manipulacji behawioralnej czy social scoringu,
- systemy wysokiego ryzyka – m.in. AI w medycynie, infrastrukturze krytycznej, rekrutacji, edukacji, finansach,
- systemy o ogólnym przeznaczeniu (GPAI), w tym modele foundation,
- narzędzia objęte lżejszymi wymogami transparentności (np. chatboty, generatory treści).
Dla odpowiedzialności kluczowe są systemy wysokiego ryzyka. Dostawcy i operatorzy takich rozwiązań muszą wdrożyć m.in.:
- system zarządzania ryzykiem (identyfikacja, ocena, ograniczanie),
- zarządzanie danymi używanymi do trenowania i testowania modeli,
- solidną dokumentację techniczną i rejestry działania systemu,
- mechanizmy nadzoru człowieka,
- testy bezpieczeństwa i jakości przed wprowadzeniem do obrotu i w trakcie eksploatacji.
Jeśli dojdzie do szkody, a operator nie będzie w stanie wykazać, że obowiązki z AI Act zostały wdrożone, może to zostać uznane za naruszenie należytej staranności. Z kolei dostawca systemu, który nie przygotował dokumentacji, nie zapewnił odpowiednich danych treningowych lub zignorował znane ograniczenia modelu, wystawia się na zarzut niedbalstwa w zakresie projektowania i wprowadzania produktu na rynek.
RODO jako ogólna rama dla systemów wykorzystujących dane osobowe
Z perspektywy błędów AI niezwykle istotne są przepisy RODO, ponieważ większość praktycznych zastosowań opiera się na danych osobowych – czy to wprost (dane klientów, pacjentów, kandydatów do pracy), czy pośrednio (profilowanie, analiza zachowań, rekomendacje). RODO nie reguluje AI jako takiej, ale nakłada konkretne obowiązki na administratorów danych, które wprost wpływają na projektowanie i użycie systemów AI.
Do najważniejszych obowiązków, które mają przełożenie na odpowiedzialność, należą:
- zasada rozliczalności – administrator musi być w stanie wykazać, że przetwarzanie (w tym z użyciem AI) jest zgodne z RODO,
- privacy by design i by default – uwzględnianie ochrony danych już na etapie projektowania systemu,
- ocena skutków dla ochrony danych (DPIA) dla operacji stwarzających wysokie ryzyko naruszenia praw i wolności osób fizycznych,
- informowanie osób, których dane dotyczą, o logice zautomatyzowanego przetwarzania, jego przewidywanych konsekwencjach,
- szczególne zasady dotyczące zautomatyzowanego podejmowania decyzji wywołujących skutki prawne lub w podobny sposób istotnie na nie wpływających (art. 22 RODO).
Jeżeli model AI oparty na danych osobowych generuje błędne decyzje kredytowe lub rekrutacyjne, a administrator nie przeprowadził wymaganej DPIA ani nie wdrożył odpowiednich środków zaradczych, ryzykuje nie tylko sankcjami administracyjnymi (kary od organu nadzorczego), ale też roszczeniami cywilnymi ze strony osób, których dane dotyczą.
Projektowane regulacje odpowiedzialności za AI w UE
Równolegle do AI Act trwają prace nad regulacjami dotyczącymi odpowiedzialności cywilnej za AI. Celem jest ułatwienie poszkodowanym dochodzenia roszczeń, zwłaszcza gdy trudno zrozumieć mechanizm działania systemu lub ustalić, który z wielu podmiotów w łańcuchu odpowiada za konkretny błąd.
W propozycjach pojawiają się m.in.:
- ułatwienia dowodowe – np. domniemania naruszenia obowiązków lub domniemania związku przyczynowego, gdy naruszone zostały wymogi z AI Act,
- zachęty do tworzenia kodeksów postępowania i standardów branżowych, które mogą pełnić rolę punktu odniesienia przy ocenie należytej staranności,
- mechanizmy lepszego dostępu do dowodów znajdujących się po stronie dostawcy lub operatora systemu (logi, dokumentacja, wyniki testów).
Jeżeli te rozwiązania wejdą w życie w zakładanym kształcie, odpowiedzialność za błędy AI może w praktyce częściej spoczywać na podmiotach, które nie udokumentują rzetelnie swojego podejścia do ryzyka, nawet jeśli dysponowały obiektywnie dobrym systemem.
Kto odpowiada w łańcuchu tworzenia i wdrażania AI – role i ich ryzyka
Producent modelu foundation i dostawca infrastruktury
Na początku łańcucha znajduje się twórca modelu foundation (np. dużego modelu językowego) oraz dostawca infrastruktury, z której korzystają kolejni uczestnicy. Ich odpowiedzialność jest zwykle bardziej odległa od szkody konkretnej osoby, ale nie znika.
Ryzyka po stronie tych podmiotów obejmują m.in.:
- wady projektowe modelu – np. brak mechanizmów ograniczających halucynacje w zastosowaniach, do których model jest wprost rekomendowany,
- niewłaściwy dobór danych treningowych – szczególnie jeśli powodują systemowe, przewidywalne błędy (np. dyskryminację określonych grup),
- nieadekwatne ostrzeżenia i dokumentacja – reklamowanie modelu jako nadającego się do celów, do których obiektywnie nie powinien być używany bez dodatkowych warstw kontroli.
Jeżeli dostawca foundation modelu promuje go jako narzędzie „gotowe do zastosowań medycznych” bez wyraźnych zastrzeżeń, a później służy on jako element systemu diagnostycznego, który popełnia rażące błędy, pojawia się podstawa, by badać odpowiedzialność także na tym najwcześniejszym etapie łańcucha.
Dostosowanie, fine-tuning i integratorzy rozwiązań
Kolejnym ogniwem są firmy dostosowujące modele do konkretnych zastosowań (fine-tuning, prompt engineering, budowa aplikacji nad modelem) oraz integratorzy wdrażający rozwiązania w infrastrukturze klienta. To na nich spoczywa odpowiedzialność za to, że „surowy” model zostanie użyty w bezpieczny i przewidywalny sposób.
Ich ryzyka obejmują w szczególności:
- niewłaściwe przygotowanie danych do fine-tuningu (np. wprowadzenie uprzedzeń lub błędów),
- brak testów w warunkach zbliżonych do produkcyjnych,
- błędne założenia co do roli modelu w procesie decyzyjnym (np. traktowanie narzędzia projektowanego jako pomocnicze jak systemu podejmującego decyzje automatyczne),
- wadliwą integrację z innymi systemami (np. niepełne dane wejściowe, brak walidacji wyników).
Jeżeli integrator sprzedaje gotowe „pudełkowe” rozwiązanie (np. system weryfikacji tożsamości w procesie KYC), może być traktowany jak producent produktu z AI, ze wszystkimi konsekwencjami w zakresie odpowiedzialności za produkt niebezpieczny lub wadliwy.
Operator systemu – organizacja jako centrum ryzyka
Największa część odpowiedzialności często spoczywa na operatorze systemu, czyli organizacji, która decyduje o celach i sposobach użycia AI. To operator wybiera dostawcę, określa parametry wdrożenia, buduje procedury, szkoli ludzi i ustala, jaką wagę ma mieć rekomendacja modelu w procesie decyzyjnym.
Typowe obszary ryzyka operatora to m.in.:
- wdrożenie AI bez analizy ryzyka i oceny skutków (prawnych, etycznych, w zakresie ochrony danych),
- brak polityk korzystania z AI dla pracowników, skutkujący dowolnym i niespójnym użyciem narzędzi,
- przyzwolenie na „automatyczną ufność” wobec wyniku modelu – np. KPI zachęcające do jak największej automatyzacji, bez realnej kontroli,
- zaniechanie stałego monitoringu jakości i przeglądu wyników, mimo że system używany jest w środowisku dynamicznym (zmiany rynku, prawa, zachowań klientów).
W sporach sądowych to właśnie operator jest często pierwszym pozwanym, ponieważ to on ma bezpośredni kontakt z osobą poszkodowaną (klientem, pacjentem, kandydatem) i w jego ręku są narzędzia do kształtowania procesu decyzyjnego.
Użytkownik końcowy – kiedy błąd pracownika „przerywa” odpowiedzialność za AI
Ostatnim ogniwem jest użytkownik końcowy: lekarz, analityk kredytowy, pracownik obsługi klienta. Wiele systemów AI ma charakter narzędzi wspierających, a decyzję podejmuje człowiek. Pojawia się więc pytanie, kiedy szkoda wynika nadal z błędu AI, a kiedy już z błędu człowieka polegającego na niewłaściwym użyciu narzędzia.
Można wskazać kilka typowych scenariuszy:
- pracownik ignoruje wyraźne ostrzeżenia systemu (np. „niska pewność predykcji”) i podejmuje decyzję wyłącznie na podstawie takiego wyniku,
- użytkownik wprowadza błędne dane wejściowe, choć mógł i powinien je zweryfikować,
- osoba korzystająca z AI działa sprzecznie z procedurami przyjętymi w organizacji.
W takich sytuacjach odpowiedzialność może zostać częściowo przesunięta na konkretnego pracownika (a w relacji zewnętrznej – na organizację, która odpowiada za jego działania). Jednocześnie sądy często badają, czy szkolenia i procedury faktycznie dawały realną szansę na prawidłowe użycie AI. Jeśli ich brakowało, zarzut winy powraca do operatora.
Odpowiedzialność za błędy AI z perspektywy prawa cywilnego
Błąd AI jako nienależyte wykonanie umowy
Z perspektywy relacji B2B (np. między dostawcą systemu AI a bankiem) kluczowa jest odpowiedzialność kontraktowa. Jeżeli system nie spełnia parametrów uzgodnionych w umowie – np. deklarowanego poziomu trafności, dostępności, zgodności z określonym standardem – mamy do czynienia z nienależytym wykonaniem zobowiązania.
W takiej sytuacji operator (klient) może domagać się:
- usunięcia wad lub poprawy jakości systemu,
- obniżenia wynagrodzenia,
- odszkodowania za poniesione straty (np. koszty dodatkowego personelu potrzebnego do „ręcznego” korygowania wyników),
- a w skrajnych przypadkach – odstąpienia od umowy.
Praktycznym problemem jest zbyt ogólny opis funkcjonalności w kontraktach. Jeżeli umowa sprowadza się do stwierdzenia, że „dostawca zapewni zaawansowany system AI do oceny ryzyka kredytowego”, trudno później wykazać, że dane zachowanie modelu stanowiło „wadę” w rozumieniu umowy. Im dokładniej opisane są parametry jakościowe i ograniczenia, tym łatwiej później dochodzić roszczeń.
Odpowiedzialność deliktowa za szkody wobec osób trzecich
Kiedy szkoda dotyka osób trzecich – klientów, pacjentów, użytkowników – najczęściej wchodzi w grę odpowiedzialność deliktowa. Pacjent pozywa szpital, klient pozywa bank, kandydat do pracy pozywa pracodawcę, nie zaś dostawcę technologii, z którym zwykle nie ma umowy.
Wtedy sąd bada, czy dany podmiot:
- naruszył ogólny obowiązek należytej staranności,
- mógł przewidzieć, że wykorzystanie AI w dany sposób stwarza istotne ryzyko błędów,
- wdrożył środki organizacyjne ograniczające to ryzyko (np. podwójną weryfikację decyzji w sytuacjach granicznych).
Dla przykładu: jeżeli szpital wdraża system wspomagania diagnostyki obrazowej jako narzędzie pomocnicze, ale w praktyce lekarze przestają samodzielnie analizować obrazy i polegają wyłącznie na rekomendacji AI, sąd może uznać, że doszło do niedbalstwa organizacyjnego. Szkoda pacjenta wynika wówczas nie tylko z błędu modelu, lecz także z wadliwej organizacji procesu leczenia.
Ustalenie związku przyczynowego w złożonych systemach AI
Najczęściej zadawane pytania (FAQ)
Kto ponosi odpowiedzialność, gdy sztuczna inteligencja popełni błąd?
Nie ma jednej uniwersalnej odpowiedzi. Co do zasady sąd będzie badał, czy szkoda wynikała z wady samego systemu (błąd techniczny), czy z niewłaściwego użycia AI przez człowieka (zła decyzja na podstawie AI). W pierwszym przypadku ciężar odpowiedzialności częściej spoczywa na producencie lub dostawcy systemu, w drugim – na użytkowniku lub organizacji, która korzysta z narzędzia.
Kluczowe jest też ustalenie, jaką rolę pełnił system w danym procesie: czy jedynie wspierał człowieka, czy de facto zastąpił go w podejmowaniu decyzji. Im bardziej AI „przejmuje stery”, tym trudniej bronić tezy, że wyłączną odpowiedzialność ponosi użytkownik końcowy.
Czy za błędy AI odpowiada producent, dostawca czy użytkownik?
W systemach AI odpowiedzialność jest zwykle rozłożona na kilka podmiotów: twórcę modelu bazowego, dostawcę platformy lub API, integratora, klienta biznesowego (np. bank, szpital) oraz użytkownika końcowego. Każdy z nich może odpowiadać za inny fragment „łańcucha” – projekt, wdrożenie, konfigurację, nadzór, sposób korzystania.
W praktyce sąd analizuje, na którym etapie pojawiło się uchybienie: czy zawiódł projekt modelu, jego implementacja, czy może procedury organizacji i zachowanie konkretnego pracownika. Dodatkowo między podmiotami istnieją umowy (SaaS, umowy wdrożeniowe, regulaminy), które modyfikują rozkład ryzyka, ale nie eliminują całkowicie odpowiedzialności wobec osoby poszkodowanej.
Jaka jest różnica między „błędem technicznym AI” a „złą decyzją na podstawie AI”?
Błąd techniczny to sytuacja, gdy system nie spełnia własnej specyfikacji – np. model kredytowy nie uwzględnia kluczowego parametru, choć dokumentacja to obiecuje, albo aplikacja do rozpoznawania twarzy myli osoby w oczywiście nadmiernym stopniu. W takim scenariuszu odpowiedzialność częściej kieruje się w stronę producenta lub dostawcy rozwiązania.
„Zła decyzja na podstawie AI” występuje wtedy, gdy system działa zgodnie z projektem, ale człowiek używa go bezrefleksyjnie lub wbrew przeznaczeniu. Przykład: lekarz traktuje rekomendację systemu diagnostycznego jak wiążącą diagnozę, choć narzędzie opisane jest jako pomocnicze, a dodatkowo pomija badanie pacjenta. W takim przypadku ciężar odpowiedzialności przesuwa się na użytkownika i organizację, która nie zapewniła właściwych procedur nadzoru.
Czy można pozwać firmę za decyzję podjętą z wykorzystaniem AI (np. odmowę kredytu)?
Tak, osoba, której dotyczy decyzja (np. klient banku), może dochodzić roszczeń, jeśli uważa, że padła ofiarą błędnej lub dyskryminującej decyzji podjętej z udziałem AI. Zwykle pozew kierowany jest przeciwko podmiotowi, który formalnie podejmuje decyzję wobec tej osoby – np. bankowi, szpitalowi, pracodawcy.
Dopiero na dalszym etapie bank czy szpital może próbować „regresu” wobec dostawcy lub integratora systemu, jeśli wykaże, że przyczyną szkody była wada systemu. Osoba poszkodowana nie musi znać szczegółowej architektury rozwiązania – kluczowe jest, że decyzja wywołująca szkodę zapadła w konkretnej instytucji.
Jaką rolę odgrywa pojęcie „AI jako narzędzie” a „AI jako usługa” przy ustalaniu odpowiedzialności?
Jeżeli AI jest traktowana jak klasyczne narzędzie (kalkulator, edytor tekstu), prawo skłania się ku większej odpowiedzialności użytkownika – zakłada się, że narzędzie wymaga kontroli i weryfikacji. Użytkownik odpowiada za to, jak z niego korzysta i czy zachowuje należytą staranność.
Gdy AI funkcjonuje jako usługa (np. scoring w modelu SaaS), większe znaczenie mają: umowa z dostawcą, zapewnienia dotyczące jakości i ograniczeń systemu oraz sposób, w jaki dostawca informuje o ryzykach. Wtedy odpowiedzialność może rozkładać się pomiędzy dostawcę usługi a organizację, która włącza tę usługę w swój proces decyzyjny.
Czym różni się odpowiedzialność kontraktowa, deliktowa i za produkt w kontekście AI?
Odpowiedzialność kontraktowa dotyczy relacji wynikających z umowy, np. między firmą a dostawcą systemu AI. Jeśli system nie spełnia ustalonych parametrów lub jest wdrożony wadliwie, klient może dochodzić roszczeń właśnie na podstawie kontraktu.
Odpowiedzialność deliktowa pojawia się, gdy szkoda powstaje poza stosunkiem umownym – np. pacjent pozywa szpital za błąd w diagnostyce z użyciem AI, choć nie ma umowy z dostawcą systemu. Odpowiedzialność za produkt niebezpieczny dotyczy z kolei producenta urządzenia lub systemu, który jako „produkt” okazał się niebezpieczny i wyrządził szkodę, przy czym w prawie unijnym nie zawsze trzeba udowadniać winę producenta, wystarczy wykazać wadliwość produktu i związek ze szkodą.
Czy tzw. „czarny box” AI zwalnia kogokolwiek z odpowiedzialności za decyzje?
Sam fakt, że model jest nieprzejrzysty („czarne pudełko”), nie zwalnia z odpowiedzialności. Przeciwnie – im trudniej zrozumieć działanie modelu, tym większego znaczenia nabierają obowiązki związane z wyjaśnialnością, dokumentacją, audytem oraz nadzorem człowieka. Brak kontroli nad „czarnym boxem” częściej będzie uznawany za zaniedbanie niż za okoliczność łagodzącą.
W praktyce odpowiedzialność może dotyczyć zarówno podmiotu, który taki model stworzył, jak i organizacji, która wdrożyła go w procesie decyzyjnym bez odpowiednich zabezpieczeń, testów czy procedur korygujących.
Najważniejsze punkty
- Odpowiedzialność za błędy AI zależy od roli, jaką system pełni w procesie: inaczej ocenia się narzędzie pomocnicze, inaczej usługę SaaS, a jeszcze inaczej „czarny box”, który w praktyce zastępuje człowieka w podejmowaniu decyzji.
- Im bardziej AI faktycznie „przejmuje stery” (np. rekomendacja jest traktowana jak automatyczna decyzja), tym trudniej obronić tezę, że wyłączną odpowiedzialność ponosi użytkownik końcowy.
- W systemach AI występuje wielopoziomowy łańcuch podmiotów – od twórcy modelu, przez dostawcę API i integratora, po klienta biznesowego i pracownika – co do zasady każdy z nich może ponosić inną, częściową odpowiedzialność, wynikającą z jego roli i umów.
- Granice między producentem, dostawcą, integratorem i organizacją korzystającą z AI są w praktyce rozmyte; ta sama firma może jednocześnie dostarczać technologię i współkształtować politykę decyzji (np. kredytowych), co utrudnia jednoznaczne przypisanie winy.
- Należy odróżniać „błąd techniczny” systemu (wadliwy algorytm, niespójność z dokumentacją, oczywiste błędy danych wyjściowych) od „złej decyzji na podstawie AI”, gdy człowiek używa poprawnie działającego systemu w sposób bezrefleksyjny lub sprzeczny z jego przeznaczeniem.
- Sąd, ustalając odpowiedzialność, bada zwykle dwa poziomy: czy szkoda wynika z wady systemu (wtedy ciężar przesuwa się na producenta/dostawcę) czy z nienależytego korzystania z narzędzia (wówczas kluczowe są działania użytkownika i organizacji, np. banku czy szpitala).
