Na czym to polega
Sporządź jednostronicową listę sposobów, w jakie twoja firma korzysta z AI, z przepisami, które dotyczą każdego z nich. W opisanych przypadkach firmy rozliczano z przepisów, które już znały: odpowiadaj za to, co mówisz klientom, chroń dane osobowe, nie wprowadzaj w błąd w reklamie, sprawdzaj to, co składasz. Narzędzie było nowe. Przepis był stary.
Co pokazują dowody
Podstawą tej rady są decyzje i wytyczne sądów i regulatorów w czterech krajach, standardowe warunki polis ubezpieczeniowych w Stanach Zjednoczonych oraz tekst unijnego aktu w sprawie sztucznej inteligencji (AI Act). Każdy przepis jest opisany dla miejsca, w którym obowiązuje.
Przepisy, które istniały przed AI
- Odpowiadasz za to, co twoja AI mówi klientom (Kanada, Kolumbia Brytyjska). Air Canada twierdziła, że linia nie odpowiada za błędną odpowiedź swojego chatbota. Trybunał orzekł, że firma odpowiada za wszystkie informacje na swojej stronie internetowej, niezależnie od tego, czy pochodzą z “a static page or a chatbot” [„statycznej strony czy z chatbota”].
- Prawo o ochronie prywatności obejmuje to, co pracownicy wpisują do narzędzi AI (Australia, Wiktoria). Stanowy organ ochrony prywatności stwierdził, że urząd państwowy naruszył dwie zasady ochrony prywatności, gdy pracownica wpisała szczegóły sprawy do ChatGPT: obowiązek dbania o poprawność danych osobowych i obowiązek ochrony ich przed nieuprawnionym ujawnieniem.
- Prawo konsumenckie obejmuje AI, której używasz (Stany Zjednoczone). Federal Trade Commission zakazała Rite Aid używania rozpoznawania twarzy przez pięć lat. Komisja stwierdziła, że sieć używała systemu bez testowania go, bez sprawdzenia dostawców i bez szkolenia pracowników.
- Przepisy o reklamie obejmują to, co mówisz o AI (Stany Zjednoczone). Securities and Exchange Commission ukarała grzywną dwóch doradców inwestycyjnych na podstawie istniejących przepisów o marketingu za deklarowanie AI, której nie mieli. Federal Trade Commission podjęła działania wobec usługi „robot prawnik” i dostawcy detektora tekstów AI z powodu niesprawdzonych twierdzeń.
- Przepisy o reklamie obowiązują bez względu na to, jak powstała reklama (Wielka Brytania). Advertising Standards Authority podkreśla, że jej kodeks obowiązuje niezależnie od tego, czy reklamę zrobiono z pomocą AI, a automatyzacja “doesn’t transfer liability” [„nie przenosi odpowiedzialności”]. Powołała się na wcześniejsze rozstrzygnięcie, w którym automatyczne narzędzia Google złożyły reklamę dla małego sprzedawcy odzieży. Regulator uznał za odpowiedzialnego sprzedawcę.
- Narzędzia rekrutacyjne mogą postawić dostawcę przed sądem (Stany Zjednoczone). Sąd federalny dopuścił ogólnokrajowy pozew zbiorowy o dyskryminację ze względu na wiek przeciwko Workday, którego AI selekcjonuje kandydatów do pracy dla jego klientów. W lipcu 2025 roku sąd rozszerzył go na funkcje AI produktu, który Workday kupił później. Orzeczenia są wstępne i żaden sąd nie uznał Workday za odpowiedzialny.
- Obowiązki zawodowe się nie zmieniły (Stany Zjednoczone, Anglia i Walia). Sądy ukarały lub skierowały do organów nadzoru prawników, którzy złożyli wyniki AI, których nikt nie sprawdził, w kancelariach w Nowym Jorku, Anglii, Wyoming i Alabamie. Jeden z amerykańskich sądów napisał, że choć prawnicy przechodzą na AI, obowiązek sprawdzania źródeł “remains unchanged” [„pozostaje bez zmian”].
Twoje ubezpieczenie może nie obejmować wyników AI (Stany Zjednoczone)
Prasa branżowa podaje, że ISO, należąca do Verisk organizacja, która pisze standardowe warunki polis używane przez amerykańskich ubezpieczycieli, wydała trzy opcjonalne klauzule dodatkowe z datą styczeń 2026: CG 40 47, CG 40 48 i CG 35 08. Klauzula dodatkowa to uzupełnienie polisy. Pozwalają one ubezpieczycielowi wyłączyć z polisy od ogólnej odpowiedzialności cywilnej szkody wynikające z generatywnej AI. Przy odnowieniu zapytaj brokera, czy AI jest wyłączona i ile kosztuje ochrona obejmująca AI.
Przepisy napisane dla AI: unijny AI Act
AI Act (rozporządzenie (UE) 2024/1689) obejmuje organizacje, które używają AI w UE, a nie tylko te, które ją tworzą. Akt nazywa użytkowników „podmiotami stosującymi” (ang. deployers). Jego przepisy zaczynają obowiązywać w różnych terminach. Poniższe daty pochodzą z art. 113, w tekście ze zmianami do 27 lipca 2026.
| Od kiedy | Co obowiązuje | Artykuł |
|---|---|---|
| 2 lutego 2025 | Organizacje, które używają AI, muszą “take measures to support the development of AI literacy of their staff” [„podejmować środki wspierające rozwój kompetencji w zakresie AI swojego personelu”]. Mówiąc prosto: pomóż pracownikom zrozumieć AI. | 4 |
| 2 sierpnia 2026 | Systemy AI, które rozmawiają z ludźmi, muszą być zaprojektowane tak, by ludzie wiedzieli, że mają do czynienia z AI, chyba że to oczywiste. Każdy, kto publikuje deepfake, musi ujawnić, że został on wygenerowany sztucznie. Deepfake to realistyczny obraz, dźwięk lub film przedstawiający coś, co się nie wydarzyło. | 50 |
| 2 grudnia 2027 | Obowiązki tych, którzy używają systemów AI „wysokiego ryzyka” w obszarach wymienionych w załączniku III. Lista obejmuje rekrutację lub wybór kandydatów, decyzje dotyczące pracowników i ocenę zdolności kredytowej osoby. | 26 |
W przypadku systemów wysokiego ryzyka art. 26 mówi, że użytkownik systemu musi:
- używać go zgodnie z instrukcjami dostawcy;
- powierzyć nadzór nad nim osobom, które mają “the necessary competence, training and authority” [„niezbędne kompetencje, przeszkolenie i uprawnienia”];
- jako pracodawca, poinformować pracowników i ich przedstawicieli, zanim zacznie używać takiego systemu w miejscu pracy;
- informować ludzi, gdy taki system podejmuje decyzję na ich temat lub pomaga ją podjąć.
Jak to zrobić
- Wypisz każde zastosowanie AI w firmie. Uwzględnij narzędzia, które pracownicy zaczęli używać na własną rękę. Przy każdym zapisz, co robi i kogo dotyczy: klientów, pracowników, kandydatów do pracy, nikogo z zewnątrz.
- Zaznacz zastosowania, które dotyczą ludzi. Odpowiedzi dla klientów, dane osobowe, decyzje o zatrudnieniu i obsadzie stanowisk, decyzje kredytowe i wszystko, co publikujesz lub reklamujesz.
- Do każdego zaznaczonego zastosowania dopasuj przepisy, których już przestrzegasz. Przy każdym zapytaj: gdyby robił to człowiek, jaki przepis by obowiązywał? Ten przepis obowiązuje.
- Jeśli działasz w UE, porównaj trzy terminy z AI Act podane wyżej ze swoją listą. Narzędzia rekrutacyjne i ocena zdolności kredytowej to zastosowania, które najczęściej będą „wysokiego ryzyka”.
- Sprawdź regulatora swojej branży. Samorządy zawodowe, regulatorzy finansowi i organy ochrony danych opublikowały wytyczne dotyczące AI. Przeczytaj te, które dotyczą ciebie.
- Wpisz wynik do swojej polityki korzystania z AI i przekaż listę osobie, która odpowiada za AI w firmie.
- Zapytaj ubezpieczyciela lub brokera, przed odnowieniem, czy twoje polisy wyłączają szkody spowodowane przez AI.
- Przeglądaj listę co sześć miesięcy. Pojawiają się nowe narzędzia, a terminy mijają.
Co mierzyć
- Czy lista zastosowań AI jest kompletna i opatrzona datą.
- Odsetek zastosowań dotyczących ludzi, które mają wskazany przepis i wskazaną osobę odpowiedzialną.
Gdzie to zawodzi
- Czekanie na ustawę o AI. Każda kara opisana na tej stronie została nałożona na podstawie przepisów starszych niż narzędzie.
- Założenie, że ryzyko ponosi dostawca. W sprawie Rite Aid ukarano kupującego, a nie dwóch dostawców. Brytyjski regulator reklamy podkreśla, że automatyczne narzędzia reklamowe nie zdejmują odpowiedzialności z reklamodawcy. W Stanach Zjednoczonych twoje własne ubezpieczenie od odpowiedzialności cywilnej może wyłączać szkody spowodowane przez AI.
- Traktowanie tego jako jednorazowego zadania. Unijne terminy dla systemów wysokiego ryzyka zmieniono w 2026 roku. Sprawdzaj je ponownie przy każdym przeglądzie.
- Patrzenie tylko na własny kraj. Przepisy idą za tym, gdzie są twoi klienci i pracownicy.
Według wielkości firmy
- Mikro i małe: godzina z listą. Większość małych firm ma od trzech do pięciu zastosowań AI, a jedno lub dwa z nich dotyczą ludzi.
- Średnie: osoba odpowiedzialna za AI prowadzi listę i przegląda ją dwa razy w roku.
- Średnio-duże i duże: lista staje się rejestrem prowadzonym razem z działem prawnym i działem zgodności, sprawdzanym przed zakupem każdego nowego narzędzia AI.
Przypadki firm
Firmy, które to zrobiły
Co się stało bez niej
- Air Canada Linia twierdziła, że nie odpowiada za to, co mówi jej chatbot. Trybunał orzekł, że firma odpowiada za wszystko na swojej stronie.
- Delphia (USA) and Global Predictions Regulator zastosował istniejący przepis zakazujący nieprawdziwych twierdzeń w reklamie. Żaden przepis dotyczący AI nie był potrzebny.
- Department of Families, Fairness and Housing (Victoria) Regulator stwierdził dwa naruszenia stanowych zasad ochrony prywatności: dotyczące dbania o dokładność danych osobowych i ochrony ich przed nieuprawnionym ujawnieniem.
- Rite Aid Regulator działał na podstawie prawa ochrony konsumentów. Stwierdził też, że Rite Aid nie przestrzegała wcześniejszej decyzji dotyczącej nadzoru nad bezpieczeństwem danych u jej dostawców.
Źródła
Żadne opublikowane badanie nie sprawdza tej praktyki bezpośrednio, dlatego ma ocenę „Powszechna praktyka”. Ocena opiera się na przypadkach firm opisanych wyżej i na źródłach podanych niżej.
- Moffatt v. Air Canada, 2024 BCCRT 149. British Columbia Civil Resolution Tribunal, 14 February 2024. decisions.civilresolutionbc.ca
- US Federal Trade Commission (25 September 2024). FTC announces crackdown on deceptive AI claims and schemes. Press release. ftc.gov
- US Securities and Exchange Commission (18 March 2024). SEC charges two investment advisers with making false and misleading statements about their use of artificial intelligence. sec.gov
- Office of the Victorian Information Commissioner (September 2024). Investigation into the use of ChatGPT by a Child Protection worker. ovic.vic.gov.au
- R (Ayinde) v London Borough of Haringey and Al-Haroun v Qatar National Bank [2025] EWHC 1383 (Admin). High Court of England and Wales, 6 June 2025. judiciary.uk
- European Union. AI Act, Regulation (EU) 2024/1689, Article 4 (AI literacy), consolidated text of 27 July 2026. European Commission’s AI Act Service Desk. ai-act-service-desk.ec.europa.eu
- European Union. AI Act, Article 26 (obligations of deployers of high-risk AI systems). ai-act-service-desk.ec.europa.eu
- European Union. AI Act, Article 50 (transparency obligations). ai-act-service-desk.ec.europa.eu
- European Union. AI Act, Article 113 (entry into force and application). ai-act-service-desk.ec.europa.eu
- European Union. AI Act, Annex III (high-risk AI systems). ai-act-service-desk.ec.europa.eu
- Advertising Standards Authority (11 June 2026). AI and Deepfakes: Four Things Advertisers Need to Know Before They Hit 'Run'. asa.org.uk
- Mobley v. Workday, Inc., No. 3:23-cv-00770 (N.D. Cal.). Order of July 2025 (Dkt. 158). storage.courtlistener.com
- Independent Insurance Agents & Brokers of America (21 October 2025). Verisk to roll out new general liability exclusions for generative AI exposures. Trade press. independentagent.com
- Insurance Business (16 September 2026). ISO's generative AI exclusion is already on thousands of CGL policies. Trade press. insurancebusinessmag.com
Powiązane praktyki
- Napisz jednostronicową politykę korzystania z AI, którą pracownicy naprawdę przeczytają Zmieść zasady dotyczące AI na jednej stronie: jakie narzędzia są dozwolone, czego nigdy nie wolno do nich wpisywać, kto sprawdza wyniki i kogo pytać. Potem wbuduj najważniejszą zasadę w samą pracę, bo sama kartka jest ignorowana. Zrób najpierw · Nakład pracy: niski (dni, jedna osoba)
- Niech człowiek sprawdza wszystko, co trafia do klienta lub ma znaczenie prawne Zanim wynik AI wyjdzie poza firmę albo posłuży do decyzji, wskazana osoba sprawdza go z prawdziwymi źródłami i zatwierdza. Niech to sprawdzenie będzie krokiem w procesie, z zarezerwowanym na nie czasem. Zrób najpierw · Nakład pracy: średni (tygodnie, kilka osób)
- Obiecuj tylko to, co twoja AI robi w sprawdzonych testach Jeśli mówisz klientom, że twój produkt lub usługa używa AI albo jak dobrze działa, miej dowody, zanim to powiesz. Regulatorzy traktują „oparte na AI” i „dokładność 98%” jak każde inne twierdzenie o faktach. Zrób potem · Nakład pracy: niski (dni, jedna osoba)
- Wyznacz jedną osobę odpowiedzialną za AI Powierz odpowiedzialność za AI jednej wskazanej osobie z kierownictwa: priorytety, budżet, ryzyko i wyniki. Wspólna odpowiedzialność zwykle oznacza, że nikt nie decyduje. Zrób najpierw · Nakład pracy: niski (dni, jedna osoba)