Umowa z dostawcą narzędzia AI po 2 sierpnia 2026 r. – klauzule, których nie może zabraknąć

Od 2 sierpnia 2026 r. stosuje się obowiązki przejrzystości z art. 50 AI Act, a od 11 sierpnia 2026 r. obowiązuje polska ustawa o systemach sztucznej inteligencji – jej przepisy o kontrolach, postępowaniu przed organem nadzoru i karach obowiązują od 28 października 2026 r. Firmy kupujące gotowe narzędzia – chatboty, generatory treści, asystentów do obsługi klienta – często zakładają, że regulacja dotyczy tylko producentów. To błąd, a standardowy regulamin dostawcy rzadko rozwiązuje problem.

Kto i za co odpowiada

Rozporządzenie (UE) 2024/1689, czyli AI Act, rozróżnia m.in. dostawcę systemu i podmiot stosujący, czyli firmę, która używa systemu we własnej działalności. Podmiot stosujący ma własne obowiązki. Od 2 lutego 2025 r. obowiązuje art. 4 o kompetencjach w zakresie AI; po zmianie wprowadzonej rozporządzeniem (UE) 2026/1744 (tzw. Digital Omnibus, w mocy od 27 lipca 2026 r.) podmiot stosujący ma podejmować środki wspierające rozwój tych kompetencji u personelu, bez obowiązku gwarantowania określonego poziomu. Od 2 sierpnia 2026 r. dochodzą obowiązki przejrzystości. Dostawca ma tak zaprojektować system, by użytkownik wiedział, że rozmawia z AI, i oznaczać treści generowane w formacie odczytywalnym maszynowo (art. 50 ust. 1 i 2; dla systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r. – do 2 grudnia 2026 r.). Podmiot stosujący ma ujawniać, że deepfake'i oraz teksty publikowane w celu informowania opinii publicznej o sprawach interesu publicznego zostały wygenerowane przez AI (art. 50 ust. 4). Digital Omnibus odroczył natomiast obowiązki dla systemów wysokiego ryzyka – do 2 grudnia 2027 r. (załącznik III) i 2 sierpnia 2028 r. (załącznik I).

Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) określa przede wszystkim organizację nadzoru, postępowanie w sprawie naruszeń i zasady nakładania kar (art. 1); same obowiązki wynikają głównie z AI Act. Organem nadzoru jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), która ma prowadzić m.in. wykaz systemów AI, co do których wydano decyzję o nałożeniu kary (art. 66 ust. 2).

Część obowiązków podmiotu stosującego da się spełnić tylko wtedy, gdy dostawca zapewni odpowiednie funkcje i informacje. Stąd potrzeba dobrej umowy.

Klauzule, które proponujemy

Opis systemu i jego kwalifikacja. Dostawca powinien oświadczyć, czym jest system, do czego jest przeznaczony i jak go zakwalifikował na gruncie AI Act. Jeżeli firma zamierza używać narzędzia w obszarze, który może oznaczać wysokie ryzyko, ta kwestia wymaga osobnej analizy przed podpisaniem umowy.

Wsparcie przejrzystości. Zobowiązanie dostawcy do zapewnienia funkcji informowania użytkowników o kontakcie z AI i oznaczania treści generowanych (art. 50 ust. 1 i 2), a także narzędzi pozwalających firmie ujawniać treści, o których mowa w art. 50 ust. 4, wraz z dokumentacją, jak z nich korzystać.

Dokumentacja i materiały szkoleniowe. Instrukcje, opis ograniczeń systemu, informacje potrzebne do szkolenia personelu w ramach art. 4.

Dane osobowe. Jeżeli dostawca przetwarza dane osobowe w imieniu firmy, potrzebna jest umowa powierzenia spełniająca wymogi art. 28 RODO: przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób, obowiązki i prawa administratora, zasady korzystania z dalszych podmiotów przetwarzających, prawo audytu, usunięcie lub zwrot danych po zakończeniu współpracy. Do tego wyraźny zapis, czy dane klienta mogą służyć do trenowania modeli, oraz gdzie są przetwarzane – przekazanie poza Europejski Obszar Gospodarczy wymaga podstawy z rozdziału V RODO.

Poufność i tajemnica przedsiębiorstwa. Rozstrzygnięcie, co dostawca może robić z treściami wprowadzanymi przez pracowników.

Prawa do wyników. Kto może korzystać z treści wygenerowanych przez system i w jakim zakresie, z zastrzeżeniem, że ochrona takich treści prawem autorskim bywa wątpliwa.

Zmiany systemu i współpraca przy kontroli. Obowiązek uprzedzania o istotnych zmianach modelu oraz udzielania informacji, gdy pytania zada KRiBSI albo Prezes UODO.

Odpowiedzialność i wyjście z umowy. Podział odpowiedzialności za naruszenia, limity, prawo wypowiedzenia przy zmianie przepisów, eksport danych.

Co zrobić teraz

• Spisz narzędzia AI używane w firmie, także te kupione przez pojedyncze działy na kartę służbową.
• Sprawdź, które z nich kontaktują się z klientami lub generują treści publikowane na zewnątrz.
• Porównaj regulaminy dostawców z listą powyżej i wynegocjuj aneks albo umowę powierzenia.
• Udokumentuj szkolenia personelu z korzystania z AI.
• Wyznacz osobę odpowiedzialną za zgodność z AI Act w firmie.

Jak możemy pomóc

Negocjujemy i przygotowujemy umowy z dostawcami systemów AI, łącząc wymogi AI Act z umową powierzenia z art. 28 RODO. Szczegóły na stronie umowy cywilnoprawne.

Stan prawny na 27 października 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie.