Umowa z dostawcą systemu AI - jakie zapisy dodać

AI Act - Obowiązki na co dzień: kompetencje, przejrzystość, dane i umowy

Umowa z dostawcą systemu AI - jakie zapisy dodać

W skrócie

Temat wraca przy zakupie systemu AI, przedłużaniu licencji albo budowie własnego rozwiązania na cudzym modelu. Oddzielamy zapisy, które wynikają wprost z AI Act, od praktycznych, dzięki którym umowa z dostawcą AI pozwala firmie wykonać własne obowiązki, i omawiamy wzorcowe klauzule UE.

Jak to wygląda w praktyce

Firma kurierska z Rzeszowa kupuje system do oceny pracowników i przydzielania im zadań, czyli z obszaru załącznika III pkt 4, i rozszerza licencję na chatbota obsługi klienta. Dostawca przysyła standardowe warunki licencji, w których nie ma ani słowa o logach, zmianach modelu i incydentach. Dział prawny pyta, czy AI Act każe coś dopisać i co się zmieni, jeśli firma zacznie sprzedawać system innym przedsiębiorstwom pod własną marką.

Co mówią przepisy

W łańcuchu dostaw AI Act wprost wymaga pisemnej umowy w art. 25 ust. 4 w brzmieniu z Digital Omnibus (rozporządzenie (UE) 2026/1744). Dostawca systemu wysokiego ryzyka i osoba trzecia dostarczająca system AI, model AI, narzędzia, usługi, komponenty lub procesy używane w tym systemie wskazują w niej informacje, zdolności, dostęp techniczny i pomoc potrzebne dostawcy do spełnienia obowiązków. Wyjątek dla otwartych licencji nie obejmuje modeli ogólnego przeznaczenia. Urząd ds. AI może opracować dobrowolne wzorcowe postanowienia umowne. Naruszenie art. 25 ust. 2 i 4 jest od tej zmiany w katalogu kar z art. 99 ust. 4 (lit. da).

Firma sama staje się dostawcą systemu wysokiego ryzyka, z obowiązkami z art. 16, w trzech sytuacjach (art. 25 ust. 1). Są to: umieszczenie na nim swojej nazwy lub znaku towarowego, istotna zmiana systemu i zmiana przeznaczenia, po której staje się on systemem wysokiego ryzyka. Przy własnej nazwie przepis zastrzega, że umowa może przewidywać inny podział obowiązków (lit. a). Pierwotny dostawca ma wtedy współpracować z nowym i przekazać mu dokumentację, chyba że wyraźnie zastrzegł, że jego systemu nie wolno zmieniać w system wysokiego ryzyka (ust. 2). Takie zastrzeżenie warto wychwycić w licencji.

Zobacz też: Szkolenie Gotowość na AI ACT

Firma, która tylko używa systemu wysokiego ryzyka, nie ma w AI Act obowiązku zawarcia określonej umowy. Od 2 grudnia 2027 r. (załącznik III) musi jednak używać systemu zgodnie z instrukcją, powierzyć nadzór kompetentnym osobom i monitorować działanie. Przechowuje też logi pod swoją kontrolą co najmniej sześć miesięcy i informuje dostawcę oraz organ nadzoru rynku o ryzyku i poważnych incydentach (art. 26). Dostawca dołącza instrukcję obsługi m.in. z przeznaczeniem, poziomem dokładności, znanymi ryzykami, środkami nadzoru człowieka i opisem mechanizmów rejestrowania zdarzeń (art. 13 ust. 3) i przechowuje logi pod swoją kontrolą co najmniej sześć miesięcy (art. 19). Przy ocenie skutków dla praw podstawowych podmiot stosujący może oprzeć się na ocenie dostawcy (art. 27 ust. 2), a poważne incydenty zgłasza dostawca (art. 73). Przy chatbotach i generatorach treści obowiązki z art. 50 ust. 1 i 2 ma dostawca od 2 sierpnia 2026 r., a przy generatorach wprowadzonych wcześniej ma czas do 2 grudnia 2026 r. (art. 111 ust. 4). Dostawca modelu ogólnego przeznaczenia udostępnia firmom, które integrują model, informacje o jego możliwościach i ograniczeniach (art. 53 ust. 1 lit. b).

Gdy dostawca przetwarza dane osobowe w imieniu firmy, umowa musi spełniać art. 28 ust. 3 RODO i obejmować m.in. działanie na udokumentowane polecenie, poufność, bezpieczeństwo, zasady korzystania z podwykonawców, pomoc przy ocenie skutków, usunięcie lub zwrot danych i audyty.

Komisja Europejska udostępnia wzorcowe klauzule dla zamówień publicznych na systemy AI (MCC-AI), w wersji pełnej dla wysokiego ryzyka i uproszczonej dla pozostałych systemów, także po polsku (aktualizacja z 5 marca 2025 r.). Obejmują m.in. rejestrowanie zdarzeń z opcjonalnym dostępem do logów, nadzór człowieka, ocenę zgodności, działania naprawcze, prawa do danych, współpracę przy ocenie skutków dla praw podstawowych i audyt. To dokument roboczy, który według Komisji nie odzwierciedla jej oficjalnego stanowiska i powstał przed zmianami z 2026 r., więc służy jako lista kontrolna, a nie gotowa umowa.

Co zrobić krok po kroku

1. Rola i kategoria systemu. Osoba od compliance ustala, czy firma będzie podmiotem stosującym, czy dostawcą, np. przy sprzedaży pod własną marką, i czy system jest wysokiego ryzyka. Ścieżkę opisujemy w poście o tym, jak ustalić rolę firmy w AI Act. Efekt: notatka, od której zależy lista zapisów.
2. Dokumenty. Prawnik dopisuje obowiązek przekazania instrukcji obsługi z art. 13 przed wdrożeniem i jej aktualizacji przy każdej zmianie. Dostawca przekazuje też kopię deklaracji zgodności UE dla systemu wysokiego ryzyka oraz informacje potrzebne do oceny skutków dla ochrony danych (DPIA) i oceny skutków dla praw podstawowych. Efekt: załącznik z listą dokumentów i terminami.
3. Logi. Umowa określa, gdzie powstają rejestry zdarzeń, kto i jak długo je przechowuje, nie krócej niż sześć miesięcy, oraz jak firma uzyska do nich dostęp na potrzeby monitorowania, wyjaśniania decyzji i kontroli. Efekt: zapis o logach z formatem i czasem udostępnienia.
4. Zmiany i incydenty. Dostawca zobowiązuje się uprzedzać o zmianach modelu i istotnych aktualizacjach oraz informować firmę o działaniach naprawczych. Strony ustalają kanał i czas powiadomień o ryzyku i poważnych incydentach w obie strony, z uwzględnieniem terminów zgłaszania poważnego incydentu z systemem AI. Efekt: procedura współpracy w załączniku.
5. Przejrzystość. Przy chatbotach i generatorach dostawca potwierdza, że system informuje o rozmowie z AI i oznacza treści w formacie maszynowym według art. 50, a firma może skonfigurować komunikaty. Efekt: zapis o funkcjach przejrzystości.
6. Dane osobowe. Inspektor ochrony danych sprawdza umowę powierzenia z art. 28 RODO, listę podwykonawców, miejsce przetwarzania i zakaz używania danych firmy do innych celów niż wykonanie umowy. Efekt: podpisana umowa powierzenia.
7. Kontrola i zakończenie. Dostawca zobowiązuje się współpracować przy kontroli KRiBSI (Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji) i udostępniać informacje potrzebne do wykazania zgodności, a umowa określa zwrot lub usunięcie danych i przekazanie logów po jej zakończeniu. Efekt: zapisy o audycie i zakończeniu umowy.

Jak sprawdzić, że sprawa jest załatwiona

Teczka każdego kupowanego systemu AI zawiera notatkę o roli firmy oraz umowę albo aneks, które obejmują dokumenty, logi, zmiany, incydenty, przejrzystość, dane osobowe i współpracę przy kontroli, z terminami i osobami kontaktowymi po obu stronach. Przy systemach wysokiego ryzyka sprawdź, czy dokumenty wystarczą do oceny skutków dla praw podstawowych, jeśli firma jej podlega.

W teczce są też aktualna instrukcja obsługi, korespondencja o zmianach i incydentach oraz umowa powierzenia.

Podstawa prawna i źródła

• art. 25, art. 26 i art. 27 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 13 ust. 3, art. 16, art. 19, art. 50, art. 53 ust. 1 lit. b, art. 73 i art. 99 ust. 4 lit. da AI Act
• art. 1 pkt 12 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2026/1744 (nowe brzmienie art. 25 ust. 2 i 4 AI Act) (źródło)
• art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) (źródło)
• Komisja Europejska, Public Buyers Community, Updated EU AI model contractual clauses (MCC-AI), 5.03.2025, wersja polska klauzul z lutego 2025 r. (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001