1 godzina temu
W pierwszej części artykułu przedstawiono zakres uprawnień informacyjnych organów kontrolujących systemy AI oraz wynikającą z art. 78 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Dz.Urz. UE L z 2024 r. Nr 131, s. 1689; dalej: AIAct) zasadę, zgodnie z którą organ może żądać jedynie danych ściśle niezbędnych do wykonywania swoich kompetencji. Szeroki dostęp do dokumentacji, danych i systemów przedsiębiorcy nie oznacza zatem nieograniczonego prawa do informacji. Kolejnym problemem jest sytuacja, w której materiały potrzebne do kontroli zawierają tajemnicę przedsiębiorstwa lub inne informacje objęte szczególną ochroną.
Tajemnica przedsiębiorstwa nie stanowi generalnej podstawy odmowy kontroli
Najczęstszym praktycznym błędem może okazać się przekonanie, iż samo oznaczenie materiału jako confidential albo trade secret pozwala odmówić jego przekazania adekwatnemu organowi nadzoru rynku. AIAct przyjmuje inne rozwiązanie.
Art. 78 ust. 1 AIAct nakłada na Komisję Europejską, organy nadzoru rynku, jednostki notyfikowane oraz inne osoby uczestniczące w stosowaniu rozporządzenia obowiązek poszanowania poufności informacji i danych uzyskanych przy wykonywaniu ich zadań. Ochrona obejmuje w szczególności prawa własności intelektualnej, poufne informacje handlowe i tajemnice przedsiębiorstwa, w tym kod źródłowy. W zakresie, w jakim Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji działa jako adekwatny organ nadzoru rynku, również ona jest objęta tym obowiązkiem.
Tajemnica przedsiębiorstwa nie tworzy zatem generalnego immunitetu informacyjnego wobec regulatora. o ile informacja mieści się w zakresie prawnie dopuszczalnego żądania organu, jej poufny charakter nie stanowi sam przez się podstawy odmowy przekazania. Jednocześnie status takiej informacji ma istotne konsekwencje dla sposobu jej przetwarzania, zabezpieczania i dalszego udostępniania przez organ.
Taką konstrukcję wzmacnia art. 74 ust. 14 AIAct, zgodnie z którym informacje i dokumentacja uzyskane przez organy nadzoru rynku podlegają obowiązkom poufności określonym w art. 78 AIAct. Na poziomie krajowym art. 50 ust. 8 ustawy z 3.7.2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003; dalej: AIU) nakłada natomiast na osobę wykonującą czynności kontrolne obowiązek przestrzegania poufności informacji i danych, w tym danych osobowych oraz informacji stanowiących tajemnicę przedsiębiorstwa, uzyskanych podczas wykonywania zadań wynikających z AIAct i ustawy (przepisy rozdziału 3 AIU, zatytułowanego „Kontrola przestrzegania przepisów o sztucznej inteligencji”, wejdą w życie 28.10.2026 r.).
Nie istnieje więc prosta alternatywa pomiędzy obowiązkiem udostępnienia informacji a ochroną tajemnicy przedsiębiorstwa. Obowiązek współpracy z organem i obowiązek ochrony poufności mają funkcjonować równolegle, a granicę ingerencji wyznaczają w szczególności przedmiot kontroli, zakres kompetencji organu oraz wymóg ścisłej niezbędności wynikający z art. 78 ust. 2 AIAct.
Co może stanowić tajemnicę przedsiębiorstwa w systemie AI?
Pojęcie tajemnicy przedsiębiorstwa należy interpretować w świetle dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/943 z 8.6.2016 r. w sprawie ochrony niejawnego know-how i niejawnych informacji handlowych (tajemnic przedsiębiorstwa) przed ich bezprawnym pozyskiwaniem, wykorzystywaniem i ujawnianiem (Dz.Urz. UE L z 2016 r. Nr 157, s. 1 ) oraz art. 11 ust. 2 ustawy 16.4.1993 r. o zwalczaniu nieuczciwej konkurencji (t.j. Dz.U. z 2026 r. poz. 85; dalej: ZNKU). Ochronie podlegają informacje techniczne, technologiczne, organizacyjne lub inne informacje posiadające wartość gospodarczą, które nie są powszechnie znane ani łatwo dostępne osobom zwykle zajmującym się danym rodzajem informacji, o ile podmiot uprawniony podjął przy zachowaniu należytej staranności działania zmierzające do zachowania ich poufności.
W odniesieniu do AI katalog potencjalnie chronionych informacji będzie wyjątkowo szeroki. Może obejmować m.in. architekturę systemu, kod źródłowy, sposób fine-tuningu modelu, hiperparametry, techniki optymalizacji, szczegóły pipeline’u danych, dokumentację MLOps, benchmarki, wyniki testów, rozwiązania z zakresu guardrails, konfigurację promptów systemowych, metodologię red-teamingu, niepubliczne podatności, zasady filtrowania wyników czy wewnętrzne metody oceny ryzyka. Tajemnicą mogą być również zestawienia informacji, których poszczególne elementy są publicznie znane. W gospodarce cyfrowej wartość gospodarcza często wynika nie z pojedynczego elementu, ale ze sposobu zestawienia danych, procedur i rozwiązań technicznych. Nie oznacza to jednak, iż całe środowisko technologiczne przedsiębiorcy może zostać zbiorczo oznaczone jako tajemnica.
Doświadczenia wynikające z orzecznictwa dotyczącego art. 11 ust. 2 ZNKU, zwłaszcza wypracowanego na tle zamówień publicznych, pokazują, iż samo powtórzenie definicji tajemnicy przedsiębiorstwa nie jest wystarczające. Konieczne jest wykazanie jej wartości gospodarczej, braku powszechnej dostępności oraz rzeczywistych działań podejmowanych w celu zachowania poufności. W praktyce kontroli AI może to mieć bardzo duże znaczenie.
Odrębna ochrona komunikacji z profesjonalnym pełnomocnikiem
Od ochrony tajemnicy przedsiębiorstwa należy odróżnić szczególną ochronę materiałów związanych z korzystaniem przez kontrolowanego z profesjonalnej pomocy prawnej, przewidzianą w art. 54 AIU. Przepis ten nie ustanawia mechanizmu rozstrzygania sporów o to, czy określona informacja stanowi tajemnicę przedsiębiorstwa. Jego przedmiotem jest ochrona ściśle określonej komunikacji i materiałów związanych z realizacją prawa kontrolowanego do uzyskania ochrony prawnej.
Zgodnie z art. 54 ust. 1 AIU, o ile kontrolowany lub osoba przez niego upoważniona oświadczy, iż ujawnione w toku kontroli materiały, dokumenty lub inne dane zawierają komunikację między kontrolowanym a adwokatem, radcą prawnym albo wskazanym w ustawie prawnikiem zagranicznym, wytworzoną w celu realizacji prawa kontrolowanego do uzyskania ochrony prawnej w toku przeprowadzanej kontroli, albo zostały sporządzone wyłącznie w celu realizacji tego prawa, kontrolujący pozostawia takie materiały, dokumenty lub dane w miejscu przeprowadzenia kontroli.
Kontrolujący może jednak zapoznać się z nimi w zakresie pozwalającym ustalić autora, adresata, tytuł, przedmiot i datę sporządzenia, a także żądać dodatkowych wyjaśnień oraz – o ile jest to możliwe – przygotowania wersji dokumentu niezawierającej informacji objętych ochroną. o ile oświadczenie kontrolowanego budzi wątpliwości co do spełnienia ustawowych przesłanek ochrony, kontrolujący przekazuje materiał Sądowi Okręgowemu w Warszawie – Sądowi Ochrony Konkurencji i Konsumentów – w sposób zapewniający zabezpieczenie jego treści. Ciężar wykazania przesłanek ochrony spoczywa na kontrolowanym, a SOKiK rozstrzyga o zwrocie materiałów kontrolowanemu albo adekwatnemu organowi na potrzeby kontroli.
Mechanizmu tego nie należy rozszerzać na każdą informację oznaczoną jako poufna lub stanowiącą tajemnicę przedsiębiorstwa. Ochrona tajemnicy przedsiębiorstwa wynika przede wszystkim z art. 78 AIAct oraz art. 50 ust. 8 AIU, natomiast art. 54 AIU ustanawia odrębną gwarancję procesową dotyczącą określonej komunikacji z profesjonalnym pełnomocnikiem. W praktyce obie kategorie mogą oczywiście się na siebie nakładać – dokument sporządzony na potrzeby ochrony prawnej może jednocześnie zawierać tajemnicę przedsiębiorstwa – nie zmienia to jednak odmiennej podstawy i charakteru obu mechanizmów ochronnych.
W trzeciej części artykułu
Ochrona poufności nabiera szczególnego znaczenia, gdy przedmiotem żądania organu nie jest klasyczna dokumentacja przedsiębiorcy, ale sama technologia. W trzeciej części artykułu zostaną omówione zasady dostępu do kodu źródłowego systemu AI, danych treningowych i logów oraz problemy związane z informacjami należącymi do kontrahentów i innych uczestników łańcucha dostaw AI.
