Inżynierowie z zespołu rozwijającego nowy model językowy koncentrują się na architekturze modelu, jakości odpowiedzi i wydajności infrastruktury. Dane treningowe napływają z wielu źródeł: stron internetowych, artykułów, blogów, forów czy repozytoriów treści dostępnych online. Model działa coraz lepiej, a organizacja przygotowuje się do jego wdrożenia na rynek europejski. W pewnym momencie pojawia się jednak pytanie, które jeszcze kilka lat temu rzadko trafiało na agendę zarządów i zespołów produktowych: czy wszystkie dane wykorzystane do trenowania modelu zostały pozyskane zgodnie z prawem autorskim? Czy właściciele praw nie zastrzegli zakazu wykorzystywania swoich treści do trenowania AI? Czy organizacja jest w stanie wykazać, jakie procedury stosowała podczas pozyskiwania danych i jak reaguje na zgłoszenia twórców?
To właśnie na te pytania odpowiadają nowe obowiązki wynikające z AI Act dla dostawców modeli AI ogólnego przeznaczenia (General-Purpose AI, GPAI). Unijny regulator wyraźnie sygnalizuje, że odpowiedzialny rozwój sztucznej inteligencji nie kończy się na bezpieczeństwie technicznym modelu. Równie istotne stają się procesy compliance dotyczące danych treningowych, przejrzystości działania oraz poszanowania praw autorskich. Szczególnego znaczenia nabiera obowiązek wdrożenia polityki zgodności z prawem autorskim, którego praktyczny zakres został rozwinięty w Kodeksie praktyki AI ogólnego przeznaczenia (Code of Practice for General-Purpose AI Models) opublikowanym 10 lipca 2025 r. na stronie Komisji Europejskiej. Dokument ten pokazuje, jakich działań oczekuje się od podmiotów rozwijających modele AI i jakie standardy mogą pomóc w wykazaniu zgodności z wymogami AI Act.
W niniejszym artykule omawiamy najważniejsze obowiązki dostawców modeli GPAI oraz wskazujemy, jak w praktyce przygotować organizację do nowych wymogów dotyczących danych treningowych i praw autorskich.
Spis treści
Code of Practice for General-Purpose AI Models
Zgodnie z AI Act[1], modelem AI ogólnego przeznaczenia są modele AI, w tym modele AI trenowane dużą ilością danych z wykorzystaniem nadzoru własnego na dużą skalę, które wykazują znaczną ogólność i są w stanie kompetentnie wykonywać szeroki zakres różnych zadań, niezależnie od sposobu, w jaki modele te są wprowadzane do obrotu, i które można zintegrować z różnymi systemami lub aplikacjami niższego szczebla - z wyłączeniem modeli AI, które są wykorzystywane na potrzeby działań w zakresie badań, rozwoju i tworzenia prototypów przed wprowadzeniem ich do obrotu.
W uproszczeniu więc są to modele wszechstronne, trenowane często na dużej ilości danych, które służą codziennemu i powszechnemu korzystaniu. Pojęcie dostawcy należy rozumieć jako osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które rozwijają system AI lub model AI ogólnego przeznaczenia lub zlecają rozwój systemu AI lub modelu AI ogólnego przeznaczenia oraz które - odpłatnie lub nieodpłatnie - pod własną nazwą lub własnym znakiem towarowym wprowadzają do obrotu lub oddają do użytku system AI (o podziale systemów ze względu na poziom ryzka pisaliśmy TU).
Kodeks składa się z 3 rozdziałów, które zatytułowane są następująco:
- przejrzystość;
- prawa autorskie;
- bezpieczeństwo i ochrona (ten rozdział ma jednak znaczenie tylko dla najbardziej zaawansowanych modeli).
Części te, mimo że powiązane tematycznie i strukturalnie, są jednak od siebie niezależne, a dostawcy usług AI mają możliwość przystąpić do każdej z nich osobno.
Sam Kodeks został opracowany przez 13 niezależnych ekspertów przy konsultacjach z dostawcami oraz innymi relewantnymi w tej kwestii podmiotami, w celu ułatwienia dostosowania działania modeli ogólnego przeznaczenia do przepisów wynikających z AI Act, przy czym samo podpisanie Kodeksu jest dobrowolne. Korzyści wynikające z tego podpisania skupiają się głównie w ramach możliwości poparcia braku odpowiedzialności za naruszenia dostawców, jeśli wykażą oni, że postępowali zgodnie z wytycznymi wskazanymi w Kodeksie (warto podkreślić, że mowa jedynie o poparciu argumentacji, a nie automatycznym zwolnieniu dostawcy z odpowiedzialności za naruszenia). Zwiększa on również pewność prawa w zakresie wymaganych od dostawców działań, formułując konkretne zlecenia i wskazówki co do ich postępowania oraz funkcjonowania samych modeli ogólnego przeznaczenia. Kodeks uzupełniają Wytyczne Komisji Europejskiej dotyczące modeli AI ogólnego przeznaczenia.[2]
W ramach tego wpisu, przedmiotem omówienia będzie część druga przewodnika, poświęcona ochronie i przeciwdziałaniu naruszeniom praw autorskich.
Obowiązki dostawców w zakresie poszanowania praw twórców - praw autorskich
Część Kodeksu odnosi się do zapewnienia zgodności działania dostawców z art. 53 AI Act. W ramach najważniejszych obowiązków nałożonych w tym przepisie, można wyróżnić:
- sporządzanie i aktualizacja dokumentacji technicznej, w tym z procesu trenowania;
- sporządzanie, aktualizacja i udostępnianie informacji i dokumentacji dostawcom systemów AI, którzy zamierzają zintegrować model AI ogólnego przeznaczenia ze swoimi systemami AI - bez uszczerbku dla potrzeby przestrzegania i ochrony praw własności intelektualnej i poufnych informacji handlowych lub tajemnic przedsiębiorstwa zgodnie prawem Unii i prawem krajowym te informacje i dokumentacja powinna umożliwiać dostawcom systemów AI
- dobre zrozumienie możliwości i ograniczeń danego modelu AI ogólnego przeznaczenia oraz
- spełnienie ich obowiązków zgodnie z AI Act
- sporządzenie i podanie do wiadomości publicznej wystarczająco szczegółowych streszczeń na temat treści wykorzystanych do trenowania danego modelu AI ogólnego przeznaczenia, zgodnie ze wzorem dostarczonym przez Urząd ds. AI.
Najbardziej relewantnym jest jednak obowiązek nałożony przez punkt c tego przepisu, do którego wprost odnosi się omówiony w dalszej części wpisu rozdział Kodeksu o prawie autorskim. Brzmi on następująco:
- (dostawcy ogólnych modeli AI) wprowadzają politykę służącą zapewnieniu zgodności z prawem Unii dotyczącym prawa autorskiego i praw pokrewnych, w szczególności z myślą o identyfikacji i zastosowaniu się, w tym poprzez najnowocześniejsze technologie, do zastrzeżenia praw wyrażonego zgodnie z art. 4 ust. 3 dyrektywy (UE) 2019/790[3].
Z kolei zastrzeżenie praw wyrażone zgodnie z art. 4 ust. 3 powyższej dyrektywy odnosi się do wprowadzenia wyjątku przez państwa członkowskie w zakresie wyłącznego prawa autora bazy danych do m.in. jej zwielokrotniania, tłumaczenia, publicznego udostępniania, rozpowszechniania lub upoważnienia do dokonania tych czynności.
W jaki sposób dostawcy modeli ogólnego przeznaczenia powinni przestrzegać prawa autorskiego?
Wszystkie informacje zawarte w tej części wpisu pochodzą i odnoszą się do brzmienia Kodeksu[4]. Jak czytamy w motywach, sam Kodeks powstał w celu jeszcze większej integracji unijnego rynku wewnętrznego oraz zapewnienia ochrony zdrowia i bezpieczeństwa podstawowych praw związanych z tematyką rozdziału, które mogą być naruszane przy niewłaściwym wykorzystaniu sztucznej inteligencji.
Ważne z perspektywy odpowiedzialności dostawców za naruszenie jest zaznaczenie, że samo podpisanie Kodeksu nie gwarantuje automatycznie zgodności działania z prawem unijnym, lecz stanowi wskazówkę dla interpretacji i jej kierunek na etapie ustalania tej odpowiedzialności.
Kodeks wskazuje 3 akty prawa unijnego, które z perspektywy wymaganej ochrony stanowią podstawę dla przestrzegania AI Act. Są to:
- Dyrektywa 2001/29 w sprawie harmonizacji niektórych aspektów praw autorskich i pokrewnych w społeczeństwie informacyjnym[5];
- Dyrektywa 2019/790 w sprawie prawa autorskiego i praw pokrewnych na jednolitym rynku cyfrowym[6];
- Dyrektywa 2004/48 w sprawie egzekwowania praw własności intelektualnej[7].
W celu wykazania zgodności działania z Kodeksem, dostawcy modeli ogólnego przeznaczenia zobowiązani są niezmiennie do sporządzenia i podania do wiadomości publicznej wystarczająco szczegółowych streszczeń na temat treści wykorzystanych do trenowania danego modelu AI ogólnego przeznaczenia.
W ramach Kodeksu można wyróżnić kilka wyodrębnionych, ogólnych zobowiązań sygnatariuszy, które stanowią wskazówki do skutecznego zapewnienia respektowania prawa unijnego na gruncie praw autorskich i praw pokrewnych. Poniżej znajduje się ich wyliczenie oraz praktyczne rozwinięcie.
Opracowanie, wdrożenie oraz bieżąca aktualizacja polityki ochrony praw autorskich.
Dostawca musi:
- stworzyć, utrzymywać i aktualizować politykę zgodności z prawem autorskim UE,
- opisać ją w jednym dokumencie,
- wyznaczyć osoby odpowiedzialne za jej wdrażanie i nadzór,
- regularnie ją aktualizować,
- opcjonalnie publikować jej publiczne streszczenie.
Polityka ta ma odnosić się zarówno do praw autorskich, jak i praw pokrewnych oraz powinna obejmować swoim zakresem wszystkie oferowane przez siebie na rynku unijnym modele AI ogólnego przeznaczenia. Zobowiązanie obejmuje również podjęcie wewnętrznych środków w celu zapewnienia skuteczności wprowadzonej polityki, co więcej sama polityka powinna być wprowadzona przez dostawców w jednym dokumencie. Zalecane jest również jej publiczne udostępnienie.
Korzystanie wyłącznie z legalnie dostępnych treści podczas crawlowania Internetu
Jeżeli dane do trenowania są zbierane przez web crawlery, dostawca zobowiązuje się:
- nie omijać zabezpieczeń technicznych (np. paywalli, systemów subskrypcyjnych),
- nie obchodzić środków kontroli dostępu do treści,
- wykluczać z pobierania strony internetowe uznane przez sądy lub organy publiczne UE/EOG za uporczywie naruszające prawa autorskie na skalę komercyjną.
Obowiązek odnosi się do zjawiska crawlingu podczas przeszukiwania sieci www w celu zbierania danych i trenowania modeli AI ogólnego przeznaczenia. Zobowiązanie Sygnatariuszy ma polegać głównie na zachowaniu i przestrzeganiu środków technicznych, które uniemożliwiają dostęp do treści chronionych. Chodzi więc o respektowanie wszelkich odmów i ograniczeń dostępu napotykanych na swojej drodze, takich jak np. paywall. Dostawcy mają powstrzymać się również od przeszukiwania sieci za pomocą web – crawlingu stron, o których wiadomo w ramach Unii Europejskiej i EOG (zgodnie z listą udostępnioną w tym celu), że w sposób uporczywy naruszają prawa autorskie i prawa pokrewne.
Respektowanie zastrzeżeń właścicieli praw („opt-out”) podczas przeszukiwania sieci www.
Dostawca musi:
- używać crawlerów przestrzegających standardu robots.txt,
- rozpoznawać i respektować inne maszynowo odczytywalne sygnały zakazujące wykorzystania treści do eksploracji tekstów i danych (Text and Data Mining – TDM i czym szerzej pisaliśmy TU),
- śledzić rozwój nowych standardów technicznych służących zgłaszaniu takich zastrzeżeń.
Zobowiązanie to odnosi się do używania konkretnego modelu web – crawlers, czyli robotów sieciowych, wykorzystywanych w procesie gromadzenia danych i trenowania modeli sztucznej inteligencji. Wymagania dla web – crawlers określane są przez odesłanie do Robot Exclusion Protocol, zgodnie ze specyfikacją zawartą w Internet Engineering Task Force (IETF) Request for Comments No. 9309. Nie jest to jednak jedyny wyznacznik specyfikacji dozwolonych rozwiązań technicznych dla robotów cyfrowych. Dostawcy są zobowiązani również do stosowania postanowień zaaprobowanych przez np. organizacje lub stosowania się do standardów najnowocześniejszych rozwiązań urzeczywistniających ochronę.
Dostawca powinien:
- publikować informacje o używanych crawlerach i sposobach respektowania zastrzeżeń praw autorskich,
- umożliwiać właścicielom praw otrzymywanie automatycznych powiadomień o zmianach tych informacji.
Ograniczenie ryzyka generowania treści naruszających prawa autorskie i prawa pokrewne.
Dostawca zobowiązuje się:
- zakazać naruszających prawo zastosowań modelu w regulaminach, warunkach użytkowania lub dokumentacji modelu.
- wdrażać odpowiednie zabezpieczenia techniczne, aby model nie odtwarzał w sposób naruszający prawo materiałów użytych do treningu.
Obowiązek ten odnosi się do niepożądanych naruszeń spowodowanych przez systemy AI, z którymi dany model AI ogólnego przeznaczenia jest powiązany. Sygnatariusze zobowiązują się do wdrożenia odpowiednich i proporcjonalnych zabezpieczeń technicznych, aby przeciwdziałać potencjalnym naruszeniom, przykładowo powielanie materiałów zebranych podczas trenowania AI. Punkt ten zobowiązuje również do umieszczenia wyraźnego zakazu naruszania praw autorskich i praw pokrewnych przy użyciu modelu w swojej polityce dopuszczalnego użytkowania lub regulaminie.
W przypadku udzielania dostępu do modeli na zasadzie licencji otwartej, tacy użytkownicy również powinni być o obowiązującym zakazie naruszeń odpowiednio poinformowani.
Utworzenie mechanizmu kontaktu i zgłaszania naruszeń
Dostawca musi:
- rozpatrywać skargi rzetelnie, bez arbitralności i w rozsądnym terminie.Punkt ten zakłada utworzenie elektronicznej drogi kontaktu z dostawcami oraz procedury zgłaszania naruszeń i składania skarg w sprawach dotyczących prawa autorskiego i praw pokrewnych. Informacja o szczegółach w tym zakresie powinna być łatwo dostępna. W zakresie procedury składania skargi, można wyróżnić następujące wymagania:
- wyznaczyć punkt kontaktowy dla właścicieli praw autorskich,
- umożliwić elektroniczne składanie skarg dotyczących naruszeń zobowiązań z tego kodeksu,
- Skargi powinny być możliwe do złożenia w sposób precyzyjny oraz z umożliwiający ich uzasadnienie;
- Skargi powinny być rozpatrywane w sposób rzetelny, niearbitralny i w rozsądnym terminie.
Nie uchybia to jednocześnie możliwość dochodzenia swoich praw poprzez składanie skarg i inne środki ochrony przewidziane w przepisach unijnych i krajowych.
Sygnatariusze – kto poczynił krok w stronę przestrzegania praw autorskich?
Na stronie Komisji Europejskiej[8] umieszczona została lista sygnatariuszy, którzy na ten moment podpisali omówioną część Kodeksu. Warto mieć na uwadzę, że lista ta nie jest aktualizowana niezwłocznie po podpisaniu i z tego względu mogą występować w niej pojedyncze braki. W jej ramach możemy dostrzec takich sygnatariuszy jak:
- Amazon
- Microsoft
- OpenAI.
Korzystanie z AI to więc nie tylko dostarczanie technologicznych rozwiązań dla społeczności, ale również szereg zobowiązań po stronie dostawców modeli AI ogólnego przeznaczenia dla zapewnienia bezpieczeństwa ich użytkowników. Warto więc zapoznać się z konkretnymi obowiązkami nie tylko z perspektywy dostawcy, ale również użytkownika lub potencjalnego podmiotu naruszenia, aby mieć świadomość swoich uprawnień w tym zakresie. AI Act nie ogranicza się do nakładania obowiązków dokumentacyjnych. W przypadku modeli AI ogólnego przeznaczenia unijny ustawodawca wyraźnie oczekuje, że dostawcy będą aktywnie zarządzać ryzykiem związanym z wykorzystaniem chronionych utworów na etapie trenowania modeli oraz podczas ich dalszego wykorzystywania. Przygotowanie polityki zgodności z prawem autorskim, respektowanie mechanizmów opt-out, wdrożenie zabezpieczeń ograniczających reprodukcję chronionych treści czy stworzenie procedur obsługi zgłoszeń od uprawnionych nie powinny być traktowane wyłącznie jako obowiązek regulacyjny. W praktyce stają się one elementem szerszego systemu zarządzania ryzykiem prawnym i budowania zaufania do rozwiązań opartych na sztucznej inteligencji. Dla organizacji rozwijających lub komercjalizujących modele AI najbliższe miesiące powinny być okresem weryfikacji źródeł danych treningowych, przeglądu procedur wewnętrznych oraz przygotowania dokumentacji wymaganej przez AI Act. Im wcześniej proces ten zostanie uporządkowany, tym łatwiej będzie wykazać zgodność z nowymi wymogami i ograniczyć ryzyko sporów związanych z prawami autorskimi.
