Jedna firma, pięć regulacji naraz
Unia Europejska w ciągu ostatnich kilku lat przyjęła serię aktów prawnych regulujących różne aspekty działalności cyfrowej: dane osobowe, platformy internetowe, konkurencję między dużymi graczami technologicznymi, dostęp do danych z urządzeń oraz, najświeżej, systemy sztucznej inteligencji. Dla przeciętnej firmy prowadzącej działalność online te akty prawne bywają mylone ze sobą albo traktowane jako jeden, niejasny blok “przepisów unijnych o internecie”. W rzeczywistości to pięć odrębnych regulacji, z których każda ma inny przedmiot, inny zakres i inny organ egzekwujący, a mimo to mogą dotyczyć jednej firmy jednocześnie.
Pięć aktów w skrócie
| Akt prawny | Co reguluje | Kogo najczęściej dotyczy |
|---|---|---|
| RODO | Przetwarzanie danych osobowych | Praktycznie każdą firmę zbierającą dane klientów lub pracowników |
| DSA (Akt o usługach cyfrowych) | Platformy internetowe, moderację treści, systemy rekomendacji | Sklepy internetowe, platformy z treścią użytkowników, serwisy społecznościowe |
| DMA (Akt o rynkach cyfrowych) | Konkurencję, obowiązki “strażników dostępu” (gatekeeperów) | Głównie największe platformy technologiczne, wskazane imiennie przez Komisję Europejską |
| Data Act (Akt o danych) | Dostęp do danych generowanych przez urządzenia podłączone do internetu (IoT) | Producentów i użytkowników urządzeń smart, dostawców usług opartych na danych z urządzeń |
| AI Act | Systemy sztucznej inteligencji, ich klasyfikację ryzyka i obowiązki | Każdą firmę projektującą, sprzedającą lub wykorzystującą systemy AI |
RODO: fundament, na którym stoi reszta
RODO obowiązuje od 2018 roku i reguluje przetwarzanie danych osobowych, niezależnie od tego, czy odbywa się ono przy udziale AI, czy nie. To najstarsza z pięciu regulacji i w praktyce najbardziej powszechna: dotyczy niemal każdej firmy, która ma bazę klientów, formularz kontaktowy albo system CRM. W kontekście AI szczególne znaczenie ma jej art. 22, dający prawo do niepodlegania wyłącznie zautomatyzowanej decyzji o istotnych skutkach. Pełne omówienie tego przepisu i jego relacji do AI Act opisuje artykuł RODO a AI: decyzje automatyczne i profilowanie.
DSA: platformy, treści i systemy rekomendacji
Akt o usługach cyfrowych reguluje pośredników internetowych: od dostawców hostingu, przez platformy handlowe, po serwisy z treścią generowaną przez użytkowników. Kluczowe obowiązki obejmują przejrzystość systemów rekomendacji (dlaczego widzisz akurat ten produkt czy post) oraz zasady moderacji treści. Szerzej o tym, jak DSA nakłada się na AI Act w kontekście rekomendacji, pisze artykuł DSA a systemy rekomendacji.
DMA: konkurencja wśród największych graczy
Akt o rynkach cyfrowych ma inny cel niż pozostałe cztery akty: nie chroni bezpośrednio konsumenta ani jego danych, tylko reguluje konkurencję między firmami technologicznymi. Dotyczy przede wszystkim tak zwanych strażników dostępu (gatekeeperów), czyli największych platform cyfrowych wskazanych imiennie przez Komisję Europejską ze względu na ich pozycję rynkową. Dla zdecydowanej większości małych i średnich firm DMA nie tworzy bezpośrednich obowiązków, ale może wpływać na warunki, na jakich korzystają z usług takich platform (na przykład reklamowych czy marketplace’owych).
Data Act: dane z urządzeń podłączonych do internetu
Akt o danych reguluje dostęp do danych generowanych przez urządzenia podłączone do internetu rzeczy (IoT): od inteligentnych urządzeń domowych, przez maszyny przemysłowe, po pojazdy z funkcjami łączności. Nakłada na producentów takich urządzeń obowiązek umożliwienia użytkownikom dostępu do generowanych przez nie danych oraz, w określonych warunkach, udostępniania ich stronom trzecim. Dla firm, które sprzedają lub wykorzystują urządzenia smart w swojej działalności, może to oznaczać nowe obowiązki umowne i techniczne, niezależnie od tego, czy dane urządzenie wykorzystuje AI.
AI Act: najnowszy element układanki
AI Act jest najmłodszym z pięciu aktów i, w odróżnieniu od pozostałych, koncentruje się nie na danych czy platformach jako takich, tylko na samych systemach sztucznej inteligencji: jak są klasyfikowane pod względem ryzyka, jakie obowiązki dokumentacyjne i informacyjne na nich ciążą, i kto (dostawca czy stosujący) za co odpowiada. Podstawowe wprowadzenie do tych zasad znajdziesz w artykule Czym jest AI Act.
Żaden z tych pięciu aktów nie działa w oderwaniu od pozostałych. AI Act wprost odwołuje się do RODO w kontekście danych osobowych, a systemy rekomendacji wykorzystujące AI mogą jednocześnie podlegać DSA i AI Act. Traktowanie ich jako osobnych, niezależnych od siebie list “rzeczy do zrobienia” prowadzi do podwójnej pracy albo luk w zgodności.
Przykład: sklep internetowy z AI, który dotyka wszystkich pięciu aktów naraz
Rozważmy typowy sklep internetowy średniej wielkości, który korzysta z chatbota obsługi klienta opartego na AI, generuje grafiki produktowe przez narzędzia AI, ma system rekomendacji “polecane dla Ciebie”, zbiera dane klientów do newslettera i korzysta z inteligentnego urządzenia magazynowego podłączonego do sieci. Taka firma może podlegać:
- RODO, bo przetwarza dane osobowe klientów,
- DSA, bo prowadzi system rekomendacji produktowych,
- AI Act, bo ma chatbota (obowiązek przejrzystości) i generuje grafiki przez AI (obowiązek oznaczenia treści syntetycznych),
- Data Act, jeśli korzysta z podłączonych do sieci urządzeń magazynowych generujących dane operacyjne,
- DMA pośrednio, jeśli znacząca część jej ruchu i sprzedaży zależy od warunków ustalanych przez dużą platformę wyznaczoną jako gatekeeper.
Pełniejszy obraz obowiązków dla tego konkretnego typu działalności opisuje artykuł AI Act dla e-commerce.
Najczęściej zadawane pytania
Czy muszę spełniać wszystkie pięć regulacji naraz?
Niekoniecznie wszystkie w pełnym zakresie. To, które akty i w jakim zakresie Cię dotyczą, zależy od konkretnej działalności: RODO dotyczy niemal każdej firmy, ale DMA w praktyce dotyczy tylko największych platform technologicznych, nie ich kontrahentów.
Który akt jest najważniejszy dla małej firmy?
Dla większości małych i średnich firm w Polsce najbardziej praktyczne znaczenie mają RODO (bo dotyczy danych klientów) i AI Act (bo dotyczy narzędzi AI używanych w codziennej pracy). DSA, DMA i Data Act mają zwykle węższe, bardziej specyficzne zastosowanie.
Czy te regulacje się ze sobą kłócą?
Zasadniczo nie, zostały zaprojektowane jako uzupełniające się elementy jednego systemu prawa cyfrowego Unii Europejskiej. Mogą jednak nakładać się na siebie w konkretnych sytuacjach, co wymaga rozważenia obowiązków wynikających z każdego z nich osobno.
Czy to jest porada prawna?
Nie. Ten artykuł ma charakter informacyjny i edukacyjny. Ocenę tego, które regulacje i w jakim zakresie dotyczą konkretnej firmy, powinien przeprowadzić radca prawny lub adwokat.