Prawne aspekty wdrażania Przemysłu Przyszłości

adw. Aleksandra Iskra-Nowiszewska
Ekspertka FPPP

Obecnie trwająca czwarta rewolucja przemysłowa charakteryzuje się wykorzystaniem technologii informacyjnych i komunikacyjnych w przemyśle. Przedsiębiorcy wdrażający rozwiązania Przemysłu 4.0 obniżają koszty i zwiększają bezpieczeństwo transakcji. Co więcej, zyskują to na czym zależy im najbardziej – przewagę nad konkurencją. Aby ich działania były efektywne, a nowe modele biznesowe skutecznie odpowiadały na zmieniające się potrzeby odbiorców, konieczna jest znajomość regulacji prawnych. Bo choć prawo nie tworzy wynalazków ani nawet nie stanowi impulsu do ich powstawania, jest filarem nowych technologii, kompasem wyznaczającym kierunek, znacząco wpływając na decyzje biznesowe wielu podmiotów. Technologie tworzące przemysł przyszłości w szczególności takie jak: sztuczna inteligencja, blockchain, chmura obliczeniowa, druk 3D wymagają kompleksowego podejścia. Co więcej, z przemysłem przyszłości związane są (niczym sieć naczyń połączonych) koncepcje: inteligentnych miast i Internetu Rzeczy. A jeśli do tego wszystkiego dodamy dane jako podstawę wszystkich technologii, maluje nam się̨ obraz nie tylko wielobarwny, ale również wielostrukturalny. Tworzy się zagadnienie oparte na holistycznym spojrzeniu, interdysplinarnej współpracy oraz wszechstronnej wiedzy.

Przede wszystkim należy mieć świadomość, że w unijnych projektach najważniejszych regulacji prawnych wskazuje się, że zainteresowaną stroną w procesie digitalizacji jest nie tylko homo sapiens (człowiek zawsze powinien stać na pierwszym miejscu), ale także środowisko. Konieczność zapewnienia zrównoważonego rozwoju, będącego podstawą także ESG jest odzwierciedleniem synergii między biznesem, światem nauki a społeczeństwem. To ona kształtuje inteligentne miasta i pozwala im na rozwój. To synergia umożliwi ludzkości podejmowanie kolejnych kroków w przyszłość. W przyszłość opartą oposzanowanie podstawowych praw człowieka i autonomię użytkownika. W przyszłość, w której technologia będzie narzędziem w służbie społecznej.

Tworząc sztuczną inteligencję lub chcąc wdrożyć ją w przedsiębiorstwie należy mieć na uwadze przede wszystkim „Wytyczne Ekspertów Wysokiego Szczebla przy KE”, „Listę

godnej zaufania sztucznej inteligencji” oraz projekt rozporządzenia, które już dzisiaj jest przedmiotem ożywionej dyskusji w Europie – Artificial Intelligence Act.

Ramy prawne określone w rozporządzeniu dotyczą zarówno podmiotów publicznych, jak i prywatnych. Odpowiedzialność za spełnienie wymogów dotyczących AI będą ponosić: producenci, dostawcy, importerzy, dystrybutorzy oraz użytkownicy (w zakresie użytku profesjonalnego). Rozporządzenie będzie obowiązywać na terenie Unii Europejskiej oraz poza nią, pod warunkiem, że system AI będzie wprowadzany na rynek unijny lub działanie systemu będzie miało wpływ na osoby znajdujące się w Unii Europejskiej. Rozporządzenie to znajdzie zastosowanie do systemów sztucznej inteligencji wysokiego i ograniczonego ryzyka. Prawo w nim przewidziane wprowadzi liczne wymogi, kttórych nieprzestrzeganie obarczone będzie sankcjami w postaci administracyjnych kar pieniężnych w wysokości do 30 000 000 EUR lub w przypadku przedsiębiorstw w wysokości do 6% ich całkowitego rocznego obrotu, przy czym zastosowanie znajdzie kwota wyższa.

Wysokie ryzyko dotyczy ograniczonej liczby systemów AI, które mają negatywny wpływ na bezpieczeństwo osób fizycznych lub ich prawa podstawowe. Są to systemy AI wykorzystywane w ramach infrastruktury krytycznej jak transport, energetyka, w dostępie do edukacji i zatrudnienia, medycynie, wymiarze sprawiedliwości i egzekwowaniu prawa oraz zarządzaniu kontrolą graniczną. Ograniczone ryzyko dotyczy systemów polegających na wzajemnej interakcji z użytkownikiem takich jak chatboty, voiceboty czy tzw. deepfake pozwalający na manipulację obrazem. Użytkownik powinien mieć przedstawione wszystkie niezbędne informacje do tego, aby mieć świadomość, że wchodzi w interakcję z maszyną, jak również móc podjąć świadomą decyzję o kontynuowaniu lub przerwaniu interakcji.

Rozporządzenie wprowadzi liczne wymagania m.in. rejestrację systemu w unijnej bazie, tworzenie instrukcji, która w sposób zrozumiały wyjaśnia działanie systemów sztucznej inteligencji, prowadzenie odpowiedniej dokumentacji, w tym dot. danych potrzebnych do szkolenia algorytmu, zapewnienie wysokiej jakości danych, wprowadzenie właściwych środków nadzoru człowieka nad algorytmem sztucznej inteligencji. Wdrożenie systemu AI wiązać się będzie z naciskiem na eliminowanie uprzedzeń w systemach AI oraz bezwględną koniecznością przeszkolenia i przetestowania systemów AI przy użyciu reprezentatywnych zbiorów danych. Co więcej, dostawcy systemu AI wysokiego ryzyka zobowiazani zostaną do przeprowadzenia oceny systemu w celu wykazania, że jest on zgodny z przepisami rozporządzenia. Potwierdzeniem przeprowadzenia oceny dla każdego systemu sztucznej

inteligencji będzie deklaracja UE. Obowiązkowa weryfikacja zgodności systemu sztucznej inteligencji zgodnie z procedurami przez jednostki notyfikowane, pozwoli na uzyskanie 5- letnich certyfikatów.

Ile czasu będzie miał przedsiębiorca na przygotowanie się do tych zmian? Przewidywany jest 24-miesięczny okres przejściowy, pozwalający na dostosowanie do nowych regulacji. Należy zauważyć jednak, że nie jest to długi okres, a zatem mając na względzie nadchodzące rozporządzenie, warto już dzisiaj zastanowić się nad wprowadzeniem worganizacjach odpowiednich regulaminów czy swojego rodzaju dobrych praktyk, przeprowadzając audyt prawny wykorzystywanej technologii. Celem audytu jest identyfikacja obszarów, które wymagają dostosowania do zmieniających się przepisów oraz wskazanie obecnie istniejących ryzyk prawnych. Łatwiej będzie dostosować do ostatecznego kształtu rozporządzenia już istniejące w przedsiębiorstwach procedury związane z AI niż tworzyć je od podstaw w ciągu dwóch lat.

Polityka UE w zakresie nowych technologii jest dowodem na to, że z prawem nierozerwalnie związana jest etyka. Zarówno „Wytyczne Ekspertów Wysokiego Szczebla” przy KE jak i Lista godnej zaufania sztucznej inteligencji pokazują, że etyka powinna być kolejnym filarem podczas tworzenia lub wdrażania nowych technologii. Po pierwsze technologie powinny być oparte na prawach podstawowych takich jak: poszanowanie godności ludzkiej, wolność jednostki, poszanowanie demokracji, sprawiedliwości i praworządności, równość, niedyskryminacja, solidarność. Należy także przestrzegać zasady proporcjonalności między środkami a celami oraz dokładnie rozważyć, w jaki sposób pogodzić konkurencyjne interesy icele. Ponadto, zbiory danych i procesy, które stanowią podstawę decyzji podejmowanych przez system AI powinny być dokumentowane. Ma to na celu umożliwienie identyfikowalności i zwiększenie przejrzystości. W przypadku podjęcia przez system błędnej decyzji, pozwoli na ustalenie przyczyn, z powodu których decyzja AI była błędna, a to z kolei może doprowadzić do zapobieżenia błędom w przyszłości. Zarówno przepisy RODO, jak i wytyczne w zakresie godnej zaufania sztucznej inteligencji wymagają, aby procesy były przejrzyste, a możliwości i cele systemów AI otwarcie komunikowane. Osoby wchodzące w interakcje z systemami AI muszą być w stanie zachować pełną i efektywną zdolność do samostanowienia o sobie. Systemy AI powinny mieć na celu zwiększenie, uzupełnienie i wzmocnienie zdolności poznawczych, społecznych i kulturowych człowieka, jednocześnie gwarantując ochronę danych na każdym etapie: planowania, szkolenia, testowania i wdrażania systemu.

Przemysł 4.0. charakteryzuje się zaspokajaniem zindywidualizowanych potrzeb klientów, a także personalizacją zarówno produktów, jak i usług. Technologią, która sprzyja tym działaniom jest niewątpliwie blockchain. I choć nie ma w tym zakresie żadnych nowych przepisów, które szczegółowo regulowałyby ten obszar, należy pamiętać, że zawsze można, a nawet trzeba korzystać z prawa, które już istnieje. W niniejszym opracowaniu chciałabym zatem zwrócić uwagę na trzy istotne zakresy związane z technologią blockchain, a mianowicie: szeroką definicję w prawie polskim pojęcia dokumentu, kwalifikację prawną walut cyfrowych i zastosowanie RODO w odniesieniu do zapisów danych osobowych w łańcuchu bloków.

Ewolucja definicji dokumentu jest powiązana z technologią rozproszonego rejestru. Zgodnie z art. 77(3) KC: „dokumentem jest nośnik informacji umożliwiający zapoznanie się z jej treścią”. Jeśli połączymy to z rozporządzeniem eIDAS stanowiącym, że dokumentem elektronicznym jest każda treść przechowywana w postaci elektronicznej, w szczególności tekst lub nagranie dźwiękowe, wizualne lub audiowizualne otrzymamy pojęcie nośnika, które nie musi być powiązane z fizycznym jego ujęciem, dzięki czemu zapis informacji może odbywać się w chmurze, również w rozproszony sposób. Poza tym system kluczy i szyfrów nie tylko pozwala na współdzielenie danych, ale także umożliwia automatyczną weryfikację informacji. Interoperacyjność rejestrów przyspiesza liczne procesy i zwiększa wydajność.

Co do walut cyfrowych, doczekaliśmy się definicji w ustawie z 1 marca 2018 r. o przeciwdziałaniu praniu brudnych pieniędzy oraz finansowaniu terroryzmu. Waluty cyfrowe mogą być przedmiotem świadczenia, praw, sprzedaży, a posiadacz waluty cyfrowej może nią swobodnie dysponować. Nie ulega zatem wątpliwości, że waluta cyfrowa stanowi mienie w rozumieniu kodeksu cywilnego, a także inny niż pieniądz miernik wartości.

Biorąc pod uwagę, że zapis danych w łańcuchu bloków jest procesem nieodwracalnym, oznacza to, iż osoby fizyczne nie są w stanie realizować swoich praw wynikających z RODO. Jaki wniosek powinien wysnuć z tego przedsiębiorca wykorzystujący technologię blockchain? Przede wszystkim musi on wiedzieć, że dane osobowe mogą być przetwarzane poza łańcuchem, znajdując się w scentralizowanej bazie danych. Tym samym będziemy mieć do czynienia z działaniem analogicznym do pseudonimizacji danych i pozwoli to na pełne zastosowanie przepisów stanowiących ochronę danych osobowych. Jeśli dane osobowe będą jednak musiały

być przetwarzane przy użyciu łańcucha bloków, rozwiązaniem może być zastosowanie art. 23 RODO umożliwiającego ograniczenie obowiązków i praw osób fizycznych, o ile wprowadzenie ograniczenia służy innym ważnym celom leżącym w ogólnym interesie publicznym Unii lub państwa członkowskiego, w szczególności ważnemu interesowi gospodarczemu lub finansowemu Unii lub państwa członkowskiego. Co istotne, skorzystać z tej furtki mogą nie tylko podmioty publiczne, ale również te z sektora prywatnego. Najważniejsze to pamiętać, aby ograniczenie było zgodne zarówno z art. 23 RODO, jak i Europejską „Konwencją o ochronie praw człowieka i podstawowych wolności” oraz „Kartą Praw Podstawowych”.

Wizja, dojrzałość biznesowa i świadomość prawna wymagana jest na każdym etapie, w każdym obszarze, z wykorzystaniem każdej technologii. Zawierając umowy o świadczenie usług w chmurze obliczeniowej należy być wyczulonym na liczne ryzyka prawne. Aspektem,o którym wielu przedsiębiorców niestety zapomina jest precyzyjne określenie warunków wypowiedzenia umowy. Należy zadbać o zapisy zobowiazujące dostawcę do usunięcia danych ze swoich systemów, określenie czasu na wyjście z umowy, zapewnienie zwrotu danych w formacie, który umożliwia dalsze korzystanie z nich, a także zagwarantowanie postanowienia umownego pozwalającego na przeniesienie licencji dostarczanych przez stronę trzecią do już nowego dostawcy. Zawierając umowę o świadczenie usług w chmurze obliczeniowej, należy również pamiętać o SLA – Service Level Agreement, w których w sposób transparentny ustalone zostaną: minimalny poziom świadczeń – jakość usługi, okresy przestojów, czas reakcji oraz metody ochrony i odzyskiwania danych.

Myśląc o prawnych aspektach wdrażania przemysłu przyszłosci, nie wolno zapominać o transferze technologii. Dobra niematerialne stanowią znaczące aktywa większości przedsiębiorstw. W przypadku własności intelektualnej niezbędna jest znajomość prawa autorskiego oraz prawa własności przemysłowej. Należy pamiętać, że przedmiotem innowacji są: patenty na wynalazki, znaki towarowe, wzory użytkowe, wzory przemysłowe, oznaczenia geograficzne, topografie układów scalonych, a także utwory, w szczególności programy komputerowe. Umowa o dokonanie projektu wynalazczego lub jego wdrożenie (mogąca być zarówno umową o pracę, jak i umową prawa cywilnego) powinna szczegółowo określać projekt będący przedmiotem umowy, podmioty zaangażowane w jego dokonanie, wynagrodzenie, a także konsekwencje niewykonania lub nienależytego wykonania umowy.

Tworząc przemysł przyszłości należy mieć na uwadze to, że patent jest zbywalny i podlega dziedziczeniu, a w razie przejścia patentu obciążonego licencją, umowa licencyjna jest skuteczna wobec następcy prawnego. Co więcej, umowa o przeniesieniu patentu regulująca zmianę stosunków podmiotowych, może polegać albo na pełnym przejściu patentu na inny podmiot, albo na przejściu jedynie udziału.

W przypadku umów regulujących prawa autorskie (programy komputerowe stanowią utwór w rozumieniu ustawy o prawie autorskim i prawach pokrewnych) należy rozumieć różnicę między osobistymi a majątkowymi prawami autorskimi. Prawa osobiste chronią więź twórcy z utworem i są niezbywalne, a twórca może m.in. domagać się oznaczenia utworu swoim imieniem i nazwiskiem. Natomiast prawa majątkowe to prawa do korzystania z utworu, rozporządzania nim na wszystkich polach eksploatacji oraz do wynagrodzenia za korzystanie. Prawa te mogą zostać przeniesione na inny podmiot lub być przedmiotem licencji. Szczegółowe przedstawienie zagadnień prawnych dotyczących transferu technologii znajdą Państwo w artykule poświęconym tej tematyce na platformie Fundacji.

Przechodząc do kolejnego poziomu procesów technologicznych nie sposób nie wrócić do koncepcji wskazanych już we wstępie niniejszego opracowania, a mianowicie Internetu Rzeczy i inteligentnych miast. Internet Rzeczy, będący siecią połączonych ze sobą urządzeń wyposażonych we wbudowane komputery, znajduje już nie tylko coraz częściej zastosowanie w naszych domach czy telemedycynie, ale przede wszystkim tworzy inteligentne miasta. Towarzyszy temu zbieranie danych na olbrzymią skalę, ich wymiana między bazami danych oraz utrwalanie wizerunku. Tworząc i rozwijając smart cities, należy mieć nie tylko na uwadze normę PN-ISO 37120:2015-03 obejmującą 100 wskaźników należących do 17 obszarów tematycznych, ale także ochronę danych osobowych. Zgodnie z przepisami RODO dane osobowe to dane dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby lub dane, za pomocą, których można określić jej tożsamość. W Internecie Rzeczy dochodzi do szczgólnego zjawiska – fuzji sensorów polegającego na łączeniu danych z różnorodnych źródeł tak, aby uzyskać informację transparentną, precyzyjną, nie tylko dzięki której będzie można lepiej adresować określone dzialania, ale także przez którą istnieje ryzyko wkraczania w prywatność ludzi. Jak temu zapobiec? Należy pamiętać o dwóch naczelnych zasadach – privacy by design i i privacy by default. Pierwsza z nich oznacza, że już na etapie projektowania systemów, wybierając środki techniczne i organizacyjne należy zrobić wszystko, by ich funkcjonowanie wiązało się z nałożeniem odpowiednich zabezpieczeń w celu ochrony danych. Privacy by default oznacza natomiast domyślną ochronę danych tzn. domyślnie przetwarzane

powinny być wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania. Zasada ta powiązana jest z inną dot. minimalizacji danych, zgodnie z którą dane powinny być adekwatne, stosowne oraz ograniczone do tego, co jest niezbędne do celów, w których są przetwarzane. Jeśli przetwarzanie danych osobowych z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (użytkowników) należy przeprowadzić ocenę skutków w zakresie ochrony danych – Data Protection Impact Assessment (DPIA). Nie istnieją jednoznaczne instrukcje, w jaki sposób ta ocena powinna być wykonana. Przedmiotem oceny powinien być opis przewidywanych operacji przetwarzania danych, cele przetwarzania, uzasadniony interes realizowany przez administratora oraz ryzyko dla praw i wolności podmiotów, których dane są przetwarzane.

Pamiętajmy, że na każdym etapie działania jakiegokolwiek systemu przetwarzającego dane osobowe, każdy, czyje dane są przetwarzanie musi mieć zagwarantowane prawo dostępu do treści swoich danych, sprostowania swoich danych, usunięcia swoich danych czy wniesienia sprzeciwu.

Szczególnym rodzajem danych są dane biometryczne – sensytywne dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne. Ich przetwarzanie, co do zasady, jest zabronione. RODO przewiduje jednak katalog wyjątków: m.in. gdy przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy, gdy przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia, gdy przetwarzanie jest niezbędne ze względów związanych zinteresem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które

przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową.

Mając na myśli prawne aspekty wdrażania przemysłu przyszłości nie sposób pominąć technologię drukowania przestrzennego i „Rezolucję Parlamentu Europejskiejgo z dnia 3 lipca 2018 r”. właśnie z tego zakresu. W rezolucji podkreśla się, że drukowanie przestrzenne ma ogromny potencjał w obszarze przekształcania łańcuchów dostaw w sektorze produkcji, zmniejszając koszty transportu i emisję dwutlenku węgla, a Unia Europejska uczyniła z tej technologii jedną z priorytetowych dziedzin dla innowacyjnych przedsiębiorstw. Biorąc to pod uwagę, należy zachować ostrożność, w szczególności jeśli chodzi o jakość drukowanych przedmiotów i ewentualne zagrożenia, jakie mogą one powodować dla użytkowników lub konsumentów, trzeba zapewnic identyfikowalność produktów oraz ułatwić monitorowanie dalszego ich użytkowania w celach komercyjnych i niekomercyjnych. Parlament Europejski zauważa także, że kontrolowanie legalnego powielania przedmiotów trójwymiarowych chronionych na mocy prawa autorskiego można byłoby usprawnić poprzez regularne wyświetlanie przez podmioty świadczące usługi digitalizacji i drukowania przestrzennego pouczeń na temat poszanowania własności intelektualnej. Jednocześnie, warto wiedzieć, że jeśli kopia 3D jest kopią na użytek prywatny, mają do niej zastosowanie przepisy krajowe, w szczególności przepisy dotyczące systemów rekompensat lub pobierania opłat.

Niniejsze opracowanie pokazuje, jak bardzo rozległa jest tematyka związana z prawnymi aspektami wdrażania przemysłu przyszłości i jak bardzo wszechstronna wiedza jest potrzebna, aby efektywnie, zgodnie z prawem wprowadzać nowe technologie do swoich przedsiębiorstw czy organizacji. Dodatkowo każda gałąź przemysłu począwszy od lotnictwa poprzez budownictwo, działalność badawczą i rozwojową, przemysł paliwowo-energetyczny, farmaceutyczny i wiele innych charakteryzuje się własną specyfiką i szczegółowymi regulacjami, które muszą być nieodłącznym przedmiotem analizy. Analiza, z uwagi na różnorodność nowych technologii oraz wymóg holistycznego spojrzenia, musi być przeprowadzana w zespołach interdysplinarnych – zespołach składających się z inżynierów, ekonomistów, programistów, adwokatów, a nawet psychologów. Właśnie ta interdysplinarność tuż obok autonomii użytkownika i zapewnienia ochrony danych osobowych jest odmieniana przez wszystkie przypadki w najważniejszych aktach prawnych zarówno polskich, jak i unijnych.

Każdy jest profesjonalistą w swojej dziedzinie, dlatego łączmy siły, współpracując ze sobą. Interdyscyplinarność jest kluczem do osiągnięcia sukcesu zarówno na rynku polskim, jak i na arenie miedzynarodowej.