Umowa na wdrożenie AI: osiem klauzul, których nie ma w standardzie IT

Materiał poradnikowy, pisany z perspektywy wykonawcy. Opisuje typowe rozwiązania, nie rozstrzyga jednostkowego przypadku. Na spotkaniach przedwdrożeniowych w firmach 50–250 osób regularnie pojawia się jedna teza: do wdrożenia AI wystarczy standardowa umowa wdrożeniowa IT plus aneks o RODO. Brzmi to rozsądnie. Standardowa umowa IT reguluje terminy, odbiór, kary, własność kodu i powierzenie danych. Skoro chatbot czy automatyzacja dokumentów to „kolejny system”, to po co wymyślać nowe zapisy. Dodatkowo sam AI Act nie narzuca odrębnej formy umowy dla systemów niskiego ryzyka.

Najmocniejszy argument drugiej strony

Ten argument ma solidną podstawę. W standardowej umowie IT zwykle znajduje się harmonogram odbioru, kary umowne, przeniesienie autorskich praw majątkowych do kodu, procedura zgłaszania błędów oraz umowa powierzenia danych z art. 28 RODO. Przy wdrożeniu ERP czy platformy e-commerce to zwykle wystarczało. Dostawcy systemów AI też oferują szablony, w których stoją ogólne zapisy o bezpieczeństwie i zakazie trenowania na danych klienta. Kary z RODO sięgają 4% rocznego obrotu, więc obecność aneksu powierzenia bywa traktowana jako wystarczająca tarcza. Do tego kary z AI Act — do 15 000 000 EUR lub 3% globalnego obrotu — dotyczą głównie dostawców systemów wysokiego ryzyka, a nie firmy wdrażającej chatbota do obsługi zamówień.

Czego ten argument nie obejmuje

Standardowa umowa IT nie rozstrzyga czterech rzeczy, które w AI decydują o ryzyku. Po pierwsze, prompt i konfiguracja — czy są utworem w rozumieniu ustawy o prawie autorskim, zależy od ich twórczego charakteru, ale szablon zwykle milczy, komu przysługują autorskie prawa majątkowe. Efekt bywa taki, że po zakończeniu umowy dostawca może użyć tej samej warstwy promptów u konkurencji. Po drugie, wersjonowanie modelu: OpenAI i Anthropic wycofują modele z kilkutygodniowym lub kilkumiesięcznym wyprzedzeniem, co widać w dokumentacji deprecjacji, a standardowa umowa nie daje klientowi prawa zablokować auto-upgrade'u przed testami akceptacyjnymi. Po trzecie, eksport danych: logi konwersacji i osadzenia wektorowe to nie są zwykłe tabele SQL, więc zapis „dostawca zwróci dane” bywa bez pokrycia. Po czwarte, halucynacje — odpowiedzialność za „błędny wynik” wymaga progu, bo inaczej każda niepoprawna odpowiedź staje się sporem o jakość. Do tego dochodzi rozróżnienie ról z AI Act: dostawca systemu AI i podmiot wdrażający mają inne obowiązki, a standardowa umowa IT zwykle tego nie rozgranicza; od 2.08.2026 chatboty muszą informować o interakcji z AI i oznaczać treści generowane.

Nasze stanowisko

W naszej praktyce umowa na produkcyjne wdrożenie AI zawiera osiem klauzul, których nie ma w standardowej umowie IT: prawa do promptów i konfiguracji (przeniesienie autorskich praw majątkowych albo nieodwołalna, wieczysta licencja z prawem do modyfikacji i sublicencji), 60-dniowe powiadomienie o deprecjacji modelu i zakaz auto-upgrade'u bez testów akceptacyjnych, eksport danych w 30 dni w formacie JSON/CSV/JSONL, usunięcie kopii zapasowych w 60 dni, próg halucynacji ≤5% na zestawie testowym, limit odpowiedzialności dostawcy na poziomie 12-miesięcznych opłat, depozyt promptów i kodu u notariusza lub escrow oraz assistance po wyjściu przez 3 miesiące w cenie standardowej. U nas wygląda to tak, że przy wdrożeniu asystenta poczty na próbie 500 wiadomości najpierw dostaliśmy kartę modelu z metrykami, a testy akceptacyjne na tej próbie zdecydowały o wersji. Bez tych zapisów klient zostaje z działającym systemem, ale bez drogi wyjścia i bez progu odpowiedzialności za to, co system odpowiada.

Co warto zrobić w tym kwartale

W tym kwartale, zanim dojdzie do podpisu, warto sprawdzić, czy dostawca w ogóle rozmawia o eksporcie danych w 30 dni i o teście halucynacji ≤5%. Jeśli odmawia obu, to nie znaczy, że projekt upada — ale wiadomo, które ryzyko zostaje po stronie klienta. Zmienilibyśmy zdanie w jednym warunku: gdyby dostawca udostępnił lokalną instancję modelu open-source z audytowaną kartą modelu i pełnym dostępem do wag, wtedy klauzule o deprecjacji zewnętrznego API tracą znaczenie. Do tego czasu traktujemy umowę wdrożeniową AI jako osobny dokument, a nie aneks do szablonu IT.