Sztuczna inteligencja w miejscu pracy – ryzyko odpowiedzialności pracodawcy

Szybko postępujący rozwój technologii opartych na sztucznej inteligencji (AI) w istotny sposób przekształca współczesne środowisko pracy. Coraz częściej rozwiązania te są wykorzystywane do automatyzacji zadań, usprawnienia procesów organizacyjnych oraz podejmowania decyzji zarządczych.

W praktyce jednak nierzadko zdarza się, że pracownicy posługują się narzędziami AI z własnej inicjatywy, nie informując o tym swoich przełożonych. Choć intencją takiego działania jest zazwyczaj poprawa efektywności lub jakości wykonywanej pracy, może ono prowadzić do konsekwencji natury prawnej, finansowej i organizacyjnej – zarówno dla pracownika, jak i dla pracodawcy.

Potencjalne zagrożenia związane z korzystaniem z AI przez pracowników

Niezależnie od tego, czy pracodawca formalnie zezwala na użycie narzędzi sztucznej inteligencji, czy też nie, ich stosowanie w ramach obowiązków służbowych generuje określone ryzyka. Dotyczą one w szczególności naruszenia przepisów o prawie autorskim oraz ochronie danych osobowych.

Najpoważniejsze wątpliwości budzi kwestia praw autorskich. Większość dostępnych modeli generatywnych, takich jak systemy przetwarzające tekst, obraz czy dźwięk, korzysta z ogromnych zbiorów danych, które mogą zawierać utwory objęte ochroną prawnoautorską. Użytkownik nie ma możliwości weryfikacji, czy dane te zostały pozyskane w sposób zgodny z prawem, co w konsekwencji może prowadzić do nieświadomego naruszenia cudzych praw majątkowych lub osobistych.

Ochrona danych osobowych

Istotne znaczenie ma również kwestia ochrony danych osobowych. Wprowadzenie przez pracownika do narzędzia AI jakichkolwiek danych osobowych może skutkować naruszeniem przepisów RODO. Systemy sztucznej inteligencji mogą gromadzić, analizować lub przetwarzać dane osobowe, w tym informacje o pracownikach, kontrahentach bądź klientach. Brak kontroli nad takim procesem przetwarzania oraz nad zakresem danych przekazywanych do takich narzędzi stwarza ryzyko ich utraty, nieuprawnionego ujawnienia lub modyfikacji. Szczególnie niebezpieczna jest sytuacja, gdy organizacja nie ma wiedzy o tym, kto i w jakim zakresie uzyskuje dostęp do danych przekazywanych do systemów AI, co może stanowić naruszenie podstawowych zasad bezpieczeństwa, w tym integralności i poufności danych osobowych, o których mowa w art. 5 ust. 1 lit. f RODO.

Zachowanie poufności

Nie bez znaczenia pozostaje także obowiązek zachowania poufności informacji. Przekazanie przez pracownika do systemu sztucznej inteligencji treści dokumentów, danych gospodarczych czy informacji handlowych lub informacji poufnych czy niejawnych może stanowić naruszenie interesu pracodawcy i jego kontrahentów.

W takiej sytuacji odpowiedzialność (finansową – w postaci kary nakładanej przez organ nadzoru oraz cywilną w przypadku roszczenia osoby poszkodowanej) ponosi przede wszystkim pracodawca jako administrator danych, ale jeśli działanie pracownika było sprzeczne z obowiązującymi zasadami, może on również ponieść odpowiedzialność dyscyplinarną lub odszkodowawczą

Ryzyko naruszenia bezpieczeństwa systemów

Należy również wskazać, że korzystanie przez pracowników z narzędzi opartych na sztucznej inteligencji – szczególnie bez nadzoru działów IT – może prowadzić do wygenerowania kodu lub elementów złośliwego oprogramowania, które w konsekwencji mogą naruszyć integralność systemów informatycznych pracodawcy, powodując powstanie istotnych luk bezpieczeństwa.

Odpowiedzialność pracodawcy za działania pracownika z użyciem AI

Zgodnie z ogólnymi zasadami prawa pracy, pracodawca odpowiada za działania swoich pracowników podejmowane w związku z wykonywaniem obowiązków służbowych. Dotyczy to również przypadków, w których pracownik wykorzystał narzędzia sztucznej inteligencji bez zgody lub wiedzy przełożonych. Brak świadomości po stronie pracodawcy nie wyłącza jego odpowiedzialności wobec osób trzecich, jeśli w wyniku tych działań powstała szkoda.

Na płaszczyźnie wewnętrznej, czyli w relacji pracownik–pracodawca, zakres odpowiedzialności zatrudnionego uzależniony jest od tego, czy korzystanie z AI nastąpiło w granicach wyraźnie udzielonej zgody. Jeżeli pracownik działał w oparciu o zgodę pracodawcy i zgodnie z ustalonymi zasadami, odpowiedzialność za ewentualne skutki prawne spoczywa na pracodawcy jako podmiocie organizującym pracę.

Odpowiedzialność pracownika w razie braku zgody pracodawcy

Wykorzystywanie w środowisku pracy narzędzi sztucznej inteligencji bez uprzedniej zgody pracodawcy oraz bez autoryzacji jednostek odpowiedzialnych za bezpieczeństwo informacji w organizacji określa się mianem tzw. Shadow AI. „Termin Shadow AI pochodzi od pojęcia Shadow IT, które opisuje korzystanie przez pracowników z nieautoryzowanych systemów, aplikacji czy chmur poza kontrolą działu IT. Analogicznie, Shadow AI oznacza wykorzystywanie narzędzi sztucznej inteligencji – najczęściej publicznie dostępnych modeli językowych (LLM) lub generatorów obrazu – bez wiedzy i nadzoru organizacji”.

Przy czym brak zgody pracodawcy na wykorzystywanie narzędzi sztucznej inteligencji wymaga rozróżnienia dwóch odmiennych sytuacji.

Brak jednoznacznego zakazu

Po pierwsze, gdy pracownik nie został w sposób jednoznaczny poinformowany o zakazie korzystania z takich rozwiązań – na przykład w regulaminie pracy, w treści umowy lub w komunikacji wewnętrznej – trudno przypisać mu winę. Obowiązek jasnego określenia zasad posługiwania się narzędziami pracy spoczywa bowiem na pracodawcy.

Działanie wbrew zakazowi

Po drugie, jeżeli pracownik korzysta z AI pomimo wyraźnego zakazu, jego odpowiedzialność kształtuje się zgodnie z zasadami przewidzianymi w art. 115 Kodeksu pracy (dalej k.p.). Odpowiada on wówczas za rzeczywistą szkodę i jej normalne następstwa. Zgodnie z art. 119 k.p., wysokość odszkodowania nie może przekroczyć trzykrotności miesięcznego wynagrodzenia pracownika z dnia wyrządzenia szkody, chyba że działał on z winy umyślnej.

Zgodnie z art. 122 k.p., umyślność ma miejsce wówczas, gdy pracownik podejmuje działanie z zamiarem wyrządzenia szkody (zamiar bezpośredni) bądź przewidując możliwość jej wystąpienia, godzi się na nią (zamiar ewentualny). Istotą omawianego problemu nie jest samo umyślne działanie skutkujące szkodą, lecz takie zachowanie, którego następstwa – w postaci powstania szkody – były przewidziane i akceptowane przez sprawcę, a zatem mieściły się w granicach jego zamiaru. Jak wskazuje Sąd Najwyższy (m.in. wyrok SN z 15 maja 2018 r., sygn. I PK 62/17), nawet rażące niedbalstwo nie jest tożsame z działaniem umyślnym; konieczne jest bowiem wykazanie, że pracownik przewidywał i akceptował skutek swojego zachowania.

W konsekwencji pełna odpowiedzialność pracownika wobec pracodawcy występuje wyłącznie w przypadku działania umyślnego. W pozostałych przypadkach stosuje się odpowiedzialność ograniczoną – wynikającą z art. 115–119 k.p.

Naruszenie obowiązków pracowniczych

W literaturze przedmiotu wskazuje się, że w sytuacji, gdy u danego pracodawcy nie funkcjonują szczegółowe regulacje dotyczące korzystania z narzędzi sztucznej inteligencji, a pracownik, posługując się takim narzędziem przy sporządzaniu wewnętrznego sprawozdania lub raportu, doprowadzi do ujawnienia danych przedsiębiorstwa w środowisku internetowym, jego zachowanie może zostać zakwalifikowane jako naruszenie obowiązków pracowniczych. Odmiennie należy ocenić sytuację, w której u pracodawcy obowiązuje regulamin pracy bądź inne wewnątrzzakładowe źródło prawa pracy, wprowadzające ograniczenia lub jednoznaczny zakaz wykorzystywania sztucznej inteligencji przy wykonywaniu obowiązków służbowych. W takim przypadku naruszenie tego zakazu może stanowić ciężkie naruszenie podstawowych obowiązków pracowniczych w rozumieniu art. 52 § 1 pkt 1 kodeksu pracy, uzasadniające rozwiązanie umowy o pracę bez wypowiedzenia z winy pracownika.

Rekomendacje dla pracodawców

W obliczu coraz szerszego zastosowania narzędzi sztucznej inteligencji w miejscu pracy kluczowe staje się wprowadzenie wewnętrznych regulacji dotyczących zasad ich wykorzystywania. Choć obowiązujące przepisy nie nakładają na pracodawców obowiązku uwzględniania kwestii AI w umowie o pracę, należy – w oparciu o zasadę przejrzystości i obowiązek informacyjny – rozważyć ich uregulowanie w aktach wewnętrznych, takich jak regulamin pracy, polityka bezpieczeństwa informacji czy kodeks etyki.

Takie rozwiązanie pozwala nie tylko określić granice dopuszczalnego korzystania z narzędzi sztucznej inteligencji, lecz także minimalizuje ryzyko odpowiedzialności pracodawcy za działania pracowników. Jednocześnie zapewnia zgodność z przepisami o ochronie danych osobowych, tajemnicy przedsiębiorstwa oraz prawach autorskich, a także umożliwia skuteczne zarządzanie ryzykiem związanym z nowymi technologiami w miejscu pracy.

Piotr Mikuszewski

Broker Ubezpieczeniowy | Dyrektor Biura Analiz i Projektów Ubezpieczeniowych