Krótka odpowiedź (TL;DR)
Nowa dyrektywa produktowa 2024/2853 obejmuje produkty w epoce cyfrowej, w tym oprogramowanie i systemy AI. Państwa członkowskie mają wdrożyć jej przepisy do 9 grudnia 2026 r., a reżim będzie stosowany do produktów wprowadzonych do obrotu lub oddanych do użytku po tej dacie.
1. Software może być produktem
Najważniejsza zmiana to wyraźne objęcie oprogramowania, w tym systemów AI, logiką odpowiedzialności produktowej. Wadą może być nie tylko pękający element fizyczny, ale też błąd aktualizacji, brak poprawki bezpieczeństwa, wadliwy model decyzyjny albo niebezpieczna integracja z urządzeniem.
Polskie orzecznictwo już wcześniej szeroko patrzyło na bezpieczeństwo produktu. SN w „wprowadzenie do obrotu materiałów budowlanych, które nie spełniają norm jakościowych" → III CSK 261/07 wiązał wadliwość z odpowiedzialnością deliktową. W nowym reżimie ta intuicja przenosi się na produkt cyfrowy.
2. Aktualizacje i cyberbezpieczeństwo są elementem bezpieczeństwa
Dyrektywa podkreśla odpowiedzialność producenta w cyklu życia produktu, zwłaszcza gdy szkoda wynika z braku koniecznych aktualizacji bezpieczeństwa. Jeżeli produkt połączony z internetem wymaga patchy, producent nie może łatwo powiedzieć, że po sprzedaży nie interesuje go ryzyko.
W sprawie e-papierosa sąd przywołał zasadę z art. 449(1) k.c.; „odpowiada za szkodę wyrządzoną komukolwiek przez ten produkt" → I C 637/18. Dla AI i software'u odpowiednikiem bezpiecznej konstrukcji będą testy, aktualizacje, monitorowanie błędów i ostrzeżenia dla użytkownika.
3. Kto odpowiada w łańcuchu?
Dyrektywa rozszerza myślenie o podmiotach odpowiedzialnych: producent, importer, upoważniony przedstawiciel, dystrybutor, a w niektórych sytuacjach także podmiot istotnie modyfikujący produkt. TSUE w C-264/21 uznał, że osoba umieszczająca swój znak towarowy może być traktowana jak producent. Dla marek private label i integratorów AI to bardzo ważna wskazówka.
Jeżeli firma bierze cudzy model, dodaje interfejs, opakowuje usługę własnym brandem i sprzedaje jako własny produkt, powinna ocenić swoją rolę. Sama informacja "technologię dostarcza partner" może nie wystarczyć.
4. Najciekawszy take: AI liability zacznie się w product management
Najlepsza obrona będzie powstawać przed szkodą: opis zastosowania, ograniczenia, testy, monitoring, proces aktualizacji, dokumentacja danych i procedura wycofania. To sprawia, że prawnicy muszą wejść w roadmapę produktu wcześniej, a nie dopiero po reklamacji.
Praktyczna lista kontrolna
- ustal, czy firma jest producentem, importerem, dystrybutorem, integratorem albo marką własną.
- opisz, które aktualizacje bezpieczeństwa są konieczne i jak długo produkt je otrzymuje.
- zachowuj logi istotnych modyfikacji, retreningu, zmian danych i zmian funkcji AI.
- przygotuj ostrzeżenia dla użytkowników oraz procedurę wycofania lub naprawy produktu.
- łącz dokumentację AI Act, CRA i odpowiedzialności produktowej w jednym dossier produktu.
Najczęstszy błąd
Najczęstszy błąd to traktowanie aktualizacji jako dobrowolnego wsparcia. Przy produkcie cyfrowym brak koniecznej poprawki bezpieczeństwa może stać się elementem wadliwości produktu.
Źródła
Dyrektywa (UE) 2024/2853; AI Act; Cyber Resilience Act; orzecznictwo SN, TSUE i sądów powszechnych o odpowiedzialności producenta i bezpieczeństwie produktu.