Umowa na AI: siedem postanowień, których nie wolno pominąć

Przetarg kończy się wyborem oferty, a praca z AI dopiero się zaczyna. To, czy po trzech latach organizacja będzie panować nad danymi, kosztami i jakością, rozstrzyga umowa

1. Dane i trenowanie modeli

Umowa musi mówić, gdzie dane są przetwarzane, kto ma do nich dostęp i czy dostawca może na nich trenować modele. Zasady różnią się nawet w ramach jednej usługi. Według zasad ogłoszonych przez Anthropic w sierpniu 2025 roku rozmowy użytkowników prywatnych planów Claude, którzy zgodzą się na trenowanie, mogą być przechowywane do pięciu lat, a bez tej zgody 30 dni. Zasady te nie dotyczą wersji dla firm ani API. Wniosek: organizacja kupuje wersję firmową z umową, a nie konta prywatne

2. Przechowywanie i usuwanie

Gmina Eindhoven po wykryciu wycieku musiała prosić dostawcę publicznego narzędzia AI o usunięcie plików mieszkańców. W umowie trzeba z góry zapisać, jak długo dostawca przechowuje dane, jak je usuwa i jak to potwierdza

3. Powierzenie danych i incydenty

Gdy dostawca przetwarza dane osobowe, potrzebna jest umowa powierzenia (art. 28 RODO). Administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO). Dostawca musi więc informować o incydentach szybciej niż ten termin

4. Wyjście od dostawcy

Eksport danych, bazy wiedzy i konfiguracji, okres przejściowy i pomoc w migracji. Prawo idzie tu w stronę kupującego: unijny akt w sprawie danych (Data Act) przewiduje, że od 12 stycznia 2027 roku dostawcy usług przetwarzania danych nie będą pobierać opłat za zmianę dostawcy

5. Jakość i poziom usług

Sama dostępność usługi to za mało. Warto zapisać mierniki jakości odpowiedzi, czas reakcji na zgłoszenie błędnej odpowiedzi i sposób jego obsługi

6. Zmiany modelu

Dostawcy wymieniają modele często. Umowa powinna przewidywać zapowiedź zmiany z wyprzedzeniem, testy przed zmianą i prawo do pozostania na sprawdzonej wersji przez okres przejściowy

7. Obowiązki z AI Act i prawo audytu

Dostawca powinien dostarczyć dokumentację, instrukcję i rejestry zdarzeń, których organizacja potrzebuje jako podmiot stosujący. Do tego prawo audytu, także przez niezależnego eksperta

Polski przykład pokazuje, że klienci zaczną o to pytać. Naczelna Rada Adwokacka zdecydowała w czerwcu, że adwokat może korzystać z AI wyłącznie pomocniczo, a na żądanie klienta powinien wskazać narzędzia użyte w jego sprawie. Kancelaria, która nie wie, co kupiła, nie odpowie na to pytanie

Andrzej Albera

Od ponad 30 lat w projektach IT, także o znaczeniu krytycznym dla państwa. Doradza zarządom i zamawiającym, jak mądrze kupować, wdrażać i rozwijać AI