Spis treści:
-
-
- Redefinicja zasad odpowiedzialności
- Ważne terminy
- Przepisy dostosowane do technologii
Dyrektywa w sprawie odpowiedzialności za produkty wadliwe na nowo definiuje, kto i na jakich zasadach odpowiada za szkody wyrządzone przez produkty cyfrowe – od aplikacji, przez rozwiązania chmurowe, aż po systemy oparte na sztucznej inteligencji.
Innowacyjne rozwiązania IT zwiększają efektywność procesów oraz przyczyniają się do optymalizacji kosztów. Stały się nieodłącznym elementem życia codziennego, zmieniając sposób komunikowania się, korzystania z usług publicznych, bankowości, opieki zdrowotnej czy wykonywania pracy. Systemy IT oparte na sztucznej inteligencji zmieniają rynek e-commerce oraz wpływają na decyzje zakupowe konsumentów. Z opublikowanego przez CBOS komunikatu z badań nr 60/2025, wynika, że jedna trzecia użytkowników internetu (34%) korzysta ze stron lub aplikacji dających dostęp do sztucznej inteligencji.
Rozwój technologii oprócz niewątpliwych korzyści niesie za sobą również liczne wyzwania, w tym w zakresie regulacji prawnych. Dotyczą one m.in. obszaru bezpieczeństwa produktów, odpowiedzialności za szkody wyrządzone przez narzędzia IT, ochrony danych osobowych oraz praw konsumentów.
Odpowiedzią na te wyzwania jest dyrektywa Parlamentu Europejskiego i Rady (UE) 2024/2853 z dnia 23 października 2024 r. w sprawie odpowiedzialności za produkty wadliwe i uchylenia dyrektywy Rady 85/374/EWG (DzUrz UE L 2853 z 18.11.2024; dalej PLD, dyrektywa w sprawie odpowiedzialności za produkty wadliwe lub dyrektywa). Celem PLD jest dostosowanie prawa do zmieniającej się gospodarki cyfrowej, zapewnienie jednolitych zasad odpowiedzialności za szkody wyrządzone przez produkt przy jednoczesnym zapewnieniu pełnej konkurencyjności na rynku oraz wysokiego poziomu ochrony konsumentów. W motywie 3 dyrektywy zaznaczono, że dyrektywa 85/374/EWG wymagała zmiany w związku z rozwojem nowych technologii (w tym sztucznej inteligencji), nowymi modelami biznesowymi gospodarki o obiegu zamkniętym i aktualnymi globalnymi łańcuchami dostaw, które przyczyniły się do niespójności prawa. Wskutek wprowadzenia PLD dyrektywa 85/374/EWG traci moc od dnia 9 grudnia 2026 r. Ponadto ustawodawca unijny wskazał, że „[n]iezależna od winy odpowiedzialność ze strony podmiotów gospodarczych jest jedynym właściwym środkiem zapewniającym sprawiedliwe rozłożenie ryzyka tkwiącego w nowoczesnej technologicznie produkcji” (motyw 2 dyrektywy).
Redefinicja zasad odpowiedzialności
Postęp technologiczny wymusił zmiany w dotychczasowych regulacjach prawnych. W związku z coraz częstszym wykorzystywaniem narzędzi IT w życiu codziennym racjonalne wydawało się oczekiwanie, że powszechnie dostępne produkty cyfrowe (w tym oprogramowanie, systemy wykorzystujące AI, aplikacje mobilne) nie będą stwarzały zagrożenia dla ich użytkowników, a podmiot wprowadzający dany produkt do obrotu ponosić będzie odpowiedzialność za wszelkie szkody przez niego wyrządzone. Na gruncie dyrektywy 85/374/EWG podnoszono jednak, że „art. 45KC należy interpretować w sposób ścisły. Jego zwolennicy twierdzą, że oprogramowanie nie jest rzeczą ruchomą w rozumieniu art. 45KC, a jako dobro niematerialne nie jest produktem, za który producent odpowiada” [1]. Wobec tego konieczne stało się doprecyzowanie pojęcia produktu oraz rozszerzenie zakresu szkody i katalogu podmiotów odpowiedzialnych za szkody wyrządzone przez produkty wadliwe.
Oprogramowanie jako produkt
Wprowadzone w drodze PLD zmiany mają przyczynić się do skuteczniejszego dochodzenia odszkodowań na rynku cyfrowym oraz zwiększyć ochronę osób fizycznych. Dynamiczny rozwój technologii przyczynił się m.in. do zredefiniowania pojęcia produktu. Unijny ustawodawca zrównał kategorie oprogramowania z innymi produktami materialnymi. Ma to istotne znaczenie dla producentów systemów IT (w tym opartych na AI), rozwiązań chmurowych, czy też producentów urządzeń IoT (internet rzeczy).
Stosownie do przepisu art. 4 pkt 1 dyrektywy pod pojęciem produktu należy rozumieć rzecz ruchomą, nawet jeżeli jest ona zintegrowana lub wzajemnie połączona z inną rzeczą ruchomą lub nieruchomą; obejmuje to energię elektryczną, cyfrowe pliki produkcyjne, surowce i oprogramowanie.
Oprogramowanie jest produktem zgodnie z PLD niezależnie od sposobu jego dostarczenia lub użytkowania, a zatem niezależnie od tego, czy oprogramowanie jest przechowywane na urządzeniu, dostępne za pośrednictwem sieci komunikacyjnej czy technologii chmury obliczeniowej, czy też dostarczane w ramach modelu oprogramowania jako usługi (motyw 13 dyrektywy).
Warto zaznaczyć, że na gruncie motywu 12 oraz art. 2 ust. 2 omawianej regulacji prawnej produktem nie będzie darmowe i otwarte oprogramowanie opracowane lub dostarczone poza działalnością handlową, ponieważ produkty w ten sposób wytworzone nie są z definicji wprowadzane do obrotu. Udostępnianie oprogramowania open source w otwartych repozytoriach nie stanowi udostępniania na rynku, chyba że ma to miejsce w ramach działalności handlowej.
PLD nie znajduje ponadto zastosowania do usług. Wyjątek stanowi opisany w art. 4 pkt 3 dyrektywy przypadek, gdy mamy do czynienia z usługą zintegrowaną z produktem lub wzajemnie z nim połączoną w taki sposób, że brak usługi uniemożliwiałby realizowanie przez produkt jednej z jego funkcji (np. usługę asystenta głosowego umożliwiającą kontrolę jednego lub większej liczby produktów za pomocą komend głosowych czy też usługę kontroli temperatury, która monitoruje i reguluje temperaturę inteligentnej lodówki). Na podstawie motywu 17 oraz art. 4 pkt 4 dyrektywy tego rodzaju usługi należy uznać za części składowe produktu, z którym są zintegrowane lub wzajemnie połączone, jeżeli znajdują się pod kontrolą producenta tego produktu.
Nowy wymiar szkody
PLD reguluje zasady odpowiedzialności za szkody wyrządzone przez produkt wadliwy osobom fizycznym (w tym konsumentom). Wadliwość produktu należy oceniać przez pryzmat braku bezpieczeństwa, jakiego ma prawo wymagać od danego produktu ogół społeczeństwa, nie zaś jego przydatności do użytku.
Przy ocenie bezpieczeństwa produktu, zgodnie z motywami 30 i 32 oraz art. 7 ust. 3 dyrektywy, uwzględnia się m.in.: jego przeznaczenie; dające się racjonalnie przewidzieć zastosowanie; prezentację i właściwości (w tym jego etykietę, projekt, cechy techniczne, skład i opakowanie oraz instrukcje montażu produktu, jego instalacji, użytkowania i konserwacji); szczególne wymogi grupy użytkowników, do której produkt jest skierowany.
W przypadku oprogramowania – jak zostało wskazane w motywie 32 PLD – należy wziąć pod uwagę wpływ, jaki na bezpieczeństwo produktu ma zdolność do uczenia się lub nabywania nowych cech po wprowadzeniu go do obrotu lub oddaniu do użytku. Ponadto produkt można uznać za wadliwy, jeżeli nie spełnia on wymogów bezpieczeństwa, w tym w zakresie cyberbezpieczeństwa istotnych z punktu widzenia bezpieczeństwa produktu (art. 7 ust. 2 pkt f PLD).
Stosownie do brzmienia art. 6 ust. 1 dyrektywy w sprawie odpowiedzialności za produkty wadliwe odszkodowanie przysługuje za szkodę wyrządzoną w wyniku: śmierci lub innej szkody na osobie (w tym szkody na zdrowiu psychicznym); uszkodzenia lub zniszczenia mienia z wyjątkiem: samego produktu wadliwego, produktu uszkodzonego przez wadliwą część składową, mienia wykorzystywanego wyłącznie do celów zawodowych; zniszczenia lub uszkodzenia danych, które nie są wykorzystywane do celów zawodowych (np. utraty danych przechowywanych w chmurze obliczeniowej na skutek aktualizacji oprogramowania, które błędnie usuwa zapisane w chmurze pliki).
Omawiany akt prawny rozszerzył więc zakres szkody o szkodę na zdrowiu psychicznym oraz powstałą na skutek zniszczenia lub uszkodzenia danych. Przy czym odszkodowaniem nie są objęte szkody wyrządzone w przedmiotach materialnych, jak również wywołane zniszczeniem lub uszkodzeniem danych wykorzystywanych wyłącznie do celów zawodowych.
Nie tylko producent
Nowe regulacje prawne rozszerzają katalog podmiotów, wobec których osoby poszkodowane będą mogły zgłaszać przysługujące im roszczenia odszkodowawcze. Podmioty odpowiedzialne za szkody wyrządzone przez produkty wadliwe na gruncie PLD to tzw. podmioty gospodarcze (art. 4 pkt 15 PLD). Podmioty te ponoszą odpowiedzialność za szkodę niezależnie od winy.
Pod pojęciem podmiotu gospodarczego kryją się (art. 8 ust. 1):
- producent wadliwego produktu;
- producent wadliwej części składowej, w przypadku gdy część ta została zintegrowana lub wzajemnie połączona z produktem pod kontrolą producenta i spowodowała wadliwość tego produktu, bez uszczerbku dla odpowiedzialności producenta, o którym mowa w pkt powyżej;
- w przypadku producenta produktu lub części składowej mającego siedzibę poza Unią Europejską i bez uszczerbku dla odpowiedzialności tego producenta – importer wadliwego produktu lub wadliwej części składowej bądź upoważniony przedstawiciel producenta, a jeśli nie ma importera mającego siedzibę w Unii ani upoważnionego przedstawiciela producenta, dostawca usług realizacji zamówień.
Jeżeli osoba dochodząca roszczeń nie może zidentyfikować żadnego z podmiotów wskazanych w art. 8 ust. 1 PLD, wówczas odpowiedzialność ponosi każdy dystrybutor wadliwego produktu – pod warunkiem, że osoba poszkodowana zwróci się do dystrybutora z wnioskiem o wskazanie danych podmiotów wymienionych w wyżej wskazanym przepisie prawa lub jego własnego dystrybutora, który dostarczył mu ten produkt, a dystrybutor nie wskaże podmiotu gospodarczego lub swojego własnego dystrybutora w terminie jednego miesiąca od otrzymania wniosku.
Odpowiedzialność podmiotów gospodarczych może zostać wyłączona na skutek zaistnienia okoliczności wskazanych w art. 11 ust. 1 dyrektywy. Mianowicie podmiot gospodarczy nie będzie ponosił odpowiedzialności za szkodę wyrządzoną przez produkt wadliwy, jeżeli wykaże m.in.:
- w przypadku producenta lub importera – że nie wprowadził produktu do obrotu ani nie oddał go do użytku;
- w przypadku dystrybutora – że nie udostępnił produktu na rynku;
- że jest prawdopodobne, iż wadliwość, która spowodowała szkodę, nie występowała w momencie wprowadzenia produktu do obrotu, oddania do użytku lub, w odniesieniu do dystrybutora, udostępnienia na rynku, lub że wadliwość ta powstała po tym momencie;
- że obiektywny stan wiedzy naukowej i technicznej w momencie wprowadzenia produktu do obrotu lub oddania do użytku, lub w okresie, w którym produkt pozostawał pod kontrolą producenta, nie pozwalał na wykrycie wadliwości;
- że wadliwość, która spowodowała szkodę, wynika z zapewnienia zgodności produktu z wymogami prawnymi.
Należy pamiętać, że w przypadku oprogramowania okoliczność, że wadliwość produktu powstała po wprowadzeniu produktu do obrotu lub oddania do użytku, nie będzie stanowić przesłanki uzasadniającej wyłączenie odpowiedzialności po stronie podmiotu gospodarczego, jeżeli wadliwość ta wynikać będzie z oprogramowania, w tym jego aktualizacji lub modernizacji bądź braku aktualizacji lub modernizacji niezbędnych do wyeliminowania luk w cyberbezpieczeństwie.
Celem zabezpieczenia interesów osób występujących z roszczeniami odszkodowawczymi ustawodawca unijny wyraźnie zaznaczył, iż państwa członkowskie mają obowiązek zapewnienia, że odpowiedzialność podmiotu gospodarczego nie może zostać ograniczona ani wyłączona w drodze postanowień umownych lub prawa krajowego (art. 15 PLD).
Łatwiejsze dochodzenie odszkodowań
Omawiana regulacja prawna wprowadza nowe obowiązki po stronie podmiotu gospodarczego i szereg domniemań, które mają uprościć proces dochodzenia roszczeń przez poszkodowanych. Po pierwsze na wniosek poszkodowanego (który uwiarygodnił roszczenie o odszkodowanie) podmiot gospodarczy (pozwany) będzie zobowiązany ujawnić odpowiednie dowody (dokumenty oraz informacje), którymi dysponuje, a które są istotne dla rozpoznania danej sprawy (art. 9 ust. 1 PLD). Przykładowo sąd może zobowiązać stronę pozwaną (np. producenta) do przedłożenia pełnej dokumentacji technicznej danego produktu. Po drugie dyrektywa reguluje wzruszalne domniemania w zakresie wadliwości produktu oraz związku przyczynowego pomiędzy ową wadliwością a powstałą szkodą.
Poszkodowany zgodnie z przepisami PLD jest – co do zasady – zobligowany udowodnić w toku postępowania sądowego wadliwość produktu, poniesioną szkodę oraz związek przyczynowy pomiędzy wadliwością produktu a wyrządzoną przez niego szkodą (art. 10 ust. 1). Zgodnie z art. 10 ust. 2 dyrektywy domniemywa się, że produkt jest wadliwy, jeżeli zostanie spełniony przynajmniej jeden z trzech warunków:
- Pozwany nie przedstawi dowodów na wniosek poszkodowanego (patrz art. 9 ust. 1 PLD).
- Powód wykaże, że produkt nie spełnia obowiązkowych wymogów bezpieczeństwa produktów określonych w prawie Unii lub prawie krajowym.
- Powód wykaże, że szkoda została spowodowana oczywistym nieprawidłowym działaniem produktu podczas dającego się racjonalnie przewidzieć używania lub w zwykłych okolicznościach.
Stosownie zaś do przepisu art. 10 ust. 3 dyrektywy w sprawie odpowiedzialności za produkty wadliwe domniemywa się istnienie związku przyczynowego pomiędzy wadliwością produktu a szkodą, jeżeli uda się ustalić, że produkt jest wadliwy, a spowodowana przezeń szkoda jest takiego rodzaju, jaki zwykle odpowiada tej postaci wady.
Należy podkreślić, że sąd może skorzystać z domniemania wadliwości produktu oraz związku przyczynowego pomiędzy wadliwością produktu a szkodą, jeżeli pomimo ujawnienia przez stronę pozwaną istotnych dowodów oraz uwzględnienia wszystkich istotnych okoliczności danej sprawy powód napotyka nadmierne trudności (w szczególności ze względu na złożoność techniczną lub naukową) w udowodnieniu wadliwości produktu lub związku przyczynowego oraz powód wykaże prawdopodobieństwo wadliwości produktu lub związku przyczynowego między wadliwością produktu a szkodą. Złożoność techniczna lub naukowa, o której mowa w przepisie art. 10 ust. 4 dyrektywy, powinna być rozpatrywana każdorazowo indywidualnie. W motywie 48 dyrektywy wskazano, że analiza powinna obejmować „(…) złożony charakter produktu, np. jeżeli jest to innowacyjny wyrób medyczny; złożony charakter stosowanej technologii, np. uczenie maszynowe; złożony charakter informacji i danych, które mają być przeanalizowane przez osobę występującą z roszczeniem; oraz złożony charakter związku przyczynowego, np. związku między produktem farmaceutycznym lub spożywczym a wystąpieniem schorzenia, lub związku, który – aby można było udowodnić – wymagałby od osoby występującej z roszczeniem wyjaśnienia wewnętrznego funkcjonowania systemu AI”.
Ważne terminy
Podmioty gospodarcze ponoszą odpowiedzialność niezależnie od winy, ale odpowiedzialność ta nie jest nieograniczona pod względem czasu. Poszkodowany ma trzy lata na wszczęcie postępowania o zapłatę odszkodowania za szkody wyrządzone przez produkt wadliwy i objęte zakresem dyrektywy PLD. Termin ten biegnie od dnia, w którym osoba poszkodowana dowiedziała się lub mogła się dowiedzieć o szkodzie, jej przyczynie i podmiocie odpowiedzialnym za jej wyrządzenie.
Prawo do dochodzenia odszkodowania wygasa po upływie 10 lat od dnia wprowadzenia danego produktu do obrotu lub oddania do użytku. Jeżeli produkt był znacząco modyfikowany, to odpowiedzialność podmiotu gospodarczego wygasa po upływie wyżej wskazanego okresu liczonego od dnia, w którym produkt ten został udostępniony na rynku lub oddany do użytku po jego znaczącej modyfikacji.
Co istotne, w przypadku szkody na osobie, której utajniony charakter nie pozwolił na wszczęcie postępowania w ciągu 10 lat, termin na dochodzenie roszczeń przez podmiot uprawniony może zostać wydłużony do 25 lat (w szczególności w przypadku, gdy objawy szkody na osobie, zgodnie z wiedzą medyczną, powstają w dłuższym okresie).
Przepisy dostosowane do technologii
Dotychczasowe regulacje prawne dotyczące odpowiedzialności za szkodę nie uwzględniały specyfiki nowych technologii, w szczególności takich rozwiązań informatycznych jak chmura obliczeniowa, urządzenia IoT czy zaawansowane systemy informatyczne wykorzystujące AI. Niezbędne stało się przeprowadzenie rewizji przepisów oraz dostosowanie ich do potrzeb rynku usług cyfrowych.
Jedną z najistotniejszych zmian wprowadzonych przez PLD jest uznanie oprogramowania za produkt. Rozwiązanie to eliminuje wątpliwości interpretacyjne dotyczące kwalifikacji prawnej oprogramowania, z którymi mierzyliśmy się dotychczas. Ustawodawca unijny rozszerzył także zakres szkód, obejmując obowiązkiem odszkodowawczym m.in. zniszczenie lub utratę danych wykorzystywanych do celów prywatnych oraz szkody na zdrowiu psychicznym. Ponadto, w drodze nowej regulacji prawnej, doszło do poszerzenia katalogu podmiotów odpowiedzialnych za produkt wadliwy. Odpowiedzialność ponoszą nie tylko producenci, lecz także importerzy, upoważnieni przedstawiciele, dostawcy usług realizacji zamówień, a w określonych przypadkach również dystrybutorzy. Na skutek wprowadzonych zmian niemalże niemożliwe wydaje się nieznalezienie podmiotu, który będzie zobowiązany naprawić szkodę wyrządzoną przez dany produkt.
W odniesieniu do produktów cyfrowych odpowiedzialność producenta nie kończy się wraz z wprowadzeniem produktu do obrotu. Producent może odpowiadać również za szkody wynikające z aktualizacji i modernizacji oprogramowania lub braku działań niezbędnych do usunięcia luk w cyberbezpieczeństwie.
PLD wzmacnia pozycję procesową osób poszkodowanych. Dyrektywa nakazuje ujawnianie dowodów przez podmioty gospodarcze oraz wprowadza szereg domniemań dotyczących wadliwości produktu i związku przyczynowego pomiędzy wadliwością produktu a szkodą. Regulacje prawne w tym zakresie będą szczególnie przydatne w sprawach dotyczących złożonych technologicznie produktów, w których wykazanie wadliwości produktu jest często znacznie utrudnione.
Omawiane regulacje wyznaczają nowy kierunek rozwoju odpowiedzialności cywilnej w erze cyfryzacji. Ich celem jest nie tylko zapewnienie wysokiego poziomu ochrony konsumentów, lecz również zwiększenie bezpieczeństwa produktów cyfrowych oraz wzmocnienie w społeczeństwie zaufania do nowych technologii. Podmioty tworzące i rozwijające oprogramowanie, systemy AI oraz inne rozwiązania cyfrowe powinny już dziś przystąpić do analizy nowych wymagań prawnych, bowiem regulacje te znajdą zastosowanie do produktów wprowadzonych do obrotu lub oddanych do użytku po 8 grudnia 2026 roku.
Państwa członkowskie powinny implementować przepisy niniejszej dyrektywy do dnia 9 grudnia 2026 r. Stosownie do przepisu art. 21 PLD dyrektywa 85/374/EWG traci moc od dnia 9 grudnia 2026 r., przy czym dyrektywę tę stosuje się jednak nadal w odniesieniu do produktów wprowadzonych do obrotu lub oddanych do użytku przed tym dniem.
Przypisy:
- K. Wałdoch, Odpowiedzialność deliktowa za szkody wyrządzone w związku z zastosowaniem sztucznej inteligencji w medycynie, 2025, opubl. w systemie Legalis.
Autor
Katarzyna Blachowicz
Autorka jest radczynią prawną oraz menedżerką z wieloletnim doświadczeniem – także w branży IT. Laureatka „Rising Stars. Prawnicy – liderzy jutra”. W 2015 r. Forbes Women umieścił ją na liście liderek „23 na 2023”, a w roku 2023 została wymieniona w raporcie „Strong Women in IT”. Stworzyła unikatowy program CSR „Nowa TY w IT. Profesjonalizm nie ma płci”, którego celem było zachęcenie kobiet do rozpoczęcia kariery w branży IT.
