W odpowiedzi na tę lukę prawną Unia Europejska przyjęła nową dyrektywę 2024/2853 w sprawie odpowiedzialności za produkty wadliwe, która zastępuje wcześniejszą regulację Product Liability Directive (PLD) z 1985 r. Państwa członkowskie muszą wdrożyć nową wersję PLD do prawa krajowego do 9 grudnia 2026 r.
Nowa dyrektywa stanowi przełomową zmianę prawną z punktu widzenia producentów automatyki przemysłowej, maszyn, robotów, integratorów systemów i projektantów oprogramowania dla przemysłu, w tym modeli AI. Kluczowe jest rozszerzenie w niej definicji „produktu”. Według najnowszej wersji PLD oznacza on rzecz ruchomą, nawet jeżeli jest ona zintegrowana lub wzajemnie połączona z inną rzeczą ruchomą, albo rzecz nieruchomą. Obejmuje to energię elektryczną, cyfrowe pliki produkcyjne, surowce i oprogramowanie.
Ujęte w tej definicji „cyfrowe pliki produkcyjne” oznaczają wersję cyfrową lub cyfrowy szablon rzeczy ruchomej, które zawierają informacje funkcjonalne niezbędne do wytworzenia rzeczy materialnej, poprzez umożliwienie zautomatyzowanego sterowania maszynami lub narzędziami. Jako przykład w dyrektywie podano plik projektu wspieranego komputerowo, wykorzystywany do stworzenia produktu wydrukowanego w 3D.
W praktyce oznacza to, że autorzy dyrektywy uznają za fakt, iż w dobie powszechnej cyfryzacji produkty mogą być materialne lub niematerialne. Oprogramowanie, takie jak systemy operacyjne, oprogramowanie układowe, programy komputerowe czy modele AI, jest coraz powszechniejsze na rynku. Może być ono wprowadzane do obrotu jako samodzielny produkt lub może zostać zintegrowane z innymi produktami, jako ich część składowa.
Według nowej wersji PLD oprogramowanie jest produktem, niezależnie od sposobu jego dostarczenia lub użytkowania, a zatem niezależnie od tego, czy jest przechowywane na urządzeniu, dostępne za pośrednictwem sieci komunikacyjnej lub technologii chmury obliczeniowej, czy też dostarczane w ramach modelu oprogramowania jako usługi. Jego twórców, w tym dostawców systemów AI, należy traktować jak producentów. Ponieważ oprogramowanie może powodować szkody w wyniku uruchomienia, ma ono coraz większy wpływ na bezpieczeństwo produktów. Jego dostawcy powinni zatem za straty poniesione przez użytkowników odpowiadać.
WYJĄTEK
Warto w tym miejscu wspomnieć o ważnym wyjątku. Chodzi o darmowe i otwarte oprogramowanie, którego kod źródłowy jest powszechnie dostępny i do którego użytkownicy mają swobodny dostęp, mogą z niego korzystać, zmieniać go oraz redystrybuować to oprogramowanie lub jego zmienione wersje. W nowej dyrektywie dostrzeżono jego ważność, ponieważ może się ono przyczyniać do rozwoju badań i innowacji na rynku.
Oprogramowanie takie podlega licencjom, które pozwalają każdemu na swobodę jego uruchamiania, powielania, dystrybuowania, analizowania, zmieniania i doskonalenia. Aby zatem nie utrudniać innowacji ani badań, opisywana dyrektywa nie powinna mieć zastosowania do darmowego i otwartego oprogramowania opracowanego lub dostarczonego poza działalnością handlową, ponieważ produkty w ten sposób opracowane lub dostarczane nie są z definicji wprowadzane do obrotu.
Opracowywania takiego oprogramowania lub wnoszenia do niego wkładu nie należy więc rozumieć jako udostępniania go na rynku. Udostępniania takiego oprogramowania w otwartych repozytoriach również nie należy uznawać za udostępnianie go na rynku, chyba że ma to miejsce w ramach działalności handlowej. Zasadniczo dostarczanie darmowego i otwartego oprogramowania przez organizacje nienastawione na zysk nie powinno być uznawane za odbywające się w kontekście związanym z działalnością gospodarczą, chyba że taka dostawa ma miejsce w ramach działalności handlowej. Jeżeli jednak oprogramowanie dostarczane jest w zamian za zapłatę ceny lub w zamian za dane osobowe wykorzystywane w sposób inny niż wyłącznie do celów poprawy bezpieczeństwa, kompatybilności lub interoperacyjności oprogramowania, a zatem jest dostarczane w ramach działalności handlowej, wówczas nowa dyrektywa PLD powinna już jednak mieć zastosowanie.
AI I CYBERBEZPIECZEŃSTWO
W nowej dyrektywie Product Liability Directive kilka artykułów odnosi się bezpośrednio lub pośrednio do sztucznej inteligencji. Wspomina się już o niej w rozszerzonej definicji produktu. Kluczowe znaczenie dla systemów AI ma również artykuł 7, dotyczący oceny wadliwości produktu. Dyrektywa w tym punkcie wymaga, by w takiej analizie uwzględniać wpływ na produkt wszelkich zdolności do dalszego uczenia się lub nabywania nowych cech po wprowadzeniu go do obrotu lub oddaniu do użytku. W artykule tym znajduje się też odniesienie do aktualizacji, ponieważ przy ocenie wadliwości produktu uwzględnić trzeba to, że producent zachowuje kontrolę nad produktem po tym, jak został wprowadzony do obrotu lub oddany do użytku. Oznacza to, że odpowiedzialność producenta może obejmować również zachowania systemu rozwijające się po wdrożeniu, jeżeli wynikają one z jego specyfiki, jak w przypadku modeli uczenia maszynowego lub aktualizacji.
Dyrektywa odnosi się również do problemu „black box”, czyli trudności w ustaleniu sposobu działania złożonych modeli AI. Artykuł 9 wprowadza możliwość zobowiązania producenta przez sąd do ujawnienia dowodów technicznych niezbędnych do dochodzenia roszczeń. W przypadku AI mogą to być logi systemowe, dokumentacja walidacji modeli, dane treningowe, analiza ryzyka, dokumentacja cyberbezpieczeństwa, historia aktualizacji czy dane dotyczące działania algorytmu.
Rozwiązanie to ma istotne znaczenie dla przemysłu, ponieważ nowoczesne systemy automatyki przemysłowej coraz częściej działają, opierając się na modelach o wysokim stopniu złożoności, a zarazem ograniczonej transparentności. Ponadto w dyrektywie 2024/2853 cyberbezpieczeństwo po raz pierwszy zostało bezpośrednio powiązane z oceną bezpieczeństwa produktu i odpowiedzialnością producenta za szkody wyrządzone przez produkty cyfrowe oraz systemy oparte na oprogramowaniu. W praktyce oznacza to fundamentalną zmianę dla przemysłu, ponieważ bezpieczeństwo produktu nie jest już oceniane wyłącznie przez pryzmat jego konstrukcji, ale również odporności na cyberzagrożenia.
Dyrektywa przyjmuje, że podatność cyfrowa może prowadzić do fizycznie niebezpiecznego produktu, a tym samym stanowić podstawę odpowiedzialności producenta. Szczególne znaczenie ma tutaj wspomniany artykuł 7, dotyczący oceny wadliwości produktu, który wskazuje, że uwzględnić trzeba też wymogi w zakresie cyberbezpieczeństwa istotne z punktu widzenia bezpieczeństwa produktu. Według PLD produkt można zatem uznać za wadliwy również ze względu na lukę w cyberbezpieczeństwie.
PODSUMOWANIE
Nowa wersja dyrektywy Product Liability Directive znacząco rozszerza zakres odpowiedzialności za produkty, obejmując nią również te cyfrowe. W zakresie Przemysłu 4.0 będzie to miało istotne konsekwencje. Dyrektywa może znaleźć zastosowanie m.in. w sytuacji, gdy błędy w algorytmie sterowania robotem przemysłowym doprowadzą do jego kolizji z elementem wyposażenia zakładu, jeżeli wadliwa aktualizacja firmware'u sterownika PLC spowoduje zatrzymanie linii produkcyjnej albo niekontrolowane działanie maszyny, lub gdy system bezpieczeństwa błędnie zinterpretuje warunki pracy i nie zatrzyma urządzenia w sytuacji zagrożenia.
Odpowiedzialność może również obejmować przypadki nieprawidłowego działania systemów wizyjnych, w tym tych opartych na AI, błędy optymalizacji tras autonomicznych robotów mobilnych prowadzące do przeciążenia stref logistycznych i kolizji, błędy w oprogramowaniu do konserwacji predykcyjnej skutkujące wygenerowaniem rekomendacji prowadzących do uszkodzenia turbiny, sprężarki lub pieca przemysłowego czy wykorzystanie luki cyberbezpieczeństwa do przejęcia kontroli nad linią produkcyjną. Warto na koniec dodać, że choć w założeniu dyrektywa PLD tworzy nowy model odpowiedzialności dla przemysłu cyfrowego, o jego praktycznej skuteczności zadecyduje wdrożenie tych wytycznych do przepisów krajowych i ich rzeczywiste egzekwowanie.
Monika Jaworowska
