Na przestrzeni ostatnich lat zaczęło obowiązywać co najmniej kilkanaście aktów prawnych z zakresu prawa nowych technologii, a na rozpoczęcie stosowania czekają następne regulacje z tej dziedziny. Implementacja nowych obowiązków prawnych w większości organizacji wymaga uruchomienia odrębnego projektu ich wdrożenia. Bazując na doświadczeniach związanych z realizacją tego rodzaju projektów, poniżej przedstawiam listę najważniejszych pytań, w przypadku których udzielenie odpowiedzi powinno istotnie ułatwić należytą organizację tych prac.

1. Czy nowy akt prawny w ogóle stosuje się do naszej organizacji?

W pierwszej kolejności należy ustalić, czy rodzaj działalności prowadzonej przez daną organizację mieści się w zakresie – przedmiotowym, podmiotowym i terytorialnym – stosowania danego aktu prawnego. Jest to szczególnie istotne w przypadku regulacji sektorowych, takich jak AI Act, Data Act czy NIS 2.

Należy podkreślić, że stwierdzenie braku bezpośredniej „stosowalności” danego aktu prawnego do danej organizacji nie zwalnia jej z powinności sprawdzenia, czy kontrahenci, którzy z kolei podlegają tym przepisom, prawidłowo wdrożyli określone w nich obowiązki. Zaniechanie w tym zakresie skutkować może odpowiedzialnością deliktową w sytuacji, gdy do powstania szkody dojdzie w wyniku braku wdrożenia odpowiednich rozwiązań organizacyjno-technicznych przez dostawcę usług.

Przykładem tego rodzaju regulacji jest ustawa o krajowym systemie cyberbezpieczeństwa (UKSC), która do kategorii dostawców usług cyfrowych zaliczyła dostawców usług przetwarzania danych w chmurze obliczeniowej (załącznik nr 2 do UKSC). Użytkownik chmury obliczeniowej, zawierający umowę z jej dostawcą, o ile nawet sam nie podlega przepisom UKSC, to i tak powinien dokonać weryfikacji, czy dostawca zrealizował obowiązki określone w tej ustawie (np. w zakresie podjęcia właściwych i proporcjonalnych środków technicznych i organizacyjnych w celu zarządzania ryzykiem, na jakie narażone są systemy informacyjne wykorzystywane do świadczenia usługi cyfrowej).

2. Jaki jest status danej organizacji na gruncie danego aktu prawnego?

Z kolei po ustaleniu, że dany akt prawny znajduje zastosowanie do danej organizacji, istotne jest określenie jej statusu na gruncie tej regulacji. Bezpośrednio od tego zależy bowiem zakres obowiązków, które należy spełnić. Przykładowo, podmioty będące dostawcami AI mają zdecydowanie więcej obowiązków na gruncie AI Act niż podmioty stosujące AI. Podobnie użytkownicy urządzeń skomunikowanych i związanych z nimi usług powiązanych w rozumieniu przepisów Data Act, a niebędący tzw. posiadaczami danych, muszą spełnić jedynie niektóre z obowiązków (głównie informacyjne), podczas gdy posiadacze danych są adresatami zdecydowanej większości obowiązków określonych w Data Act.

W powyższym kontekście warto również podkreślić, że określenie statusu podmiotów na gruncie danej regulacji z zakresu prawa nowych technologii wpływa bezpośrednio na zakres ryzyk prawnych związanych z ich działalnością, w tym przede wszystkim w zakresie sankcji, które mogą nałożyć na nie organy nadzorcze (np. kary pieniężne).

3. Czy dany akt prawny zawiera przepisy intertemporalne?

Kolejnej weryfikacji należy dokonać w zakresie ustalenia, czy i jakie przepisy intertemporalne zostały ustanowione w danym akcie prawnym. Ma to przede wszystkim znaczenie dla wyznaczenia zakresu i obowiązków dostosowania do nowych wymogów systemów, aplikacji czy procesów, które zostały wdrożone w danej organizacji przed datą rozpoczęcia ich obowiązywania. Przykładowo, na gruncie Data Act, produkty i usługi funkcjonujące na rynku przed dniem 12 września 2025 r., a więc przed datą obowiązywania rozporządzenia, nie wymagają dostosowania do nowej regulacji. W innych z kolei aktach prawnych wprowadza się dłuższe okresy dostosowania dla wcześniej już używanych aplikacji, systemów czy produktów (np. AI Act, Cyber Resilience Act).

4. Czy nowe przepisy ustanawiają nowe obowiązki, czy też modyfikują i/lub uzupełniają już obowiązujące wymogi?

Część nowych regulacji wprowadza nowe wymogi, podczas gdy inne modyfikują i/lub uzupełniają te, które już obowiązują na podstawie wcześniej uchwalonych aktów prawnych. Przykładem jest prawo przenoszalności danych, określone w art. 20 RODO. Podobnego rodzaju uprawnienie przewidziano w Data Act. W ramach realizacji projektu wdrożenia Data Act, należy więc dokonać weryfikacji, czy i w jakim zakresie istniejące już procedury czy polityki, tworzone na podstawie RODO, powinny zostać zmodyfikowane z uwagi na przepisy Data Act (np. w zakresie objęcia nimi danych generowanych przez urządzenia IoT czy określenia aspektów technicznych realizacji tego prawa).

5. Jakie wymogi w zakresie zasady rozliczalności są określone w nowym akcie prawnym?

Jedną z dwóch podstawowych zasad ustanowionych w prawie nowych technologii jest zasada rozliczalności. Zgodnie z nią, podmiot korzystający z danej technologii ma obowiązek wykazać zgodność swoich procesów z wymaganiami regulacyjnymi, a w razie kontroli ciężar dowodu spoczywa na tym podmiocie. Należy w związku z tym zauważyć, że wiele nowych aktów prawnych wprost odwołuje się do obowiązku prowadzenia określonej dokumentacji (np. obowiązek opracowania polityk, rejestrów etc.) lub obowiązek ich stworzenia wynika pośrednio ze względu na sposób określenia danego obowiązku (np. obowiązek reagowania na incydenty bezpieczeństwa i konieczność opracowania w związku z tym procedury postępowania w przypadku ich wykrycia/zgłoszenia). Do tego rodzaju obowiązków zalicza się również odpowiednie udokumentowanie przeprowadzenia różnego rodzaju procedur szacowania ryzyk związanych z korzystaniem z danych technologii czy realizacji innych – niż dokumentacyjne – wymogów (np. obowiązek przechowywania przez określony okres czasu logów automatycznie generowanych przez system – art. 19 AI Act).