Vibe coding a prawo

Z perspektywy średnich i dużych organizacji, w szczególności spółek technologicznych, instytucji finansowych oraz podmiotów z sektorów regulowanych, wykorzystanie vibe codingu nie jest jedynie kwestią efektywności wytwarzania oprogramowania. Wiąże się ono także z koniecznością zarządzania ryzykiem prawnym i regulacyjnym, odpowiednim ukształtowaniem procesów wewnętrznych (governance) oraz zapewnieniem zgodności z wymogami kontraktowymi klientów i inwestorów.

Stworzenie aplikacji w środowisku korporacyjnym jest złożonym i czasochłonnym procesem wymagającym nie tylko wiedzy z zakresu programowania czy projektowania, ale także spełnienia wymogów bezpieczeństwa IT, zgodności i wykonania obowiązków dokumentacyjnych. Przez dziesięciolecia przekształcenie idei w działającą aplikację wymagało wiedzy technicznej czy zatrudnienia programistów. Jednak obecne modele AI zrewolucjonizowały proces budowania aplikacji. Narzędzia takie jak Claude Code, Base44, Lovable AI czy Appy Pie pozwalają tworzyć aplikacje bez umiejętności kodowania, przyspieszając wdrożenia i upraszczając każdy etap pracy. W większych organizacjach narzędzia te są coraz częściej integrowane z istniejącymi pipeline’ami deweloperskimi, co dodatkowo komplikuje ocenę ryzyk prawnych związanych z ich użyciem. Należy zaznaczyć, że vibe coding ma zarówno swoich zwolenników, jak i przeciwników. Jest krytykowany głównie w branży IT m.in. z uwagi na niską jakość generowanego kodu.

Czym jest vibe coding w praktyce?

Vibe coding polega na budowaniu aplikacji przy użyciu narzędzia AI poprzez wykorzystanie promptów pisanych w języku naturalnym. Zamiast pisać kod, użytkownik opisuje w potocznym języku swoje wymagania dotyczące przyszłej aplikacji. Przykładowe prompty:

• „stwórz aplikację skanującą regulaminy”;
• „stwórz aplikację do nauki języków”;
• „stwórz aplikację do tworzenia ankiet”;
• „stwórz wirtualnego asystenta mody”;

Model AI Base44 do tworzenia aplikacji ^[2].

Idea stworzenia aplikacji oraz prawnoautorska kwalifikacja promptu

Zanim aplikacja nabierze konkretnego kształtu, jej tworzenie jak każdy proces kreatywny rozpoczyna się od pomysłu – idei. Należy zauważyć, że zgodnie z art. 1 ust. 21 ustawy o prawie autorskim i prawach pokrewnych ^[3] „ochroną objęty może być wyłącznie sposób wyrażenia; nie są objęte ochroną odkrycia, idee, procedury, metody i zasady działania oraz koncepcje matematyczne”. Zatem sama idea stworzenia aplikacji np. do wyprowadzania psów nie będzie objęta ochroną prawnoautorską.

W praktyce, zwłaszcza w przypadku większych organizacji, istotne staje się więc uregulowanie statusu promptów w wewnętrznych politykach, w tym określenie, czy i na jakich zasadach pracownicy mogą wykorzystywać określone informacje lub treści w komunikacji z modelami AI. Brak takich zasad zwiększa ryzyko nieuprawnionego ujawnienia informacji biznesowo wrażliwych.

Kolejnym etapem jest skonstruowanie odpowiedniego polecenia (promptu) do modelu AI.

Zrzut ekranu z modelu AI – ChatGPT ^[4].

W kontekście interakcji z systemami AI prompt jest to fragment tekstu, który służy jako instrukcja dla systemu. Po wprowadzeniu promptu model AI analizuje dane wejściowe i generuje odpowiedź w oparciu o wzorce, które przyswoił podczas trenowania. Innymi słowy prompt to rodzaj polecenia wysyłanego do maszyny, aby dostarczyła założony przez użytkownika efekt. W kwestii kwalifikacji prawnej promptu istnieją dwie możliwości: pierwsza – uznanie promptu jako utworu i objęcie go ochroną prawnoautorską i druga – uznanie promptu za ideę, co będzie się wiązało z brakiem ochrony prawnoautorskiej. Prompty niekiedy wykazują pewien stopień twórczości oraz stanowią odzwierciedlenie autora, co wiąże się z tym, że stają się one czymś więcej niż prostym poleceniem użytkownika. Jeżeli zostaną spełnione przesłanki twórczości, indywidualności oraz ustalenia można zakwalifikować prompt jako utwór w rozumieniu pr. aut ^[5].

Prawa autorskie do oprogramowania aplikacji

Po wprowadzeniu promptu np. „stwórz aplikację do wyprowadzania psów” model AI generuje przykładowy kod źródłowy.

Zrzut ekranu z modelu AI – ChatGPT.

Zgodnie z art. 74 ust. 1 pr. aut. „programy komputerowe podlegają ochronie jak utwory literackie, o ile przepisy niniejszego rozdziału nie stanowią inaczej”. Program komputerowy podobnie jak każdy inny utwór musi spełniać takie same kryteria jego kwalifikacji jak przy ocenie dzieł literackich, jak również nie musi mieć postaci ukończonej, aby korzystać z autorskoprawnej ochrony (art. 1 ust. 3 pr. aut.). Należy podkreślić, że zgodnie z ustawodawstwem międzynarodowym, unijnym i krajowym twórcą może być jedynie człowiek.

W przypadku korzystania z vibe codingu do tworzenia aplikacji będziemy mieli do czynienia z tzw. purely AI-generated works albo inaczej machine-generated works. Wprowadzenie jedynie promptu w celu nakazania modelowi AI wygenerowanie konkretnego rezultatu (kodu źródłowego) nie będzie stanowiło przypadku twórczego udziału człowieka, a zatem brak będzie podstaw do przypisania autorstwa osobie fizycznej. Inaczej, kod źródłowy w całości wygenerowany przez model AI w celu stworzenia aplikacji nie będzie chroniony prawem autorskim. Często oznacza to konieczność rozróżniania w ramach portfela IP danej organizacji kodu tworzonego „tradycyjnie” od kodu powstającego z użyciem (w rożnym stopniu) technik vibe codingu. Brak takiej kwalifikacji może prowadzić do komplikacji na poziomie kontraktowym, ryzyk podatkowych a nawet zawyżonej wyceny aktywów IP i wynikających stąd zagrożeń dla transakcji M&A lub pozyskiwania finansowania.

Modele AI są trenowane na rozległych zbiorach danych, obejmujących m.in. kod źródłowy pochodzący z publicznie dostępnych repozytoriów, co rodzi ryzyko, że wygenerowane fragmenty oprogramowania będą powielać elementy objęte prawami osób trzecich lub będą objęte restrykcyjnymi licencjami open source, prowadząc do naruszenia prawa.

Dane osobowe

Wdrażając aplikację stworzoną z pomocą vibe codingu nie można zapomnieć o ochronie danych osobowych oraz o formalnych wymaganiach w zakresie rozliczalności. Jak wynika z badań 89% aplikacji tworzonych w ten sposób nie ma odpowiednich mechanizmów zgody ^[6]. RODO ^[7] nakłada na twórców aplikacji mobilnych szereg obowiązków związanych z ochroną danych osobowych. Wykorzystanie vibe codingu w większych podmiotach powinno być uwzględnione w rejestrze czynności przetwarzania (jako element sposobu tworzenia i utrzymania aplikacji), analizach DPIA dla systemów o podwyższonym ryzyku, a także politykach bezpieczeństwa informacji oraz procedurach zarządzania incydentami.
W praktyce oznacza to więc konieczność zaangażowania działów compliance już na etapie samego projektowania procesu developmentu opartego o narzędzia AI.

Governance użycia vibe codingu w większych organizacjach

W średnich i dużych organizacjach samo techniczne wdrożenie narzędzi vibe codingu jest niewystarczające. Konieczne jest zbudowanie ram zarządzania (tzw. governance), które obejmują co najmniej politykę korzystania z narzędzi AI (w tym listę narzędzi dozwolonych i zakazanych), procedury zatwierdzania nowych narzędzi (rola działu bezpieczeństwa, IT, compliance), zasady klasyfikacji i wprowadzania danych do modeli (np. zakaz używania danych osobowych i informacji „biznesowo wrażliwych” poza określonym, kontrolowanym środowiskiem), wymogi dokumentacyjne.
Brak takich ram może prowadzić do niekontrolowanego rozproszenia narzędzi AI w firmie (shadow AI) i utrudniać późniejsze wyjaśnianie incydentów lub sporów z jej klientami.

Ryzyka biznesowe

Poza omówionymi ryzykami prawnymi warto wspomnieć również o ryzykach biznesowych wiążących się z vibe codingiem:

• przy procesie due diligence ze strony inwestorów / kupujących – brak jasnej dokumentacji, jak i w jakim zakresie użyto AI może wpłynąć na obniżenie wyceny spółki lub w nawet blokować transakcję, a w dużych grupach kapitałowych może nawet wymagać przeprowadzenia dedykowanego audytu AI, obejmującego przegląd procesów dewelopmentu, umów z dostawcami modeli oraz dokumentacji wewnętrznej.
• coraz częściej w RFP (ang. request for proposal, zapytania ofertowe) pojawiają się postanowienia o zakazie lub kontroli użycia kodu generowanego przez AI lub obowiązku ujawnienia zakresu jego wykorzystania. Dla dostawców IT brak precyzyjnych odpowiedzi w tym zakresie coraz częściej skutkuje wykluczeniem z postępowań lub dodatkowymi obowiązkami audytowymi po stronie klienta.
• vendor lock-in – należy zwrócić uwagę na ograniczenia w komercyjnym wykorzystaniu outputu (wygenerowanego wyniku). Skoro sama aplikacja powstała w ramach vibe codingu to również wszelkie zmiany / modyfikacje aplikacji będą wymagały użycia rozwiązania AI, co z kolei prowadzi do uzależnienia dostawcy od systemu AI. Ryzyko to należy uwzględniać w procesach zakupowych i w politykach zarządzania dostawcami (vendor management), w tym poprzez wymaganie od dostawców AI mechanizmów eksportu kodu oraz jasnych zasad dotyczących praw do wyników.
• brak spójności pomiędzy politykami AI a umowami zawieranymi z klientami, w szczególności w zakresie gwarancji oryginalności kodu, bezpieczeństwa oraz lokalizacji przetwarzania danych.
• ryzyka regulacyjne zwłaszcza w sektorach nadzorowanych (finanse, medycyna, infrastruktura krytyczna), gdzie wykorzystanie narzędzi AI w procesach wytwarzania oprogramowania może podlegać kontroli organów nadzoru.

Vibe coding a regulacje sektorowe i AI governance

Większe podmioty, w szczególności te należące do sektorów regulowanych, powinny traktować vibe coding jako element szerszego systemu zarządzania AI. W praktyce oznacza to konieczność:

• włączenia narzędzi vibe codingu do rejestru systemów AI wykorzystywanych w organizacji,
• oceny czy aplikacje tworzone z ich wykorzystaniem nie podlegają zaostrzonym wymogom prawnym (np. jako systemy wysokiego ryzyka w rozumieniu AI Act),
• zapewnienia spójności pomiędzy politykami AI a obowiązkami wynikającymi z przepisów sektorowych oraz standardów bezpieczeństwa informacji.

Dla działów prawnych i compliance jest to więc dodatkowy obszar, który powinien zostać objęty regularnym przeglądem i audytem.

Sprzedaż i wdrożenie aplikacji stworzonych z użyciem vibe coding – na co zwrócić szczególną uwagę?

1. Prawa autorskie – kod źródłowy w całości wygenerowany przez model AI nie będzie utworem w rozumieniu pr. aut. Sprzedającemu nie będą przysługiwały prawa autorskie do aplikacji. W transakcjach typu M&A lub przy sprzedaży rozwiązań enterprise konieczne jest zatem precyzyjne opisanie w dokumentacji transakcyjnej, jaka część kodu powstała z użyciem vibe codingu oraz jakie konsekwencje ma to dla charakteru i zakresu przenoszonych praw.
2. Potencjalne naruszenie praw osób trzecich – wygenerowany kod źródłowy może naruszać prawa przysługujące innym osobom. Ważne jest, aby dokonać audytu wygenerowanego przez AI kodu, aby upewnić się, że nie zawiera on materiałów objętych prawami autorskimi innych osób. W większych projektach wdrożeniowych audyt taki powinien być elementem standardowego procesu quality assurance (QA) oraz podlegać udokumentowaniu, tak aby można było wykazać należytą staranność wobec klienta lub inwestora.
3. Warunki licencyjne dostawcy modelu AI – należy zwrócić uwagę, że prawa przyznane użytkownikom modeli AI różnią się w zależności od platformy i indywidualnego planu. Na przykład warunki Midjourney ^[8] przyznają prawa do wygenerowanych przez nich wyników w najszerszym zakresie dozwolonym przez prawo, ale firmy o rocznych przychodach przekraczających 1 000 000 dolarów muszą posiadać określone plany, by mieć prawa do wygenerowanych wyników. Zatem nawet jeśli użytkownikowi zostaną przyznane prawa do wygenerowanego wyniku, może on być zobowiązany do udzielenia platformie licencji na zwielokrotnianie, wyświetlanie i rozpowszechnianie tych treści. Większe organizacje powinny również zapewnić jednolitość planów licencyjnych (enterprise, indywidualne konta pracowników) oraz zapewnić, że wykorzystanie narzędzi przez podwykonawców i zespoły rozproszone będzie mieścić się w ramach posiadanych licencji.
4. Odpowiedzialność kontraktowa/deliktowa wobec kupującego – jeżeli w umowie zawarto postanowienie, że kod źródłowy jest oryginalny i wolny od wad, a okaże się, że jednak narusza cudze prawa to sprzedający może ponieść odpowiedzialność odszkodowawczą. Dlatego tak ważne jest uregulowanie w umowie kwestii rozkładu odpowiedzialności, czy będzie ją ponosił dostawca modelu, użytkownik vibe codingu czy reseller. W kontraktach, zwłaszcza tych o znaczącej wartości i krytycznym charakterze systemów, brak jasnego uregulowania sposobu wykorzystania AI do tworzenia kodu może prowadzić do zwiększenia ryzyka odpowiedzialności po stronie dostawcy, w tym w zakresie roszczeń z tytułu rękojmi, kar umownych oraz odpowiedzialności regresowej wobec podwykonawców.

Będziemy się przyglądać, czy vibe coding to tylko chwilowy trend, czy też na stałe zagości w świecie IT. Niezależnie od dalszego rozwoju już teraz warto mieć świadomość ryzyk biznesowych i prawnych, a decydując się na stworzenie aplikacji w takim modelu, należy wprowadzić odpowiednie zabezpieczenia kontraktowe.

Tworzysz produkty przy użyciu vibe codingu w ramach spółki technologicznej, instytucji finansowej lub podmiotu z sektora regulowanego? Zapraszamy do kontaktu z Kancelarią w celu zaprojektowania polityk AI, klauzul kontraktowych oraz procesów compliance dostosowanych do skali Twojego biznesu.