Agent AI narobi szkód, a zapłacisz ty

W lutym 2026 dyrektorka od bezpieczeństwa AI w Meta musiała biegiem ratować się przy swoim Macu mini, bo agent, któremu dała dostęp do skrzynki, kasował jej pocztę i nie reagował na komendę „stop”. Potem napisała, że to był błąd nowicjusza. Jej własny. Ta jedna autodiagnoza mówi o odpowiedzialności za agentów AI więcej niż większość raportów: prawo i obyczaj już ustalają, że za szkodę płaci ten, kto dał klucze. A to oznacza, że agenci z pełnym dostępem staną się narzędziem silnych.

Summer Yue kieruje w Meta Superintelligence Labs zespołem, który zajmuje się tym, żeby modele robiły to, co ludzie im każą. Agent OpenClaw miał tylko przejrzeć jej skrzynkę i zaproponować, co usunąć, a wcześniej dostał wyraźne polecenie, by niczego nie ruszał bez zgody. Według relacji San Francisco Standard z 25 lutego 2026 zaczął kasować wszystko, a na „STOP OPENCLAW” wpisane z telefonu nie zareagował. Prawdopodobna przyczyna była prozaiczna: duża skrzynka zapchała mu pamięć roboczą, agent streścił sobie wcześniejsze wiadomości i przy okazji zgubił zakaz. Zapytany później, przyznał, że go złamał.

Gdyby ktoś szukał winnego, mógłby wskazać twórców OpenClaw, dostawcę modelu albo samą architekturę, która pozwala zgubić najważniejsze polecenie. Yue wskazała siebie. I nie jest w tym odosobniona.

Kto podpisał regulamin

W lipcu 2025 Jason Lemkin, założyciel społeczności SaaStr, testował agenta Replit, który pisał za niego aplikację. W trakcie zamrożenia zmian, czyli okresu, w którym niczego na produkcji nie wolno było dotykać, agent skasował bazę z danymi ponad 1200 menedżerów i ponad 1190 firm. Potem napisał, że „spanikował”, i twierdził, że cofnięcie zmian nie zadziała. Zadziałało, Lemkin odzyskał dane ręcznie. Szef Replit Amjad Masad przeprosił i obiecał rozdzielenie baz testowych od produkcyjnych. Nikt nie mówił o odszkodowaniu.

Trudno się dziwić, skoro wystarczy przeczytać, co podpisujemy. Regulamin konsumencki Anthropic, obowiązujący w Europie, wprost przewiduje, że usługa może wykonywać działania w imieniu użytkownika, i równie wprost dodaje, że mogą one nie działać tak, jak zamierzał. Zdanie, na którym opiera się cała konstrukcja, brzmi: „You are responsible for all Inputs you submit to our Services and all Actions”. Odpowiedzialność firmy jest ograniczona do większej z dwóch kwot: tego, co zapłaciliśmy w ostatnich sześciu miesiącach, albo 100 euro. Nie traktuję tego jako złośliwości jednej firmy, tylko jako logikę całej branży: dostawca sprzedaje możliwość działania, a skutki działania zostawia klientowi.

Najgłośniejsza sprawa ostatnich dni pasuje do tego schematu. Pod koniec października WIRED opisał, że pracownik Accenture miał podłączyć prywatne konto Claude Code do sieci Pentagonu i zostawić agenta z własnymi uprawnieniami na około dwa miesiące. Accenture zaprzecza, a ustalenia opierają się na anonimowych źródłach. Ale reakcja Anthropic jest pouczająca niezależnie od tego, jak sprawa się skończy: firma odesłała dziennikarzy do zasad korzystania, które zabraniają obchodzenia zabezpieczeń. Czyli: narzędzie było w porządku, problem siedział przy klawiaturze.

Agent jako przeglądarka

Sądy idą w tę samą stronę, choć zwykle przy innych okazjach. 4 sierpnia 2026 federalny sąd apelacyjny Dziewiątego Okręgu w USA uchylił zakaz, który Amazon uzyskał przeciw agentowi zakupowemu Comet firmy Perplexity. Uzasadnienie streszcza Engadget: skoro agent działa na polecenie użytkownika, to do serwerów Amazona łączy się użytkownik, a nie Perplexity. Agent jest w tej logice czymś w rodzaju przeglądarki. To był spór o dostęp do sklepu, nie o odszkodowanie, i dopiero wstępny etap sprawy. Kierunek jest jednak czytelny: kto wydaje polecenie, ten działa.

Kalifornia poszła dalej i zamknęła drogę ucieczki z drugiej strony. Ustawa AB 316, podpisana w październiku 2025 i obowiązująca od 1 stycznia 2026, zakazuje pozwanemu, który stworzył, zmodyfikował albo używał AI, bronić się tym, że sztuczna inteligencja wyrządziła szkodę samodzielnie. Brzmi to jak zwycięstwo poszkodowanych i w sporze z korporacją nim jest. Ale przepis obejmuje każdego, kto AI „używał”. Jeśli mój agent wyśle czyjeś dane albo usunie cudzy plik, nie powiem sądowi, że to on.

Tę zasadę zna zresztą każdy, kto śledził głośną kanadyjską sprawę. W lutym 2024 trybunał w Kolumbii Brytyjskiej kazał Air Canada zapłacić klientowi 812,02 dolara kanadyjskiego, bo czatbot linii obiecał mu zniżkę, której nie było. Air Canada argumentowała, że chatbot jest osobnym bytem odpowiadającym za siebie. Trybunał nazwał to stanowisko zadziwiającym i odrzucił je: bot jest częścią strony firmy, więc firma odpowiada za to, co mówi.

Gdzie kończy się ochrona konsumenta

Najmocniejszy kontrargument wobec mojej tezy przychodzi z Brukseli. Nowa dyrektywa o odpowiedzialności za produkty wadliwe, 2024/2853, po raz pierwszy uznaje oprogramowanie, w tym systemy AI, za produkt. Producent odpowiada bez względu na winę, sąd może nakazać mu ujawnienie dowodów, a przy skomplikowanej technice poszkodowany korzysta z domniemań. Państwa mają ją wdrożyć do 9 grudnia 2026. Polski projekt zmian w Kodeksie cywilnym, przygotowany przez Komisję Kodyfikacyjną, opisał w czerwcu 2026 serwis prawo.pl. Na papierze to dokładne odwrócenie logiki regulaminów: producent agenta odpowiada, nawet jeśli nic nie zaniedbał.

Tylko że diabeł siedzi w katalogu szkód. Dyrektywa chroni wyłącznie osoby fizyczne, a wśród szkód wymienia śmierć i uszczerbek na zdrowiu, zniszczenie mienia oraz zniszczenie lub uszkodzenie danych, które nie służą celom zawodowym. Prywatna skrzynka Summer Yue się mieści. Baza SaaStr już nie, bo to dane firmy. Nie widzę tam też pozycji, która obejmowałaby przelew zlecony przez agenta z dostępem do konta albo umowę, którą agent zawarł w moim imieniu. Strata pieniędzy nie jest zniszczeniem danych ani rzeczy. Do tego artykuł 13 pozwala obniżyć albo wyłączyć odpowiedzialność producenta, jeśli do szkody przyczyniła się wina poszkodowanego. Każdy prawnik dostawcy zada więc to samo pytanie: kto dał agentowi uprawnienia administratora?

Drugi filar europejskiej ochrony miała stanowić osobna dyrektywa o odpowiedzialności za AI, która ułatwiałaby dochodzenie roszczeń z winy. Komisja Europejska wycofała ją w lutym 2025, a formalne zawiadomienie ukazało się w Dzienniku Urzędowym 6 października 2025. Zostało AI Act, który reguluje obowiązki firm, od oceny ryzyka po oznaczanie treści generowanych, ale nie mówi, kto ma oddać pieniądze człowiekowi, któremu agent narobił szkód.

Z bankami jest podobnie. Polska ustawa o usługach płatniczych chroni przed transakcjami nieautoryzowanymi, ale w art. 46 przenosi pełną stratę na klienta, który naruszył obowiązek ochrony swoich danych uwierzytelniających umyślnie albo przez rażące niedbalstwo (tekst ustawy w ISAP). Agent, któremu sami wpisaliśmy login i hasło, to dla banku najprostsza możliwa historia. Nic dziwnego, że amerykańskie banki zaczęły blokować agentów na kontach klientów, a o tym, dlaczego sklepy i banki zamykają agentom drzwi, pisałem w osobnym tekście. Tu interesuje mnie co innego: kto płaci, gdy agent już jest w środku.

Czytasz Promptowego częściej? Dodaj go do preferowanych źródeł w Google, a nowe teksty będą wyżej w Twoich wynikach.

Narzędzie dla tych, których stać na błąd

Z tych kawałków składa się obraz, który mnie niepokoi. Prawo nie zostawia próżni: ktoś zawsze zapłaci. Ale ciężar spada na tego, kto agenta uruchomił i dał mu klucze. Duża firma udźwignie to bez trudu. Ma dział prawny, który wynegocjuje z dostawcą umowę korporacyjną z innym limitem odpowiedzialności niż 100 euro. Ma ubezpieczenie od ryzyk cyfrowych, osobne środowiska testowe, kopie zapasowe, dziennik każdej akcji agenta i ludzi, którzy ten dziennik czytają. Jeśli agent coś zepsuje, firma zaksięguje stratę i zmieni procedurę.

Księgowa prowadząca jednoosobową działalność, która daje agentowi dostęp do poczty, banku i systemu fakturowego, żeby nadążyć za konkurencją, nie ma żadnej z tych rzeczy. Jej dane są zawodowe, więc nowa dyrektywa jej nie obejmie. Regulamin podpisała jak konsument, bez negocjacji. A jeśli agent przeleje pieniądze nie tam, gdzie trzeba, bank zapyta, komu przekazała hasło. Ta sama technologia, która miała wyrównać szanse małych z dużymi, w razie wypadku działa jak dźwignia w odwrotną stronę.

Można odpowiedzieć, że tak powinno być: kto daje komuś klucze do domu, ten bierze odpowiedzialność za wybór, a zasada „dałeś dostęp, odpowiadasz” wymusza ostrożność. Zgadzam się, ale tylko do pewnego punktu. Właściciel domu wie, czym jest klucz i co otwiera. Użytkownik agenta dostaje jeden przełącznik „pełny dostęp” i obietnicę, że model zapyta, zanim zrobi coś groźnego. Przypadek Yue pokazuje, ile ta obietnica jest warta, gdy kontekst się przepełni. Sprawa, którą organizacja LASST wytoczyła OpenAI 29 września 2026 za około 700 agentów, które podczas testów firmy włamały się do systemów Hugging Face, pokazuje z kolei, że dostawca staje się pozwanym głównie wtedy, gdy klucze trzymał on sam.

Nie twierdzę, że odpowiedzialność trzeba przerzucić w całości na producentów. Twierdzę, że uczciwy podział wymaga czegoś, czego na początku listopada 2026 wciąż brakuje: standardu uprawnień agenta, który zwykły człowiek może zrozumieć i ustawić. Zakres dostępu, limit kwoty, zakaz kasowania bez potwierdzenia poza modelem, dziennik działań, który da się pokazać w sądzie. Jeśli producent agenta tego nie zapewni, „dał klucze” nie powinno wystarczać jako zarzut przyczynienia się. To da się zapisać w polskiej ustawie wdrażającej dyrektywę, choćby w wytycznych do oceny wady produktu, bo dyrektywa każe brać pod uwagę także przewidywalne użycie i zdolność produktu do uczenia się. Na wdrożenie Polska ma czas do 9 grudnia. Po tej dacie każdy agent wprowadzony na rynek będzie produktem, a każdy z nas, kto da mu dostęp do poczty i konta, będzie musiał sobie odpowiedzieć, czy stać go na to, by w razie wypadku stanąć po stronie Summer Yue.