Wojna dronów (część II). Środowisko prawne - dziewięć filarów

W pierwszej części artykułu (link) przedstawiliśmy architekturę technologii branży dronowej, wykorzystując doniesienia prasowe i „milblogerskie” w kontekście kryzysu w Ukrainie, jako soczewkę ukazującą prawdopodobne kierunki rozwoju technologii bezzałogowych. Analizę zakończyliśmy tezą, że mniej lub bardziej „wprawnie” bieżąco komentowana „wojna dronów” jest procesem spiralnym: każda innowacja wywołuje kontrśrodek, a ten wymusza kolejną innowację: od Mavic`a obserwacyjnego („oddolna” inicjatywa wykorzystania produktów konsumenckich na potrzeby konfliktu) do zrzutów; od dronów FPV do zakłócania; od retranslatorów do światłowodu; od łączności satelitarnej do jej zakłócania i spoofingu, od autonomii opartej na sztucznej inteligencji do dronów przechwytujących - i dalej, w cyklu, którego końca obecnie nie sposób wyznaczyć.

Z perspektywy prawnej oznacza to, że każda norma celująca w konkretną technologię starzeje się w tempie tej spirali. Jest to argument na rzecz regulacji opartych przede wszystkim na funkcji, skutkach i poziomie ryzyka, a nie wyłącznie na zamkniętym katalogu rozwiązań technicznych. Wyjaśnia to również, dlaczego akty posługujące się klasyfikacją ryzyka - takie jak akt w sprawie sztucznej inteligencji - mają większą szansę zachować aktualność w warunkach gwałtownego rozwoju technologicznego niż regulacje oparte na listach produktowych i parametrach technicznych, w szczególności wykazy kontrolne produktów podwójnego zastosowania.

Oba modele wydają się w obecnym najnowszym stanie prawnym być w funkcji regulacyjnego blokera w cywilnym i dual-use'owym torze rozwoju technologii w tej branży. Działają jednak w odmienny sposób. Reżim kontroli eksportu zatrzymuje lub warunkuje obrót konkretnymi produktami, komponentami, oprogramowaniem i technologią wymienionymi w wykazach albo objętymi klauzulami uniwersalnymi. Z tego względu jego skuteczność zależy od ciągłego aktualizowania list kontrolnych, które mogą szybko pozostawać w tyle za zmianami technologicznymi. Jak wynika natomiast z poniższej analizy, akt w sprawie sztucznej inteligencji posługuje się natomiast przede wszystkim funkcją systemu, sposobem jego wykorzystania i generowanym przez niego ryzykiem. Nie eliminuje to problemu dezaktualizacji prawa, lecz zmniejsza jego zależność od konkretnej generacji urządzeń lub aktualnie stosowanego rozwiązania technicznego.

Zobacz również

Wojna dronów (część I). Kwestie prawne i praktyczne technologii dual use - doświadczenia z konfliktu ukraińskiego jako soczewka rozwoju regulacji UE

Zapisz na później

3. Środowisko prawne - dziewięć filarów

Środowisko prawne sektora UAV nie jest jednym aktem ani jedną gałęzią prawa. To siatka nakładających się reżimów, które warto uporządkować w dziewięć filarów. Każdy z nich przedstawiamy zarówno przez pryzmat jego podstawy prawnej, jak i praktycznych konsekwencji dla producentów, operatorów, inwestorów i podmiotów uczestniczących w obrocie technologiami bezzałogowymi.

Wersja pierwotna tej systematyki obejmowała siedem filarów. Rozszerzenie o dwa kolejne - ochronę danych osobowych i „governance danych” (w znaczeniu ich ładu i zarządzania danymi na poziomie organizacyjnym) oraz publiczne prawo międzynarodowe - nie jest zabiegiem porządkowym. Wynika z obserwacji poczynionej w części 2.10: skoro wartość systemu bezzałogowego przesunęła się z platformy na dane, to reżim danych przestał być kwestią poboczną, a stał się jednym z filarów decydujących o modelu biznesowym. Prawo międzynarodowe zaś jest prawnym reżimem, który obejmuje przestrzeń pozostawioną przez wyłączenia obronne prawa unijnego - a więc dokładnie tę, w której rozgrywa się opisana wyżej rewolucja.

3.1 · Filar I - Kategorie UAV i przestrzeń powietrzna

Trzon reżimu cywilnego tworzą trzy powiązane akty osadzone na rozporządzeniu bazowym (UE) 2018/1139 (EASA): rozporządzenie delegowane (UE) 2019/945 (wymagania produktowe, klasy C0-C6, oznakowanie CE) oraz rozporządzenie wykonawcze (UE) 2019/947 (operacje w kategoriach otwartej, szczególnej i certyfikowanej). Warstwę przestrzenną dopełnia pakiet U-space: rozporządzenie wykonawcze (UE) 2021/664 wraz z 2021/665 i 2021/666.

Architektura tego filaru opiera się na dwóch niezależnych osiach kwalifikacyjnych, których mylenie jest najczęstszym błędem w praktyce branży. Oś pierwsza - produktowa - dotyczy tego, czym urządzenie jest: klasy C0-C6 wyznaczają wymagania konstrukcyjne, w tym obowiązek wyposażenia w system zdalnej identyfikacji i funkcję świadomości przestrzennej dla wyższych klas. Oś druga - operacyjna - dotyczy tego, co się nim robi: kategoria otwarta obejmuje operacje niskiego ryzyka w zasięgu wzroku, kategoria szczególna wymaga zezwolenia opartego na ocenie ryzyka (metodyka SORA) albo oświadczenia o zgodności ze scenariuszem standardowym, kategoria certyfikowana zbliża reżim do klasycznego lotnictwa załogowego.

Warstwa U-space wprowadza natomiast usługi obowiązkowe w wyznaczonych przestrzeniach: identyfikację sieciową, świadomość przestrzenną, informację o ruchu oraz zezwolenie na lot, świadczone przez certyfikowanych dostawców usług.

Wymiar praktyczny więc jest taki, że reżim nie jest statyczny. Rozporządzenie 2019/947 obowiązuje w wersji skonsolidowanej od 1 maja 2025 r., a ramy U-space zostały wzmocnione rozporządzeniem (UE) 2023/203, które dołożyło wymogi bezpieczeństwa informacji - ocenę ryzyka, zarządzanie i reagowanie na incydenty. Interpretacyjnie kluczowa jest więc rewizja Easy Access Rules for UAS z czerwca 2026 r., konsolidująca AMC/GM do rozporządzenia 2019/947 (ED Decision 2025/018/R). Od 1 stycznia 2026 r. loty w scenariuszach standardowych wymagają platform posiadających certyfikat klasy C5 lub C6. W szerszym ujęciu potwierdza to, że w sektorze UAV prawo nie kończy się na samym tekście rozporządzenia, lecz funkcjonuje również w warstwie wykonawczej, interpretacyjnej i operacyjnej. To właśnie na tym poziomie - poprzez AMC, GM oraz ich konsolidację w Easy Access Rules - normy ogólne zostają przełożone na praktykę zgodności, ocenę ryzyka, dokumentację operacyjną i codzienne stosowanie prawa przez operatorów, producentów, doradców i organy nadzorcze. W rezultacie analiza środowiska prawnego dronów wymaga uwzględnienia nie tylko formalnie wiążących przepisów, ale także tego, jak są one operacjonalizowane w materiałach wykonawczych i interpretacyjnych, bo dopiero tam ujawnia się rzeczywisty ciężar regulacyjny sektora. AMC (Acceptable Means of Compliance) i GM (Guidance Material) nie mają charakteru samodzielnie wiążących przepisów rangi rozporządzenia, ale pełnią fundamentalną funkcję interpretacyjną i praktyczną: pokazują, w jaki sposób podmioty mogą wykazać zgodność z wymaganiami wynikającymi z rozporządzenia (UE) 2019/947 oraz jak organy i operatorzy powinni rozumieć poszczególne obowiązki w praktyce operacyjnej. Właśnie dlatego Easy Access Rules for Unmanned Aircraft Systems mają tak duże znaczenie dla sektora UAV - nie tworzą nowego prawa, lecz porządkują, konsolidują i operacjonalizują materiał normatywny oraz jego wykładnię, stając się w praktyce podstawowym narzędziem pracy dla operatorów, producentów, doradców i organów nadzorczych[1].

Uwaga systemowa: cały ten filar dotyczy wyłącznie lotnictwa cywilnego. Art. 2 ust. 3 lit. a rozporządzenia 2018/1139 wyłącza z zakresu jego stosowania statki powietrzne wykonujące operacje wojskowe, celne, policyjne, poszukiwawczo-ratownicze, przeciwpożarowe, graniczne i przybrzeżne. Pierwsze i najdalej idące wyłączenie obronne pojawia się zatem już na poziomie fundamentu, a nie dopiero w akcie o sztucznej inteligencji. Oznacza to, że granica między porządkiem cywilnym a obronnym zostaje narysowana już w samym rozporządzeniu bazowym EASA: to ono przesądza, że rozwój, certyfikacja i eksploatacja wojskowych systemów bezzałogowych nie podlegają unijnemu reżimowi wspólnych zasad lotnictwa cywilnego, lecz pozostają w domenie kompetencji państw członkowskich, ich polityk obronnych oraz odpowiednich reżimów bezpieczeństwa narodowego. Z perspektywy analizy sektora UAV ma to znaczenie fundamentalne, ponieważ pokazuje, że dwutorowość reżimu nie zaczyna się na etapie AI, autonomii czy kontroli eksportu, lecz już na poziomie najbardziej podstawowego pytania o to, czy dany statek powietrzny w ogóle podlega wspólnemu europejskiemu prawu lotniczemu. W praktyce oznacza to, że identyczna lub niemal identyczna technologia może być objęta pełnym reżimem zgodności cywilnej, jeśli funkcjonuje na rynku komercyjnym, a jednocześnie pozostawać poza tym reżimem, jeżeli zostaje włączona do operacji wojskowej lub bezpośrednio z nią związanej.

3.2 · Filar II - Sztuczna inteligencja i autonomia decyzyjna

Rozporządzenie (UE) 2024/1689 (akt w sprawie sztucznej inteligencji, „AI Act”) wprowadza klasyfikację opartą na ryzyku: praktyki zakazane (art. 5), systemy wysokiego ryzyka (art. 6 w zw. z załącznikami I i III), systemy podlegające obowiązkom przejrzystości (art. 50), modele ogólnego przeznaczenia (art. 51-55) oraz pozostałe, nieobjęte obowiązkami materialnymi.

Dla sektora UAV rozstrzygające jest jednak nie to, co akt reguluje, lecz to, czego nie reguluje. Art. 2 ust. 3 stanowi:

„This Regulation does not apply to AI systems where and in so far they are placed on the market, put into service, or used with or without modification exclusively for military, defence or national security purposes.” - art. 2 ust. 3 rozporządzenia (UE) 2024/1689.

Konsekwencja jest paradoksalna: cywilny dron z AI podlega pełnemu reżimowi wysokiego ryzyka, podczas gdy technologicznie identyczna platforma użyta „wyłącznie” wojskowo pozostaje poza zakresem. Kryterium nie jest technologia, lecz cel użycia. Śmiercionośne autonomiczne systemy uzbrojenia (LAWS) pozostają zatem poza reżimem UE; kwestia jest przedmiotem prawa międzynarodowego i doktryn NATO, a Parlament Europejski wielokrotnie ostrzegał przed regulacyjnym zapóźnieniem Unii w tym obszarze. Parlament Europejski był jednym z najwcześniejszych aktorów instytucjonalnych, którzy podjęli temat autonomicznych systemów uzbrojenia i wojskowej AI, przyjmując już w 2018 r. rezolucję dotyczącą LAWS, a następnie w 2021 r. rezolucję odnoszącą się do sztucznej inteligencji w kontekście wojskowym i cywilnym[2].

Kluczowe jest jednak słowo „wyłącznie”. Motyw 24 preambuły precyzuje, że jeżeli system jest wykorzystywany także do celów innych niż wojskowe, obronne lub bezpieczeństwa narodowego - choćby czasowo i choćby przez inny podmiot - wyłączenie nie znajduje zastosowania w tym zakresie. Dla producenta dual use oznacza to, że wyłączenie nie jest cechą produktu, lecz cechą konkretnego wprowadzenia do obrotu lub oddania do użytku. Ten sam typoszereg sprzedany jednocześnie odbiorcy wojskowemu i operatorowi infrastruktury krytycznej podlega w drugim przypadku pełnemu reżimowi - a producent musi być w stanie tę dwoistość udokumentować, rozdzielić linie produktowe i wykazać ją w razie kontroli.

Kwalifikacja systemu dronowego jako systemu wysokiego ryzyka

W praktyce klasyfikacja przebiega dwoma niezależnymi torami:

● Art. 6 ust. 1 (załącznik I) - system AI jest wysokiego ryzyka, jeżeli stanowi element bezpieczeństwa produktu objętego unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku I, a produkt ten podlega ocenie zgodności przez stronę trzecią. Sekcja B załącznika I wymienia wprost rozporządzenie (UE) 2018/1139. Oznacza to, że oprogramowanie sterujące pełniące funkcję bezpieczeństwa w certyfikowanym systemie bezzałogowym może być systemem wysokiego ryzyka na tej właśnie podstawie - okoliczność w praktyce rynkowej wciąż niedoceniana, ponieważ dyskusja koncentruje się niemal wyłącznie na załączniku III.

● Art. 6 ust. 2 (załącznik III) - obejmuje m.in. zarządzanie infrastrukturą krytyczną, ściganie przestępstw oraz zarządzanie migracją i kontrolę granic. Systemy dronowe wykorzystywane przez służby graniczne lub operatorów infrastruktury krytycznej trafiają tu bezpośrednio.

Konsekwencją kwalifikacji jest zestaw obowiązków z art. 8-15: system zarządzania ryzykiem, zarządzanie danymi i ich jakością (art. 10), dokumentacja techniczna (art. 11), automatyczna rejestracja zdarzeń (art. 12), przejrzystość i informacje dla użytkownika (art. 13), nadzór człowieka (art. 14) oraz dokładność, odporność i cyberbezpieczeństwo (art. 15) - a po stronie proceduralnej: ocena zgodności, deklaracja UE, oznakowanie CE i rejestracja w bazie unijnej.

Kalendarz - zmieniony w czerwcu 2026 r.

Praktyka rynkowa przez ponad rok planowała zgodność wokół daty 2 sierpnia 2026 r. Data ta uległa zmianie. Komisja przedstawiła 19 listopada 2025 r. pakiet upraszczający (Digital Omnibus), którego część dotycząca sztucznej inteligencji - po nieudanym rozmowach trójstronnych z 28 kwietnia 2026 r. i porozumieniu politycznym z 6-7 maja 2026 r. - została ostatecznie zatwierdzona przez Radę 29 czerwca 2026 r. (Parlament: 16 czerwca 2026 r.). Skutkiem jest przesunięcie:

● obowiązki dla samodzielnych systemów wysokiego ryzyka z załącznika III - 2 grudnia 2027 r.;

● obowiązki dla AI wbudowanej w produkty regulowane z załącznika I (a więc m.in. systemy bezzałogowe) - 2 sierpnia 2028 r.;

● obowiązki przejrzystości z art. 50 - bez zmian, 2 sierpnia 2026 r.;

● art. 50 ust. 2 (znakowanie treści generowanych) wobec systemów już obecnych na rynku oraz nowe zakazy - 2 grudnia 2026 r.

Odroczenie ma charakter warunkowy i jest powiązane z mechanizmem gotowości: rejestracją systemów w unijnej bazie danych i dostępnością norm zharmonizowanych. Obowiązują natomiast bez zmian: zakazy z art. 5 (od 2 lutego 2025 r.), obowiązek kompetencji w zakresie AI z art. 4 (od 2 lutego 2025 r.) oraz reżim modeli ogólnego przeznaczenia (od 2 sierpnia 2025 r.).[3]

W praktyce, odroczenie nie jest ulgą, lecz przesunięciem. Zadaniem, którego nie da się pominąć ani przyspieszyć, jest inwentaryzacja systemów AI w organizacji i przypisanie każdego z nich do właściwej kategorii - praca niezależna od stanu norm zharmonizowanych. Dodatkowo obowiązuje zasada zachowania praw nabytych: systemy wprowadzone do obrotu przed datą stosowania nie podlegają obowiązkom, dopóki nie zostaną istotnie zmodyfikowane - co w sektorze o cyklu iteracji liczonym w tygodniach jest gwarancją o ograniczonej wartości.

3.3 · Filar III - Produkty dual use i kontrola eksportu

Rozporządzenie (UE) 2021/821 ustanawia unijny system kontroli wywozu produktów podwójnego zastosowania; weszło w życie 9 września 2021 r., zastępując rozporządzenie (WE) nr 428/2009, i obowiązuje w wersji skonsolidowanej od 15 listopada 2025 r. 8 września 2025 r[4]. Komisja zaktualizowała załącznik I (lista kontrolna), obejmując technologie wschodzące - co bezpośrednio dotyka komponentów dronowych, elektroniki i oprogramowania AI.

Dla sektora bezzałogowego istotne są cztery mechanizmy tego reżimu:

1. Lista kontrolna (załącznik I) - komponenty dronowe rozproszone są po kilku kategoriach: elektronika (kat. 3), czujniki i lasery (kat. 6), nawigacja i awionika (kat. 7) oraz technika lotnicza i napędowa (kat. 9). Kwalifikacja rzadko dotyczy platformy jako całości - najczęściej przesądza pojedynczy podzespół.

2. Klauzule uniwersalne (catch-all, art. 4) - obowiązek uzyskania zezwolenia powstaje także dla produktów nieujętych w wykazie, jeżeli eksporter został poinformowany lub wie o przeznaczeniu związanym z bronią masowego rażenia, celami wojskowymi w państwie objętym embargiem albo z częściami do uzbrojenia wywiezionego bez zezwolenia. Jest to instrument, który w praktyce obejmuje najwięcej transakcji dronowych, ponieważ działa niezależnie od wykazu.

3. Kontrola transferu technologii niematerialnej (ITT) - reżim obejmuje nie tylko rzeczy, lecz także oprogramowanie i technologię, w tym udostępnianie ich drogą elektroniczną. W praktyce oznacza to, że udzielenie zdalnego dostępu do repozytorium kodu, przekazanie wag modelu[5] albo umieszczenie dokumentacji technicznej w chmurze poza obszarem celnym Unii może stanowić wywóz wymagający zezwolenia.

4. Produkty do cybernadzoru (art. 5) - mechanizm kontroli obejmujący pozycje nieujęte w wykazie, przeznaczone do nadzoru, gdy istnieje ryzyko wykorzystania do naruszeń praw człowieka; ma bezpośrednie zastosowanie do zaawansowanych systemów obserwacyjnych i analityki obrazu.

Warstwę uzupełniającą stanowią: dyrektywa 2009/43/WE o transferach wewnątrzunijnych produktów związanych z obronnością (uproszczona w ramach Defence Readiness Omnibus), reżimy międzynarodowe (Porozumienie z Wassenaar, MTCR - którego kategoria I tradycyjnie obejmuje bezzałogowe systemy o określonych parametrach zasięgu i udźwigu) oraz na poziomie krajowym ustawa z 29 listopada 2000 r. o obrocie z zagranicą towarami, technologiami i usługami o znaczeniu strategicznym.

WAŻNE dla praktyki M&A: przy due diligence podmiotu z sektora dronowego kwalifikacja komponentów jako dual use determinuje reżim zezwoleń eksportowych, klauzule dotyczące użytkownika końcowego i zakazu reeksportu oraz - realnie - wykonalność transakcji transgranicznej. Zanikanie granicy komercyjny/bojowy (seryjny dron obserwacyjny przekształcany w platformę bojową bez zmian konstrukcyjnych) czyni tę kwalifikację coraz szerszą, a ryzyko regulacyjne - coraz trudniejsze do wyceny. Szczególnej uwagi wymaga sytuacja, w której nabywcą jest podmiot spoza Unii: samo przekazanie dokumentacji technicznej w procesie badania spółki może wymagać zezwolenia, zanim jeszcze dojdzie do zawarcia umowy.

3.4 Filar IV - Finansowanie i zamówienia obronne (napęd)

To filar, w którym prawo pełni funkcję napędu. Instrumenty UE nie reagują na technologię - tworzą popyt, kierują strumień środków publicznych i ustanawiają ramy wspólnej produkcji oraz zamówień:

● Europejski Fundusz Obronny (EDF)[6] - współfinansowanie wspólnych projektów badawczo-rozwojowych w obronności, obniżające ryzyko inwestycyjne przemysłu.

● EDIRPA (rozporządzenie (UE) 2023/2418) - wsparcie wspólnych zamówień obronnych[7].

● ASAP[8] - rozporządzenie w sprawie wspierania produkcji amunicji: zwiększanie mocy produkcyjnych przemysłu; logika w pełni przenoszalna na masową produkcję amunicji krążącej i dronów.

● SAFE (Security Action for Europe, 2025)[9] - instrument pożyczkowy z realizacją zamówień do końca 2030 r.

● EDIP - Europejski Program Przemysłu Obronnego, wraz z konstrukcją SEAP (Structure for European Armament Programme) jako dobrowolną ramą prawną długoterminowej współpracy państw członkowskich w całym cyklu życia produktu obronnego.[10]

Nadbudową tych instrumentów jest Defence Readiness Omnibus[11] z 17 czerwca 2025 r. - pakiet legislacyjny i nielegislacyjny mający usunąć bariery administracyjne dla inwestycji obronnych szacowanych na 800 mld EUR w perspektywie czterech lat. Obejmuje on m.in. przyspieszone procedury wydawania zezwoleń dla projektów obronnych z pojedynczym punktem kontaktowym, wydłużenie maksymalnego okresu umów ramowych do dziesięciu lat, uproszczenie transferów wewnątrzunijnych produktów obronnych (gdzie opóźnienia sięgały roku), doprecyzowanie wyłączeń obronnych w prawodawstwie chemicznym (REACH, CLP, produkty biobójcze) oraz - co szczególnie istotne dla finansowania - komunikat wyjaśniający stosowanie ram zrównoważonego finansowania do sektora obronnego. W czerwcu 2026 r. współprawodawcy osiągnęli wstępne porozumienie w sprawie części zamówieniowej pakietu, rozszerzając podwyższone finansowanie EDF na działania realizowane w ramach SEAP i dopuszczając kwalifikowalność kosztów testów prowadzonych w Ukrainie.

Osobną, młodszą warstwę tworzą cztery projekty flagowe[12] Readiness Roadmap 2030: European Drone Defence Initiative, Eastern Flank Watch, European Air Shield i European Space Shield. EDDI - pierwotnie komunikowany jako „mur dronowy” - ma tworzyć wielowarstwową sieć zdolną do wykrywania, śledzenia i neutralizowania wrogich platform, z zachowaniem wymiaru dual use pozwalającego na zastosowania cywilne (ochrona granic, reagowanie na katastrofy). Zakładany harmonogram: uruchomienie w I kwartale 2026 r., zdolność początkowa do końca 2026 r., pełna funkcjonalność do końca 2027 r. (Eastern Flank Watch - do końca 2028 r.). Uzupełnia je plan działania w sprawie bezpieczeństwa dronowego i antydronowego z 11 lutego 2026 r. oraz Drone Alliance with Ukraine, wraz z zapowiedzią przeznaczenia 6 mld EUR z odsetek od unieruchomionych aktywów rosyjskich na wsparcie ukraińskiej produkcji dronów.

Rynek potwierdza kierunek: w ujęciu dwunastomiesięcznym autonomiczne drony przyciągnęły ok. 6,2 mld USD w 169 transakcjach, napędzając 139-procentowy wzrost finansowania robotyki obronnej. Analitycy wskazują zarazem na lukę między „bojowo przetestowanym” ekosystemem ukraińskim a realnie napływającym kapitałem - pole, na którym doradztwo prawne i strukturyzacja transakcji stają się krytyczne.

Wymiar praktyczny: uczestnictwo w instrumentach napędowych ma cenę prawną, którą trzeba wkalkulować na etapie strukturyzowania konsorcjum. Reżimy EDF i EDIP zawierają rozbudowane postanowienia o prawach do wyników projektu, dostępie do wiedzy istniejącej (background) i wypracowanej (foreground), ograniczeniach eksportowych wyników oraz wymogach kontroli nad podmiotem (siedziba w Unii, brak kontroli państwa trzeciego lub skuteczne mechanizmy jej ograniczenia). Dla spółki z kapitałem spoza Unii kwalifikowalność bywa iluzoryczna, jeżeli struktura właścicielska nie zostanie wcześniej odpowiednio ułożona.

3.5. Filar V - Łączność satelitarna (IRIS²)

Rozporządzenie (UE) 2023/588 ustanawia unijny program bezpiecznej łączności na lata 2023–2027 i konstelację IRIS² (Infrastructure for Resilience, Interconnectivity and Security by Satellite). To suwerenna europejska odpowiedź na zależność od komercyjnych systemów satelitarnych, których rolę w sterowaniu dronami dalekiego zasięgu ujawnił konflikt[13].

Prawo buduje tu warstwę fizyczną, na której oprze się przyszła generacja platform sterowanych satelitarnie - klasyczny napęd infrastrukturalny. Znaczenie tego filaru jest jednak głębsze niż techniczne: doświadczenie ostatnich lat pokazało, że decyzja prywatnego operatora satelitarnego o zasięgu lub odmowie świadczenia usługi na danym obszarze może mieć skutki operacyjne porównywalne z decyzją państwa. Budowa zdolności publicznej jest odpowiedzią na problem, który należałoby nazwać prywatyzacją suwerenności komunikacyjnej.

3.6. Filar VI - Infrastruktura krytyczna, cyberbezpieczeństwo i odporność produktowa

Ponieważ pierwszą fazą konfliktu była wojna cybernetyczna, filar cyfrowej i fizycznej odporności ma znaczenie systemowe. Tworzą go trzy akty o odmiennej logice:

● Dyrektywa (UE) 2022/2555 (NIS2)[14] - podnosi wspólny poziom cyberbezpieczeństwa, rozszerzając krąg podmiotów kluczowych i ważnych oraz obowiązki zarządzania ryzykiem, zgłaszania incydentów i odpowiedzialności organów zarządzających. Obejmuje m.in. transport lotniczy, energetykę, infrastrukturę cyfrową i - co istotne dla omawianego sektora - produkcję wyrobów, w tym urządzeń elektronicznych. NIS2 przenosi ciężar z samego „IT security” na zarządzanie ryzykiem na poziomie całej organizacji, w tym odpowiedzialność kierownictwa, obowiązki raportowania incydentów i wymóg operacyjnej odporności podmiotów działających w sektorach krytycznych i technologicznie wrażliwych.

● Dyrektywa (UE) 2022/2557 (CER)[15] - reguluje odporność podmiotów krytycznych w wymiarze fizycznym i organizacyjnym: identyfikację podmiotów krytycznych, ocenę ryzyka, plany odporności, kontrolę bezpieczeństwa personelu. Kluczowe znaczenie CER polega na tym, że koncentruje się nie na cyberprzestrzeni, lecz na fizycznej i organizacyjnej odporności podmiotów krytycznych, a więc na zdolności utrzymania ciągłości działania mimo ataku, sabotażu, zakłócenia lub kryzysu infrastrukturalnego.

● Rozporządzenie (UE) 2024/2847 (Cyber Resilience Act, CRA)[16] - najmłodszy i w praktyce najbardziej dotkliwy dla producentów. Ustanawia horyzontalne wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi, a więc dla dronów, kontrolerów naziemnych, systemów detekcji i oprogramowania. Nakłada obowiązki projektowania bezpiecznego, zarządzania podatnościami przez cały okres wsparcia, dostarczenia zestawienia komponentów oprogramowania (SBOM) oraz zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów. Obowiązki sprawozdawcze stosuje się od września 2026 r., a całość - od grudnia 2027 r. Najbardziej doniosłym elementem CRA jest to, że po raz pierwszy nakłada ono na producentów produktów z elementami cyfrowymi ciągły obowiązek cyberbezpieczeństwa w całym cyklu życia produktu, obejmujący bezpieczne projektowanie, zarządzanie podatnościami i obowiązki reagowania także po wprowadzeniu produktu na rynek.

Oba akty dyrektywalne (NIS2, CER) wymagają transpozycji krajowej - co przenosi ciężar na poziom polski, omówiony w filarze IX.

Wymiar praktyczny: zbieżność trzech reżimów oznacza, że producent systemu dronowego dla operatora infrastruktury krytycznej może jednocześnie: (i) podlegać CRA jako producent produktu z elementami cyfrowymi, (ii) być podmiotem ważnym w rozumieniu NIS2 z tytułu własnej działalności produkcyjnej, oraz (iii) być objęty wymaganiami wynikającymi z obowiązków swojego klienta na gruncie CER i NIS2, przenoszonymi umownie w ramach zarządzania ryzykiem łańcucha dostaw. Trzy reżimy, trzy odrębne kalendarze, trzy odrębne zestawy obowiązków zgłoszeniowych - a zdarzenie, które je uruchamia, jest jedno.

3.7. Filar VII - Dane osobowe i governance danych

Jest to filar systematycznie pomijany w analizach sektora obronnego, a zarazem ten, który w praktyce najczęściej blokuje wdrożenia cywilne. Wynika to z obserwacji poczynionej w części 2.10: dron jest przede wszystkim czujnikiem, a czujnik zwrócony ku powierzchni ziemi w środowisku zurbanizowanym niemal zawsze rejestruje dane osobowe.

Rozporządzenie (UE) 2016/679 (RODO) znajduje zastosowanie do przetwarzania obrazu z platformy bezzałogowej na zasadach ogólnych, przy czym w praktyce rozstrzygające są cztery zagadnienia:

● Zakres zastosowania. Art. 2 ust. 2 lit. a i b wyłącza przetwarzanie w ramach działalności nieobjętej zakresem prawa Unii oraz w ramach wspólnej polityki zagranicznej i bezpieczeństwa. Bezpieczeństwo narodowe pozostaje kompetencją państw członkowskich (art. 4 ust. 2 TUE). Powstaje zatem - symetrycznie do art. 2 ust. 3 aktu o sztucznej inteligencji - drugie wyłączenie obronne, o odmiennie zakreślonych granicach.

● Podstawa prawna i przejrzystość. Obowiązek informacyjny z art. 13-14 jest w operacjach lotniczych trudny do wykonania w sposób realny; praktyka opiera się na informowaniu obszarowym, oznakowaniu i publikacji planów lotów, co Europejska Rada Ochrony Danych analizowała w wytycznych 3/2019 dotyczących przetwarzania danych osobowych przez urządzenia wideo.

● Ocena skutków dla ochrony danych (art. 35). Systematyczne monitorowanie przestrzeni publicznej na dużą skalę z użyciem nowych technologii mieści się w typowych kryteriach obligatoryjnej oceny skutków; w praktyce polskiej wykaz operacji wymagających DPIA prowadzony przez organ nadzorczy obejmuje monitoring z użyciem dronów.

● Kategorie szczególne (art. 9). Przetwarzanie obrazu twarzy w celu jednoznacznej identyfikacji osoby fizycznej stanowi przetwarzanie danych biometrycznych; w połączeniu z art. 5 aktu o sztucznej inteligencji (zakaz zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej dla celów ścigania, poza wyjątkami) tworzy to podwójną barierę dla systemów obserwacyjnych z rozpoznawaniem twarzy.

Dla operacji prowadzonych przez służby właściwym reżimem jest dyrektywa (UE) 2016/680 (tzw. dyrektywa policyjna), transponowana w Polsce ustawą z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.

Osobną, młodszą warstwę stanowi governance danych nieosobowych. Rozporządzenie (UE) 2023/2854 (akt w sprawie danych), stosowane od 12 września 2025 r., obejmuje „produkty skomunikowane” - a więc urządzenia generujące dane o swoim użytkowaniu i środowisku, do których systemy bezzałogowe należą wprost. Nakłada obowiązki udostępniania danych użytkownikowi i wskazanym przez niego osobom trzecim oraz ogranicza swobodę kształtowania umów w tym zakresie. Rozporządzenie (UE) 2022/868 (akt w sprawie zarządzania danymi) tworzy natomiast ramy ponownego wykorzystywania danych sektora publicznego i pośrednictwa danych.

Wreszcie art. 10 aktu o sztucznej inteligencji wprowadza wymagania jakościowe wobec zbiorów treningowych, walidacyjnych i testowych systemów wysokiego ryzyka - reprezentatywność, adekwatność, badanie pod kątem błędów systematycznych. Wymagania te nakładają się na reżim RODO w sposób, który bywa źródłem sprzeczności praktycznych: obowiązek badania stronniczości wymaga niekiedy przetwarzania danych kategorii szczególnych, których przetwarzanie RODO co do zasady zakazuje. Kwestia ta jest przedmiotem prac nad częścią Digital Omnibus dotyczącą danych.

Stan legislacyjny: w przeciwieństwie do części dotyczącej sztucznej inteligencji, część pakietu upraszczającego obejmująca RODO, dyrektywę o prywatności i łączności elektronicznej, NIS2, akt w sprawie danych i DORA pozostaje na etapie negocjacji. Prezydencja cypryjska wycofała pod koniec czerwca 2026 r. tekst kompromisowy z procedury zatwierdzania w COREPER II wobec braku większości kwalifikowanej; teczkę przejęła prezydencja irlandzka. Europejska Rada Ochrony Danych i Europejski Inspektor Ochrony Danych wyrazili w opinii wspólnej 2/2026 z 11 lutego 2026 r. zdecydowany sprzeciw wobec proponowanego zawężenia definicji danych osobowych. Do czasu formalnego przyjęcia obowiązuje stan dotychczasowy - założenie przeciwne jest w tej chwili najczęstszym błędem w planowaniu zgodności (Stan legislacyjny pozostaje niezamknięty: w przeciwieństwie do części pakietu upraszczającego dotyczącej sztucznej inteligencji, komponent obejmujący RODO, prywatność i łączność elektroniczną, NIS2, akt w sprawie danych i DORA nadal pozostaje na etapie negocjacji. Oficjalnie wiadomo, że EDPB i EDPS w Joint Opinion 2/2026 z 11 lutego 2026 r. wyraziły istotne zastrzeżenia wobec proponowanych zmian, w tym wobec zawężenia definicji danych osobowych. Źródła eksperckie wskazują ponadto, że pod koniec czerwca 2026 r. prezydencja cypryjska wycofała tekst kompromisowy z procedury zatwierdzania w COREPER II wobec braku większości kwalifikowanej, co oznacza, że do czasu formalnego przyjęcia nadal obowiązuje stan dotychczasowy.[17]).

3.8. Filar VIII - Publiczne prawo międzynarodowe i autonomiczne systemy uzbrojenia

Przestrzeń pozostawiona przez wyłączenia obronne prawa unijnego nie jest przestrzenią bezprawną. Wypełniają ją - z różną skutecznością - trzy reżimy prawa międzynarodowego.

Prawo lotnicze międzynarodowe. Konwencja chicagowska z 1944 r. wyłącza ze swojego zakresu statki powietrzne państwowe (art. 3), wymaga specjalnego upoważnienia dla lotów statków bezzałogowych nad terytorium innego państwa (art. 8) oraz - w art. 3 bis, dodanym w 1984 r. - potwierdza obowiązek powstrzymania się od użycia broni przeciwko cywilnym statkom powietrznym w locie. Konstrukcja ta powstała w świecie, w którym rozróżnienie „cywilny/państwowy statek powietrzny” było możliwe wzrokowo i proceduralnie. Zastosowanie jej do obiektu o rozpiętości dwóch metrów, bez oznakowania, przekraczającego granicę bez zapowiedzi, jest zadaniem, do którego traktat nie był projektowany.

Międzynarodowe prawo humanitarne. Zasady rozróżniania, proporcjonalności i środków ostrożności w ataku obowiązują niezależnie od tego, czy decyzję o użyciu siły podejmuje człowiek, czy wspomaga ją algorytm. Art. 36 I Protokołu dodatkowego z 1977 r. nakłada na strony obowiązek badania nowych rodzajów broni, środków i metod walki pod kątem zgodności z prawem międzynarodowym - przepis ten jest dziś jedynym powszechnie obowiązującym instrumentem, który obejmuje autonomię w uzbrojeniu, choć czyni to pośrednio[18].

Proces CCW i forum ONZ. Grupa Ekspertów Rządowych ds. śmiercionośnych autonomicznych systemów uzbrojenia (GGE on LAWS), działająca od 2016 r. w ramach Konwencji o zakazie lub ograniczeniu użycia niektórych broni konwencjonalnych, pracuje od 2024 r. nad tzw. tekstem roboczym (rolling text), obejmującym elementy potencjalnego instrumentu opartego na dwupoziomowym podejściu zakazów i regulacji. Na sesji we wrześniu 2025 r. grupa 42 państw - jedna trzecia stron konwencji - zadeklarowała gotowość przejścia do negocjacji na podstawie tego tekstu. Zgromadzenie Ogólne ONZ przyjęło 6 listopada 2025 r., po raz trzeci z rzędu, rezolucję w sprawie autonomicznych systemów uzbrojenia, popartą przez 156 państw. Sekretarz Generalny ONZ i Prezydent Międzynarodowego Komitetu Czerwonego Krzyża wspólnie wezwali do zakończenia negocjacji nad instrumentem prawnie wiążącym do końca 2026 r. Siódma Konferencja Przeglądowa CCW, planowana na listopad 2026 r., jest momentem, w którym rozstrzygnie się, czy mandat negocjacyjny powstanie - przy czym zasada konsensusu obowiązująca w tym forum czyni ten rezultat niepewnym[19].

Warstwa natowska obejmuje przyjęte w 2021 r. zasady odpowiedzialnego wykorzystania sztucznej inteligencji w obronności (legalność, odpowiedzialność, wytłumaczalność i identyfikowalność, niezawodność, sterowalność, ograniczanie stronniczości) oraz zrewidowaną strategię AI. Nie są to normy prawnie wiążące, lecz stanowią punkt odniesienia dla wymagań kontraktowych w zamówieniach sojuszniczych - i w tym sensie oddziałują na przemysł silniej niż niejeden akt prawny.[20]

3.9. Filar IX - Poziom polski

Reżim polski łączy bezpośrednio stosowane rozporządzenia UE z krajowymi ustawami i przepisami operacyjnymi. Rozporządzenia (2019/945, 2019/947, 2021/664, 2021/821, 2023/588, 2024/1689, 2024/2847) obowiązują wprost; dyrektywy (NIS2, CER) wymagają transpozycji.

Warstwa lotnicza. Krajową podstawę tworzy ustawa z 3 lipca 2002 r. - Prawo lotnicze, istotnie znowelizowana ustawą z 24 stycznia 2025 r., która weszła w życie 27 lutego 2025 r. Nowelizacja dostosowała prawo krajowe do reżimu unijnego i wprowadziła m.in.: rejestr operatorów systemów bezzałogowych (obowiązek rejestracji dla platform co najmniej 250 g oraz - niezależnie od masy - wyposażonych w czujniki zdolne zbierać dane osobowe), ustawowe umocowanie Polskiej Agencji Żeglugi Powietrznej do wyznaczania stref geograficznych, rozszerzenie katalogu służb uprawnionych do kontroli pilotów, obniżenie minimalnego wieku pilota w kategorii otwartej z 16 do 14 lat pod nadzorem oraz rozdział poświęcony zapobieganiu bezprawnemu wykonywaniu operacji z użyciem systemów bezzałogowych. Zgłoszenie zamiaru wykonania operacji następuje przez aplikację DroneTower, zintegrowaną z systemem PANSA UTM i Krajowym Systemem Informacji Dronowej (KSID). Podstawą prawną neutralizacji platformy pozostaje art. 156ze Prawa lotniczego (zniszczenie, unieruchomienie lub przejęcie kontroli nad lotem), uzupełniony przepisami rozdziału o zapobieganiu bezprawnym operacjom.

Ustrojowo warstwę tę dopełnia ustawa z 8 grudnia 2006 r. o Polskiej Agencji Żeglugi Powietrznej (Dz. U. z 2025 r. poz. 1267), rozszerzona o kompetencje Agencji w obszarze systemów bezzałogowych, w tym możliwość świadczenia usług na rzecz operatorów, wspierania testowania nowych rozwiązań oraz tworzenia spółek celowych. Nadzór sprawuje Prezes Urzędu Lotnictwa Cywilnego.

Warstwa odporności i przeciwdziałania. Przełomem jest ustawa z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw (Dz. U. z 2026 r. poz. 815), wdrażająca dyrektywę CER. Jej znaczenie dla omawianego sektora wykracza daleko poza cel deklarowany:

● Operatorzy infrastruktury krytycznej uzyskali prawo stosowania środków przeciwdziałania wobec platform bezzałogowych, w tym urządzeń zakłócających. Do tej pory podmiot prywatny zarządzający obiektem strategicznym mógł jedynie oczekiwać na interwencję służb; obecnie może samodzielnie przerwać łączność z intruzem. Uprawnienie weszło w życie 26 czerwca 2026 r.

● Katalog uprawnionych formacji (Policja, Straż Graniczna, Służba Ochrony Państwa, Żandarmeria Wojskowa) uzyskał kompetencje do niszczenia, unieruchamiania lub przejmowania kontroli nad bezzałogowymi obiektami pływającymi oraz robotami i pojazdami autonomicznymi poruszającymi się po lądzie, gdy stwarzają zagrożenie dla infrastruktury krytycznej. Nowy rozdział 6a ustawy, wzorowany konstrukcyjnie na przepisach Prawa lotniczego dotyczących statków powietrznych, rozciąga reżim antydronowy na domenę morską i lądową.

● Ustawa wprowadza ponadto obowiązek audytów bezpieczeństwa, mechanizmy ochrony łańcuchów dostaw oraz powołuje Centrum Bezpieczeństwa Morskiego.

Warstwa obronna. Tworzy ją ustawa z 11 marca 2022 r. o obronie Ojczyzny - rama krajowa dla nabywania i eksploatacji systemów bezzałogowych i przeciwdronowych, wraz z reżimem zamówień w dziedzinach obronności i bezpieczeństwa.

Kierunek zmian. Obszar ten intensywnie ewoluuje w latach 2024-2026 i wymaga bieżącej weryfikacji pozycji Dziennika Ustaw oraz projektów legislacyjnych. Po okresie zaostrzania sankcji administracyjnych, ocenianym przez środowisko operatorów jako nieproporcjonalny, Urząd Lotnictwa Cywilnego przekazał 5 maja 2026 r. Ministerstwu Infrastruktury projekt nowelizacji o charakterze deregulacyjnym i porządkującym, obejmujący system kar, ubezpieczenia, obowiązkowe zgłoszenia, zabezpieczenie infrastruktury krytycznej oraz systemy antydronowe. Wejście w życie zapowiadane jest na przełom 2026 i 2027 r. Równolegle trwają prace nad pełną transpozycją NIS2 w ramach nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa[21].

4. Siedem punktów tarcia

Filary opisane w części 3 nie tworzą spójnego systemu. Stykają się ze sobą w miejscach, w których ich założenia są wzajemnie sprzeczne, a rozstrzygnięcie kolizji nie wynika z żadnego z nich. To właśnie w tych punktach koncentruje się realne ryzyko prawne przedsiębiorcy - i to one, a nie treść poszczególnych aktów, powinny wyznaczać agendę doradztwa.

4.1. Test „wyłączności” - wyłączenie wojskowe wobec produktu dual use

Wyłączenie z art. 2 ust. 3 aktu o sztucznej inteligencji operuje przesłanką wyłączności celu wojskowego, obronnego lub bezpieczeństwa narodowego. Konstrukcja ta zakłada, że cel da się przypisać jednoznacznie do wprowadzenia do obrotu lub oddania do użytku. W sektorze dual use założenie to jest empirycznie fałszywe: ten sam moduł widzenia maszynowego może być sprzedany producentowi systemu ochrony perymetrycznej elektrowni i jednocześnie zintegrowany w platformie wojskowej.

Konsekwencje praktyczne są trzy. Po pierwsze, ciężar wykazania wyłączności spoczywa na podmiocie, który się na nie powołuje - a wykazanie faktu negatywnego (braku zastosowania cywilnego) wymaga udokumentowanej kontroli kanału dystrybucji i klauzul dotyczących użytkownika końcowego. Po drugie, wyłączenie odnosi się do systemu, a nie do przedsiębiorstwa: spółka może jednocześnie być dostawcą systemu wysokiego ryzyka i dostawcą systemu wyłączonego. Po trzecie, modyfikacja przeznaczenia po wprowadzeniu do obrotu zmienia reżim - a w sektorze, w którym użytkownik końcowy rutynowo modyfikuje platformę, jest to ryzyko realne, nie hipotetyczne.

Rekomendacja praktyczna jest jednoznaczna: rozdzielenie linii produktowych na poziomie dokumentacyjnym, umownym i - w miarę możliwości - technicznym, zanim powstanie pierwszy kontrakt mieszany. Późniejsze rozplątanie tej sytuacji jest kosztowne, a w toku badania spółki bywa niewykonalne.

4.2. Nadzór człowieka: dwa reżimy, jedno wymaganie techniczne

Art. 14 aktu o sztucznej inteligencji i postulat meaningful human control w prawie humanitarnym[22] opisują tę samą właściwość systemu - zdolność człowieka do zrozumienia, zweryfikowania i przerwania działania automatu - lecz mają zupełnie odmienny status normatywny. Po stronie cywilnej jest to obowiązek prawny z sankcją administracyjną i wymogiem udokumentowania. Po stronie wojskowej - przedmiot niedokończonych negocjacji.

Powstaje z tego asymetria o skutkach przemysłowych: producent, który buduje jedną platformę techniczną dla obu torów, musi projektować pod wymóg surowszy, ponieważ nie jest w stanie z góry przewidzieć, w którym torze znajdzie się dany egzemplarz. Wobec tego wymóg cywilny staje się faktycznym standardem projektowym również dla zastosowań wyłączonych - mechanizm, który warto nazwać efektem przenoszenia standardu. Jest to jedna z niewielu sytuacji, w których wyłączenie obronne działa na korzyść, a nie na niekorzyść spójności systemu.

Odwrotny mechanizm jest jednak równie realny: presja operacyjna na skrócenie łańcucha decyzyjnego w środowisku silnie zakłóconym prowadzi do konstrukcji, w których nadzór człowieka jest formalnie zachowany, lecz faktycznie iluzoryczny - operator zatwierdza decyzję, której nie miał czasu ani danych, by ocenić. Wykazanie takiej sytuacji w postępowaniu dowodowym wymaga dostępu do rejestrów zdarzeń, których art. 12 aktu o sztucznej inteligencji wymaga tylko po stronie cywilnej.

4.3. Zakłócanie jako czynność prawnie reglamentowana

Uprawnienie do zakłócania, przyznane w Polsce operatorom infrastruktury krytycznej od czerwca 2026 r., jest przykładem normy, która rozwiązuje jeden problem i otwiera trzy kolejne[23].

Urządzenia zakłócające są co do zasady niedopuszczalne do obrotu i używania: nie spełniają zasadniczych wymagań dyrektywy 2014/53/UE o urządzeniach radiowych (zakłócenia szkodliwe), a ich używanie narusza reżim gospodarki widmem. Przyznanie uprawnienia ustawowego usuwa bezprawność samego działania, lecz nie rozstrzyga o odpowiedzialności za skutki uboczne. Zakłócenie w pasmach wykorzystywanych przez systemy nawigacji satelitarnej oddziałuje na lotnictwo cywilne, transport, sieci telekomunikacyjne oraz - co bywa pomijane - na infrastrukturę energetyczną synchronizowaną czasem satelitarnym. Powstają zatem pytania o: (i) reżim odpowiedzialności odszkodowawczej operatora obiektu wobec osób trzecich, (ii) rozgraniczenie odpowiedzialności między operatorem a producentem urządzenia, (iii) obowiązki dokumentacyjne pozwalające zrekonstruować przebieg zdarzenia.

Do tego dochodzi problem trzeci, opisany w części 2.4: środek prawny został przyznany w momencie, w którym technologia, przeciwko której jest skuteczny, jest w odwrocie. Platforma światłowodowa jest odporna na zakłócanie z definicji. Norma odpowiada na stan techniki sprzed dwóch lat.

4.4. Neutralizacja kinetyczna i odpowiedzialność za szkodę

Zestrzelenie lub unieruchomienie platformy nie kończy zdarzenia - rozpoczyna spadanie masy z energią kinetyczną nad terenem, który zwykle jest właśnie tym, co miało być chronione. Prawo polskie przewiduje podstawę do neutralizacji (art. 156ze Prawa lotniczego, przepisy rozdziału o zapobieganiu bezprawnym operacjom, nowe uprawnienia z ustawy z 29 maja 2026 r.), lecz reżim odpowiedzialności za szkody wyrządzone w wyniku legalnej neutralizacji pozostaje rozproszony między odpowiedzialność Skarbu Państwa za działania władcze, ogólne reguły odpowiedzialności deliktowej i szczególne przepisy o szkodach wyrządzonych przez ruch statków powietrznych.

Osobnym zagadnieniem jest kwalifikacja samodzielnej neutralizacji przez podmiot nieuprawniony. Zestrzelenie drona przez właściciela nieruchomości, nad którą przelatuje, nie jest wykonywaniem prawa własności - jest zniszczeniem cudzej rzeczy i, w zależności od okoliczności, sprowadzeniem niebezpieczeństwa. Praktyka orzecznicza w tym zakresie już się kształtuje.

4.5. Dane z pola walki jako materiał treningowy

Jest to najbardziej niedookreślony punkt całej mapy. Zbiory nagrań z operacji bojowych - obraz wizyjny i termowizyjny z tysięcy wylotów - mają wartość treningową nieosiągalną w warunkach laboratoryjnych. Przepływają one, formalnie i nieformalnie, w obie strony granicy cywilno-wojskowej.

Zagadnienia prawne układają się w trzy warstwy. Ochrona danych: materiał tego rodzaju zawiera wizerunki osób fizycznych; przetwarzanie w toku działań wojennych mieści się w wyłączeniu z art. 2 ust. 2 RODO, ale wykorzystanie tego samego zbioru przez podmiot komercyjny do trenowania modelu przeznaczonego na rynek cywilny już nie - a ustalenie momentu, w którym dane „wchodzą” w zakres zastosowania rozporządzenia, nie ma jednoznacznej odpowiedzi normatywnej. Jakość danych: art. 10 aktu o sztucznej inteligencji wymaga, by zbiory treningowe systemów wysokiego ryzyka były reprezentatywne i wolne od błędów systematycznych; zbiór pochodzący z jednego teatru działań, jednej pory roku i jednego typu terenu tego wymogu nie spełnia, co ma bezpośrednie przełożenie na wiarygodność klasyfikatorów w zastosowaniach cywilnych. Kontrola eksportu: wagi modelu wytrenowanego na takim zbiorze mogą stanowić technologię kontrolowaną, a ich udostępnienie poza obszar celny Unii - wywóz wymagający zezwolenia (por. część 3.3, pkt 3).

Praktyczna rekomendacja: w każdej transakcji dotyczącej podmiotu posiadającego modele wizyjne należy ustalić proweniencję zbiorów treningowych i udokumentować ją w sposób pozwalający wykazać legalność łańcucha. Jest to dziś jeden z najczęściej pomijanych, a najtrudniejszych do naprawienia po fakcie, elementów badania spółki.

4.6. Transfer technologii niematerialnej a model pracy rozproszonej

Reżim kontroli eksportu nie ogranicza się do fizycznego przemieszczania towarów przez granicę. W rozumieniu rozporządzenia (UE) 2021/821 „wywóz” obejmuje również przekazywanie oprogramowania lub technologii za pomocą środków elektronicznych - między innymi poczty elektronicznej, telefonu lub innych środków elektronicznych - do miejsca przeznaczenia poza obszarem celnym Unii. Za wywóz uznaje się także elektroniczne udostępnienie takiego oprogramowania lub technologii osobom fizycznym albo prawnym znajdującym się poza obszarem celnym Unii. W konsekwencji przyznanie zagranicznemu inżynierowi, konsultantowi lub potencjalnemu inwestorowi możliwości pobrania kontrolowanych plików z repozytorium może stanowić wywóz, nawet jeżeli dane przez cały czas pozostają zapisane na tym samym serwerze, a dostęp miał charakter zdalny i krótkotrwały[24].

Nie oznacza to jednak, że każde udostępnienie kodu źródłowego poza Unią automatycznie wymaga zezwolenia. W pierwszej kolejności należy ustalić, czy dane oprogramowanie albo informacje techniczne zostały objęte wykazem produktów podwójnego zastosowania w załączniku I do rozporządzenia 2021/821 lub czy zachodzą przesłanki kontroli niewykazanych produktów ze względu na ich zamierzone zastosowanie końcowe lub końcowego użytkownika. W sektorze bezzałogowych statków powietrznych ocena ta może dotyczyć zarówno samej konstrukcji drona, jego podzespołów i wyposażenia, jak i dedykowanego oprogramowania oraz technologii niezbędnej do ich rozwoju, produkcji albo użytkowania. Potencjalnie istotne będą między innymi dokumentacja konstrukcyjna, modele i symulacje aerodynamiczne, schematy systemów sterowania, kod autopilota, rozwiązania dotyczące autonomicznej nawigacji, integracji sensorów, łączności szyfrowanej lub odporności na zakłócenia. Klasyfikacja powinna jednak odnosić się do parametrów i kryteriów konkretnej pozycji kontrolnej, a nie wyłącznie do tego, że dana technologia jest związana z dronami.

Ryzyko niematerialnego transferu technologii powstaje przede wszystkim w trzech konfiguracjach: (i) w geograficznie rozproszonym zespole deweloperskim obejmującym osoby pracujące z państw trzecich; (ii) w procesie due diligence, jeżeli doradcy lub eksperci techniczni potencjalnego nabywcy spoza Unii otrzymują dostęp do repozytorium, dokumentacji projektowej albo środowiska testowego; oraz (iii) przy korzystaniu z infrastruktury chmurowej, jeżeli dane są przesyłane na serwery znajdujące się poza Unią albo mogą być stamtąd dostępne. Sama decentralizacja infrastruktury, zastosowanie technologii blockchain lub przechowywanie danych w chmurze nie przesądzają jeszcze o wystąpieniu kontrolowanego wywozu. Znaczenie ma przede wszystkim treść danych, ich klasyfikacja eksportowa, lokalizacja odbiorcy oraz to, czy podmiot spoza Unii uzyskał rzeczywistą możliwość zapoznania się z kontrolowaną technologią. W przypadku rozproszonego przechowywania danych dodatkowym problemem może być brak możliwości wiarygodnego ustalenia, w jakich państwach znajdują się poszczególne węzły lub kopie danych.

Z tego względu kontrola dostępu do repozytoriów zawierających technologie dronowe powinna być elementem wewnętrznego programu zgodności eksportowej, a nie wyłącznie procedurą cyberbezpieczeństwa. System taki powinien obejmować klasyfikację repozytoriów i dokumentacji, ustalenie państwa, z którego użytkownik faktycznie uzyskuje dostęp, weryfikację użytkowników końcowych i celu wykorzystania technologii, segmentację projektów, zasadę najmniejszych uprawnień, ograniczenia pobierania i kopiowania plików oraz prowadzenie rejestrów dostępu. Sama ochrona danych przed nieuprawnionym dostępem nie zastępuje bowiem odpowiedzi na odrębne pytanie regulacyjne: czy dostęp osoby uprawnionej, ale znajdującej się poza Unią, stanowi wywóz wymagający zezwolenia.

4.7. Łańcuch dostaw, komponenty i kontrola inwestycji

Ostatnim punktem tarcia jest napięcie między strategiczną autonomią a strukturą rynku komponentów. Ekosystem, który umożliwił rewolucję kosztową opisaną w części 2.2, opiera się w znacznej mierze na komponentach o pochodzeniu skoncentrowanym geograficznie - od ogniw i silników po układy scalone i kamery. Polityka ograniczania zależności zderza się z faktem, że europejskie łańcuchy alternatywne nie istnieją w skali odpowiadającej zapotrzebowaniu.

Prawnie napięcie to materializuje się w trzech instrumentach: mechanizmach kwalifikowalności w programach finansowania (wymóg pochodzenia komponentów i kontroli nad wykonawcą), rozporządzeniu (UE) 2019/452 o monitorowaniu bezpośrednich inwestycji zagranicznych wraz z krajową ustawą z 24 lipca 2015 r. o kontroli niektórych inwestycji[25], oraz w reżimie sankcyjnym. Dla inwestora oznacza to, że transakcja w tym sektorze wymaga równoległej analizy trzech ścieżek zgód: kontroli koncentracji, kontroli inwestycji oraz - gdy przedmiotem są aktywa objęte wykazem - zgód eksportowych. Harmonogram transakcji musi to uwzględniać od pierwszego dnia; próba nadrobienia tych zgód po podpisaniu umowy przedwstępnej jest typową przyczyną niepowodzenia procesu.

5. Dwutorowość reżimu - odpowiedź na pytanie praktyczne w środowisku prawnym

Zestawienie dziewięciu filarów prowadzi do wniosku, że prawo pełni jednocześnie trzy różne role - w zależności od toru, w którym się znajdujemy - oraz pozostawia jeden obszar niepokryty.

Prawo nie jest ani wyłącznie następstwem, ani wyłącznie napędem - jest dwutorowe. W torze cywilnym działa jako następstwo potrzeby i wygaszacz; w torze obronnym jako napęd. Mechanizmem rozdzielającym oba tory jest wyłączenie wojskowe z art. 2 ust. 3 aktu o sztucznej inteligencji i analogiczne wyłączenia obronne w kolejnych aktach - przy czym, jak wykazaliśmy w części 3.1, pierwsze z nich pojawia się już w rozporządzeniu bazowym EASA, a więc na poziomie fundamentu całego reżimu, a nie jako wyjątek szczególny.

Paradoks polega na tym, że ta sama technologia jest jednocześnie przyspieszana obronnie i wygaszana cywilnie - a granica dual use, po której przebiega ten podział, jest coraz mniej ostra. Co więcej, w latach 2025-2026 obserwujemy zjawisko dodatkowe, które warto odnotować jako czwarty mechanizm: uproszczenie jako narzędzie polityki przemysłowej. Zarówno Defence Readiness Omnibus, jak i Digital Omnibus zmierzają do obniżenia obciążeń regulacyjnych - pierwszy w torze obronnym, drugi w cywilnym. Kierunek jest zbieżny, uzasadnienia odmienne: w pierwszym przypadku gotowość obronna, w drugim konkurencyjność. Skutkiem jest zbliżanie się obu torów od strony proceduralnej, przy zachowaniu ich rozdzielności materialnej.

6. Implikacje praktyczne dla podmiotów sektora

6.1. Mapa kwalifikacyjna - pytania, na które trzeba odpowiedzieć w tej kolejności

Dla klienta z sektora UAV kluczowe jest jedno pytanie: po której stronie granicy - dual use, wojsko/cywil - znajduje się jego produkt lub projekt. Kwalifikacja ta determinuje cały reżim prawny, który go obejmuje. W praktyce warto ją przeprowadzać sekwencyjnie:

1. Czy produkt jest przeznaczony wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego? Jeżeli tak - należy udokumentować podstawę tego twierdzenia i mechanizmy kontroli kanału dystrybucji. Jeżeli nie lub nie w pełni - stosuje się reżim cywilny w całości.

2. Czy stosuje się akt o sztucznej inteligencji, a jeżeli tak, to na której podstawie? Załącznik I (element bezpieczeństwa produktu certyfikowanego) czy załącznik III (infrastruktura krytyczna, ściganie, granice)? Od tego zależy nie tylko zakres obowiązków, lecz także data ich stosowania (2 grudnia 2027 r. albo 2 sierpnia 2028 r.).

3. Jakiej klasy produktowej i kategorii operacyjnej dotyczy platforma w reżimie 2019/945 i 2019/947 - i czy operacje wymagają zezwolenia w kategorii szczególnej?

4. Czy produkt lub którykolwiek z jego komponentów podlega kontroli eksportu na podstawie rozporządzenia (UE) 2021/821 i aktualnej listy kontrolnej, w tym w reżimie klauzul uniwersalnych i transferu technologii niematerialnej?

5. Czy urządzenie przetwarza dane osobowe - a jeżeli tak, czy przeprowadzono ocenę skutków i czy podstawa prawna przetwarzania jest udokumentowana? Czy platforma jest „produktem skomunikowanym” w rozumieniu aktu w sprawie danych?

6. Jakie obowiązki cyberbezpieczeństwa (CRA jako producent, NIS2 z tytułu własnej działalności, CER pośrednio przez klienta) obejmują wytwórcę i operatora?

7. Czy projekt kwalifikuje się do finansowania napędowego (EDF, EDIRPA, ASAP, SAFE, EDIP/SEAP) - i czy struktura właścicielska oraz konsorcjalna spełnia wymogi kwalifikowalności i kontroli?

6.2. Due diligence podmiotu dronowego

W praktyce M&A oznacza to, że badanie spółki musi objąć nie tylko klasyczne obszary (tytuł prawny do własności intelektualnej, umowy, zobowiązania), lecz także pozycjonowanie regulacyjne. Lista kontrolna obejmuje co najmniej:

● klasyfikację dual use każdego komponentu i produktu, wraz z dokumentacją uzasadniającą oraz historią wydanych zezwoleń;

● status wobec aktu o sztucznej inteligencji: inwentarz systemów, przypisanie do kategorii, ocena istnienia i skuteczności wyłączenia z art. 2 ust. 3;

● proweniencję zbiorów treningowych i prawa do ich wykorzystania - w tym łańcuch tytułu do danych pochodzących od podmiotów trzecich lub z operacji rzeczywistych;

● historię incydentów bezpieczeństwa i zgodność z reżimami zgłoszeniowymi;

● rejestrację operatora, zezwolenia operacyjne, historię postępowań przed organem nadzoru lotniczego oraz sankcji administracyjnych;

● ekspozycję na kontrolę inwestycji (rozporządzenie 2019/452, ustawa z 24 lipca 2015 r.) i wymogi kwalifikowalności w programach finansowania, których spółka jest beneficjentem;

● zgodność z reżimem transferu technologii niematerialnej w modelu pracy rozproszonej, w tym listę jurysdykcji, z których udzielano dostępu do repozytoriów;

● prawa do wyników projektów finansowanych ze środków publicznych, w tym ograniczenia eksportowe i prawa dostępu przypisane państwom członkowskim.

Uwaga proceduralna o istotnym znaczeniu praktycznym: samo prowadzenie badania spółki może uruchomić obowiązki eksportowe, jeżeli dostęp do dokumentacji technicznej uzyskują doradcy z państw trzecich. Kolejność czynności w procesie transakcyjnym nie jest zatem kwestią wygody - jest elementem zgodności.

6.3. Kalendarz zgodności 2026-2028

Terminy dotyczące części pakietu upraszczającego odnoszącej się do RODO, prywatności w łączności elektronicznej, NIS2 i aktu w sprawie danych pozostają nieustalone - teczka jest w negocjacjach w Radzie, a przyjęcie przed końcem 2026 r. jest niepewne.

6.4. Czego nie da się odłożyć

Odroczenie obowiązków dla systemów wysokiego ryzyka bywa odczytywane jako zgoda na wstrzymanie prac. Jest to błąd o wymiernym koszcie. Trzy zadania nie mają alternatywy czasowej:

● Inwentaryzacja i klasyfikacja. Najtrudniejszym elementem zgodności z aktem o sztucznej inteligencji nie jest wypełnienie dokumentacji, lecz zidentyfikowanie wszystkich systemów w organizacji i utrzymanie tego rejestru w miarę wprowadzania kolejnych wersji produktu. Praca ta nie zależy od stanu norm zharmonizowanych.

● Kompetencje w zakresie AI (art. 4). Obowiązek zapewnienia odpowiedniego poziomu wiedzy personelu obsługującego systemy AI obowiązuje od 2 lutego 2025 r. i nie został odroczony.

● Architektura danych i rejestrów zdarzeń. Wymogi art. 10 i art. 12 mają charakter projektowy — ich spełnienie po zakończeniu prac konstrukcyjnych jest kosztowniejsze wielokrotnie niż uwzględnienie ich od początku.

To właśnie tu - na styku technologii i coraz gęstszej siatki reżimów - leży wartość dodana doradztwa prawnego wyspecjalizowanego w sektorach wysokoregulowanych.

7. Konkluzja - konflikt jako soczewka i barometr

Konflikt ukraiński jest soczewką, w której widać przyszłość technologii dual use, i barometrem kierunku jej regulacji. Obala popularną tezę, jakoby prawo z natury hamowało rozwój technologiczny: w torze obronnym warstwa prawna finansowania publicznego okazała się wektorem raptownego przyspieszenia — a instrumenty przyjęte w latach 2025-2026, od Defence Readiness Omnibus po projekty flagowe Readiness Roadmap 2030, są tego dowodem w skali dotąd w Europie nieznanej. Zarazem pokazuje, że w miarę upowszechnienia dronów prawo cywilne przyjmuje funkcję wygaszającą - kontrolując eksport, autonomię, przetwarzanie danych i dostęp do przestrzeni powietrznej.

Trzy obserwacje wydają się najistotniejsze dla dalszej dyskusji.

Po pierwsze, wyłączenia obronne nie są wyjątkiem od reguły, lecz konstrukcją systemową powtarzającą się na każdym poziomie regulacji - od rozporządzenia bazowego EASA, przez RODO, po akt o sztucznej inteligencji. Za każdym razem mają jednak inaczej zakreślone granice, co oznacza, że ta sama platforma może być jednocześnie wyłączona z jednego reżimu i objęta drugim. Uporządkowanie tych granic jest zadaniem, którego prawodawca unijny dotąd nie podjął.

Po drugie, wraz z przesunięciem wartości z platformy na dane i modele, ciężar regulacyjny przesuwa się z prawa lotniczego ku prawu danych i sztucznej inteligencji. Producent, który w 2019 r. potrzebował głównie certyfikatu, w 2026 r. potrzebuje udokumentowanego łańcucha proweniencji zbiorów treningowych, systemu zarządzania podatnościami i kontroli dostępu opartej na jurysdykcji.

Po trzecie, spirala innowacji nie zwolni - a wraz z nią nie zwolni tempo nawarstwiania się prawa. Norma odpowiadająca na stan techniki sprzed dwóch lat, przyjęta w reakcji na incydent sprzed roku, wchodząca w życie za rok, będzie w chwili zastosowania odnosić się do świata, którego już nie ma. Jest to argument nie przeciwko regulacji, lecz na rzecz regulacji opartej na skutkach i poziomie ryzyka, odpornej na zmianę rozwiązania technicznego.

Dla prawników obsługujących ten sektor wniosek jest jeden: skuteczna strategia prawna zaczyna się od świadomego pozycjonowania produktu po właściwej stronie każdej z granic reżimu - a granic tych jest dziś dziewięć, nie jedna. Zdolność poruszania się jednocześnie w warstwie technologicznej i regulacyjnej przestaje być przewagą, a staje się warunkiem obecności na tym rynku.

Słownik pojęć technicznych

Autorzy:
Radca prawny K. Jakub Gładkowski, zajmujący się praktyką korporacyjną oraz reprezentacją sądowo-regulacyjną, oraz
Radca prawny Małgorzata Kiełtyka, specjalizująca się w transakcjach M&A oraz sektorach wysokich technologii i wysokoregulowanych
- prawnicy KG Legal Kiełtyka Gładkowski Spółka Partnerska Kancelaria Radców Prawnych, działający w ramach programu iSTART1.

Przypisy:

[1] Zob. EASA, Easy Access Rules for Unmanned Aircraft Systems, revision from June 2026, wskazujące, że rewizja ta incorporates the AMC and GM to Regulation (EU) 2019/947 stemming from ED Decision 2025/018/R; por. także wersja online publikacji z 30 June 2026. EASA EASA online publication.

[2] Zob. European Parliamentary Research Service, Defence and artificial intelligence (2025), wskazujące, że Parlament Europejski przyjął dwie główne rezolucje dotyczące LAWS i wojskowej AI - w 2018 r. i 2021 r.; por. także EEAS, Autonomous weapons must remain under human control, Mogherini says at European Parliament. EPRS PDF EEAS;

[3] Zob. European Parliament Legislative Train, Digital Omnibus on AI, wskazujący, że propozycja stanowiła część pakietu opublikowanego 19 listopada 2025 r.; por. także EPRS, Digital Omnibus on AI, gdzie wskazano, że współprawodawcy osiągnęli porozumienie w trilogu 7 maja 2026 r., a Parlament zatwierdził je 16 czerwca 2026 r.; o ostatecznym przyjęciu przez Radę zob. Consilium, Artificial Intelligence: Council gives final green light to simplify and streamline rules, 29 czerwca 2026 r.; akt końcowy: Regulation (EU) 2026/1744. Legislative Train EPRS PDF Consilium EUR-Lex;

[4] Rozporządzenie (UE) 2021/821 weszło w życie 9 września 2021 r. jako nowy podstawowy akt unijnego systemu kontroli wywozu produktów podwójnego zastosowania, zastępując wcześniejsze rozporządzenie (WE) nr 428/2009. Odwołanie do 15 listopada 2025 r. nie oznacza, że akt „kończy się” na 2025 r., lecz że od tego dnia obowiązuje przywoływana wersja skonsolidowana, uwzględniająca dotychczasowe zmiany tekstu. Z kolei data 8 września 2025 r. odnosi się do jednej z aktualizacji list kontrolnych / załączników. W sierpniu 2026 r. rozporządzenie nadal pozostaje aktem obowiązującym.

[5] Przekazanie wag modelu oznacza przekazanie samych wyuczonych parametrów modelu AI - czyli liczb, które model „nosi w sobie” po treningu i na podstawie których działa.

[6] Zob. rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/697 z 29 kwietnia 2021 r. ustanawiające Europejski Fundusz Obronny; por. także European Defence Fund (2021-2027) na EUR-Lex i oficjalną stronę Komisji Europejskiej dotyczącą EDF. EUR-Lex EUR-Lex summary Komisja Europejska;

[7] Zob. rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2418 z 18 października 2023 r. ustanawiające instrument na rzecz wzmocnienia europejskiego przemysłu obronnego poprzez wspólne zamówienia (EDIRPA); por. także EUR-Lex summary i oficjalną stronę Komisji Europejskiej dotyczącą EDIRPA. EUR-Lex EUR-Lex summary Komisja Europejska;

[8] ASAP został ustanowiony rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2023/1525 z 20 lipca 2023 r. jako instrument wspierający zwiększanie mocy produkcyjnych europejskiego przemysłu w zakresie amunicji i pocisków; logika tego aktu - polegająca na publicznym wzmacnianiu zdolności produkcyjnych przemysłu obronnego - jest funkcjonalnie przenoszalna również na masową produkcję amunicji krążącej i dronów. EUR-Lex Komisja Europejska;

[9] SAFE (Security Action for Europe) został ustanowiony rozporządzeniem Rady (UE) 2025/1106 z 27 maja 2025 r. jako nowy instrument wzmacniający europejskie zdolności obronne i przemysł obronny poprzez mechanizmy finansowe oraz wspieranie skoordynowanych działań państw członkowskich; pozostaje on aktualnym elementem unijnej architektury obronnej również w 2026 r. EUR-Lex Consilium;

[10] Zob. rozporządzenie Parlamentu Europejskiego i Rady (UE) 2025/2643 z 16 grudnia 2025 r. ustanawiające European Defence Industry Programme (EDIP); por. także oficjalną stronę Komisji Europejskiej dotyczącą EDIP. EUR-Lex Komisja Europejska;

[11] To jest szerszy pakiet Komisji Europejskiej, przyjęty 17 czerwca 2025 r., mający stworzyć „defence-readiness mindset” i uprościć otoczenie regulacyjne dla inwestycji obronnych. Komisja sama opisuje go jako comprehensive package i simplification proposal, a Parlament w Legislative Train mówi wręcz o Communication on the Defence Readiness Omnibus. Czyli to nie jest po prostu „to samo co EDIP”, tylko raczej pakiet deregulacyjno-upraszczający i polityczno-legislacyjne otoczenie dla szybszego działania sektora obronnego. Komisja Europejska Legislative Train

[12] Zob. European Commission, Readiness Roadmap 2030 oraz White Paper for European Defence - Readiness 2030, wskazujące cztery flagship projects: Eastern Flank Watch, European Drone Defence Initiative, European Air Shield i European Space Shield. Komisja Europejska White Paper.

[13] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/588 z 15 marca 2023 r. ustanawiające Union Secure Connectivity Programme for the period 2023–2027. eur-lex.europa.eu.

[14] Dyrektywa (UE) 2022/2555 (NIS2) Parlamentu Europejskiego i Rady z 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii. eur-lex.europa.eu.

[15] Dyrektywa (UE) 2022/2557 (CER) Parlamentu Europejskiego i Rady z 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych. eur-lex.europa.eu.

[16] Rozporządzenie (UE) 2024/2847 (Cyber Resilience Act, CRA) Parlamentu Europejskiego i Rady z 23 października 2024 r. w sprawie horyzontalnych wymogów cyberbezpieczeństwa dla produktów z elementami cyfrowymi. eur-lex.europa.eu.

[17] Zob. EDPB/EDPS Joint Opinion 2/2026 z 11 lutego 2026 r. w sprawie Digital Omnibus oraz komunikat EDPB z tego samego dnia; co do dalszego etapu negocjacyjnego i wycofania tekstu z COREPER II pod koniec czerwca 2026 r. por. źródło eksperckie: Privacy Next, Digital Omnibus Negotiations (GDPR) - July 2026 Update. EDPB Joint Opinion 2/2026 Privacy Next.

[18] Zob. art. 36 Protokołu dodatkowego I z 1977 r. do Konwencji Genewskich; por. także ICRC, A Guide to the Legal Review of New Weapons, Means and Methods of Warfare. ICRC art. 36 ICRC Guide.

[19] Zob. CCW/MSP/2023/7, para. 20, w którym mandat Grupy Ekspertów Rządowych (GGE) dotyczący emerging technologies in the area of lethal autonomous weapons systems (LAWS) określono jako dalsze rozważenie i sformułowanie, „by consensus”, zbioru elementów instrumentu, bez przesądzania jego charakteru; zob. także CCW/GGE.1/2026/WP.2, paras. 3–5, 76–78. VII Konferencja Przeglądowa CCW została zaplanowana na 16–20 listopada 2026 r. w Genewie (CCW/MSP/2025/8, para. 19(g); zob. również UN Secretary-General, Letter convening the Seventh Review Conference of the CCW, April 2026).

[20] NATO, Summary of the NATO Artificial Intelligence Strategy, 22 October 2021, paras. 7–10, w szczególności para. 9, zawierający sześć Principles of Responsible Use for AI in Defence: Lawfulness, Responsibility and Accountability, Explainability and Traceability, Reliability, Governability oraz Bias Mitigation; NATO, Summary of NATO’s revised Artificial Intelligence (AI) strategy, 10 July 2024, paras. 2, 5-10. Zrewidowana strategia z 2024 r. potwierdza obowiązywanie sześciu zasad odpowiedzialnego wykorzystania AI oraz przewiduje ich dalszą operacjonalizację, m.in. poprzez standardy, procedury oceny i testowania (TEV&V) oraz mechanizmy certyfikacji.

[21] https://www.swiatdronow.pl/podsumowanie-posiedzenia-podkomisji-stalej-do-spraw-lotnictwa-cywilnego-10-06-2026-r; Zapis przebiegu posiedzenia Podkomisji stałej do spraw lotnictwa cywilnego (nr 10) z 10 czerwca 2026 r., Sejm RP, w szczególności wypowiedź Dyrektora Departamentu Bezzałogowych Statków Powietrznych ULC Pawła Szymańskiego, który wskazał, że przygotowany przez ULC projekt nowelizacji dotyczącej systemów bezzałogowych statków powietrznych został 5 maja 2026 r. przekazany Ministerstwu Infrastruktury, stanowiąc odpowiedź na postulaty strony społecznej i problemy ujawnione w praktyce stosowania nowych przepisów; projekt określono jako mający charakter deregulacyjny, doprecyzowujący i porządkujący, obejmujący m.in. zmianę regulacji dotyczących obowiązkowego ubezpieczenia OC oraz sankcji. https://www.sejm.gov.pl/sejm10.nsf/biuletyn.xsp?SessionID=55B1AE69A4EDC2996BDD70EE751F3A4A86C14EE1&documentId=2AEF7DEF0751F54BC1258E22003E5D23&utm

[22] Postulat meaningful human control nie stanowi obecnie odrębnej, wiążącej normy prawa międzynarodowego. Jest koncepcją rozwijaną w ramach negocjacji dotyczących autonomicznych systemów uzbrojenia, której celem jest zapewnienie, aby człowiek zachował rzeczywistą kontrolę nad zastosowaniem siły. Jej uzasadnienie prawne wiąże się przede wszystkim z obowiązkiem przestrzegania istniejących norm międzynarodowego prawa humanitarnego, w szczególności zasad rozróżniania, proporcjonalności i podejmowania środków ostrożności oraz obowiązku badania nowych środków i metod prowadzenia wojny na podstawie art. 36 Protokołu dodatkowego I.

[23] Art. 6zj ust. 1-4 ustawy z 26 kwietnia 2007 r. o zarządzaniu kryzysowym, w brzmieniu nadanym ustawą z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw, Dz.U. z 2026 r. poz. 815, w zw. z art. 156ze ust. 1 ustawy z 3 lipca 2002 r. - Prawo lotnicze, tekst jednolity Dz.U. z 2025 r. poz. 1431, ze zm.

[24] Art. 2 pkt 2 lit. d oraz art. 2 pkt 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2021/821 z 20 maja 2021 r. ustanawiającego unijny system kontroli wywozu, pośrednictwa, pomocy technicznej, tranzytu i transferu produktów podwójnego zastosowania, w aktualnym tekście skonsolidowanym; zob. także zalecenie Komisji (UE) 2021/1700 z 15 września 2021 r. dotyczące wewnętrznych programów zgodności w zakresie kontroli badań dotyczących produktów podwójnego zastosowania: Rozporządzenie 2021/821 oraz zalecenie 2021/1700.

[25] Ustawa z dnia 24 lipca 2015 r. o kontroli niektórych inwestycji (tekst jednolity Dz. U. z 2026 r. poz. 47 z późn. zm.).