Firma technologiczna z Luksemburga wchodzi na polski rynek z gotowym produktem, dokumentacją IP i przekonaniem, że unijne prawo działa wszędzie tak samo. W praktyce – wiele takich firm odkrywa dopiero po kilku miesiącach – że Polska ma własne rejestry, własne organy egzekwowania i własną praktykę sądową w sprawach własności intelektualnej. Moment, w którym to odkrycie następuje, bywa kosztowny.

Strategia ochrony IP dla firmy technologicznej z Luksemburga działającej w Polsce wymaga jednoczesnego uwzględnienia trzech warstw regulacyjnych: prawa unijnego (AI Act, DORA, RODO), polskiego prawa własności intelektualnej oraz lokalnej praktyki egzekwowania przed Urzędem Patentowym RP i sądami. Kluczowe terminy to 1 sierpnia 2026 r. dla pełnego stosowania AI Act wobec systemów wysokiego ryzyka oraz 17 stycznia 2025 r. dla DORA. Brak lokalnej rejestracji znaku towarowego w Polsce nie pozbawia ochrony, ale utrudnia dochodzenie roszczeń.

Ten alert wskazuje, co się zmieniło w ostatnich miesiącach, kogo dotyczą nowe obowiązki i jakie działania należy podjąć natychmiast. Trzy obszary wymagają szczególnej uwagi: rejestracja IP w Polsce, dostosowanie do AI Act oraz zgodność z DORA i RODO w polskim środowisku operacyjnym.

Co się zmieniło i kogo dotyczy?

Od 17 stycznia 2025 r. obowiązuje DORA – Rozporządzenie UE 2022/2554 o cyfrowej odporności operacyjnej. Dla luksemburskich firm technologicznych świadczących usługi na rzecz polskich instytucji finansowych oznacza to jedno: polskie podmioty regulowane przez KNF muszą weryfikować swoich dostawców ICT pod kątem wymogów DORA. Jeśli Twoja firma jest takim dostawcą, umowy z polskimi klientami wymagają natychmiastowego przeglądu.

AI Act – Rozporządzenie UE 2024/1689 – wszedł w życie 1 sierpnia 2024 r. Zakaz stosowania systemów AI wysokiego ryzyka w obszarach biometrii i scoringu kredytowego obowiązuje już od 2 lutego 2025 r. Pełne wymogi dla systemów wysokiego ryzyka, w tym ocena zgodności, wchodzą w życie 1 sierpnia 2026 r. Firmy technologiczne z Luksemburga oferujące w Polsce rozwiązania AI w obszarze HR, finansów lub bezpieczeństwa muszą przeprowadzić klasyfikację systemów przed tym terminem.

RODO działa w Polsce przez UODO – Urząd Ochrony Danych Osobowych. To polski organ nadzorczy, który prowadzi własne postępowania, niezależnie od luksemburskiego CNPD. Dla firm z Luksemburga posiadających w Polsce oddział lub przetwarzających dane polskich użytkowników, UODO może wszcząć postępowanie równolegle z organem macierzystym. Mechanizm one-stop-shop nie eliminuje tego ryzyka całkowicie – szczególnie gdy naruszenie dotyczy wyłącznie polskich podmiotów danych.

Trzy instytucje, które luksemburska firma technologiczna powinna znać w Polsce: KNF (nadzór finansowy i DORA), UODO (ochrona danych) oraz Urząd Patentowy RP (rejestracja znaków towarowych i patentów).

Jakie działania podjąć natychmiast?

Ochrona IP w Polsce nie jest automatyczna. Znak towarowy zarejestrowany w Luksemburgu lub jako znak unijny (EUTM) daje ochronę na terenie całej UE – ale dochodzenie roszczeń przed polskim sądem jest sprawniejsze, gdy firma dysponuje lokalną dokumentacją i polskim pełnomocnikiem. Uważamy, że bezpieczniejszym rozwiązaniem jest uzupełnienie ochrony EUTM o krajową rejestrację w Urzędzie Patentowym RP dla kluczowych oznaczeń używanych na rynku polskim.

Firma produkcyjna z Luksemburga działająca w sektorze fintech odkryła wiosną 2024 r., że konkurent zarejestrował w Polsce podobny znak towarowy dla usług płatniczych. Postępowanie sprzeciwowe przed Urzędem Patentowym RP trwało 8 miesięcy i zakończyło się sukcesem – ale koszt był wielokrotnie wyższy niż koszt prewencyjnej rejestracji.

Lista działań do wykonania w ciągu 30 dni:

  • Przeprowadź audyt portfela IP pod kątem ochrony w Polsce – znaki towarowe, patenty, prawa autorskie do oprogramowania
  • Zweryfikuj umowy z polskimi klientami z sektora finansowego pod kątem wymogów DORA (klauzule ICT, SLA, prawo do audytu)
  • Sklasyfikuj systemy AI oferowane w Polsce zgodnie z AI Act – identyfikacja systemów wysokiego ryzyka przed terminem 1 sierpnia 2026 r.
  • Sprawdź, czy przetwarzanie danych polskich użytkowników jest objęte właściwą podstawą prawną zgodną z RODO i czy UODO jest poinformowany o działalności transgranicznej
  • Wyznacz lokalnego pełnomocnika IP w Polsce – szczególnie jeśli firma planuje dochodzenie roszczeń lub odpowiedź na naruszenia

Firma IT z Luksemburga obsługująca polskie banki jesienią 2024 r. otrzymała od KNF żądanie dokumentacji dotyczącej zarządzania ryzykiem ICT. Brak przygotowanej odpowiedzi w terminie 14 dni skutkował wszczęciem formalnego postępowania wyjaśniającego. Wcześniejszy przegląd umów i procedur DORA pozwoliłby uniknąć tego scenariusza.

Dla firm zainteresowanych porównaniem strategii IP na innych rynkach – analogiczne podejście dla firm z Niemiec opisujemy w materiale IP protection strategy for Germany tech companies in Poland. Zagadnienia transgranicznej niewypłacalności między Polską a Luksemburgiem analizujemy w opracowaniu cross-border insolvency involving Poland and Luxembourg. Mechanizmy transferu danych z Polski do krajów trzecich, w tym do Szwajcarii, omawiamy w artykule data transfer from Poland to Switzerland – legal mechanisms.

Konkretna sytuacja Państwa firmy – portfel IP, model świadczenia usług w Polsce, klasyfikacja systemów AI – wymaga indywidualnej oceny. Brak działania przed terminami AI Act i DORA zamyka drogę do bezspornej zgodności i może skutkować nieodwracalnymi konsekwencjami reputacyjnymi oraz finansowymi.

Jeśli Państwa spółka z Luksemburga świadczy usługi technologiczne w Polsce i nie przeprowadziła jeszcze audytu IP ani przeglądu zgodności z DORA i AI Act – przeprowadzimy ocenę portfela, klasyfikację systemów AI i przegląd umów ICT: info@kordeckipartners.com.

Często zadawane pytania

P: Czy znak towarowy EUTM wystarczy do ochrony marki w Polsce?

O: Znak unijny EUTM obejmuje Polskę i daje formalną ochronę. W praktyce jednak dochodzenie roszczeń przed polskim sądem jest sprawniejsze przy wsparciu lokalnego pełnomocnika i udokumentowanym używaniu znaku na rynku polskim. Dla oznaczeń o strategicznym znaczeniu warto rozważyć uzupełniającą rejestrację krajową w Urzędzie Patentowym RP. Koszt rejestracji krajowej zaczyna się od kilkuset złotych za klasę towarową.

P: Moja firma z Luksemburga ma siedzibę główną tam – czy UODO w Polsce może nas kontrolować?

O: Mechanizm one-stop-shop w RODO wyznacza luksemburski CNPD jako wiodący organ nadzorczy dla operacji transgranicznych. Jednak UODO zachowuje kompetencje w sprawach dotyczących wyłącznie polskich podmiotów danych lub gdy naruszenie ma skutki lokalne. Postępowania równoległe są możliwe i zdarzają się w praktyce. Rekomendujemy utrzymanie kontaktu z oboma organami.

P: Do kiedy firma musi dostosować systemy AI do wymogów AI Act?

O: Zakazy dotyczące systemów AI niedopuszczalnego ryzyka obowiązują od 2 lutego 2025 roku. Pełne wymogi dla systemów wysokiego ryzyka, w tym obowiązkowa ocena zgodności, wchodzą w życie 1 sierpnia 2026 roku. Firmy powinny przeprowadzić klasyfikację swoich systemów jak najszybciej – procedura oceny zgodności dla systemów wysokiego ryzyka wymaga czasu i dokumentacji, której zebranie zajmuje często kilka miesięcy.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do ochrony własności intelektualnej, zgodności z AI Act i DORA oraz obsługi firm technologicznych z Luksemburga i innych jurysdykcji europejskich. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.