2 sierpnia 2026 r. rozpoczął się kolejny istotny etap stosowania AI Act. Dla przedsiębiorców oznacza to przede wszystkim obowiązki przejrzystości dotyczące określonych systemów i treści generowanych lub modyfikowanych przez AI.
Nie oznacza to, że każda firma musi oznaczać każdy tekst, grafikę czy e-mail przygotowany przy pomocy AI. Obowiązki zależą od systemu, sposobu wykorzystania, treści oraz roli przedsiębiorcy. AI Act odróżnia dostawcę, który rozwija system i wprowadza go pod własną nazwą lub marką, od podmiotu stosującego go zawodowo. Firma może pełnić różne role wobec różnych narzędzi.
Przedsiębiorca korzystający z gotowej usługi może być podmiotem stosującym. Jednak po istotnym zmodyfikowaniu systemu albo udostępnieniu go pod własnym oznaczeniem może przejąć obowiązki dostawcy. Trzeba więc ustalić, co firma faktycznie robi z systemem. Ponadto należy ustalić, pod czyją odpowiedzialnością.
Zamiast przyjmować zasadę „wszystko stworzone przez AI oznaczamy”, należy przeprowadzić uporządkowany audyt. Poniżej wskazuję siedem najważniejszych obszarów.
1. Ustal, z jakich systemów AI faktycznie korzysta firma
Pierwszym krokiem powinien być rejestr zastosowań AI. Audyt nie może ograniczać się do narzędzi kupionych przez dział IT. Powinien objąć także funkcje AI w programach biurowych, CRM, marketingu i rekrutacji. Przy każdym zastosowaniu warto odnotować cel, dostawcę oraz rolę własnej organizacji. Należy również zanotować dane wejściowe, odbiorców rezultatu, poziom kontroli człowieka i osobę odpowiedzialną.
Rejestr pozwala również ujawnić tzw. shadow AI, czyli korzystanie przez pracowników z narzędzi bez wiedzy organizacji, np. przez wprowadzanie do publicznego modelu umów, danych klientów lub informacji finansowych. Pomaga więc zidentyfikować ryzyka związane z RODO, tajemnicą przedsiębiorstwa, prawem autorskim i cyberbezpieczeństwem. Powinien także umożliwiać wstępną klasyfikację ryzyka. Jest to ważne, ponieważ wygenerowanie roboczego tytułu prezentacji wymaga innej oceny niż selekcja kandydatów czy obsługa reklamacji.
2. Ustal, kto odpowiada za informację przy chatbocie
Art. 50 ust. 1 kieruje obowiązek do dostawców systemów przeznaczonych do bezpośredniej interakcji z osobami fizycznymi. System ma informować użytkownika o kontakcie z AI, chyba że jest to dla niego oczywiste w danych okolicznościach.
Firma używająca gotowego chatbota nie zawsze będzie adresatem tego obowiązku. Powinna jednak sprawdzić, czy system przekazuje informację oraz czy jego modyfikacja, własna marka lub sposób wdrożenia nie powodują przejęcia roli dostawcy. Informacja ma być jasna i podana najpóźniej przy pierwszej interakcji, np.: „Rozmawiasz z wirtualnym asystentem wykorzystującym sztuczną inteligencję”. Co ważne, weryfikacja powinna objąć wszystkie kanały kontaktu, nie tylko stronę internetową.
Samo umieszczenie informacji w regulaminie albo polityce prywatności może być niewystarczające, jeżeli użytkownik nie widzi jej na początku rozmowy. Komunikat nie powinien być ukryty, sformułowany technicznym językiem ani podany dopiero po zakończeniu interakcji.
Nadanie botowi ludzkiego imienia lub wizerunku nie jest zakazane, ale może zwiększać ryzyko, że kontakt z AI nie będzie oczywisty. Warto też określić, kiedy rozmowa powinna zostać przekazana człowiekowi, zwłaszcza przy reklamacjach lub płatnościach.
3. Sprawdź systemy rozpoznawania emocji i kategoryzacji biometrycznej
Firma stosująca system rozpoznawania emocji lub kategoryzacji biometrycznej musi poinformować osoby poddane jego działaniu. Także przy późniejszej analizie należy je poinformować oraz przestrzegać RODO. Wymagane jest wykorzystanie danych biometrycznych do wnioskowania o emocjach lub zamiarach. Trzeba to zrobić także przy przypisywaniu osób do kategorii. Szczególnej analizy wymagają narzędzia stosowane wobec kandydatów, pracowników i konsumentów.
Obowiązek informacyjny nie przesądza jeszcze, że użycie systemu jest dozwolone. Niektóre zastosowania rozpoznawania emocji w miejscu pracy i edukacji są zakazane. Trzeba też ustalić podstawę przetwarzania danych, ich zakres i wpływ wyników na konkretną osobę. Przed zakupem produktu reklamowanego jako „analiza zaangażowania” czy „wykrywanie stresu” należy zbadać jego rzeczywiste działanie. Nazwa handlowa nie rozstrzyga o kwalifikacji prawnej.
4. Rozdziel zwykłe treści firmowe od deepfake’ów
AI Act przewiduje obowiązek ujawnienia deepfake’ów, czyli obrazów, dźwięków lub filmów wygenerowanych albo zmanipulowanych przez AI. Mogą one zostać błędnie uznane za autentyczne.
Przy realistycznym wirtualnym prezenterze, syntetycznym głosie konkretnej osoby lub fikcyjnym zdarzeniu techniczne oznaczenie pliku może nie wystarczyć. Odbiorca powinien otrzymać jasną informację o manipulacji. Nie każda grafika AI jest jednak deepfakiem. O tym decydują podobieństwo do istniejącej osoby, miejsca, przedmiotu lub zdarzenia oraz zdolność materiału do wywołania fałszywego wrażenia autentyczności.
Fantazyjna ilustracja robota w biurze co do zasady nie będzie deepfakiem. Inaczej należy ocenić realistyczne nagranie prezesa spółki, który rzekomo rekomenduje produkt, albo materiał pokazujący zdarzenie, które nigdy nie miało miejsca. Informacja powinna być widoczna lub słyszalna dla odbiorcy — nie można ograniczyć się do metadanych wymagających specjalnego narzędzia.
Przy treściach ewidentnie artystycznych, satyrycznych lub fikcyjnych ujawnienie może zostać dokonane w sposób, który nie utrudnia odbioru utworu. Nie jest to jednak pełne zwolnienie.
5. Oceń teksty dotyczące spraw leżących w interesie publicznym
Regulacja obejmuje tekst AI publikowany w celu informowania opinii publicznej o sprawach leżących w interesie publicznym, np. prawie, zdrowiu, gospodarce czy wyborach.
Nie każdy artykuł, newsletter albo post musi więc zawierać adnotację „stworzono przy użyciu AI”. Wyjątek dotyczy treści poddanej weryfikacji człowieka lub kontroli redakcyjnej, za której publikację osoba fizyczna albo prawna ponosi odpowiedzialność redakcyjną. Poprawienie literówek czy pobieżne przeczytanie tekstu może nie wystarczyć: należy sprawdzić prawdziwość, źródła, aktualność oraz ryzyko naruszenia praw osób trzecich.
Znaczenie ma cel publikacji. Tekst wewnętrzny nie jest tym samym co publiczny materiał o prawie, bezpieczeństwie produktu, gospodarce czy zdrowiu. Regulacja może objąć także komercyjny blog przedsiębiorcy, jeżeli służy informowaniu o sprawie interesu publicznego.
Firma korzystająca z wyjątku powinna wykazać rzeczywistą kontrolę. Materiały eksperckie warto zatwierdzać przez osobę posiadającą odpowiednie kompetencje i zachowywać wykorzystane źródła.
6. Wprowadź rzeczywistą, a nie pozorną kontrolę człowieka
Kontrola powinna być proporcjonalna do ryzyka. Innego poziomu wymaga tytuł prezentacji, a innego artykuł prawny, komunikat finansowy lub materiał rekrutacyjny. Procedura powinna określać, kto może korzystać z AI, jakie treści wymagają zatwierdzenia i jak dokumentuje się akceptację. Przy materiałach istotnych warto zachować wersję roboczą, źródła oraz dane osoby zatwierdzającej.
Nie trzeba archiwizować każdego prostego polecenia. Im większy wpływ materiału na klienta, pracownika lub reputację firmy, tym dokładniej należy udokumentować jego przygotowanie. W procedurze warto rozdzielić korektę językową od kontroli merytorycznej. Osoba zatwierdzająca powinna akceptować nie tylko styl, ale również fakty, wnioski i podstawy prawne.
7. Sprawdź oznaczenia techniczne po stronie dostawcy
AI Act nakłada na dostawców systemów generujących syntetyczne treści obowiązek maszynowo odczytywalnego oznaczania rezultatów. Rozwiązania mają być skuteczne, interoperacyjne, solidne i wiarygodne w zakresie technicznie wykonalnym; mogą temu służyć metadane lub znaki wodne.
Obowiązek nie ma zastosowania w zakresie, w jakim AI jedynie wspomaga standardową edycję albo nie zmienia istotnie danych wejściowych lub ich znaczenia. Nie jest to ogólne wyłączenie zastosowań firmowych.
Istotny jest również okres przejściowy wprowadzony przez AI Omnibus. Dostawcy systemów wprowadzonych na rynek przed 2 sierpnia 2026 r. mają czas na wdrożenie technicznego znakowania do 2 grudnia 2026 r. Natomiast systemy wprowadzane na rynek od 2 sierpnia 2026 r. powinny spełniać wymaganie od początku.
Użytkownik zewnętrznego narzędzia powinien zweryfikować dokumentację i sprawdzić, czy dalsza obróbka pliku nie usuwa oznaczeń. Umowy z dostawcami i agencjami powinny określać zasady używania AI, odpowiedzialność za oznaczenia i obowiązek ujawnienia narzędzi.
Trzeba odróżnić techniczne znakowanie przez dostawcę od widocznego ujawnienia dokonywanego przez podmiot stosujący. Maszynowo odczytywalne oznaczenie nie zastąpi informacji dla odbiorcy, gdy publikowany materiał stanowi deepfake lub odpowiedni tekst dotyczący sprawy interesu publicznego.
Procedura, szkolenia i dowody zgodności
Minimalny pakiet organizacyjny powinien obejmować rejestr AI, zasady korzystania z narzędzi, procedurę zatwierdzania treści, wzory komunikatów, reguły dotyczące deepfake’ów i zgłaszanie incydentów. Pracownicy muszą też wiedzieć, jakich informacji nie wolno wprowadzać do publicznych modeli.
Obowiązek wspierania odpowiedniego poziomu kompetencji AI obowiązuje od 2 lutego 2025 r. Po zmianach wprowadzonych przez AI Omnibus ma charakter obowiązku starannego działania, a nie gwarancji rezultatu. Szkolenia powinny być dokumentowane i dopasowane do stanowisk oraz ryzyka.
Innego szkolenia potrzebuje zarząd, innego marketing, a jeszcze innego HR korzystający z narzędzi analitycznych. Jedna ogólna prezentacja może nie odpowiadać rzeczywistym ryzykom.
Czy trzeba oznaczać każdy materiał stworzony przy użyciu AI?
Nie. AI Act nie wprowadza jednej etykiety dla wszystkich rezultatów pracy wspomaganej przez AI. Obowiązek zależy m.in. od tego, czy chodzi o interakcję z systemem, deepfake, tekst dotyczący interesu publicznego, rozpoznawanie emocji czy techniczne znakowanie przez dostawcę.
Nadal mogą jednak mieć zastosowanie przepisy o reklamie, ochronie konsumentów, dobrach osobistych, prawie autorskim, tajemnicy przedsiębiorstwa i danych osobowych.
A co z systemami wysokiego ryzyka?
AI Omnibus nie przesunął art. 50. Odroczył natomiast zasadnicze obowiązki dla systemów wysokiego ryzyka: do 2 grudnia 2027 r. dla systemów z załącznika III, m.in. niektórych zastosowań w rekrutacji, edukacji i ocenie kredytowej. Odroczył też do 2 sierpnia 2028 r. dla systemów związanych z produktami z załącznika I. Nie zwalnia to z klasyfikowania systemów i przygotowywania dokumentacji.
Co firma powinna zrobić teraz?
Nie należy ani automatycznie oznaczać wszystkiego, ani całkowicie rezygnować z oznaczeń. Potrzebna jest kwalifikacja konkretnych zastosowań i spójna procedura.
Przedsiębiorca powinien zinwentaryzować narzędzia i ustalić swoją rolę. Powinien też sprawdzić chatboty, systemy biometryczne i materiały syntetyczne, uporządkować kontrolę redakcyjną, zweryfikować umowy oraz przeszkolić pracowników. Zgromadzone dowody należytej staranności ułatwią wykazanie zgodności w razie skargi, kontroli albo sporu.
Prace można podzielić na trzy etapy: inwentaryzację narzędzi, przypisanie ról i obowiązków oraz wdrożenie komunikatów, procedur, postanowień umownych i szkoleń. Pozwala to uniknąć zarówno oznaczania wszystkiego, jak i założenia, że zawsze odpowiada producent narzędzia.
RPR LEGAL wspiera przedsiębiorców w audytach wykorzystania AI, kwalifikacji obowiązków wynikających z AI Act oraz przygotowywaniu procedur korzystania z narzędzi i zatwierdzania treści.