AI Act a strona małej firmy: chatbot, teksty i grafiki z AI. Co trzeba oznaczać (stan na listopad 2026)

Czy AI Act w ogóle dotyczy małej firmy

AI Act rozróżnia dwie role. Dostawca to ten, kto tworzy system AI albo zleca jego stworzenie i wprowadza go pod własną nazwą lub znakiem towarowym. Podmiot stosujący to firma lub osoba, która używa systemu AI w ramach działalności zawodowej. Użycie czysto prywatne jest wyłączone, ale jednoosobowa działalność, która regularnie zarabia na korzystaniu z AI, już się liczy.

Mała firma, która korzysta z gotowych narzędzi, jest zwykle podmiotem stosującym. Komisja Europejska zaznacza w wytycznych, że firma pozostaje podmiotem stosującym także wtedy, gdy narzędzie obsługuje dla niej wykonawca lub freelancer. Z kolei firma, która tylko zamawia reklamę w agencji i nie decyduje, czy i jak agencja użyje AI, podmiotem stosującym nie jest.

Dla strony internetowej znaczenie mają trzy obowiązki: informowanie, że rozmawia się z AI, oznaczanie deepfake'ów oraz oznaczanie niektórych tekstów publikowanych w sprawach interesu publicznego. Do tego dochodzi kompetencja w zakresie AI z artykułu 4.

Chatbot na stronie: jedno zdanie, ale we właściwym miejscu

Artykuł 50 ust. 1 wymaga, żeby system AI przeznaczony do bezpośredniej interakcji z ludźmi był zaprojektowany tak, by ludzie wiedzieli, że rozmawiają z AI, chyba że jest to oczywiste. Formalnie ten obowiązek spoczywa na dostawcy. Jeśli kupujesz gotowy widżet czatu, dostawcą jest zwykle jego producent. Jeśli jednak chatbot został zbudowany dla Twojej firmy i działa pod jej nazwą, wytyczne Komisji podają taki przypadek jako przykład dostawcy. W obu sytuacjach to na Twojej stronie gość widzi czat, więc warto samemu sprawdzić, czy informacja się pojawia.

Informacja musi być podana jasno i wyraźnie, najpóźniej przy pierwszej interakcji, i spełniać wymogi dostępności. Wyjątek „to oczywiste” Komisja każe interpretować wąsko. Proste automaty oparte na regułach, na przykład klasyczna autoodpowiedź, nie są systemami AI w rozumieniu przepisów. Jako dobrą praktykę Komisja podaje powitanie czatu, które od razu mówi, że odpowiada AI, połączone ze stałą etykietą umieszczoną blisko pola wpisywania. Przykład: „Jestem asystentem AI. Odpowiadam automatycznie i mogę się pomylić. Jeśli wolisz kontakt z człowiekiem, napisz przez formularz”.

Według wytycznych Komisji same w sobie niewystarczające są:

• informacja ukryta wyłącznie w regulaminie, polityce prywatności lub dokumentacji,
• ogólne określenia w rodzaju „asystent” albo ludzkie imię i zdjęcie, które mogą wprowadzać w błąd,
• zbiorcze hasło typu „usługi na tej stronie korzystają z AI”,
• same opisy techniczne, na przykład „system używa LLM”, bez wyjaśnienia, że odpowiada maszyna.

Grafiki i wideo z AI: kiedy trzeba oznaczyć

Obowiązek oznaczania dotyczy deepfake'ów, czyli wygenerowanych lub zmanipulowanych przez AI obrazów, dźwięku lub wideo, które przypominają istniejące osoby, przedmioty, miejsca lub zdarzenia i mogłyby fałszywie wydawać się autentyczne. Podmiot stosujący musi wtedy ujawnić, że treść została wygenerowana lub zmanipulowana, najpóźniej przy pierwszym kontakcie odbiorcy z treścią, w sposób widoczny bez specjalnych narzędzi. Niewidoczny znak wodny dodany przez narzędzie nie wystarcza.

Ważny dla firm przykład z wytycznych Komisji: deepfake'iem jest obraz produktu w reklamie lub na opakowaniu, który może wprowadzać w błąd co do jego prawdziwego wyglądu lub cech, na przykład pokazuje go ładniejszym niż w rzeczywistości. Deepfake'iem nie jest natomiast wyraźnie fantastyczna scena, jak sfinks nad wieżą Eiffla. Przy treściach ewidentnie artystycznych, satyrycznych lub fikcyjnych wystarczy oznaczenie, które nie psuje odbioru dzieła.

Co z tego wynika dla apartamentu, salonu czy kawiarni: zdjęcia wnętrz, potraw i efektów zabiegów wygenerowane albo istotnie przerobione przez AI najbezpieczniej podpisywać, a najlepiej zastąpić prawdziwymi zdjęciami. Zwykła korekta kolorów, kadrowanie czy usuwanie kurzu z obiektywu to według wytycznych standardowa edycja. Komisja udostępniła też zestaw unijnych ikon do oznaczania treści z AI, z których można skorzystać.

Teksty z AI: czego przepisy nie wymagają

Nie ma ogólnego obowiązku oznaczania każdego tekstu napisanego z pomocą AI. Artykuł 50 ust. 4 dotyczy tylko tekstu publikowanego „w celu informowania społeczeństwa o sprawach leżących w interesie publicznym”, na przykład o zdrowiu publicznym, bezpieczeństwie czy polityce. Nawet taki tekst nie wymaga oznaczenia, jeżeli treść wygenerowana przez AI została poddana „weryfikacji przez człowieka lub kontroli redakcyjnej” i ktoś ponosi odpowiedzialność redakcyjną za publikację.

Wytyczne Komisji wprost wymieniają jako przykład spoza obowiązku tekst będący częścią reklamy firmy lub opisu produktu, z zastrzeżeniem twierdzeń dotyczących na przykład zdrowia, bezpieczeństwa konsumentów lub zrównoważonego rozwoju. Opis apartamentu czy oferta salonu zwykle więc oznaczenia nie wymagają.

Uwaga na wpisy blogowe o zdrowiu lub bezpieczeństwie, na przykład w gabinecie albo klinice. Tu liczy się prawdziwa weryfikacja merytoryczna przez osobę z wiedzą w temacie. Według Komisji samo sprawdzenie pisowni czy gramatyki nie jest weryfikacją przez człowieka. Treści opublikowanych przed 2 sierpnia 2026 nie trzeba oznaczać wstecz.

Terminy, zmiany z 2026 roku i kary

W 2026 roku UE przyjęła pakiet zmian nazywany Digital Omnibus on AI. Skonsolidowany tekst AI Act z tymi zmianami jest datowany na 27 lipca 2026. Omnibus przesunął terminy dla systemów wysokiego ryzyka, ale nie przesunął obowiązków przejrzystości z artykułu 50. Stan na listopad 2026 wygląda tak:

• artykuł 50 stosuje się od 2 sierpnia 2026: informacja o czacie z AI, oznaczanie deepfake'ów i tekstów w sprawach interesu publicznego,
• do 2 grudnia 2026 mają czas wyłącznie dostawcy narzędzi generatywnych wprowadzonych na rynek przed 2 sierpnia 2026, i tylko na techniczne, maszynowo czytelne znakowanie treści; to nie dotyczy obowiązków firmy, która z narzędzi korzysta,
• artykuł 4 o kompetencjach w zakresie AI obowiązuje od 2 lutego 2025; po zmianach nadal wymaga od dostawców i podmiotów stosujących działań wspierających wiedzę o AI wśród osób, które z niej korzystają w ich imieniu, ale nie wymaga gwarantowania konkretnego poziomu tej wiedzy,
• kary za naruszenie artykułu 50 sięgają do 15 mln euro albo, w przypadku przedsiębiorstwa, do 3% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa; dla małych i średnich firm stosuje się niższą z tych dwóch wartości, a przy ustalaniu kary uwzględnia się m.in. wielkość firmy, współpracę z urzędem i to, czy naruszenie było umyślne,
• w Polsce od 11 sierpnia 2026 obowiązuje ustawa z 3 lipca 2026 o systemach sztucznej inteligencji; organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, a przepisy o kontroli, postępowaniu i karach weszły w życie 28 października 2026,
• ustawa przewiduje, że w razie uzasadnionego podejrzenia naruszenia Komisja może wydać ostrzeżenie ze wskazaniem, co poprawić; firma ma 21 dni na poinformowanie o wykonaniu zaleceń.

Checklista dla strony firmowej

Jeśli chatbot zbiera imię, e-mail, telefon albo treść zapytania, w grę wchodzi też RODO. Urząd Ochrony Danych Osobowych opublikował w sierpniu 2026 checklistę dla małych i średnich firm korzystających z gotowych narzędzi AI. UODO wskazuje, że zanim narzędzie zostanie użyte na danych klientów, trzeba mieć umowę z dostawcą, ustaloną podstawę przetwarzania, informację dla osób, których dane trafiają do narzędzia, oraz wiedzę, gdzie dane są przechowywane. Listę wypełnia się osobno dla każdego zastosowania i warto ją zachować jako dowód.

• Pierwsza wiadomość czatu mówi wprost, że odpowiada AI, a przy polu wpisywania jest stała etykieta.
• Czat nie ma ludzkiego imienia i zdjęcia, które sugerowałyby rozmowę z pracownikiem.
• Informacja jest czytelna na telefonie i dla czytników ekranu.
• Grafiki i wideo z AI, które mogą uchodzić za prawdziwe zdjęcia oferty, są podpisane albo zastąpione zdjęciami.
• Wpisy o zdrowiu lub bezpieczeństwie przechodzą merytoryczną weryfikację osoby, która za nie odpowiada.
• Prowadzisz krótką notatkę: jakich narzędzi AI używa firma, do czego i kto je obsługuje. Pomaga to przy kontroli i przy szkoleniu zespołu z artykułu 4.
• Masz umowę powierzenia danych z dostawcą czatu i wiesz, czy dane trafiają poza Europejski Obszar Gospodarczy.
• Polityka prywatności opisuje czat: jakie dane zbiera, w jakim celu i jak długo je przechowuje.

Przy wdrażaniu asystentów AI na stronach klientów sprawdzam punkty z tej listy po kolei, zanim czat zostanie włączony dla gości. Jeśli chcesz, żeby ktoś przejrzał Twoją stronę pod tym kątem, napisz przez formularz kontaktowy.

Najczęstsze pytania