Stan prawny: 23 sierpnia 2026 r. | Materiał informacyjny Fortis Legal
Sztuczna inteligencja przestała być w firmach technologiczną ciekawostką. Pomaga przygotowywać korespondencję, oferty, grafiki i podsumowania, odpowiada klientom, wspiera rekrutację oraz analizę dokumentów. Od 2 sierpnia 2026 r. obowiązuje kolejny istotny etap unijnego AI Act. Nie oznacza to jednak, że każdy przedsiębiorca ma od tej daty podpisywać wszystkie materiały słowami „wygenerowano przez AI”.
Najważniejsze: obowiązki firmy zależą od tego, jakiego systemu używa, w jakim celu, wobec kogo i z jakim wpływem na człowieka. Samo posiadanie konta w ChatGPT, Copilot, Gemini lub innym narzędziu nie przesądza jeszcze o rozbudowanym reżimie prawnym. Nie zwalnia jednak z ochrony danych, poufności, kontroli wyników ani zapewnienia pracownikom odpowiednich kompetencji.
AI Act nie reguluje wyłącznie producentów sztucznej inteligencji
AI Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, tworzy wspólne dla Unii Europejskiej zasady dotyczące systemów sztucznej inteligencji. Jego wymagania są uzależnione od roli danego podmiotu oraz ryzyka związanego z konkretnym zastosowaniem.
Najdalej idące obowiązki dotyczą co do zasady podmiotów, które rozwijają systemy, wprowadzają je na rynek pod własną nazwą albo dokonują zmian mogących prowadzić do przejęcia odpowiedzialności dostawcy. Zwykła firma używająca gotowej usługi najczęściej występuje jako podmiot stosujący AI. Również taka rola może jednak powodować konkretne obowiązki.
Najpierw trzeba ustalić rolę firmy
W potocznych opracowaniach często wszystkie podmioty korzystające z AI traktuje się tak samo. To prowadzi do błędnych wniosków. AI Act rozróżnia między innymi dostawcę systemu oraz podmiot stosujący, nazywany w polskiej wersji rozporządzenia „podmiotem stosującym”.
| Sytuacja | Typowa rola firmy | Co wymaga sprawdzenia? |
|---|---|---|
| Pracownik używa gotowego narzędzia do poprawienia projektu wiadomości. | Podmiot stosujący | Zasady użycia, poufność, dane osobowe, kontrola wyniku i kompetencje użytkownika. |
| Na stronie działa chatbot obsługujący klientów. | Najczęściej podmiot stosujący, czasem również dostawca zależnie od wdrożenia | Informacja o interakcji z AI, podział odpowiedzialności z dostawcą, dane i możliwość kontaktu z człowiekiem. |
| Firma sprzedaje aplikację AI pod własną nazwą. | Możliwa rola dostawcy | Dokumentacja, przejrzystość, zarządzanie ryzykiem oraz obowiązki właściwe dla rodzaju systemu. |
| Firma zmienia przeznaczenie gotowego systemu albo używa go w sposób prowadzący do kwalifikacji wysokiego ryzyka. | Możliwe przejęcie obowiązków dostawcy | Zakres modyfikacji, przeznaczenie systemu i art. 25 AI Act. |
AI Act wchodzi w życie etapami
Data 2 sierpnia 2026 r. jest ważna, ale nie jest początkiem wszystkich obowiązków. Część regulacji stosuje się już od 2 lutego 2025 r. Dotyczy to między innymi zakazanych praktyk oraz obowiązku podejmowania działań na rzecz zapewnienia odpowiedniego poziomu kompetencji w zakresie AI.
| Termin | Znaczenie dla przedsiębiorcy |
|---|---|
| Od 2 lutego 2025 r. | Stosuje się przepisy o zakazanych praktykach oraz art. 4 dotyczący kompetencji w zakresie AI. |
| Od 2 sierpnia 2025 r. | Zaczęła być stosowana część przepisów dotyczących modeli AI ogólnego przeznaczenia oraz systemu zarządzania i sankcji. |
| Od 2 sierpnia 2026 r. | Stosuje się między innymi obowiązki przejrzystości z art. 50 oraz zasadniczą część pozostałych przepisów, z uwzględnieniem zmian harmonogramu. |
| 2 grudnia 2027 r. i 2 sierpnia 2028 r. | Po zmianach przyjętych w ramach AI Omnibus są to istotne daty dla odroczonych obowiązków dotyczących określonych systemów wysokiego ryzyka. |
Przesunięcie części wymagań dotyczących systemów wysokiego ryzyka nie oznacza zawieszenia całego AI Act. Firma powinna oddzielić obowiązki już stosowane od tych, dla których ustawodawca unijny przewidział późniejszy termin.
Czy każdy tekst i obraz wygenerowany przez AI trzeba oznaczyć?
Nie. AI Act nie wprowadza ogólnej zasady nakazującej podpisywanie każdej wiadomości, oferty, notatki, ilustracji czy fragmentu kodu stworzonego przy wsparciu AI. Artykuł 50 rozróżnia obowiązki dostawców systemów od obowiązków podmiotów stosujących oraz wskazuje szczególne rodzaje treści.
Deepfake
Podmiot stosujący system AI, który generuje albo manipuluje obrazem, dźwiękiem lub wideo stanowiącym deepfake, powinien ujawnić, że materiał został sztucznie wygenerowany lub zmieniony. Chodzi o treść, która przypomina istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i mogłaby zostać błędnie uznana za autentyczną.
W przypadku utworu wyraźnie artystycznego, satyrycznego, fikcyjnego lub analogicznego obowiązek może zostać wykonany w sposób, który nie utrudnia odbioru dzieła. Nie oznacza to całkowitego zwolnienia, lecz możliwość dostosowania formy informacji do charakteru materiału.
Tekst dotyczący sprawy interesu publicznego
Oznaczenia wymaga również tekst wygenerowany lub zmanipulowany przez AI, jeżeli jest publikowany w celu informowania opinii publicznej o sprawach leżących w interesie publicznym. Przepis nie obejmuje automatycznie każdego opisu produktu, posta promocyjnego albo prywatnej wiadomości.
Rozporządzenie przewiduje istotny wyjątek. Informacja o użyciu AI nie jest wymagana, jeżeli tekst przeszedł proces weryfikacji przez człowieka lub kontroli redakcyjnej, a osoba fizyczna albo prawna ponosi odpowiedzialność redakcyjną za publikację. Nie może to być kontrola pozorna polegająca wyłącznie na mechanicznym przeklejeniu wyniku. Firma powinna rzeczywiście zweryfikować fakty, znaczenie i sposób sformułowania treści.
| Przykład | Czy AI Act co do zasady wymaga oznaczenia? |
|---|---|
| AI poprawia język wiadomości do kontrahenta, a pracownik zatwierdza jej treść. | Z samego art. 50 zasadniczo nie wynika obowiązek oznaczenia wiadomości. |
| Firma publikuje realistyczne nagranie przedstawiające osobę mówiącą słowa, których nigdy nie wypowiedziała. | Tak, może to być deepfake wymagający ujawnienia sztucznego charakteru. |
| AI tworzy reklamową wizualizację fikcyjnego wnętrza bez podszywania się pod rzeczywiste miejsce. | Nie każde takie użycie podlega obowiązkowi oznaczenia na podstawie art. 50, ale nie wolno wprowadzać odbiorcy w błąd co do cech oferty. |
| Firma publikuje wygenerowany tekst o zmianach prawa istotnych dla obywateli bez merytorycznej kontroli. | Może powstać obowiązek ujawnienia, że tekst został wygenerowany lub zmanipulowany przez AI. |
| Autor wykorzystuje AI pomocniczo, następnie samodzielnie sprawdza źródła, redaguje treść i odpowiada za publikację. | Może znaleźć zastosowanie wyjątek dotyczący kontroli przez człowieka i odpowiedzialności redakcyjnej. |
Klient powinien wiedzieć, że rozmawia z maszyną
System przeznaczony do bezpośredniej interakcji z człowiekiem powinien być zaprojektowany tak, aby odbiorca został poinformowany, że kontaktuje się z AI, chyba że jest to oczywiste dla przeciętnej, odpowiednio poinformowanej i uważnej osoby. Informacja powinna pojawić się najpóźniej przy pierwszej interakcji oraz być jasna i dostępna.
Obowiązek zapewnienia odpowiedniej funkcji systemu spoczywa w pierwszej kolejności na jego dostawcy. Firma wdrażająca chatbot powinna jednak sprawdzić, czy komunikat rzeczywiście jest widoczny w jej konkretnym interfejsie, czy nie został usunięty podczas integracji oraz czy komunikacja nie sugeruje, że klient rozmawia z pracownikiem.
Sam komunikat nie rozwiązuje wszystkich problemów. Trzeba określić, jakie sprawy chatbot może obsługiwać, kiedy powinien przekazać rozmowę człowiekowi oraz czy nie składa w imieniu firmy nieuprawnionych zapewnień dotyczących ceny, dostępności, reklamacji, prawa odstąpienia lub zakresu usługi.
Rozpoznawanie emocji i kategoryzacja biometryczna
Jeżeli firma wykorzystuje system rozpoznawania emocji albo system kategoryzacji biometrycznej, podmiot stosujący ma obowiązek poinformować osoby poddane jego działaniu. Równolegle trzeba zapewnić zgodność przetwarzania danych z RODO. Niektóre zastosowania, w szczególności rozpoznawanie emocji w miejscu pracy i placówkach edukacyjnych, mogą wchodzić w zakres praktyk zakazanych, poza wyjątkami związanymi z celami medycznymi lub bezpieczeństwem.
AI Act nie zastępuje RODO, poufności ani prawa autorskiego
Najczęstsze ryzyko małej i średniej firmy nie musi wynikać z najbardziej skomplikowanych przepisów AI Act. Może pojawić się znacznie wcześniej, gdy pracownik wklei do publicznie dostępnego narzędzia dane klienta, umowę, dokumentację medyczną, listę płac, nieopublikowaną ofertę albo tajemnicę kontrahenta.
Przed przekazaniem danych do zewnętrznego systemu należy ustalić między innymi, kto jest dostawcą, gdzie i w jakim celu dane będą przetwarzane, czy są wykorzystywane do dalszego trenowania, jakie ustawienia oferuje usługa, czy zawarto odpowiednią umowę oraz czy korzystanie z narzędzia jest zgodne z obowiązkami informacyjnymi i zasadą minimalizacji danych.
| Rodzaj informacji | Bezpieczne pytanie przed użyciem AI |
|---|---|
| Dane klienta lub pracownika | Czy ich przekazanie jest konieczne, ma podstawę prawną i odbywa się w zatwierdzonym środowisku? |
| Dokument objęty poufnością | Czy umowa, obowiązek zawodowy lub tajemnica przedsiębiorstwa pozwalają przekazać treść zewnętrznemu dostawcy? |
| Materiał chroniony prawem autorskim | Czy firma może użyć materiału wejściowego i czy wynik nie powiela rozpoznawalnych elementów cudzego utworu? |
| Odpowiedź prawna, finansowa lub techniczna | Kto posiada kompetencje, aby zweryfikować poprawność wyniku przed jego wykorzystaniem? |
Firma powinna zapewnić kompetencje w zakresie AI
Artykuł 4 AI Act jest stosowany od 2 lutego 2025 r. Dostawcy i podmioty stosujące systemy AI mają podejmować działania zapewniające, w możliwie największym stopniu, odpowiedni poziom kompetencji osób zajmujących się obsługą i wykorzystaniem AI w ich imieniu. Należy uwzględnić wiedzę techniczną, doświadczenie, wykształcenie, kontekst użycia systemu oraz osoby, wobec których jest on wykorzystywany.
Przepis nie nakazuje każdej firmie przeprowadzania identycznego, certyfikowanego szkolenia ani tworzenia wielostronicowego regulaminu. W małym przedsiębiorstwie wystarczające działania mogą być prostsze niż w banku, szpitalu czy firmie rekrutacyjnej. Powinny jednak odpowiadać rzeczywistemu sposobowi korzystania z narzędzi.
Praktyczne minimum może obejmować krótką instrukcję, wskazanie dozwolonych narzędzi, zasady dotyczące danych i poufności, obowiązek kontroli wyniku, reguły publikacji materiałów oraz przeszkolenie osób korzystających z AI. Warto zachować dowód przeprowadzenia takich działań.
Nieautoryzowane użycie AI przez pracowników
Brak firmowego wdrożenia nie oznacza, że w organizacji nie używa się AI. Pracownicy mogą korzystać z prywatnych kont i bezpłatnych aplikacji bez wiedzy przedsiębiorcy. Zjawisko określane jako shadow AI utrudnia ocenę, jakie dane opuszczają firmę, kto weryfikuje wyniki i czy narzędzie jest wykorzystywane zgodnie z umowami zawartymi z klientami.
Całkowity zakaz bywa nieskuteczny. Zazwyczaj lepiej zinwentaryzować rzeczywiste zastosowania, dopuścić sprawdzone narzędzia oraz jasno określić granice ich użycia.
Kiedy zwykłe narzędzie staje się poważniejszym problemem?
AI Act przewiduje szczególne wymagania dla systemów wysokiego ryzyka. Mogą one dotyczyć między innymi określonych zastosowań w zatrudnieniu, dostępie do istotnych usług, edukacji, infrastrukturze krytycznej lub biometrii. Harmonogram części tych obowiązków został w 2026 r. przesunięty, ale kwalifikację planowanego systemu warto przeprowadzić przed jego zakupem i wdrożeniem.
Przedsiębiorca powinien zachować szczególną ostrożność, gdy AI:
- filtruje kandydatów, ocenia pracowników albo wpływa na zakończenie współpracy;
- decyduje o dostępie klienta do istotnej usługi lub warunkach jej udzielenia;
- analizuje cechy biometryczne, zachowanie lub emocje;
- samodzielnie podejmuje decyzje wywołujące istotne skutki dla człowieka;
- została istotnie zmodyfikowana albo użyta w innym celu niż przewidziany przez dostawcę.
W takich przypadkach nie należy ograniczać analizy do przeczytania opisu marketingowego dostawcy. Potrzebna może być ocena kwalifikacji systemu, podziału ról, dokumentacji technicznej, nadzoru człowieka, jakości danych, skutków dla praw osób oraz relacji z RODO i prawem pracy.
Co powinna zrobić firma korzystająca z AI?
Najczęstsze pytania przedsiębiorców
Czy każda firma używająca ChatGPT podlega AI Act?
AI Act może mieć zastosowanie także do firmy korzystającej z gotowego systemu, ale zakres obowiązków zależy od roli i sposobu użycia. Sporadyczna pomoc w redakcji tekstu nie jest tym samym co wdrożenie systemu oceniającego pracowników albo podejmującego decyzje wobec klientów.
Czy e-mail poprawiony przez AI trzeba oznaczyć?
Z art. 50 AI Act nie wynika ogólny obowiązek podpisywania każdej wiadomości przygotowanej z pomocą AI. Nadal trzeba jednak zweryfikować treść, chronić dane i poufność oraz nie wprowadzać odbiorcy w błąd.
Czy grafikę stworzoną przez AI zawsze trzeba opisać?
Nie każda grafika podlega obowiązkowi widocznego oznaczenia przez podmiot stosujący. Szczególne zasady dotyczą między innymi deepfake’ów. Niezależnie od AI Act grafika reklamowa nie może fałszywie przedstawiać cech produktu, hotelu, nieruchomości lub innej oferty.
Czy można wkleić umowę klienta do narzędzia AI?
Nie należy robić tego automatycznie. Trzeba zbadać poufność, dane osobowe, warunki dostawcy, podstawę i cel przetwarzania, ustawienia usługi oraz możliwość skutecznego usunięcia albo zanonimizowania informacji.
Czy trzeba mieć w firmie politykę AI?
AI Act nie ustanawia jednego obowiązkowego wzoru dokumentu dla każdej firmy. Pisemne zasady mogą jednak być najlepszym sposobem uporządkowania dozwolonych narzędzi, danych, kontroli wyników, oznaczeń i odpowiedzialności, a także wykazania działań związanych z kompetencjami AI.
Czy wystarczy napisać, że firma nie odpowiada za błędy AI?
Nie. Przedsiębiorca odpowiada za własne usługi, informacje i decyzje zgodnie z właściwymi przepisami. Umieszczenie ogólnego zastrzeżenia nie usuwa odpowiedzialności za błędną ofertę, naruszenie praw klienta, danych osobowych lub dóbr osobistych.
AI w firmie wymaga proporcjonalnych, a nie pozornych działań
Mała firma nie musi budować systemu zgodności przewidzianego dla globalnego dostawcy modeli AI. Powinna jednak wiedzieć, z jakich narzędzi korzysta, jakie informacje do nich trafiają, kto kontroluje wyniki i czy konkretne zastosowanie nie wpływa istotnie na prawa klientów, pracowników lub innych osób.
Największym błędem jest przyjęcie jednej z dwóch skrajności: uznanie, że AI Act nakazuje oznaczać każdą treść, albo że zwykłego przedsiębiorcy w ogóle nie dotyczy. Prawidłowa odpowiedź zależy od konkretnego procesu.
Korzystasz z AI w swojej firmie?
Fortis Legal pomaga ocenić sposób wykorzystywania narzędzi AI, podział ról i ryzyk, zasady przetwarzania danych oraz obowiązki informacyjne. Przygotowujemy także praktyczne polityki korzystania z AI, dostosowane do rzeczywistych procesów przedsiębiorcy, a nie do abstrakcyjnego wzoru.
Skontaktuj się z Fortis LegalPodstawy prawne i wybrane materiały źródłowe
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 w sprawie sztucznej inteligencji, tekst skonsolidowany po zmianach.
- Rozporządzenie (UE) 2026/1744 zmieniające AI Act, tzw. AI Omnibus.
- Komisja Europejska, wytyczne dotyczące obowiązków przejrzystości z art. 50 AI Act.
- Komisja Europejska, pytania i odpowiedzi dotyczące art. 50 AI Act.
- Komisja Europejska, Kodeks postępowania w sprawie przejrzystości treści generowanych przez AI.
- Komisja Europejska, oznaczenia treści wygenerowanych przez AI i omówienie wyjątków.
- Ministerstwo Cyfryzacji, „AI Act – co się zmieniło 2 sierpnia 2026 roku?”.
- Ministerstwo Cyfryzacji, informacje o polskim systemie nadzoru nad AI.
- Europejska Rada Ochrony Danych, ryzyka dla prywatności i środki ograniczające ryzyko przy modelach językowych.
- Europejska Rada Ochrony Danych, opinia dotycząca modeli AI i zasad RODO.
