AI Act na stronie firmowej: czy musisz oznaczać chatbota i treści AI?

Dziś jest 25 października 2026. Od 2 sierpnia obowiązują przepisy o przejrzystości z art. 50 unijnego AI Act, a za trzy dni, 28 października, w Polsce zaczynają działać przepisy o kontrolach, postępowaniach i karach. Nadzoruje je nowa Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Dla większości stron firmowych to nie rewolucja, ale są trzy miejsca, które warto sprawdzić już teraz: czat z asystentem AI, realistyczne grafiki wygenerowane przez AI oraz teksty publikowane bez ludzkiej redakcji. Poniżej opisuję spokojnie, co faktycznie wynika z przepisów, a co jest internetowym straszeniem.

Zastrzeżenie: jestem właścicielem studia internetowego, nie prawnikiem. Opieram się na tekście rozporządzenia, wytycznych Komisji Europejskiej z 20 lipca 2026 r. i polskiej ustawie o systemach sztucznej inteligencji; źródła podaję na końcu. Przy decyzji o dużej stawce zapytaj prawnika.

Co zmieniło się w 2026 roku i co nadal obowiązuje

AI Act to rozporządzenie (UE) 2024/1689. W lipcu 2026 r. weszła w życie jego nowelizacja, czyli tzw. Digital Omnibus on AI: rozporządzenie (UE) 2026/1744, opublikowane w Dzienniku Urzędowym UE 24 lipca 2026 r. Najgłośniejsza zmiana to przesunięcie terminów dla systemów wysokiego ryzyka. Te z załącznika III (na przykład rekrutacja czy ocena zdolności kredytowej) mają stosować się od 2 grudnia 2027 r., a te wbudowane w regulowane produkty od 2 sierpnia 2028 r.

Dla właściciela strony najważniejsze jest co innego: obowiązki przejrzystości z art. 50 nie zostały przesunięte. Stosują się od 2 sierpnia 2026 r. Odroczono tylko jedną rzecz i nie dotyczy ona Ciebie: dostawcy generatywnych systemów AI, które były na rynku przed 2 sierpnia, mają do 2 grudnia 2026 r. na wdrożenie maszynowego oznaczania wyników (art. 50 ust. 2). To zadanie twórców narzędzi, a nie osób, które z nich korzystają.

Ministerstwo Cyfryzacji w odpowiedzi z 29 sierpnia 2026 r. na interpelację poselską (nr 3798) potwierdziło, że przepisy o nadzorze i karach wchodzą w życie 28 października, a Komisja ma wykonywać swoje zadania także w odniesieniu do zdarzeń od 2 sierpnia 2026 r. Wniosek praktyczny: to, co masz na stronie dzisiaj, może być oceniane według zasad obowiązujących od sierpnia, a nie dopiero od dnia, w którym ktoś przyjdzie z kontrolą.

Czy to dotyczy małej firmy? Test w trzech pytaniach

Art. 50 nie reguluje „AI w ogóle”. Dotyczy kilku konkretnych sytuacji, w których człowiek styka się z AI albo z treścią stworzoną przez AI. Zadaj sobie trzy pytania:

• Czy ktoś rozmawia na Twojej stronie z systemem AI? Czat z asystentem, wirtualny doradca, voicebot odbierający telefony.
• Czy publikujesz obrazy, nagrania lub wideo wygenerowane albo zmanipulowane przez AI tak, że mogą uchodzić za prawdziwe?
• Czy publikujesz teksty napisane przez AI, które informują ogół o sprawach interesu publicznego, bez rzetelnej weryfikacji człowieka?

Jeśli na wszystkie trzy odpowiadasz „nie”, art. 50 Cię praktycznie nie dotyczy i możesz przejść od razu do planu na końcu. Jeśli na choć jedno „tak”, czytaj dalej.

AI Act odróżnia dostawcę systemu AI (ten, kto go tworzy lub zleca stworzenie i udostępnia pod własną nazwą) od podmiotu stosującego (ten, kto używa go w swojej działalności). Gdy wklejasz na stronę gotowy widget czatu, zwykle jesteś podmiotem stosującym, a obowiązek zaprojektowania systemu tak, by informował o AI, ciąży na dostawcy widgetu. Jeśli jednak sam zbudowałeś asystenta na API modelu językowego i oferujesz go klientom pod własną marką, możesz zostać uznany za dostawcę, więc obowiązek jest Twój. Według wytycznych Komisji obowiązki mogą ciążyć na obu stronach jednocześnie.

Chatbot na stronie: co użytkownik musi zobaczyć

Art. 50 ust. 1 mówi, że systemy AI przeznaczone do bezpośredniej interakcji z ludźmi mają być zaprojektowane tak, by osoby wiedziały, że rozmawiają z AI, chyba że jest to oczywiste dla rozsądnie poinformowanej osoby. Wytyczne Komisji z 20 lipca 2026 r. doprecyzowują, że informacja ma pojawić się najpóźniej przy pierwszej interakcji, prostym językiem, na przykład jako komunikat na początku rozmowy albo stały znaczek. Nie wystarczy ogólne słowo „asystent”, zapis w regulaminie ani maszynowy znacznik niewidoczny dla człowieka.

Wyjątek „oczywistości” jest wąski. Komentatorzy nie są zgodni, czy czat obsługi klienta na zwykłej stronie firmowej każdy od razu rozpozna jako AI, więc najrozsądniej założyć, że nie. Jedna linijka tekstu kosztuje prawie nic, a spór z organem nadzoru kosztuje dużo. Przykładowe brzmienie:

Rozmawiasz z asystentem AI, nie z człowiekiem. Odpowiedzi mogą zawierać błędy. W ważnych sprawach napisz do nas: [email protected] albo zadzwoń.

Co sprawdzam w czacie na stronie klienta, zanim uznam go za gotowy:

• Komunikat przed pierwszą wiadomością, a nie dopiero w stopce czy polityce prywatności.
• Język strony. Jeśli strona działa po polsku, rosyjsku i angielsku, komunikat musi być w tym samym języku co rozmowa.
• Stały znaczek „AI” przy awatarze, nie tylko jednorazowy dymek, który znika po sekundzie.
• Droga do człowieka: link do formularza, telefon, godziny odpowiedzi.
• Brak udawania człowieka. Bot z imieniem i zdjęciem „Kasi z biura” to najgorszy wariant, także wizerunkowo.
• Dostępność. Etykieta ma być czytana przez czytniki ekranu i obsługiwana klawiaturą (zob. dostępność strony).

O tym, czy w ogóle warto mieć czat, pisałem osobno w tekście czat i chatbot na stronie. Tutaj zakładam, że już go masz.

Grafiki, zdjęcia i wideo z AI: kiedy to deepfake w rozumieniu przepisów

Słowo „deepfake” brzmi groźnie, ale definicja z AI Act jest szersza niż w potocznym użyciu: to wygenerowany lub zmanipulowany przez AI obraz, dźwięk albo wideo, które przypomina istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i mogłoby fałszywie uchodzić za autentyczne. Wytyczne każą oceniać to indywidualnie, patrząc na podobieństwo do rzeczywistości, to, czy przedstawione obiekty istnieją, i na oczekiwania odbiorcy. Próg jest niższy, gdy odbiorcami są dzieci lub osoby w trudniejszej sytuacji.

Jeśli coś jest deepfake’iem, podmiot stosujący (czyli Ty) ma to wyraźnie oznaczyć przy pierwszym kontakcie odbiorcy z treścią, w sposób widoczny bez specjalnych narzędzi. Dla dzieł oczywiście artystycznych, twórczych, satyrycznych lub fikcyjnych obowiązuje lżejszy reżim: wystarczy informacja, że taka treść istnieje, podana tak, by nie psuć odbioru dzieła. Wytyczne każą tę furtkę interpretować wąsko.

Co to oznacza w praktyce na stronie firmowej

• Ilustracja w stylu grafiki, abstrakcyjne tło, stylizowana postać. Ewidentnie nie jest zdjęciem, więc ryzyko jest niskie. Nikt nie weźmie ilustracji za dokumentację.
• „Zdjęcie naszego zespołu” wygenerowane przez AI. Zły pomysł z dwóch powodów: może być deepfake’iem i wprowadza klientów w błąd co do tego, kim jesteście. Zrób prawdziwe zdjęcia, nawet telefonem (zob. zdjęcia na stronę firmową).
• Realizacje „przed i po” albo efekty usługi narysowane przez AI. To prosta droga do zarzutu nieuczciwej praktyki rynkowej, niezależnie od AI Act.
• Opinie klientów z twarzami z generatora. Fałszywe opinie są zakazane przepisami o nieuczciwych praktykach rynkowych. Etykieta „AI” tego nie naprawi. Prawdziwe opinie zbierasz tak, jak opisaliśmy w jak zdobyć opinie Google.
• Zwykła obróbka: kadrowanie, korekta kolorów, usunięcie plamy z obiektywu. Nie zmienia sensu zdjęcia i nie o to w tych przepisach chodzi.

Jak oznaczać? Krótki podpis pod grafiką („Grafika wygenerowana przez AI”) albo mała etykieta w rogu obrazu wystarczą, o ile są czytelne i nie schowane w stopce. Przy wideo etykieta powinna być widoczna od początku nagrania.

Teksty z AI: blog, opisy, tłumaczenia

Dla tekstów art. 50 ust. 4 ma jedną, wąską regułę: jeśli publikujesz wygenerowany lub zmanipulowany przez AI tekst, którego celem jest informowanie ogółu o sprawach interesu publicznego, musisz ujawnić, że to tekst AI. Wyjątek: tekst przeszedł ludzką weryfikację lub kontrolę redakcyjną, a ktoś ponosi odpowiedzialność redakcyjną za publikację.

Według wytycznych sprawy interesu publicznego to na przykład polityka, administracja publiczna, wymiar sprawiedliwości, zdrowie publiczne, bezpieczeństwo konsumentów oraz wydarzenia kulturalne, finansowe i naukowe będące przedmiotem debaty publicznej. Zwykły poradnik „jak wybrać hosting” się tu nie mieści. Ale blog gabinetu medycznego o leczeniu, kancelarii o zmianach w prawie czy biura rachunkowego o podatkach już może. Wyjątek redakcyjny wymaga merytorycznej weryfikacji, a nie przelotnego rzutu oka, i przestaje działać, jeśli AI znacząco zmieniła tekst po akceptacji.

Praktyczna odpowiedź jest taka sama jak z perspektywy SEO: każdy tekst na stronie powinien mieć człowieka, który go przeczytał, sprawdził fakty i się pod nim podpisał. Google od lat powtarza, że ocenia przydatność treści, a nie sposób jej powstania, i że spamem jest masowa produkcja stron bez wartości dla użytkownika. Jak to wygląda po wrześniowej aktualizacji spam, opisaliśmy w tekście ruch spadł w 2026? AI Mode i aktualizacje Google. O tym, jak treści trafiają do odpowiedzi ChatGPT i innych asystentów, piszę w jak być widocznym w ChatGPT i AI.

Czego przepisy NIE wymagają

Wokół AI Act krąży sporo przesady, więc dla porządku:

• Nie musisz oznaczać, że AI pomogła w redakcji, korekcie lub tłumaczeniu, jeśli tekst przeczytał i zatwierdził człowiek. Wytyczne wymieniają wśród wyjątków od maszynowego oznaczania m.in. krótkie wyniki (alt-teksty, podpisy, etykiety interfejsu), kod źródłowy, tłumaczenia i standardową edycję niezmieniającą treści.
• Nie musisz opisywać każdego użycia AI w pracy. Przepisy dotyczą tego, co widzi odbiorca, a nie Twoich narzędzi wewnętrznych.
• Personalizacja i rekomendacje produktów nie są przedmiotem art. 50. Mogą natomiast podlegać RODO.
• Prosty czat, który wybiera gotowe odpowiedzi według reguł napisanych przez człowieka, zwykle nie jest systemem AI w rozumieniu przepisów. I tak lepiej nie udawać człowieka.
• Strona bez żadnych funkcji AI nie ma tu nic do zrobienia.

Obowiązek szkolenia z AI: co zostało po zmianach

Art. 4 AI Act w pierwotnej wersji (od 2 lutego 2025 r.) kazał dostawcom i podmiotom stosującym „zapewnić” odpowiedni poziom kompetencji w zakresie AI u osób, które z niej korzystają. Po nowelizacji z 2026 r. brzmi to łagodniej: mają podjąć środki wspierające rozwój takich kompetencji, a obowiązek nie wymaga gwarantowania konkretnego poziomu wiedzy u kogokolwiek. Komisja i państwa członkowskie mają wspierać firmy, zwłaszcza małe. Dla małej firmy rozsądne minimum to jedna strona zasad (jakich narzędzi AI używacie, czego nie wklejacie do czatów z danymi klientów, kto sprawdza treści) i krótkie przeszkolenie osób, które z tych narzędzi korzystają.

Kary i kontrola: co grozi w praktyce

Za naruszenie obowiązków przejrzystości AI Act przewiduje kary do 15 mln euro lub 3% rocznego światowego obrotu, w zależności od tego, co jest wyższe (art. 99 ust. 4). Dla małych i średnich przedsiębiorstw, w tym start-upów, stosuje się wartość niższą z obu (art. 99 ust. 6). To pułapy, a nie kwoty z automatu: organ bierze pod uwagę wagę naruszenia, skalę działalności i sytuację firmy.

W Polsce kontrolować i karać ma KRiBSI, która od 28 października dostaje pełne uprawnienia: może prowadzić kontrole, rozpatrywać skargi i nakładać administracyjne kary pieniężne w granicach art. 99 AI Act. Jak będą wyglądać pierwsze kontrole, jeszcze nie wiadomo, bo organ dopiero się organizuje. Nie będę zgadywać. Mój roboczy wniosek (to nie informacja od organu) jest taki, że w pierwszej kolejności warto się spodziewać reakcji na skargi i rażące przypadki, a nie wizyt w każdej wizytówce. To jednak nie powód, żeby odkładać trzy proste poprawki.

AI Act nie jest zresztą jedynym ryzykiem. Przepisy o nieuczciwych praktykach rynkowych (UOKiK) i RODO (UODO) obowiązują niezależnie od tego, czy użyto AI, i dotyczą wprowadzania w błąd oraz danych osobowych.

Przykład ilustracyjny: salon kosmetyczny z asystentem AI

To historia wymyślona, nie prawdziwy klient. Anna prowadzi salon kosmetyczny w średnim mieście. Na stronie ma widget czatu z AI, który odpowiada na pytania o ceny i godziny, na stronie głównej „zdjęcie zespołu” z generatora obrazów oraz na blogu cztery poradniki o pielęgnacji skóry napisane przez AI i wrzucone bez czytania. Po lekturze przepisów robi przegląd.

Czat: widget miał maleńką ikonkę „AI” widoczną dopiero po rozwinięciu, więc Anna dopisuje komunikat na start i link do formularza. Zdjęcie zespołu: zastępuje prawdziwym, zrobionym telefonem w salonie, bo obecne nie przedstawia nikogo, kto u niej pracuje. Blog: poradniki dotykają zdrowia skóry, więc kosmetolożka czyta je, poprawia, a pod każdym pojawia się imię i nazwisko autorki. Całość zajmuje dwa popołudnia i nie kosztuje nic poza czasem. Zmiany Anna dokumentuje zrzutami ekranu z datą.

Plan na 30 dni: audyt funkcji AI w siedmiu krokach

• Spisz wszystkie funkcje AI na stronie: czat, formularze z podpowiedziami AI, generatory, grafiki, teksty, tłumaczenia, voicebot.
• Ustal swoją rolę: czy tylko używasz gotowego narzędzia (podmiot stosujący), czy sam je zbudowałeś i oferujesz pod własną marką (możliwy dostawca).
• Czat: komunikat na starcie, znaczek „AI”, droga do człowieka, wszystkie wersje językowe.
• Grafiki: przejrzyj realistyczne obrazy; to, co może uchodzić za prawdziwe, oznacz albo zastąp prawdziwymi zdjęciami.
• Teksty: przy tematach zdrowia, prawa i finansów zadbaj o rzetelną weryfikację i podpis autora, najlepiej z datą aktualizacji.
• Polityka prywatności: opisz, jakie dane trafiają do dostawcy AI, gdzie są przetwarzane i jak długo, oraz poproś użytkowników, by nie wpisywali w czacie danych wrażliwych.
• Dokumentacja: zrzuty ekranu z datą, krótka notatka, kto za co odpowiada, i jedna strona zasad dla zespołu.

Szerszy przegląd strony (szybkość, SEO, bezpieczeństwo) opisaliśmy w tekście jak samodzielnie zrobić audyt strony.

RODO, cookies i dostępność: o czym jeszcze pamiętać

AI Act nie zastępuje RODO. Widget czatu często ładuje zewnętrzne skrypty i ustawia pliki cookie, więc potrzebuje zgody tam, gdzie jest wymagana (zob. RODO na stronie). Treść rozmów to dane osobowe, a część dostawców przetwarza je poza Europejskim Obszarem Gospodarczym, co trzeba ująć w polityce prywatności. W sklepie internetowym czat jest też częścią usługi, której dotyczą wymogi dostępności (zob. dostępność stron 2025).

Najczęstsze pytania

Czy muszę napisać, że tekst na blogu napisała AI?

W typowym przypadku nie. Obowiązek ujawnienia dotyczy tekstów AI informujących o sprawach interesu publicznego, które nie przeszły rzetelnej weryfikacji człowieka. Zwykły poradnik firmowy, sprawdzony i podpisany przez autora, nie wymaga plakietki. Przy tematach zdrowia, prawa i finansów wybierz ostrożniejszą drogę: weryfikacja i podpis.

Czy mój chatbot to system wysokiego ryzyka?

Zwykle nie. System wysokiego ryzyka to taki z wykazu w załączniku III (na przykład używany do rekrutacji, oceny zdolności kredytowej albo w edukacji) lub wbudowany w regulowany produkt. Czat odpowiadający na pytania o ceny i godziny otwarcia do tej kategorii nie należy. Obowiązki dla wysokiego ryzyka i tak przesunięto na 2 grudnia 2027 r.

Czy grafiki z generatora obrazów muszę podpisywać?

Zależy od tego, czy mogą uchodzić za prawdziwe. Stylizowana ilustracja, abstrakcja albo oczywista fantazja zwykle nie wymaga etykiety, choć krótki podpis nie zaszkodzi. Realistyczne zdjęcie nieistniejącej osoby, miejsca lub zdarzenia przedstawione jako prawdziwe wymaga wyraźnego oznaczenia albo wymiany na prawdziwe.

Czy to dotyczy też strony po angielsku dla klientów z zagranicy?

Tak, jeśli to Ty jako firma z Polski wdrażasz system lub publikujesz treść. AI Act stosuje się między innymi do podmiotów stosujących, które mają siedzibę w UE. Język strony nie ma znaczenia.

Kto w Polsce sprawdza, czy stosuję przepisy?

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), od 28 października 2026 r. w pełnym zakresie. Rozpatruje też skargi. Sprawy nieuczciwych praktyk rynkowych prowadzi UOKiK, a danych osobowych UODO.

Czy muszę mieć w firmie politykę AI?

Prawo nie wymaga osobnego dokumentu, ale jedna strona zasad (jakich narzędzi używacie, co wolno wklejać, kto sprawdza treści) pomaga spełnić wymóg wspierania kompetencji z art. 4 i po prostu porządkuje pracę.

Źródła

• Rozporządzenie (UE) 2024/1689 (AI Act) w tekście skonsolidowanym: art. 50, art. 4, art. 99 i art. 113 (AI Act Service Desk Komisji Europejskiej).
• Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI), Dz.Urz. UE z 24 lipca 2026 r.
• Wytyczne Komisji Europejskiej dotyczące obowiązków przejrzystości z art. 50 AI Act, 20 lipca 2026 r.
• Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).
• Odpowiedź Ministerstwa Cyfryzacji z 29 sierpnia 2026 r. na interpelację nr 3798: tekst odpowiedzi.

Podsumowanie

Najważniejsze w skrócie: art. 50 działa od 2 sierpnia 2026 r., przesunięcia dotyczyły innych przepisów, a od 28 października polski nadzór ma pełne uprawnienia. Na zwykłej stronie firmowej sprowadza się to do trzech rzeczy: czat z AI ma przedstawiać się jako AI, realistyczne grafiki AI mają być oznaczone albo zastąpione prawdziwymi zdjęciami, a teksty o sprawach publicznych mają mieć człowieka, który za nie odpowiada. Reszta to dobre praktyki, które i tak zwiększają zaufanie do strony.

Jeśli chcesz, obejrzymy Twoją stronę pod tym kątem: sprawdzimy czat, grafiki i teksty, a potem powiemy wprost, co poprawić w pierwszej kolejności. To zwykle krótki przegląd, a nie projekt na miesiąc.