AI Act od 2 sierpnia 2026 r.: obowiązki firm dotyczące chatbotów i deepfake'ów

Stan prawny na dzień 1 sierpnia 2026.

Rozporządzenie (UE) 2026/1744, czyli Digital Omnibus, weszło w życie 27 lipca 2026 r. i przesunęło stosowanie przepisów o systemach wysokiego ryzyka z załącznika III na 2 grudnia 2027 r., a z załącznika I na 2 sierpnia 2028 r. Zmieniło przy tym art. 113 AI Act, ale pozostawiło 2 sierpnia 2026 r. jako termin stosowania pozostałych przepisów, w tym obowiązków przejrzystości z art. 50. Dla większości firm oznacza to, że problemem najbliższych tygodni nie będzie certyfikacja systemu wysokiego ryzyka, lecz okno czatu, proces redakcyjny i sposób oznaczania treści.

Trzy warstwy obowiązków z AI Act, które trzeba rozdzielić

Nagłówki o „odroczeniu AI Act” mieszają trzy zupełnie różne grupy przepisów. Pierwsza to zakazane praktyki z art. 5 oraz obowiązek zapewnienia kompetencji w zakresie AI z art. 4, które działają już wcześniej. Druga to przejrzystość z art. 50, stosowana od 2 sierpnia 2026 r. Trzecia to reżim wysokiego ryzyka z rozdziału III i tylko ona została realnie przesunięta.

Największe ryzyko nie polega więc na braku „pełnego audytu AI Act", tylko na błędnym zakwalifikowaniu własnej roli. Inne obowiązki ciążą na dostawcy systemu, inne na podmiocie stosującym gotowe narzędzie, jeszcze inne na firmie, która modyfikuje model i wprowadza go dalej pod własną marką. Zanim ktokolwiek zacznie projektować etykiety, warto spisać, w jakiej roli firma występuje przy każdym systemie z osobna.

Chatboty, voiceboty i agenci: informacja przy pierwszej interakcji

Art. 50 ust. 1 wymaga, żeby system przeznaczony do bezpośredniej interakcji z człowiekiem był zaprojektowany tak, aby rozmówca wiedział, że komunikuje się z AI, i żeby informacja dotarła do niego najpóźniej w momencie pierwszej interakcji lub pierwszego kontaktu z systemem. Sam termin wynika zatem z rozporządzenia. Adresatem obowiązku jest dostawca systemu, a nie automatycznie każda firma, która korzysta z gotowego chatbota.

Czym innym jest pytanie, gdzie dokładnie tę informację umieścić. Przepis nie mówi o „pierwszym ekranie" i nie opisuje układu interfejsu. Doprecyzowuje to Komisja w wytycznych z 20 lipca 2026 r., które źródłem prawa nie są: obejmuje pojęciem bezpośredniej interakcji chatboty obsługi klienta, voiceboty, awatary oraz agentów kontaktujących się z osobami trzecimi w imieniu użytkownika, a za niewystarczające uznaje umieszczenie informacji dopiero pod kliknięciem w zakładkę. Umieszczenie etykiety od razu w widocznym miejscu okna czatu to więc rekomendacja oparta na stanowisku Komisji, a nie literalny nakaz ustawy.

Podmiot stosujący cudzy chatbot odpowiada tu przede wszystkim za dwie rzeczy i to również moja rekomendacja, a nie brzmienie art. 50 ust. 1: za zapisanie w umowie z dostawcą, że system spełnia wymóg informowania przy pierwszej interakcji, oraz za wdrożenie tej informacji tam, gdzie firma sama kontroluje interfejs, czyli w oknie czatu na własnej stronie, w widżecie i w skryptach powitalnych. Konfiguracja gotowego narzędzia zwykle leży po stronie sprzedawcy, więc na pierwszym ekranie widać jego decyzje, nie dostawcy.

Nie wystarczy zapis w regulaminie, samo słowo „asystent" ani techniczny opis w rodzaju „system wykorzystuje model językowy". Wyjątek dla sytuacji, w której sztuczny charakter rozmowy jest oczywisty dla osoby rozsądnie poinformowanej, uważnej i ostrożnej, Komisja każe w tych samych wytycznych czytać zawężająco. To stanowisko organu, a nie brzmienie przepisu, ale w sporze z tym właśnie organem przedsiębiorca będzie wykazywał, że przeciętny użytkownik naprawdę wiedział, z czym rozmawia. Dlatego w rozwiązaniach kierowanych do konsumentów bezpieczniej oznaczać zawsze.

Treści syntetyczne: dwa różne obowiązki, które łatwo pomylić

Art. 50 rozdziela techniczne znakowanie po stronie dostawcy od widocznego ujawnienia po stronie podmiotu stosującego. Dostawca systemu generującego tekst, obraz, dźwięk lub wideo musi zapewnić oznaczenie w formacie maszynowo odczytywalnym, wykrywalne jako treść wygenerowana lub zmanipulowana. Sam przepis przewiduje przy tym wyjątek: obowiązek nie obejmuje systemów pełniących funkcję wspomagającą w zakresie standardowej edycji ani takich, które nie zmieniają w istotny sposób danych wejściowych dostarczonych przez podmiot stosujący lub ich semantyki. Motyw 133 wymienia znak wodny, metadane, podpis kryptograficzny z danymi o pochodzeniu, fingerprinting i rejestrowanie informacji o generacji, przy czym pozostawia dostawcy wybór techniki. Konkretne rozwiązania podpowiada dopiero dobrowolny kodeks praktyk z 10 czerwca 2026 r., który zaleca łączenie podpisanych metadanych z niewidocznym znakiem wodnym i różnicuje wymagania w zależności od tego, czy chodzi o obraz, dźwięk, wideo czy swobodnie generowany tekst. Szczegółowe progi techniczne z kodeksu warto weryfikować w jego aktualnym tekście, ponieważ nie wynikają z art. 50 i nie wiążą tak jak przepis.

Osobno działa art. 50 ust. 4. Zacznijmy od ustawy. Deepfake to zgodnie z art. 3 pkt 60 AI Act wygenerowany lub zmanipulowany przez AI obraz, dźwięk albo wideo, które przypominają istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i mogłyby fałszywie wydać się odbiorcy autentyczne lub prawdziwe. Obowiązek ujawnienia obciąża podmiot stosujący system, który taką treść generuje albo nią manipuluje, a nie każdego kolejnego wydawcę, który materiał później rozpowszechni. Ujawnienie ma być jasne i rozróżnialne dla człowieka. Termin określa art. 50 ust. 5: informacja trafia do odbiorcy najpóźniej w momencie pierwszej interakcji lub pierwszego kontaktu z systemem, a spotykane w praktyce sformułowanie „pierwsza ekspozycja" pochodzi z wytycznych i FAQ Komisji dotyczących deepfake'ów. Napis pod zdjęciem nie zastąpi metadanych, a metadane nie zastąpią widocznej etykiety. Komisja stwierdza wprost, że podmiot stosujący nie może poprzestać na oznaczeniu osadzonym przez dostawcę. Art. 50 ust. 5 nakazuje też przekazać informację w sposób jasny i wyraźny, z poszanowaniem wymogów dostępności, ale nie określa żadnych parametrów technicznych: kontrast, czas wyświetlenia, alt text, oznaczenie głosowe przy materiale audio i konkretne miejsca etykietowania pochodzą z wytycznych Komisji oraz z zaleceń dotyczących unijnych ikon, więc są punktem odniesienia, a nie ustawowym obowiązkiem.

Jedyna karencja, jaką wprowadził Digital Omnibus, to nowy ust. 4 w art. 111 AI Act: dostawcy systemów wprowadzonych na rynek przed 2 sierpnia 2026 r. mają czas do 2 grudnia 2026 r. na dostosowanie się do art. 50 ust. 2. Nie obejmuje ona chatbotów, obowiązków podmiotów stosujących ani widocznego oznaczania deepfake'ów. Treści wygenerowanych i opublikowanych przed 2 sierpnia nie trzeba oznaczać wstecznie.

Teksty o sprawach publicznych i wyjątek redakcyjny

Trzeci akapit art. 50 ust. 4 obejmuje teksty jednocześnie wygenerowane lub zmanipulowane przez AI, opublikowane, przeznaczone do informowania publiczności i dotyczące spraw będących przedmiotem interesu publicznego. Komisja rozumie interes publiczny szeroko: polityka, administracja, wymiar sprawiedliwości, prawa podstawowe, bezpieczeństwo i zdrowie publiczne, środowisko, bezpieczeństwo konsumentów oraz istotne wydarzenia gospodarcze i naukowe. Przepis może więc objąć nie tylko redakcje, ale też raporty ESG, komunikaty o bezpieczeństwie produktów, materiały think tanków, automatyczne podsumowania orzeczeń i publikacje samorządów.

Oznaczenia nie trzeba stosować, jeżeli tekst przeszedł rzeczywistą kontrolę człowieka, a konkretna osoba fizyczna lub prawna ponosi odpowiedzialność redakcyjną za publikację. Komisja precyzuje w wytycznych, że kontrola musi dotyczyć treści merytorycznej i obejmować możliwość zatwierdzenia, zmiany albo odrzucenia tekstu, wraz ze sprawdzeniem faktów i źródeł. Korekta ortografii lub pobieżne przejrzenie nie wystarczą. Firma, która chce korzystać z tego wyjątku, potrzebuje zatem opisanego procesu i wskazanej osoby odpowiedzialnej, a nie deklaracji, że „ktoś to czyta".

Podobnie wygląda sprawa satyry i fikcji. Jeżeli deepfake jest częścią utworu ewidentnie artystycznego, twórczego, satyrycznego lub fikcyjnego, obowiązek informacyjny nie znika, zmienia się tylko sposób jego wykonania: informacja może trafić do napisów końcowych, opisu programu, noty kuratorskiej albo na koniec publikacji. Nie jest to zwolnienie, tylko łagodniejszy standard ujawnienia.

Kontrowersje i rozbieżne stanowiska wokół art. 50

Wytyczne Komisji z 20 lipca 2026 r. nie są źródłem prawa, a wiążącej wykładni prawa UE dokonuje TSUE. Na 1 sierpnia 2026 r. nie ma orzeczenia interpretującego art. 50, co jest naturalne, skoro przepis dopiero zaczyna być stosowany. Kilka punktów pozostaje spornych.

Pierwszy dotyczy granic pojęcia deepfake. Komisja przyjmuje, że treść może dotyczyć osoby, która nie istnieje, jeżeli mogłaby wiarygodnie istnieć, a zamiar wprowadzenia w błąd nie jest konieczny. Literalne brzmienie art. 3 pkt 60 mówi jednak o podobieństwie do osób, przedmiotów, miejsc i zdarzeń istniejących, więc argument za wykładnią węższą pozostaje otwarty.

Drugi punkt to status kodeksu praktyk. Komisja w opinii z 9 lipca 2026 r. uznała go za odpowiedni instrument wykazywania zgodności, ale przystąpienie nie jest rozstrzygającym dowodem, a jego brak nie stanowi naruszenia. Komentatorzy zwracają uwagę, że kodeks może działać dwukierunkowo: jako argument obronny dla sygnatariusza i jako punkt odniesienia obciążający tego, kto znał uznane środki i ich nie wdrożył.

Trzeci to dojrzałość techniczna. Komisja udostępniła 8 maja 2026 r. trzy badania poświęcone technikom znakowania i wykrywania treści generowanych przez AI; pokazują one, że skuteczność poszczególnych rozwiązań zależy od rodzaju treści i sposobu jej dalszej obróbki, a interoperacyjność detektorów dopiero powstaje. Do tego dochodzi ryzyko zmęczenia etykietami: jeżeli tak samo oznaczymy drobną korektę zdjęcia i sfabrykowaną wypowiedź polityka, oznaczenie przestanie cokolwiek komunikować. Art. 50 nie nakazuje widocznego oznaczania każdej treści, w której AI odegrała jakąkolwiek rolę.

Warto też pamiętać o warstwie krajowej. Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003, została ogłoszona 27 lipca 2026 r. Tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jako organ nadzoru rynku i pojedynczy punkt kontaktowy oraz przewiduje piaskownice regulacyjne i możliwość wystąpienia o opinię indywidualną. Zgodnie z art. 127 zasadnicza część ustawy wchodzi w życie 11 sierpnia 2026 r., a przepisy o kontrolach, postępowaniach i sankcjach dopiero 28 października 2026 r. Polski organ nie będzie więc operacyjny 2 sierpnia. Same obowiązki z art. 50 wiążą mimo to, ponieważ rozporządzenie unijne stosuje się bezpośrednio. Moja ocena tej luki, a nie ustalenie wynikające z przepisu, brzmi tak: dopóki krajowa procedura nie działa, praktyczna możliwość egzekwowania w pierwszych tygodniach pozostaje niejasna i trudno przewidzieć, który organ i w jakim trybie zareaguje na naruszenie z okresu przejściowego.

Nie jest to jednak zawieszenie samych obowiązków. Art. 99 ust. 4 AI Act obejmuje szeroko naruszenia obowiązków operatorów, a w lit. g wymienia wprost naruszenia art. 50; górny pułap to 15 mln euro albo 3 procent całkowitego światowego rocznego obrotu, w zależności od tego, która wartość jest wyższa. Zasada odwrotna, czyli pułap niższy z dwóch wartości, dotyczy MŚP łącznie ze start-upami i wynika z art. 99 ust. 6, a po zmianie wprowadzonej przez Digital Omnibus analogiczne złagodzenie obejmuje małe spółki o średniej kapitalizacji na podstawie dodanego ust. 6a.

Cztery zmiany z tego samego tygodnia, w skrócie

Poniższe zajawki tylko sygnalizują temat. Do każdej wrócę w odrębnym tekście.

Nowa definicja mobbingu. Prezydent podpisał 30 lipca 2026 r. nowelizację Kodeksu pracy. Na 1 sierpnia nie została ogłoszona w Dzienniku Ustaw, więc trzymiesięczne vacatio legis nie zaczęło biegu, a sześciomiesięczny termin na dostosowanie regulaminów ruszy dopiero od dnia wejścia ustawy w życie. Nowy art. 94³ zastąpi długotrwałość uporczywością nękania, ustawa potwierdzi dotychczasową linię Sądu Najwyższego, zgodnie z którą mobbingiem mogą być także zachowania nieumyślne (wyrok SN z 20 października 2016 r., I PK 243/15), a art. 94³a nałoży na pracodawców zatrudniających co najmniej 10 pracowników obowiązek wprowadzenia procedury. Zadośćuczynienie nie będzie niższe niż sześciokrotność minimalnego wynagrodzenia, czyli przy stawce 4 806 zł obowiązującej w 2026 r. co najmniej 28 836 zł.

Web scraping do trenowania modeli. EROD opublikowała 8 lipca 2026 r. wytyczne 03/2026 dotyczące web scrapingu w kontekście generatywnej AI i skierowała je do konsultacji do 30 października 2026 r. Teza jest prosta: publiczna dostępność danych nie oznacza swobody ich masowego pozyskiwania. Administrator musi wskazać podstawę z art. 6 RODO, a przy prawnie uzasadnionym interesie przeprowadzić rzetelny test równowagi, którego kryteria potwierdził TSUE w wyroku z 4 października 2024 r. w sprawie C-621/22.

Interfejs Allegro a granice sterowania wyborem. Sąd Okręgowy w Warszawie udzielił 26 stycznia 2026 r. zabezpieczenia na rzecz Fundacji Forum Konsumentów, zakazując Allegro wyświetlania niekompletnej listy metod dostawy oraz domyślnego oznaczania którejkolwiek z nich; wykonanie zabezpieczenia wstrzymano 4 lutego 2026 r. na czas rozpoznania zażalenia. To środek tymczasowy, a nie rozstrzygnięcie o naruszeniu. Dla sprzedawców istotny pozostaje test z art. 4 ust. 1 ustawy o przeciwdziałaniu nieuczciwym praktykom rynkowym i z art. 5 ust. 2 dyrektywy 2005/29/WE: liczy się nie sam domyślny wybór, lecz to, czy praktyka istotnie zniekształca zachowanie przeciętnego konsumenta.

Rejestr fundacji rodzinnych w internecie. Rozporządzenie Ministra Sprawiedliwości z 22 kwietnia 2026 r., Dz.U. 2026 poz. 577, weszło w życie 29 lipca 2026 r. i dodało § 30a do rozporządzenia o rejestrze fundacji rodzinnych. Wyszukiwarka udostępnia numer RFR, nazwę, siedzibę oraz REGON i NIP, bez składu organów, statutu i listy beneficjentów. Prawdziwy problem prywatności leży gdzie indziej: fundacja podlega także CRBR, a art. 67 ustawy o przeciwdziałaniu praniu pieniędzy wciąż przewiduje pełną jawność tego rejestru mimo wyroku TSUE z 22 listopada 2022 r. w sprawach C-37/20 i C-601/20. Dyrektywa 2024/1640 przywróciła model oparty na uzasadnionym interesie w art. 11-15, przy czym wcześniejszy termin transpozycji z art. 78 ust. 1, który upłynął 10 lipca 2026 r., obejmował art. 11, 12, 13 i 15; dla art. 14 obowiązuje termin ogólny, czyli 10 lipca 2027 r. Polski ustawodawca art. 67 dotąd nie zmienił.

Przygotowanie firmy do obowiązków AI Act

Najbliższe tygodnie to dla wielu firm praca przy interfejsach, procedurach i dokumentacji, a nie przy dużych projektach wdrożeniowych. Pomagam przejść przez klasyfikację systemów AI i ustalenie roli firmy w łańcuchu wartości, przygotować politykę AI oraz ocenę ryzyka pod AI Act, poprawić oznaczenia chatbotów i treści generowanych tak, żeby spełniały wymogi art. 50 razem z zasadami dostępności. Zajmuję się też procedurami antymobbingowymi i regulaminami wymaganymi nową nowelizacją, dokumentacją RODO przy zbieraniu danych do trenowania modeli, obiegiem dokumentów i podpisami elektronicznymi oraz automatyzacją procesów, które dziś pochłaniają czas zespołu. Jeżeli któryś z tych tematów dotyczy Twojej organizacji, chętnie ustalę z Tobą kolejność działań i realny harmonogram.

Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Jeśli chcesz to przełożyć na swoją sytuację, zobacz wdrożenia AI i AI Act albo napisz do mnie.

Źródła

• Rozporządzenie (UE) 2024/1689 (AI Act), tekst podstawowy z art. 3 pkt 60, art. 4-5, art. 50, art. 99 ust. 4 i 6 oraz art. 113. link

• Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI), zmiana terminów stosowania AI Act, nowy art. 111 ust. 4 oraz art. 99 ust. 6a. link

• Wytyczne Komisji Europejskiej do obowiązków przejrzystości z art. 50 AI Act, publikacja 20 lipca 2026 r. link

• FAQ Komisji Europejskiej dotyczące art. 50 AI Act, aktualizacja 24 lipca 2026 r. link

• Kodeks praktyk dotyczący treści generowanych przez AI, wersja finalna z 10 czerwca 2026 r. link

• Opinia Komisji o kodeksie praktyk, publikacja 9 lipca 2026 r. link

• Unijne ikony do oznaczania treści generowanych przez AI, materiał Komisji z 20 lipca 2026 r. link

• Trzy badania techniczne zamówione przez Komisję, dotyczące znakowania i wykrywania treści AI, publikacja 8 maja 2026 r. link

• Wytyczne Komisji dla dostawców modeli GPAI i egzekwowanie od 2 sierpnia 2026 r. link

• Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003, w tym art. 127 o wejściu w życie. link

• Stanowisko Prezesa UODO w sprawie deepfake'ów, 24 czerwca 2026 r. link

• Stanowisko Prezesa UODO o ograniczeniach ochrony przed deepfake, 29 stycznia 2026 r. link

• Informacja Kancelarii Prezydenta o ustawach podpisanych w lipcu 2026 r., w tym nowelizacji Kodeksu pracy. link

• Tekst ustawy o zmianie Kodeksu pracy uchwalonej 19 czerwca 2026 r., druk senacki nr 767. link

• Wyrok SN z 20 października 2016 r., I PK 243/15, nieumyślne zachowania a mobbing. link

• Konsultacje EROD dotyczące wytycznych 03/2026 o web scrapingu w generatywnej AI, publikacja 8 lipca 2026 r., termin uwag do 30 października 2026 r. link

• Wyrok TSUE z 4 października 2024 r., C-621/22 Koninklijke Nederlandse Lawn Tennisbond, przesłanki prawnie uzasadnionego interesu. link

• Raport bieżący Allegro nr 3/2026 o doręczeniu postanowienia o zabezpieczeniu, 29 stycznia 2026 r. link

• Raport bieżący Allegro nr 4/2026 o wstrzymaniu wykonania zabezpieczenia, 4 lutego 2026 r. link

• Ustawa o przeciwdziałaniu nieuczciwym praktykom rynkowym, tekst jednolity Dz.U. 2023 poz. 845. link

• Rozporządzenie Ministra Sprawiedliwości z 22 kwietnia 2026 r., Dz.U. 2026 poz. 577, internetowy dostęp do RFR. link

• Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, tekst jednolity Dz.U. 2025 poz. 644, art. 67 i art. 69 o jawności i bezpłatności CRBR. link

• Wyrok TSUE z 22 listopada 2022 r., C-37/20 i C-601/20 Luxembourg Business Registers, jawność rejestrów beneficjentów. link

• Dyrektywa (UE) 2024/1640, art. 11-15 o dostępie opartym na uzasadnionym interesie oraz art. 78 ust. 1 o terminach transpozycji. link