Oznaczanie treści AI obowiązuje od sierpnia, mimo przesunięcia terminów AI Act

Stan prawny na dzień 29 sierpnia 2026.

Rozporządzenie (UE) 2026/1744, które weszło w życie 27 lipca 2026 r., przesunęło obowiązki dla systemów wysokiego ryzyka z załącznika III na 2 grudnia 2027 r., a dla AI wbudowanej w produkty regulowane na 2 sierpnia 2028 r. Część rynku odczytała to jako odroczenie całego AI Act. Tymczasem 2 sierpnia 2026 r. zaczęły obowiązywać wymogi przejrzystości z art. 50, a Komisja Europejska ogłosiła, że Urząd ds. Sztucznej Inteligencji razem z organami krajowymi rozpoczyna egzekwowanie przepisów. Kto ma chatbota na stronie sklepu albo publikuje grafiki z generatora, podlega im już dziś, a nie za rok.

Digital Omnibus przesunął część terminów, ale nie te, które dotyczą wszystkich

Zamieszanie wokół dat wzięło się z tego, że AI Act od początku miał wchodzić w życie etapami. Art. 113 rozporządzenia rozpisuje kalendarz na kilka lat i to właśnie ten kalendarz zmienił lipcowy Digital Omnibus. Przesunięcie objęło jednak wyłącznie ciężki, kosztowny blok: systemy wysokiego ryzyka z załącznika III oraz sztuczną inteligencję wbudowaną w produkty podlegające odrębnym regulacjom. Reszty harmonogramu nikt nie ruszył.

Kalendarz stosowania AI Act po zmianie z lipca 2026 r.

Różnica między etapem trzecim a czwartym decyduje o tym, kogo przepisy dotyczą już teraz. Obowiązki dla systemów wysokiego ryzyka dotyczą wąskiej grupy dostawców i podmiotów stosujących, czyli firm korzystających z gotowych systemów AI, głównie w rekrutacji, edukacji, infrastrukturze krytycznej czy ocenie zdolności kredytowej. Wymogi przejrzystości z art. 50 obejmują natomiast każdego, kto wystawia użytkownikowi chatbota, publikuje wygenerowaną grafikę albo puszcza syntetyczny głos w nagraniu. To już nie jest temat dla działu compliance dużej korporacji. Dotyczy każdej firmy, która ma stronę internetową i konto w mediach społecznościowych.

Co konkretnie zmienia art. 50 AI Act w codziennej działalności

Przepis sprowadza się do jednego: odbiorca ma wiedzieć, że rozmawia z maszyną albo ogląda treść, którą maszyna wytworzyła. Bot musi się przedstawić, zanim użytkownik zacznie mu opowiadać o swojej sprawie, chyba że automatyzacja jest oczywista z okoliczności i kontekstu dla dostatecznie poinformowanego, uważnego i ostrożnego odbiorcy, na przykład dzięki samej nazwie okna czatu i sposobowi jego działania. Wyjątek jest jednak wąski w praktyce, skoro to przedsiębiorca musi wykazać, że w danej sytuacji rzeczywiście zachodził. Deepfake i inne treści wygenerowane lub zmodyfikowane przez AI trzeba oznaczyć, i to podwójnie: czytelnie dla człowieka oraz w sposób, który da się wykryć maszynowo.

W rozmowach z klientami wracają w kółko te same sytuacje. Czat obsługi klienta, wdrożony dwa lata temu i od tamtej pory nietknięty, wita użytkownika słowami „Cześć, w czym mogę pomóc" i nie mówi ani słowa o tym, kto odpowiada. W materiałach marketingowych grafika i lektor pochodzą z generatora, a plik idzie do publikacji bez metadanych. Najbardziej kłopotliwe są narzędzia generatywne, z których pracownicy korzystają samodzielnie, poza jakąkolwiek polityką firmy. Tego nie da się oznaczyć, dopóki nikt nie wie, że w ogóle jest używane.

Dla działów prawnych wniosek jest prosty: do przeglądu idą dwie grupy dokumentów. W umowach wdrożeniowych z software house'ami warto rozstrzygnąć, kto technicznie odpowiada za mechanizm znakowania treści syntetycznych. Obowiązek zadbania o wykrywalne maszynowo metadane spoczywa z art. 50 ust. 2 AI Act na dostawcy systemu, natomiast podmiot stosujący, który publikuje gotowy materiał, odpowiada z art. 50 ust. 4 AI Act za czytelne dla odbiorcy ujawnienie, że to deepfake albo tekst wygenerowany przez AI. W dokumentacji ochrony danych warto z kolei sprawdzić, czy do klauzul informacyjnych z art. 13 i 14 RODO nie trzeba dopisać roli, jaką pełni system AI. Komisja Europejska przypomina zresztą wprost, że AI Act nie zastępuje RODO, tylko działa obok niego, a ochronę danych trzeba zapewnić przez cały cykl życia systemu.

Pracownicy mają w tym swój udział, i to większy, niż zwykle się zakłada. Jeżeli pracownik wygeneruje oficjalne pismo, raport albo materiał dla klienta w publicznym narzędziu i nie zgłosi tego przełożonemu, ryzyko jest podwójne: pracodawca nie oznaczy treści, a sam pracownik może naruszyć poufność, gdy do promptu trafiły dane objęte tajemnicą przedsiębiorstwa albo umową o zachowaniu poufności.

Wątpliwości prawne przy oznaczaniu treści AI

Spór dotyczy przede wszystkim tego, gdzie kończy się redakcja tekstu, a zaczyna generowanie treści, przy czym chodzi tu tylko o wąski wycinek regulacji. Art. 50 ust. 4 zdanie drugie AI Act zwalnia z obowiązku oznaczania tekst poddany weryfikacji przez człowieka lub kontroli redakcyjnej, jeżeli publikujący ponosi za niego odpowiedzialność redakcyjną, ale wyłącznie wtedy, gdy tekst jest publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Wyłączenie nie obejmuje deepfake'ów, materiałów marketingowych i reklamowych ani grafik i wideo z generatora. Te trzeba oznaczyć niezależnie od tego, jak dużą kontrolę redakcyjną nad nimi sprawowano. Dla tekstu, do którego wyłączenie faktycznie się stosuje, pytanie sprowadza się więc do tego, jak intensywna musi być ta kontrola, żeby z niego skorzystać. Zwolennicy wąskiej wykładni twierdzą, że wystarczy udokumentowana redakcja i korekta tekstu wygenerowanego wstępnie przez model językowy. Zwolennicy wykładni celowościowej odpowiadają, że celem przepisu jest odbudowa zaufania odbiorcy, więc powierzchowna akceptacja gotowego tekstu, bez realnej ingerencji redakcyjnej, nie powinna zwalniać z oznaczenia. Praktyka rozstrzygnie to szybciej niż doktryna, prawdopodobnie przy pierwszej sprawie o wprowadzenie konsumenta w błąd.

Druga oś sporu dotyczy skuteczności. Krytycy podnoszą, że kolejny komunikat obok zgód na przetwarzanie danych i banerów cookies znieczuli użytkownika i zamieni obowiązek w fasadę. Jako diagnoza brzmi to trafnie, tylko że nie zmienia stanu prawnego. Trzecia wątpliwość jest najbardziej praktyczna: skoro nie ma jeszcze ostatecznych standardów znakowania wodnego, przedsiębiorcy pytają, jaka metoda oznaczania faktycznie wyłącza odpowiedzialność. Odpowiedzi można się spodziewać wkrótce, ponieważ Rada ds. Sztucznej Inteligencji poinformowała o przedstawieniu ostatecznej wersji kodeksu postępowania dotyczącego etykietowania i oznaczania treści generowanych przez AI.

AI w rekrutacji: UODO chce osobnych przepisów, obowiązek szkoleniowy już działa

Prezes UODO Mirosław Wróblewski skierował do ministry pracy wniosek o podjęcie prac nad przepisami, które chroniłyby kandydatów i pracowników przed dyskryminacją przy użyciu systemów AI. To najmocniejszy krajowy sygnał ostatnich dni w sprawach zatrudnienia. Pokazuje, że lukę między RODO a AI Act widać także w Polsce. UODO przypomina przy tym, że systemy AI w rekrutacji należą do kategorii wysokiego ryzyka, a osoba objęta decyzją opartą na takim systemie ma prawo do jasnego i merytorycznego wyjaśnienia roli systemu oraz głównych elementów decyzji; organ wywodzi to uprawnienie z art. 86 AI Act. Obejmie ono jednak wyłącznie systemy wymienione w załączniku III i zacznie obowiązywać dopiero od 2 grudnia 2027 r., razem z resztą wymogów dla systemów wysokiego ryzyka. Dziś podstawą żądania takich wyjaśnień pozostaje art. 22 RODO, którego zakres doprecyzował Trybunał Sprawiedliwości UE w wyroku w sprawie SCHUFA (C-634/21).

Pełne wymogi dla tych systemów ruszają dopiero 2 grudnia 2027 r. i do tego czasu pracodawcy mają trochę oddechu. Nie daje go jednak art. 4 AI Act, który już od 2 lutego 2025 r., a więc od ponad półtora roku, nakłada na dostawców i podmioty stosujące systemy AI obowiązek podjęcia środków zapewniających, w możliwie największym stopniu, odpowiedni poziom kompetencji w zakresie AI wśród personelu. W praktyce oznacza to szkolenia i procedury dla działów HR, kadr i compliance, przy czym obowiązek jest sformułowany na tyle otwarcie, że pracodawca sam ustala jego zakres i sam będzie musiał wykazać, że go wykonał.

Niezależnie od AI Act nadal obowiązują przepisy RODO. Podstawa przetwarzania danych w rekrutacji wciąż wynika z art. 6, a przy danych szczególnych kategorii z art. 9. Decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu podlegają art. 22, a wdrożenie narzędzia analizującego kandydatów zwykle przekroczy próg wysokiego ryzyka z art. 35 ust. 1 i wymusi ocenę skutków dla ochrony danych. Kolejność działań jest więc odwrotna, niż wynika z kalendarza: ocena skutków i podstawa przetwarzania są potrzebne teraz, a nie w grudniu 2027 r.

E-commerce: przycisk odstąpienia od umowy jako element ścieżki zakupowej

Dyrektywa 2023/2673 wprowadza obowiązek udostępnienia klientom sklepów internetowych widocznego przycisku odstąpienia od umowy, a wskazywany termin rozpoczęcia stosowania tych przepisów przypadał na 19 czerwca 2026 r. Polski ustawodawca nie zdążył jednak w tym terminie znowelizować ustawy o prawach konsumenta, więc przycisk pozostaje na razie obowiązkiem unijnym bez odpowiednika w krajowej ustawie.

Zmiana wygląda kosmetycznie, a wchodzi w architekturę serwisu: przycisk musi być naprawdę dostępny, a nie ukryty w regulaminie albo w formularzu kontaktowym. To zwykle oznacza przebudowę panelu klienta i historii zamówień.

Warto ten obowiązek zestawić z wcześniejszą warstwą regulacji, ponieważ audyt robi się raz. Dyrektywę 2019/2161, znaną jako Omnibus, Polska wdrożyła ustawą z 1 grudnia 2022 r., obowiązującą od 1 stycznia 2023 r. To stamtąd biorą się między innymi zasady informowania o cenach promocyjnych i weryfikacji opinii konsumenckich. Do tego dochodzi akt o usługach cyfrowych, czyli rozporządzenie (UE) 2022/2065, oraz akt o rynkach cyfrowych, którego stosowanie Komisja przeglądała w dokumencie z 28 kwietnia 2026 r. Jeżeli ktoś planuje przegląd regulaminu sklepu jesienią, lepiej objąć nim wszystkie te warstwy naraz, razem z komunikatem o chatbocie z art. 50 AI Act.

Umowy IT i chmura: rewizja NIS2 kontra twarda praktyka kontraktowa

Komisja Europejska 20 stycznia 2026 r. zaproponowała ukierunkowane zmiany w dyrektywie NIS2 i uzasadniła je uproszczeniem zgodności oraz jaśniejszymi wymogami zarządzania ryzykiem. Deklarowany kierunek to złagodzenie, natomiast na rynku dzieje się coś przeciwnego. Sektor finansowy działa pod rozporządzeniem DORA, stosowanym bezpośrednio od 17 stycznia 2025 r., które obejmuje nadzorem także zewnętrznych dostawców usług ICT. W Polsce znowelizowane przepisy o krajowym systemie cyberbezpieczeństwa obowiązują według materiałów prasowych od 3 kwietnia 2026 r.

Efekt jest taki, że podmioty objęte tymi reżimami przenoszą wymagania w dół łańcucha dostaw. Mniejszy dostawca oprogramowania albo usługi w modelu SaaS, formalnie nieobjęty statusem podmiotu kluczowego ani ważnego, dostaje do podpisu umowę z pełnym pakietem obowiązków dotyczących zgłaszania incydentów, prawa audytu i kar umownych. Radziłbym czytać te załączniki równie uważnie jak samą umowę główną, ponieważ ryzyko finansowe siedzi zwykle w harmonogramie zgłoszeń i w definicji incydentu, a nie w wysokości wynagrodzenia.

Deregulacja: limit VAT, oferty poniżej 1 mln euro i cyfryzacja CEIDG

Poza technologią najwięcej zmienia dla mniejszych firm pakiet deregulacyjny przyjęty przez Sejm 24 czerwca 2025 r. Komunikat rządowy wymienia w nim dwa punkty o bezpośrednich skutkach: podniesienie limitu zwolnienia podmiotowego z VAT do 240 tys. zł oraz zniesienie wymogu pośrednictwa firm inwestycyjnych przy ofertach publicznych papierów wartościowych o wartości poniżej 1 mln euro. Pierwsza zmiana zdejmuje obowiązki rozliczeniowe z części jednoosobowych działalności, druga obniża próg wejścia dla startupów planujących uproszczoną rundę finansowania.

Równolegle Rada Ministrów przyjęła 3 lutego 2026 r. projekt zmian w Ordynacji podatkowej oznaczony jako UD196, który ma ograniczyć obowiązki sprawozdawcze i wejść w życie zasadniczo 1 października 2026 r., przy czym część rozwiązań dotyczących przedawnienia w związku z postępowaniem karnym skarbowym ma znaleźć zastosowanie dopiero od 2031 r. Osobna ustawa, upraszczająca obsługę przedsiębiorców i opublikowana już w Dzienniku Ustaw, przestawia CEIDG na tryb elektroniczny w dwóch krokach: od 1 listopada 2026 r. tylko elektronicznie składa się wniosek o rozpoczęcie działalności, a od 1 listopada 2028 r. obowiązek obejmie też zawieszenie, wznowienie, zakończenie i zmianę wpisu.

Na koniec warto odnotować temat istotny dla firm obracających nieruchomościami: kwalifikację podatkową sprzedaży nieruchomości nabytej w ramach działalności gospodarczej, lecz nigdy do niej faktycznie niewykorzystanej. Spór sprowadza się do tego, czy taka transakcja to zbycie środka trwałego związanego z działalnością gospodarczą w rozumieniu art. 10 ust. 1 pkt 3 ustawy o PIT, czy odpłatne zbycie poza działalnością gospodarczą z art. 10 ust. 1 pkt 8, co po upływie pięciu lat od nabycia oznacza brak podatku. Organy podatkowe konsekwentnie podchodzą do tego profiskalnie, a sam brak wprowadzenia nieruchomości do ewidencji środków trwałych zwykle im nie wystarcza. Zanim ktoś założy, że upływ pięciu lat wystarczy do zwolnienia z podatku, warto sprawdzić aktualne stanowisko fiskusa dla konkretnego stanu faktycznego.

Jeżeli chcesz uporządkować to u siebie, mogę w tym pomóc. Przeglądam narzędzia AI faktycznie używane w firmie i przygotowuję politykę korzystania z AI oraz ocenę ryzyka pod AI Act. Ustawiam dokumentację RODO tak, żeby zgadzała się z tym, co robi model, i porządkuję umowy z dostawcami IT, obieg dokumentów oraz podpisy elektroniczne. Zaczynam zwykle od krótkiej rozmowy o tym, gdzie AI już działa w firmie. Godzina rozmowy oszczędza potem kilka tygodni poprawiania wdrożenia od końca.

Oznaczasz treści tworzone z udziałem AI?

Obowiązek dotyczy wąskiej kategorii treści, więc częstszym błędem jest oznaczanie wszystkiego niż nieoznaczanie niczego. Ustalam, co w danej firmie wymaga oznaczenia, i przygotowuję prostą regułę dla zespołu. Zobacz wdrożenia AI i AI Act albo napisz do mnie.

Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Źródła

• Komisja Europejska, komunikat o rozpoczęciu egzekwowania AI Act i nowych wymogach przejrzystości od 2 sierpnia. link

• Komisja Europejska, informacja o wejściu w życie AI Omnibus. link

• Komisja Europejska, odpowiedzi na pytania o stosowanie AI Act. link

• Komisja Europejska, komunikat o ósmym posiedzeniu Rady ds. Sztucznej Inteligencji i ostatecznej wersji kodeksu postępowania dotyczącego oznaczania treści. link

• Komisja Europejska, ramy regulacyjne dla sztucznej inteligencji i relacja AI Act do RODO. link

• EUR-Lex, tekst rozporządzenia (UE) 2024/1689 (AI Act) z przepisami przejściowymi. link

• Ministerstwo Cyfryzacji, wyjaśnienie zmian obowiązujących od 2 sierpnia 2026 r. link

• Ministerstwo Cyfryzacji, komunikat o pierwszych przepisach AI Act. link

• Ministerstwo Cyfryzacji, informacja o ustawie o systemach AI. link

• Omówienie rozporządzenia (UE) 2026/1744 i zmiany harmonogramu AI Act. link

• Rzeczpospolita, obowiązki przejrzystości dla botów i deepfake'ów od 2 sierpnia. link

• Dziennik Gazeta Prawna, oznaczanie deepfake'ów i chatbotów po 2 sierpnia 2026 r. link

• Dziennik Gazeta Prawna, AI Act a prawo pracy w latach 2026 i 2027. link

• Dziennik Gazeta Prawna, wniosek Prezesa UODO o ochronę pracowników przed dyskryminacją algorytmiczną. link

• UODO, materiały o sztucznej inteligencji i ochronie danych. link

• UODO, stanowisko dotyczące systemów AI w rekrutacji i prawa do wyjaśnienia. link

• PulsHR, obowiązki firm przy korzystaniu z AI w HR. link

• Komisja Europejska, informacje o dyrektywie NIS2 i propozycji zmian z 20 stycznia 2026 r. link

• Deloitte, przegląd zmian w przepisach o cyberbezpieczeństwie, DORA i implementacji NIS2 w Polsce. link

• Puls Biznesu, cyberbezpieczeństwo w kontraktach IT. link

• Ministerstwo Finansów, komunikat o przyjęciu przez Sejm pakietu ustaw deregulacyjnych. link

• Ministerstwo Finansów, informacja o przyjęciu przepisów upraszczających prawo podatkowe (projekt UD196). link

• Ministerstwo Rozwoju i Technologii, komunikat o publikacji w Dzienniku Ustaw przepisów o cyfryzacji CEIDG. link

• EUR-Lex, rozporządzenie (UE) 2022/2065 o jednolitym rynku usług cyfrowych. link

• Prawo.pl, wątpliwości wokół relacji AI Act i RODO. link