AI Act w firmie: obowiązki przy chatbotach i agentach AI
Chatbot na stronie, agent AI odpisujący na maile, asystent w dziale obsługi klienta. Od 2 sierpnia 2026 takie narzędzia podlegają obowiązkom przejrzystości z art. 50 AI Act, a od 28 października 2026 w Polsce obowiązują przepisy o kontrolach, skargach i karach. W tym artykule wyjaśniamy, jakie obowiązki AI Act dotyczą firmy korzystającej z chatbotów i agentów AI, kto za nie odpowiada, co odroczono i co warto zrobić już teraz. Stan prawny na listopad 2026.
Opublikowano
Udostępnij
AI Act w firmie w jednym akapicie
Jeśli człowiek rozmawia bezpośrednio z Waszym systemem AI, musi się o tym dowiedzieć najpóźniej przy pierwszej interakcji, chyba że jest to oczywiste. Obowiązek zapisano w art. 50 ust. 1 AI Act, czyli rozporządzenia (UE) 2024/1689. Ciąży on na dostawcy systemu, a dostawcą może być także firma, która zleciła zbudowanie chatbota i używa go pod własną nazwą. Najcięższe wymagania dla systemów wysokiego ryzyka zostały przesunięte, ale obowiązki przejrzystości już działają.
Terminy AI Act: co obowiązuje, a co odroczono
Rozporządzenie (UE) 2026/1744, nazywane Digital Omnibus on AI, weszło w życie 27 lipca 2026 i zmieniło część kalendarza. Nie jest to jednak odroczenie całego AI Act. Dla typowej firmy najważniejsze daty wyglądają tak:
Czytaj dalej
Inne artykuły, które mogą Was zainteresować.
Następny krok
Macie własny stack do przejrzenia?
Bezpłatny audyt mapuje Waszą sytuację w jedną rozmowę. Wychodzicie z listą procesów do automatyzacji, wyceną i szacunkiem oszczędności.
08
Kompetencje w zakresie AI: co naprawdę wymaga art. 4
2 lutego 2025: zakazane praktyki AI (art. 5) oraz obowiązek wspierania kompetencji w zakresie AI (art. 4).
2 sierpnia 2026: obowiązki przejrzystości z art. 50, w tym informowanie o rozmowie z chatbotem.
28 października 2026: w Polsce zaczynają obowiązywać przepisy o kontroli, postępowaniach, opiniach indywidualnych i karach.
2 grudnia 2026: koniec okresu przejściowego na techniczne oznaczanie treści z art. 50 ust. 2, tylko dla generatorów wprowadzonych do obrotu przed 2 sierpnia 2026.
2 grudnia 2027: wymagania dla systemów wysokiego ryzyka z załącznika III, na przykład w rekrutacji.
2 sierpnia 2028: wymagania dla systemów wysokiego ryzyka będących elementem produktów objętych unijnymi przepisami z załącznika I.
Dostawca czy podmiot stosujący: kim jest Wasza firma
Od tej odpowiedzi zależy większość obowiązków. Dostawca to podmiot, który opracowuje system AI albo zleca jego opracowanie i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym. Podmiot stosujący to ten, kto używa systemu AI pod swoją kontrolą w działalności zawodowej. Jedna firma może występować w obu rolach, zależnie od narzędzia.
Chatbot zbudowany dla Was i działający pod Waszą marką
Jeśli Wasz zespół albo zewnętrzny wykonawca zbudował asystenta na modelu dostępnym przez API i działa on pod Waszą nazwą, firma jest co do zasady dostawcą tego systemu. Wytyczne Komisji Europejskiej do art. 50 podają wprost przykład przedsiębiorstwa, które opracowało chatbota we własnym zakresie i oddaje go do użytku na własny użytek pod własną nazwą. Art. 50 dotyczy systemów, a nie samych modeli, więc korzystanie z cudzego modelu nie przenosi tego obowiązku na jego producenta.
Gotowy system, który modyfikujecie
Jeśli bierzecie istniejący system generatywnej AI innego dostawcy, zmieniacie go, na przykład przez nowe dane treningowe, i udostępniacie pod własną nazwą, stajecie się dostawcą nowego systemu. Odpowiedzialność pierwotnego dostawcy za jego system pozostaje bez zmian.
Gotowe narzędzie pod marką producenta
Gdy kupujecie gotowego chatbota z logo producenta i korzystacie z niego bez zmian, dostawcą jest producent, a Wy jesteście podmiotem stosującym. Warto jednak sprawdzić, czy funkcja informowania jest włączona i czy konfiguracja jej nie ukrywa. Przy rozwiązaniach sprzedawanych pod Waszą marką granica bywa nieostra, więc rozsądnie jest przyjąć, że obowiązek jest po Waszej stronie, i zapisać podział ról w umowie.
Chatbot na stronie: jak spełnić obowiązek informowania
Wytyczne Komisji wymieniają wśród systemów objętych art. 50 ust. 1 chatboty w obsłudze klienta, zarządzaniu skargami i handlu elektronicznym. Wskazują też, że chatboty wbudowane w platformy internetowe i centra pomocy, których odpowiedzi użytkownik może uznać za napisane przez człowieka, nie korzystają z wyjątku dla sytuacji oczywistych.
Informacja musi być jasna, wyraźna i przekazana najpóźniej przy pierwszej interakcji. Powinna też spełniać wymogi dostępności. W praktyce:
Chatbot zaczyna rozmowę od prostego zdania, na przykład: „Jestem asystentem AI. W każdej chwili możesz poprosić o kontakt z człowiekiem”.
Oznaczenie stoi blisko pola rozmowy, a nie w stopce strony.
Asystent głosowy mówi o tym na początku połączenia.
Mail wygenerowany i wysłany przez agenta AI ma oznaczenie na górze wiadomości.
Komisja wskazuje też, czego nie wystarczy zrobić. Informacja wyłącznie w regulaminie, pod linkiem albo w dokumentacji nie spełnia obowiązku, podobnie jak oznaczenia czytelne tylko dla maszyn. Ludzkie imię lub zdjęcie przy chatbocie utrudniają rozpoznanie, że rozmówcą jest AI, więc tym bardziej trzeba o tym wyraźnie poinformować.
Agent AI, który działa w imieniu firmy
Agent AI to system, który nie tylko odpowiada, ale też wykonuje działania, na przykład rezerwuje terminy, prowadzi korespondencję albo składa zamówienia. Wytyczne stwierdzają, że agent powinien ujawniać zarówno swój sztuczny charakter, jak i to, w czyim imieniu działa. Dotyczy to także sytuacji, gdy po drugiej stronie jest osoba reprezentująca inną firmę, więc relacja B2B nie zwalnia z obowiązku.
Jeśli nie da się z góry ustalić, czy agent trafi na człowieka, powinien być zaprojektowany tak, aby ujawniał się zawsze, gdy istnieje uzasadnione prawdopodobieństwo takiej rozmowy. Dla firm oznacza to prostą zasadę projektową: stopka lub pierwsze zdanie każdej wiadomości agenta mówi, że pisze AI i kogo reprezentuje.
Kiedy nie trzeba informować
Wyjątek dotyczy sytuacji, gdy korzystanie z AI jest oczywiste dla osoby rozsądnie poinformowanej, uważnej i ostrożnej. Komisja czyta go wąsko. To, że ludzie ogólnie wiedzą o istnieniu chatbotów, nie wystarcza. Poza zakresem obowiązku lub w ramach wyjątku są między innymi:
Narzędzia wspierające pracownika, gdy to człowiek rozmawia z klientem, a AI jedynie podpowiada mu treść. Sama możliwość przejrzenia odpowiedzi przez człowieka nie może jednak służyć do obchodzenia przepisu.
Wewnętrzny asystent dla odpowiednio przeszkolonych pracowników, którzy wiedzą, że korzystają z AI.
Asystenci programowania dostępni wyłącznie dla profesjonalnych programistów.
Systemy działające w tle, bez bezpośredniej interakcji z człowiekiem, na przykład klasyfikacja dokumentów.
Grafiki, filmy i teksty generowane przez AI
Tu często pojawia się najwięcej nieporozumień. Termin 2 grudnia 2026 dotyczy wyłącznie art. 50 ust. 2, czyli obowiązku dostawców generatorów, aby wyniki były oznaczone w sposób czytelny maszynowo. Nie przesuwa ani obowiązku informowania przy chatbotach, ani obowiązków podmiotów stosujących.
Firma korzystająca z generatora odpowiada przede wszystkim za art. 50 ust. 4. Musi ujawnić, że obraz, dźwięk lub wideo są sztucznie wygenerowane, jeśli stanowią deepfake, czyli przypominają istniejące osoby, przedmioty, miejsca lub zdarzenia i mogłyby fałszywie uchodzić za autentyczne. Podobny obowiązek obejmuje teksty publikowane po to, by informować opinię publiczną o sprawach interesu publicznego, chyba że przeszły przegląd człowieka lub kontrolę redakcyjną, a ktoś ponosi odpowiedzialność za publikację. Zwykły opis produktu czy mail handlowy co do zasady nie mieści się w tej kategorii. Treści wygenerowanych przed 2 sierpnia 2026 nie trzeba oznaczać wstecz.
Kompetencje w zakresie AI: co naprawdę wymaga art. 4
Po zmianach z Digital Omnibus firmy mają podejmować środki wspierające rozwój kompetencji personelu i innych osób obsługujących AI w ich imieniu, z uwzględnieniem wiedzy, doświadczenia i kontekstu użycia. Przepis wprost mówi, że nie trzeba gwarantować określonego poziomu kompetencji konkretnej osoby.
AI Act nie nakazuje też w tym przepisie powołania AI officera, prowadzenia rejestru narzędzi ani tworzenia polityki AI. Warto jednak mieć listę używanych systemów i krótkie zasady korzystania z nich, bo bez tego trudno odpowiedzieć na podstawowe pytania o role i ryzyko.
Gdzie AI w firmie oznacza wysokie ryzyko albo zakaz
Większość chatbotów i automatyzacji nie jest systemami wysokiego ryzyka. Uwagę trzeba zwrócić na obszary związane z pracą i dostępem do usług:
Rekrutacja: filtrowanie aplikacji, ocena kandydatów, kierowanie ofert pracy.
Zarządzanie pracownikami: decyzje o awansie lub zwolnieniu, przydział zadań na podstawie zachowania lub cech osobistych, monitorowanie i ocena wyników.
Ocena zdolności kredytowej osób fizycznych, poza wykrywaniem oszustw finansowych.
Dla tych systemów pełne wymagania zaczną obowiązywać 2 grudnia 2027. Pracodawca stosujący taki system będzie musiał wcześniej poinformować pracowników i ich przedstawicieli, a osoby, których dotyczą decyzje, będą musiały wiedzieć o użyciu systemu. Jeśli planujecie narzędzie HR z AI, te wymagania warto uwzględnić w projekcie już teraz.
Inaczej jest z wykrywaniem emocji pracowników. Art. 5 zakazuje systemów AI wnioskujących o emocjach w miejscu pracy i w edukacji, z wyjątkiem względów medycznych lub bezpieczeństwa. Zakaz obowiązuje od 2 lutego 2025. Jeśli dostawca narzędzia dla call center obiecuje analizę nastroju konsultantów, trzeba to dokładnie sprawdzić.
Kary i nadzór w Polsce
Ustawa z 3 lipca 2026 o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) utworzyła Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, czyli KRiBSI. Może ona prowadzić kontrole i postępowania oraz nakładać kary, a skargę może do niej złożyć osoba fizyczna, firma lub inna organizacja.
Naruszenie art. 50: do 15 mln euro albo do 3% całkowitego światowego rocznego obrotu.
Zakazane praktyki z art. 5: do 35 mln euro albo do 7% obrotu.
Dla dużych firm liczy się wyższa z tych wartości, a dla MŚP niższa.
Są to górne granice. Organ bierze pod uwagę między innymi wagę naruszenia, jego czas i sytuację ekonomiczną firmy.
Przykładowo dla firmy z sektora MŚP o obrocie 20 mln zł górna granica za naruszenie art. 50 to 3% obrotu, czyli 600 tys. zł. Ustawa przewiduje też ostrzeżenie wskazujące działania naprawcze, a firma ma 21 dni na przedstawienie informacji o ich wykonaniu.
Przydatnym narzędziem jest opinia indywidualna. Wniosek kosztuje 150 zł, a Komisja ma 30 dni na odpowiedź, w sprawach szczególnie skomplikowanych 60 dni. Brak odpowiedzi w terminie oznacza uznanie stanowiska przedstawionego przez firmę, a zastosowanie się do opinii, zanim zostanie ona zmieniona lub uchylona, nie może firmie szkodzić.
Co zrobić w firmie: 6 kroków
Spiszcie wszystkie systemy AI: chatboty, agentów, generatory treści, funkcje AI w CRM i narzędziach HR.
Przy każdym ustalcie rolę firmy: dostawca czy podmiot stosujący, i zapiszcie podział obowiązków w umowach z wykonawcami.
Dodajcie informację o AI na początku rozmowy, w mailach agentów i w połączeniach głosowych.
Sprawdźcie, czy żadne narzędzie nie wnioskuje o emocjach pracowników, i oznaczcie zastosowania rekrutacyjne oraz kadrowe jako wymagające osobnej analizy.
Przeszkólcie osoby korzystające z AI i zachowajcie potwierdzenie szkolenia oraz krótkie zasady korzystania z narzędzi.
Przejrzyjcie umowy powierzenia danych i zgodność z RODO, bo AI Act nie zastępuje tych obowiązków.
Najczęstsze pytania
Czy AI Act dotyczy małej firmy?
Tak. Nie ma ogólnego zwolnienia dla MŚP. Małe firmy mają natomiast niższy górny limit kar i powinny być traktowane proporcjonalnie.
Czy muszę informować, że odpowiedź chatbota sprawdza człowiek?
Jeśli klient rozmawia bezpośrednio z systemem, trzeba poinformować o AI, nawet gdy człowiek może przejrzeć odpowiedź. Jeżeli to pracownik prowadzi rozmowę, a AI tylko mu podpowiada, art. 50 ust. 1 co do zasady nie ma zastosowania.
Czy wystarczy zapis w regulaminie?
Nie. Regulamin może być uzupełnieniem, ale informacja musi pojawić się w samej interakcji, najpóźniej przy jej rozpoczęciu.
Czy termin 2 grudnia 2026 dotyczy mojego chatbota?
Nie. Obejmuje tylko techniczne oznaczanie treści przez dostawców generatorów działających przed 2 sierpnia 2026. Obowiązek informowania przy chatbotach obowiązuje od 2 sierpnia 2026.
Czy muszę powołać AI officera?
AI Act nie wprowadza takiego obowiązku dla firmy korzystającej z typowych chatbotów. Ktoś powinien jednak odpowiadać za listę systemów i zasady korzystania z nich, choćby jako dodatkowe zadanie.
Ten artykuł ma charakter informacyjny i nie zastępuje porady prawnej. Podstawą są rozporządzenie (UE) 2024/1689 w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744, wytyczne Komisji Europejskiej C(2026) 7702 oraz ustawa z 3 lipca 2026 o systemach sztucznej inteligencji.
