AI Act w małej firmie: obowiązek informowania, że rozmawiasz z AI

Zanim zaczniesz: to nie jest porada prawna

Nie jestem prawnikiem. Buduję asystentów AI i muszę znać przepisy, które ich dotyczą, więc opisuję je tak, jak rozumiem je w praktyce. Opieram się na tekście rozporządzenia i na komunikacie Ministerstwa Cyfryzacji. Linki są na końcu.

Jeśli Twoja firma używa AI w sposób nietypowy, na przykład do oceny kandydatów do pracy albo do decyzji o kredycie dla klienta, skonsultuj to z prawnikiem. Ten tekst dotyczy najczęstszej sytuacji: AI rozmawia z klientami albo przygotowuje dla nich treści.

Czym jest AI Act w dwóch akapitach

AI Act to unijne rozporządzenie 2024/1689 o sztucznej inteligencji. Jako rozporządzenie obowiązuje w Polsce bezpośrednio, tak samo jak RODO. Nie trzeba czekać na polską ustawę, żeby jego przepisy działały.

Rozporządzenie dzieli systemy AI według ryzyka. Niektóre praktyki są zakazane. Systemy wysokiego ryzyka, na przykład używane przy rekrutacji, mają długą listę wymagań. Większość narzędzi, z których korzysta mała firma, należy do najłagodniejszej grupy. Dla niej najważniejsze są obowiązki przejrzystości z art. 50, czyli właśnie informowanie, że ma się do czynienia z AI.

Co obowiązuje od 2 sierpnia 2026 roku

Według komunikatu Ministerstwa Cyfryzacji od tego dnia stosuje się obowiązki przejrzystości. W praktyce dla małej firmy oznacza to:

• Rozmowa z AI musi być oznaczona. Osoba, która pisze z chatbotem albo wirtualnym asystentem, ma wiedzieć, że rozmawia z systemem AI. Wyjątek: gdy jest to oczywiste dla rozsądnej, dobrze poinformowanej osoby. Nie warto jednak na ten wyjątek liczyć. Komunikat kosztuje jedno zdanie.
• Realistyczne obrazy, nagrania i dźwięki z AI trzeba ujawniać. Chodzi o tak zwane deepfake’i, czyli treści, które wyglądają jak prawdziwe zdjęcie, film albo głos konkretnej osoby, a zostały wygenerowane lub przerobione przez AI.
• Teksty z AI publikowane, żeby informować opinię publiczną, też trzeba oznaczać, chyba że przeszły ludzką redakcję i ktoś bierze za nie odpowiedzialność. Dla typowego bloga firmowego, który ktoś czyta i poprawia przed publikacją, ten punkt zwykle nie będzie problemem.

Informacja musi być jasna i podana najpóźniej przy pierwszym kontakcie. Nie wystarczy wzmianka w regulaminie, którego nikt nie czyta.

Kto za to odpowiada: dostawca czy Ty

Rozporządzenie rozróżnia dostawcę systemu AI, czyli tego, kto go tworzy, i podmiot stosujący, czyli firmę, która z niego korzysta. Obowiązek z art. 50 ust. 1, żeby system rozmawiający z ludźmi informował, że jest AI, ciąży formalnie na dostawcy.

W praktyce granica się zaciera. Jeśli to Ty wystawiasz chatbota klientom na swojej stronie, to Twoja firma traci zaufanie, gdy klient poczuje się oszukany. A jeśli asystenta zbudowano specjalnie dla Ciebie, możesz sam zostać uznany za dostawcę. Dlatego radzę nie rozstrzygać, kto „powinien”, tylko po prostu dopilnować komunikatu.

Obowiązek oznaczania deepfake’ów ciąży wprost na podmiocie stosującym. Jeśli publikujesz realistyczne zdjęcie wygenerowane przez AI, na przykład „pracownika” w reklamie, to Ty odpowiadasz za podpis.

Co przesunięto: AI w kadrach i rekrutacji

Systemy wysokiego ryzyka to między innymi narzędzia używane w zatrudnieniu: do selekcji kandydatów, oceny pracowników, decyzji o awansie lub zwolnieniu. Według Ministerstwa Cyfryzacji obowiązki dla takich systemów przesunięto na 2 grudnia 2027 roku.

To nie znaczy, że do tego czasu wszystko wolno. Nadal obowiązuje RODO, w tym ograniczenia dotyczące decyzji podejmowanych wyłącznie automatycznie. Jeśli myślisz o AI w rekrutacji, potraktuj ten czas jako okres przygotowań, a nie przerwę.

Asystenci, których buduję, nie oceniają kandydatów ani pracowników. Taka funkcja wymagałaby osobnej analizy prawnej i nie oferuję jej.

Lista kontrolna dla małej firmy

Tak to ustawiam w każdym asystencie. Możesz przejść tę listę sam w godzinę:

1. Spisz, gdzie AI ma kontakt z ludźmi spoza firmy. Czat na stronie, odpowiedzi na maile, komunikatory, komentarze w mediach społecznościowych, telefon.
2. Dodaj komunikat na początku rozmowy. Na przykład: „Cześć, tu Ola, asystentka AI firmy. Odpowiem na pytania o zamówienia. W każdej chwili możesz poprosić o kontakt z człowiekiem”.
3. Daj możliwość przejścia do człowieka. Przepis tego wprost nie wymaga, ale to najlepsza odpowiedź na pytanie „a co, jeśli klient nie chce rozmawiać z AI”.
4. Przejrzyj obrazy na stronie i w reklamach. Każde realistyczne zdjęcie osoby lub miejsca wygenerowane przez AI podpisz, na przykład „Postać wygenerowana przez AI”. Tak oznaczam portrety asystentów na tej stronie.
5. Ustal, kto sprawdza teksty z AI przed publikacją. Ludzka redakcja to dobra praktyka niezależnie od przepisów.
6. Sprawdź umowę z dostawcą narzędzia. Czy deklaruje zgodność z AI Act? Gdzie przetwarza dane? Czy da się wyłączyć wykorzystywanie Twoich danych do trenowania modeli?
7. Uzupełnij politykę prywatności. Jeśli asystent przetwarza dane klientów, napisz o tym. To wymóg RODO, nie AI Act, ale przy okazji warto to uporządkować.
8. Powiedz zespołowi, jak działa asystent. Kto akceptuje odpowiedzi, kto przejmuje trudne sprawy, gdzie zgłaszać błędy.

A jeśli tego nie zrobię?

Rozporządzenie przewiduje kary administracyjne także za naruszenie obowiązków przejrzystości. Dla małych i średnich firm stosuje się niższy z dwóch progów określonych w art. 99. Nie będę jednak straszył karami. Ważniejsze jest co innego.

Klient, który po kilku wiadomościach odkryje, że pisał z maszyną udającą człowieka, nie wróci. A klient, który od pierwszego zdania wie, że rozmawia z asystentem AI i że w każdej chwili może poprosić o człowieka, zwykle nie ma z tym problemu. Uczciwy komunikat to po prostu dobra obsługa.

Wszyscy asystenci, których buduję, przedstawiają się jako AI przy pierwszym kontakcie z klientem. Więcej o tym, jak pracują i co widzisz w panelu, przeczytasz na stronie Bezpieczeństwo.