Od 2 sierpnia 2026 r. firmy muszą ujawniać zastosowania AI - co musisz wiedzieć?

Przeczytaj także: Audyt narzędzi AI w firmie - 5 pytań, które warto zadać przed wejściem AI Act

Nowe wytyczne dotyczące AI

Sztuczna inteligencja przestaje być rozwiązaniem wykorzystywanym wyłącznie przez największe organizacje. Z badania Bilansu Kapitału Ludzkiego, zrealizowanego przez Polską Agencję Rozwoju Przedsiębiorczości (PARP) i Uniwersytet Jagielloński, wynika, że 23% polskich przedsiębiorstw aktywnie korzysta już z AI, kolejne 11% planuje jej wdrożenie, a 3% dostrzega potencjał tej technologii. Jednocześnie aż 64% firm pozostaje niezdecydowanych lub nie posiada zdolności wdrożeniowych, co pokazuje, że większość organizacji nadal znajduje się na początku drogi związanej z wykorzystaniem sztucznej inteligencji.

– Sztuczna inteligencja coraz częściej wspiera codzienną działalność przedsiębiorstw – od automatycznego obiegu dokumentów i odczytywania danych z faktur oraz umów, przez finanse i HR, aż po obsługę klienta czy procesy administracyjne. Problem polega na tym, że wiele organizacji wdrażało te rozwiązania bez całościowego spojrzenia na sposób ich wykorzystania. AI Act sprawia, że przedsiębiorcy będą musieli odpowiedzieć sobie na pytanie nie tylko, czy korzystają z AI, ale przede wszystkim, gdzie, w jakim celu i kto odpowiada za nadzór nad tymi procesami – mówi dr Przemysław Sołdacki, CEO AMODIT.

Nowe wytyczne Komisji Europejskiej doprecyzowują sposób realizacji obowiązków dotyczących przejrzystości wykorzystania sztucznej inteligencji. W praktyce oznacza to, że organizacje powinny wiedzieć nie tylko z jakich narzędzi AI korzystają, ale również w jakich procesach są one wykorzystywane, jakie dane przetwarzają, kto odpowiada za ich działanie i w których miejscach konieczny pozostaje nadzór człowieka.

Jedna etykieta nie rozwiąże problemu

Dla wielu organizacji pierwszym odruchem może być przygotowanie standardowej informacji o wykorzystaniu AI i dodanie jej do regulaminu, polityki prywatności albo stopki materiału. To jednak nie wystarczy. Przejrzystość powinna zostać uwzględniona w całym procesie: od sposobu projektowania produktu i interfejsu, przez metadane i oznaczenia techniczne, po publikację treści, moderację, komunikację kryzysową oraz obsługę pytań i reklamacji.

– Przejrzystość nie jest naklejką, którą można przykleić do gotowego systemu dzień przed wejściem przepisów. Musi być zaprojektowana razem z produktem i procesem komunikacji. Firma powinna wiedzieć nie tylko, gdzie wykorzystuje AI, lecz także kto odpowiada za efekt, jak odbiorca może rozpoznać udział technologii i gdzie powinien zgłosić wątpliwości – mówi Sebastian Kopiej, prezes zarządu COMMPLACE.

W praktyce obowiązek może wyglądać inaczej w każdym punkcie styku z odbiorcą. Chatbot na stronie internetowej wymaga innego komunikatu niż automatyczny konsultant głosowy. Inaczej należy podejść do wygenerowanej ilustracji produktowej, inaczej do realistycznego filmu przedstawiającego osobę, która nigdy nie brała udziału w nagraniu, a jeszcze inaczej do tekstu dotyczącego spraw publicznych. Oznacza to, że organizacja nie powinna zaczynać od tworzenia jednej uniwersalnej formułki. Najpierw musi zidentyfikować miejsca, w których AI komunikuje się z człowiekiem, tworzy treści albo wpływa na sposób ich odbioru.

- Pierwszym krokiem powinno być stworzenie mapy wykorzystania AI w organizacji. W praktyce oznacza to odpowiedź na kilka podstawowych pytań: z jakich narzędzi korzystają pracownicy, do jakich procesów są one wykorzystywane, jakie dane są przetwarzane oraz kto odpowiada za nadzór nad ich działaniem. Dopiero posiadając taką wiedzę, można świadomie zarządzać ryzykiem i zapewnić zgodność z przepisami – wyjaśnia dr Przemysław Sołdacki.

Ekspert zwraca również uwagę, że wdrożenie AI Act nie powinno być postrzegane wyłącznie jako obowiązek regulacyjny. Dobrze uporządkowane wykorzystanie sztucznej inteligencji pozwala zwiększyć bezpieczeństwo danych, ograniczyć ryzyko błędów oraz lepiej kontrolować procesy biznesowe, które coraz częściej są wspierane przez algorytmy. W kontekście AI istotne jest także krytyczne myślenie i zrozumienie mechanizmów działania AI.

- AI nie powinno działać jak „czarna skrzynka”, której decyzji nikt nie rozumie. Organizacja powinna wiedzieć, kiedy sztuczna inteligencja wspiera pracownika, kiedy podejmuje określone działania automatycznie oraz w którym momencie konieczna jest interwencja człowieka. Tylko wtedy można mówić o odpowiedzialnym i zgodnym z regulacjami wykorzystaniu AI – podsumowuje dr Przemysław Sołdacki.

Kto odpowiada: dostawca systemu czy firma, która go wykorzystuje?

Jednym z najważniejszych rozróżnień w art. 50 jest podział odpowiedzialności pomiędzy dostawcę a podmiot wdrażający system AI. Dostawca odpowiada przede wszystkim za sposób zaprojektowania systemu. W przypadku bezpośredniej interakcji oznacza to konieczność wyposażenia rozwiązania w mechanizm informujący użytkownika, że ma do czynienia z AI. Przy generowaniu lub modyfikowaniu treści obowiązki dostawcy obejmują rozwiązania pozwalające oznaczyć wynik w formacie umożliwiającym jego automatyczne wykrycie. Podmiot wdrażający odpowiada natomiast za konkretny sposób wykorzystania systemu oraz sposób komunikowania treści odbiorcom. To po jego stronie może znaleźć się obowiązek ujawnienia deepfake'ów lub poinformowania, że określony materiał dotyczący spraw publicznych został wygenerowany albo zmodyfikowany przez AI.

– Największe ryzyko pojawia się tam, gdzie technologia działa już w wielu działach, ale odpowiedzialność nie ma jednego właściciela. Marketing zakłada, że obowiązek leży po stronie dostawcy narzędzia, dostawca przenosi część odpowiedzialności na użytkownika, a dział prawny dowiaduje się o wykorzystaniu systemu dopiero po publikacji. Zarząd nie musi znać parametrów każdego modelu, ale musi znać mapę zastosowań, odpowiedzialności i decyzji – wskazuje Sebastian Kopiej.

To również wyzwanie technologiczne

Nowe obowiązki oznaczają, że przedsiębiorstwa powinny zweryfikować nie tylko swoje procedury komunikacyjne, ale również wykorzystywane rozwiązania technologiczne. Sam fakt korzystania z komercyjnego narzędzia AI nie oznacza jeszcze, że spełnia ono wymagania AI Act dotyczące przejrzystości, identyfikowalności i oznaczania treści.

– W praktyce firmy powinny spojrzeć na sztuczną inteligencję jak na element procesu biznesowego, a nie pojedyncze narzędzie. Trzeba wiedzieć, gdzie AI jest wykorzystywana, jakie dane przetwarza, kto odpowiada za efekt jej działania oraz czy wykorzystywane rozwiązanie zapewnia wymagane oznaczenia i możliwość ich zachowania na kolejnych etapach obiegu informacji. Bez uporządkowanych procesów trudno mówić zarówno o zgodności z AI Act, jak i o skutecznym zarządzaniu ryzykiem związanym z wykorzystaniem sztucznej inteligencji. Razem z naszymi klientami robimy przegląd procesów korzystających z AI, bo to wspólna odpowiedzialność dostawcy i klienta – mówi dr Przemysław Sołdacki, CEO AMODIT.

Co dokładnie się zmieni od 2 sierpnia

Od 2 sierpnia zaczną obowiązywać przepisy dotyczące przejrzystości wykorzystywania sztucznej inteligencji. W praktyce oznacza to m.in.:

• Obowiązek informowania użytkownika, że rozmawia z systemem AI, jeżeli nie jest to dla niego oczywiste (np. chatbot lub asystent AI).
• Obowiązek oznaczania treści wygenerowanych lub zmodyfikowanych przez AI w sposób umożliwiający ich wykrycie (tzw. znakowanie maszynowe) – obowiązek ten dotyczy dostawców określonych systemów AI.
• Obowiązek informowania odbiorców o tzw. deepfake'ach, czyli realistycznych obrazach, nagraniach audio lub wideo wygenerowanych albo zmodyfikowanych przez AI.
• Obowiązek ujawniania wykorzystania AI do tworzenia lub modyfikowania treści dotyczących spraw będących przedmiotem zainteresowania publicznego, jeżeli nie zostały one poddane odpowiedniej kontroli redakcyjnej lub weryfikacji przez człowieka.
• Obowiązek informowania osób o stosowaniu systemów rozpoznawania emocji lub kategoryzacji biometrycznej, gdy takie rozwiązania są wykorzystywane.

Marketing i komunikacja również muszą przygotować się na zmianę

Art. 50 AI Act nie jest regulacją dotyczącą wyłącznie producentów oprogramowania. Jego praktyczne skutki odczują także zespoły marketingowe, działy komunikacji, agencje, wydawcy, media oraz firmy korzystające z automatycznej obsługi klienta. Do przeglądu powinny trafić między innymi:

• chatboty i voiceboty,
• wirtualni doradcy,
• syntetyczne wizerunki,
• materiały wideo i audio generowane przez AI,
• grafiki i ilustracje,
• teksty publikowane bez kontroli redakcyjnej,
• treści dotyczące spraw publicznych,
• systemy rozpoznawania emocji i kategoryzacji biometrycznej.

Samo stwierdzenie, że treść „powstała z pomocą AI", nie zawsze będzie wystarczające. Komunikat powinien być jasny, widoczny i przekazany odbiorcy we właściwym momencie.

Techniczne oznaczenie i informacja dla człowieka to dwie różne rzeczy

Jedną z najistotniejszych zmian wprowadzanych przez AI Act jest rozróżnienie pomiędzy informacją przeznaczoną dla odbiorcy a oznaczeniem możliwym do odczytania przez maszyny. Informacja dla człowieka ma umożliwić świadome rozpoznanie, że rozmawia z AI lub ogląda treść syntetyczną. Oznaczenie maszynowo czytelne jest natomiast osadzane w metadanych lub innych elementach technicznych, aby mogło zostać automatycznie wykryte przez systemy informatyczne. W praktyce przedsiębiorstwo powinno sprawdzić, czy wykorzystywane narzędzia rzeczywiście tworzą wymagane oznaczenia oraz czy pozostają one obecne po eksporcie, edycji i publikacji materiałów.

Problemem może być niespójność organizacji

Największym wyzwaniem nie zawsze będzie brak znajomości przepisów. Często okaże się nim brak spójności procesów wewnątrz organizacji. Jedna firma może poprawnie oznaczać chatbota, ale nie ujawniać wykorzystania AI przy tworzeniu materiałów wideo. Może wdrożyć procedurę dla marketingu, lecz pominąć dział analiz albo lokalne oddziały. Dlatego przygotowanie powinno rozpocząć się od inwentaryzacji wykorzystania AI oraz przypisania odpowiedzialności, a nie od stworzenia jednej uniwersalnej etykiety. Dla wielu organizacji wejście w życie obowiązków wynikających z art. 50 AI Act będzie pierwszym praktycznym sprawdzianem dojrzałości w zarządzaniu sztuczną inteligencją. O sukcesie zdecyduje nie tylko znajomość przepisów, ale również umiejętność połączenia wymagań prawnych, technologicznych i komunikacyjnych w jeden spójny proces.