Drugiego sierpnia 2026 nie było fajerwerków, konferencji prasowych ani paniki w mediach. Mimo to tego dnia przesunęła się linia zgodności dla każdej firmy, która postawiła czat AI przed klientem albo publikuje treści napisane przez model. Obowiązki przejrzystości z art. 50 rozporządzenia 2024/1689 zaczęły obowiązywać i, w odróżnieniu od wymagań dla systemów wysokiego ryzyka, nie zostały odroczone.
Poniżej jest to, co realnie trzeba zrobić, i to, czego robić nie trzeba, mimo że rynek szkoleniowy twierdzi inaczej.
Kalendarz, żeby nie mylić reżimów
| Data | Co zaczyna obowiązywać |
|---|---|
| 2 lutego 2025 | Zakazane praktyki z art. 5 oraz obowiązek kompetencji w zakresie AI z art. 4 |
| 2 sierpnia 2025 | Obowiązki dostawców modeli ogólnego przeznaczenia |
| 2 sierpnia 2026 | Obowiązki przejrzystości z art. 50 |
| 2 grudnia 2027 | Wymagania dla systemów wysokiego ryzyka z załącznika III |
Najczęstszy błąd w rozmowach o zgodności polega na tym, że firma słyszy „akt o AI”, wyobraża sobie ocenę zgodności, dokumentację techniczną i rejestrację w bazie unijnej, po czym stwierdza, że to za duże i odkłada temat. Tymczasem to wszystko dotyczy systemów wysokiego ryzyka, których w typowej firmie nie ma. Asystent do pisania maili nim nie jest.
Cztery sytuacje, w których trzeba coś powiedzieć
Rozmowa z maszyną. System AI wchodzący w bezpośrednią interakcję z człowiekiem ma go poinformować, że rozmawia z systemem, chyba że jest to oczywiste dla rozsądnie zorientowanej osoby. Informacja ma paść najpóźniej przy pierwszej interakcji, a nie w regulaminie, do którego nikt nie zajrzy. Wyjątek dla oczywistości jest wąski i lepiej na nim nie budować strategii.
Oznaczanie wyników. Dostawca systemu generującego dźwięk, obraz, wideo albo tekst ma zapewnić, że wynik jest oznaczony w formacie odczytywalnym maszynowo i wykrywalny jako sztucznie wygenerowany. To obowiązek projektowy, więc jeśli kupujesz platformę, jest po stronie dostawcy. Warto to jednak sprawdzić przed podpisem, bo pytanie wróci przy pierwszym audycie.
Rozpoznawanie emocji i biometria. Podmiot stosujący system rozpoznawania emocji albo kategoryzacji biometrycznej informuje osoby, których to dotyczy. W praktyce dotyczy to rekrutacji, obsługi klienta z analizą głosu i systemów w miejscu pracy, czyli obszarów, gdzie i tak trzeba rozmawiać z inspektorem ochrony danych.
Deepfake i tekst publiczny. Podmiot stosujący, który publikuje deepfake albo wygenerowany tekst informujący opinię publiczną o sprawach będących przedmiotem zainteresowania publicznego, ujawnia jego sztuczne pochodzenie. Tu jest furtka, z której warto korzystać: obowiązek nie dotyczy tekstu, który przeszedł redakcję człowieka i za który człowiek wziął odpowiedzialność.
Dostawca kontra podmiot stosujący
Rozporządzenie konsekwentnie rozróżnia dostawcę, czyli tego, kto system tworzy i wprowadza na rynek, oraz podmiot stosujący, czyli tego, kto go używa pod własną władzą. Firma kupująca platformę AI jest zwykle podmiotem stosującym.
Podział obowiązków wygląda tak:
| Obowiązek | Dostawca | Podmiot stosujący |
|---|---|---|
| Poinformowanie, że rozmówcą jest system AI | tak | nie |
| Maszynowe oznaczenie wygenerowanej treści | tak | nie |
| Poinformowanie o rozpoznawaniu emocji | nie | tak |
| Ujawnienie deepfake i tekstu publicznego | nie | tak |
| Zapewnienie kompetencji zespołu (art. 4) | dotyczy obu | tak |
To rozróżnienie warto mieć wprost w umowie z dostawcą. Nie dlatego, że regulator zapyta o umowę, tylko dlatego, że gdy zabraknie oznaczenia, ktoś będzie musiał wskazać, po czyjej stronie leżał obowiązek, a wtedy nikt nie chce zaczynać od interpretacji.
Co zrobić w tym tygodniu
Trzy rzeczy dają najwięcej za najmniejszy koszt.
Po pierwsze, komunikat w interfejsie czatu. Jedno zdanie widoczne przed pierwszą wiadomością, w języku interfejsu, bez prawniczej nowomowy. „Rozmawiasz z asystentem AI” wystarczy.
Po drugie, zasada redakcyjna na piśmie: każdy tekst publikowany na zewnątrz przechodzi przez człowieka, który bierze za niego odpowiedzialność. To zdejmuje obowiązek oznaczania z art. 50 ust. 4 i jest zwykle i tak tym, czego chce dział marketingu.
Po trzecie, kompetencje. Art. 4 obowiązuje od lutego 2025 i wymaga zapewnienia wystarczającego poziomu wiedzy o AI u osób, które używają jej w imieniu firmy. Nie ma tu certyfikatu do zdobycia. Wystarczy udokumentowane szkolenie wewnętrzne i lista osób, które je przeszły.
Czego akt nie wymaga
Nie wymaga zgody użytkownika na korzystanie z asystenta. Nie wymaga rejestracji zwykłego czatu w żadnej bazie. Nie wymaga oceny zgodności ani dokumentacji technicznej dla narzędzia, które podsumowuje notatki ze spotkań. Nie zakazuje też korzystania z modeli spoza Unii, choć to akurat pytanie, które w zamówieniach publicznych pada z innego powodu niż akt o AI.
Warto natomiast pamiętać, że przejrzystość z art. 50 to minimum ustawowe, a nie sufit. Jeżeli klient pyta, które fragmenty odpowiedzi pochodzą z jego dokumentów, a które z modelu, to jest pytanie o zaufanie, nie o zgodność. Odpowiedź „mamy przypisy z numerem strony” działa lepiej niż odpowiedź „jesteśmy zgodni z rozporządzeniem”.