Wykorzystujesz narzędzia AI do pisania opisów produktów, tworzenia grafik lub obsługi klientów przez chatbota? Od 2 sierpnia 2026 roku wchodzą w życie nowe obowiązki przejrzystości wynikające z unijnego AI Act. Wbrew obawom nie oznacza to, że musisz oznaczać każdą grafikę czy opis wygenerowany przez sztuczną inteligencję. Istnieją jednak sytuacje, takie jak obsługa klienta przez bota czy publikacja deepfake’ów, gdzie jasna informacja będzie bezwzględnie wymagana. Sprawdź, co dokładnie zmienia się dla Twojego sklepu.
Czym jest AI Act?
AI Act to potoczna nazwa Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689, ustanawiającego zharmonizowane przepisy dotyczące sztucznej inteligencji. Weszło ono w życie 1 sierpnia 2024 roku, ale – co bardzo ważne – nie zaczęło obowiązywać jednego dnia w całości. Unijny prawodawca rozłożył wdrożenie na etapy, tak aby firmy, dostawcy technologii i organy nadzoru mogły się do niego przygotować.
Jako rozporządzenie unijne, AI Act obowiązuje bezpośrednio we wszystkich państwach członkowskich UE – nie trzeba czekać na jego „przepisanie” do polskiego prawa. Polska przyjęła jednak ustawę o systemach sztucznej inteligencji, która organizuje krajowy nadzór, określa procedury postępowań oraz zasady nakładania administracyjnych kar pieniężnych. Ustawa została ogłoszona 27 lipca 2026 roku.
Po co w ogóle powstał AI Act?
Cel regulacji można sprowadzić do trzech rzeczy:
Innymi słowy: AI Act nie ma zakazać firmom korzystania z AI. Ma sprawić, że korzystanie z niej będzie przejrzyste i odpowiedzialne, szczególnie tam, gdzie błąd algorytmu może kogoś skrzywdzić lub wprowadzić w błąd.
Ważna aktualizacja: Digital Omnibus on AI (2026)
27 lipca 2026 roku weszło w życie rozporządzenie (UE) 2026/1744, znane jako Digital Omnibus on AI. W zakresie harmonogramu przesunęło ono przede wszystkim terminy stosowania przepisów dotyczących systemów AI wysokiego ryzyka. Nie przesunęło natomiast obowiązków przejrzystości istotnych dla e-commerce.
- 2 sierpnia 2026 roku zaczną być stosowane obowiązki przejrzystości z art. 50 AI Act. Dotyczą one między innymi informowania użytkowników o bezpośredniej interakcji z AI, technicznego znakowania treści przez dostawców systemów oraz widocznego oznaczania deepfake’ów i określonych tekstów dotyczących spraw interesu publicznego. Nie oznacza to obowiązku oznaczania każdego opisu produktu, obrazu czy filmu stworzonego z pomocą AI.
Dostawcy systemów generatywnych wprowadzonych na rynek przed 2 sierpnia 2026 roku mają czas do 2 grudnia 2026 roku na wdrożenie technicznego znakowania treści wymaganego w art. 50 ust. 2. Ten okres przejściowy nie obejmuje pozostałych obowiązków przejrzystości.
- 2 grudnia 2027 roku zaczną być stosowane przepisy dotyczące systemów wysokiego ryzyka wymienionych w załączniku III, między innymi systemów używanych w rekrutacji, edukacji i ocenie zdolności kredytowej osób fizycznych.
- 2 sierpnia 2028 roku zaczną być stosowane przepisy dotyczące systemów wysokiego ryzyka wbudowanych w regulowane produkty, takie jak maszyny, zabawki czy windy.
Dla sklepów, które korzystają z narzędzi objętych art. 50, najważniejszy i najbliższy termin to:
2 sierpnia 2026 roku.
Jak AI Act klasyfikuje systemy AI?
AI Act opiera się na podejściu opartym na ryzyku. Im większe potencjalne zagrożenie dla użytkownika, tym większe obowiązki dla firmy, która z danego systemu korzysta.
- Ryzyko niedopuszczalne: systemy zakazane całkowicie, np. manipulacja podprogowa, scoring społeczny. W e-commerce praktycznie się nie pojawiają.
- Wysokie ryzyko: systemy wpływające na istotne prawa lub bezpieczeństwo osób, np. AI używana w rekrutacji, ocenie zdolności kredytowej osób fizycznych czy niektórych systemach biometrycznych. Większość sklepów internetowych tu nie wchodzi, ale warto to sprawdzić, jeśli np. używasz AI do automatycznej oceny zdolności kredytowej osoby fizycznej.
- Ograniczone ryzyko, obowiązki przejrzystości: tu ląduje zdecydowana większość narzędzi AI używanych w e-commerce: chatboty, generatory treści, systemy tworzące obrazy czy wideo.
- Minimalne ryzyko: np. proste filtry antyspamowe czy typowe systemy rekomendacji produktów — praktycznie bez dodatkowych obowiązków wynikających z AI Act. Wykorzystywanie danych szczególnej kategorii może powodować dodatkowe obowiązki na gruncie RODO, ale samo w sobie nie przesądza o zakwalifikowaniu systemu jako wysokiego ryzyka w AI Act.
Co to oznacza konkretnie dla właściciela sklepu internetowego?
Tu przechodzimy do sedna. Poniżej najczęstsze zastosowania AI w e-commerce i obowiązki, które się z nimi wiążą.
1. Chatboty i wirtualni asystenci obsługi klienta
Jeśli klient rozmawia z botem obsługującym zapytania, reklamacje czy rekomendacje produktowe, system powinien od początku jasno informować go, że komunikuje się z AI, chyba że jest to oczywiste z kontekstu dla rozsądnie poinformowanej i uważnej osoby. Obowiązek zaprojektowania systemu w taki sposób spoczywa przede wszystkim na jego dostawcy.
Jako właściciel sklepu korzystający z gotowego rozwiązania powinieneś jednak sprawdzić, czy chatbot rzeczywiście wyświetla odpowiednią informację. Jeżeli zlecasz stworzenie systemu i udostępniasz go pod własną nazwą lub marką, możesz sam zostać uznany za dostawcę. W praktyce oznacza to np. czytelną etykietę „Asystent AI” przy oknie czatu, zamiast udawania żywego konsultanta.
2. Treści generowane przez AI (opisy, grafiki, wideo)
Coraz więcej sklepów generuje opisy produktów, zdjęcia czy filmy reklamowe przy pomocy AI. AI Act nie wprowadza jednak ogólnego obowiązku widocznego oznaczania każdej takiej treści.
Dostawca systemu generatywnego ma zapewnić techniczne oznaczenie wygenerowanych lub zmodyfikowanych treści w formacie czytelnym maszynowo i umożliwiającym ich wykrycie. Nie jest to to samo co widoczny dla klienta napis „wygenerowane przez AI”.
Po stronie sklepu jako podmiotu stosującego AI widoczne oznaczenie jest wymagane przede wszystkim w przypadku:
- deepfake’ów,
- tekstów publikowanych w celu informowania społeczeństwa o sprawach interesu publicznego, jeżeli nie przeszły merytorycznej kontroli człowieka i za których publikację nie odpowiada konkretna osoba ani podmiot.
Nie każda grafika stworzona przez AI jest deepfake’em. Chodzi o wygenerowany lub zmodyfikowany obraz, dźwięk albo film, który może przypominać istniejącą osobę, przedmiot, miejsce bądź zdarzenie i może zostać fałszywie odebrany jako autentyczny lub zgodny z prawdą.
W e-commerce widoczne oznaczenie może być potrzebne np. przy realistycznej wizualizacji istniejącego produktu, jeśli klient może uznać ją za prawdziwe zdjęcie. Ocena zależy jednak od konkretnego materiału, kontekstu publikacji i oczekiwań odbiorcy.
AI Act nie wymaga oznaczania zwykłych opisów produktów tworzonych przez AI. Nie decyduje o tym ich komercyjny charakter, lecz to, że co do zasady nie są publikowane w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. To właśnie jest właściwe kryterium z art. 50 ust. 4.Obowiązek oznaczania może pojawić się wtedy, gdy treść, niezależnie od tego, czy publikuje ją sklep, blog czy medium, faktycznie służy informowaniu społeczeństwa o takich sprawach.
Mogą to być na przykład kwestie zdrowia publicznego, bezpieczeństwa konsumentów czy istotne wydarzenia gospodarcze, ale nie jest to zamknięta lista. Nawet taki tekst nie musi zostać oznaczony jako wygenerowany przez AI, jeżeli został merytorycznie sprawdzony przez człowieka lub przeszedł kontrolę redakcyjną, a konkretna osoba albo firma ponosi odpowiedzialność redakcyjną za jego publikację.
3. Systemy rekomendacji i personalizacji
Silniki rekomendujące produkty na podstawie zachowań użytkownika same w sobie zwykle nie są systemami wysokiego ryzyka, ale jeśli personalizacja wpływa na ceny lub warunki oferty w sposób, który mógłby wprowadzać w błąd, warto zadbać o przejrzystość takich mechanizmów — także z uwagi na inne przepisy, np. o ochronie konsumentów, RODO.
4. Automatyzacja decyzji dotyczących klientów
Jeśli AI automatycznie ocenia zdolność kredytową osoby fizycznej lub ustala jej scoring kredytowy, to obszar, który wymaga dokładniejszej analizy pod kątem wysokiego ryzyka i odrębnej dokumentacji.
System oceniający wyłącznie wiarygodność spółki lub innej osoby prawnej nie staje się z tego powodu systemem wysokiego ryzyka na podstawie przepisów dotyczących scoringu kredytowego. Sytuacja może jednak wyglądać inaczej, gdy decyzja dotyczy osoby fizycznej, w tym w określonych okolicznościach osoby prowadzącej jednoosobową działalność gospodarczą.
5. Kompetencje zespołu (AI literacy)
Ten obowiązek już obowiązuje od lutego 2025 roku. Firmy korzystające z systemów AI powinny podejmować działania wspierające rozwój kompetencji osób, które obsługują te narzędzia lub korzystają z nich w imieniu firmy. Zakres takich działań powinien uwzględniać wiedzę, doświadczenie i wykształcenie tych osób, kontekst używania systemu oraz grupy, na które AI może oddziaływać.
AI Act nie wymaga jednak osiągnięcia jednego, odgórnie określonego poziomu wiedzy. Nie nakazuje też konkretnej liczby godzin szkolenia, zdawania egzaminu ani uzyskania zewnętrznego certyfikatu.
W praktyce szkolenie może być jednym z takich działań. Firma może również przygotować wewnętrzną instrukcję korzystania z AI, zasady dotyczące danych, których nie wolno wprowadzać do narzędzi, procedurę weryfikacji odpowiedzi AI oraz reguły zatwierdzania treści przed publikacją.
Ile grozi za brak zgodności z AI Act?
AI Act przewiduje różne maksymalne poziomy kar, zależnie od rodzaju naruszenia:
- do 35 milionów euro lub 7% całkowitego światowego rocznego obrotu za naruszenie zakazanych praktyk z art. 5,
- do 15 milionów euro lub 3% całkowitego światowego rocznego obrotu za naruszenie wielu pozostałych obowiązków, w tym obowiązków przejrzystości z art. 50,
- do 7,5 miliona euro lub 1% całkowitego światowego rocznego obrotu za przekazanie organom albo jednostkom notyfikowanym nieprawidłowych, niepełnych lub wprowadzających w błąd informacji.
W przypadku MŚP, w tym startupów, dla danej kategorii naruszenia stosuje się niższy z dwóch maksymalnych limitów: kwotowego lub procentowego. Są to maksymalne pułapy, a nie automatyczne kary nakładane za każde naruszenie.
W Polsce ustawa o systemach sztucznej inteligencji przewiduje, że organem nadzoru rynku będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Ustawa została ogłoszona 27 lipca 2026 roku. Jej zasadnicza część wejdzie w życie 11 sierpnia 2026 roku, natomiast część przepisów dotyczących organizacji nadzoru i postępowań zacznie obowiązywać 28 października 2026 roku. UODO nadal odpowiada za przestrzeganie przepisów o ochronie danych osobowych w zakresie swoich kompetencji, ale nie jest ogólnym organem nadzorującym cały AI Act.
Co zrobić już teraz? Praktyczna checklista
Wypisz wszystkie narzędzia AI używane w sklepie: chatbot, generator opisów, generator grafik, systemy rekomendacji, ewentualne narzędzia scoringowe.
W większości przypadków będą to systemy minimalnego ryzyka albo narzędzia objęte wybranymi obowiązkami przejrzystości.
Przede wszystkim deepfake’i oraz teksty dotyczące spraw interesu publicznego, które nie przeszły merytorycznej kontroli człowieka i nie posiadają wskazanej osoby odpowiedzialnej za ich publikację. Nie musisz oznaczać automatycznie każdego opisu produktu, grafiki czy filmu tylko dlatego, że wykorzystano przy nich AI.
Upewnij się, że jego dostawca zapewnił jasną informację o rozmowie z systemem AI, jeśli nie jest to oczywiste z kontekstu.
Zastosuj działania adekwatne do sposobu używania AI, np. szkolenie, instrukcję wewnętrzną, zasady ochrony danych i procedurę weryfikacji treści.
Harmonogram AI Act był już raz modyfikowany przez Digital Omnibus i możliwe są kolejne doprecyzowania w nadchodzących miesiącach.
Podsumowanie
AI Act nie jest przepisem wymierzonym w sklepy internetowe, to ogólnoeuropejska próba uporządkowania świata, w którym AI podejmuje coraz więcej decyzji dotyczących ludzi. Dla większości sklepów internetowych nie oznacza bezwzględnego obowiązku oznaczania wszystkich opisów, grafik i reklam przygotowanych z pomocą AI. Najważniejsze jest ustalenie roli sklepu, rodzaju wykorzystywanego systemu oraz konkretnego zastosowania.
Typowy sklep powinien przede wszystkim zadbać o kompetencje osób korzystających z AI, sprawdzić sposób działania chatbota, nie publikować realistycznych treści syntetycznych w sposób mogący wprowadzać klientów w błąd oraz upewnić się, że nie korzysta z systemów objętych szczególnymi obowiązkami.
FAQ — najczęstsze pytania o AI Act w e-commerce
AI Act może dotyczyć firm niezależnie od ich wielkości. Zakres obowiązków zależy jednak przede wszystkim od roli firmy i sposobu wykorzystywania konkretnego systemu, a nie wyłącznie od tego, czy sklep jest mały, czy duży. Mały sklep nie musi oznaczać każdego opisu produktu przygotowanego z pomocą AI, ale może mieć obowiązki np. w związku z publikacją deepfake’u albo używaniem systemu pod własną marką.
Nie. AI Act nie wprowadza ogólnego obowiązku oznaczania zwykłych opisów produktów tylko dlatego, że zostały przygotowane przy użyciu AI. Widoczny obowiązek oznaczenia tekstu dotyczy tekstów publikowanych w celu informowania społeczeństwa o sprawach interesu publicznego. Nawet wtedy oznaczenie nie jest wymagane, jeżeli tekst przeszedł merytoryczną kontrolę człowieka lub kontrolę redakcyjną, a za jego publikację odpowiada osoba albo podmiot.
Jeżeli odpowiadasz za spełnienie tego obowiązku jako dostawca systemu, naruszenie art. 50 może podlegać karze z poziomu do 15 milionów euro lub 3% całkowitego światowego rocznego obrotu. W przypadku MŚP maksymalny limit ustala się według niższej z tych wartości.Nie można jednak zakładać, że organ zawsze najpierw wyśle ostrzeżenie albo wezwanie do poprawy. Rodzaj reakcji będzie zależał między innymi od charakteru, skali, czasu trwania i skutków naruszenia, stopnia odpowiedzialności firmy, współpracy z organem oraz podjętych działań naprawczych.
AI Act rozróżnia dostawcę systemu AI od podmiotu, który go stosuje. W przypadku chatbota obowiązek zaprojektowania systemu tak, aby użytkownik został poinformowany o interakcji z AI, spoczywa przede wszystkim na dostawcy. Jako właściciel sklepu powinieneś jednak sprawdzić, czy gotowe rozwiązanie rzeczywiście wyświetla odpowiednią informację. Jeżeli zlecasz stworzenie systemu i udostępniasz go pod własną nazwą lub marką, możesz sam zostać uznany za dostawcę. Podmiot stosujący ma ponadto własne obowiązki w sytuacjach wskazanych w art. 50, np. przy publikacji deepfake’ów.
Harmonogram AI Act był już raz modyfikowany przez Digital Omnibus, więc kolejne doprecyzowania nie są wykluczone. Obowiązki przejrzystości z art. 50 nie zostały jednak przesunięte i na dziś mają zastosowanie od 2 sierpnia 2026 roku. Ograniczony okres przejściowy do 2 grudnia 2026 roku dotyczy wyłącznie technicznego znakowania treści przez dostawców systemów wprowadzonych na rynek przed 2 sierpnia 2026 roku.
W zdecydowanej większości przypadków nie. Typowe rekomendacje produktowe czy personalizacja oferty należą do zastosowań minimalnego ryzyka albo mogą podlegać wybranym obowiązkom wynikającym z innych przepisów. Wysokie ryzyko dotyczy raczej sytuacji, w których AI podejmuje określone decyzje istotnie wpływające na sytuację prawną lub finansową osoby fizycznej, np. automatycznie ocenia jej zdolność kredytową.
Zacznij od rzeczy, które nic nie kosztują: wypisz używane narzędzia AI, sprawdź, kto jest ich dostawcą, upewnij się, że chatbot informuje o interakcji z AI, oraz ustal, czy publikujesz deepfake’i lub teksty objęte obowiązkiem oznaczenia.Przygotuj też krótkie zasady korzystania z AI: jakich danych nie wolno wprowadzać do narzędzi, kto sprawdza wygenerowane treści i kiedy odpowiedź AI wymaga dodatkowej weryfikacji. Szkolenie może być częścią tych działań, ale nie jest jedyną dopuszczalną formą realizacji obowiązku dotyczącego kompetencji AI.
Ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. W razie wątpliwości co do kwalifikacji konkretnego systemu AI używanego w Twoim sklepie, warto skonsultować się z prawnikiem specjalizującym się w prawie nowych technologii.