Chatbot na stronie a AI Act: co powinna zrobić mała firma

Od 2 sierpnia 2026 osoba, która pisze z chatbotem AI, ma wiedzieć, że nie rozmawia z człowiekiem. Wymaga tego art. 50 AI Act, unijnego rozporządzenia o sztucznej inteligencji, i przepis już obowiązuje. Unijny pakiet zmian z lipca 2026, czyli rozporządzenie (UE) 2026/1744, tej daty nie przesunął. Obowiązek spoczywa na dostawcy systemu, a może nim być producent narzędzia albo Twoja firma. Dane z rozmów to osobna sprawa, bo obejmuje je RODO.

Co zrobić w tym tygodniu

Zacznij od swojego czatu. Jeśli dopiero planujesz chatbota, zrób to samo przed startem.

1. Otwórz czat jak klient. Sprawdź, czy przed pierwszą wiadomością widać informację o AI. Zapytaj chatbota, czy jest człowiekiem.
2. Wyślij producentowi narzędzia pytania z tego artykułu i poproś o odpowiedź na piśmie.
3. Sprawdź, czy masz z nim umowę powierzenia danych.
4. Dopisz chatbota do polityki prywatności i ustaw czas przechowywania rozmów.
5. Jeśli używasz gotowego narzędzia, wypełnij listę UODO i ją zachowaj.

Kiedy przepis dotyczy Twojego chatbota

Art. 50 ust. 1 obejmuje systemy AI przeznaczone do bezpośredniej interakcji z ludźmi. Wytyczne Komisji Europejskiej podają przykład chatbotów w obsłudze klienta i handlu internetowym. Komisja zatwierdziła ich treść 20 lipca 2026, a formalne przyjęcie, od którego mają być stosowane, zapowiedziała po przygotowaniu wszystkich wersji językowych. Jej strona pisze już o przyjęciu wytycznych, ale nie znaleźliśmy informacji o formalnym przyjęciu. Wytyczne nie są wiążące, a ostatnie słowo należy do Trybunału Sprawiedliwości UE. Traktujemy je jako najlepszą dostępną wskazówkę.

Według wytycznych obowiązek nie obejmuje automatów bez AI, na przykład odpowiedzi o nieobecności lub szybkich odpowiedzi opartych na regułach. Nie obejmuje też pracownika, który sam rozmawia z klientem, a AI tylko mu pomaga. Sama możliwość przejęcia rozmowy przez człowieka nie zwalnia z informacji. W mieszanym czacie oznaczaj odpowiedzi AI, chyba że człowiek je sprawdza i sam wysyła.

Informacji nie trzeba, gdy AI jest oczywiste, ale Komisja ogranicza ten wyjątek do przypadków, w których prawie nie ma wątpliwości. Przy chatbocie na publicznej stronie przyjmij, że wyjątek nie działa.

Kto odpowiada za informację o AI

Radzimy to samo w każdym układzie. Dopilnuj, żeby informacja o AI była widoczna. Poniżej wyjaśniamy, kto formalnie odpowiada.

Z ról opisanych w rozporządzeniu liczą się tu dwie, a jedna firma może mieć obie. Dostawca tworzy system albo zleca jego stworzenie i pod własną nazwą lub znakiem towarowym wprowadza go do obrotu albo oddaje do użytku. Podmiot stosujący to firma, która decyduje, czy i jak używać systemu. Nie musi mieć nad nim kontroli technicznej. Obowiązek z art. 50 ust. 1 ciąży na dostawcy. Art. 50 daje podmiotom stosującym też inne obowiązki, na przykład przy deepfake’ach. Przy zwykłym czacie z klientami naszym zdaniem nie wchodzą one w grę.

• Gotowy chatbot producenta, bez przeróbek. Komisja opisuje firmę oferującą takie narzędzie pod swoją marką jako dostawcę. Ty jesteś naszym zdaniem podmiotem stosującym.
• Chatbot zbudowany w Twojej firmie, działający pod jej nazwą. Według wytycznych jesteś dostawcą, także gdy budujesz na cudzym modelu.
• Chatbot zamówiony u wykonawcy. Definicja obejmuje tego, kto zleca stworzenie systemu i oddaje go do użytku pod własną nazwą. Naszym zdaniem będzie to zwykle zamawiający. Definicja nie przewiduje zmiany roli umową. W umowie ustal, kto przygotowuje informację o AI i kto ją utrzymuje.
• Cudzy system po zmianach. Według wytycznych firma, która modyfikuje system, na przykład nowymi danymi treningowymi, i oddaje go do użytku pod własną nazwą, staje się dostawcą nowego systemu. Nie znaleźliśmy oficjalnej odpowiedzi, czy modyfikacją jest już wgranie własnych dokumentów lub zmiana instrukcji w gotowym narzędziu.

Jeśli jesteś dostawcą, a chatbot sam pisze odpowiedzi, może Cię też obowiązywać art. 50 ust. 2. Odpowiedzi trzeba wtedy oznaczać w formacie do odczytu maszynowego i zapewnić ich wykrywanie. Możesz oprzeć się na rozwiązaniu dostawcy modelu, ale wykazanie zgodności zostaje po Twojej stronie. Okres przejściowy na te obowiązki mija 2 grudnia 2026. Rozporządzenie mówi o systemach wprowadzonych do obrotu przed 2 sierpnia 2026, a wytyczne dodają oddane do użytku, czyli na przykład zbudowane na własne potrzeby. Chatbot uruchomiony później nie ma okresu przejściowego. Informacji o rozmowie z AI ten termin nie przesuwa.

Informację radzimy pokazywać także wtedy, gdy nie jesteś dostawcą, choć art. 50 ust. 1 nie nakłada tego wprost na firmę, która tylko używa cudzego narzędzia. Prawo konsumenckie działa osobno i zakazuje wprowadzania w błąd co do głównych cech usługi. Według wytycznych AI może być taką cechą, gdy usługa na niej się opiera. O zwykłym czacie obsługi klienta tego nie mówią.

W obu rolach obowiązuje też art. 4. Firma ma podjąć kroki, które wspierają wiedzę o AI u osób obsługujących system. Przepis nie wymaga określonego poziomu wiedzy. Na początek może to być krótka instrukcja, co chatbot robi i gdzie się myli.

Jak powiedzieć, że to AI

W tej części opieramy się na wytycznych Komisji Europejskiej, chyba że piszemy inaczej.

Informacja ma się pojawić jasno i wyraźnie, najpóźniej przy pierwszej interakcji. Zwykle wystarczy jedna wyraźna informacja przed pierwszą wymianą wiadomości, co najmniej raz na początku sesji. Pokazuj ją więc przy każdej nowej rozmowie, nie tylko przy pierwszej wizycie. Komisja poleca miejsce blisko pola do pisania. Przykładowy tekst (nasz, nie z przepisów):

To czat oparty na AI. Nie rozmawiasz z człowiekiem. Odpowiedź może zawierać błąd.

Gdy rozmowę przejmuje człowiek, zmień ten komunikat. To nasza rada, nie zapis z wytycznych.

Same nie wystarczą:

• zapis tylko w regulaminie,
• samo słowo „asystent” albo ludzka postać, która może zmylić,
• ogólne „usługi na tej stronie korzystają z AI”,
• techniczne „system używa modeli językowych”.

Sprawdź też, nawet jeśli chatbot już działa:

• Pytanie „czy jesteś człowiekiem”. System ma wtedy ujawnić, że jest AI. Sprawdź to sam.
• Sprawy wrażliwe. Przy finansach, ubezpieczeniach, prawie, zdrowiu i reklamacjach oraz w rozmowach z dziećmi, seniorami i osobami z niepełnosprawnościami przypomnienia w trakcie rozmowy będą prawdopodobnie potrzebne.
• Dostępność. Art. 50 nie dodaje własnych wymagań. Obowiązują te, które już Cię dotyczą, na przykład z Polskiego Aktu o Dostępności. Nawet jeśli ta ustawa Cię nie obejmuje, wytyczne oczekują informacji dostępnej także dla osób z niepełnosprawnościami.

O co zapytać producenta chatbota

Jeśli chatbot już działa, zapytaj teraz, bo przy art. 50 ust. 1 starsze systemy nie mają okresu przejściowego. Poproś o odpowiedzi na piśmie:

• Rola. Czy producent uważa się za dostawcę w rozumieniu AI Act i jak spełnia art. 50 ust. 1 i 2. Czy informację o AI można wyłączyć. Radzimy jej nie wyłączać.
• Umowa powierzenia, czyli umowa, w której producent przetwarza dane tylko na Twoje polecenie. Lista pytań Urzędu Ochrony Danych Osobowych (UODO) dla małych i średnich firm (plik Word) mówi, że jest obowiązkowa, gdy producent przetwarza dane w Twoim imieniu, i że dotyczy to większości usług AI w chmurze.
• Trenowanie modeli. Czy rozmowy uczą modele i czy można to wyłączyć. Według tej listy producent, który używa danych do własnych celów, staje się w tym zakresie administratorem, czyli sam odpowiada za to, po co i jak ich używa.
• Miejsce i czas. Gdzie są dane, czy trafiają poza EOG i jak długo producent trzyma rozmowy i załączniki.
• Incydenty. Jak szybko powiadomi Cię o wycieku. Administrator zgłasza naruszenie organowi zwykle w ciągu 72 godzin.

Co zrobić z danymi z rozmów

W rozmowie często pojawiają się imię, e-mail albo opis problemu. Gdy da się z nich ustalić, o kogo chodzi, to dane osobowe, więc działa RODO, a informacja o AI nie zastępuje obowiązku informacyjnego. Firma, która decyduje, po co i jak używa czatu, jest naszym zdaniem administratorem.

• Polityka prywatności. Dopisz chatbota: cel, podstawę prawną, odbiorców danych, w tym producenta narzędzia, i czas przechowywania. Lista UODO oczekuje też wzmianki o AI i o zasadach działania systemu.
• Podstawa prawna. Zapisz, na jakiej podstawie przetwarzasz dane z czatu. Lista wymienia zgodę, umowę, obowiązek prawny i uzasadniony interes, a jeśli nie wiesz, odsyła do inspektora ochrony danych lub prawnika.
• Czas przechowywania. RODO nie podaje liczby dni, tylko każe trzymać dane nie dłużej, niż to niezbędne. Lista UODO dodaje, że dotyczy to też historii rozmów i załączników. Ustal okres, zapisz go i ustaw w narzędziu.
• Dostęp i prawa klienta. Używaj kont imiennych i uwierzytelniania dwuskładnikowego. Sprawdź, czy znajdziesz rozmowę, gdy ktoś poprosi o dostęp do niej lub jej usunięcie.

Możesz poprosić o niewpisywanie danych wrażliwych, ale to nie zamyka sprawy. Raport zespołu organów ochrony danych o ChatGPT mówi, że odpowiedzialności nie można przerzucić na użytkownika zapisem w regulaminie i że trzeba zakładać, że ludzie prędzej czy później wpiszą dane osobowe. Raport to wstępne stanowisko i dotyczy jednej usługi, a odniesienie go do chatbota firmowego to nasza interpretacja.

Jeśli korzystasz z gotowego narzędzia, wypełnij listę UODO teraz, a jeśli chatbot jeszcze nie działa, przed startem. Lista podaje, że zajmuje to około 30 minut. Zachowaj wypełnioną, ale wiedz, że nie potwierdza ona zgodności z RODO i nie jest wiążącą wykładnią. Lista nie wystarczy, gdy trenujesz model na własnych danych, narzędzie wpływa na sytuację prawną ludzi, w grę wchodzą dane wrażliwe lub dane dzieci albo dane trafiają poza EOG. Wtedy kieruje do wersji rozszerzonej lub do specjalisty.

Kto to nadzoruje i co grozi

W Polsce od 11 sierpnia 2026 obowiązuje ustawa o systemach sztucznej inteligencji, a jej przepisy o kontroli, postępowaniu i karach od 28 października 2026. Nadzoruje to Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Ustawa daje jej na pierwsze posiedzenie czas do 11 listopada 2026. Nie znaleźliśmy oficjalnej informacji, że już się odbyło. Skargę może do niej złożyć osoba prywatna albo firma.

Za naruszenie obowiązków z art. 50 grozi kara do 15 mln euro albo do 3% rocznego światowego obrotu. W małych i średnich firmach obowiązuje niższa z tych wartości. Przy obrocie 2 mln zł górna granica to 60 000 zł według naszego wyliczenia. Kara grozi temu, kogo dany obowiązek obciąża, a przy informacji o czacie jest to dostawca. Jej wysokość zależy między innymi od wagi naruszenia, czasu jego trwania i współpracy z organem. W toku postępowania KRiBSI może też wydać ostrzeżenie ze wskazaniem, co naprawić.

Dane z rozmów nadzoruje osobno Urząd Ochrony Danych Osobowych, a kary za nie wynikają z art. 83 RODO.

Kiedy zapytać prawnika

Porozmawiaj z prawnikiem, gdy chatbot odpowiada na pytania o zdrowie, pieniądze lub prawo, rozmawia z dziećmi albo pomaga w rekrutacji, scoringu klientów lub edukacji. Lista UODO podaje, że rekrutacja, scoring, edukacja i zdrowie mogą oznaczać system wysokiego ryzyka. Jeśli narzędzie samo podejmuje decyzje wobec ludzi, lista mówi, że trzeba zmienić sposób korzystania z niego albo z niego zrezygnować.

Opisujemy stan z 5 listopada 2026. Wytyczne Komisji Europejskiej mogą się zmienić. Ten tekst nie jest poradą prawną. Jeśli planujesz chatbota albo chcesz zmienić tego, który już działa na Twojej stronie, napisz do nas.