Przez dwa lata AI Act był tematem konferencyjnym. Od kilku tygodni jest tematem operacyjnym. Obowiązki przejrzystości wynikające z rozporządzenia (UE) 2024/1689 stosuje się od 2 sierpnia 2026 r., a polska ustawa o systemach sztucznej inteligencji weszła w życie 11 sierpnia 2026 r. i powołała krajowy organ nadzoru, czyli Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI).
Wdrażamy voiceboty i chatboty dla firm od 2019 roku. Ten tekst jest o tym, co konkretnie musieliśmy zmienić w naszych wdrożeniach i co powinieneś sprawdzić u siebie, zanim zrobi to ktoś inny.
Najpierw jedno rozróżnienie, które oszczędza dużo nerwów
AI Act to rozporządzenie unijne. Obowiązuje bezpośrednio, niezależnie od tego, co uchwala polski parlament. Polska ustawa nie decyduje o tym, czy przepisy Cię obejmują. Decyduje o tym, kto ich w Polsce pilnuje i jak wygląda procedura.
Drugie rozróżnienie: większość firm, które do nas przychodzą, nie jest dostawcą systemu AI. Jest podmiotem stosującym. Kupujesz voicebota, wdrażasz go na infolinii, odpowiadasz za sposób jego użycia. Obowiązki po Twojej stronie są węższe niż po stronie dostawcy, ale nie zerowe. I to właśnie w tym miejscu najczęściej powstaje luka, bo integrator zakłada, że klient to ogarnie, a klient zakłada, że integrator to dowiózł w cenie.
W IvoryLab rozpisujemy podział ról wprost w dokumentacji wdrożeniowej. Kto jest dostawcą, kto podmiotem stosującym, kto odpowiada za komunikat startowy, kto za logi, kto za rejestr incydentów.
Voicebot: pierwsze trzy sekundy rozmowy decydują o zgodności
Artykuł 50 AI Act wymaga, żeby osoba wchodząca w interakcję z systemem AI została o tym poinformowana, chyba że jest to oczywiste dla rozsądnie zorientowanego odbiorcy. Przy voicebotach, które brzmią naturalnie, ta oczywistość zniknęła. Jakość syntezy mowy przeskoczyła próg, za którym rozmówca po prostu nie wie, z kim rozmawia.
Co to znaczy w praktyce, w konfiguracji, którą realnie ustawiamy:
Komunikat identyfikacyjny na wejściu. Nie w regulaminie, nie na stronie, tylko w pierwszej wypowiedzi bota. Krótko i bez asekuracji prawniczej. "Dzień dobry, tu asystent głosowy recepcji, nagrywam rozmowę." Testowaliśmy to na kilkunastu wdrożeniach i wbrew obawom klientów wskaźnik rozłączeń w pierwszych sekundach nie rósł istotnie. Rozmówcy reagują gorzej na wykrycie oszustwa niż na uczciwą informację.
Ścieżka eskalacji do człowieka. Formalnie to nie jest obowiązek z art. 50, ale w praktyce to najtańsze zabezpieczenie przed zarzutem, że system wprowadzał w błąd lub blokował dostęp do usługi. Budujemy ją domyślnie, z twardym wyzwalaczem na frazy typu "chcę rozmawiać z człowiekiem".
Zakaz udawania konkretnej osoby. Klonowanie głosu prawdziwego pracownika bez jego zgody i bez ujawnienia to prosta droga do problemu, i to nie tylko na gruncie AI Act, ale też dóbr osobistych i RODO. Odradzamy to nawet wtedy, gdy klient bardzo chce.
Rozdzielenie warstwy prawnej od warstwy UX. Zgoda na nagrywanie, informacja o botach i klauzula RODO to trzy różne rzeczy. Wrzucone do jednego bloku na 40 sekund zabijają rozmowę. Rozbijamy je na moment, w którym faktycznie są potrzebne.
Treści generowane: oznaczanie, którego nikt nie widzi, i to jest dobrze
Drugi obszar art. 50 to treści syntetyczne. Obejmuje on dwie warstwy, które łatwo pomylić.
Warstwa maszynowa to oznaczenie w formacie odczytywalnym maszynowo, pozwalające wykryć, że materiał został wygenerowany lub zmodyfikowany przez AI. To zadanie dostawcy generatora, nie Twojego działu marketingu. W praktyce oznacza jednak, że wybór narzędzia do generowania grafik czy wideo przestaje być wyłącznie decyzją o cenie i jakości.
Warstwa widoczna dotyczy deepfake'ów i tekstów publikowanych w celu informowania opinii publicznej o sprawach leżących w interesie publicznym. Zwykły opis produktu w e-commerce ani post firmowy o nowej funkcji w aplikacji nie wpadają w ten reżim automatycznie. Kampania wykorzystująca wygenerowany wizerunek osoby, owszem.
Widzimy tu dwie skrajności u klientów. Jedni nie oznaczają nic i mają realne ryzyko przy materiałach wizerunkowych. Drudzy dokleili stopkę "wygenerowane przez AI" pod każdym akapitem na blogu i zdziwili się, że to nie pomogło ani w SEO, ani w zaufaniu. Zgodność to nie jest maksymalizacja liczby ostrzeżeń.
W naszych pipeline'ach generowania treści rozdzielamy artefakty według przeznaczenia i logujemy, który model i która wersja promptu wyprodukowały dany materiał. To nie wynika wprost z przepisu. Wynika z tego, że przy pytaniu z zewnątrz chcesz mieć odpowiedź w pięć minut, a nie w pięć dni.
Kompetencje w zakresie AI: obowiązek, o którym prawie nikt nie pamięta
Artykuł 4 AI Act obowiązuje od 2 lutego 2025 r. i nakłada na dostawców oraz podmioty stosujące obowiązek zapewnienia odpowiedniego poziomu kompetencji AI u osób zajmujących się obsługą systemów. Bez progów wielkości firmy.
To jest przepis, który zwykle wywołuje przewrócenie oczami, dopóki nie zamieni się go na coś użytecznego. My traktujemy go jak część odbioru wdrożenia. Jednostronicowa instrukcja dla zespołu: czym ten bot jest, czego nie potrafi, kiedy przejąć rozmowę, co zrobić przy halucynacji, gdzie zgłosić incydent. Krótkie szkolenie przy przekazaniu systemu. Data i lista uczestników w protokole odbioru.
Zajmuje to jedno popołudnie i zamyka temat.
Piaskownice regulacyjne: konkretna korzyść dla MŚP
Polska ustawa wprowadza ramy piaskownic regulacyjnych, czyli kontrolowanych środowisk testowania systemów AI pod nadzorem państwa, przy czym mikro, mali i średni przedsiębiorcy są zwolnieni z opłat za udział. Przewiduje też opinie indywidualne dające pewność co do legalności planowanych działań.
Jeśli budujesz coś, co ociera się o obszary wysokiego ryzyka, na przykład scoring kandydatów w rekrutacji, ocenę zdolności kredytowej albo triage w ochronie zdrowia, to jest realne narzędzie, a nie ozdobnik. Warto o tym pomyśleć na etapie projektowania, a nie po wdrożeniu.
Uwaga na kalendarz: przewodniczący KRiBSI ma zostać powołany w ciągu dwóch miesięcy od wejścia ustawy w życie, a cała Komisja w ciągu trzech, co według Ministerstwa Cyfryzacji oznacza start działalności w listopadzie 2026 r. Do tego czasu ścieżka opiniowania praktycznie nie działa.
Gdzie stoją Twoje dane
AI Act nie reguluje lokalizacji przetwarzania. Robi to RODO i, coraz częściej, wewnętrzna polityka klienta korporacyjnego. Ale te dwa tematy spotykają się w jednym punkcie: w audycie.
Kiedy przychodzi pytanie o system, odpowiadasz nie tylko na "czy informujecie o bocie", ale też na "gdzie trafiają nagrania", "kto ma do nich dostęp", "jaki model przetwarza transkrypcję" i "na jakiej podstawie". Jeśli architektura wdrożenia to łańcuch pięciu zagranicznych API bez umów powierzenia, to nie jest problem prawny. To jest problem projektowy, który dopiero ujawnia się jako prawny.
Dlatego domyślnie hostujemy w infrastrukturze europejskiej i mamy zapisaną politykę doboru modeli, w tym wykluczenie modeli pochodzenia chińskiego z warstw produkcyjnych kontaktujących się z klientem końcowym. Dla części klientów to wymóg przetargowy. Dla reszty to argument, którego nie trzeba używać, dopóki nie jest potrzebny.
Lista kontrolna: siedem rzeczy do sprawdzenia w tym tygodniu
- Czy Twój bot informuje o swojej naturze w pierwszej wypowiedzi lub pierwszej wiadomości?
- Czy rozmówca ma działającą ścieżkę do człowieka?
- Czy wiesz, kto jest dostawcą, a kto podmiotem stosującym w każdym z Twoich systemów AI?
- Czy masz spis systemów AI używanych w firmie, łącznie z tymi wdrożonymi przez marketing bez udziału IT?
- Czy materiały wizerunkowe i wideo generowane przez AI są oznaczone tam, gdzie trzeba?
- Czy zespół obsługujący system przeszedł jakiekolwiek udokumentowane szkolenie?
- Czy wiesz, gdzie fizycznie leżą nagrania i transkrypcje z ostatnich sześciu miesięcy?
Jeśli na trzy z tych pytań odpowiedź brzmi "trzeba by sprawdzić", to jest dokładnie ten moment.
Co z tego wynika
Zgodność z AI Act w warstwie, która dotyczy większości firm, to nie jest projekt na kwartał. To jest kilka decyzji projektowych, komunikat na wejściu, uporządkowana dokumentacja i świadomy wybór infrastruktury. Koszt liczony w dniach, jeśli robisz to przy okazji wdrożenia. Koszt liczony w tygodniach i przestojach, jeśli robisz to po fakcie, pod presją audytu albo pytania od klienta korporacyjnego.
Nasze wdrożenia voicebotów i chatbotów mają te elementy w standardzie, bo taniej jest zaprojektować je od razu niż doklejać później. Jeśli masz działający system i chcesz wiedzieć, gdzie realnie stoisz, zrobimy przegląd i pokażemy listę luk z priorytetami. Bez straszenia karami, których w praktyce i tak jeszcze nikt w Polsce nie nałożył.
Tekst ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na 20 sierpnia 2026 r.