Przepisy dotyczące chatbotów na mocy unijnej ustawy o sztucznej inteligencji: jakie obowiązują od sierpnia 2026 r.?

Tak: od 2 sierpnia 2026 r. obowiązują zasady przejrzystości określone w artykule 50 unijnej ustawy o sztucznej inteligencji (AI) , a chatbot musi jasno poinformować użytkowników, że mają do czynienia z systemem AI, najpóźniej przy pierwszej interakcji. Jedynym wyjątkiem jest sytuacja, gdy jest to oczywiste dla w miarę dobrze poinformowanego użytkownika.

Dla większości chatbotów do obsługi klienta i stron internetowych, ujawnienie tych informacji jest podstawowym obowiązkiem, a jego spełnienie jest łatwe i niedrogie. Chatbot, który pomaga w podejmowaniu decyzji o kandydatach do pracy, przyznawaniu kredytów lub dostępie do niezbędnych usług, to zupełnie inna sprawa: może to być system wysokiego ryzyka, z dużo bardziej rygorystycznymi przepisami, które zaczną obowiązywać od 2 grudnia 2027 r. Poniżej wyjaśniamy, co się zmieniło, jak klasyfikować chatbota i co teraz zrobić, uwzględniając nakładanie się przepisów RODO.

Co zmieniło się 2 sierpnia 2026 r.?

Obowiązki w zakresie przejrzystości określone w art. 50 ustawy o sztucznej inteligencji (AI) stały się obowiązujące. W przypadku chatbotów oznacza to, że użytkownicy muszą zostać jasno poinformowani o interakcji z systemem AI, najpóźniej w momencie pierwszej interakcji lub kontaktu (art. 50 ust. 1 i 5 rozporządzenia (UE) 2024/1689 ).

Informacje muszą być jasne i czytelne oraz spełniać wymogi dostępności. Zwykły zapis w regulaminie, banerze informującym o plikach cookie lub stopce strony nie wystarczy. Jeśli rozsądny użytkownik mógłby pomyśleć, że rozmawia z człowiekiem, chatbot nie zastosuje się do tego wyjątek. Nie należy pochopnie opierać się na wyjątkach w sytuacjach, w których obecność sztucznej inteligencji jest oczywista.

Powiązany termin obowiązuje do 2 grudnia 2026 r. Dostawcy systemów AI generujących syntetyczne audio, obrazy, wideo lub tekst muszą oznaczyć te dane wyjściowe w formacie nadającym się do odczytu maszynowego, aby można je było rozpoznać jako wygenerowane sztucznie (art. 50 ust. 2). W przypadku systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r., rozporządzenie AI Omnibus , obowiązujące od 27 lipca 2026 r., zezwala na dostosowanie się do wymogów do 2 grudnia 2026 r. Jeśli Twój chatbot generuje treści, które mogłyby zostać uznane za stworzone przez człowieka, ten termin ma zastosowanie zarówno do Ciebie, jak i Twojego dostawcy.

Wcześniejsze fazy już obowiązują. Zakazane praktyki AI określone w artykule 5 obowiązują od 2 lutego 2025 r., a obowiązki dotyczące modeli AI ogólnego przeznaczenia – od 2 sierpnia 2025 r.

Czy Twój chatbot jest obarczony ograniczonym czy wysokim ryzykiem?

Większość chatbotów do obsługi klienta i na strony internetowe nie jest obarczona wysokim ryzykiem; podlegają one jedynie zasadom przejrzystości. Liczy się sposób korzystania z chatbota, a nie poziom zaawansowania modelu bazowego.

W przypadku standardowego bota wsparcia lub bota FAQ, poinformowanie użytkowników, że mają do czynienia ze sztuczną inteligencją, może być niemalże kompletnym wyjaśnieniem w rozumieniu ustawy o sztucznej inteligencji. Chatbot staje się wysoce ryzykowny, jeśli jest wykorzystywany do podejmowania lub istotnego wspierania ważnych decyzji dotyczących osób w obszarze wymienionym w załączniku III, na przykład:

• decyzje dotyczące zatrudnienia, takie jak rekrutacja, kontrola, awans lub zwolnienie;
• ocena zdolności kredytowej lub ustalenie scoringu kredytowego;
• decydowanie o kwalifikowalności lub dostępie do podstawowych usług i świadczeń publicznych lub prywatnych, takich jak świadczenia socjalne lub niektóre ubezpieczenia na życie i zdrowie;
• inne zastosowania z załącznika III, które mają wpływ na prawa podstawowe.

Systemy wysokiego ryzyka podlegają znacznie bardziej rygorystycznym wymogom, obejmującym zarządzanie ryzykiem, zarządzanie danymi, dokumentację techniczną, rejestrowanie, nadzór ludzki i ocenę zgodności. Rozporządzenie AI Omnibus przesunęło obowiązki określone w Załączniku III do 2 grudnia 2027 r. Jeśli Twój przypadek użycia zmierza w tym kierunku, zaprojektuj go z uwzględnieniem tych wymagań już teraz, ponieważ późniejsza przebudowa systemu będzie droższa.

Szybka samoocena

Zadaj sobie trzy pytania:

• Czy chatbot jedynie informuje, prowadzi lub wyznacza trasę, na przykład odpowiadając na często zadawane pytania, śledząc zamówienia lub przekazując je człowiekowi? Jeśli tak, to bardzo prawdopodobne jest, że jest to rozwiązanie o ograniczonym ryzyku; skup się na przejrzystości.
• Czy decyduje, ocenia lub kontroluje dostęp dla poszczególnych osób, na przykład zatwierdzając lub odrzucając, klasyfikując kandydatów lub oceniając ryzyko? W takim przypadku może to być rozwiązanie wysokiego ryzyka; zasięgnij porady prawnej przed jego wdrożeniem.
• Czy generuje tekst, obrazy lub dźwięk, który mógłby wyglądać jak stworzony przez człowieka? Następnie sprawdź obowiązek oznakowania czytelnego maszynowo i termin 2 grudnia 2026 r. dla istniejących systemów.

Kto jest odpowiedzialny: Ty czy Twój dostawca?

Zależy to od Twojej roli. Obowiązek ujawnienia informacji dotyczących chatbotów, o którym mowa w art. 50 ust. 1, spoczywa na dostawcy, czyli stronie, która opracowuje system sztucznej inteligencji lub zleca jego opracowanie i wprowadza go na rynek lub do użytku pod własną nazwą.

Firma, która tworzy własnego chatbota w oparciu o zewnętrzny model językowy i oferuje go pod własną nazwą, często sama jest dostawcą tego chatbota. Firma, która po prostu korzysta z gotowego chatbota od dostawcy, zazwyczaj jest jego dostawcą. W obu przypadkach chatbot działa na Twojej stronie internetowej, więc brak powiadomienia odbija się na Tobie. Uzgodnij pisemnie z dostawcą, kto czym się zajmuje, i sprawdź wynik w samym oknie czatu.

Jak zapewnić zgodność chatbota?

Zacznij od jasnego powiadomienia o sztucznej inteligencji w oknie czatu, a następnie wprowadź nadzór, dokumentację i ustalenia z dostawcami. W Holandii oczekuje się, że holenderski Urząd Ochrony Danych Osobowych (Autoriteit Persoonsgegevens, AP) i holenderski Urząd ds. Infrastruktury Cyfrowej (RDI) będą koordynować nadzór nad sztuczną inteligencją.

Poinformuj użytkowników przy pierwszej interakcji

Dodaj jednoznaczną informację przed lub na początku rozmowy, w samym oknie czatu: w wiadomości otwierającej, w nagłówku lub w obu. Link do polityki nie wystarczy. Przykłady sformułowań:

• Cześć, jestem asystentem AI w [firmie]. Mogę pomóc w typowych pytaniach i w razie potrzeby skontaktować Cię z kolegą.
• Rozmawiasz z wirtualnym asystentem (AI), a nie z pracownikiem.

Zapewnij nadzór ludzki i drogę do osoby

Zapewnij jasną i łatwą drogę do kontaktu z człowiekiem, na przykład przycisk umożliwiający rozmowę ze współpracownikiem. Upewnij się, że pracownicy mogą przeglądać, poprawiać i przejmować rozmowy, zwłaszcza gdy bot zajmuje się skargami, umowami, płatnościami lub wrażliwymi użytkownikami.

Prowadź ewidencję i monitoruj

Prowadź rejestry rozmów i zachowania systemu, aby móc kontrolować wydajność, badać skargi i wykrywać błędy lub nadużycia. Monitoruj zmyślone odpowiedzi i nieodpowiednie wyniki oraz ustaw progi weryfikacji przez człowieka. Pamiętaj, że logi czatów zawierają dane osobowe, dlatego ustaw okresy przechowywania.

Sprawdź swojego dostawcę

Większość firm kupuje chatbota, a nie go buduje. Poproś dostawcę o pisemne potwierdzenie, że system obsługuje zasady przejrzystości określone w ustawie o sztucznej inteligencji (AI Act) oraz, w stosownych przypadkach, maszynowo czytelne oznaczenia treści syntetycznych do 2 grudnia 2026 r. W umowie należy określić, kto jest dostawcą, a kto wdrożeniowcem, i odpowiednio przypisać im obowiązki, gwarancje i odszkodowania.

Wspieranie znajomości sztucznej inteligencji wśród personelu

Zgodnie z artykułem 4 Ustawy o AI, zmienionym przez AI Omnibus, dostawcy i wdrożeniowcy muszą podjąć działania w celu zapewnienia odpowiedniego poziomu wiedzy z zakresu AI wśród osób, które obsługują systemy AI w ich imieniu. Należy przeszkolić zespoły zarządzające, nadzorujące lub korzystające z chatbota, aby rozumiały jego ograniczenia, zasady eskalacji oraz sposób przetwarzania danych.

Udokumentuj swoje wybory

Prowadź krótki wewnętrzny rejestr: co robi chatbot, jego klasyfikacja ryzyka, zastosowane powiadomienie, środki nadzoru, dostawca i przetwarzane przez niego dane. Ten rejestr będzie Twoim dowodem w razie pytań ze strony regulatora lub klienta.

Czy RODO dotyczy również Twojego chatbota?

Tak. Chatbot może w pełni spełniać wymogi Ustawy o sztucznej inteligencji, a jednocześnie naruszać Ogólne Rozporządzenie o Ochronie Danych (RODO). Oba te przepisy obowiązują równolegle i należy spełnić oba.

• Podstawa prawna: zidentyfikuj ważną podstawę na mocy artykułu 6 RODO, zwykle uzasadniony interes lub zgoda, w przypadku przetwarzania danych osobowych, które użytkownicy wpisują na czacie.
• Informacja o ochronie prywatności: w oświadczeniu o ochronie prywatności należy wyjaśnić, że chatbot przetwarza dane osobowe, w jakich celach, jak długo są one przechowywane i czy są wykorzystywane do trenowania modeli sztucznej inteligencji.
• Minimalizacja danych: nie zbieraj więcej danych, niż potrzebujesz, i nie proś użytkowników o udostępnianie szczególnych kategorii danych, takich jak informacje o stanie zdrowia.
• Prawa i transfery: upewnij się, że wnioski o dostęp lub usunięcie danych mogą zostać obsłużone, a także sprawdź, gdzie Twój dostawca przechowuje i przetwarza dane, w szczególności poza Europejskim Obszarem Gospodarczym.

Informacja o tym, że użytkownik rozmawia ze sztuczną inteligencją, zawarta w ustawie o sztucznej inteligencji (AI Act), oraz informacja o RODO wyjaśniająca, jak wykorzystujesz jego dane, to odrębne obowiązki. Potrzebujesz obu.

Jakie są kary?

Ustawa o sztucznej inteligencji ustanawia wysokie maksymalne kary w artykule 99. W przypadku przedsiębiorstw obowiązuje wyższa z kwot stałych lub procentu światowego rocznego obrotu; w przypadku MŚP i start-upów obowiązuje niższa z tych dwóch kwot.

• do 35 mln euro lub 7% całkowitego rocznego obrotu na świecie za zakazane praktyki związane ze sztuczną inteligencją;
• do 15 mln EUR lub 3% w przypadku naruszenia większości pozostałych obowiązków, w tym zasad przejrzystości określonych w artykule 50;
• do 7.5 mln euro lub 1% za dostarczenie władzom nieprawdziwych, niekompletnych lub wprowadzających w błąd informacji.

W przypadku chatbota o ograniczonym ryzyku, bardziej bezpośrednim ryzykiem jest nakaz wykonania polecenia i utrata reputacji. Brak powiadomienia ze strony AI to widoczna wada, którą regulator lub osoba składająca skargę szybko zauważy i którą łatwo naprawić.

Co powinieneś sprawdzić jako dostawca?

Jeśli stworzysz chatbota lub zaoferujesz go pod własnym nazwiskiem, obowiązki wynikające z artykułu 50 spoczywają na Tobie. Sprawdź:

• Powiadomienie AI pojawia się w oknie czatu przy pierwszej interakcji, nie tylko na Twoich warunkach.
• Wygenerowany tekst, dźwięk lub obrazy zostaną oznaczone w formacie nadającym się do odczytu maszynowego (art. 50 ust. 2) w przypadku istniejących systemów do dnia 2 grudnia 2026 r.
• Korzystanie z chatbota nie podlega Załącznikowi III; jeśli jednak jest to możliwe, należy uwzględnić wymogi dotyczące wysokiego ryzyka, które zaczną obowiązywać od 2 grudnia 2027 r.
• Twoje zapisy techniczne pokazują, co robi system i w jaki sposób jest monitorowany.
• Twoi klienci otrzymują informacje, których potrzebują, aby informować własnych użytkowników.

Co powinieneś sprawdzić jako wdrażający?

Jeśli korzystasz z chatbota dostawcy, nadal odpowiadasz za to, co dzieje się na Twojej stronie internetowej. Sprawdź:

• W umowie określono, kto jest dostawcą, a kto wdrażającym, wraz z gwarancjami zgodności z ustawą o sztucznej inteligencji.
• Powiadomienie jest widoczne w oknie czatu.
• Pracownicy nadzorujący chatbota przeszli szkolenie z zakresu znajomości sztucznej inteligencji (artykuł 4).
• Użytkownicy mogą skontaktować się z osobą, a wrażliwe pytania są kierowane do personelu.
• Twoja polityka prywatności obejmuje dane czatu, a podstawą prawną jest artykuł 6 RODO oraz okres przechowywania.

Co możemy dla Ciebie zrobić w zakresie zgodności z wymaganiami chatbotów?

Nasi prawnicy specjalizujący się w IT dokonują przeglądu chatbotów w kontekście ustawy o sztucznej inteligencji i rozporządzenia RODO.

• Klasyfikujemy Twojego chatbota jako ograniczonego ryzyka lub wysokiego ryzyka zgodnie z Załącznikiem III.
• Przygotowujemy informację o sztucznej inteligencji i oświadczenie o ochronie prywatności dla funkcji czatu.
• Dokonujemy przeglądu i negocjacji umowy z dostawcą, w tym ról, gwarancji i odszkodowań.
• Utworzyliśmy wewnętrzny rejestr wyborów, nadzoru i okresów przechowywania.
• Doradzamy w sprawie obowiązku oznaczania treści wygenerowanych przed 2 grudnia 2026 r.

Podsumowanie

• Od 2 sierpnia 2026 r. użytkownicy muszą być jasno informowani przy pierwszej interakcji, że mają do czynienia z chatbotem opartym na sztucznej inteligencji.
• Większość chatbotów zajmujących się obsługą klienta wiąże się z ograniczonym ryzykiem; chatboty wykorzystywane do podejmowania decyzji dotyczących zatrudnienia, kredytu lub podstawowych usług mogą wiązać się z wysokim ryzykiem, a przepisy w tym zakresie zaczną obowiązywać od 2 grudnia 2027 r.
• Istniejące systemy generujące treści syntetyczne muszą do 2 grudnia 2026 r. obsługiwać oznakowanie nadające się do odczytu maszynowego.
• Uzgodnij role ze swoim dostawcą na piśmie, wspieraj wiedzę na temat sztucznej inteligencji i dokumentuj swoje wybory.
• RODO obowiązuje równolegle z ustawą o sztucznej inteligencji. Potrzebne jest zarówno powiadomienie o sztucznej inteligencji, jak i powiadomienie o prywatności.

PYTANIA I ODPOWIEDZI