Jak wdrożyć AI w firmie i w produkcie zgodnie z prawem

Od 2 sierpnia 2026 r. obowiązują unijne wymogi przejrzystości dla systemów AI. Od 11 sierpnia 2026 r. działa polska ustawa o systemach sztucznej inteligencji. Od 28 października 2026 r. krajowy organ nadzoru może kontrolować firmy i nakładać kary. Wiele firm zapamiętało z lipcowej nowelizacji jedno słowo ,,odroczenie" i odłożyło temat. Odroczono wyłącznie wymogi dla systemów wysokiego ryzyka.

Ten artykuł jest napisany dla foundera, który wdraża AI w produkcie albo w procesach i chce podjąć decyzje na faktach. Znajdziesz tu kalendarz obowiązujących terminów, test roli w łańcuchu dostaw, cztery obowiązki z art. 50 AI Act, listę klauzul do umowy z dostawcą modelu, zasady odpowiedzialności za szkodę po 9 grudnia 2026 r. oraz plan działania na 30 dni.

Najważniejsze w 60 sekund

Podstawa unijna: rozporządzenie (UE) 2024/1689 (AI Act), zmienione rozporządzeniem (UE) 2026/1744 (AI Omnibus), które weszło w życie 27 lipca 2026 r.
Podstawa krajowa: ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 27 lipca 2026 r.
Co obowiązuje dziś: zakazane praktyki i obowiązek kompetencji w zakresie AI od 2 lutego 2025 r., przepisy o modelach ogólnego przeznaczenia od 2 sierpnia 2025 r., obowiązki przejrzystości z art. 50 od 2 sierpnia 2026 r.
Co przesunięto: wymogi dla systemów wysokiego ryzyka z załącznika III na 2 grudnia 2027 r., dla systemów powiązanych z produktami z załącznika I na 2 sierpnia 2028 r.
Nowy organ: Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Kontrole, postępowania i kary od 28 października 2026 r. Przewodniczący ma zostać powołany do 11 października 2026 r., pierwsze posiedzenie ma się odbyć do 11 listopada 2026 r.
Kary: do 35 mln EUR albo 7 procent obrotu za praktyki zakazane, do 15 mln EUR albo 3 procent za naruszenie obowiązków, w tym obowiązków przejrzystości. Dla mikro, małych i średnich przedsiębiorstw obowiązuje wartość niższa z dwóch.
Ochrona z góry: opinia indywidualna KRiBSI za 150 zł, wydawana w 30 dni, w sprawach szczególnie skomplikowanych w 60 dni. Brak odpowiedzi w terminie oznacza, że stanowisko z wniosku uznaje się za prawidłowe.
Wniosek: o zakresie Twoich obowiązków nie decyduje to, czy używasz AI, tylko w jakiej roli jej używasz i w jakim celu. Zacznij od rejestru narzędzi i ustalenia ról, nie od dokumentów.

Czy AI Act dotyczy mojej firmy, skoro tylko korzystam z gotowych narzędzi?

Tak. AI Act obejmuje nie tylko twórców modeli, ale też firmy, które używają gotowych narzędzi AI w swojej działalności zawodowej. Ta druga rola nazywa się podmiotem stosującym i wiąże się z węższym, ale realnym zestawem obowiązków. Poza zakresem pozostaje wyłącznie osoba fizyczna używająca AI prywatnie.

Rozporządzenie jest aktem bezpośrednio stosowanym. Nie wymaga przepisania do prawa polskiego i obowiązuje od dat wskazanych w samym rozporządzeniu, niezależnie od tego, czy krajowy organ nadzoru zdążył powstać.

To jest najczęstsze nieporozumienie ostatnich miesięcy. Firma, która czekała z wdrożeniem do momentu uchwalenia polskiej ustawy, straciła półtora roku. Obowiązek dotyczący kompetencji w zakresie AI obowiązuje od 2 lutego 2025 r. Zakazy praktyk niedopuszczalnych obowiązują od tej samej daty. Polska ustawa nie tworzy nowych wymogów merytorycznych dla systemów. Wskazuje organ, procedurę kontroli i tryb nakładania kar.

Co obowiązuje dziś, a co zostało przesunięte. Kalendarz AI Act po nowelizacji

AI Omnibus, czyli rozporządzenie (UE) 2026/1744, przesunął terminy wyłącznie dla systemów wysokiego ryzyka. Ogólnej daty stosowania rozporządzenia i obowiązków przejrzystości z art. 50 nie ruszył. Nagłówek o odroczeniu AI Act jest prawdziwy tylko w części dotyczącej jednej kategorii systemów.

Kalendarz, data po dacie:

1 sierpnia 2024 r. Wejście AI Act w życie. Punkt odniesienia dla wszystkich pozostałych terminów.
2 lutego 2025 r. Zakazane praktyki (art. 5) oraz obowiązek kompetencji w zakresie AI (art. 4). Dotyczy każdej firmy, która daje pracownikom narzędzia AI.
2 sierpnia 2025 r. Przepisy o modelach ogólnego przeznaczenia (GPAI), struktury nadzoru i kary unijne. Dotyczy dostawców modeli, a pośrednio wszystkich, którzy odbierają od nich dokumentację.
27 lipca 2026 r. Wejście w życie AI Omnibus, czyli rozporządzenia (UE) 2026/1744. Zmiana kalendarza i rozszerzenie katalogu zakazów.
2 sierpnia 2026 r. Ogólna data stosowania rozporządzenia, obowiązki przejrzystości z art. 50 oraz pełne uprawnienia Komisji Europejskiej wobec dostawców modeli ogólnego przeznaczenia. Dotyczy chatbotów, generatywnej AI, deepfake i rozpoznawania emocji.
11 sierpnia 2026 r. Zasadnicza część polskiej ustawy o systemach sztucznej inteligencji. Powstają krajowe ramy nadzoru.
do 11 października 2026 r. Termin powołania przewodniczącego KRiBSI.
28 października 2026 r. Opinie indywidualne, kontrole, postępowania i kary krajowe. To moment, od którego kontrola staje się realna.
do 11 listopada 2026 r. Termin pierwszego posiedzenia KRiBSI.
2 grudnia 2026 r. Koniec okresu przejściowego na techniczne znakowanie treści przez starsze systemy generatywne oraz na zabezpieczenia przy nowych zakazach z art. 5. Dotyczy dostawców systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r.
9 grudnia 2026 r. Nowe zasady odpowiedzialności za produkt, obejmujące oprogramowanie (dyrektywa 2024/2853). Dotyczy każdego, kto sprzedaje produkt cyfrowy.
2 grudnia 2027 r. Wymogi dla systemów wysokiego ryzyka z załącznika III: rekrutacja, edukacja, dostęp do usług, biometria, infrastruktura krytyczna.
2 sierpnia 2028 r. Wymogi dla systemów wysokiego ryzyka powiązanych z produktami z załącznika I: wyroby medyczne, maszyny, urządzenia.

Praktyka nadzorcza pokazuje, że przesunięcie terminu nie jest przesunięciem pracy. Klasyfikacja systemów, ustalenie ról w łańcuchu dostaw i zebranie dokumentacji od dostawców to proces liczony w miesiącach, nie w tygodniach. Firma, która potraktowała lipcową nowelizację jako zielone światło do odłożenia tematu, skróciła sobie okno przygotowań z kilkunastu miesięcy do kilku tygodni.

Krok 1. Ustal, w jakiej roli Twoja firma używa AI

Rola przesądza o wszystkim: o zakresie obowiązków, o tym, kto informuje użytkownika i o wysokości potencjalnej kary. AI Act rozróżnia dostawcę, podmiot stosujący, importera, dystrybutora i producenta produktu zawierającego system AI. Nazwanie kogoś w umowie ,,klientem" albo ,,użytkownikiem" nie ma tu żadnego znaczenia.

Pięć ról i to, co z każdej z nich wynika:

Dostawca. Rozwijasz system AI albo zlecasz jego rozwój i wprowadzasz go na rynek pod własną nazwą lub znakiem towarowym, odpłatnie albo nieodpłatnie. Najszerszy zestaw obowiązków: informowanie o interakcji, techniczne znakowanie treści, dokumentacja.
Podmiot stosujący. Używasz systemu AI w swojej działalności zawodowej, także kupionego od kogoś innego. Obowiązki dotyczą sposobu korzystania: ujawnianie deepfake, informowanie o rozpoznawaniu emocji, nadzór człowieka, dane wejściowe pozostające pod Twoją kontrolą.
Importer. Wprowadzasz na rynek unijny system spoza Unii, opatrzony cudzą nazwą. Weryfikujesz zgodność przed wprowadzeniem.
Dystrybutor. Udostępniasz cudzy system na rynku unijnym. Sprawdzasz oznaczenia i dokumentację.
Producent produktu. Sprzedajesz produkt z wbudowanym systemem AI pod własną marką. Obowiązki produktowe, a przy wysokim ryzyku także obowiązki dostawcy.

Najważniejsza pułapka dotyczy przejścia z jednej roli do drugiej. Firma, która kupuje gotowy model i udostępnia go klientom pod własną nazwą albo własnym znakiem towarowym, staje się dostawcą tego systemu. To samo dotyczy istotnej zmiany systemu wysokiego ryzyka albo zmiany jego przeznaczenia w sposób, który wprowadza go do reżimu wysokiego ryzyka (art. 25 AI Act).

Z naszego doświadczenia w umowach wdrożeniowych ta granica przebiega dokładnie tam, gdzie zaczyna się white label. Dopóki Twoja aplikacja działa na cudzym modelu, a użytkownik widzi, czyj to model, jesteś podmiotem stosującym. Od momentu, w którym w interfejsie jest wyłącznie Twoja marka, a wobec użytkownika to Ty odpowiadasz za usługę, rozmowa o rolach wygląda inaczej i musi być rozstrzygnięta na piśmie, w umowie z dostawcą.

Co zrobić dziś: wypisz każde narzędzie AI używane w firmie, wraz z właścicielem biznesowym, dostawcą i celem. Przy każdym wpisz jedno słowo: dostawca albo podmiot stosujący. To jest cały krok pierwszy i bez niego kolejne nie mają sensu.

Krok 2. Sprawdź klasę ryzyka. Cztery kategorie, nie dwie

AI Act dzieli zastosowania według ryzyka, nie według technologii. Ten sam model językowy może być narzędziem minimalnego ryzyka w marketingu i systemem wysokiego ryzyka w rekrutacji. Klasyfikujesz zastosowanie, nie narzędzie.

Cztery kategorie i reżim, który im odpowiada:

Praktyki zakazane. Scoring społeczny, manipulacja podprogowa, rozpoznawanie emocji w miejscu pracy i w placówkach edukacyjnych, wykorzystywanie słabości określonej grupy, tworzenie intymnych wizerunków bez zgody. Zakaz obowiązuje od 2 lutego 2025 r. Kara do 35 mln EUR albo 7 procent obrotu.
Wysokie ryzyko. Selekcja kandydatów, ocena pracowników, scoring kredytowy, dostęp do usług publicznych, biometria, infrastruktura krytyczna. Pełne wymogi od 2 grudnia 2027 r. albo od 2 sierpnia 2028 r. RODO i prawo pracy obowiązują niezależnie od tego kalendarza.
Obowiązki przejrzystości. Chatboty, asystenci głosowi, generatory tekstu i grafiki, deepfake. Obowiązuje od 2 sierpnia 2026 r. Kara do 15 mln EUR albo 3 procent obrotu.
Ryzyko minimalne. Filtry antyspamowe, rekomendacje produktów, klasyfikacja zgłoszeń. Brak dodatkowych obowiązków z AI Act. RODO, prawo autorskie i tajemnica przedsiębiorstwa obowiązują dalej.

AI Omnibus dopisał do katalogu zakazów systemy przeznaczone do generowania lub manipulowania intymnymi wizerunkami osób bez ich zgody oraz materiałami przedstawiającymi seksualne wykorzystywanie małoletnich. Na wdrożenie zabezpieczeń technicznych przewidziano okres przejściowy do 2 grudnia 2026 r. Dotyczy to również dostawców generatywnej AI ogólnego przeznaczenia, którzy nie wdrożą rozsądnych zabezpieczeń przed takim użyciem.

Zwróć uwagę na jedną rzecz, którą rynek regularnie pomija. Przesunięcie wymogów dla systemów wysokiego ryzyka na 2 grudnia 2027 r. nie przesuwa ani zakazów, ani RODO. Jeżeli Twój system ocenia ludzi, przepisy o ochronie danych stosujesz dziś.

Krok 3. Art. 50 AI Act. Cztery obowiązki przejrzystości, które działają od 2 sierpnia 2026 r.

Art. 50 nie wprowadza obowiązku oznaczania każdej treści zrobionej z pomocą AI. Wprowadza cztery odrębne obowiązki, przypisane do różnych podmiotów i różnych sytuacji. Zanim cokolwiek oznaczysz, ustal, który z nich Cię dotyczy.

Cztery obowiązki, każdy z adresatem i wyjątkiem:

Interakcja z człowiekiem (art. 50 ust. 1). Obciąża dostawcę systemu przeznaczonego do bezpośredniej interakcji z osobą fizyczną. Użytkownik ma wiedzieć, że rozmawia z systemem AI. Informacja przy pierwszym kontakcie, jasna, zrozumiała i dostępna, także dla osób ze szczególnymi potrzebami. Nie stosuje się, gdy jest to oczywiste dla rozsądnie zorientowanej osoby oraz w określonych zastosowaniach dopuszczonych prawem w celach ścigania przestępstw.
Znakowanie treści syntetycznych (art. 50 ust. 2). Obciąża dostawcę systemu generującego treści audio, obraz, wideo lub tekst. Wynik ma być oznaczony w formacie nadającym się do odczytu maszynowego i wykrywalny jako wygenerowany albo zmanipulowany. Nie stosuje się, gdy AI pełni funkcję pomocniczą przy standardowej edycji i nie zmienia istotnie danych wejściowych ani ich znaczenia.
Rozpoznawanie emocji i kategoryzacja biometryczna (art. 50 ust. 3). Obciąża podmiot stosujący. Osoby objęte działaniem systemu muszą zostać o tym poinformowane, a dane przetwarzane zgodnie z RODO. Wyjątek dotyczy określonych zastosowań dopuszczonych prawem w celach ścigania przestępstw.
Deepfake i teksty w interesie publicznym (art. 50 ust. 4). Obciąża podmiot stosujący. Trzeba ujawnić, że treść została sztucznie wygenerowana albo zmanipulowana. Przy treściach o wyraźnie artystycznym, twórczym, satyrycznym lub fikcyjnym charakterze ujawnienie ma nie utrudniać odbioru utworu. Obowiązek nie dotyczy tekstów poddanych przeglądowi przez człowieka lub kontroli redakcyjnej, za które odpowiedzialność redakcyjną ponosi konkretna osoba lub podmiot.

Trzy rzeczy, które w praktyce decydują o zgodności.

Po pierwsze, to jest obowiązek projektowy, nie informacyjny. Zdanie w regulaminie albo w polityce prywatności go nie realizuje. Komunikat ma być elementem interfejsu: oznaczenie w oknie czatu, komunikat głosowy na początku rozmowy z asystentem.

Po drugie, data wprowadzenia systemu do obrotu decyduje o terminie. Systemy generatywne wprowadzone do obrotu od 2 sierpnia 2026 r. muszą spełniać wymóg maszynowo odczytywalnego oznaczania od razu. Systemy wprowadzone wcześniej mają czas do 2 grudnia 2026 r. Materiały wygenerowane i udostępnione przed 2 sierpnia 2026 r. nie wymagają oznaczania wstecz.

Po trzecie, definicja deepfake jest szersza, niż zakłada większość zespołów marketingowych. Obejmuje obrazy oraz treści audio i wideo przypominające istniejące osoby, przedmioty, miejsca lub zdarzenia, które odbiorca mógłby uznać za autentyczne. Sam fotorealizm nie przesądza. Przesądza podobieństwo do czegoś rzeczywistego plus ryzyko wzięcia treści za prawdziwą.

Komisja Europejska przyjęła 20 lipca 2026 r. finalne wytyczne do art. 50 i potwierdziła adekwatność Kodeksu postępowania w zakresie przejrzystości treści generowanych przez AI. Przystąpienie do Kodeksu jest dobrowolne. Kto do niego nie przystąpi, musi wykazać zgodność innymi, równoważnymi środkami. Dla większości firm produktowych przystąpienie jest tańsze niż budowanie własnego uzasadnienia.

Wdrażasz AI w produkcie. Zamów dokumenty w cenie znanej z góry

Lexable to zewnętrzny dział prawny do wynajęcia dla firm technologicznych. Cena przed pracą, termin przed pracą, jedna tura poprawek w cenie.

Umowa powierzenia przetwarzania danych (DPA) z dostawcą modelu albo dla Twojego klienta: 399 zł netto, gotowe w około 4 godziny robocze.
Regulamin aplikacji z AI, umowa B2B, MSA albo umowa licencyjna: 1 099 zł netto, gotowe w około 12 godzin roboczych.
Audyt zgodności z art. 50 AI Act: inwentaryzacja narzędzi, ustalenie ról, mapa obowiązków, treść komunikatów do interfejsu.

Napisz, co konkretnie wdrażasz i na czyim modelu. Wycenę dostaniesz do 60 minut w dni robocze.

Wyceń dokument za darmo →

Krok 4. RODO. Tu leży dziś największe realne ryzyko finansowe

AI Act nie zastępuje RODO. Oba akty stosuje się równolegle. Jeżeli Twój system przetwarza dane osobowe, musisz spełnić wymagania obu naraz. Najwyższe kary za AI w Europie nie zapadły dotąd na podstawie AI Act, tylko na podstawie RODO.

21 sierpnia 2026 r. holenderski organ ochrony danych nałożył na Ubera karę 824 990 000 EUR za w pełni zautomatyzowane decyzje o dezaktywacji kont kierowców, podejmowane bez udziału człowieka, oraz za nienależyte poinformowanie kierowców o charakterze tych decyzji. To druga największa kara w historii RODO. Postępowanie zaczęło się od skargi 171 francuskich kierowców złożonej za pośrednictwem organizacji Ligue des droits de l'Homme do francuskiego organu, a holenderski organ prowadził sprawę jako wiodący w mechanizmie one stop shop. Uber zapowiedział odwołanie.

Wniosek dla founderów jest prosty i nie wymaga prawniczego komentarza. Jeżeli system AI podejmuje decyzję, która wywołuje wobec człowieka skutki prawne albo podobnie istotne skutki, na końcu tej decyzji musi stać człowiek z realną możliwością jej zmiany. Art. 22 RODO obowiązuje i nie czeka na kalendarz AI Act.

Lista rzeczy do zrobienia po stronie ochrony danych, w kolejności:

Ustal podstawę prawną dla każdego procesu, w którym dane osobowe trafiają do modelu. Osobno dla danych klientów, osobno dla danych pracowników i kandydatów.
Sprawdź, czy potrzebujesz oceny skutków (DPIA). Przy profilowaniu, decyzjach zautomatyzowanych i przetwarzaniu na dużą skalę zwykle tak. Ocenę robi się przed wdrożeniem, nie po.
Podpisz umowę powierzenia z dostawcą modelu. Plany biznesowe głównych dostawców przewidują umowę powierzenia i zobowiązanie, że dane nie trafiają do trenowania modeli. Plany konsumenckie zwykle nie i to jest różnica, którą sprawdza audytor u Twojego klienta korporacyjnego.
Zaktualizuj rejestr czynności, klauzule informacyjne i listę podprocesorów. Nowy dostawca modelu to nowy podprocesor.
Sprawdź transfer danych poza Europejski Obszar Gospodarczy i mechanizm, na którym się opiera.
Zapisz, czego nie wolno wklejać. Dane osobowe klientów, dane szczególnych kategorii, tajemnica przedsiębiorstwa, kod objęty NDA.

W lipcu 2026 r. Prezes UODO wystąpił do Ministerstwa Rodziny, Pracy i Polityki Społecznej w sprawie AI w rekrutacji. Wskazał, że systemy rekrutacyjne mogą przetwarzać dane szczególnych kategorii z art. 9 RODO, powielać uprzedzenia z danych treningowych i wymagają oceny skutków przed wdrożeniem. Postulował też prawo kandydata do informacji o roli algorytmu i o czynnikach, które zaważyły na wyniku. To nie jest jeszcze prawo, ale jest to zapowiedź standardu, według którego organ będzie oceniał wdrożenia.

Krok 5. Umowa z dostawcą modelu. Dziewięć klauzul, których brak zobaczysz dopiero przy sporze

Twój model AI to cudza technologia, ale roszczenia użytkowników trafiają do Ciebie. Umowa z dostawcą modelu decyduje o tym, czy masz jakiekolwiek narzędzia regresu, czy ponosisz całe ryzyko sam.

Dziewięć klauzul, a przy każdej czerwona flaga, której szukamy w umowie dostawcy:

Zakres licencji. Ma zabezpieczać prawo do użytku komercyjnego i do udostępniania wyników klientom końcowym. Czerwona flaga: licencja ograniczona do użytku wewnętrznego albo niekomercyjnego.
Prawa do wyników. Ma przesądzać, kto może korzystać z outputu i na jakich zasadach. Czerwona flaga: brak jakiegokolwiek postanowienia o wynikach działania systemu.
Dane treningowe. Ma zakazywać wykorzystywania Twoich danych i danych Twoich klientów do trenowania modelu. Czerwona flaga: zgoda na trenowanie włączona domyślnie i wyłączana wyłącznie w ustawieniach konta.
Umowa powierzenia i podprocesorzy. Ma zapewniać zgodność z RODO, listę podprocesorów i obowiązek informowania o zmianach. Czerwona flaga: ogólne odesłanie do strony internetowej bez zobowiązania do powiadomienia.
Dokumentacja na potrzeby AI Act. Ma dawać prawo żądania informacji potrzebnych do wykonania Twoich obowiązków oraz termin ich dostarczenia. Czerwona flaga: brak terminu. Przy kontroli czas na pozyskanie dokumentów bywa krótki.
Znakowanie treści. Ma zobowiązywać dostawcę do oznaczania wyników i zakazywać usuwania oznaczeń w dalszym łańcuchu. Czerwona flaga: milczenie umowy przy systemie generatywnym.
Odpowiedzialność i jej limit. Ma ustalać realny limit powiązany z wynagrodzeniem oraz jasne wyłączenia. Czerwona flaga: całkowite wyłączenie odpowiedzialności za jakiekolwiek szkody.
Zmiana i wycofanie modelu. Ma dawać okres wypowiedzenia dla wersji modelu, na której oparłeś produkt. Czerwona flaga: prawo dostawcy do zmiany albo wyłączenia modelu z dnia na dzień.
Ciągłość i wyjście. Ma regulować eksport danych, okres przejściowy i dostęp do logów. Czerwona flaga: brak procedury wyjścia.

Dwie uwagi z praktyki negocjacyjnej. Po pierwsze, polityki licencyjne dostawców modeli zmieniają się kilka razy w roku i różnią się między planem darmowym, biznesowym i enterprise. Zapis, który sprawdziłeś w zeszłym roku, dziś może brzmieć inaczej. Po drugie, jeżeli budujesz produkt na cudzym modelu i sprzedajesz go klientom korporacyjnym, ich due diligence sprawdzi dokładnie te dziewięć punktów. Lepiej mieć je uzgodnione przed rozmową niż w jej trakcie.

Krok 6. Regulamin i relacja z użytkownikiem. Czego nie da się wyłączyć

Regulamin aplikacji z AI ma opisywać, co jest przedmiotem usługi, a nie wyłączać odpowiedzialność za wszystko. Wyłączenie odpowiedzialności wobec konsumenta w zakresie, w jakim prawo na to nie pozwala, jest bezskuteczne, a przy okazji wpisuje Cię na radar UOKiK.

Co powinno znaleźć się w dokumentach, gdy AI jest częścią usługi:

Opis świadczenia. Czym jest wynik działania systemu, w jakim stopniu jest on szacunkowy, jaka jest rola człowieka.
Informacja o interakcji z systemem AI. W interfejsie, nie w regulaminie.
Zasady wprowadzania danych przez użytkownika. Czego nie wolno wprowadzać i co dzieje się z wprowadzonymi danymi.
Prawa do wyników. Co użytkownik może zrobić z outputem. Tu trzeba pamiętać, że w prawie polskim utworem jest wyłącznie rezultat działalności twórczej człowieka, więc treść wygenerowana bez istotnego wkładu człowieka nie jest chroniona prawem autorskim i nikt nie może przenieść do niej praw, których nie ma.
Zakres odpowiedzialności. Proporcjonalny, z rozróżnieniem relacji B2B i B2C.
Tryb reklamacyjny i zgłaszanie błędów systemu.
Zasady zmiany regulaminu, w tym przy zmianie dostawcy modelu.

Klienci najczęściej pytają nas o jedno zdanie: czy można napisać, że firma nie odpowiada za treści wygenerowane przez AI. Odpowiedź brzmi: nie w taki sposób, jak brzmi to pytanie. Można precyzyjnie opisać, co jest przedmiotem świadczenia i jakiego rezultatu firma nie gwarantuje. Pozorne, zbyt szerokie wyłączenie typu ,,za nic nie odpowiadamy" nie działa ani wobec konsumenta, ani wobec dużego klienta B2B, który i tak je wynegocjuje.

Krok 7. Odpowiedzialność za szkodę wyrządzoną przez AI. Co zmienia 9 grudnia 2026 r.

Dyrektywa o odpowiedzialności za sztuczną inteligencję (AILD) nie obowiązuje i nie powstanie. Komisja Europejska wycofała ją ze swojego programu prac w lutym 2025 r. Reżimem, który realnie zmienia sytuację dostawców oprogramowania, jest nowa dyrektywa o odpowiedzialności za produkty wadliwe, powinna zostać wdrożona do prawa polskiego z datą 9 grudnia 2026 r.

Dyrektywa 2024/2853 obejmuje pojęciem produktu także oprogramowanie. W Polsce wdraża ją projekt UC163, czyli nowelizacja Kodeksu cywilnego i Kodeksu postępowania cywilnego z 24 sierpnia 2026 r., przygotowana przez Ministerstwo Sprawiedliwości. Rządowy wykaz prac wskazuje czwarty kwartał 2026 r. jako planowany termin przyjęcia projektu przez Radę Ministrów, a sam projekt przewiduje wejście przepisów w życie 9 grudnia 2026 r. Na dzień publikacji tego artykułu są to rozwiązania projektowane.

Cztery zmiany, które dotyczą firm technologicznych bezpośrednio:

Produktem będzie oprogramowanie. Projektowany art. 449(13) Kodeksu cywilnego obejmie rzeczy ruchome, surowce, energię elektryczną, oprogramowanie oraz cyfrowe pliki produkcyjne. Wyjątek przewidziano dla wolnego i otwartego oprogramowania rozwijanego lub dostarczanego poza działalnością gospodarczą.
Kontrola producenta nad produktem po sprzedaży. Producent nie uwolni się od odpowiedzialności argumentem, że w dniu wprowadzenia do obrotu wszystko działało, jeżeli niebezpieczna właściwość wynika z pozostających pod jego kontrolą aktualizacji, ich braku, powiązanej usługi albo istotnej modyfikacji.
Ocena bezpieczeństwa uwzględni cyberbezpieczeństwo i zdolność uczenia się. Sąd ma brać pod uwagę między innymi wymagania dotyczące cyberbezpieczeństwa oraz zdolność produktu do nabywania nowych cech po wprowadzeniu na rynek. Jednocześnie sam fakt pojawienia się później lepszej wersji nie przesądza, że wcześniejsza była niebezpieczna.
Ułatwienia dowodowe po stronie poszkodowanego. Strona będzie mogła żądać wyjawienia środka dowodowego. Odmowa wykonania postanowienia sądu może skutkować domniemaniem, że produkt jest niebezpieczny. Gdy pełne udowodnienie jest nadmiernie utrudnione ze względu na złożoność techniczną, sąd będzie mógł uznać niebezpieczny charakter produktu albo związek ze szkodą za ustalone na podstawie uprawdopodobnienia.

Rozszerzy się też pojęcie szkody. Obejmie ono uznany medycznie uszczerbek na zdrowiu psychicznym oraz zniszczenie lub uszkodzenie danych, o ile dane nie służą celom gospodarczym lub zawodowym. Dla dostawcy chatbota albo systemu rekomendacyjnego to jest nowa kategoria ryzyka, której stara regulacja nie znała.

Kary, kontrola i jedna instytucja, która realnie chroni

Maksymalne kary wynikają z AI Act. Polska ustawa określa procedurę ich nakładania, dodaje odpowiedzialność wykroczeniową za utrudnianie kontroli oraz wprowadza dwa narzędzia, których AI Act nie zna: układ z organem i publiczny wykaz ukaranych systemów.

Trzy pułapy kar z art. 99 AI Act:

Do 35 mln EUR albo 7 procent światowego obrotu. Za naruszenie zakazów z art. 5.
Do 15 mln EUR albo 3 procent obrotu. Za naruszenie obowiązków dostawców, podmiotów stosujących, importerów i dystrybutorów, w tym obowiązków przejrzystości z art. 50.
Do 7,5 mln EUR albo 1 procent obrotu. Za przekazanie organowi informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd.
Zasada dla MŚP. Dla mikro, małych i średnich przedsiębiorstw stosuje się wartość niższą z dwóch, a nie wyższą. Przy obrocie 1 mln EUR maksymalna kara w najwyższej kategorii wynosi co do zasady 70 tys. EUR.

Kontrola KRiBSI zaczyna się nie wcześniej niż po 7 dniach od doręczenia zawiadomienia i co do zasady jest prowadzona zdalnie. Kontrolowany ma 14 dni na podpisanie protokołu albo zgłoszenie zastrzeżeń. Postępowanie ma trwać maksymalnie sześć miesięcy od doręczenia postanowienia o jego wszczęciu. Odwołania rozpoznaje Sąd Okręgowy w Warszawie, czyli sąd ochrony konkurencji i konsumentów.

Dwa elementy krajowe, o których warto wiedzieć, zanim będą potrzebne:

Układ w sprawie złagodzenia sankcji. Podmiot, który naruszył przepisy, może wynegocjować obniżenie kary o 20 do 70 procent w zamian za współpracę i usunięcie skutków naruszenia. Przy dobrowolnym ujawnieniu naruszenia z własnej inicjatywy obniżka sięga 30 do 90 procent. Informacje ujawnione w negocjacjach nie mogą zostać użyte przeciwko podmiotowi, jeżeli do układu nie dojdzie.
Wykaz ukaranych systemów. Komisja ma prowadzić publiczny wykaz systemów, wobec których nałożono karę, z nazwą systemu i operatora oraz opisem naruszenia. Kara finansowa jest jednorazowa. Wpis w jawnym wykazie zostaje i sprawdzi go każdy kontrahent przy due diligence.

Narzędzie, po które warto sięgnąć przed wdrożeniem, a nie po nim. Od 28 października 2026 r. można wystąpić do KRiBSI o opinię indywidualną w sprawie istniejącego stanu faktycznego albo zdarzenia przyszłego. Opłata wynosi 150 zł od jednego zagadnienia. Komisja wydaje opinię w 30 dni, a w sprawie szczególnie skomplikowanej w 60 dni. Jeżeli nie wyda jej w terminie, stanowisko przedstawione we wniosku uznaje się za prawidłowe. Opinia wiąże Komisję, a zastosowanie się do niej nie może szkodzić wnioskodawcy. Kolejny wniosek ten sam podmiot złoży nie wcześniej niż po 30 dniach.

Za 150 zł i 30 dni można więc uzyskać wiążące stanowisko w sprawie, o którą inaczej spiera się w postępowaniu kontrolnym. Przy wdrożeniu, które ma ruszyć w przyszłym roku, to jest najtańsze zabezpieczenie w całym tym systemie. Warunek jest jeden: opis we wniosku musi odpowiadać rzeczywistości, bo rozbieżność wyłącza ochronę.

Plan na 30 dni. Kolejność, która działa

Nie zaczynaj od dokumentów. Zacznij od faktów, bo dokument napisany do nieustalonego stanu faktycznego jest wart tyle, co jego brak.

Tydzień 1. Rejestr narzędzi AI: nazwa, dostawca, właściciel biznesowy, cel, informacja o tym, czy trafiają tam dane osobowe. Uwzględnij narzędzia używane przez zespół bez zgody firmy. Efekt: wiesz, co faktycznie działa w firmie.
Tydzień 2. Przy każdej pozycji ustal rolę (dostawca albo podmiot stosujący) i klasę ryzyka. Osobno oznacz procesy, w których AI ocenia ludzi. Efekt: wiesz, które obowiązki Cię dotyczą.
Tydzień 3. Warstwa RODO: podstawy prawne, ocena skutków tam, gdzie jest potrzebna, umowy powierzenia, aktualizacja rejestru czynności i klauzul informacyjnych. Efekt: zamykasz najdroższe dziś ryzyko.
Tydzień 4. Warstwa produktowa i umowna: komunikaty z art. 50 w interfejsie, regulamin, klauzule w umowach z dostawcami, jedna strona zasad korzystania z AI dla zespołu, procedura reagowania na kontrolę. Efekt: masz co pokazać przy kontroli i przy audycie klienta.

Jedna osoba musi za to odpowiadać z imienia i nazwiska, z czasem w kalendarzu. Nie dział, nie IT. Przy kontroli liczy się nie tylko to, czy dokument istnieje, ale czy da się wykazać, że był stosowany.

Pięć błędów, które widzimy najczęściej

Czekanie na polski organ. Obowiązki materialne wynikają z rozporządzenia i biegną według jego kalendarza, niezależnie od tego, kiedy KRiBSI zacznie pracę.
Traktowanie odroczenia jako zwolnienia. Przesunięto wymogi dla systemów wysokiego ryzyka. Zakazy, kompetencje i przejrzystość obowiązują.
Oznaczenie w regulaminie zamiast w interfejsie. Art. 50 ust. 1 to obowiązek projektowy. Informacja ma trafić do użytkownika w momencie kontaktu.
Brak umowy powierzenia z dostawcami modelu. Najczęstszy powód, dla którego wdrożenie zatrzymuje się na audycie u klienta korporacyjnego.
Regulamin z pozornym wyłączeniem odpowiedzialności. Nie chroni, a przy relacji z konsumentem tworzy nowe ryzyko.

Zamów komplet dokumentów pod wdrożenie AI. Cenę znasz, zanim zlecisz

Lexable prowadzi wsparcie prawne dla spółek technologicznych za stałą cenę. Bez stawki godzinowej, z jedną turą poprawek w cenie.

Umowa powierzenia danych z dostawcą modelu albo dla Twojego klienta: 399 zł netto, gotowe w około 4 godziny robocze.
Regulamin aplikacji z AI, umowa B2B, MSA, SLA albo umowa licencyjna: 1 099 zł netto, gotowe w około 12 godzin roboczych.
Dokumenty korporacyjne i inwestycyjne, gdy AI jest częścią produktu wchodzącego do rundy: od 1 699 zł netto, gotowe w około 24 godziny robocze, oraz 3 699 zł netto przy pakiecie inwestycyjnym, 2 do 5 dni roboczych.
Audyt zgodności z art. 50 AI Act i mapa ról w łańcuchu dostaw.

Opisz w trzech zdaniach, co wdrażasz i na czyim modelu. Wycenę z zakresem, ceną netto i terminem dostaniesz do 60 minut w dni robocze.

Wyceń dokument za darmo →

FAQ. Najczęstsze pytania o wdrożenie AI zgodnie z prawem

Czy AI Act dotyczy małej firmy i startupu?

Tak. Mikro, małe i średnie przedsiębiorstwa nie są wyłączone. Obowiązuje je jednak niższy pułap kar, bo stosuje się wartość niższą z dwóch: kwotę albo procent obrotu. Mają też pierwszeństwo i bezpłatny udział w piaskownicy regulacyjnej.

Czy muszę informować klientów, że obsługuje ich chatbot?

Co do zasady obowiązek obciąża dostawcę systemu. Firma, która wdraża chatbot, powinna ustalić swoją rolę i sprawdzić, czy narzędzie faktycznie przekazuje tę informację. Udostępnianie systemu pod własną marką może przenieść obowiązek na Ciebie.

Czy każdą treść wygenerowaną przez AI trzeba oznaczać?

Nie. Obowiązek zależy od rodzaju treści i roli podmiotu. Techniczne znakowanie obciąża dostawcę systemu generatywnego. Podmiot stosujący ujawnia deepfake oraz teksty publikowane w interesie publicznym. Standardowa edycja wspomagana przez AI jest wyłączona.

Od kiedy KRiBSI może nałożyć karę?

Od 28 października 2026 r. Wtedy zaczynają obowiązywać przepisy o kontrolach, postępowaniach i karach. Obowiązki wynikające z AI Act trzeba jednak wykonywać zgodnie z kalendarzem rozporządzenia, niezależnie od gotowości krajowego organu.

Ile kosztuje opinia indywidualna KRiBSI i ile się na nią czeka?

150 zł od jednego zagadnienia. Termin to 30 dni, a w sprawie szczególnie skomplikowanej 60 dni. Brak odpowiedzi w terminie oznacza, że stanowisko z wniosku uznaje się za prawidłowe. Opinia wiąże Komisję.

Czy systemy AI w rekrutacji są zakazane?

Nie. Są kwalifikowane jako wysokie ryzyko, a pełne wymogi stosuje się od 2 grudnia 2027 r. Niezależnie od tego obowiązuje RODO: ocena skutków, podstawa prawna i zakaz decyzji podejmowanych wyłącznie automatycznie, gdy wywołują istotne skutki.

Kto odpowiada za błąd systemu AI: moja firma czy dostawca modelu?

Zależy od roli i naruszonego obowiązku. Wobec Twojego użytkownika odpowiadasz Ty. Możliwość regresu wobec dostawcy wynika wyłącznie z umowy. Od 9 grudnia 2026 r. dojdzie do tego reżim odpowiedzialności za produkt obejmujący oprogramowanie.

Czy treść wygenerowana przez AI jest chroniona prawem autorskim?

Utworem jest rezultat działalności twórczej człowieka. Treść wygenerowana bez istotnego wkładu człowieka nie korzysta z ochrony prawnoautorskiej, więc nikt nie przeniesie do niej praw. To ma znaczenie przy umowach, w których zobowiązujesz się przenieść prawa do rezultatu.

O autorze.

Łukasz Gębczyk, CEO i founder Lexable. Prawnik, który pracuje z founderami, spółkami SaaS i software house'ami przy umowach, regulaminach, dokumentacji RODO i dokumentach korporacyjnych. Prowadzi wdrożenia warstwy prawnej dla produktów opartych na modelach językowych, od umowy z dostawcą modelu po regulamin widziany przez użytkownika.

Zastrzeżenie.

Artykuł ma charakter informacyjny, nie zastępuje analizy konkretnej sprawy i nie stanowi porady prawnej.

Czytaj dalej:

DPA (umowa powierzenia przetwarzania danych): 7 elementów, których nie wolno pominąć