AI Act w e-commerce – obowiązki sklepu internetowego

Od 2 sierpnia 2026 roku sklep internetowy ma dwa twarde obowiązki z art. 50 AI Act – poinformowanie klienta, że rozmawia z chatbotem AI, oraz widoczne oznaczenie realistycznych treści deepfake.

Opis produktu wygenerowany przez AI i zredagowany przez człowieka nadal nie wymaga żadnej etykiety. Za naruszenie obowiązków przejrzystości grozi kara do 15 mln EUR lub 3% światowego rocznego obrotu (art. 99 rozporządzenia 2024/1689).

Najważniejsze informacje z wpisu:

• Art. 50 AI Act obowiązuje od 2 sierpnia 2026 roku – nowelizacja Digital Omnibus nie przesunęła tego terminu.
• Oznaczenia wymagają chatboty i deepfake, natomiast opisy produktów i teksty blogowe po redakcji człowieka – nie.
• Digital Omnibus (rozporządzenie UE 2026/1744) obowiązuje od 27 lipca 2026 roku i przesunął wymogi dla systemów wysokiego ryzyka na 2 grudnia 2027 i 2 sierpnia 2028 roku.
• Kary sięgają 35 mln EUR lub 7% obrotu za praktyki zakazane oraz 15 mln EUR lub 3% obrotu za brak przejrzystości.
• W Polsce nadzór przejmie KRiBSI – ustawa z 3 lipca 2026 roku (Dz.U. 2026 poz. 1003) rusza w zasadniczej części 11 sierpnia 2026, a kontrole i kary od 28 października 2026 roku.

Co to jest AI Act i dlaczego dotyczy Twojego sklepu?

AI Act to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 – pierwszy na świecie kompleksowy akt prawny regulujący sztuczną inteligencję. Wszedł w życie 1 sierpnia 2024 roku i obowiązuje bezpośrednio we wszystkich państwach UE, bez przepisywania go do prawa krajowego (ustawy krajowe regulują wyłącznie nadzór i kary). Przepisy sięgają też firm spoza Unii, jeżeli oferują swoje systemy AI lub ich efekty na europejskim rynku.

Rozporządzenie obejmuje zarówno dostawców systemów AI (firmy tworzące narzędzia), jak i podmioty stosujące – każdą firmę używającą AI w swojej działalności. Policz szybko narzędzia AI we własnym sklepie. Chatbot odpowiadający na pytania o dostawę, opisy produktów z ChatGPT, grafiki z Midjourney, silnik rekomendacji „klienci kupili także”, automatyzacje mailingowe – każde z nich podlega pod AI Act, choć w bardzo różnym zakresie.

Fundamentem regulacji jest podejście oparte na ryzyku. Im większe zagrożenie dla zdrowia, bezpieczeństwa lub praw podstawowych stwarza system, tym więcej obowiązków nakłada rozporządzenie. Dla sklepu to dobra wiadomość, bo typowe narzędzia e-commerce trafiają do kategorii minimalnego lub ograniczonego ryzyka – bez certyfikacji, dokumentacji technicznej i zgód urzędów.

Kategorie ryzyka – gdzie ląduje typowy sklep internetowy?

AI Act dzieli systemy sztucznej inteligencji na cztery poziomy ryzyka, a zdecydowana większość narzędzi sklepowych mieści się w kategorii ograniczonego ryzyka – z samym obowiązkiem przejrzystości. Prawidłowe przypisanie własnych narzędzi do kategorii to pierwszy krok całego wdrożenia, bo od niego zależy zakres obowiązków.

W praktyce sklepowej wygląda to tak. System rekomendacji na karcie produktu to minimalne ryzyko, chatbot obsługujący klientów wymaga informacji o rozmowie z AI, a narzędzie wspierające selekcję kandydatów w dziale HR to system wysokiego ryzyka z rozbudowaną dokumentacją. Jeżeli natomiast jakieś narzędzie analizuje emocje pracowników obsługi klienta podczas rozmów, to praktyka zakazana – obowiązuje bezwzględnie od 2 lutego 2025 roku.

Osobną kategorię stanowią modele ogólnego przeznaczenia (GPAI), czyli duże modele generatywne stojące za ChatGPT czy Gemini. Ich obowiązki (od 2 sierpnia 2025 roku) spoczywają na dostawcach, więc sklep korzystający z gotowych narzędzi nie musi się nimi zajmować.

Kiedy AI Act wchodzi w życie? Harmonogram po Digital Omnibus

Obowiązki AI Act są rozłożone na lata 2025–2028, a nowelizacja Digital Omnibus (rozporządzenie UE 2026/1744) przesunęła wyłącznie terminy dla systemów wysokiego ryzyka.

Nowelizacja została opublikowana w Dzienniku Urzędowym UE 24 lipca 2026 roku i weszła w życie trzy dni później, 27 lipca 2026 roku. Poniższa tabela pokazuje aktualny stan prawny.

Zwróć uwagę na jedno. Przesunięcia objęły systemy wysokiego ryzyka, czyli obszar, w którym typowy sklep w ogóle nie działa. Termin 2 sierpnia 2026 roku dla obowiązków przejrzystości pozostał bez zmian i właśnie ten przepis dotyczy większości sklepów internetowych oraz zespołów marketingowych. Ta data już minęła – poniższe sekcje opisują więc obowiązki, które trzeba spełniać teraz, a nie w przyszłości.

Chatbot w sklepie – jak poinformować klienta o rozmowie z AI?

Klient musi wiedzieć, że rozmawia z systemem AI, najpóźniej w momencie pierwszej interakcji (art. 50 ust. 1 AI Act).

Wyjątek dotyczy sytuacji, w której jest to oczywiste z kontekstu dla przeciętnie uważnej osoby – w praktyce rzadko się na niego powołasz. Komunikat „Cześć, jestem asystentem AI, w czym mogę pomóc?” w pierwszej wiadomości bota albo stała etykieta „Asystent AI” przy oknie czatu załatwiają sprawę. Informacja schowana w regulaminie lub polityce prywatności wymogu nie spełnia, bo klient jej nie zobaczy.

Formalnie mechanizm informowania projektuje dostawca narzędzia i to na nim spoczywa obowiązek konstrukcyjny. Jako właściciel sklepu powinieneś jednak sprawdzić, czy bot faktycznie wyświetla komunikat – to na Twojej stronie klient prowadzi rozmowę i to do Ciebie trafi jego skarga. Dotyczy to także scenariuszy marketing automation opartych na AI, jeżeli prowadzą z klientem konwersację.

Jest jeszcze jeden scenariusz wart uwagi. Jeżeli zamawiasz chatbota szytego na miarę i udostępniasz go pod marką własnego sklepu, w rozumieniu rozporządzenia możesz zostać uznany za jego dostawcę – z pełnym pakietem obowiązków projektowych i dokumentacyjnych. Korzystanie z gotowej subskrypcji Tidio czy Intercomu takiego ryzyka nie tworzy.

Opisy produktów i teksty blogowe z AI – kiedy obejdzie się bez oznaczenia?

Opis produktu, artykuł poradnikowy czy newsletter napisany z pomocą AI i zredagowany przez człowieka nie wymaga etykiety „wygenerowano przez AI”.

Wynika to z dwóch niezależnych powodów. Po pierwsze, obowiązek ujawnienia z art. 50 ust. 4 dotyczy tekstów publikowanych „w celu informowania społeczeństwa o sprawach leżących w interesie publicznym” – treść komercyjna sklepu co do zasady w ten zakres nie wpada. Po drugie, nawet dla tekstów w interesie publicznym przewidziano wyjątek, gdy treść przeszła weryfikację człowieka lub kontrolę redakcyjną, a odpowiedzialność za publikację ponosi konkretna osoba lub firma.

Osobne wyłączenie obejmuje narzędzia pełniące funkcję pomocniczą przy standardowej edycji (art. 50 ust. 2). Korekta gramatyczna, tłumaczenie opisu na inny język, skracanie czy formatowanie tekstu napisanego przez człowieka nie podlegają oznaczaniu – działają jak autokorekta w edytorze, a tej nikt nie etykietuje.

Żeby realnie korzystać z wyjątku redakcyjnego, potrzebujesz prostej procedury zamiast dobrych chęci. Wyznacz osobę odpowiedzialną za weryfikację treści, ustal zasadę, że żaden tekst z AI nie trafia na stronę bez akceptacji człowieka, i odnotowuj ten fakt choćby w polu „zweryfikowane przez” w CMS. W razie kontroli pokazujesz udokumentowany proces, a nie zapewnienia. Przy okazji warto wiedzieć, jak sprawdzić, czy tekst został napisany przez AI – surowe generacje bez redakcji rozpoznaje się zaskakująco łatwo.

Zdjęcia produktowe i grafiki z AI – kiedy stają się deepfake?

Grafika z AI wymaga widocznego oznaczenia, gdy spełnia definicję deepfake – czyli mogłaby uchodzić za prawdziwe zdjęcie istniejącej osoby, przedmiotu, miejsca lub zdarzenia.

Definicja jest szersza, niż podpowiada intuicja, bo nie ogranicza się do podmienionych twarzy celebrytów. Praktyczny test brzmi tak: czy klient może pomyśleć, że patrzy na fotografię? Jeżeli tak, materiał trzeba oznaczyć, np. dopiskiem „wizualizacja wygenerowana przez AI” w widocznym miejscu.

Granicę wyznacza realizm, a nie samo użycie generatora obrazów AI. Poprawa ostrości, kolorów czy usunięcie tła nie tworzy deepfake. Wygenerowanie modelki, dorysowanie detali produktu albo osadzenie towaru w nieistniejącym wnętrzu – już tak. Więcej o rozpoznawaniu takich materiałów piszę we wpisie o tym, jak rozpoznać zdjęcia generowane przez sztuczną inteligencję.

Jest też druga warstwa ryzyka, niezależna od AI Act. Jeżeli AI „upiększa” produkt ponad rzeczywistość – rozjaśnia kolor materiału, dodaje detale, których fizyczny towar nie ma – wchodzisz w obszar nieuczciwych praktyk rynkowych i reklamacji z tytułu niezgodności towaru z umową. Te przepisy egzekwuje UOKiK od lat i żadna etykieta AI przed nimi nie chroni. Zdjęcie z AI ma wiernie oddawać rzeczywisty produkt, nawet gdy formalnie nie wymaga oznaczenia.

Dostawca czy podmiot stosujący – kto odpowiada za oznaczenie?

Maszynowe znakowanie treści (metadane, znaki wodne) to obowiązek dostawcy narzędzia, natomiast widoczne oznaczenie publikowanej treści – firmy, która ją publikuje.

Ten podział ról z art. 50 rozstrzyga większość wątpliwości praktycznych. Gdy generujesz grafikę w Midjourney, o techniczny ślad w pliku dba OpenAI, Adobe czy Midjourney, a Ty odpowiadasz wyłącznie za czytelną informację na stronie, jeżeli materiał jest deepfake. Dostawcy systemów wprowadzonych na rynek przed 2 sierpnia 2026 roku mają na wdrożenie maszynowego znakowania czas do 2 grudnia 2026 roku.

Najwięcej problemów widzę na styku sklepu i podwykonawców. Grafik freelancer generuje wizualizację, agencja przygotowuje kampanię, a nikt nie ustalił, kto nakłada etykietę – w efekcie nie robi tego nikt. Jedno zdanie w umowie zlecenia lub briefie („za oznaczenie treści wygenerowanych przez AI odpowiada wykonawca/zamawiający”) porządkuje odpowiedzialność, zanim zrobi to za Ciebie skarga klienta. To tańsze zabezpieczenie niż jakikolwiek audyt po fakcie.

Co zmienia Digital Omnibus?

Digital Omnibus on AI (rozporządzenie UE 2026/1744) to pierwsza nowelizacja AI Act – opublikowana 24 lipca 2026 roku i obowiązująca od 27 lipca 2026 roku.

Komisja Europejska zaproponowała ją w listopadzie 2025 roku w odpowiedzi na opóźnienia w budowie infrastruktury nadzoru, m.in. brak norm zharmonizowanych i wyznaczonych organów krajowych.

Najważniejsze zmiany wprowadzone przez nowelizację:

• przesunięcie obowiązków dla samodzielnych systemów wysokiego ryzyka (np. AI w rekrutacji) na 2 grudnia 2027 roku, a dla AI wbudowanej w produkty regulowane na 2 sierpnia 2028 roku
• nowy zakaz w art. 5 – systemy AI generujące niekonsensualne treści intymne (tzw. nudifiers) oraz materiały CSAM, z okresem przejściowym do 2 grudnia 2026 roku
• złagodzenie art. 4 – firmy mają „wspierać rozwój kompetencji AI” personelu zamiast gwarantować określony poziom wiedzy
• okres przejściowy dla maszynowego znakowania treści (art. 50 ust. 2) do 2 grudnia 2026 roku dla systemów sprzed 2 sierpnia 2026 roku
• wyłączenie z kategorii wysokiego ryzyka systemów pełniących w produktach wyłącznie funkcje pomocnicze, np. kontroli jakości
• wzmocnienie uprawnień Urzędu ds. AI (AI Office), m.in. o kontrole i możliwość nakładania kar

Z mojej perspektywy najciekawszy jest kierunek tych zmian. Unia nie wycofuje się z regulacji – architektura AI Act pozostaje nienaruszona – ale przyznaje, że infrastruktura nadzoru nie powstała na czas. Obowiązków przejrzystości, czyli tych istotnych dla e-commerce, Omnibus nie ruszył ani o dzień.

Kary w AI Act

Maksymalne kary w AI Act sięgają 35 mln EUR lub 7% światowego rocznego obrotu firmy – w zależności od tego, która kwota jest wyższa (art. 99 rozporządzenia 2024/1689). Wysokość sankcji zależy od rodzaju naruszenia:

• stosowanie praktyk zakazanych – do 35 mln EUR lub 7% obrotu
• naruszenie pozostałych obowiązków, w tym przejrzystości z art. 50 – do 15 mln EUR lub 3% obrotu
• podanie organom nieprawdziwych informacji – do 7,5 mln EUR lub 1% obrotu

Dla porównania maksymalne kary z RODO to 20 mln EUR lub 4% obrotu (art. 83 rozporządzenia 2016/679), więc unijny ustawodawca potraktował sztuczną inteligencję surowiej niż dane osobowe. Dla MŚP przewidziano łagodniejszy wariant – stosuje się niższą z dwóch kwot, a nie wyższą. Pamiętaj przy tym, że to maksymalne pułapy, a nie automatyczne stawki za każde uchybienie.

AI Act w Polsce – ustawa o systemach sztucznej inteligencji i KRiBSI

Ustawa z 3 lipca 2026 roku o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) organizuje krajowy nadzór nad stosowaniem AI Act.

Prezydent podpisał ją 24 lipca, ogłoszono ją 27 lipca, a zasadnicza część przepisów wchodzi w życie 11 sierpnia 2026 roku. Rozdziały o kontrolach, karach pieniężnych i opiniach indywidualnych zaczną obowiązywać 28 października 2026 roku (prawo.pl, 2026).

Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – krajowy organ nadzoru rynku AI. Przewodniczący Komisji ma zostać powołany w ciągu dwóch miesięcy od wejścia ustawy w życie, a pełny skład w ciągu trzech, więc realnie KRiBSI ruszy jesienią 2026 roku. Komisja będzie monitorować zgodność z przepisami, rozpatrywać skargi, prowadzić piaskownice regulacyjne i wydawać wiążące opinie indywidualne dla firm z wątpliwościami co do klasyfikacji własnych systemów.

Na uwagę zasługuje mechanizm łagodzenia sankcji, wzorowany na programie leniency z prawa konkurencji. Firma współpracująca z KRiBSI może wynegocjować obniżenie kary o 20–70%, a przy samodzielnym zgłoszeniu naruszenia i zaprzestaniu go przed wszczęciem postępowania – o 30–90%, z możliwością całkowitego odstąpienia od sankcji (analiza PTI, 2026). Dla sklepu oznacza to prosty wniosek: wykryty u siebie problem opłaca się naprawić i zgłosić, zamiast liczyć, że nikt nie zauważy.

Jak przygotować sklep internetowy na AI Act?

Sensowne wdrożenie AI Act w sklepie sprowadza się do sześciu kroków, z których większość wykonasz siłami własnego zespołu.

Pracując z klientami e-commerce widzę, że narzędzia AI weszły do sklepów szeroko – chatboty, generatory opisów, silniki rekomendacji, automatyzacje mailingowe, AI w kampaniach reklamowych. Obowiązki przejrzystości już obowiązują, więc kolejność ma znaczenie:

1. spisz wszystkie narzędzia AI w firmie – także te „ukryte” w platformie sklepowej czy systemie mailingowym
2. przypisz każde narzędzie do kategorii ryzyka – zakazane, wysokie, obowiązki przejrzystości, GPAI lub minimalne
3. sprawdź chatbota – czy komunikat o rozmowie z AI pojawia się najpóźniej przy pierwszej interakcji
4. przejrzyj grafiki testem „czy klient weźmie to za prawdziwe zdjęcie” i oznacz materiały deepfake
5. wdróż procedurę redakcyjną dla tekstów z AI – osoba odpowiedzialna plus odnotowana weryfikacja
6. rozpisz w umowach z grafikami, freelancerami i agencjami, kto odpowiada za oznaczanie treści

Do tego dochodzi obowiązek kompetencji AI z art. 4, obowiązujący od lutego 2025 roku. Nie wymaga on certyfikatów ani określonej liczby godzin szkoleń – wystarczy krótka wewnętrzna instrukcja, jakich danych nie wklejać do narzędzi, kto weryfikuje wygenerowane treści i jak dokumentujecie te decyzje.

Jest też druga strona medalu. Przejrzyste oznaczanie AI i uporządkowane procesy treściowe budują zaufanie – walutę docenianą zarówno przez klientów, jak i wyszukiwarki. Treści tworzone z pomocą AI, ale redagowane przez ekspertów, bronią się w Google i w odpowiedziach modeli językowych, o czym pisałem w artykule o pozycjonowaniu pod LLM. Jeżeli chcesz pogodzić skalowanie treści z nowymi przepisami, sprawdź nasz content marketing dla e-commerce albo umów konsultacje marketingowe. Przejdziemy przez Twoje narzędzia AI punkt po punkcie.

Najczęstsze pytania o AI Act w e-commerce

Czy muszę oznaczać opisy produktów pisane przez AI?

Nie, jeżeli opis przeszedł redakcję człowieka, a sklep bierze odpowiedzialność za publikację. Opisy produktów to treść komercyjna, a nie materiał „w interesie publicznym” z art. 50 ust. 4, więc co do zasady w ogóle nie wpadają w zakres obowiązku.

Czy AI Act dotyczy małych sklepów internetowych?

Tak, obowiązki przejrzystości obejmują każdą firmę używającą AI, niezależnie od wielkości. Dla MŚP przewidziano jedynie łagodniejsze limity kar – stosuje się niższą z dwóch kwot maksymalnych.

Czy Digital Omnibus przesunął termin 2 sierpnia 2026 roku?

Nie. Nowelizacja przesunęła wyłącznie wymogi dla systemów wysokiego ryzyka (na 2 grudnia 2027 i 2 sierpnia 2028 roku). Obowiązki przejrzystości dla chatbotów i deepfake obowiązują od 2 sierpnia 2026 roku bez zmian.

Kto kontroluje przestrzeganie AI Act w Polsce?

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), powołana ustawą z 3 lipca 2026 roku. Uprawnienia kontrolne i możliwość nakładania kar Komisja uzyska 28 października 2026 roku, ale wcześniejsze naruszenia mogą zostać ukarane później.

Co grozi za nieoznaczony chatbot?

Maksymalnie 15 mln EUR lub 3% światowego obrotu (art. 99 rozporządzenia 2024/1689). To górny pułap, nie automatyczna stawka – a polska ustawa pozwala obniżyć karę o 30–90% firmom, które same zgłoszą i usuną naruszenie.

Ten wpis ma charakter informacyjny i nie stanowi porady prawnej. Kwalifikację konkretnego systemu AI w Twoim sklepie warto skonsultować z prawnikiem specjalizującym się w nowych technologiach.

Najważniejsze informacje:

• Art. 50 AI Act obowiązuje od 2 sierpnia 2026 roku – chatbot ma informować o rozmowie z AI, a realistyczne treści deepfake wymagają widocznego oznaczenia.
• Opisy produktów i teksty po kontroli redakcyjnej człowieka nie wymagają etykiety, podobnie jak korekta i tłumaczenie wykonane przez AI.
• Digital Omnibus (rozporządzenie UE 2026/1744) obowiązuje od 27 lipca 2026 roku i przesunął wymogi dla systemów wysokiego ryzyka na 2 grudnia 2027 i 2 sierpnia 2028 roku.
• Kary sięgają 35 mln EUR lub 7% obrotu za praktyki zakazane oraz 15 mln EUR lub 3% za naruszenie przejrzystości, przy czym dla MŚP stosuje się niższą z dwóch kwot.
• Ustawa z 3 lipca 2026 roku (Dz.U. 2026 poz. 1003) powołuje KRiBSI – kontrole i kary ruszą 28 października 2026 roku, a samodzielne zgłoszenie naruszenia może obniżyć karę o 30–90%.

Źródła:

https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R1689

https://eur-lex.europa.eu/eli/reg/2026/1744/oj

https://cdp.cooley.com/digital-ai-omnibus-delays-key-deadlines-introduces-new-rules/

https://www.prawo.pl/biznes/prezydent-podpisal-ustawe-o-systemach-ai,1541891.html

https://www.gov.pl/web/cyfryzacja/ustawa-o-systemach-ai–bezpieczny-rozwoj-sztucznej-inteligencji-w-polsce

https://pti.org.pl/ustawa-o-systemach-sztucznej-inteligencji-co-naprawde-uchwala-sejm-i-co-to-oznacza-w-praktyce/