Chatbot a AI Act: co sprawdzić przed 28 października 2026

Od 2 sierpnia 2026 chatbot rozmawiający z klientami musi być zaprojektowany tak, żeby rozmówca wiedział, że pisze z AI, chyba że jest to oczywiste. Obowiązek spoczywa formalnie na dostawcy systemu, ale dostawcą może być też firma, która zleciła bota i oddała go do użytku pod własną nazwą. Od 28 października 2026 w Polsce działają przepisy o skargach, kontrolach i karach.

Łatwo założyć, że skoro bota zrobił zewnętrzny wykonawca, to AI Act jest jego sprawą. Czasem tak jest. Czasem nie, bo definicja dostawcy obejmuje także tego, kto zleca zbudowanie systemu AI i oddaje go do użytku pod własną nazwą. Poniżej pięć sprawdzeń: informacja przy pierwszej wiadomości, kto jest dostawcą, lista systemów AI, ścieżka do człowieka z logami oraz treści generowane. Zrobisz je, zanim zapyta ktoś inny.

Co widzimy na rynku: trzy daty i jeden pułap kar

Polska ustawa wchodzi w życie etapami (28 lipca, 11 sierpnia i 28 października 2026), a AI Act ma własne daty. Zebraliśmy je ze źródeł unijnych i polskich.

• 2 sierpnia 2026. Obowiązki przejrzystości z art. 50 AI Act, w tym informowanie, że rozmówca pisze z AI.
• 11 sierpnia 2026. Zasadnicza część polskiej ustawy o systemach sztucznej inteligencji, w tym przepisy ustrojowe dotyczące KRiBSI.
• 28 października 2026. Kontrole, postępowania, skargi, opinie indywidualne i administracyjne kary pieniężne.
• Najwcześniej listopad 2026. Faktyczne rozpoczęcie pracy przez KRiBSI.
• 2 grudnia 2026. Oznaczanie treści generowanych dla systemów wprowadzonych przed 2 sierpnia 2026, art. 50 ust. 2.

Komisja Europejska napisała 31 lipca 2026, że od 2 sierpnia chatboty i inne interaktywne systemy AI muszą informować użytkowników, że rozmawiają z AI, a nie z człowiekiem. Kara za naruszenie art. 50 może sięgnąć 15 milionów euro albo 3 procent światowego rocznego obrotu, przy czym dla małych i średnich firm stosuje się niższą z tych kwot. To pułap, nie stawka.

Dwie rzeczy łatwo przeoczyć. Po pierwsze, art. 50 ust. 1 mówi o dostawcach, nie o każdej firmie, która ma czat na stronie. Po drugie, KRiBSI według polskiej prasy zacznie działać najwcześniej w listopadzie, więc 28 października to data przepisów, nie pierwszej kontroli.

Pięć sprawdzeń chatbota

Art. 50 ust. 1 dotyczy systemów AI przeznaczonych do bezpośredniej rozmowy z ludźmi, więc obejmuje i prosty czat oparty na modelu językowym, i agenta. Czym się różnią, opisaliśmy w tekście Chatbot firmowy czy agent AI - co wybrać?.

1. Informacja przy pierwszej wiadomości. Art. 50 ust. 5 wymaga, żeby informacja była podana w sposób jasny i wyraźny, najpóźniej przy pierwszej interakcji, z zachowaniem wymogów dostępności. Konkretna pułapka: informacja ukryta w regulaminie albo w stopce, a w oknie czatu bot podpisany imieniem i zdjęciem człowieka. Przy zwykłym czacie dla klientów ustęp 1 zwalnia z obowiązku tylko wtedy, gdy jest to oczywiste dla dobrze poinformowanej, uważnej i ostrożnej osoby, a przy bocie z imieniem i zdjęciem człowieka trudno powiedzieć, że jest to oczywiste.

2. Kto jest dostawcą. Jeśli kupiłeś gotowy produkt, dostawcą jest producent, a ty miej na piśmie, jak spełnia art. 50 ust. 1. Jeśli zleciłeś zbudowanie bota i działa pod twoją nazwą, możesz być dostawcą ty. Zapytaj o to wykonawcę przed podpisaniem umowy, także nas, a rozstrzygnięcie zostaw prawnikowi.

3. Lista systemów AI w firmie. Co działa, do czego, na jakich danych i kto za to odpowiada. To nie jest osobny obowiązek dla chatbota, tylko praktyka, która pozwala odpowiedzieć na pismo bez szukania, co właściwie działa w firmie. Kancelaria Sobota Jachira zwraca uwagę, że po 28 października dokumentacja AI staje się materiałem dowodowym w kontrolach.

4. Ścieżka do człowieka i logi. Gdy klient się poskarży, ktoś musi pokazać, co bot powiedział i kiedy sprawa trafiła do człowieka. Opisujemy to w tekstach o przekazaniu rozmowy w obsłudze klienta i o halucynacjach agentów: logi muszą istnieć, ktoś musi je czytać i ktoś ma to wpisane w zakres obowiązków. To praktyka, nie przepis. Tryby nadzoru i liczbę godzin, które zabierają, opisujemy w tekście Human in the loop AI: kiedy człowiek zatwierdza, a kiedy tylko pilnuje.

5. Treści generowane przez AI. Art. 50 ust. 2 wymaga od dostawców oznaczania treści w formacie czytelnym maszynowo, a rozporządzenie 2026/1744 daje czas do 2 grudnia 2026 systemom wprowadzonym na rynek przed 2 sierpnia 2026. Komisja zapowiada też, że treści typu deepfake będą musiały być oznaczone. Jeśli tylko korzystasz z kupionego narzędzia do tekstów i grafik, zapytaj dostawcę, jak spełnia ten obowiązek. To samo pytanie dotyczy agentów działających w tle, którzy mogą pisać w twoim imieniu, jak OpenAI dots. Ich dostępność w Polsce opisujemy w tekście OpenAI dots w Polsce: kto może je włączyć i co ustawić przed startem.

Czego ten tekst nie rozstrzyga

Nie wiemy, czy twój bot mieści się w wyjątku „oczywiste dla rozmówcy”. Nie wiemy, jaką rolę przypisze ci organ w twoim wdrożeniu. Polską ustawę znamy z komentarzy kancelarii i prasy, a nie z lektury całego tekstu, więc dla szczegółów trybu skargi odsyłamy do samej ustawy i prawnika.

Co to oznacza dla Twojej firmy

Wniosek prawdopodobny. Najbliższe ryzyko to skarga klienta, nie kontrola. KRiBSI zacznie działać najwcześniej w listopadzie, a kary są pułapami. Pięć sprawdzeń to głównie pytania do wykonawcy i prawnika oraz jedna lista systemów.

Wniosek prawdopodobny. Obowiązek kompetencji AI z art. 4 jest po lipcowych zmianach słabszy, niż piszą starsze poradniki. Rozporządzenie 2026/1744 zastąpiło wymóg zapewnienia „w możliwie największym stopniu” odpowiedniego poziomu kompetencji zapisem, że dostawcy i podmioty stosujące podejmują środki wspierające ich rozwój. Nie opieraj budżetu szkoleniowego na zdaniu, że to twardy obowiązek. Szkolenie ma sens z innego powodu, który sprawdzisz u siebie: kto i jakie dane wkleja dziś do narzędzi AI.

Hipoteza do sprawdzenia. Polskie przepisy o skargach mogą zacząć generować pisma szybciej, niż KRiBSI zdąży ustalić praktykę. Na razie to przewidywanie, nie obserwacja. Do sprawdzenia, gdy pojawią się pierwsze komunikaty organu.

Co się dzieje, kiedy się do nas odezwiesz

Rozmawiasz z osobą, która zna twoje wdrożenie od środka. Rozmowa trwa 45 minut, a na końcu dostajesz konkretny pomysł i widełki cenowe. Jeśli twój bot wymaga tylko dopisania informacji w pierwszej wiadomości, powiemy to wprost. Budujemy z Tobą, nie za Ciebie: listę systemów AI i ścieżkę do człowieka spisujemy razem z osobą, która za nie odpowiada.

Jeśli chcesz zobaczyć całość, robimy dwutygodniowy audyt AI ze stałą ceną ustaloną przed startem. Każdą rekomendację sprawdzamy pod RODO i AI Act, a raport dostajesz także wtedy, gdy wniosek brzmi „tego nie wdrażajcie”. Agenta budowanego pod twój proces opisuje nasza usługa agentów AI. Nie zostawiamy cię z gotowym produktem. Zostajemy, kiedy go używasz.

Nie jesteśmy kancelarią, ten tekst nie jest poradą prawną i nie wystawiamy zaświadczeń o zgodności z AI Act. Kwalifikację twojego systemu ustala prawnik. Umów 45 minut rozmowy.

Źródła

Dostęp do wszystkich stron: 5 października 2026.

• Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz. U. z 2026 r. poz. 1003, według metryki aktu w INFOR. Pełnego tekstu nie czytaliśmy.
• Rozporządzenie (UE) 2024/1689 (AI Act), art. 3 ust. 3, art. 50 i art. 99: EUR-Lex.
• Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI), w mocy od 27 lipca 2026, art. 1 pkt 5 (art. 4) i pkt 40 (art. 113): EUR-Lex.
• Komisja Europejska, 31 lipca 2026: Commission starts enforcing AI Act rules and new transparency requirements from 2 August.
• Komisja Europejska, AI Act: ramy regulacyjne.
• Kancelaria Sobota Jachira, Ustawa o systemach sztucznej inteligencji ogłoszona. Co zmienia dla biznesu?, daty wejścia w życie kolejnych części ustawy.
• Rzeczpospolita, Ustawa o AI weszła już w życie. Od października będzie można się na nią poskarżyć.
• Strefa Biznesu, Nowy nadzór nad sztuczną inteligencją. Komisja będzie mogła nakładać kary, start pracy KRiBSI najwcześniej w listopadzie 2026.
• MyCompany Polska, KRiBSI: kary dla firm od 28 października. Za co?, pułapy kar.