EU AI Act Artykuł 50: Obowiązki przejrzystości dla systemów AI – co firmy muszą wiedzieć

Cicha data graniczna: Dlaczego artykuł 50 zaskakuje wiele firm nieprzygotowanych

Podczas gdy wiele firm w pierwszej połowie 2026 roku z ulgą przyjęło wiadomość o przesunięciu kluczowych części unijnego rozporządzenia o AI, inna godzina tykała niezauważona. 2 sierpnia 2026 roku weszły w życie obowiązki w zakresie przejrzystości wynikające z artykułu 50 unijnego rozporządzenia o sztucznej inteligencji (Regulation (EU) 2024/1689) – punktualnie, bez opóźnienia, bez okresu przejściowego. Kto miał nadzieję, że pakiet Digital Omnibus odsunie również te regulacje, jest w błędzie.

Konsekwencja jest następująca: firmy wykorzystujące chatboty, produkujące syntetyczne media, stosujące rozpoznawanie emocji lub publikujące treści deepfake podlegają od teraz konkretnym ustawowym obowiązkom ujawnienia informacji. A kary za naruszenia są dotkliwe: do 15 milionów euro lub 3 procent globalnego rocznego obrotu – w zależności od tego, która kwota jest wyższa.

Czego konkretnie wymaga artykuł 50

Artykuł 50 unijnego rozporządzenia o AI definiuje cztery odrębne obowiązki przejrzystości, skierowane do różnych grup dostawców i operatorów:

• Dostawcy konwersacyjnych systemów AI (chatboty, asystenci głosowi): muszą zapewnić, że użytkownicy będą w stanie rozpoznać, że wchodzą w interakcję z AI – o ile nie jest to i tak oczywiste. Ujawnienie musi nastąpić najpóźniej przy pierwszej interakcji.
• Dostawcy systemów do generowania treści syntetycznych (generatory obrazów, dźwięku, wideo i tekstu): wyniki muszą być oznakowane w formacie nadającym się do odczytu maszynowego, który identyfikuje je jako wygenerowane lub przetworzone przez AI. Rozwiązanie techniczne musi być skuteczne, interoperacyjne, odporne i niezawodne – „w zakresie, w jakim jest to wykonalne technicznie".
• Operatorzy systemów rozpoznawania emocji lub biometrycznej kategoryzacji: osoby, których dane dotyczą, muszą zostać poinformowane o stosowaniu systemu, zgodnie z obowiązującym prawem ochrony danych (RODO).
• Operatorzy treści deepfake lub generowanych przez AI dotyczących spraw publicznych: takie treści muszą być oznaczone jako sztucznie wytworzone lub zmodyfikowane – z wyjątkami dla wyraźnie artystycznych, satyrycznych lub fikcyjnych dzieł oraz dla tekstów zredagowanych przez człowieka z jednoznacznie przypisaną odpowiedzialnością redakcyjną.

Kluczowe jest to, że obowiązki te nie są powiązane z klasyfikacją ryzyka zgodnie z Załącznikiem III. Mają zastosowanie funkcjonalne – a więc zawsze wtedy, gdy system AI jest konwersacyjny, generatywny, rozpoznaje emocje lub produkuje deepfake. Obejmuje to de facto całe spektrum nowoczesnych wdrożeń AI w przedsiębiorstwach: od ChatGPT firmy OpenAI przez Claude firmy Anthropic po wewnętrznych asystentów AI.

Nieporozumienie związane z pakietem Digital Omnibus

Pakiet EU Digital Omnibus, który został politycznie uzgodniony w maju 2026 roku i przyjęty przez Radę pod koniec czerwca 2026 roku, przesunął terminy compliance dla samodzielnych systemów AI wysokiego ryzyka zgodnie z Załącznikiem III na 2 grudnia 2027 roku – a dla systemów zintegrowanych z produktami zgodnie z Załącznikiem I nawet do sierpnia 2028 roku. Kontekst jest następujący: zharmonizowane normy techniczne CEN-CENELEC nie były dostępne przed pierwotnym terminem.

Artykuł 50 został jednak celowo wyłączony z tych negocjacji. Obowiązki w zakresie przejrzystości mają strukturalnie inny charakter niż wymogi dotyczące systemów wysokiego ryzyka – nie wynikają z typologii ryzyka, lecz z logiki funkcjonalnej. Pakiet Digital Omnibus pozostawił tę kategorię bez zmian. Jedynym wyjątkiem jest odrębny czteromiesięczny okres przejściowy dla obowiązku stosowania maszynowo czytelnych znaków wodnych, który obowiązuje do 2 grudnia 2026 roku.

Dr. Maik Bunzel, założyciel i dyrektor zarządzający mabucon.eu, obserwuje w swojej praktyce doradczej, że wiele średnich przedsiębiorstw przywiązało zbyt dużą wagę do komunikatów o przesunięciach terminów: „Szeroka komunikacja wokół pakietu Omnibus wytworzyła błędne przekonanie. Wiele organizacji zakłada, że temat EU AI Act można odłożyć na półkę do końca 2027 roku – tymczasem obowiązki w zakresie przejrzystości dla chatbotów i generatywnej AI obowiązują już dziś."

Luka techniczna: gdy prawo wyprzedza technologię

Szczególnie drażliwa jest rozbieżność między wymogiem prawnym a rzeczywistością techniczną w przypadku obowiązku stosowania znaków wodnych dla treści syntetycznych. Niezależne badania w dziedzinie bezpieczeństwa pokazują, że obecne metody znakowania wodnego są podatne na ataki:

• Badacze z SRI Labs ETH Zurych wykazali, że atakujący może złamać schemat znaku wodnego za pomocą prostych zapytań API z skutecznością powyżej 80 procent – zarówno w celu usunięcia znaku wodnego z tekstów generowanych przez AI, jak i naniesienia go na tekst napisany przez człowieka. Koszt: poniżej 50 dolarów amerykańskich.
• Inny atak, tzw. Self-Information Rewrite Attack, celuje bezpośrednio w tokeny o wysokiej entropii, w których sygnał jest zazwyczaj osadzony – i usuwa znak wodny bez zmiany semantycznej zawartości tekstu.
• Dla znaków wodnych w obrazach istnieje już publicznie dostępne narzędzie, które obchodzi własny system wykrywania SynthID firmy Google w przypadku obrazów aktualnie generowanych przez Gemini.

Sam tekst ustawy uwzględnia tę niepewność: kryterium „w zakresie, w jakim jest to technicznie wykonalne" wbudowuje pewną elastyczność w standard. Organy regulacyjne będą zatem prawdopodobnie oceniać poziom zgodności nie według sztywnych technicznych wskaźników, lecz według stanu techniki w danym momencie. Z jednej strony stanowi to pewne odciążenie, z drugiej zaś – zadanie ciągłe: przedsiębiorstwa muszą nieprzerwanie weryfikować i dostosowywać swoje środki techniczne.

„Technologia znaków wodnych nie jest problemem rozwiązanym. Kto wdraża dziś jakieś rozwiązanie i traktuje je jako trwale zgodne z przepisami, działa nieodpowiedzialnie. Zgodność z przepisami w obszarze treści syntetycznych to proces iteracyjny."

Ciężar dowodu spoczywa na przedsiębiorstwie

Często pomijanym szczegółem regulacji jest kwestia ciężaru dowodu. Inaczej niż w wielu innych obszarach regulacyjnych, w przypadku artykułu 50 to nie organ musi udowodnić naruszenie – lecz przedsiębiorstwo musi wykazać prawidłowe i terminowe ujawnienie informacji. Ma to bezpośredni wpływ na obowiązki dokumentacyjne: przedsiębiorstwa powinny w sposób możliwy do udowodnienia odnotowywać, kiedy i jakie teksty informacyjne zostały wdrożone, jakie środki techniczne zostały podjęte oraz w jaki sposób przeprowadzono wewnętrzną weryfikację.

Krajowe organy nadzoru rynku są uprawnione do wszczynania odpowiednich działań egzekucyjnych od 2 sierpnia 2026 roku. Komisja Europejska opublikowała wprawdzie dobrowolny zestaw ikon do oznaczania treści generowanych przez AI, jednak jego stosowanie pozostaje opcjonalne. Wiążący pozostaje sam leżący u podstaw obowiązek ujawniania.

Które systemy są konkretnie objęte przepisem

Zakres stosowania artykułu 50 jest znacznie szerszy, niż powszechnie się przyjmuje. Nie obejmuje on wyłącznie wyspecjalizowanych aplikacji do tworzenia deepfake'ów – lecz całe główne nurty generatywnej AI wykorzystywanej w przedsiębiorstwach:

• Wewnętrzne i zewnętrzne chatboty oparte na modelach językowych takich jak GPT-4 czy Claude
• Narzędzia do tworzenia tekstów wspomagane przez AI w obszarze marketingu, obsługi klienta czy HR
• Generatory obrazów w obszarze projektowania i komunikacji
• Narzędzia do syntezy mowy i wideo na potrzeby szkoleń lub komunikacji z klientami
• Systemy analizy nastrojów lub rozpoznawania emocji w kontekstach customer experience

Wdrożenia B2B również nie są wyłączone: jeśli przedsiębiorstwo obsługuje chatbota dla swoich klientów, ponosi odpowiedzialność jako podmiot wdrażający – niezależnie od tego, czy dostawca bazowego modelu wywiązuje się z własnych zobowiązań.

Zalecenia dla przedsiębiorstw

Dr. Maik Bunzel, założyciel i dyrektor zarządzający mabucon.eu, zaleca przedsiębiorstwom, aby nie traktowały zgodności z artykułem 50 jako jednorazowego projektu, lecz integrowały ją jako ciągłe zadanie operacyjne w ramach zarządzania AI: „Obowiązki w zakresie przejrzystości to nie biurokracja, którą można jednorazowo odhaczyć. Muszą być wbudowane w każdy proces wdrażania systemów AI – od koncepcji po eksploatację."

Konkretnie zalecane są następujące kroki:

• Inwentaryzacja wszystkich systemów AI, które mogą podlegać artykułowi 50 – w szczególności aplikacji konwersacyjnych i generatywnych
• Wdrożenie wyraźnych informacji o ujawnieniu przy pierwszej interakcji z użytkownikiem, w sposób dostępny i w zrozumiałym języku
• Techniczne sprawdzenie rozwiązania znakowania wodnego dla treści syntetycznych, w tym regularna ponowna ocena w obliczu dynamicznego rozwoju badań nad atakami
• Dokumentacja działań zapewniających zgodność z sygnaturami czasowymi i wskazaniem osób odpowiedzialnych, aby móc udźwignąć ciężar dowodowy w razie potrzeby
• Wyjaśnienie odpowiedzialności podmiotu wdrażającego w umowach z dostawcami AI, w szczególności gdy wykorzystywane są zewnętrzne modele

Perspektywy: artykuł 50 jako wzorzec dla przejrzystości AI

Artykuł 50 w swojej koncepcji jest prekursorem szerszej polityki przejrzystości AI, która prawdopodobnie stanie się wzorem wykraczającym poza UE. Podstawowa idea – obowiązki funkcjonalne działające niezależnie od klasyfikacji ryzyka – mogłaby służyć jako model dla przyszłych poziomów regulacji. Jednocześnie debata wokół granic technicznej wykonalności (znakowanie wodne, systemy wykrywania) pokazuje, że regulacyjne intencje i techniczna wykonalność nie zawsze są ze sobą zgodne.

Dla przedsiębiorstw oznacza to: stosowanie generatywnej AI nie jest już od dawna przestrzenią wolną od regulacji prawnych. Kto produktywnie korzysta z systemów AI, już dziś ponosi aktywne obowiązki ujawniania – i powinien teraz stworzyć infrastrukturę techniczną oraz organizacyjną w tym zakresie, zanim organy egzekucyjne podejmą działania.