AI Act i RODO: na co zwrócić uwagę w chatbocie firmowym?

Mesterséges Intelligencia Központ Kft. to firma programistyczna z Budapesztu. W chatbocie firmowym najważniejsze są dwie zasady: AI Act wymaga informowania, że odpowiada AI, a RODO wymaga zgodnego z prawem przetwarzania danych osobowych.

W skrócie: art. 50 ust. 1 AI Act stosuje się od 2 sierpnia 2026 r.: chatbot musi najpóźniej w momencie pierwszej interakcji jasno poinformować użytkownika, że rozmawia ze sztuczną inteligencją, chyba że jest to oczywiste. Typowy chatbot obsługi klienta nie jest systemem AI wysokiego ryzyka, ale jeśli przetwarza dane osobowe, podlega także przepisom RODO, m.in. w zakresie podstawy prawnej, obowiązku informacyjnego, minimalizacji danych oraz umowy powierzenia przetwarzania danych zawieranej z dostawcą AI. To informacja, a nie porada prawna (sprawdzono 17 października 2026 r.).

O jakie dwa akty prawne chodzi?

AI Act to rozporządzenie Unii Europejskiej w sprawie sztucznej inteligencji, oficjalnie rozporządzenie (UE) 2024/1689. Jako rozporządzenie jest bezpośrednio stosowane w każdym państwie członkowskim. Polski tekst urzędowy nazywa takie rozwiązanie „systemem AI”; w tym artykule używamy także samego skrótu „AI”.

Artykuł 3 rozporządzenia rozróżnia dwie role. Dostawcą jest ten, kto rozwija system AI lub zleca jego rozwój i pod własną nazwą lub znakiem towarowym wprowadza go do obrotu lub oddaje do użytku. Podmiotem stosującym jest ten, kto wykorzystuje system AI, nad którym sprawuje kontrolę, z wyjątkiem wykorzystywania go w ramach osobistej działalności pozazawodowej. Jeśli firma zleca stworzenie chatbota i pod własną nazwą eksploatuje go na swojej stronie internetowej, mogą do niej pasować obie definicje, dlatego obowiązków nie warto pozostawiać wyłącznie wykonawcy.

RODO, czyli ogólne rozporządzenie o ochronie danych, oficjalnie rozporządzenie (UE) 2016/679, dotyczy każdego przetwarzania danych osobowych, także tego, którego dokonuje chatbot. Art. 2 ust. 7 AI Act stanowi, że poza kilkoma wąskimi wyjątkami, które zazwyczaj nie dotyczą chatbotów, rozporządzenie to nie wpływa na RODO: oba zbiory przepisów obowiązują równolegle i żaden nie zastępuje drugiego.

Czego wymaga art. 50 AI Act?

Art. 50 nakłada obowiązki w zakresie przejrzystości na dostawców i podmioty stosujące niektóre systemy AI. Chatbota firmowego dotyczy przede wszystkim ust. 1, ale warto znać także pozostałe ustępy, ponieważ asystent, który wytwarza również obrazy, dźwięk lub publikowany tekst, może zostać nimi objęty.

UstępKogo zobowiązujeCzego wymagaKiedy dotyczy chatbota
ust. 1dostawcęw przypadku systemów wchodzących w bezpośrednią interakcję z ludźmi osoby, których to dotyczy, muszą zostać poinformowane, że prowadzą interakcję z systemem AI, chyba że jest to oczywisteniemal zawsze: to podstawowy przypadek chatbota
ust. 2dostawcę systemu generującego syntetyczny tekst, obrazy, dźwięk lub wideowyniki muszą zostać oznakowane w formacie nadającym się do odczytu maszynowego, tak aby były wykrywalne jako sztucznie wygenerowanejeśli system generuje treści; szczegóły doprecyzowują wytyczne i kodeks praktyk Komisji
ust. 3podmiot stosujący system rozpoznawania emocji lub system kategoryzacji biometrycznejosoby, których to dotyczy, należy informować o działaniu systemujeśli system na podstawie danych biometrycznych wnioskuje o emocjach lub zamiarach
ust. 4 akapit pierwszypodmiot stosujący system generujący deepfakenależy ujawnić, że treści obrazowe, dźwiękowe lub wideo zostały sztucznie wygenerowanejeśli bot wytwarza obraz, dźwięk lub wideo łudząco przypominające rzeczywistą osobę
ust. 4 akapit drugipodmiot stosujący system generujący tekst publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznymnależy ujawnić, że tekst został sztucznie wygenerowany, chyba że sprawdził go człowiek i ktoś ponosi za niego odpowiedzialność redakcyjnąrzadko: indywidualna odpowiedź chatbota zazwyczaj nie jest takim publikowanym tekstem
ust. 5oba podmiotyinformacja jest jasna i wyraźna, przekazana najpóźniej w momencie pierwszej interakcji i spełnia wymogi dostępnościzawsze, razem z informacją wymaganą przez ust. 1

Co oznacza ust. 1 w praktyce?

Informacja musi pojawić się na początku rozmowy, w miejscu widocznym dla użytkownika, a nie gdzieś głęboko w ogólnych warunkach umów. Dobrym rozwiązaniem jest, aby zarówno nagłówek okna czatu, jak i pierwsza wiadomość bota mówiły: „Odpowiada asystent AI”. Jest to szczególnie ważne, jeśli bot ma własne imię lub awatar, ponieważ ludzkie imię łatwo sugeruje, że pisze pracownik.

Wyjątek „oczywistości” jest wąski. Zgodnie z tekstem rozporządzenia ocenia się go z punktu widzenia osoby dostatecznie poinformowanej, uważnej i ostrożnej, z uwzględnieniem okoliczności i kontekstu wykorzystania. Według zestawienia pytań i odpowiedzi Komisji Europejskiej wyjątek należy interpretować zawężająco, ponieważ pozbawia on ludzi przejrzystości; jako przykłady systemów wchodzących w bezpośrednią interakcję z ludźmi zestawienie wymienia wprost chatboty, agentów AI i awatary. W czacie obsługi klienta warto więc zawsze informować, że odpowiada AI.

Od kiedy stosuje się przepisy?

AI Act wszedł w życie 1 sierpnia 2024 r., a jego przepisy zaczęły być stosowane etapami (art. 113). Dnia 19 listopada 2025 r. Komisja zaproponowała uproszczenie rozporządzenia; w efekcie powstało przyjęte 8 lipca 2026 r. rozporządzenie (UE) 2026/1744, w polskiej wersji zatytułowane „akt zbiorczy prawa cyfrowego dotyczący AI”. Zostało ono opublikowane w Dzienniku Urzędowym 24 lipca 2026 r. i weszło w życie 27 lipca 2026 r. Nie przesunęło terminu stosowania art. 50 ust. 1, ale zmieniło kilka innych terminów (sprawdzono 17 października 2026 r.):

PrzepisStosuje sięGdzie to określono
Zakazane praktyki w zakresie AI i kompetencje w zakresie AI (rozdziały I i II)od 2 lutego 2025 r.; dwa nowe zakazy wprowadzone nowelizacją od 2 grudnia 2026 r.art. 113 lit. a AI Act
Nowe, łagodniejsze brzmienie przepisu o kompetencjach w zakresie AI (art. 4)od 27 lipca 2026 r.wejście w życie rozporządzenia (UE) 2026/1744
Obowiązki w zakresie przejrzystości, w tym art. 50 ust. 1od 2 sierpnia 2026 r.art. 113 AI Act, ogólny termin stosowania
Oznakowanie w formacie nadającym się do odczytu maszynowego (art. 50 ust. 2) w systemach generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r.zgodność wymagana do 2 grudnia 2026 r.art. 111 ust. 4 AI Act, dodany nowelizacją
Systemy wysokiego ryzyka według załącznika IIIod 2 grudnia 2027 r.art. 113 lit. c AI Act, w zmienionym brzmieniu
Systemy wysokiego ryzyka wbudowane w produkty (załącznik I)od 2 sierpnia 2028 r.art. 113 lit. c AI Act, w zmienionym brzmieniu

Strona Komisji poświęcona AI Act oraz jej zestawienie pytań i odpowiedzi dotyczące art. 50 podają te same główne terminy. Jeśli w przyszłości pojawi się kolejna nowelizacja, warto to sprawdzić w serwisie EUR-Lex, na stronie danego rozporządzenia.

Kompetencje w zakresie AI: co musi wiedzieć zespół?

Pierwotne brzmienie art. 4 nakładało na dostawców i podmioty stosujące obowiązek zapewnienia, w możliwie największym stopniu, odpowiedniego poziomu kompetencji w zakresie AI wśród swojego personelu. Od nowelizacji 2026/1744 obowiązek polega na podejmowaniu środków wspierających rozwój kompetencji w zakresie AI personelu i innych osób działających w ich imieniu; tekst stanowi, że nie oznacza to obowiązku zagwarantowania określonego poziomu kompetencji. Komisja i państwa członkowskie mają w tym pomagać zwłaszcza małym i średnim przedsiębiorstwom.

W firmie, która eksploatuje chatbota, oznacza to w praktyce krótkie przygotowanie dostosowane do roli: co bot potrafi, a czego nie, jak rozpoznać błędną odpowiedź, kiedy i jak przejąć rozmowę oraz jakich danych nie wolno wpisywać do narzędzia AI. Warto to udokumentować.

Czy chatbot obsługi klienta jest systemem wysokiego ryzyka?

W polskiej wersji rozporządzenia kategoria ta nosi nazwę „system AI wysokiego ryzyka”. Art. 6 kwalifikuje do niej system na dwa sposoby: jeśli jest on związanym z bezpieczeństwem elementem produktu objętego unijnymi przepisami dotyczącymi produktów wymienionymi w załączniku I (lub sam jest takim produktem), a produkt ten podlega ocenie zgodności przeprowadzanej przez stronę trzecią; albo jeśli jego wykorzystanie należy do jednego z obszarów wymienionych w załączniku III. Obszary z załącznika III to: biometria, infrastruktura krytyczna, kształcenie, zatrudnienie, dostęp do podstawowych usług prywatnych i publicznych, ściganie przestępstw, migracja i kontrola graniczna, a także sprawowanie wymiaru sprawiedliwości i procesy demokratyczne.

Chatbot, który odpowiada na pytania o produkty, dostawę, godziny otwarcia lub status zamówienia, nie należy do żadnego z tych obszarów, więc nie jest systemem wysokiego ryzyka; mają do niego zastosowanie przepisy art. 50 dotyczące przejrzystości. Ta sama technologia może jednak stać się systemem wysokiego ryzyka w zależności od przeznaczenia, na przykład jeśli:

Zgodnie z art. 6 ust. 3 system z załącznika III wyjątkowo nie jest systemem wysokiego ryzyka, jeśli nie stwarza znaczącego ryzyka, na przykład dlatego, że wykonuje wąskie zadanie proceduralne lub jedynie przygotowuje decyzję człowieka. Jeśli jednak profiluje osoby fizyczne, zawsze jest systemem wysokiego ryzyka. Kto powołuje się na ten wyjątek, musi udokumentować swoją ocenę. Szczegółowe wymogi dotyczące systemów wysokiego ryzyka stosuje się w przypadkach z załącznika III od 2 grudnia 2027 r. Jeśli chatbot zbliża się do takich decyzji, klasyfikację warto wyjaśnić z prawnikiem jeszcze przed rozpoczęciem prac programistycznych.

Czego RODO wymaga od chatbota?

W rozmowie z chatbotem często pojawiają się dane osobowe: imię i nazwisko, adres e-mail, numer zamówienia, opis reklamacji. Firma, która wykorzystuje chatbota we własnej obsłudze klienta, jest wtedy zazwyczaj administratorem, a dostawca modelu językowego zazwyczaj podmiotem przetwarzającym. Dnia 19 listopada 2025 r. Komisja zaproponowała także zmianę RODO (COM(2025) 837), ale w Dzienniku Urzędowym nie opublikowano jeszcze aktu zmieniającego RODO (sprawdzono 17 października 2026 r.): poniższe informacje opierają się na obowiązującym tekście.

Podstawa prawna (art. 6)

Każdy cel przetwarzania wymaga podstawy prawnej z art. 6 ust. 1. W przypadku chatbotów najczęstsze są: wykonanie umowy (na przykład odpowiedź o statusie zamówienia), prawnie uzasadniony interes (z testem równowagi interesów) oraz zgoda (na przykład przy zapisie na newsletter). Jeśli rozmowy miałyby później posłużyć także innemu celowi, na przykład analizie lub rozwojowi, trzeba to zbadać osobno, ponieważ do dalszego przetwarzania niezgodnego z pierwotnym celem pierwotna podstawa prawna nie wystarcza (art. 6 ust. 4).

Obowiązek informacyjny (art. 13)

Przy zbieraniu danych osobę, której dane dotyczą, trzeba poinformować m.in. o tożsamości administratora, celach i podstawie prawnej, odbiorcach, ewentualnym przekazaniu danych do państwa trzeciego, okresie przechowywania, przysługujących jej prawach oraz o możliwości wniesienia skargi do organu nadzorczego; na Węgrzech jest nim Krajowy Urząd Ochrony Danych i Wolności Informacji (NAIH). Wymagana przez AI Act informacja „odpowiada AI” tego nie zastępuje: w oknie czatu trzeba udostępnić także klauzulę informacyjną dotyczącą przetwarzania danych osobowych.

Minimalizacja danych i ograniczenie przechowywania (art. 5)

Zgodnie z art. 5 można przetwarzać tylko dane niezbędne do realizacji celu i tylko tak długo, jak wymaga tego cel. W przypadku chatbota sprowadza się to do trzech konkretnych decyzji: bot nie powinien prosić o więcej danych, niż potrzeba do odpowiedzi; do modelu powinny trafiać tylko dane potrzebne do zadania, w miarę możliwości zamaskowane lub spseudonimizowane; a rejestry rozmów powinny mieć określony okres przechowywania i zasady usuwania. Bezpieczeństwo danych (zarządzanie uprawnieniami, szyfrowanie, rejestrowanie zdarzeń) także jest częścią tego artykułu.

Umowa powierzenia przetwarzania danych z dostawcą AI (art. 28)

Jeśli dostawca modelu językowego przetwarza dane osobowe w imieniu firmy, trzeba zawrzeć z nim pisemną umowę powierzenia przetwarzania danych. Zgodnie z art. 28 ust. 3 umowa ta musi określać m.in., że podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie administratora, zapewnia poufność i bezpieczeństwo, korzysta z usług innego podmiotu przetwarzającego tylko za zgodą administratora, pomaga w realizacji żądań osób, których dane dotyczą, po zakończeniu świadczenia usługi usuwa lub zwraca dane oraz umożliwia przeprowadzanie audytów. W praktyce trzeba więc sprawdzić warunki biznesowe (API) dostawcy i jego aneks dotyczący przetwarzania danych, a nie warunki konsumenckiej aplikacji czatu: gdzie przechowuje się dane, jak długo i czy są one wykorzystywane do trenowania modeli.

Przekazywanie danych poza UE (rozdział V)

Jeśli dane są przetwarzane w państwie spoza UE, tzw. państwie trzecim, potrzebna jest do tego podstawa zgodna z rozdziałem V RODO: decyzja stwierdzająca odpowiedni stopień ochrony (art. 45) lub odpowiednie zabezpieczenia, na przykład standardowe klauzule ochrony danych (art. 46). W przypadku Stanów Zjednoczonych taką decyzją jest decyzja wykonawcza Komisji (UE) 2023/1795 dotycząca ram ochrony danych UE–USA, ale tylko w odniesieniu do amerykańskich organizacji, które figurują w wykazie ram ochrony danych (Data Privacy Framework List). Decyzja obowiązuje; skargę o stwierdzenie jej nieważności Sąd Unii Europejskiej oddalił 3 września 2025 r., a od tego wyroku wniesiono odwołanie, które toczy się przed Trybunałem Sprawiedliwości (C-703/25 P) (sprawdzono 17 października 2026 r.). Warto więc sprawdzić również, czy dostawca oferuje przechowywanie lub przetwarzanie danych w UE.

Ocena skutków dla ochrony danych (art. 35)

Ocena skutków jest wymagana, jeśli przetwarzanie, zwłaszcza z użyciem nowych technologii, może powodować wysokie ryzyko naruszenia praw osób, których dane dotyczą. Art. 35 ust. 3 wprost wymaga jej w niektórych przypadkach, a NAIH opublikował własny wykaz operacji wymagających oceny skutków, w którym znajdują się m.in. profilowanie, zautomatyzowane podejmowanie decyzji wywołujących skutki prawne, wykorzystywanie danych dzieci do profilowania lub marketingu oraz łączenie danych pochodzących z różnych źródeł. Przy prostym bocie odpowiadającym na pytania o produkty rzadko jest potrzebna; jeśli jednak bot łączy dane klientów z CRM, profiluje lub przetwarza dane dotyczące zdrowia na dużą skalę, prawdopodobnie tak. Ocenę warto udokumentować na piśmie nawet wtedy, gdy jej wynik brzmi „nie jest wymagana”.

Zautomatyzowane decyzje (art. 22)

Osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, jeśli wywołuje ona wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa. Jeśli chatbot miałby na przykład samodzielnie odrzucić reklamację, żądanie zwrotu pieniędzy lub wniosek, znaczenie ma także ta zasada: jeśli taka decyzja jest niezbędna do wykonania umowy lub opiera się na wyraźnej zgodzie, i tak trzeba zapewnić co najmniej prawo do interwencji człowieka, do wyrażenia własnego stanowiska i do zakwestionowania decyzji. Najprościej, gdy bot jedynie przygotowuje taką decyzję, a podejmuje ją pracownik.

Praktyczna lista kontrolna

ZadanieDlaczegoŹródło prawa
Poinformować w pierwszej wiadomości i w oknie czatu, że odpowiada AIprzejrzystośćart. 50 ust. 1 i 5 AI Act
Ustalić, kto jest dostawcą, kto podmiotem stosującym, kto administratorem, a kto podmiotem przetwarzającympodział odpowiedzialnościart. 3 AI Act, art. 28 RODO
Udokumentować przeznaczenie bota i klasyfikację ryzykawykluczenie wysokiego ryzyka lub zarządzanie nimart. 6 AI Act, załącznik III
Określić podstawę prawną dla każdego celuzgodne z prawem przetwarzanieart. 6 RODO
Udostępnić klauzulę informacyjną w oknie czatuobowiązek informacyjnyart. 13 RODO
Prosić tylko o niezbędne dane i tylko je przekazywać modelowiminimalizacja danychart. 5 ust. 1 lit. c RODO
Określić okres przechowywania rejestrów rozmówograniczenie przechowywaniaart. 5 ust. 1 lit. e RODO
Zawrzeć umowę powierzenia przetwarzania danych z dostawcą AIkorzystanie z podmiotu przetwarzającegoart. 28 RODO
Sprawdzić podstawę przekazywania danych poza UEprzekazywanie danych do państw trzecichrozdział V RODO
Rozważyć i udokumentować, czy potrzebna jest ocena skutkówprzetwarzanie wysokiego ryzykaart. 35 RODO, wykaz NAIH
Przy decyzjach o istotnych skutkach angażować człowieka, na życzenie przekazywać rozmowę pracownikowizautomatyzowane decyzjeart. 22 RODO
Przeszkolić pracowników obsługujących botakompetencje w zakresie AIart. 4 AI Act

Częste błędy

Częste pytania

Czy musimy informować, że odpowiada AI?

Co do zasady tak. Zgodnie z art. 50 ust. 1 AI Act system AI wchodzący w bezpośrednią interakcję z ludźmi należy zaprojektować tak, aby osoby, których to dotyczy, wiedziały, że prowadzą interakcję z systemem AI, chyba że jest to oczywiste z punktu widzenia dostatecznie poinformowanej osoby. Zgodnie z ust. 5 informację tę należy przekazać jasno i wyraźnie najpóźniej w momencie pierwszej interakcji. W czacie obsługi klienta najbezpieczniej jest więc poinformować o tym w pierwszej wiadomości.

Od kiedy jest to obowiązkowe?

Art. 50 stosuje się od 2 sierpnia 2026 r., czego nie zmieniło rozporządzenie nowelizujące (UE) 2026/1744. Na przygotowanie do oznakowania wyników systemów generatywnych w formacie nadającym się do odczytu maszynowego (art. 50 ust. 2) dostawcy systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. mają czas do 2 grudnia 2026 r. Art. 4 dotyczący kompetencji w zakresie AI stosuje się od 2 lutego 2025 r., a od 27 lipca 2026 r. w łagodniejszym brzmieniu.

Czy chatbot obsługi klienta jest uznawany za system wysokiego ryzyka?

Zazwyczaj nie. Chatbot informujący o produktach, zamówieniach lub usługach nie należy do obszarów z załącznika III do AI Act, więc mają do niego zastosowanie przepisy dotyczące przejrzystości. Może jednak być systemem wysokiego ryzyka, jeśli na przykład selekcjonuje kandydatów do pracy, ocenia zdolność kredytową albo wycenia ryzyko w ubezpieczeniach na życie i zdrowotnych.

Czy możemy przekazać dane osobowe dostawcy AI?

Tak, jeśli przetwarzanie ma podstawę prawną, osoby, których dane dotyczą, zostały o nim poinformowane, z dostawcą zawarto umowę powierzenia przetwarzania danych (art. 28 RODO), a jeśli dane trafiają poza UE, również ich przekazanie ma podstawę (rozdział V). Warto przekazywać tylko tyle danych, ile potrzeba do zadania, i sprawdzić, czy dostawca wykorzystuje je do trenowania modeli.

Czy potrzebna jest ocena skutków dla ochrony danych?

Jest potrzebna, jeśli przetwarzanie może powodować wysokie ryzyko naruszenia praw osób, których dane dotyczą (art. 35 RODO). Przy prostym bocie informacyjnym rzadko. Prawdopodobnie tak przy profilowaniu, zautomatyzowanych decyzjach wywołujących skutki prawne, profilowaniu danych dzieci, przetwarzaniu szczególnych kategorii danych na dużą skalę lub łączeniu danych z wielu źródeł; wymienia je również wykaz NAIH dotyczący oceny skutków. W obu przypadkach decyzję warto udokumentować na piśmie.

Jak możemy pomóc?

Tworzymy chatboty i agentów AI, a tworzony przez nas chatbot już w pierwszej wiadomości informuje, że odpowiada asystent AI. Przy podłączaniu modeli językowych, o którym piszemy na stronie Integracja AI, dbamy o to, aby do modelu trafiały tylko dane potrzebne do zadania, sprawdzamy warunki przetwarzania danych u dostawcy, model widzi tylko to, co może zobaczyć zadający pytanie użytkownik, a rozmowy można odnaleźć i prześledzić. O szczegółach technicznych można przeczytać w artykułach Chatbot czy agent AI? oraz AI na własnych dokumentach firmy (RAG).

Ten artykuł to informacja, a nie porada prawna: zgodność konkretnego przetwarzania danych warto skonsultować także z prawnikiem lub inspektorem ochrony danych. Pierwsza konsultacja jest bezpłatna; jeśli planują Państwo chatbota, prosimy do nas napisać, korzystając z danych kontaktowych podanych na stronie Kontakt.

Źródła