AI Act w marketingu: obowiązki od 2 sierpnia 2026 i co zmienił Digital Omnibus

AI Act w skrócie: co to za przepisy i kogo dotyczą

AI Act to unijne rozporządzenie (UE) 2024/1689 w sprawie sztucznej inteligencji. Jako rozporządzenie działa bezpośrednio we wszystkich państwach UE, bez ustawy przenoszącej je do prawa krajowego. Polska ustawa jest potrzebna tylko do kwestii organizacyjnych: kto nadzoruje rynek, jak wygląda postępowanie i kto nakłada kary.

Przepisy dzielą obowiązki według roli, a nie według branży. Dla marketingu liczą się dwie role:

• Dostawca to podmiot, który rozwija system AI albo zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą. Dostawcami są twórcy narzędzi, takich jak generatory obrazów czy asystenci tekstowi. Dostawcą może się stać także marka, która buduje własnego chatbota i uruchamia go pod swoim szyldem.
• Podmiot stosujący (w wersji angielskiej deployer) to firma, która używa systemu AI w ramach swojej działalności. To typowa rola działu marketingu, agencji i sklepu internetowego, które korzystają z gotowych narzędzi.

Prywatne, pozazawodowe użycie AI jest poza zakresem tych obowiązków. Gdy jednak pracownik generuje grafikę do kampanii, robi to w ramach działalności firmy i obowiązki podmiotu stosującego dotyczą pracodawcy.

AI Act opiera się na podejściu opartym na ryzyku. Najpoważniejsze praktyki są zakazane, systemy wysokiego ryzyka mają szczegółowe wymogi, a systemy, które generują treści lub rozmawiają z ludźmi, mają obowiązki przejrzystości. Większość narzędzi marketingowych mieści się w tej trzeciej grupie albo poza regulacją szczegółową.

Harmonogram AI Act po zmianach z Digital Omnibus

Pierwotny harmonogram z art. 113 AI Act przewidywał cztery główne daty: 2 lutego 2025 r., 2 sierpnia 2025 r., 2 sierpnia 2026 r. i 2 sierpnia 2027 r. Digital Omnibus przesunął część obowiązków dotyczących systemów wysokiego ryzyka i dodał nowe terminy. Tabela pokazuje stan prawny na 28 października 2026 r.

Data w tytule tego tekstu, 2 sierpnia 2026 r., pozostała więc kluczowa. Od tego dnia działają obowiązki przejrzystości, organy nadzoru i krajowe przepisy o sankcjach. Przesunięcie dotyczy przede wszystkim systemów wysokiego ryzyka, które w typowym marketingu pojawiają się rzadko.

Co zmienił Digital Omnibus: przebieg i ostateczna treść

Komisja Europejska przedstawiła pakiet Digital Omnibus dotyczący AI 19 listopada 2025 r. Uzasadniała go opóźnieniami w wyznaczaniu krajowych organów i w pracach nad normami zharmonizowanymi, bez których firmom trudno wykazać zgodność systemów wysokiego ryzyka. Porozumienie polityczne Parlamentu i Rady zawarto 7 maja 2026 r. Parlament przyjął stanowisko 16 czerwca 2026 r., Rada zatwierdziła tekst 29 czerwca, a akt przyjęto 8 lipca 2026 r. jako rozporządzenie (UE) 2026/1744. Opublikowano je w Dzienniku Urzędowym UE 24 lipca 2026 r., a weszło w życie 27 lipca 2026 r.

Najważniejsze zmiany, które wprowadził Digital Omnibus:

1. Stałe, późniejsze daty dla wysokiego ryzyka. Systemy z załącznika III: 2 grudnia 2027 r., systemy z załącznika I: 2 sierpnia 2028 r. W ostatecznym tekście zrezygnowano z uzależnienia terminów od dostępności norm, o którym mówił projekt. Systemy wysokiego ryzyka wprowadzone do obrotu przed nową datą podlegają obowiązkom tylko wtedy, gdy zostaną później istotnie zmienione.
2. Okres przejściowy dla oznaczania maszynowego. Dostawcy systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r. mają do 2 grudnia 2026 r. na wdrożenie znakowania wyników. Decyduje data wprowadzenia systemu na rynek, a nie data wygenerowania treści.
3. Łagodniejszy art. 4. Zamiast obowiązku zapewnienia wystarczającego poziomu kompetencji AI firmy mają podejmować działania wspierające ich rozwój. Nowe brzmienie wprost mówi, że nie trzeba gwarantować określonego poziomu wiedzy każdej osoby.
4. Dwa nowe zakazy w art. 5 od 2 grudnia 2026 r.: systemy generujące realistyczne intymne wizerunki rozpoznawalnych osób bez ich zgody (tak zwane aplikacje „nudify”) oraz systemy generujące materiały przedstawiające wykorzystywanie seksualne dzieci.
5. Ułatwienia dla małych spółek o średniej kapitalizacji. Część rozwiązań dla MŚP, m.in. uproszczona dokumentacja techniczna i dostosowane limity kar, obejmuje teraz firmy, które nie są MŚP, zatrudniają mniej niż 750 osób i mają obrót do 150 mln euro albo sumę bilansową do 129 mln euro.
6. Dane szczególnych kategorii do wykrywania stronniczości. Rozszerzono podstawę z art. 10 ust. 5 do przetwarzania takich danych w celu wykrywania i korygowania uprzedzeń modeli, pod warunkiem ścisłej niezbędności i zabezpieczeń, np. pseudonimizacji.

Równie ważne jest to, czego Omnibus nie zmienił. Zakazy z art. 5 nadal obowiązują od 2 lutego 2025 r., obowiązki dostawców modeli ogólnego przeznaczenia od 2 sierpnia 2025 r., a art. 50 i przepisy o nadzorze rynku od 2 sierpnia 2026 r. Ust. 1, 3 i 4 art. 50 stosuje się w pełni od 2 sierpnia 2026 r., bez okresu przejściowego.

Obowiązki przejrzystości z art. 50: co musi zrobić marketing

Art. 50 to przepis, który najczęściej dotyczy codziennej pracy działu marketingu. Zawiera cztery grupy obowiązków. Dwie spoczywają na dostawcach, dwie na podmiotach stosujących.

Informację trzeba przekazać najpóźniej przy pierwszej interakcji lub pierwszym kontakcie z treścią, w sposób jasny i wyraźny oraz zgodny z wymogami dostępności. Drobny dopisek w stopce, ledwo widoczna etykieta albo wzmianka ukryta w regulaminie nie spełniają tego wymogu.

Wyjątki są węższe, niż często się zakłada. Przy utworach w oczywisty sposób artystycznych, satyrycznych lub fikcyjnych obowiązek ogranicza się do ujawnienia w sposób, który nie przeszkadza w odbiorze dzieła. Przy tekstach o sprawach interesu publicznego obowiązku nie ma, jeśli tekst przeszedł rzeczywistą weryfikację człowieka, a firma lub osoba ponosi odpowiedzialność redakcyjną. Szczegółowe przypadki, w których etykieta jest obowiązkowa, a w których nie, rozpisujemy w tekście o oznaczaniu treści AI.

Praktyczne wskazówki co do formy oznaczeń zawiera dobrowolny Kodeks postępowania w sprawie oznaczania treści AI, który Komisja opublikowała 10 czerwca 2026 r. Ma osobną część dla dostawców i dla podmiotów stosujących, a Komisja przygotowała też zestaw ikon do etykiet. Omawiamy go w tekście o kodeksie postępowania KE w sprawie oznaczania treści AI.

Deepfake w reklamie: kiedy kampania musi to ujawnić

AI Act definiuje deepfake jako wygenerowane lub zmanipulowane przez AI obrazy, treści dźwiękowe lub wideo, które przypominają istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i które odbiorca mógłby niesłusznie uznać za autentyczne. Definicja jest szeroka. Obejmuje nie tylko podrobiony wizerunek celebryty, ale też realistyczne nagranie istniejącego sklepu czy fotorealistyczną scenę, która udaje rzeczywiste zdarzenie.

W praktyce marketingowej ujawnienia wymagają m.in.:

• spot, w którym wygenerowany głos lub twarz prawdziwej osoby mówi coś, czego ta osoba nie nagrała;
• fotorealistyczne „zdjęcie z wydarzenia”, które się nie odbyło;
• przerobione nagranie z udziałem klienta lub pracownika, w którym zmieniono wypowiedź lub sytuację;
• materiał udający relację informacyjną.

Obowiązek z AI Act nie zastępuje innych przepisów. Użycie wizerunku lub głosu osoby wymaga jej zgody na podstawie prawa cywilnego i prawa autorskiego, a reklama, która sugeruje fałszywe poparcie, może być nieuczciwą praktyką rynkową. Etykieta „wygenerowano przez AI” nie legalizuje braku zgody. Więcej o tych kwestiach w tekście o głosie i awatarze AI w reklamie.

Kompetencje AI w zespole: co zostało z art. 4

Art. 4 obowiązuje od 2 lutego 2025 r. i dotyczy każdej firmy, która korzysta z AI zawodowo. Po zmianach z Digital Omnibus dostawcy i podmioty stosujące mają podejmować działania wspierające rozwój kompetencji AI personelu i innych osób, które w ich imieniu obsługują systemy AI. Poziom tych działań ma odpowiadać roli, wiedzy technicznej i kontekstowi użycia.

Zmiana złagodziła ryzyko, że firma odpowie za to, że konkretny pracownik nie zna zasad działania modeli. Nie zwalnia jednak z działania. W praktyce warto mieć udokumentowane szkolenie z zasad korzystania z narzędzi, listę dopuszczonych aplikacji i procedurę kontroli treści przed publikacją. Gotowy dokument do skopiowania i dostosowania znajdziesz w tekście o polityce AI w dziale marketingu.

W źródłach istnieje niejasność co do tego, od kiedy organy nadzoru egzekwują art. 4: dokumenty Komisji podają przy tym daty z sierpnia 2026 r., których samo rozporządzenie nie zawiera. Z punktu widzenia firmy nie ma to dużego znaczenia, bo obowiązek już obowiązuje, a krajowy organ nadzoru działa od wejścia w życie polskiej ustawy.

Zakazane praktyki: gdzie marketing może przekroczyć granicę

Art. 5 AI Act zakazuje kilku praktyk od 2 lutego 2025 r. Większość z nich, jak scoring społeczny czy masowe pozyskiwanie wizerunków twarzy z internetu, nie dotyczy kampanii. Dwa zakazy są jednak bliskie marketingowi:

• Techniki podprogowe, manipulacyjne lub wprowadzające w błąd, które w istotny sposób zniekształcają zachowanie osoby, ograniczają jej zdolność do świadomej decyzji i wyrządzają lub mogą wyrządzić poważną szkodę.
• Wykorzystywanie słabości wynikających z wieku, niepełnosprawności albo szczególnej sytuacji społecznej lub ekonomicznej, jeśli zniekształca to zachowanie i może wyrządzić poważną szkodę.

Próg jest wysoki: chodzi o istotne zniekształcenie zachowania i poważną szkodę. Zwykła perswazja, personalizacja oferty czy rekomendacje produktów same w sobie nie są zakazane. Problem pojawia się przy systemach, które celowo wyszukują osoby zadłużone, uzależnione lub bardzo młode i dobierają komunikaty tak, by obejść ich racjonalną ocenę. Art. 5 zakazuje też rozpoznawania emocji w miejscu pracy i w edukacji, poza wyjątkami medycznymi i bezpieczeństwa.

Granice etyczne są zwykle ciaśniejsze niż prawne. Jak budować komunikację, która nie nadużywa zaufania odbiorców, opisujemy w tekście o etyce AI w reklamie.

Czy marketing korzysta z systemów wysokiego ryzyka

Załącznik III AI Act wymienia obszary, w których systemy AI uznaje się za systemy wysokiego ryzyka. Marketing produktowy co do zasady do nich nie należy, ale są wyjątki, o których warto wiedzieć:

• Rekrutacja. Na liście są systemy do rekrutacji lub wyboru kandydatów, w szczególności do publikowania ukierunkowanych ogłoszeń o pracę, analizowania i filtrowania aplikacji oraz oceny kandydatów. Kampania employer brandingowa z algorytmicznym targetowaniem ogłoszeń może więc dotykać tej kategorii.
• Usługi finansowe. Systemy oceny zdolności kredytowej osób fizycznych oraz oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych. Dotyczy to marketingu w bankowości i ubezpieczeniach, gdy AI decyduje o ofercie dla konkretnej osoby.

Obowiązki dla tych systemów stosuje się od 2 grudnia 2027 r. Podmiot stosujący system wysokiego ryzyka będzie musiał m.in. używać go zgodnie z instrukcją, zapewnić nadzór człowieka i monitorować działanie. Jeśli Twój zespół planuje takie zastosowania, to dobry moment na rozmowę z działem prawnym, a nie końcówka 2027 r.

Jakie kary grożą za naruszenie AI Act

Art. 99 AI Act określa maksymalne wysokości kar administracyjnych. Przepisy o karach stosuje się od 2 sierpnia 2025 r., a kary za naruszenia dostawców modeli ogólnego przeznaczenia, nakładane przez Komisję na podstawie art. 101, od 2 sierpnia 2026 r.

Dla MŚP, w tym start-upów, obowiązuje odwrotna zasada: górną granicą jest niższa z dwóch kwot. Digital Omnibus wprowadził też dostosowane limity dla małych spółek o średniej kapitalizacji. Podane wartości to maksima, a organ przy ustalaniu kary bierze pod uwagę m.in. wagę naruszenia i współpracę firmy.

Polska ustawa o systemach sztucznej inteligencji: stan na październik 2026 r.

Rządowy projekt ustawy o systemach sztucznej inteligencji wpłynął do Sejmu 9 kwietnia 2026 r. Sejm uchwalił ustawę 11 czerwca 2026 r., Senat wniósł poprawki 25 czerwca, a Sejm rozpatrzył je 3 lipca 2026 r. Prezydent podpisał ustawę 24 lipca 2026 r. Ustawę z dnia 3 lipca 2026 r. ogłoszono w Dzienniku Ustaw 27 lipca 2026 r., a co do zasady weszła w życie 11 sierpnia 2026 r.

Najważniejsze rozwiązania ustawy:

• Organ nadzoru. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jest organem nadzoru rynku. Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję. W składzie są też członkowie wskazani przez Prezesa UOKiK, KNF, KRRiT i Prezesa UKE. Ustawa przewiduje powołanie przewodniczącego w ciągu dwóch miesięcy, a pełnego składu w ciągu trzech miesięcy od wejścia w życie.
• Skargi. Osoba fizyczna lub inny podmiot, który uważa, że system AI narusza przepisy, może złożyć skargę do Komisji.
• Opinie indywidualne. KRiBSI może wydawać opinie o stosowaniu AI Act w konkretnych sprawach, co daje firmom większą pewność prawną.
• Piaskownice regulacyjne. Mikro-, małe i średnie firmy są zwolnione z opłat za udział, a duże płacą jednorazowo trzykrotność minimalnego wynagrodzenia.
• Kary administracyjne nakładane przez Komisję w granicach wyznaczonych przez art. 99 AI Act.
• Rada doradcza. Organem opiniodawczo-doradczym jest Społeczna Rada ds. Sztucznej Inteligencji.

Dla marketera najważniejsza jest możliwość złożenia skargi przez każdego odbiorcę. Brak oznaczenia deepfake’a w kampanii może więc trafić do organu nie tylko w wyniku kontroli z urzędu, ale też po zgłoszeniu konsumenta lub konkurenta.

Inne przepisy, które nadal obowiązują przy AI w marketingu

AI Act nie jest jedynym aktem, który dotyczy treści i narzędzi AI. Zgodność z nim nie oznacza zgodności z pozostałymi przepisami:

• RODO. Wklejanie danych klientów do narzędzi AI, personalizacja i profilowanie wymagają podstawy prawnej, umów powierzenia i kontroli transferów poza EOG. Omawiamy to w tekście RODO a narzędzia AI, a praktyczne zasady w tekście o bezpieczeństwie danych w narzędziach AI.
• Prawo konsumenckie i zwalczanie nieuczciwej konkurencji. Reklama wygenerowana przez AI podlega tym samym zakazom wprowadzania w błąd co każda inna. To samo dotyczy oznaczania współpracy reklamowej, także z wirtualnymi influencerami; zasady UOKiK opisujemy w tekście o oznaczaniu współpracy z influencerem.
• Prawo autorskie. Wytwór AI bez twórczego wkładu człowieka zwykle nie jest utworem, co ma znaczenie dla wyłączności kreacji. O zapisach w umowach z wykonawcami piszemy w tekście o umowie z agencją.
• Wytyczne platform i wyszukiwarek. Google ocenia treści według przydatności, a nie metody powstania, ale ma zasady wobec masowo generowanych treści niskiej jakości. Szczegóły w tekście treści generowane przez AI a Google.

Plan wdrożenia AI Act w dziale marketingu

Większość firm marketingowych nie potrzebuje rozbudowanego programu zgodności. Wystarczy uporządkować kilka obszarów. Poniższa kolejność sprawdza się, bo zaczyna od tego, co obowiązuje już dziś.

1. Zrób spis narzędzi AI. Wypisz wszystkie aplikacje, z których korzysta zespół i agencje: generatory tekstu, obrazu, wideo i głosu, chatboty, narzędzia do analizy i targetowania. Przy każdym zapisz, kto jest dostawcą i do czego narzędzie służy.
2. Ustal swoją rolę przy każdym narzędziu. Gotowe narzędzie to zwykle rola podmiotu stosującego. Własny chatbot lub system zbudowany na API i udostępniany pod Twoją marką może oznaczać rolę dostawcy.
3. Sprawdź, czy któreś zastosowanie dotyka zakazów lub wysokiego ryzyka. Szczególnie: targetowanie ogłoszeń o pracę, ocena zdolności kredytowej, rozpoznawanie emocji, kampanie skierowane do osób w trudnej sytuacji.
4. Wprowadź zasady oznaczania. Określ, kiedy publikujecie etykietę przy deepfake’ach i treściach informacyjnych, jak wygląda komunikat chatbota i kto zatwierdza wyjątki artystyczne.
5. Przyjmij politykę AI i przeszkol zespół. Udokumentuj szkolenie z zasad korzystania z AI, ochrony danych i weryfikacji treści.
6. Zaktualizuj umowy. W umowach z agencjami, influencerami i producentami wpisz obowiązek informowania o użyciu AI, odpowiedzialność za oznaczenia i zgody na wizerunek.
7. Sprawdzaj dostawców. Zapytaj dostawców narzędzi generatywnych, jak wdrażają oznaczanie maszynowe i czy podpisali Kodeks postępowania. Dla narzędzi wprowadzonych przed 2 sierpnia 2026 r. termin mija 2 grudnia 2026 r.

• Mamy aktualny spis narzędzi AI z przypisaną rolą (dostawca czy podmiot stosujący).
• Chatbot na stronie informuje na starcie rozmowy, że jest AI.
• Deepfake’i i realistyczne wizerunki prawdziwych osób są oznaczane, a zgody na wizerunek i głos są w dokumentacji.
• Teksty informacyjne generowane z AI przechodzą udokumentowaną weryfikację redakcyjną.
• Zespół przeszedł szkolenie, a polityka AI jest zatwierdzona i dostępna.
• Umowy z agencjami i twórcami zawierają klauzule o AI.
• Wiemy, czy któreś zastosowanie trafi do wysokiego ryzyka od 2 grudnia 2027 r.

Więcej materiałów o zastosowaniach sztucznej inteligencji w kampaniach, narzędziach i obsłudze klienta znajdziesz w dziale AI w marketingu.