AI na stronie internetowej – oznaczanie, RODO i poufność danych. Co zmienia AI Act od 2 sierpnia 2026?

Jeśli na Twojej stronie działa chatbot, asystent głosowy albo mechanizm rekomendacji oparty na sztucznej inteligencji, dotyczą Cię trzy niezależne od siebie obowiązki:

• musisz poinformować użytkownika, że rozmawia z AI (art. 50 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r., tzw. AI Act, stosowany od 2 sierpnia 2026 r.),
• musisz mieć podstawę prawną i odpowiedni zapis w polityce prywatności na przetwarzanie danych przez ten mechanizm (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, RODO), i
• musisz zadbać o to, żeby dane trafiające do dostawcy narzędzia AI były odpowiednio zabezpieczone, w tym umową powierzenia i – jeśli dostawca działa spoza UE – właściwą podstawą transferu.

To trzy osobne warstwy tego samego tematu, a nie jeden przepis – dlatego łatwo przeoczyć którąś z nich.

Najważniejsze informacje

• Od 2 sierpnia 2026 r. obowiązuje art. 50 AI Act – obowiązek informowania użytkownika, że komunikuje się z systemem sztucznej inteligencji, np. chatbotem. Naruszenie zagrożone jest karą do 15 mln EUR lub do 3% rocznego światowego obrotu.
• Rozmowa z chatbotem i inne interakcje z narzędziem AI na stronie to przetwarzanie danych osobowych – wymaga podstawy prawnej z art. 6 ust. 1 RODO i odpowiedniego zapisu w polityce prywatności.
• Jeśli dostawca narzędzia AI przetwarza dane w Twoim imieniu, potrzebna jest umowa powierzenia (art. 28 RODO). Jeśli dostawca działa spoza Europejskiego Obszaru Gospodarczego (często USA), dochodzi kwestia legalnej podstawy transferu danych.
• Te trzy obowiązki są od siebie niezależne – spełnienie jednego nie zwalnia z pozostałych.

Dla kogo jest ten wpis?

Ten wpis jest dla Ciebie, jeśli na swojej stronie internetowej albo w sklepie internetowym korzystasz z chatbota, wirtualnego asystenta, mechanizmu rekomendacji produktowych albo innego narzędzia opartego na sztucznej inteligencji – niezależnie od tego, czy zbudowałeś je samodzielnie, czy korzystasz z gotowego rozwiązania zewnętrznego dostawcy. Odpowiadam tu na pytanie, co konkretnie trzeba zaktualizować w regulaminie i polityce prywatności, i jakie ryzyka wiążą się z samym korzystaniem z takiego narzędzia. Jeśli dopiero zastanawiasz się, czy Twoja dokumentacja sklepu w ogóle jest kompletna, zerknij też do tekstu Audyt prawny sklepu internetowego.

Trzy różne obowiązki, jedna sytuacja

Zanim przejdę do szczegółów, warto rozdzielić te trzy tematy, bo w praktyce często są mylone albo traktowane jako jedno zagadnienie:

• Oznaczanie – czy użytkownik wie, że rozmawia z AI (AI Act).
• RODO – czy masz podstawę prawną i informujesz o przetwarzaniu danych (RODO).
• Poufność – czy dane trafiające do dostawcy narzędzia AI są odpowiednio zabezpieczone, w tym czy masz umowę powierzenia i legalną podstawę ewentualnego transferu poza UE (RODO, rozdział V).

Spełnienie jednego z tych obowiązków nie oznacza automatycznie spełnienia pozostałych – to trzy osobne przepisy, z osobnymi wymaganiami i osobnymi sankcjami.

Oznaczanie – obowiązek informowania o AI z art. 50 AI Act

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (AI Act) weszło w życie 1 sierpnia 2024 r., ale konkretne obowiązki wchodzą w życie etapami. Obowiązki przejrzystości z art. 50 – w tym obowiązek informowania osoby fizycznej, że komunikuje się z systemem AI – są stosowane od 2 sierpnia 2026 r.

Zgodnie z art. 50 ust. 1 AI Act, informacja o tym, że użytkownik ma do czynienia ze sztuczną inteligencją, musi być jasna i wyraźna, a przekazana najpóźniej na początku pierwszej interakcji. W praktyce może to być np. wiadomość powitalna w oknie czatu, opis przy nazwie asystenta albo komunikat głosowy – forma nie jest sztywno narzucona, liczy się to, żeby przeciętny użytkownik faktycznie się o tym dowiedział, zanim zacznie rozmawiać.

Przepis przewiduje jeden wyjątek: informacja nie jest wymagana, gdy kontakt z systemem AI jest oczywisty z perspektywy osoby dostatecznie poinformowanej, uważnej i ostrożnej, biorąc pod uwagę okoliczności i kontekst korzystania z systemu. To sformułowanie jest celowo ogólne i w praktyce wymaga oceny konkretnej sytuacji – nie ma listy przypadków, które automatycznie kwalifikują się jako „oczywiste”.

Naruszenie obowiązków przejrzystości z art. 50 AI Act zagrożone jest administracyjną karą pieniężną do 15 mln EUR albo do 3% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego – stosuje się kwotę wyższą.

Kogo dotyczy ten obowiązek?

Formalnie obowiązek z art. 50 AI Act spoczywa na dostawcy systemu AI – czyli, zgodnie z definicją z art. 3 pkt 3 AI Act, podmiocie, który rozwija system AI (albo zleca jego rozwój) i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą albo znakiem towarowym. To rozróżnienie ma znaczenie praktyczne: firma, która po prostu korzysta z cudzego, gotowego narzędzia AI bez zmian, jest raczej „podmiotem stosującym” system AI, nie jego dostawcą. Firma, która bierze gotowy model językowy i konfiguruje na jego bazie własnego chatbota, publikując go pod swoją marką na swojej stronie, w wielu przypadkach sama staje się jednak dostawcą tego konkretnego systemu w rozumieniu AI Act, ze wszystkimi obowiązkami, które z tego wynikają.

W praktyce najbezpieczniejsze podejście, niezależnie od tego, jak dokładnie wypada kwalifikacja formalna, to po prostu zadbać o wyraźne oznaczenie chatbota jako systemu AI na własnej stronie – koszt tego działania jest znikomy, a ryzyko związane z jego brakiem, przy karach sięgających kilkunastu milionów euro, nieproporcjonalnie wysokie.

Kwestie RODO – podstawa prawna i polityka prywatności

Niezależnie od obowiązku oznaczenia, każda interakcja użytkownika z chatbotem, w której padają jakiekolwiek dane osobowe (treść wiadomości, adres e-mail, numer zamówienia), to przetwarzanie danych osobowych w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Oznacza to konieczność wskazania podstawy prawnej z art. 6 ust. 1 RODO – w praktyce najczęściej będzie to lit. b (przetwarzanie niezbędne do wykonania umowy albo do podjęcia działań przed jej zawarciem, np. obsługa zapytania klienta) albo lit. f (prawnie uzasadniony interes administratora, np. usprawnienie obsługi klienta).

Co dopisać do polityki prywatności?

Zgodnie z obowiązkiem informacyjnym z art. 13 RODO, polityka prywatności powinna wprost wskazywać w szczególności:

•  że na stronie działa chatbot albo inne narzędzie oparte na sztucznej inteligencji, i w jakim celu przetwarza dane,
•  jaka jest podstawa prawna tego przetwarzania,
•  czy dane trafiają do zewnętrznego dostawcy narzędzia AI jako podmiotu przetwarzającego, i – jeśli tak – gdzie ten podmiot ma siedzibę albo gdzie przetwarza dane,
•  jak długo dane z rozmów są przechowywane.

Pominięcie w polityce prywatności tych informacji, jak również innych wymaganych przez przepisy  to naruszenie obowiązku informacyjnego, niezależne od tego, czy samo przetwarzanie ma prawidłową podstawę prawną. Jeśli Twoja polityka prywatności powstała jeszcze przed wdrożeniem narzędzia AI, prawdopodobnie wymaga więcej poprawek niż tylko ten jeden punkt.

Czy chatbot podejmuje decyzje w rozumieniu art. 22 RODO?

Art. 22 RODO reguluje sytuacje, w których decyzja wywołująca skutki prawne wobec danej osoby albo w podobny sposób istotnie na nią wpływająca jest podejmowana wyłącznie w sposób zautomatyzowany, w tym w drodze profilowania. Prosty chatbot, który odpowiada na pytania FAQ albo kieruje użytkownika do właściwego działu, zwykle nie wchodzi w zakres tego przepisu. Inaczej wygląda sytuacja, gdy chatbot samodzielnie – bez udziału człowieka – odrzuca reklamację, przyznaje albo odmawia rabatu, czy w inny sposób podejmuje decyzję mającą realny wpływ na sytuację klienta.

Art. 22 RODO wymaga oceny konkretnej funkcjonalności narzędzia, nie samego faktu, że to „chatbot” czy „AI”.

Poufność – umowa powierzenia i transfer danych do dostawcy AI

Trzeci obowiązek dotyczy tego, co dzieje się z danymi po stronie dostawcy narzędzia AI, z którego korzystasz.

Umowa powierzenia przetwarzania danych

Jeśli zewnętrzny dostawca chatbota albo innego narzędzia AI przetwarza dane osobowe Twoich klientów w Twoim imieniu (a tak jest w zdecydowanej większości gotowych rozwiązań), jesteś administratorem tych danych i musisz mieć z dostawcą umowę powierzenia przetwarzania danych zgodną z art. 28 RODO. Umowa powinna określać m.in. przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą, obowiązki i prawa administratora, a także środki bezpieczeństwa i zasady ewentualnego dalszego podpowierzenia.

Wielu dostawców gotowych narzędzi AI ma taką umowę w standardowej ofercie (często pod nazwą „data processing agreement” albo „DPA”) – warto ją aktywnie pobrać i podpisać, zamiast zakładać, że sam fakt korzystania z usługi ją zastępuje.

Transfer danych poza Europejski Obszar Gospodarczy

Znaczna część popularnych dostawców narzędzi AI ma siedzibę albo przetwarza dane w Stanach Zjednoczonych. To oznacza transfer danych osobowych do państwa trzeciego w rozumieniu rozdziału V RODO, który wymaga odrębnej podstawy prawnej.

Od 10 lipca 2023 r. obowiązuje decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony danych osobowych w ramach programu EU-US Data Privacy Framework (DPF). Transfer danych do podmiotów w USA certyfikowanych w tym programie jest dopuszczalny na podstawie art. 45 RODO, bez konieczności stosowania dodatkowych zabezpieczeń. Jeśli dostawca narzędzia AI nie figuruje na liście certyfikowanych podmiotów DPF, transfer wymaga innej podstawy z rozdziału V RODO – w praktyce najczęściej standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 RODO).

Zanim wdrożysz narzędzie AI od konkretnego dostawcy, warto sprawdzić, czy figuruje on na liście certyfikowanych podmiotów Data Privacy Framework (dostępnej pod adresem dataprivacyframework.gov), albo czy jego umowa/regulamin przewiduje standardowe klauzule umowne jako podstawę transferu.

Poufność informacji firmowych, nie tylko danych klientów

Osobna kwestia, niezwiązana wprost z RODO, ale praktycznie ważna: jeśli pracownicy Twojej firmy korzystają z ogólnodostępnych narzędzi AI (np. wklejając do nich treści dokumentów, umów czy korespondencji, żeby np. streścić tekst albo przygotować odpowiedź), mogą w ten sposób ujawniać informacje objęte tajemnicą przedsiębiorstwa albo dane kontrahentów, niezależnie od tego, czy dotyczy to danych osobowych. To ryzyko warto uwzględnić przy ustalaniu wewnętrznych zasad korzystania z narzędzi AI w firmie, obok samych obowiązków wynikających z RODO i AI Act – szerzej o innych ryzykach związanych z AI piszę w tekście AI literacy w praktyce – sztuczna inteligencja w Twojej firmie.

Warto też sprawdzić, czy chatbot i inne narzędzia AI zostały uwzględnione w samym regulaminie sklepu.

Najczęstsze błędy przy wdrażaniu AI na stronie

• Brak jakiejkolwiek informacji, że to chatbot. Najprostszy do naprawienia, a najczęściej pomijany element – zwłaszcza gdy narzędzie AI działa od dawna, wdrożone jeszcze przed 2 sierpnia 2026 r., bez świadomości nowego obowiązku.
• Polityka prywatności, która w ogóle nie wspomina o narzędziu AI. Zdarza się, że polityka prywatności jest aktualizowana przy zmianach w sklepie czy formularzach kontaktowych, ale pomija dodanie chatbota, mimo że to on realnie zbiera dane od użytkowników.
• Korzystanie z narzędzia AI bez podpisanej umowy powierzenia. Wiele firm zakłada, że skoro korzysta z płatnej, „poważnej” usługi, to kwestie RODO są już załatwione przez dostawcę – umowa powierzenia wymaga jednak aktywnego podpisania, nie jest automatyczna.
• Brak sprawdzenia, gdzie faktycznie trafiają dane. Dostawca może mieć siedzibę w Europie, ale przetwarzać dane na serwerach w USA (albo odwrotnie) – sama nazwa firmy czy jej adres rejestrowy nie zawsze odpowiadają na pytanie o lokalizację faktycznego przetwarzania.

Co zrobić krok po kroku

• Sprawdź, gdzie na Twojej stronie działa AI – chatbot, rekomendacje produktowe, generowanie opisów, personalizacja treści – każde z tych narzędzi może podlegać opisanym wyżej obowiązkom.
• Dodaj wyraźną informację, że użytkownik komunikuje się z systemem AI, widoczną na początku interakcji.
• Zaktualizuj politykę prywatności o cel, podstawę prawną i (jeśli dotyczy) informację o podmiocie przetwarzającym i transferze danych oraz inne wymagane informacje przez RODO. Sprawdź też, czy konieczne jest wprowadzenie zmian do Twoich Regulaminów.
• Sprawdź, czy masz podpisaną umowę powierzenia z dostawcą narzędzia AI.
• Ustal, gdzie faktycznie przetwarzane są dane i czy dostawca ma legalną podstawę transferu (certyfikacja DPF albo standardowe klauzule umowne).
• Oceń funkcjonalność chatbota pod kątem art. 22 RODO – czy podejmuje decyzje wywołujące skutki dla klienta bez udziału człowieka.

Kiedy warto zlecić przygotowanie dokumentów kancelarii?

Każda z tych trzech warstw – oznaczanie, RODO, poufność – zależy od konkretnej konfiguracji narzędzia AI, którego używasz, i od tego, jak dokładnie działa Twoja strona czy sklep. Nie ma jednego uniwersalnego wzoru zapisu do polityki prywatności ani jednej gotowej formuły oznaczenia chatbota, która pasowałaby do każdej firmy – to, czy stajesz się „dostawcą” w rozumieniu AI Act, czy Twój chatbot wchodzi w zakres art. 22 RODO, i jaką podstawę transferu ma Twój konkretny dostawca, wymaga sprawdzenia Twojej sytuacji, nie skorzystania z gotowego szablonu.

Najczęstsze pytania

Czy każdy chatbot na stronie musi być oznaczony jako AI?
Co do zasady tak, od 2 sierpnia 2026 r. – z wyjątkiem sytuacji, w której kontakt z AI jest oczywisty dla przeciętnego, uważnego użytkownika. W praktyce bezpieczniej jest oznaczyć chatbota niezależnie od tego, czy dana sytuacja mogłaby się kwalifikować jako wyjątek.

Jaka kara grozi za brak oznaczenia chatbota jako AI?
Naruszenie obowiązków przejrzystości z art. 50 AI Act zagrożone jest administracyjną karą pieniężną do 15 mln EUR albo do 3% całkowitego rocznego światowego obrotu – stosuje się kwotę wyższą.

Czy muszę mieć umowę powierzenia z dostawcą chatbota AI?
Tak, jeśli dostawca przetwarza dane osobowe Twoich klientów w Twoim imieniu – co dotyczy zdecydowanej większości gotowych narzędzi chatbotowych. Umowa powierzenia (art. 28 RODO) nie jest automatyczna – trzeba ją aktywnie zawrzeć z dostawcą.

Czy mogę korzystać z narzędzia AI, którego dostawca ma siedzibę w USA?
Tak, jeśli dostawca jest certyfikowany w programie EU-US Data Privacy Framework albo transfer danych odbywa się na podstawie standardowych klauzul umownych. Warto to sprawdzić przed wdrożeniem narzędzia, nie po fakcie.

Czy prosty chatbot odpowiadający na pytania FAQ podlega art. 22 RODO?
Zwykle nie – art. 22 dotyczy decyzji wywołujących skutki prawne albo w podobny sposób istotnie wpływających na osobę, podejmowanych wyłącznie automatycznie. Chatbot, który tylko udziela informacji, zazwyczaj nie wchodzi w ten zakres, ale ocena zależy od konkretnej funkcjonalności.

Co jeśli już mam chatbota, ale nie zaktualizowałem dokumentów?
Warto to zrobić jak najszybciej – żaden z opisanych obowiązków nie ma automatycznego okresu przejściowego liczonego od momentu, w którym firma się o nim dowiedziała.

Czy dotyczy mnie to, jeśli tylko czasem korzystam z narzędzi AI wewnętrznie, np. do pisania opisów produktów?
To inna sytuacja niż chatbot rozmawiający z klientami – nie dotyczy jej bezpośrednio obowiązek oznaczenia z art. 50 AI Act, ale pozostaje ryzyko ujawniania informacji poufnych firmy przy wklejaniu treści do ogólnodostępnych narzędzi AI.

Czego jeszcze dotyczy AI Act poza obowiązkiem oznaczania chatbota?
AI Act reguluje też m.in. systemy sztucznej inteligencji wysokiego ryzyka (z dodatkowymi obowiązkami dotyczącymi zgodności i nadzoru) oraz praktyki całkowicie zakazane. Chatbot obsługujący klientów w typowym sklepie internetowym zwykle nie kwalifikuje się jako system wysokiego ryzyka, ale to, czy konkretne narzędzie AI w Twojej firmie wchodzi w tę kategorię, wymaga odrębnej oceny – ten artykuł skupia się wyłącznie na obowiązku oznaczania, RODO i poufności.

Przygotuj dokumenty dopasowane do Twojego narzędzia AI

Ponieważ ocena tego, jak dokładnie oznaczyć chatbota, co zapisać w polityce prywatności i jaką podstawę transferu ma Twój konkretny dostawca, zależy od Twojej sytuacji, przygotowanie tych dokumentów wymaga indywidualnego podejścia, nie gotowego wzoru.

Możesz zamówić bezpłatną wycenę przygotowania dokumentów dopasowanych do narzędzia AI, z którego korzystasz.

O autorze

Kinga Konopelko – radca prawny specjalizujący się w prawie dla firm, w tym w ochronie danych osobowych i regulacjach dotyczących sztucznej inteligencji. Na co dzień wspiera przedsiębiorców w dostosowywaniu dokumentacji sklepów internetowych i serwisów do zmieniających się przepisów, łącząc znajomość RODO z praktycznym podejściem do nowych technologii.

Informacja prawna

Ten artykuł ma charakter wyłącznie edukacyjny i nie stanowi porady prawnej. Każda sytuacja wymaga indywidualnej oceny – jeśli potrzebujesz wsparcia w swojej sprawie, skonsultuj się z nami.

Stan prawny na: 2026-08-0