Kto odpowiada za obowiązki przejrzystości z AI Actu?

Dlaczego to pytanie w ogóle powstaje

Latem 2026 r. rynek przyjął jeden przekaz: AI Act został przesunięty. Odroczenie objęło jednak wyłącznie wymogi i obowiązki dotyczące systemów wysokiego ryzyka. Przepisy o przejrzystości nie zostały nim ruszone i weszły w stosowanie zgodnie z pierwotnym harmonogramem.

Dla organizacji, która AI wyłącznie stosuje, jest to różnica zasadnicza. Wymogi dla wysokiego ryzyka dotyczą wąskiej grupy zastosowań i mają jeszcze ponad rok. Obowiązki przejrzystości nie pytają o kategorię ryzyka. Pytają o to, co system robi i kto go w danym układzie wykorzystuje.

Drugie źródło nieporozumienia jest handlowe. Dostawca narzędzia zwykle deklaruje zgodność z AI Actem, a organizacja odczytuje to jako zamknięcie tematu. Tymczasem dwa z czterech obowiązków przejrzystości są adresowane wprost do podmiotu stosującego. Dostawca nie może ich wykonać za klienta, bo nie wie, co klient z wynikiem systemu zrobi.

Trzecie źródło jest terminologiczne. „Przejrzystość” w AI Akcie nie oznacza dokumentacji ani polityki. Oznacza konkretną informację przekazaną konkretnej osobie w konkretnym momencie.

Co trzeba ustalić przed decyzją

Cztery obowiązki i dwie role

Art. 50 rozporządzenia zawiera cztery odrębne obowiązki. Dwa pierwsze projektuje się w produkcie, dwa kolejne wykonuje się w organizacji.

Obowiązek	Kto go ma	Czego dotyczy	Od kiedy
Informowanie o interakcji z systemem AI (ust. 1)	dostawca	systemy przeznaczone do bezpośredniej interakcji z osobami	2 sierpnia 2026 r.
Oznaczanie treści syntetycznych w formacie odczytywalnym maszynowo (ust. 2)	dostawca	dźwięk, obraz, wideo i tekst generowany lub zmanipulowany	2 sierpnia 2026 r.; systemy wprowadzone do obrotu wcześniej — 2 grudnia 2026 r.
Informowanie o rozpoznawaniu emocji i kategoryzacji biometrycznej (ust. 3)	podmiot stosujący	osoby, wobec których system jest stosowany	2 sierpnia 2026 r.
Ujawnianie treści deepfake oraz publikowanego tekstu (ust. 4)	podmiot stosujący	treści przekazywane odbiorcom	2 sierpnia 2026 r.

Podział ma praktyczną konsekwencję dla zakupów. Obowiązki dostawcy da się przenieść na warunki umowne i sprawdzić przed wdrożeniem. Obowiązków podmiotu stosującego przenieść się nie da. Zależą one od tego, jak organizacja używa wyniku systemu, a tego dostawca nie kontroluje.

Co ujawnia podmiot stosujący

Pierwszy obowiązek dotyczy dwóch rodzajów systemów. Organizacja informuje osoby o tym, że stosuje wobec nich system rozpoznawania emocji albo system kategoryzacji biometrycznej. Przepis wymaga przy tym przetwarzania danych osobowych zgodnie z RODO, więc obie warstwy działają równolegle.

W miejscu pracy pytanie zwykle jest jednak wcześniejsze. Rozporządzenie zakazuje stosowania systemów AI do wyciągania wniosków o emocjach osób w miejscu pracy i w instytucjach edukacyjnych. Wyjątek obejmuje wyłącznie względy medyczne i bezpieczeństwa. Zanim organizacja zaprojektuje informację dla pracowników, musi więc rozstrzygnąć, czy takie narzędzie w ogóle wolno jej uruchomić.

Drugi obowiązek dotyczy treści. Rozporządzenie definiuje deepfake jako obraz, dźwięk albo wideo przypominające istniejące osoby, przedmioty lub zdarzenia. Rozstrzygający jest drugi człon definicji: odbiorca mógłby niesłusznie uznać taką treść za autentyczną. Podmiot stosujący ujawnia wtedy, że została ona sztucznie wygenerowana albo zmanipulowana.

Ten sam ustęp obejmuje tekst. Obowiązek jest tu jednak węższy i dotyczy tekstu publikowanego w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Zwykła komunikacja handlowa i korespondencja wewnętrzna są poza jego zakresem. Granica bywa cienka w komunikacji instytucji publicznych oraz w materiałach o bezpieczeństwie, zdrowiu i środowisku.

Kiedy wyłączenie redakcyjne działa

Przy tekście przepis przewiduje wyłączenie i to ono jest w praktyce najczęściej nadużywane. Obowiązek ujawnienia odpada, gdy treść przeszła weryfikację przez człowieka albo kontrolę redakcyjną, a odpowiedzialność redakcyjną za publikację ponosi osoba fizyczna lub prawna.

Warto czytać ten warunek jako dwuczłonowy. Sama weryfikacja nie wystarcza — potrzebny jest podmiot ponoszący odpowiedzialność redakcyjną. W ocenie praktycznej oznacza to nazwaną rolę w procesie publikacji, a nie zwyczajowe „ktoś przeczytał przed wysłaniem”. Organizacja, która chce z wyłączenia korzystać, powinna umieć wskazać tę rolę i pokazać ślad weryfikacji.

Osobne złagodzenie dotyczy treści o wyraźnie artystycznym, twórczym, satyrycznym lub fikcyjnym charakterze. Obowiązek ogranicza się wtedy do ujawnienia istnienia takich treści w sposób nieutrudniający odbioru utworu.

Jak i kiedy przekazać informację

Rozporządzenie rozstrzyga formę i moment. Informację przekazuje się w sposób jasny i wyraźny, najpóźniej w chwili pierwszej interakcji lub pierwszego zastosowania systemu. Musi ona spełniać mające zastosowanie wymogi dostępności.

Z tego wynikają trzy praktyczne rozstrzygnięcia projektowe. Informacja nie może być schowana w regulaminie ani w polityce prywatności, bo tam nie trafia w momencie pierwszego kontaktu. Nie może też być dostępna wyłącznie wizualnie, jeżeli obowiązują wymogi dostępności cyfrowej. I nie może być doręczana po fakcie.

Przepis zastrzega także, że obowiązki przejrzystości nie naruszają pozostałych obowiązków informacyjnych z prawa Unii i prawa krajowego. Informacja z art. 50 nie zastępuje więc obowiązku informacyjnego z RODO. To dwa równoległe komunikaty o różnym przedmiocie.

Co się zmienia 2 grudnia 2026 r.

Omnibus z lipca 2026 r. dołożył jedną datę, która dotyczy starszych narzędzi. Dostawcy systemów generujących treści syntetyczne, wprowadzonych do obrotu przed 2 sierpnia 2026 r., mają czas na dostosowanie się do obowiązku oznaczania do 2 grudnia 2026 r.

Dla organizacji stosującej wniosek jest odwrotny, niż się wydaje na pierwszy rzut oka. Narzędzie kupione przed sierpniem 2026 r. może do grudnia nie znakować wyników maszynowo. Obowiązek ujawnienia deepfake’a i publikowanego tekstu obciąża jednak podmiot stosujący już teraz i działa niezależnie od tego, co robi narzędzie. W tym okresie ujawnienie musi więc zapewnić proces, a nie funkcja produktu.

Czym można się wesprzeć

Komisja Europejska wydała 20 lipca 2026 r. wytyczne dotyczące wykonywania art. 50. Rozstrzygają one m.in. podział odpowiedzialności między dostawcę i podmiot stosujący, zakres wyłączeń oraz rozumienie pojęcia deepfake’a. Wytyczne nie są źródłem obowiązku, ale pokazują, jak organ będzie czytał przepis.

Drugim materiałem jest Kodeks postępowania w sprawie przejrzystości treści generowanych przez AI. Komisja i Rada ds. AI uznały go za adekwatne narzędzie dobrowolne. Jego sekcja druga adresowana jest wprost do podmiotów stosujących i opisuje sposób oznaczania treści oraz procesy wewnętrzne. Przystąpienie do kodeksu jest sposobem wykazania zgodności, a nie samą zgodnością.

Najczęstsze błędy

• Uznanie, że odroczenie objęło całe rozporządzenie. Przesunięto wymogi dla systemów wysokiego ryzyka. Przejrzystość obowiązuje od 2 sierpnia 2026 r.
• Przypisanie wszystkich czterech obowiązków dostawcy. Ustępy 3 i 4 art. 50 adresowane są do podmiotu stosującego i nie da się ich przenieść umową.
• Traktowanie oznaczenia maszynowego jako ujawnienia wobec odbiorcy. Oznaczenie z ust. 2 służy wykrywalności technicznej. Ujawnienie z ust. 4 jest komunikatem dla człowieka.
• Powoływanie się na wyłączenie redakcyjne bez wskazanej odpowiedzialności redakcyjnej. Przepis wymaga dwóch elementów naraz, a organizacja musi umieć pokazać oba.
• Umieszczenie informacji w regulaminie zamiast w momencie pierwszego kontaktu. Przepis wyznacza moment, a nie miejsce w dokumentacji.
• Pominięcie zakazu przy rozpoznawaniu emocji w miejscu pracy. Informowanie pracowników nie sanuje praktyki, która jest zakazana.

Wnioski i dalsze kroki

Przejrzystość jest tym rozdziałem AI Actu, który dotyczy organizacji stosującej gotowe narzędzia już dziś. Rozstrzyga o niej rola wobec konkretnego zastosowania, a nie kategoria ryzyka i nie deklaracja dostawcy. Dwa obowiązki organizacja musi wykonać sama, więc potrzebuje procesu, a nie tylko zapisu w umowie.

Kolejność, która sprawdza się przy porządkowaniu tego obszaru:

1. Zbierz zastosowania, w których AI wchodzi w interakcję z ludźmi albo wytwarza treści publikowane na zewnątrz.
2. Dla każdego zastosowania ustal rolę organizacji i przypisz obowiązki z właściwego ustępu art. 50.
3. Sprawdź, czy narzędzia kupione przed sierpniem 2026 r. oznaczają wyniki maszynowo, i zaplanuj rozwiązanie na okres do grudnia.
4. Zaprojektuj treść oraz moment informacji, a przy tekstach publikowanych rozstrzygnij, kto ponosi odpowiedzialność redakcyjną.
5. Zachowaj ślad tych decyzji, bo to on odpowiada na pytanie klienta, audytora albo organu.

Ostatni punkt bywa pomijany najczęściej. Obowiązki przejrzystości wykonuje się wobec osób, ale wykazuje się je wobec organu — a to wymaga innego materiału niż sam komunikat na stronie.

Materiały powiązane

• Kiedy organizacja korzystająca z AI staje się jego dostawcą? (materiał w przygotowaniu) — przekroczenie granicy ról przenosi na organizację obowiązki z pierwszych dwóch ustępów art. 50.
• Czego wymaga obowiązek kompetencji w zakresie AI? (materiał w przygotowaniu) — drugi obowiązek działający bez okresu przejściowego.
• Czy narzędzie AI, którego używamy, jest systemem wysokiego ryzyka? (materiał w przygotowaniu) — kwalifikacja rozstrzygająca o obowiązkach odroczonych.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (akt w sprawie sztucznej inteligencji), wersja skonsolidowana na 27 lipca 2026 r., art. 3 pkt 60, art. 5 ust. 1 lit. f, art. 50 i art. 113 — eur-lex.europa.eu (dostęp: 20.08.2026).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8 lipca 2026 r., art. 1 pkt 39 i 40 (zmiany art. 111 i art. 113) — eur-lex.europa.eu (dostęp: 20.08.2026).
• Komisja Europejska, wytyczne dotyczące wykonywania obowiązków przejrzystości dla niektórych systemów AI na podstawie art. 50 rozporządzenia (UE) 2024/1689, C(2026) 5054 final z 20 lipca 2026 r. (dostęp: 20.08.2026).
• Kodeks postępowania w sprawie przejrzystości treści generowanych przez AI wraz z opinią Komisji o jego adekwatności, Komisja Europejska — digital-strategy.ec.europa.eu (dostęp: 20.08.2026).