AI Act a e-commerce. Co naprawdę zmienia się dla sklepów internetowych od 2 sierpnia 2026

2 sierpnia 2026 roku weszły w życie przepisy art. 50 unijnego rozporządzenia o sztucznej inteligencji (AI Act) – obowiązki przejrzystości, które po raz pierwszy realnie dotykają sklepów internetowych, a nie tylko wielkich firm technologicznych.

O co dokładnie chodzi? AI Act bierze na celownik dwie rzeczy: fotorealistyczne materiały wygenerowane przez AI oraz rozmowy z botami. Jeśli klient ma prawo pomyśleć, że patrzy na prawdziwe zdjęcie lub rozmawia z żywym człowiekiem – musisz to ujawnić. Za to zwykły opis produktu wygenerowany przez AI nadal nie potrzebuje żadnych znaczków.

Haczyk tkwi jednak w wykonaniu. Po pierwsze: wymóg oznaczania wizualizacji dotyczy znacznie większej liczby przypadków, niż się wydaje. Po drugie: powstaje chaos z odpowiedzialnością. Kto nakłada etykietę – Ty, zewnętrzny grafik czy dostawca narzędzia? To nie same kary z rozporządzenia, ale właśnie ta niepewność w relacjach z podwykonawcami sprawi najwięcej kłopotów. I tu paradoks, o którym nie przeczytasz w poradnikach straszących karą 15 mln euro: ta kara to akurat najmniej prawdopodobna rzecz, jaka Cię spotka. Zanim sięgnie po nią polski organ, dużo wcześniej dosięgnie Cię nieuczciwa konkurencja, UOKiK albo sam klient – i to z zupełnie innego przepisu.

Jak AI Act klasyfikuje ryzyko w e-commerce

AI Act (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r.) opiera się na podejściu opartym na ryzyku. Im większe potencjalne zagrożenie dla użytkownika, tym większe obowiązki dla firmy, która z danego systemu korzysta. Systemy zakazane całkowicie (np. scoring społeczny) w e-commerce praktycznie się nie pojawiają. Systemy wysokiego ryzyka to głównie AI używana w rekrutacji, edukacji czy ocenie zdolności kredytowej osób fizycznych – większość sklepów internetowych w ogóle tu nie wchodzi.

Zdecydowana większość narzędzi AI, z których korzysta typowy sklep – chatboty, generatory opisów, generatory zdjęć i wideo produktowego – ląduje w kategorii ograniczonego ryzyka. Jedynym obowiązkiem jest tu przejrzystość, a nie certyfikacja czy zgoda żadnego urzędu. Zwykły opis produktu napisany przez AI nadal nie wymaga żadnej etykiety. Podobnie zwykła grafika, która nie przypomina realnie istniejącej rzeczy czy osoby na tyle, by ktoś mógł ją wziąć za prawdziwą.

Obowiązek przejrzystości z art. 50 rozporządzenia, który obowiązuje od 2 sierpnia 2026 r., dotyczy dwóch konkretnych sytuacji: deepfake’ów i chatbotów. Warto zrozumieć obie dokładnie, bo próg wejścia w obowiązek jest inny, niż podpowiada intuicja.

Deepfake jest szerszy, niż myślisz

Potocznie „deepfake” kojarzy się z podłożoną twarzą celebryty albo sfałszowanym nagraniem polityka. Definicja z AI Act jest szersza: to każdy obraz, film lub dźwięk wygenerowany albo zmieniony przez AI, który przypomina rzeczywistość na tyle, że odbiorca mógłby uznać go za prawdziwy. Kluczowe słowo to „przypomina” – treść nie musi przedstawiać konkretnej, realnej osoby czy rzeczy. Wystarczy, że wygląda na coś, co mogłoby istnieć naprawdę.

Weźmy przykład, który dobrze pokazuje tę granicę: realistycznie wygenerowany pluszak w gazetce reklamowej sklepu z zabawkami to prawnie deepfake – dokładnie tak samo jak podłożona twarz gwiazdy. To obiekt rodzajowo istniejący w świecie, tylko że akurat ten konkretny egzemplarz nie istnieje. Rysunek smoka nie wymaga oznaczenia, bo smoki nie istnieją i nikt nie pomyli go z fotografią – ale wizualizacja produktu, biura czy modela, która wygląda jak zdjęcie, już tak.

Dla e-commerce to oznacza wprost: jeśli zdjęcie produktu – ubrania na wygenerowanym modelu, wizualizacja mebla w mieszkaniu, którego nie ma – wygląda realistycznie i klient mógłby wziąć je za prawdziwą fotografię, trzeba je oznaczyć. Test jest prosty i praktyczny: pytanie nie brzmi „czy to ładny obrazek z AI”, tylko „czy mój klient mógłby pomyśleć, że widzi prawdziwe zdjęcie”.

Nie każda ingerencja AI w zdjęcie uruchamia ten obowiązek. Poprawa ostrości, kolorów czy usunięcie tła zwykle nie rodzi obowiązku oznaczenia. Zmiana proporcji sylwetki, dodanie lub usunięcie elementów – już tak, bo to przechodzi w fałszywe wrażenie autentyczności. Ma to zresztą praktyczne uzasadnienie biznesowe, nie tylko prawne: jeśli zdjęcie produktu skłoniło klienta do wejścia na stronę sklepu, a w ofercie nie ma dokładnie takiej wersji, klient czuje się oszukany niezależnie od tego, czy AI Act to reguluje. Oznaczenie „wizualizacja poglądowa wygenerowana przez AI” chroni nie tylko zgodność z przepisami, ale także reputację Twojej marki. 

Czatbot: kto odpowiada za ujawnienie

Drugi filar art. 50 dotyczy interakcji człowiek-AI. Jeśli na stronie sklepu „rozmowę” prowadzi bot – odpowiada na pytania o status przesyłki, prowadzi przez proces zwrotu, doradza w wyborze produktu – klient musi wiedzieć, że rozmawia z maszyną, najpóźniej w momencie rozpoczęcia rozmowy. Wyjątek istnieje tylko wtedy, gdy jest to oczywiste z kontekstu dla rozsądnie uważnej osoby, co w praktyce zdarza się rzadko.

Formalnie obowiązek zaprojektowania systemu w taki sposób spoczywa na dostawcy narzędzia, nie na sklepie, który z niego korzysta. To jednak nie zwalnia Cię z odpowiedzialności za sprawdzenie, czy Twój dostawca rzeczywiście to zrobił. Etykieta „Asystent AI” przy oknie czatu – zamiast udawania żywego konsultanta – to w praktyce minimum, którego trzeba dopilnować, nawet jeśli technicznie robi to za Ciebie zewnętrzne narzędzie.

Jest tu jednak haczyk, który zmienia układ odpowiedzialności: jeżeli zlecasz stworzenie chatbota i udostępniasz go pod własną marką, możesz sam zostać uznany za dostawcę w rozumieniu rozporządzenia. Wtedy obowiązek projektowy przestaje być czyimś problemem i staje się Twoim.

Pułapka odpowiedzialności: dostawca kontra podmiot stosujący

To rozróżnienie decyduje o tym, kto ostatecznie płaci. AI Act rozróżnia dwie role: dostawcę systemu AI i podmiot stosujący (czyli firmę, która z systemu korzysta w swojej działalności). Obowiązek oznaczenia deepfake’a z art. 50 ust. 4 spoczywa – w uproszczeniu – na tym, kto treść faktycznie tworzy, a nie na tym, kto ją zamawia i publikuje.

Weźmy typową sytuację dla sklepu: zlecasz freelancerowi albo zewnętrznemu grafikowi wygenerowanie realistycznej wizualizacji reklamowej. Jeśli to zawodowy grafik wygeneruje deepfake reklamowy, obowiązek oznaczenia spoczywa formalnie na nim, nie na Twojej firmie jako zamawiającym. Marka może więc formalnie rozpowszechniać nieoznaczoną treść bez naruszenia akurat tego przepisu AI Act – ale nie oznacza to, że jesteś bezpieczny. Publikacja nieoznaczonej, realistycznej wizualizacji naraża Cię na odpowiedzialność z zupełnie innych podstaw: czynu nieuczciwej konkurencji, ochrony wizerunku, a przy realnych osobach – nawet przepisów karnych dotyczących kradzieży tożsamości.

Czyli: możesz technicznie nie naruszyć art. 50 AI Act i jednocześnie zapłacić słono z innego tytułu, bo klient poczuł się wprowadzony w błąd, a konkurencja albo UOKiK to zauważyli. AI Act nie zastępuje RODO, ochrony konsumentów ani przepisów o nieuczciwej konkurencji – nakłada się na nie. Dlatego jedynym realnym zabezpieczeniem jest rozpisanie w umowach z freelancerami, grafikami i dostawcami narzędzi, kto konkretnie odpowiada za oznaczenie wygenerowanej treści, zanim ta treść trafi na Twoją stronę.

Kalendarz: co naprawdę weszło w życie 2 sierpnia

Harmonogram AI Act rozkłada się na kilka lat, a 27 lipca 2026 r. dodatkowo zmodyfikował go tzw. Digital Omnibus on AI (rozporządzenie UE 2026/1744). Kluczowe jest to, co Omnibus przesunął, a czego nie ruszył.+

Innymi słowy: Digital Omnibus dał firmom oddech tam, gdzie wdrożenie było najbardziej złożone technicznie – systemy wysokiego ryzyka. Nie dał żadnego oddechu tam, gdzie chodzi o zwykłą uczciwość wobec klienta – chatboty i deepfake’i. Dla typowego sklepu internetowego to właśnie ta druga kategoria ma znaczenie, a termin się nie zmienił.

Kary i kto będzie je nakładał w Polsce

Za naruszenie obowiązków przejrzystości z art. 50 grozi kara administracyjna do 15 mln euro lub 3% całkowitego światowego rocznego obrotu przedsiębiorstwa – w zależności od tego, która kwota jest wyższa (art. 99 ust. 4 AI Act). Dla porównania, naruszenie zakazanych praktyk z art. 5 zagrożone jest karą jeszcze wyższą: do 35 mln euro lub 7% obrotu. Dla MŚP, w tym startupów, przy danej kategorii naruszenia stosuje się niższy z dwóch limitów, kwotowy albo procentowy – i są to pułapy maksymalne, a nie automatyczne kary za każde uchybienie.

W Polsce organem właściwym do egzekwowania przepisów będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), powołana ustawą z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), podpisaną przez Prezydenta 24 lipca 2026 r. Sama ustawa weszła w życie 28 lipca 2026 r., ale pełne kompetencje kontrolne – w tym prawo do kontroli u przedsiębiorców i nakładania kar – Komisja uzyska dopiero od 28 października 2026 r. (przewodniczącego powołuje się w październiku, pełny skład rusza w listopadzie). Termin obowiązku z art. 50 ust. 4 nie jest jednak uzależniony od gotowości krajowego organu: naruszenia sprzed jego ukonstytuowania mogą zostać ukarane później.

Ustawa przewiduje też mechanizm łagodzący, o którym warto pamiętać zamiast panikować: firma, która sama zgłosi naruszenie i usunie jego skutki, może liczyć na obniżenie kary nawet o 90%. Dla firm planujących wdrożenia obarczone niepewnością prawną przewidziano też możliwość wystąpienia o wiążącą opinię indywidualną KRiBSI.

Checklista: co sprawdzić w sklepie teraz

1. Zrób inwentaryzację narzędzi AI. Wypisz wszystko: chatbot obsługi klienta, generator opisów, generator zdjęć i wideo produktowego, ewentualne narzędzia rekomendacyjne czy scoringowe. Bez tej listy nie ocenisz niczego innego z poniższych punktów.
2. Sprawdź chatbota, zanim sprawdzi go ktoś inny. Upewnij się, że dostawca faktycznie wyświetla czytelną informację o rozmowie z AI, zanim klient napisze pierwszą wiadomość. Jeśli zlecałeś budowę bota pod własną marką, przeanalizuj, czy nie stałeś się jego dostawcą w rozumieniu rozporządzenia.
3. Przetestuj zdjęcia produktowe testem „czy klient mógłby to wziąć za prawdziwe”. Dotyczy to zwłaszcza wizualizacji generowanych modeli, wnętrz i produktów, których nie masz fizycznie w takiej wersji na stanie. Zwykłe opisy tekstowe generowane przez AI możesz odhaczyć – tych oznaczać nie musisz.
4. Rozpisz z freelancerami i zewnętrznymi grafikami, kto odpowiada za oznaczenie. To pojedyncze zdanie w umowie zlecenia albo w briefie, które w razie sporu może zaoszczędzić Ci odpowiedzialności z zupełnie innego przepisu niż AI Act.
5. Zadbaj o kompetencje zespołu. Obowiązek AI literacy obowiązuje już od lutego 2025 r. i nie wymaga certyfikatu ani konkretnej liczby godzin szkolenia – wystarczy krótka wewnętrzna instrukcja: jakich danych nie wolno wklejać do narzędzi AI, kto weryfikuje wygenerowane treści przed publikacją i jak dokumentujesz te decyzje.

Podsumowanie

AI Act nie jest próbą zakazania sklepom korzystania ze sztucznej inteligencji. To wymóg uczciwości wobec klienta w dwóch konkretnych, węższych niż mogłoby się wydawać, sytuacjach: gdy treść mogłaby uchodzić za prawdziwą, i gdy klient rozmawia z maszyną, myśląc że pisze do człowieka. Dla większości sklepów zmiana sprowadza się do jednego zdania w interfejsie czatu i jednej etykiety przy wizualizacji – nie do przepisywania całego katalogu produktów.

Prawdziwe ryzyko leży gdzie indziej: w łańcuchu odpowiedzialności, który łatwo zostawić bez właściciela. Grafik obwinia narzędzie, narzędzie obwinia regulamin, sklep zakłada, że skoro nie tworzył treści sam, to nie jego problem – a wtedy nikt nie postawi etykiety, dopóki nie zrobi tego klient, konkurencja albo UOKiK. W integracjach, które obsługujemy po stronie tysięcy sklepów w Furgonetka.pl, chatboty i generatory treści są już codziennością – to dobry moment, żeby ustawić w umowach i procesach jasno, kto za co odpowiada, zanim zrobi to za Ciebie ktoś inny.

Źródła pierwotne:
Rozporządzenie (UE) 2024/1689 (AI Act), w szczególności art. 5, 50, 99 ust. 4 i 113 –tekst na EUR-Lex.
Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI) – przesunięcia terminów dla systemów wysokiego ryzyka.
Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), powołująca KRiBSI –opis na gov.pl.