AI Act nie nakłada automatycznie rozbudowanych obowiązków na każdą firmę, która korzysta z ChatGPT, generatora zdjęć albo narzędzia do rekomendowania produktów. Dla większości właścicieli stron i sklepów najważniejsze będą obowiązki związane z przejrzystością chatbotów, kontrolą treści generowanych przez AI oraz prawidłowym wykorzystaniem danych klientów.
Większe wymagania mogą pojawić się wtedy, gdy system AI jest używany do rekrutacji pracowników, oceny zdolności kredytowej, rozpoznawania emocji, kategoryzacji biometrycznej albo podejmowania decyzji istotnie wpływających na konkretną osobę.
Czy AI Act dotyczy zwykłego sklepu internetowego?
Tak, ale zakres obowiązków zależy od tego, jak sklep wykorzystuje AI. Typowe zastosowania — filtrowanie spamu, pomoc w tworzeniu opisów produktów lub proste rekomendowanie podobnych towarów — najczęściej należą do zastosowań o minimalnym albo ograniczonym ryzyku.
Komisja Europejska wskazuje, że zdecydowana większość systemów AI wykorzystywanych w Unii należy do kategorii minimalnego lub zerowego ryzyka, dla której AI Act nie ustanawia rozbudowanego systemu certyfikacji. Nie oznacza to jednak, że można wdrażać takie narzędzia bez żadnej kontroli. Nadal mogą mieć zastosowanie:
- RODO,
- przepisy konsumenckie,
- prawo autorskie,
- zasady dotyczące reklamy,
- przepisy o cenach i promocjach,
- warunki licencyjne dostawcy narzędzia.
AI Act jest więc jedną z kilku warstw regulacyjnych, które trzeba uwzględnić.
Najpierw ustal rolę firmy: dostawca czy podmiot wdrażający?
To jeden z najważniejszych etapów analizy.
Podmiot wdrażający system AI
Większość właścicieli sklepów będzie podmiotem wdrażającym, czyli organizacją wykorzystującą system AI w ramach własnej działalności.
Przykład: sklep instaluje gotowy chatbot dostarczony przez zewnętrzną firmę i wykorzystuje go do odpowiadania na pytania klientów.
Dostawca systemu AI
Firma może stać się dostawcą, gdy:
- sama opracowuje system,
- zleca opracowanie systemu,
- udostępnia go pod własną nazwą lub marką,
- sprzedaje albo wdraża go jako własny produkt.
Przykład: agencja tworzy dla klientów własnego asystenta zakupowego pod nazwą swojej marki. Nawet jeżeli wykorzystuje w tle model innego producenta, może mieć dodatkowe obowiązki jako dostawca systemu.
Najważniejsze daty dla właścicieli stron i sklepów
AI Act jest stosowany etapami. Harmonogram uwzględnia zmiany wprowadzone przez AI Omnibus.
- 1 sierpnia 2024AI Act wchodzi w życie
Start dwuletniego okresu przejściowego dla większości obowiązków.
- 2 lutego 2025Zakazy zaczynają obowiązywać
Wchodzą w życie zakazy niedopuszczalnych zastosowań AI.
- 2 sierpnia 2025Zasady dla modeli ogólnego przeznaczenia
Obowiązki dostawców modeli GPAI (m.in. dokumentacja, przejrzystość).
- 27 lipca 2026AI Omnibus
Zmienia część harmonogramu i obowiązków AI Act.
- 2 sierpnia 2026Przejrzystość (art. 50)
Chatboty i wybrane treści syntetyczne muszą być jasno oznaczone.
- 2 grudnia 2027Systemy wysokiego ryzyka
Wybrane obowiązki dla zatrudnienia i biometrii.
- 2 sierpnia 2028Wysokie ryzyko w produktach regulowanych
Wymagania dla systemów zintegrowanych z produktami objętymi harmonizacją.
Jak AI Act wpływa na najczęstsze zastosowania AI w e-commerce?
| Zastosowanie | Typowe znaczenie AI Act | Co powinien zrobić właściciel |
|---|---|---|
| Chatbot obsługi klienta | Obowiązki przejrzystości interakcji | Wyraźnie poinformować klienta, że rozmawia z AI, i sprawdzić konfigurację dostawcy |
| Generator opisów produktów | Zazwyczaj minimalne ryzyko | Wprowadzić kontrolę faktów, parametrów, zgodności reklamowej i praw autorskich |
| Generowane zdjęcia produktów | Możliwe obowiązki przy deepfake / treści wprowadzającej w błąd | Oceniać, czy wizualizacja nie sugeruje nieprawdziwych cech produktu |
| Rekomendacje produktów | Zazwyczaj minimalne ryzyko | Sprawdzić profilowanie, dane osobowe i sposób wyjaśnienia rekomendacji |
| Personalizowanie ceny | Nie musi być systemem wysokiego ryzyka | Spełnić obowiązki informacyjne wynikające z prawa konsumenckiego i RODO |
| Automatyczna selekcja kandydatów | Może być systemem wysokiego ryzyka | Zweryfikować klasyfikację, dokumentację, nadzór człowieka i dostawcę |
| Ocena zdolności kredytowej | Może być systemem wysokiego ryzyka | Ustalić, kto faktycznie podejmuje decyzję i kto jest podmiotem wdrażającym |
| Rozpoznawanie emocji / biometria | Podwyższone ryzyko prawne | Nie wdrażać bez specjalistycznej analizy prawnej i technicznej |
| Własny chatbot sprzedawany klientom | Firma może stać się dostawcą | Przeanalizować pełne obowiązki dostawcy, a nie tylko użytkownika systemu |
Chatbot na stronie: czy trzeba poinformować klienta, że rozmawia z AI?
Od 2 sierpnia 2026 roku systemy przeznaczone do bezpośredniej interakcji z ludźmi powinny być zaprojektowane tak, aby użytkownik został poinformowany, że rozmawia z AI — chyba że jest to oczywiste dla rozsądnie poinformowanej osoby.
Informacja powinna być jasna i przekazana najpóźniej przy pierwszej interakcji. Komisja wskazuje chatboty, agentów AI oraz cyfrowe awatary jako typowe przykłady systemów objętych tą zasadą. Poprawny komunikat może brzmieć:
Rozmawiasz z asystentem wykorzystującym sztuczną inteligencję. Odpowiedzi mogą zawierać błędy. W każdej chwili możesz poprosić o kontakt z pracownikiem.
Formalny obowiązek odpowiedniego zaprojektowania systemu spoczywa przede wszystkim na jego dostawcy. Właściciel sklepu nie powinien jednak zakładać, że zewnętrzna wtyczka automatycznie spełnia wszystkie wymagania.
- Komunikat o AI jest widoczny przed pierwszą odpowiedzią
- Nie został ukryty przez własny szablon strony
- Użytkownik może w każdej chwili poprosić o kontakt z człowiekiem
- Wiadomo, jakie dane trafiają do dostawcy chatbota
- Wiesz, czy i jak długo rozmowy są zapisywane
- Rozmowy nie są używane do trenowania modeli bez podstawy prawnej
- System poprawnie reaguje na pytania o reklamacje, zwroty i gwarancję
Samo umieszczenie informacji o AI wyłącznie w regulaminie albo polityce prywatności może być niewystarczające, jeżeli użytkownik nie zobaczy jej podczas interakcji.
Czy każdy tekst wygenerowany przez AI trzeba oznaczać?
Nie. AI Act nie wprowadza ogólnego obowiązku umieszczania napisu „wygenerowano przez AI" przy każdym opisie produktu, artykule blogowym albo wiadomości marketingowej. Szczególne obowiązki odnoszą się między innymi do:
- treści typu deepfake,
- tekstów publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym,
- treści syntetycznych, które dostawca systemu powinien oznaczać w sposób możliwy do odczytu maszynowego.
W przypadku tekstu dotyczącego spraw publicznych obowiązek ujawnienia może nie mieć zastosowania, gdy materiał przeszedł kontrolę człowieka lub redakcji, a osoba albo firma ponosi odpowiedzialność redakcyjną za publikację. Opis produktu w sklepie co do zasady nie jest publikacją dotyczącą sprawy interesu publicznego — mimo to firma odpowiada za jego prawdziwość.
Jeżeli generator dopisze nieistniejącą funkcję urządzenia, błędny skład produktu lub fałszywy certyfikat, informacja może wprowadzać klienta w błąd niezależnie od tego, czy tekst został napisany przez człowieka, czy przez model językowy.
Zdjęcia generowane przez AI i wirtualni modele
Szczególnej ostrożności wymagają:
- zdjęcia prezentujące produkt w sposób, którego nie da się osiągnąć w rzeczywistości,
- wygenerowane rekomendacje rzekomego eksperta,
- materiały imitujące wypowiedź konkretnej osoby,
- syntetyczne nagrania klientów,
- sztucznie wygenerowane zdjęcia „przed i po".
Jeżeli materiał spełnia definicję deepfake, podmiot wykorzystujący go profesjonalnie może mieć obowiązek poinformowania odbiorcy o sztucznym pochodzeniu lub manipulacji. Dostawcy generatywnych systemów AI mają natomiast obowiązki związane z maszynowo odczytywalnym oznaczaniem treści syntetycznych. Zasady przejrzystości zaczynają być stosowane 2 sierpnia 2026 roku.
Nawet gdy oznaczenie nie jest w konkretnym przypadku jednoznacznie wymagane przez AI Act, warto dodać informację: „Wizualizacja została wygenerowana komputerowo. Wygląd produktu może różnić się od prezentacji."
Rekomendacje produktów i personalizacja
Automatyczne rekomendowanie produktów na podstawie historii przeglądania zazwyczaj nie jest samo w sobie systemem wysokiego ryzyka w rozumieniu AI Act. Trzeba jednak sprawdzić:
- jakie dane są wykorzystywane,
- czy klient jest profilowany,
- czy dane są przekazywane poza Europejski Obszar Gospodarczy,
- czy rekomendacja wpływa wyłącznie na kolejność produktów, czy również na ich ceny,
- czy użytkownik może sprzeciwić się profilowaniu marketingowemu,
- czy system nie dyskryminuje określonych grup klientów.
Wykorzystanie danych osobowych w modelach i systemach AI nadal podlega RODO. Europejska Rada Ochrony Danych podkreśla, że zgodność należy oceniać indywidualnie — uwzględniając między innymi podstawę prawną, konieczność przetwarzania oraz rozsądne oczekiwania osób, których dane dotyczą.
Jak AI Act reguluje dynamiczne ceny?
Samo stosowanie dynamicznych cen nie powoduje automatycznie, że system staje się systemem wysokiego ryzyka według AI Act. Trzeba jednak odróżnić:
- zmianę ceny zależną od popytu, dostępności lub godziny,
- indywidualne ustalanie ceny na podstawie profilu konkretnego klienta.
Prawo konsumenckie wymaga poinformowania klienta, gdy cena została spersonalizowana na podstawie zautomatyzowanego podejmowania decyzji. Obowiązek ten nie dotyczy zwykłych zmian cen wynikających z sytuacji rynkowej. Sklep nie powinien więc ograniczać analizy wyłącznie do AI Act — mechanizm ustalania cen może wymagać jednoczesnej oceny na podstawie prawa konsumenckiego i RODO.
Kiedy AI używane przez sklep może być systemem wysokiego ryzyka?
Największe znaczenie mają zastosowania wykraczające poza zwykłą sprzedaż produktów.
Rekrutacja pracowników
Systemy AI służące do analizowania CV, oceniania kandydatów, automatycznego odrzucania aplikacji, prowadzenia punktowanych rozmów wideo oraz monitorowania i oceniania pracowników mogą zostać zaklasyfikowane jako systemy wysokiego ryzyka.
Odpowiednie przepisy dla tych zastosowań mają zacząć obowiązywać 2 grudnia 2027 roku. Właściciel sklepu powinien zapytać dostawcę systemu rekrutacyjnego:
- jak system jest sklasyfikowany,
- czy decyzja może być zweryfikowana przez człowieka,
- jakie dane są analizowane,
- czy system tworzy punktację kandydata,
- jak długo przechowywane są wyniki i logi,
- jak wykrywane są błędy oraz dyskryminacja.
Ocena zdolności kredytowej
Jeżeli sklep sam wykorzystuje AI do oceny zdolności kredytowej konsumenta lub ustalania jego wyniku kredytowego, zastosowanie może należeć do kategorii wysokiego ryzyka. Częsta sytuacja: klient wybiera płatność ratalną, a decyzję podejmuje bank albo niezależny operator płatności — w takim modelu trzeba ustalić, kto faktycznie kontroluje system i podejmuje decyzję.
Samo umieszczenie na stronie przycisku „kup na raty" nie oznacza jeszcze, że sklep jest podmiotem wdrażającym system oceniający zdolność kredytową.
Rozpoznawanie emocji i biometria
Analizowanie twarzy klienta przez kamerę, ustalanie jego nastroju albo kategoryzowanie użytkowników na podstawie cech biometrycznych wiąże się z istotnym ryzykiem prawnym. Takiego rozwiązania nie należy wdrażać wyłącznie na podstawie zapewnienia sprzedawcy, że „system jest zgodny z AI Act". Konieczna jest osobna analiza celu, podstawy prawnej, kategorii danych, proporcjonalności i możliwych zakazów.
Jakie praktyki są zakazane?
AI Act zakazuje wybranych zastosowań uznanych za niedopuszczalne. Dla właściciela sklepu szczególnie istotny jest zakaz korzystania z celowo manipulacyjnych lub wprowadzających w błąd technik, które istotnie ograniczają zdolność osoby do podjęcia świadomej decyzji i powodują albo mogą spowodować znaczącą szkodę.
Czy pracowników nadal trzeba szkolić z AI?
Tak. Pierwotna wersja AI Act zawierała ogólny obowiązek podejmowania działań zapewniających odpowiedni poziom kompetencji AI personelu. Obowiązek ten zaczął być stosowany 2 lutego 2025 roku i dotyczy każdej firmy — także sklepu — który wykorzystuje AI w swojej działalności.
Dane osobowe i RODO w kontekście AI
Jeśli w rozmowach z chatbotem, w polach formularzy albo w danych treningowych pojawiają się:
- imię, nazwisko, adres, telefon, e-mail,
- historia zamówień,
- dane finansowe,
- dane dotyczące zdrowia lub alergii,
dochodzi do przetwarzania danych osobowych. Firma powinna sprawdzić m.in.: podstawę prawną przetwarzania, zakres informacji w polityce prywatności, rolę dostawcy narzędzia, umowę powierzenia, lokalizację danych, czas przechowywania rozmów, możliwość wykorzystania rozmów do trenowania modeli oraz konieczność przeprowadzenia oceny skutków dla ochrony danych (DPIA).
Przykład: sklep z 4 różnymi zastosowaniami AI
Wyobraź sobie sklep, który jednocześnie używa:
- chatbota odpowiadającego na pytania klientów,
- generatora opisów produktów,
- systemu rekomendacji,
- wtyczki oceniającej CV kandydatów.
W takim przypadku właściciel powinien przeprowadzić cztery osobne analizy.
Chatbot
Wdrożyć informację o interakcji z AI, zweryfikować sposób przetwarzania rozmów i zapewnić możliwość kontaktu z pracownikiem.
Generator opisów
Wprowadzić obowiązkową kontrolę parametrów, instrukcji bezpieczeństwa, cen, certyfikatów i informacji o dostępności.
Rekomendacje
Ustalić, czy system wykorzystuje dane osobowe, profilowanie albo informacje pochodzące z zewnętrznych sieci reklamowych.
Rekrutacja
Zapytać dostawcę o klasyfikację systemu i sposób nadzoru człowieka — od 2 grudnia 2027 r. mogą obowiązywać wymagania dla systemów wysokiego ryzyka.
Checklista 6 kroków dla właściciela sklepu
- Zinwentaryzuj wszystkie miejsca, w których sklep wykorzystuje AI (chatbot, generatory, rekomendacje, rekrutacja, ceny)
- Dla każdego zastosowania określ ryzyko według AI Act (minimalne / ograniczone / wysokie / zakazane)
- Ustal swoją rolę — czy jesteś wyłącznie podmiotem wdrażającym, czy udostępniasz rozwiązanie pod własną marką (dostawca)
- Sprawdź dane wejściowe — czy do systemu trafiają dane klientów, pracowników, kandydatów albo informacje poufne
- Zweryfikuj dostawcę: opis systemu, warunki wykorzystania danych, podwykonawcy, lokalizacja przetwarzania, funkcje przejrzystości, procedura zgłaszania incydentów
- Wdroż komunikaty o interakcji z AI i przeszkol zespół (obowiązek AI literacy z art. 4)
Kary i realne skutki
Maksymalne poziomy kar zależą od rodzaju naruszenia. W przypadku zakazanych praktyk mogą sięgać do 35 mln euro albo 7% całkowitego światowego rocznego obrotu. W przypadku innych naruszeń maksymalny próg może wynosić do 15 mln euro albo 3% obrotu. Dla MŚP stosowany jest niższy z odpowiednich progów.
Nie oznacza to, że brak jednego komunikatu przy chatbocie automatycznie doprowadzi do kary w maksymalnej wysokości — przy ocenie uwzględniane są m.in. charakter, waga i czas trwania naruszenia. Wysokie kary nie powinny jednak odwracać uwagi od bardziej prawdopodobnych skutków źle wdrożonego systemu:
- reklamacje klientów,
- błędne zamówienia,
- utrata danych,
- naruszenia RODO,
- utrata zaufania i reputacji.
Co dalej?
Korzystasz z chatbota, generatora treści, automatycznych rekomendacji albo narzędzi AI połączonych z WooCommerce, PrestaShop lub systemem CRM? Audyt wdrożenia powinien objąć nie tylko samą wtyczkę, ale również przepływ danych, konfigurację strony, komunikaty dla użytkownika, umowy z dostawcami oraz procedury kontroli odpowiedzi.
Najczęściej zadawane pytania
- AI Act może dotyczyć każdego sklepu używającego systemów AI, ale zakres obowiązków zależy od ich zastosowania. Prosty generator treści zwykle nie powoduje takich samych obowiązków jak system oceniający kandydatów albo zdolność kredytową.