Art. 50 AI Act od 2 sierpnia 2026 r. – transparentność AI jako pierwszy realny test zarządzania sztuczną inteligencją w organizacji
2 sierpnia 2026 r. nie rozpoczyna się era „regulacji chatbotów”. Rozpoczyna się era obowiązkowej transparentności wykorzystania sztucznej inteligencji. Organizacje, które nie potrafią odpowiedzieć na pytanie „gdzie używamy AI?”, będą miały znacznie większy problem niż te, które korzystają z niej intensywnie, ale świadomie i w sposób udokumentowany.
Od 02.08.2026 obowiązują wymagania transparentności z art. 50 AI Act.
Executive Summary
2 sierpnia 2026 r. zaczyna obowiązywać kluczowy etap stosowania unijnego rozporządzenia w sprawie sztucznej inteligencji (AI Act). Dla większości przedsiębiorstw najbardziej praktycznym skutkiem tej daty są obowiązki transparentności wynikające z art. 50 – dotyczące informowania użytkowników o interakcji z systemem AI oraz oznaczania treści wygenerowanych lub zmodyfikowanych przez sztuczną inteligencję.
Kontekst prawny tego przepisu ukształtował się ostatecznie dopiero w ostatnich dniach. 20 lipca 2026 r. Komisja Europejska przyjęła finalną wersję Wytycznych w sprawie stosowania art. 50, potwierdzając jednocześnie adekwatność Kodeksu postępowania dotyczącego transparentności treści generowanych przez AI. Dzień przed publikacją tego artykułu, 24 lipca 2026 r., Prezydent RP podpisał ustawę o systemach sztucznej inteligencji, która tworzy krajowe ramy egzekwowania AI Act w Polsce – w tym nowy organ nadzoru rynku, Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI).
W tym opracowaniu patrzę na art. 50 z perspektywy, której w polskich publikacjach wciąż brakuje – perspektywy audytora systemów zarządzania. Pokazuję, dlaczego zgodność z obowiązkami transparentności nie zaczyna się od komunikatu pod chatbotem, lecz od odpowiedzi na trzy pytania: gdzie wykorzystujemy AI, kto za nią odpowiada i jakimi dowodami potrafimy to wykazać. Omawiam również niuanse finalnych Wytycznych Komisji – w tym okres przejściowy do 2 grudnia 2026 r. dla wymogu maszynowo odczytywalnego oznaczania oraz zasady dotyczące treści wygenerowanych przed 2 sierpnia – a także praktyczne znaczenie polskiej ustawy dla przedsiębiorców.
Co faktycznie wynika z art. 50 AI Act
Art. 50 bywa upraszczany do zdania „trzeba poinformować, że rozmawiasz z botem”. Rzeczywisty zakres przepisu jest szerszy i obejmuje cztery sytuacje.
Po pierwsze – interakcja człowieka z systemem AI. Dostawcy systemów przeznaczonych do bezpośredniej interakcji z ludźmi muszą zapewnić, aby użytkownik wiedział, że komunikuje się ze sztuczną inteligencją – chyba że jest to oczywiste dla rozsądnie poinformowanej osoby w danym kontekście. W praktyce dotyczy to chatbotów, voicebotów, wirtualnych asystentów i doradców.
Po drugie – maszynowo odczytywalne oznaczanie treści syntetycznych. Dostawcy systemów generatywnych, w tym modeli ogólnego przeznaczenia, mają zapewnić, aby wygenerowane lub zmodyfikowane treści (audio, obraz, wideo, tekst) były oznaczone w formacie możliwym do odczytania maszynowego i rozpoznawalne jako sztucznie wytworzone.
Po trzecie – systemy rozpoznawania emocji i kategoryzacji biometrycznej. Podmioty stosujące takie systemy muszą poinformować osoby, wobec których są one wykorzystywane.
Po czwarte – deepfake i teksty w sprawach interesu publicznego. Podmioty stosujące systemy AI generujące lub modyfikujące treści stanowiące deepfake muszą ujawnić, że treść została sztucznie wygenerowana lub zmanipulowana. Analogiczny obowiązek dotyczy publikowania tekstów wygenerowanych przez AI w celu informowania opinii publicznej o sprawach leżących w interesie publicznym – z wyjątkami dotyczącymi m.in. treści poddanych redakcyjnej weryfikacji z odpowiedzialnością człowieka.
Co istotne, obowiązki te nie są ograniczone do systemów wysokiego ryzyka. Dotyczą każdego systemu AI wykorzystywanego w jednej z czterech opisanych sytuacji. Informacje muszą być przekazywane w sposób jasny i rozróżnialny, najpóźniej w momencie pierwszej interakcji lub ekspozycji, z uwzględnieniem wymagań dostępności.
Provider czy deployer? Największy mit wokół art. 50
W wielu organizacjach pokutuje przekonanie, że art. 50 to problem producentów sztucznej inteligencji. To najczęstszy i najbardziej kosztowny błąd interpretacyjny.
AI Act rozdziela obowiązki między dostawców (providers) i podmioty stosujące (deployers). Obowiązki dotyczące informowania o interakcji oraz maszynowego oznaczania treści ciążą na dostawcach. Natomiast obowiązki dotyczące deepfake’ów, tekstów w sprawach interesu publicznego oraz systemów rozpoznawania emocji i kategoryzacji biometrycznej ciążą na podmiotach stosujących – czyli na organizacjach, które wykorzystują AI we własnej działalności.
Granica bywa przy tym cieńsza, niż się wydaje. Organizacja, która osadza cudzy model w swoim procesie obsługi klienta, publikuje wygenerowane materiały pod własną marką albo istotnie modyfikuje sposób działania systemu, nie może zakładać, że całość obowiązków „załatwił” dostawca technologii. Finalne Wytyczne Komisji Europejskiej z 20 lipca 2026 r. poświęcają rozgraniczeniu ról znaczną część swojej objętości – i właśnie dlatego każda organizacja korzystająca z generatywnej AI powinna przeprowadzić własną analizę, w których sytuacjach z art. 50 występuje i w jakiej roli.
Trzy niuanse z finalnych Wytycznych, które warto znać
Finalna wersja Wytycznych, przyjęta 20 lipca 2026 r. – niecałe dwa tygodnie przed rozpoczęciem stosowania przepisów – doprecyzowuje kilka kwestii o dużym znaczeniu praktycznym.
Okres przejściowy dla maszynowego oznaczania. Zgodnie z wstępnym porozumieniem w sprawie pakietu AI Omnibus z maja 2026 r. systemy generatywnej AI wprowadzone na rynek przed 2 sierpnia 2026 r. mają czas do 2 grudnia 2026 r. na spełnienie wymogu maszynowo odczytywalnego oznaczania z art. 50 ust. 2. To ważna informacja dla organizacji planujących wdrożenia – ale nie zwalnia ona z pozostałych obowiązków, które obowiązują od 2 sierpnia bez okresów przejściowych.
Brak retroaktywności. Treści typu deepfake (obraz, audio, wideo) wygenerowane lub zmodyfikowane przed 2 sierpnia 2026 r. nie podlegają obowiązkowi oznaczania wstecz. W finalnej wersji Wytycznych – inaczej niż w majowym projekcie – datą graniczną jest data wygenerowania treści, a nie data jej publikacji. Dla działów marketingu i komunikacji oznacza to konieczność uporządkowania archiwów i procesów: to, co zostanie wygenerowane od 2 sierpnia, wchodzi już w nowy reżim.
Status Kodeksu postępowania. Komisja potwierdziła w finalnych Wytycznych, że Kodeks postępowania dotyczący transparentności treści generowanych przez AI został oceniony jako adekwatny. Dla dostawców i podmiotów stosujących oznacza to istnienie praktycznego punktu odniesienia dla sposobu realizacji obowiązków oznaczania – wraz z komplementarnymi pracami standaryzacyjnymi, które warto śledzić.
Należy przy tym pamiętać, że Wytyczne są niewiążące – autorytatywnej wykładni AI Act może dokonać wyłącznie Trybunał Sprawiedliwości UE. W praktyce jednak organy nadzoru rynku będą się nimi kierować, dlatego stanowią one dziś najlepszy dostępny punkt odniesienia dla oceny zgodności.
Polska ustawa o systemach sztucznej inteligencji – podpisana 24 lipca 2026 r.
W dyskusjach o AI Act często pojawia się pytanie: po co Polsce osobna ustawa, skoro rozporządzenie unijne obowiązuje bezpośrednio? Odpowiedź jest prosta. Rozporządzenie nie wymaga implementacji, ale wymaga krajowych mechanizmów stosowania – organów, procedur, sankcji. I dokładnie tę funkcję pełni ustawa o systemach sztucznej inteligencji, którą 24 lipca 2026 r. podpisał Prezydent RP.
Z perspektywy przedsiębiorcy najważniejsze elementy ustawy to:
- Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – nowy, wyspecjalizowany organ nadzoru rynku. Komisja będzie mogła prowadzić postępowania i kontrole w firmach, wydawać decyzje administracyjne, nakładać kary oraz ograniczać lub wycofywać z rynku systemy niezgodne z AI Act. Jej przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję, a organizacyjnie Komisja funkcjonuje przy Ministerstwie Cyfryzacji z ustawowymi gwarancjami niezależności.
- Nowa rola Prezesa UODO – jako organu nadzoru rynku dla systemów AI wysokiego ryzyka w określonych obszarach. To sygnał, że praktyka nadzorcza w obszarze AI będzie się przenikać z praktyką ochrony danych osobowych.
- Skargi indywidualne – każdy będzie mógł zgłosić do KRiBSI naruszenie przepisów o AI. To mechanizm analogiczny do skarg z RODO i warto założyć, że – podobnie jak w przypadku RODO – znacząca część postępowań będzie inicjowana właśnie w ten sposób: przez klientów, kandydatów do pracy, byłych pracowników.
- Piaskownice regulacyjne – kontrolowane środowiska testowania rozwiązań AI pod nadzorem, z preferencyjnymi warunkami dla MŚP.
Kluczowy wniosek: polska ustawa nie powtarza AI Act. Ona uruchamia jego egzekwowanie. Od momentu jej wejścia w życie zgodność z art. 50 przestaje być deklaracją, a staje się przedmiotem możliwej kontroli, żądania informacji i oceny dowodów.
Shadow AI – największe ryzyko, którego nie widać
I tu dochodzimy do sedna problemu, które z perspektywy audytora widzę wyraźniej niż z perspektywy prawnika.
Przez lata mówiliśmy o Shadow IT: pracownicy instalowali własne aplikacje, kupowali usługi chmurowe kartą kierownika projektu, przechowywali dane poza organizacją. Dziś dokładnie ten sam mechanizm – tylko w znacznie większej skali i szybciej – dotyczy sztucznej inteligencji. Marketing korzysta z kilku generatorów obrazów. HR wspiera się AI przy selekcji CV. Dział prawny streszcza umowy w publicznym modelu językowym. Pracownicy instalują rozszerzenia AI do przeglądarek i aktywują funkcje Copilot, o których administratorzy dowiadują się ostatni.
Co więcej, AI często nie jest w ogóle „wdrażana”. Ona się w organizacji pojawia – po aktualizacji oprogramowania. Jednego dnia Outlook proponuje podsumowanie wiadomości, kilka dni później Excel oferuje analizę danych, a Teams tworzy notatkę ze spotkania. Nikt nie prowadził projektu wdrożeniowego, nikt nie zgłaszał zmiany architektury, a organizacja właśnie zaczęła korzystać ze sztucznej inteligencji. Klasyczne procesy zarządzania zmianą tego nie wychwytują.
To zjawisko – Shadow AI – jest największym praktycznym problemem zgodności z art. 50. Trudno bowiem wykazać transparentność czegoś, czego organizacja nie potrafi nawet zidentyfikować. Największym wyzwaniem nie będzie dodanie komunikatu informacyjnego. Będzie nim zidentyfikowanie wszystkich miejsc, w których taki komunikat lub oznaczenie powinny się pojawić.
Perspektywa audytora: od zgodności formalnej do operacyjnej
Od ponad dwudziestu lat uczestniczę w audytach systemów zarządzania. Zmieniały się normy, przepisy i technologie, ale jedna obserwacja pozostaje niezmienna: największym problemem organizacji nigdy nie jest brak dokumentu. Jest nim brak wiedzy o tym, jak organizacja naprawdę funkcjonuje.
Pierwszym odruchem po wejściu w życie nowych przepisów jest zwykle opracowanie kolejnej polityki. To zrozumiałe – dokument daje poczucie uporządkowania. Problem w tym, że podczas audytu bardzo szybko pada pytanie: „Proszę pokazać, gdzie ta polityka działa w praktyce”. Jeżeli organizacja nie potrafi wskazać konkretnych chatbotów, procesów HR, narzędzi marketingowych i systemów wykorzystujących AI, sama polityka nie stanowi dowodu zgodności. To właśnie różnica między zgodnością formalną a zgodnością operacyjną.
Dlatego projekt dostosowania do art. 50 powinien odwrócić klasyczną kolejność działań. Najpierw identyfikujemy rzeczywiste wykorzystanie technologii. Dopiero potem opisujemy zasady jej stosowania.
Krok pierwszy: rejestr zastosowań AI, nie rejestr produktów. Największym błędem byłoby stworzenie arkusza z listą nazw narzędzi. Sama nazwa „Microsoft 365 Copilot” nie mówi praktycznie nic. Dopiero opis zastosowań – przygotowywanie ofert, analiza korespondencji, streszczanie dokumentów, odpowiedzi dla klientów – pokazuje rzeczywisty obraz, bo każde z tych zastosowań może wiązać się z innym obowiązkiem z art. 50 i innym poziomem ryzyka. Rejestr AI powinien odpowiadać na pytanie: jakie decyzje, procesy i działania są wspierane przez sztuczną inteligencję, przez kogo i na jakiej podstawie.
Krok drugi: odpowiedzialność. Nie ma jednego uniwersalnego modelu. W mniejszych organizacjach odpowiedzialność za AI może spoczywać na członku zarządu; w większych będzie to model współdzielony między biznesem, IT, bezpieczeństwem informacji, compliance i właścicielami procesów. Ważne, aby była jasno przypisana i zrozumiała – bo to o nią w pierwszej kolejności zapyta zarówno audytor, jak i organ nadzoru.
Krok trzeci: dowody. Zgodność wykazuje się dowodami powstającymi w codziennym zarządzaniu, a nie dokumentacją tworzoną na potrzeby kontroli. Komunikaty w interfejsach, oznaczenia treści, zapisy w rejestrze, wyniki przeglądów, szkolenia – to wszystko są zapisy, które organizacja powinna umieć przedstawić bez przygotowań.
Gdzie art. 50 spotyka się z ISO/IEC 42001 i ISO/IEC 27001
Dla organizacji posiadających certyfikowane systemy zarządzania dobra wiadomość jest taka, że nie trzeba budować niczego od zera.
Norma ISO/IEC 42001 (system zarządzania sztuczną inteligencją) dostarcza gotowej ramy dla dokładnie tych elementów, których wymaga praktyczna zgodność z art. 50: inwentaryzacji systemów AI, określenia ról i odpowiedzialności, oceny skutków, nadzoru nad cyklem życia systemów oraz komunikacji z zainteresowanymi stronami. Organizacja, która wdrożyła AIMS, ma większość mechanizmów potrzebnych do wykazania zgodności z obowiązkami transparentności.
Norma ISO/IEC 27001 wnosi z kolei dyscyplinę zarządzania aktywami i ryzykiem – choć, jak pisałem w artykule o Augmented SoA, klasyczny rejestr aktywów nie odpowiada na pytanie, które modele AI uczestniczą w procesach decyzyjnych organizacji. Model AI nie jest zwykłym oprogramowaniem ani zwykłą informacją; jest nowym rodzajem aktywa, który wymaga rozszerzenia dotychczasowego podejścia. Uzupełnieniem tej układanki będzie ISO/IEC 27090 – poświęcona bezpieczeństwu AI, obecnie na etapie FDIS. Warto pamiętać, że będzie to norma o charakterze informacyjnym, niecertyfikowalna, a jej publikacja spodziewana jest w drugiej połowie 2026 r.
Relacja jest więc następująca: art. 50 wymusza transparentność, transparentność wymaga wiedzy o wykorzystaniu AI, a tę wiedzę dostarcza system zarządzania – nie pojedynczy dokument. AI Act nie pyta o dokumenty. Pyta o rzeczywistość.
10 pytań, które zarząd powinien zadać przed 2 sierpnia
- Czy wiemy, w których procesach organizacji wykorzystywana jest sztuczna inteligencja – łącznie z funkcjami AI wbudowanymi w oprogramowanie, z którego korzystamy od lat?
- Czy prowadzimy rejestr zastosowań AI i kto jest jego właścicielem?
- Które z naszych zastosowań AI wchodzą w zakres czterech sytuacji opisanych w art. 50 – i w której roli w nich występujemy: dostawcy czy podmiotu stosującego?
- Czy użytkownicy naszych chatbotów i voicebotów są informowani o interakcji z AI w sposób jasny, najpóźniej przy pierwszym kontakcie?
- Czy treści generowane przez AI i publikowane pod naszą marką – w tym materiały marketingowe – są odpowiednio oznaczane, a procesy odróżniają treści sprzed i po 2 sierpnia 2026 r.?
- Czy stosujemy systemy rozpoznawania emocji lub kategoryzacji biometrycznej, a jeśli tak – czy osoby, których dotyczą, są o tym informowane?
- Jak kontrolujemy Shadow AI: rozszerzenia przeglądarek, prywatne konta w narzędziach AI, funkcje aktywowane aktualizacjami?
- Kto w organizacji odpowiada za zgodność z AI Act i czy ta odpowiedzialność jest formalnie przypisana?
- Jakie dowody zgodności potrafimy przedstawić dziś, bez przygotowań – gdyby jutro wpłynęło żądanie informacji od KRiBSI?
- Czy nasze umowy z dostawcami rozwiązań AI regulują podział obowiązków wynikających z art. 50?
Jeżeli na większość tych pytań organizacja nie zna odpowiedzi, problem nie dotyczy pojedynczego przepisu. Dotyczy sposobu zarządzania sztuczną inteligencją jako całością.
Transparentność to dopiero początek
Historia systemów zarządzania pokazuje, że największe zmiany rzadko zaczynają się od technologii. Najczęściej zaczynają się od pytania, którego wcześniej nikt nie zadawał. ISO 9001 zmusiła organizacje do zastanowienia się nad procesami. ISO/IEC 27001 – nad informacją jako aktywem wymagającym ochrony. RODO – nad odpowiedzialnością za dane osobowe.
AI Act stawia kolejne pytanie. Nie brzmi ono: „Czy korzystacie ze sztucznej inteligencji?” – to pytanie jest dziś praktycznie bezprzedmiotowe. Brzmi ono: „Czy potraficie świadomie nią zarządzać?”
Na początku obowiązywania RODO większość organizacji koncentrowała się na klauzulach informacyjnych. Dopiero później okazało się, że prawdziwe wyzwanie dotyczyło procesów, odpowiedzialności i zarządzania danymi. Mam wrażenie, że historia właśnie zaczyna się powtarzać. Transparentność będzie pierwszym obowiązkiem. Nie ostatnim.
I dlatego pozwolę sobie na tezę, która – jestem o tym przekonany – zweryfikuje się w praktyce nadzorczej szybciej, niż wielu się spodziewa:
Największym problemem organizacji po 2 sierpnia 2026 r. nie będzie niespełnienie art. 50 AI Act. Największym problemem będzie odkrycie, że od miesięcy wykorzystują sztuczną inteligencję w miejscach, o których zarząd nie miał pojęcia.
Od odpowiedzi na to pytanie powinna rozpocząć się każda rozmowa o zgodności z AI Act – najlepiej jeszcze przed 2 sierpnia.
Bibliografia:
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (akt w sprawie sztucznej inteligencji). EUR-Lex
- European Commission. Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of the AI Act, 20 lipca 2026. Komisja Europejska
- European Commission. Code of Practice on marking and labelling of AI-generated content. Komisja Europejska
- Ustawa o systemach sztucznej inteligencji (podpisana przez Prezydenta RP 24 lipca 2026 r.) — przebieg procesu legislacyjnego, druk nr 2443. Sejm RP
- ISO/IEC 42001:2023. Information technology — Artificial intelligence — Management system. ISO.org
- ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection — Information security management systems — Requirements. ISO.org
- ISO/IEC FDIS 27090. Cybersecurity — Artificial intelligence — Guidance for addressing security threats to artificial intelligence systems. ISO.org
FAQ: Transparentność AI
Opracowanie merytoryczne:
Ekspert w zakresie systemów zarządzania ISO, cyberbezpieczeństwa, compliance i AI governance. Audytor, konsultant, trener.
Weryfikacja merytoryczna:
Ekspert w zakresie systemów zarządzania ISO, MSUES, RODO, Compliance. Audytor, konsultant, trener.