Dla większości działów marketingu AI Act nie oznacza rewolucji, tylko kilka konkretnych obowiązków informacyjnych i porządek w dokumentacji. Rozporządzenie (UE) 2024/1689 dzieli systemy sztucznej inteligencji według ryzyka, a typowe zastosowania marketingowe, czyli generowanie tekstów, grafik, wariantów reklam czy analiza wyników kampanii, mieszczą się w kategorii ograniczonego lub minimalnego ryzyka. Obowiązki jednak są: od 2 sierpnia 2026 roku stosuje się art. 50 o przejrzystości, a od 2 lutego 2025 roku obowiązuje art. 4 o kompetencjach w zakresie AI. Poniżej lista tych obowiązków i plan wdrożenia na kwartał.
Ważne zastrzeżenie: ten tekst to przegląd praktyczny, a nie porada prawna. Przy kampaniach z deepfake’ami, profilowaniem albo danymi wrażliwymi warto skonsultować się z prawnikiem.
Co AI Act zmienia dla marketingu, a czego nie dotyczy
AI Act weszło w życie 1 sierpnia 2024 roku, ale jego przepisy zaczynają się stosować etapami. Dla marketingu liczą się cztery daty:
- 2 lutego 2025: zakazane praktyki (art. 5) i obowiązek dbania o kompetencje personelu w zakresie AI (art. 4).
- 2 sierpnia 2025: obowiązki dostawców modeli ogólnego przeznaczenia, czyli firm takich jak OpenAI, Google czy Anthropic. Dział marketingu, który korzysta z gotowego narzędzia, nie jest dostawcą modelu.
- 2 sierpnia 2026: obowiązki przejrzystości z art. 50, w tym oznaczanie deepfake’ów i informowanie, że rozmawia się z chatbotem.
- 2 grudnia 2026: koniec okresu przejściowego na techniczne znakowanie treści przez systemy, które trafiły na rynek przed 2 sierpnia 2026 roku. To obowiązek dostawców narzędzi, nie użytkowników.
Pakiet Digital Omnibus, czyli rozporządzenie (UE) 2026/1744 obowiązujące od 27 lipca 2026 roku, przesunął obowiązki dla systemów wysokiego ryzyka z załącznika III na 2 grudnia 2027 roku. Art. 50 pozostał bez zmian. W praktyce marketing rzadko dotyka kategorii wysokiego ryzyka: pojawia się ona dopiero wtedy, gdy AI ocenia kandydatów do pracy, zdolność kredytową albo rozpoznaje emocje w kontekstach wskazanych w rozporządzeniu.
AI Act nie zakazuje pisania z pomocą modelu i nie każe oznaczać każdego posta. O tym, kiedy AI w ogóle nie jest dobrym narzędziem do pisania, piszemy w tekście kiedy nie warto pisać z AI; to decyzja redakcyjna, a nie prawna.
W Polsce od 11 sierpnia 2026 roku obowiązuje ustawa z 3 lipca 2026 roku o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Tworzy ona Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jako organ nadzoru rynku, a przepisy o kontrolach i postępowaniach stosuje się od 28 października 2026 roku. Ustawa nie dokłada marketingowi nowych obowiązków merytorycznych; określa, kto i jak egzekwuje te z rozporządzenia.
Oznaczanie treści i materiałów generowanych przez model
Najwięcej pytań w zespołach budzi art. 50. Warto rozdzielić w nim obowiązki dostawców narzędzi od obowiązków podmiotów stosujących, czyli firm, które z tych narzędzi korzystają. Dział marketingu jest niemal zawsze w tej drugiej roli.
| Sytuacja | Obowiązek | Kogo dotyczy |
|---|---|---|
| Chatbot na stronie lub w komunikatorze | Użytkownik musi wiedzieć, że rozmawia z AI, chyba że jest to oczywiste z kontekstu | Dostawca systemu, w praktyce także firma wdrażająca bota |
| Deepfake: realistyczny obraz, wideo lub głos osoby, miejsca czy zdarzenia | Ujawnienie, że treść została wygenerowana lub zmanipulowana | Podmiot stosujący, czyli marketing |
| Tekst publikowany, by informować opinię publiczną o sprawach interesu publicznego | Ujawnienie użycia AI, chyba że tekst przeszedł redakcję i ktoś ponosi za niego odpowiedzialność redakcyjną | Podmiot stosujący |
| Grafika, tekst lub dźwięk z generatora | Znakowanie w formacie odczytywalnym maszynowo (metadane, znak wodny) | Dostawca narzędzia |
Dla typowego bloga firmowego czy newslettera wyjątek redakcyjny ma duże znaczenie: jeśli tekst przeczytał i zatwierdził człowiek, a firma odpowiada za publikację, obowiązek ujawnienia przy tekstach informacyjnych nie powstaje. Dlatego warto mieć udokumentowany proces sprawdzania treści, taki jak opisany w poradniku fact-checking treści generowanych przez AI.
Inaczej jest z deepfake’ami. Spot z wygenerowanym głosem znanego lektora, „zdjęcie” produktu w miejscu, w którym nigdy nie był, albo wideo z cyfrowym awatarem prezesa wymagają oznaczenia. Przy treściach wyraźnie artystycznych, satyrycznych czy fikcyjnych obowiązek jest łagodniejszy: wystarczy ujawnienie w sposób, który nie psuje odbioru utworu. Informacja ma być jasna i podana najpóźniej przy pierwszym kontakcie odbiorcy z treścią.
Jak oznaczać w praktyce? Komisja Europejska opublikowała 20 lipca 2026 roku wytyczne do art. 50, a 10 czerwca 2026 roku dobrowolny kodeks praktyk dotyczący znakowania treści generowanych przez AI. Warto oprzeć się na nich, zamiast wymyślać własne formuły. Nie usuwajcie też metadanych, które dodaje generator: ich wycięcie przy eksporcie grafiki niweczy znakowanie dostawcy.
Dane osobowe i wrażliwe w promptach
AI Act nie zastępuje RODO, tylko działa obok niego. Prompt z listą klientów, fragmentem korespondencji reklamacyjnej albo danymi z CRM to przetwarzanie danych osobowych, a wysłanie go do zewnętrznego modelu często oznacza przekazanie danych dostawcy, nierzadko poza EOG. Zasady, które warto spisać:
- Do narzędzi bez umowy powierzenia nie wklejamy danych osobowych klientów ani pracowników.
- Dane wrażliwe (zdrowie, poglądy, przynależność związkowa) nie trafiają do promptów w ogóle.
- Przy wersjach firmowych narzędzi sprawdzamy, czy dane wejściowe nie są używane do trenowania modelu.
- Do testów i szkiców używamy danych zanonimizowanych lub fikcyjnych.
Podobna logika dotyczy zbierania danych z sieci do analiz konkurencji; prawne granice tego obszaru omawiamy w tekście o tym, czy scrapowanie danych do SEO jest legalne.
Osobno trzeba zwrócić uwagę na zakazane praktyki z art. 5. Marketingu dotyczą przede wszystkim dwie: techniki podprogowe lub celowo manipulacyjne, które istotnie zniekształcają decyzje odbiorcy i mogą wyrządzić mu poważną szkodę, oraz wykorzystywanie słabości wynikających z wieku, niepełnosprawności czy trudnej sytuacji ekonomicznej. Kampania, która z pomocą AI wyszukuje osoby zadłużone i podsuwa im spersonalizowany nacisk, przekracza tę granicę. Za naruszenie zakazów grozi kara do 35 mln euro lub 7% światowego obrotu.
Rejestr używanych narzędzi i wersji modeli
AI Act nie każe działowi marketingu prowadzić formalnego rejestru, jeśli nie korzysta z systemów wysokiego ryzyka. Rejestr jest jednak najtańszym sposobem, by wykazać, że firma wie, gdzie i jak używa AI, a bez niego trudno odpowiedzieć na pytanie organu nadzoru lub klienta. Wystarczy prosty arkusz z kolumnami:
- nazwa narzędzia i dostawca, plan (darmowy, zespołowy, firmowy);
- model i wersja, jeśli narzędzie ją ujawnia;
- do czego służy (teksty, grafika, wideo, głos, chatbot, analityka);
- czy przetwarza dane osobowe i na jakiej podstawie;
- czy generuje treści wymagające oznaczenia z art. 50;
- osoba odpowiedzialna i data ostatniego przeglądu.
Jeśli zespół korzysta z narzędzi do „humanizacji”, które mają ukryć pochodzenie tekstu, warto przeczytać nasz tekst o tym, co w humanizacji tekstu AI działa, a co jest mitem. Narzędzie usuwające znaki wodne z grafik wprost stoi w sprzeczności z celem art. 50.
Umowy z podwykonawcami i klauzule dotyczące AI
Agencje, freelancerzy i studia produkcyjne coraz częściej korzystają z generatorów, a odpowiedzialność za publikację spada na zleceniodawcę. W umowach i briefach warto zapisać:
- obowiązek informowania, które elementy materiału powstały z użyciem AI i jakim narzędziem;
- zakaz generowania wizerunku lub głosu realnych osób bez ich zgody i bez oznaczenia;
- zakaz wprowadzania danych osobowych zleceniodawcy do narzędzi bez umowy powierzenia;
- zachowanie metadanych i znaków wodnych w przekazywanych plikach;
- zapewnienia co do praw do materiałów i podział odpowiedzialności, gdy wygenerowany element narusza cudze prawa.
Kto w zespole odpowiada za zgodność
Art. 4 nakłada na podmioty stosujące AI obowiązek podjęcia środków, by personel miał wystarczające kompetencje w zakresie sztucznej inteligencji. Digital Omnibus przeformułował ten przepis, ale go nie usunął. W praktyce oznacza to szkolenie dostosowane do roli: copywriter musi wiedzieć, kiedy tekst wymaga redakcji i jak sprawdzać fakty, grafik, kiedy obraz staje się deepfake’iem, a specjalista od automatyzacji, czego nie wolno wysyłać do API.
Dobrze działa podział na trzy role: właściciel rejestru narzędzi (często szef marketingu lub marketing operations), osoba zatwierdzająca materiały z AI przed publikacją (redaktor prowadzący) oraz kontakt z działem prawnym lub inspektorem ochrony danych. W małym zespole może to być jedna osoba.
Za naruszenie obowiązków przejrzystości z art. 50 rozporządzenie przewiduje kary do 15 mln euro lub 3% światowego obrotu, a dla MŚP stosuje się niższą z tych kwot. W Polsce nakładać je będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji.
Checklista wdrożeniowa na jeden kwartał
Poniższy plan to nasza propozycja kolejności, a nie wymóg z rozporządzenia. Zakłada zespół, który już korzysta z AI i chce uporządkować sytuację w ciągu trzech miesięcy.
Miesiąc 1: inwentaryzacja
- Zbierzcie od wszystkich członków zespołu i podwykonawców listę używanych narzędzi AI, także darmowych i prywatnych kont.
- Załóżcie rejestr narzędzi z kolumnami opisanymi wyżej.
- Oznaczcie narzędzia, które generują obraz, wideo lub głos realistycznych osób, oraz chatboty kontaktujące się z klientami.
- Sprawdźcie, czy któreś zastosowanie nie dotyka danych wrażliwych lub grup szczególnie podatnych.
Miesiąc 2: zasady i umowy
- Spiszcie jednostronicową politykę użycia AI w marketingu: co wolno, czego nie, kto zatwierdza.
- Ustalcie standard oznaczania deepfake’ów i komunikat chatbota, korzystając z wytycznych Komisji do art. 50.
- Zaktualizujcie wzory umów i briefów dla agencji i freelancerów.
- Przejdźcie na firmowe wersje narzędzi tam, gdzie w promptach pojawiają się dane klientów.
Miesiąc 3: proces i szkolenie
- Wprowadźcie krok redakcji i fact-checkingu do procesu publikacji treści tworzonych z AI.
- Przeprowadźcie krótkie szkolenie dla każdej roli i zapiszcie, kto w nim uczestniczył.
- Wyznaczcie osobę odpowiedzialną za przegląd rejestru raz na kwartał.
- Zróbcie przegląd opublikowanych materiałów z ostatniego półrocza pod kątem deepfake’ów bez oznaczenia.
Pełny tekst rozporządzenia jest dostępny w serwisie EUR-Lex; przy wątpliwościach warto sięgnąć bezpośrednio do art. 4, 5 i 50.
FAQ
Czy każdy tekst napisany z pomocą AI trzeba oznaczać?
Nie. Obowiązek ujawnienia dotyczy tekstów publikowanych w celu informowania opinii publicznej o sprawach interesu publicznego i nie powstaje, jeśli tekst przeszedł redakcję, a ktoś ponosi za niego odpowiedzialność redakcyjną. Typowy wpis firmowy sprawdzony przez redaktora nie wymaga oznaczenia.
Czy grafika produktowa z generatora wymaga etykiety „wygenerowano przez AI”?
Jeśli nie przedstawia realnych osób, miejsc czy zdarzeń w sposób, który mógłby uchodzić za autentyczny, zwykle nie jest deepfake’iem w rozumieniu art. 50. Techniczne znakowanie w metadanych to obowiązek dostawcy narzędzia; po stronie marketingu warto go po prostu nie usuwać.
Od kiedy obowiązuje oznaczanie deepfake’ów?
Od 2 sierpnia 2026 roku. Digital Omnibus nie przesunął tego terminu; okres przejściowy do 2 grudnia 2026 roku dotyczy tylko technicznego znakowania przez dostawców systemów, które były na rynku przed sierpniem 2026 roku.
Kto w Polsce kontroluje przestrzeganie AI Act?
Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, powołana ustawą z 3 lipca 2026 roku o systemach sztucznej inteligencji. Przepisy o kontrolach i postępowaniach stosuje się od 28 października 2026 roku.
Czy mała agencja też musi szkolić pracowników z AI?
Tak, art. 4 dotyczy wszystkich podmiotów stosujących systemy AI, niezależnie od wielkości. Nie wymaga jednak certyfikatów; wystarczą środki proporcjonalne do tego, jak zespół korzysta z narzędzi, najlepiej udokumentowane.