Pakiet operacyjny artykułu 50

Po co ten pakiet

Robimy narzędzie do compliance. Sami dowozimy w nim funkcje AI i sprzedajemy firmom w UE. Więc kiedy 2 sierpnia 2026 artykuł 50 EU AI Act zaczął obowiązywać, nie był dla nas abstrakcyjnym przepisem. Był zepsutą niedzielą.

Przeczytaliśmy za Ciebie rozporządzenie, finalne wytyczne Komisji i nowy Code of Practice on Transparency of AI-generated Content, więc nie musisz zaczynać od pustej kartki. I tu niespodzianka: artykuł 50 to jedna z rozsądniejszych części całego AI Act. Obowiązki są wąskie. Wyjątki mają sens. A prawie wszystko da się czysto przełożyć na kształt pracy, który lubimy najbardziej: kontrola, dowód i właściciel.

Tym właśnie jest ten pakiet. Nie analizą prawną (nie jesteśmy prawnikami i pewnie odetchniesz, że sami o tym wiemy). To operacyjne tłumaczenie: co naprawdę dotyczy typowej małej firmy software'owej, co z tym zrobić i co trzymać w dokumentach, żeby dało się później pokazać swoją robotę.

Wersja pięciominutowa

2 sierpnia 2026 artykuł 50 EU AI Act zaczął obowiązywać. Jeśli Twój produkt rozmawia z użytkownikami przez AI albo generuje tekst, obrazy, audio lub wideo, a korzysta z niego ktokolwiek w UE, część tych obowiązków już Cię dotyczy. Siedziba firmy nie ma znaczenia. Jeśli efekty trafiają przed oczy ludzi w UE, przepis Cię obejmuje.

Cały artykuł sprowadza się do jednej zasady: ludzie nie powinni brać AI za człowieka ani treści z AI za prawdziwe. Potraktuj to jak skład na etykiecie, tylko dla AI. Nikt nie zakazuje produktu. Chodzi po prostu o etykietę na słoiku.

Sześć konkretów operacyjnych, czyli sześć sekcji tego pakietu:

1. Ujawnianie interakcji: mów ludziom, kiedy rozmawiają z AI.
2. Znakowanie i wykrywalność: wygenerowane treści dostają znacznik czytelny dla maszyn, a Ty testujesz, czy przeżywa.
3. Decyzje o oznaczaniu: deepfake'i i niektóre teksty pisane przez AI dostają widoczną etykietę.
4. Ludzka weryfikacja redakcyjna: wyjątek, dzięki któremu sprawdzone przez człowieka teksty nie potrzebują etykiety.
5. Zgodność z Kodeksem albo środki własne: wybierz ścieżkę i zapisz decyzję.
6. Ponowna ocena, kiedy coś się zmienia: sprawdzasz po każdej zmianie, a nie dlatego, że kalendarz każe.

A teraz uczciwe sprawdzenie zakresu, którego większość poradników Ci oszczędzi: w typowym B2B SaaS w praktyce stosują się zwykle tylko punkty 1 i 2. Punkty 3 i 4 robią się istotne, jeśli marketing publikuje teksty pisane z pomocą AI. To wszystko. Fragmenty, które brzmią najgroźniej (rozpoznawanie emocji, kategoryzacja biometryczna), są poza zakresem niemal każdej firmy software'owej, z jaką rozmawiamy.

Dwie daty do zapamiętania:

• 2 sierpnia 2026: artykuł 50 już obowiązuje.
• 2 grudnia 2026: kończy się okres przejściowy dla jednego konkretnego obowiązku (znakowanie wygenerowanych treści w formie czytelnej dla maszyn) i tylko dla systemów, które były na rynku przed 2 sierpnia 2026. Treści wygenerowanych przed 2 sierpnia nie trzeba oznaczać wstecz.

Kary mogą sięgnąć 15 milionów euro albo 3% rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa; dla MŚP zasada działa w drugą stronę: liczy się niższa. Egzekwowaniem zajmują się krajowe organy nadzoru rynku. To jedyne spokojne zdanie o karach, jakie od nas usłyszysz. Strach to nie jest strategia compliance.

Krok 0: czy to w ogóle Cię dotyczy?

Zanim cokolwiek zrobisz, ustal, w jakiej roli występujesz. Artykuł 50 rozdziela obowiązki między dwie role i to właśnie ich mylenie generuje najwięcej niepotrzebnej pracy.

Dostawca. Zbudowałeś system AI (albo ktoś zbudował go dla Ciebie) i wypuszczasz go pod własną nazwą lub marką. Ważny niuans dla founderów SaaS: jeśli osadzasz w produkcie cudzy model (OpenAI, Anthropic, Google, obojętnie czyj) i firmujesz go własną marką, niemal na pewno jesteś dostawcą tego systemu AI. "Ale to nie mój model" nie przenosi obowiązków wyżej. Twój szyld, Twoje obowiązki.

Podmiot stosujący. Używasz systemu AI w swojej firmie. Marketing pisze posty w ChatGPT? Podmiot stosujący. Support pracuje na narzędziu AI, które zbudował ktoś inny? Podmiot stosujący.

Większość małych firm software'owych gra obie role naraz: dostawcy funkcji AI we własnym produkcie i podmiotu stosującego narzędzia, z których zespół korzysta na co dzień. To normalne. Znaczy tylko tyle, że triaż robisz dwa razy.

Teraz rozpisz cztery obowiązki na dwie role:

• Artykuł 50(1), ujawnianie interakcji. Obowiązek dostawcy. Chatboty, asystenci i interfejsy głosowe w Twoim produkcie muszą mówić ludziom, że są AI.
• Artykuł 50(2), znakowanie czytelne dla maszyn. Obowiązek dostawcy. Generowane treści (tekst, obraz, audio, wideo) muszą nosić znacznik, po którym maszyny poznają, że są syntetyczne.
• Artykuł 50(3), rozpoznawanie emocji i kategoryzacja biometryczna. Obowiązek podmiotu stosującego. Jeśli używasz takich systemów wobec ludzi, musisz ich o tym poinformować. Dla niemal każdej firmy SaaS: nie dotyczy. A jeśli Ciebie dotyczy, zamknij ten PDF i zadzwoń do prawnika. Mówimy to życzliwie.
• Artykuł 50(4), widoczne oznaczanie. Obowiązek podmiotu stosującego. Deepfake'i dostają widoczną etykietę. Tekst z AI publikowany po to, żeby informować opinię publiczną w sprawach interesu publicznego, też, chyba że przeszedł ludzką weryfikację redakcyjną (sekcja 4 tego pakietu).

Typowy triaż w B2B SaaS, zrobiony uczciwie:

• Chatbot w supporcie albo w produkcie: tak, 50(1) dotyczy.
• Funkcje generatywne w produkcie: tak, 50(2) dotyczy.
• Teksty marketingowe i blogowe pisane z pomocą AI: 50(4) może dotyczyć, ale weryfikacja redakcyjna w praktyce zamyka temat.
• Rozpoznawanie emocji albo kategoryzacja biometryczna: niemal na pewno nie.

Spisz ten triaż i opatrz go datą. Notatka na jedną stronę. To Twój pierwszy dowód i dokument, do którego będą wracać wszystkie późniejsze decyzje.

Sekcja 1: ujawnianie interakcji

Co mówi prawo, po ludzku

Jeśli ktoś mógłby w dobrej wierze sądzić, że rozmawia z człowiekiem, musisz mu powiedzieć, że to AI. Wyjątek: kiedy i tak to widać. Tyle że poprzeczka dla "widać" to osoba rozsądnie poinformowana, spostrzegawcza i uważna, oceniana w konkretnym kontekście. Awatar robota i zabawna nazwa bota mogą nie wystarczyć. Interfejs głosowy nie wystarcza prawie nigdy.

Komunikat ma być jasny, łatwy do odróżnienia i podany najpóźniej przy pierwszej interakcji. Nie w paragrafie 14 regulaminu. W momencie, w którym zaczyna się rozmowa.

Co konkretnie zrobić

1. Zinwentaryzuj każdy punkt styku człowieka z AI. Widżet supportu, asystent w produkcie, bot onboardingowy, interfejs głosowy, każda automatyzacja mailowa, która prowadzi rozmowę, a nie tylko wysyła powiadomienia. Spisz listę i opatrz ją datą.
2. Napisz komunikat. Jedno uczciwe zdanie bije akapit prawniczego żargonu. "Rozmawiasz z asystentem AI." Tyle. I nie zmiękczaj go tak długo, aż przestanie cokolwiek znaczyć.
3. Pokaż go przy pierwszej interakcji. W samym oknie czatu, przed pierwszą wiadomością albo razem z nią. Na widoku, nie w dymku po najechaniu kursorem.
4. Jeśli gdziekolwiek korzystasz z wyjątku "przecież to oczywiste", zapisz dlaczego. Decyzji bez spisanego uzasadnienia będziesz kiedyś bronić od nowa, pod presją i pewnie w najgorszym możliwym momencie.

Sekcja 2: znakowanie i wykrywalność

Co mówi prawo, po ludzku

Jeśli Twój system generuje syntetyczne audio, obrazy, wideo lub tekst, wyniki muszą nosić znacznik czytelny dla maszyn, tak żeby narzędzia mogły wykryć, że treść została wygenerowana lub zmanipulowana przez AI. To nie to samo co widoczna etykieta. Znacznik może być dla ludzi niewidoczny; chodzi o to, żeby znalazły go maszyny. To obowiązek dostawcy.

Dostępne techniki: standardy metadanych (C2PA content credentials stają się domyślnym wyborem), watermarking i fingerprinting. Prawo wymaga rozwiązań skutecznych, interoperacyjnych, solidnych i niezawodnych na tyle, na ile to technicznie wykonalne, z wyraźnym uwzględnieniem typu treści, kosztów i stanu techniki. Po ludzku: nikt nie oczekuje watermarków nie do zdarcia. Oczekują poważnej, udokumentowanej próby.

Dwa przydatne wyjątki: systemy, które tylko pomagają w zwykłej edycji (korektor gramatyki to nie fabryka deepfake'ów i prawo o tym wie), oraz systemy, które nie zmieniają istotnie materiału wejściowego.

Pytanie, które zadaje każdy founder

"Buduję na GPT, Claude albo Gemini. Czy dostawca modelu nie załatwia tego za mnie?"

Częściowo, czasami, i lepiej nie stawiać na to całej swojej zgodności. Jeśli wydajesz system AI pod własną marką, obowiązek leży po Twojej stronie. Znaczniki od dostawcy modelu pomagają (niektóre API do generowania obrazów już osadzają metadane C2PA), ale tylko wtedy, gdy przeżyją Twój pipeline. Zmiana rozmiaru obrazka, eksport do PDF, optymalizacja na CDN: każde z nich potrafi po cichu wyciąć metadane. Znacznik, który był w odpowiedzi API, ale zginął w buildzie, się nie liczy.

Więc: testuj. Nie zakładaj. To jest operacyjne sedno tej sekcji.

Test znakowania i wykrywalności, krok po kroku

1. Zinwentaryzuj każdą generowaną treść, jaka wychodzi z Twojego produktu. Tekst, który użytkownik eksportuje, obrazy, generowane dokumenty, PDF-y, audio. Wszystko.
2. Dla każdego typu treści ustal mechanizm znakowania. Metadane przepuszczone od dostawcy modelu, własny watermark, jedno i drugie, albo uczciwe "na razie nic".
3. Przepuść każdą treść przez prawdziwy produkcyjny pipeline i sprawdź, czy znacznik przeżył. Pobierz plik dokładnie tak, jak zrobiłby to użytkownik. Zajrzyj w metadane. Zapisz wynik, z datą i przykładowymi plikami.
4. Tam, gdzie znakowanie danego typu treści naprawdę nie jest jeszcze wykonalne, napisz krótką notatkę: co sprawdzono, dlaczego dziś się nie da i kiedy wrócisz do tematu. Udokumentowane ograniczenie wygląda lepiej niż ciche trzymanie kciuków, i przed audytorem, i przed regulatorem.

Przypomnienie o okresie przejściowym: jeśli Twój system był na rynku przed 2 sierpnia 2026, ten konkretny obowiązek stosuje się od 2 grudnia 2026. To czas na przygotowanie, nie zwolnienie z obowiązku. Cztery miesiące znikają szybko, kiedy poprawka siedzi w pipelinie eksportu.

Sekcja 3: decyzje o oznaczaniu

Znakowanie a oznaczanie, raz a dobrze

Wszyscy je mylą, więc wyprostujmy to raz a dobrze. Znakowanie (sekcja 2) jest czytelne dla maszyn, może być niewidoczne i należy do dostawcy. Oznaczanie (ta sekcja) jest widoczne dla ludzi, dotyczy miejsca publikacji i należy do podmiotu stosującego. Możesz odpowiadać za oba, za jedno albo za żadne, w zależności od tego, co budujesz i co publikujesz.

Co mówi prawo, po ludzku

Dwa obowiązki oznaczania:

• Deepfake'i. Wygenerowane lub zmanipulowane przez AI obrazy, audio lub wideo, które pokazują prawdziwe osoby, miejsca lub wydarzenia w sposób wyglądający autentycznie, muszą nosić widoczną informację, że treść wygenerowała lub zmanipulowała AI. Jeśli to część dzieła ewidentnie artystycznego, satyrycznego albo fikcji, nadal to ujawniasz, ale możesz zrobić to tak, żeby nie psuć dzieła (napisy końcowe, opis i tak dalej).
• Tekst w sprawach interesu publicznego. Wygenerowany lub zmanipulowany przez AI tekst publikowany po to, żeby informować opinię publiczną w sprawach interesu publicznego, musi ujawniać, że powstał z użyciem AI. Chyba że zweryfikował go człowiek, a odpowiedzialność redakcyjną za publikację ponosi konkretna osoba lub firma. Ten wyjątek dostaje za chwilę własną sekcję, bo to najbardziej praktyczne zdanie w całym artykule.

Drzewo decyzyjne

Dla każdej publikowanej treści powstałej z pomocą AI pytaj po kolei:

1. Czy pokazuje prawdziwe osoby, miejsca lub wydarzenia tak, że wygląda to autentycznie? Tak: widoczna etykieta, od pierwszego kontaktu, nie za kliknięciem. "Ten obraz wygenerowano z użyciem AI" wystarczy.
2. Czy to tekst, który ma informować opinię publiczną w sprawach interesu publicznego (treści newsowe, analizy, relacje)? Tak: oznacz go albo przepuść przez udokumentowaną weryfikację redakcyjną (następna sekcja).
3. Czy to Twój tekst marketingowy o własnym produkcie? Nazywanie ogłoszenia nowej funkcji "sprawą interesu publicznego" to spore nadużycie, ale granica jest naprawdę rozmyta i wolimy to przyznać, niż udawać, że jest ostra. Nasz pragmatyczny wybór domyślny: i tak przepuszczaj wszystko przez weryfikację redakcyjną. Kosztuje niewiele, poprawia teksty i sprawia, że rozmyte pytanie prawne przestaje mieć znaczenie.

Jak wygląda etykieta

Prosto, widocznie, od pierwszego kontaktu. "Ten obraz wygenerowano z użyciem AI." "Fragmenty tego nagrania wygenerowała AI." Bez eufemizmów ("cyfrowo ulepszone" to nie jest ujawnienie) i bez chowania etykiety gdzieś na dole strony.

Sekcja 4: ludzka weryfikacja redakcyjna

Najbardziej przydatny wyjątek w artykule 50

Wersja krótka: jeśli człowiek weryfikuje napisany z pomocą AI tekst przed publikacją, a odpowiedzialność redakcyjną ponosi konkretna osoba lub firma, nie musisz naklejać na ten tekst etykiety "wygenerowane przez AI".

Dlaczego to ważne: to różnica między stemplowaniem każdego wpisu na blogu napisem "napisała AI" a posiadaniem redaktora. Którego, umówmy się, dobre zespoły contentowe mają tak czy inaczej. Prawo po cichu nagradza praktykę, na której i tak powinno Ci zależeć: jest człowiek, który tekst czyta, poprawia i firmuje własnym nazwiskiem.

Haczyk, ten sam co wszędzie w compliance: weryfikacji, po której nie ma śladu, nie da się udowodnić.

Cztery kroki, żeby to działało naprawdę

1. Wskaż na piśmie osobę odpowiedzialną redakcyjnie. W małej firmie to jedno zdanie w jednostronicowej polityce. "Odpowiedzialność redakcyjną za publikowane treści ponosi [imię/rola]."
2. Zdefiniuj, co znaczy weryfikacja. Przeczytać w całości, sprawdzić fakty, sensownie zredagować, zatwierdzić. Rzut oka, zanim doparzy się kawa, się nie liczy, i dobrze o tym wiesz.
3. Prowadź log. Data, identyfikator treści, kto weryfikował, zatwierdzenie. Arkusz naprawdę wystarczy. Potwierdzenie ze znacznikiem czasu w systemie, którego i tak używasz, sprawdzi się jeszcze lepiej.
4. Trzymaj szkice, a przynajmniej diff. Możliwość pokazania, że człowiek coś realnie zmienił, to zaskakująco mocny dowód, że weryfikacja się odbyła.

Czego ten wyjątek nie robi

Nie zdejmuje z dostawcy obowiązku znakowania czytelnego dla maszyn (sekcja 2 zostaje przy tym, kto dostarcza system generujący). Nie obejmuje obrazów, audio ani wideo. Dotyczy widocznej etykiety na tekście. Stosuj go tam, gdzie naprawdę pasuje, a będzie Ci dobrze służył; naciągaj go, a przestanie.

Sekcja 5: zgodność z Kodeksem albo środki własne

Dwie drogi, jedna zapisana decyzja

Komisja opublikowała finalne wytyczne do artykułu 50, a przygotowany przez niezależnych ekspertów Code of Practice on Transparency of AI-generated Content jest już finalny. W obowiązkach znakowania i oznaczania daje Ci to dwie drogi:

Droga A: trzymaj się Kodeksu. Praktyki są rozpisane za Ciebie, regulatorzy uznają tę ścieżkę, a Twój ciężar dowodowy sprowadza się do "stosujemy Kodeks, oto mapowanie". Dla małego zespołu to zwykle mniej pracy łącznie, bo ktoś już przemyślał, jak wygląda "dobrze".

Droga B: środki własne. Całkowicie legalna. Tyle że to na Tobie leży wykazanie, że Twoje podejście daje ten sam skutek: dokumentacja tego, co robisz, i uzasadnienie, dlaczego to równoważne.

Żadna z dróg nie jest wstydem. Wstyd (przynajmniej operacyjny) to nie wybrać żadnej, co w praktyce oznacza przypadkowe wejście na drogę B, tyle że bez dokumentacji.

Co ma powstać

Notatka na jedną stronę. Która droga, dlaczego, kto zdecydował i kiedy. Droga A: krótkie mapowanie Waszych realnych praktyk na zobowiązania z Kodeksu. Droga B: uzasadnienie równoważności. Dopisz termin przeglądu, bo i wytyczne, i Kodeks będą się zmieniać.

A skoro już przy tym jesteś, naprawdę przeczytaj wytyczne Komisji. Trudno o coś bliższego sytuacji, w której regulator sam mówi, jak będzie interpretował rozmyte fragmenty. I nie kosztują ani grosza.

Sekcja 6: ponowna ocena, kiedy coś się zmienia

Stan to szum, zmiana to sygnał

Każda migawka compliance się starzeje. Triaż zrobiony w sierpniu 2026 jest aktualny dokładnie do tego wtorku, w którym ktoś bez słowa wypuści nową funkcję AI. Tak jest w każdym frameworku, z jakim pracowaliśmy, i artykuł 50 nie jest wyjątkiem.

Nasza mocna opinia po latach siedzenia w compliance: nie buduj wielkiego dorocznego rytuału przeglądowego. Zrób krótką listę wyzwalaczy. Kiedy któryś zadziała, powtórz trzydziestominutowy triaż z kroku 0. To cały proces.

Lista wyzwalaczy

• Wypuszczasz nową funkcję AI albo nowe miejsce, w którym użytkownik rozmawia z AI.
• Wymieniasz lub dodajesz model albo dostawcę AI.
• Dostawca modelu zmienia sposób znakowania generowanych treści.
• Marketing bierze do ręki nowe narzędzie generatywne.
• Wchodzisz na nowy rynek, w nowy język albo nowy kanał treści.
• Zmienia się pipeline treści lub dostarczania (nowy format eksportu, nowy CDN, nowe przetwarzanie obrazów: powtarzasz testy przeżywalności znaczników).
• Komisja aktualizuje wytyczne albo Code of Practice.
• Jeden wyzwalacz możesz wpisać do kalendarza już dziś: 2 grudnia 2026, dzień, w którym kończy się okres przejściowy znakowania dla systemów sprzed 2 sierpnia 2026.

Proces, w całości

Wyzwalacz zadziałał. Właściciel przechodzi triaż i odpowiednią sekcję checklisty. Zapisuje datę, wynik i działania. Koniec. Pół godziny, naprawdę, o ile pierwsze pełne przejście masz już za sobą.

Checklista na jednej stronie

Wydrukuj. Przypnij. Przejdź od góry do dołu.

Od PDF do praktyki

Wszystko powyżej jest celowo niezależne od narzędzi. Folder i arkusz kalkulacyjny naprawdę wystarczą, żeby przejść przez artykuł 50. Liczy się kształt pracy: deklaracja kontroli, podpięte do niej dowody, właściciel, rytm sprawdzania i historia, którą można komuś później pokazać.

Jeśli prowadzisz już SOC 2 albo ISO 27001, oprzyj się pokusie budowania osobnego silosu "compliance AI". Artykuł 50 wchodzi w maszynerię, którą już masz: dodajesz kontrole, podpinasz dowody, przypisujesz właścicieli, planujesz przeglądy. Jeden system, jeden nawyk i mniej dokumentów, które po cichu się starzeją.

A jeśli tą maszynerią jest dziś arkusz, który zaczyna trzeszczeć: dokładnie na ten problem zbudowaliśmy AuditBadger. Własne kontrole, dowody z historią wersji, obiegi dokumentów z przypomnieniami o przeglądach, potwierdzenia ze znacznikiem czasu. Sami zdobyliśmy w nim certyfikację SOC 2 Type II, zero konsultantów, i własne dowody z artykułu 50 też trzymamy w nim, bo głupio byłoby inaczej. $250 miesięcznie, stała stawka, bez dopłat za użytkownika. Jeśli Twoja praca nad compliance ląduje w tym samym przeciążonym arkuszu co wszystko inne, wpadnij zobaczyć: auditbadger.com

Uczciwe granice i co czytać dalej

Jesteśmy founderami i inżynierami, nie prawnikami. Ten pakiet to operacyjne tłumaczenie artykułu 50, nie porada prawna, i celowo opisuje typowy przypadek: małą firmę software'ową, która wydaje i używa AI w zwyczajny sposób. Jeśli używasz rozpoznawania emocji lub kategoryzacji biometrycznej, działasz gdziekolwiek w pobliżu zastosowań związanych ze ściganiem przestępstw albo naprawdę nie umiesz ocenić, czy Twoje treści "informują opinię publiczną w sprawach interesu publicznego", wydaj pieniądze na prawnika. To tańsze niż pomyłka.

Co warto przeczytać, wszystko za darmo:

• Artykuł 50, pełny tekst (EU AI Act Service Desk)
• Wytyczne Komisji o obowiązkach przejrzystości dla dostawców i podmiotów stosujących systemy AI (finalne)
• Code of Practice on Transparency of AI-generated Content
• FAQ Komisji o obowiązkach przejrzystości z artykułu 50

AuditBadger to platforma compliance dla małych zespołów, które robią SOC 2 i ISO 27001 bez działu compliance. Certyfikowaliśmy się nią sami: SOC 2 Type II, zero konsultantów. $250 miesięcznie, stała stawka. auditbadger.com