AI Act już się stosuje. Co musi zrobić voicebot

Ustęp 1 dotyczy dostawcy systemu zaprojektowanego do bezpośredniej interakcji z osobą. System ma poinformować ją, że rozmawia z AI, chyba że jest to oczywiste w danych okolicznościach dla rozsądnie uważnej osoby.

Ustęp 2 dotyczy dostawców systemów generujących syntetyczny dźwięk, obraz, wideo lub tekst. Wynik ma być oznaczony w formacie maszynowo czytelnym i możliwy do wykrycia jako wygenerowany albo zmieniony przez AI, z uwzględnieniem technicznej wykonalności i aktualnego stanu techniki.

Ustęp 3 nakłada na podmiot stosujący system rozpoznawania emocji albo kategoryzacji biometrycznej obowiązek poinformowania osób poddanych takiemu działaniu. Zwykłe rozpoznawanie treści wypowiedzi nie jest z tego powodu rozpoznawaniem emocji.

Ustęp 4 dotyczy podmiotu stosującego system między innymi do tworzenia lub zmiany treści typu deepfake oraz określonych tekstów publikowanych w celu informowania społeczeństwa o sprawach interesu publicznego. Nie jest to ogólny obowiązek oznaczania każdej notatki przygotowanej z pomocą AI.

Ustęp 5 reguluje sposób przekazania informacji: jasno, odróżnialnie, zgodnie z wymaganiami dostępności i najpóźniej przy pierwszej interakcji albo ekspozycji. W telefonie najprostszy dowód to zrozumiałe zdanie wypowiedziane na początku.

Dostawcą jest podmiot, który rozwija system albo zleca jego rozwój i wprowadza go na rynek lub oddaje do użytku pod własną nazwą albo znakiem. Podmiot stosujący używa systemu pod swoją kontrolą w działalności zawodowej.

Klient korzystający z voicebota będzie często podmiotem stosującym, ale nie wolno tego przyjąć bez sprawdzenia marki, umowy i kontroli. Agencja konfigurująca rozwiązanie nie staje się automatycznie dostawcą w każdym projekcie. Może nim być, jeśli faktyczny sposób oferowania spełnia definicję.

Jedna firma może mieć różne role wobec różnych elementów. Dostawca bazowego narzędzia, agencja, klient i operator telefonii nie przejmują automatycznie wszystkich obowiązków od siebie. Umowa powinna wskazać, kto dostarcza mechanizm, kto zatwierdza komunikat, kto testuje i kto reaguje na błąd.

Umowa powierzenia z art. 28 RODO opisuje przetwarzanie danych osobowych. Nie rozstrzyga sama z siebie, kto jest dostawcą albo podmiotem stosującym w rozumieniu AI Act.

Komisja nie narzuca jednego zdania. Przykład do dopasowania brzmi: „Dzień dobry, tu głosowy agent AI firmy X. Mogę pomóc w zmianie terminu”. Nazwa firmy, informacja o AI i rzeczywisty zakres padają przed pytaniami o sprawę.

Nie opieraj zgodności na tym, że głos brzmi sztucznie. Wyjątek dotyczący oczywistej interakcji zależy od kontekstu oraz tego, co rozumie rozsądnie uważna osoba. Krótka informacja jest prostsza do obrony niż spór o to, czy każdy rozpoznał syntezę.

Przetestuj połączenie przychodzące, wychodzące, ponowne połączenie, zmianę języka, błąd i wejście rozmówcy w słowo. Komunikat powinien nadal zostać przekazany od początku pierwszej interakcji i nie może znikać po zmianie konfiguracji.

Droga do człowieka jest ważną decyzją obsługową, ale art. 50 ust. 1 nie ustanawia samodzielnego, bezwzględnego prawa do natychmiastowego przełączenia. Opisz uczciwie, czy agent łączy, zapisuje prośbę o oddzwonienie czy podaje godziny kontaktu.

Zachowaj zatwierdzoną treść komunikatu, język, datę, wersję i osobę odpowiedzialną za akceptację. Do tego wynik testu dla każdej używanej ścieżki oraz zapis, kiedy dana wersja trafiła na produkcję.

Nie trzeba z tego powodu nagrywać każdej rozmowy. Nagranie testowe, log wersji i kontrola produkcyjna mogą być wystarczające w danym projekcie. Nagrania i transkrypty same wymagają celu, podstawy, informacji, zabezpieczeń i ustalonej retencji na gruncie RODO.

Jeżeli system wchodzi w zakres art. 50 ust. 2, potrzebny jest też opis technicznego oznaczenia syntetycznego dźwięku: metoda, zakres, ograniczenia i sposób sprawdzenia. Zwykły komunikat słowny nie zastępuje maszynowo czytelnego oznaczenia, podobnie jak ukryty znacznik nie informuje osoby przy telefonie.

Po zmianie głosu, pierwszej wypowiedzi, logiki ponownego połączenia albo języka powtórz test. Dowód starej wersji nie pokazuje, co działa obecnie.

AI Omnibus zmienił art. 4. Dostawcy i podmioty stosujące mają podejmować działania wspierające rozwój wiedzy o AI u personelu oraz innych osób obsługujących system w ich imieniu. Zakres zależy od doświadczenia, zastosowania i osób, na które system oddziałuje.

Przepis nie wyznacza 60 minut, obowiązkowego testu ani corocznej certyfikacji. Nie wymaga też zagwarantowania jednego poziomu wiedzy każdej osobie. Dowód powinien odpowiadać temu, co firma rzeczywiście zrobiła i dlaczego taki zakres pasuje do ryzyka.

Dla voicebota instrukcja może obejmować jego zakres, komunikat o AI, moment przekazania, obsługę błędu, zasady korzystania z danych i sposób zgłoszenia problemu. Osoba zatwierdzająca scenariusz potrzebuje innej wiedzy niż pracownik odbierający przekazanie.

Kanał głosowy sam nie przesądza, że system jest wysokiego ryzyka albo że nim nie jest. Liczy się zamierzony cel, funkcje i sposób użycia opisany w art. 6, załączniku I oraz załączniku III.

System używany do rekrutacji lub wyboru osób może wejść w załącznik III, na przykład gdy analizuje i filtruje podania albo ocenia kandydatów. Agent ograniczony do uzgodnienia terminu rozmowy nie staje się przez to automatycznie takim systemem.

W ochronie zdrowia trzeba oddzielić administracyjne umawianie terminu od funkcji będącej elementem bezpieczeństwa wyrobu medycznego albo wspierającej decyzję kliniczną. Dane o zdrowiu uruchamiają wymagania RODO, lecz sama szczególna kategoria danych nie nadaje automatycznie klasy wysokiego ryzyka z AI Act.

Klasyfikację zapisz przed startem i wróć do niej po rozszerzeniu zakresu. Dodanie oceny kandydata, rozpoznawania emocji lub funkcji medycznej może zmienić obowiązki, choć numer telefonu pozostaje ten sam.

Za zakazane praktyki z art. 5 maksymalny pułap wynosi 35 mln EUR albo 7% światowego rocznego obrotu przedsiębiorstwa. Za naruszenie innych obowiązków, w tym art. 50, pułap wynosi 15 mln EUR albo 3%. Za nieprawidłowe, niepełne lub wprowadzające w błąd informacje dla właściwego organu może to być 7,5 mln EUR albo 1%.

Dla przedsiębiorstwa stosuje się reguły z art. 99, a wobec MŚP niższą z wartości kwotowej i procentowej. Organ bierze pod uwagę okoliczności konkretnego naruszenia. Nie należy przedstawiać pułapu jako przewidywanej kary za jeden brak komunikatu.

Polska ustawa z 3 lipca 2026 r. wskazuje KRiBSI jako organ nadzoru rynku i pojedynczy punkt kontaktowy. Została ogłoszona 27 lipca. Ministerstwo zapowiedziało przewodniczącego w październiku i rozpoczęcie pracy Komisji w listopadzie, więc na 15 sierpnia nie należy opisywać jej jak działającego już urzędu.

RODO, PKE i ochrona konsumentów pozostają osobnymi porządkami. Jasny komunikat o AI nie naprawia braku podstawy przetwarzania, nielegalnego nagrywania ani rozmowy marketingowej bez uprzedniej zgody wymaganej przez art. 398 PKE.

Zapisz zamierzony cel systemu i role wszystkich stron. Osobno oceń art. 50 ust. 1, obowiązek technicznego oznaczania z ust. 2 oraz funkcje z ust. 3 i 4. Nie zakładaj, że komunikat głosowy zamyka cały artykuł.

Odsłuchaj początek każdej ścieżki na prawdziwym kanale. Sprawdź języki, ponowne połączenie, przerwanie, błąd oraz wersję awaryjną. Zapisz wynik, zatwierdzoną treść i datę uruchomienia.

Ustal drogę do pracownika i treść odpowiedzi, gdy nikt nie może odebrać. Sprawdź instrukcję dla zespołu na gruncie zmienionego art. 4. Nie dopisuj godzin szkolenia tylko po to, aby dokument wyglądał poważniej.

Zbierz opis technicznego oznaczenia syntetycznego dźwięku, jeśli projekt wchodzi w art. 50 ust. 2. Do 2 grudnia nie czekają nowe systemy, lecz wyłącznie systemy objęte ograniczonym przepisem przejściowym.

W odbierze.ai komunikat o AI, test otwarcia i podział odpowiedzialności ustalamy w zakresie projektu. Przetwarzanie w UE jest częścią każdego pakietu. Zakres dokumentacji, nagrywania, retencji oraz zmian po starcie zapisujemy w umowie, bez obietnicy jednego terminu dla każdej kontroli.