AI Act, 2 sierpnia 2026 r. i Digital Omnibus: timeline dla polskich firm

Art. 50 AI Act dzieli się na cztery podobowiązki, z których każdy może dotyczyć firmy wdrażającej voicebota:

50 ust. 1, Dostawcy systemów AI, które mają bezpośrednio wchodzić w interakcję z osobami fizycznymi (chatboty, voiceboty, asystenci cyfrowi): obowiązek zapewnienia, że system informuje użytkownika, iż rozmawia z AI, chyba że jest to oczywiste z kontekstu.

50 ust. 2, Dostawcy GPAI generujących syntetyczne audio/video/obrazy/tekst: obowiązek oznaczenia wyników w formacie maszynowo czytelnym (np. watermark). Dla voicebotów generujących mowę, dotyczy silników TTS, nie pojedynczego wdrożenia.

50 ust. 3, Deployerzy systemów rozpoznawania emocji lub kategoryzacji biometrycznej: obowiązek informowania osób, których dane są przetwarzane (zgodnie z RODO). Dla typowego voicebota SMB (tylko mowa, nie rozpoznawanie emocji), zwykle nie dotyczy.

50 ust. 4, Deployerzy generatorów deepfake lub syntetycznych tekstów informacyjnych: obowiązek oznaczenia treści jako wygenerowanych przez AI. Dla voicebotów obsługujących klientów zwykle nie dotyczy. Dla firm tworzących generowane przez AI podcasty lub artykuły, owszem.

Dla voicebotów konwersacyjnych w polskim SMB praktyczny wymóg wynikający z art. 50: przy każdym pierwszym kontakcie agent musi jasno zadeklarować, że jest systemem AI (np. „Dzień dobry, mówi asystent AI firmy X”), przed rozpoczęciem właściwej obsługi rozmowy. Art. 50 ust. 5 AI Act wymaga, by informacja była przekazana „w sposób jasny i wyraźny”, najpóźniej w momencie pierwszej interakcji, dlatego najlepszą praktyką jest otwarcie rozmowy deklaracją AI.

Dostawca voicebota (w terminologii AI Act: „provider”), firma, która wdraża voicebota i udostępnia go klientowi (np. odbierze.ai). Dla dostawców art. 50 wymaga:

(1) Technicznej implementacji deklaracji AI w każdej rozmowie. Konfiguracja scenariusza musi zaczynać każdą rozmowę od oznaczenia. Brak tej konfiguracji oznacza brak zgodności wbudowanej w konfigurację systemu.

(2) Dokumentacji technicznej systemu AI. Opis co robi, na jakich modelach jest oparty (LLM, TTS, ASR), jakie dane przetwarza, jak można wyłączyć. Nie musi być publikowana, ale musi być dostępna na żądanie organu nadzorczego.

(3) Mechanizmu eskalacji do człowieka na żądanie użytkownika. To dobra praktyka operacyjna i element zarządzania ryzykiem; art. 50 sam w sobie koncentruje się na jasnej informacji, że rozmówca wchodzi w interakcję z AI.

(4) Monitoringu zgodności. Dostawca musi rejestrować (w sposób audytowy), że deklaracja AI faktycznie padła w każdej rozmowie. Nagrania lub transkrypty z dowodem.

(5) Po 2 sierpnia 2026 r., w razie kontroli właściwego organu nadzoru AI Act (w Polsce projektowana KRiBSI, po jej utworzeniu) oraz UODO w zakresie RODO, możliwość przedstawienia dokumentów i próby losowej rozmów z dowodem zgodności.

W odbierze.ai wszystkie te punkty realizujemy w standardzie pakietu od lutego 2026 r., na długo przed deadline'em. Dokumentacja techniczna jest udostępniana klientom w pakiecie ENTERPRISE; dla LITE/GROWTH, na żądanie.

Deployer w AI Act to firma, która w swojej działalności korzysta z systemu AI, czyli klient odbierze.ai (klinika, kancelaria, warsztat). Obowiązki deployera:

(1) Weryfikacja zgodności dostawcy. Deployer nie jest zwolniony z odpowiedzialności, musi sprawdzić, że dostawca spełnia wymagania (w DPA, w dokumentacji technicznej). Klient odbierze.ai dostaje tę dokumentację w pakiecie.

(2) Praktyczna realizacja informacji o AI. Art. 50 ust. 1 AI Act nakłada obowiązek techniczny PRZEDE WSZYSTKIM na dostawcę (provider): system musi być zaprojektowany tak, by informował rozmówcę o interakcji z AI. Deployer odpowiada za prawidłowe użytkowanie skonfigurowanego systemu (zgodnie z art. 26 AI Act, deployer obligations) i nie może tej funkcji wyłączać. UWAGA: gdy voicebot prowadzi rozpoznawanie emocji lub kategoryzację biometryczną (art. 50 ust. 3) lub generuje deepfake/syntetyczne treści informacyjne (art. 50 ust. 4), osobny obowiązek informacyjny ciąży wprost na deployerze.

(3) Dokumentacja wewnętrzna. Deployer powinien prowadzić rejestr używanych systemów AI (tzw. AI inventory). Dla firmy z jednym voicebotem wystarczy prosta tabela w Excelu. Dla korporacji z wieloma systemami AI (voicebot, chatbot, AI w CRM) potrzebny jest pełny rejestr.

(4) Szkolenie pracowników (art. 4 AI literacy, obowiązuje od 2 lutego 2025 r.). Personel deployera musi wiedzieć, czym jest voicebot, co robi, jak go wyłączyć, jak obsłużyć eskalację. Podstawowe szkolenie 1–2h wystarczy.

(5) Mechanizm skarg. Jeśli klient końcowy skarży się na rozmowę z AI (niezadowolenie, nieprawidłowość), deployer musi mieć procedurę. W kontrakcie z dostawcą dobrze ten obowiązek doprecyzować.

Komisja Europejska pracuje równolegle nad dwoma dokumentami doprecyzowującymi art. 50 AI Act. Łatwo je pomylić, mają jednak różne zakresy:

(a) Code of Practice on marking and labelling AI-generated content dotyczy art. 50 ust. 2 i 4, czyli obowiązku oznaczania treści generowanych przez AI (deepfake, syntetyczne audio, tekst). Pierwszy draft, grudzień 2025 r. Kolejna iteracja, maj 2026 r. To dobrowolny standard adresowany przede wszystkim do dostawców GPAI i generatorów treści, nie do typowego voicebota obsługowego.

(b) Draft wytycznych ws. obowiązków transparencji (guidelines on the implementation of the transparency obligations) dotyczy art. 50 ust. 1, czyli obowiązku informowania, że rozmówca wchodzi w interakcję z AI. To dokument bezpośrednio relewantny dla voicebotów i chatbotów. KE opublikowała draft 7 maja 2026 r.; finalna wersja spodziewana przed 2 sierpnia 2026 r.

Żaden z tych dokumentów nie jest prawem, ale oba będą ważnym punktem odniesienia dla regulatorów, prawników i audytorów przy ocenie, czy informowanie o AI i oznaczanie treści są wykonane rzetelnie. Firmy, które wybiorą własną ścieżkę, też mogą być zgodne, muszą jednak umieć pokazać, dlaczego ich rozwiązanie spełnia cel art. 50: jasną, zrozumiałą i realnie zauważalną informację o AI.

Rekomendacja dla polskiego SMB obsługującego voicebota: monitoruj draft wytycznych KE ws. art. 50 ust. 1 (publikacja 7 maja 2026 r.) jako bezpośredni punkt odniesienia dla swojego wdrożenia. Code of Practice dla art. 50 ust. 2 i 4 sprawdź tylko, jeśli generujesz materiały AI poza rozmową (np. AI-podcasty, syntetyczne nagrania marketingowe).

Draft wytycznych dla art. 50 ust. 1 wskazuje pięć praktycznych elementów: (1) jasna i widoczna deklaracja AI na początku interakcji, (2) użycie standardowych terminów („chatbot”, „asystent AI”, „voicebot”), (3) możliwość przełączenia do człowieka na żądanie, (4) konsekwentne stosowanie deklaracji we wszystkich kanałach (telefon, web, mobile), (5) retencja dowodów zgodności.

Art. 99 AI Act dzieli kary na trzy poziomy:

Poziom 1, zakazane praktyki (art. 5): do 35 mln EUR lub 7% globalnego obrotu. Dotyczy najpoważniejszych naruszeń (manipulacja, social scoring, biometryka czasu rzeczywistego). Voiceboty konwersacyjne w typowym SMB, prawie niemożliwe, żeby wpaść w tę kategorię.

Poziom 2, inne naruszenia obowiązków (w tym art. 50): do 15 mln EUR lub 3% globalnego obrotu. To jest poziom istotny dla voicebotów, jeśli agent nie zadeklaruje się jako AI lub nie ma mechanizmu eskalacji.

Poziom 3, błędne informacje organowi nadzorczemu: do 7,5 mln EUR lub 1% globalnego obrotu.

Dla polskiego SMB (obrót kilkuset tys. – kilku mln PLN) absolutne kwoty są teoretyczne, 3% × 3 mln PLN = 90 000 PLN. Realne pierwsze kary po wejściu art. 50 w życie mogą być niższe niż maksymalne widełki; kwoty trudno przewidzieć przed uchwaleniem polskiej ustawy krajowej i rozpoczęciem praktyki KRiBSI. Ale liczy się ryzyko reputacyjne, firma z karą za AI trafia do mediów.

Najbardziej prawdopodobny scenariusz w Polsce (po uchwaleniu ustawy krajowej i rozpoczęciu działalności KRiBSI): kontrole UODO w zakresie RODO, UKE w zakresie PKE (art. 398), UOKiK w zakresie zbiorowych interesów konsumentów, a KRiBSI, w zakresie samego AI Act. Pierwsze kontrole prawdopodobnie ukierunkowane na voiceboty medyczne (art. 9 RODO + AI Act) i outbound (PKE art. 398 + AI Act art. 50).

Praktyczna, 10-krokowa checklista dla polskiej firmy z voicebotem. Każdy punkt to ~1h pracy.

1. Weryfikacja deklaracji AI w każdej rozmowie. Odsłuchaj 10 losowych nagrań, czy agent zaczyna od „Dzień dobry, mówi asystent AI...”. Jeśli nie, pierwszy priorytet.

2. Mechanizm eskalacji. Przetestuj frazy: „proszę o człowieka”, „proszę recepcję”, „proszę rozmawiać z kimś z firmy”. Czy agent natychmiast eskaluje? Dokumentuj wynik testu.

3. Rejestr używanych systemów AI (AI inventory). Zestaw prostej tabeli: nazwa systemu, cel, dostawca, model LLM, data rozpoczęcia użycia, odpowiedzialny pracownik. Excel wystarczy.

4. Szkolenie zespołu (art. 4). 60-minutowe szkolenie: czym jest voicebot, co robi, jak eskalować, jak zareagować na skargę klienta. Udokumentuj listę obecności.

5. Przegląd DPA z dostawcą. Czy obejmuje obowiązki AI Act? Jeśli nie, aneks.

6. Procedura obsługi skarg. Jak zespół reaguje, gdy klient zgłosi „nieprawidłową rozmowę z AI”? Pisemna procedura na 1 stronę.

7. Weryfikacja dokumentacji technicznej dostawcy. Czy masz dostęp do opisu systemu (modele, dane, ograniczenia)? U nas tak, udostępniamy w pakiecie.

8. Testy jakości obsługi w różnych grupach rozmówców. Art. 10 AI Act (data governance, bias) dotyczy formalnie tylko systemów wysokiego ryzyka. Dla limited-risk voicebota art. 10 to dobra praktyka, nie obowiązek. Mimo to warto: test 20 losowych rozmów, weryfikacja jakości rozpoznawania mowy i sentymentu dla seniorów, osób z akcentem, osób niesłyszących (z ograniczeniem). Dla voicebotów w rekrutacji (Załącznik III pkt 4) art. 10 ma zastosowanie wprost.

9. Retencja dokumentacji. Transkrypty z deklaracją AI przechowuj minimum 12 miesięcy jako dowód zgodności. Dla voicebotów medycznych, do 5 lat.

10. Monitorowanie wytycznych KE. Po publikacji finalnych wytycznych ws. art. 50 ust. 1 (spodziewane przed 2 sierpnia 2026 r.) sprawdź, czy Twoje wdrożenie spełnia ich wymogi. Code of Practice dla art. 50 ust. 2 i 4 sprawdź tylko, jeśli generujesz oddzielne materiały AI poza rozmową. W razie luk dodaj brakujące punkty i udokumentuj decyzję.

Nasze zobowiązania wobec klientów przed deadline'em:

(1) Każde wdrożenie od lutego 2026 r. ma standardowo skonfigurowaną deklarację AI na otwarciu rozmowy (przed rozpoczęciem właściwej obsługi). Dla wdrożeń sprzed lutego 2026 r., aktualizacja scenariusza bez dodatkowej opłaty do 2 sierpnia 2026 r.

(2) Dokumentacja techniczna systemu (opis modeli, danych, przebiegu rozmowy) dostarczana w pakiecie ENTERPRISE; dla LITE/GROWTH, na żądanie w 1–2 dni robocze.

(3) DPA z klauzulą AI Act wchodzi jako standard od kwietnia 2026 r. Klienci z starszymi DPA, aneks w pakiecie, bez opłaty.

(4) Szkolenie zespołu klienta, 60-minutowa sesja online w pakiecie GROWTH/ENTERPRISE. Dla LITE, materiały PDF + FAQ.

(5) Po publikacji finalnych wytycznych KE ws. art. 50 ust. 1 (spodziewane przed 2 sierpnia 2026 r.) analiza, który paragraf dotyczy każdego wdrożenia, aktualizacja konfiguracji, raport do klienta.

(6) Po 2 sierpnia 2026 r., na żądanie klienta przygotujemy komplet dokumentacji zgodności zawierający: próbki nagrań z deklaracją AI, dziennik eskalacji, DPA wraz z klauzulą AI Act, listę podprocesorów oraz dokumentację techniczną. W razie kontroli UODO lub właściwego organu nadzoru AI Act klient ma pełen materiał dowodowy w ręku w ciągu 24 godzin.