Chatboty muszą się ujawnić. Nowe obowiązki od sierpnia 2024
Od 2 sierpnia 2024 r. chatboty i systemy AI muszą się ujawnić użytkownikowi. Poznaj nowe przepisy AI Act, kary do 15 mln euro i praktyczne wytyczne dla firm.
Od 2 sierpnia 2024 r. każdy chatbot i system sztucznej inteligencji komunikujący się bezpośrednio z konsumentem musi go poinformować, że rozmawia ze sztuczną inteligencją, a nie z człowiekiem — to wymóg art. 50 unijnego AI Act, który już teraz zmienia sposób, w jaki firmy mogą obsługiwać klientów.
Dlaczego AI musi się ujawnić konsumentom?
Podstawa prawna jest jasna: dostawcy systemów przeznaczonych do bezpośredniego kontaktu z osobami fizycznymi muszą zaprojektować rozwiązanie w taki sposób, aby użytkownik wiedział, że komunikuje się ze sztuczną inteligencją. Komisja Europejska uznała, że rosnąca naturalność rozmów z botami stwarza realne ryzyko, iż klient pomyśli, że po drugiej stronie znajduje się pracownik.
Wyjątek dotyczy wyłącznie sytuacji, w których jest to oczywiste dla osoby rozsądnie poinformowanej, uważnej i ostrożnej, biorąc pod uwagę okoliczności i kontekst. Jednak firmy nie powinny opierać całego modelu zgodności na założeniu, że klient sam rozpozna nienaturalny głos lub charakterystyczny sposób formułowania odpowiedzi. Współczesne systemy generatywne potrafią analizować treść reklamacji, proponować produkty, przyjmować zgłoszenia szkód, pomagać przy składaniu wniosków kredytowych czy wyjaśniać status postępowań — rozmowy stają się coraz bardziej skomplikowane i naturalne.
Jak i kiedy firma powinna poinformować o AI?
Informacja o sztucznej inteligencji musi pojawić się najpóźniej w chwili pierwszego kontaktu lub pierwszego zetknięcia użytkownika z systemem. Nie musi przyjmować identycznej postaci w każdej usłudze:
- W czacie tekstowym: krótkie zdanie nad polem rozmowy
- W połączeniu telefonicznym: komunikat głosowy
- W urządzeniu obsługiwanym głosem: jednoznaczna informacja odtworzona przed rozpoczęciem właściwej interakcji
Komunikat nie powinien być ukryty w wielostronicowym regulaminie ani przedstawiony dopiero po zakończeniu rozmowy. Art. 50 wymaga informacji jasnej, rozpoznawalnej i dostępnej — dopasowanej również do osób z niepełnosprawnościami. W praktyce przedsiębiorca musi sprawdzić nie tylko treść komunikatu, lecz także moment jego wyświetlenia lub odtworzenia, kontrast, czytelność oraz zgodność wersji głosowej z charakterem kanału kontaktu.
Jakie kary grożą za naruszenie?
| Typ naruszenia | Maksymalna kara |
|---|---|
| Brak informacji o AI (wszystkie firmy) | Do 15 mln euro lub 3% rocznego obrotu światowego (wyższa kwota) |
| Małe i średnie przedsiębiorstwa, start-upy | Niższa z dwóch wartości (15 mln euro lub 3% obrotu) |
Ważne: są to maksymalne limity, a nie automatyczna stawka za każdy brak komunikatu. Organ regulacyjny uwzględnia charakter, wagę i czas naruszenia, liczbę poszkodowanych, skalę szkody, współpracę firmy oraz działania naprawcze.
Chatbot nie zastępuje praw konsumenta
Samo ujawnienie, że rozmowę prowadzi AI, nie legalizuje każdej praktyki. Nadal obowiązują przepisy o:
- Ochronie danych osobowych (RODO) — jeśli bot zbiera dane potrzebne do rozpatrzenia reklamacji lub rozpoznaje klienta na podstawie głosu, przedsiębiorca musi posiadać odrębną podstawę prawną przetwarzania informacji
- Prawach konsumenta — zakaz wprowadzania w błąd, obowiązek rzetelnej informacji
- Tajemnicy bankowej i poufności medycznej — jeśli dotyczy
- Zakazie dyskryminacji — AI nie może podejmować decyzji dyskryminujących
AI Act nie tworzy ogólnej zgody na wykorzystywanie danych tylko dlatego, że interakcja odbywa się automatycznie. Przedsiębiorca musi posiadać osobną, wyraźną podstawę prawną do każdego rodzaju przetwarzania informacji.
Rozwiązania hybrydowe wymagają ostrożności
Problematyczne mogą być systemy, w których rozmowę rozpoczyna bot, a następnie przejmuje ją człowiek, albo pracownik korzysta z podpowiedzi generowanych w czasie rzeczywistym. Jeśli klient początkowo komunikuje się bezpośrednio z systemem AI, powinien zostać o tym poinformowany — nawet jeśli później połączy się z pracownikiem.
Gdy sztuczna inteligencja jedynie wspiera konsultanta, lecz nie występuje wobec klienta jako samodzielny rozmówca, obowiązek z art. 50 nie musi działać w taki sam sposób. Jednak mogą powstać inne obowiązki wynikające z ochrony danych i zasad rzetelnej informacji.
Co to oznacza dla firm?
Przed 2 sierpnia 2024 r. przedsiębiorca powinien:
- Ustalić, w których punktach kontaktu system odpowiada samodzielnie, a w których wyłącznie wspiera pracownika
- Poprawić interfejs i scenariusz rozmowy — dodać komunikat o AI w odpowiednim momencie
- Zaktualizować dokumentację dostawcy — upewnić się, że system rzeczywiście informuje o sztucznej inteligencji
- Przygotować procedurę przekierowania sprawy do człowieka, jeśli wymagają tego odrębne przepisy lub charakter usługi
- Sprawdzić dostępność komunikatu dla osób z niepełnosprawnościami
Największym błędem byłoby ograniczenie zmian do dopisku w regulaminie, którego klient nie widzi podczas rozmowy. Komisja Europejska i organy nadzoru będą sprawdzać rzeczywistą praktykę — czy użytkownik faktycznie widzi lub słyszy informację o AI w momencie pierwszego kontaktu.
Wyjątki od reguły
AI Act przewiduje wąski wyjątek dla systemów wykorzystywanych zgodnie z prawem do wykrywania przestępstw, zapobiegania im, prowadzenia dochodzeń lub ścigania sprawców. Nie jest to jednak ogólne zwolnienie dla administracji ani podmiotów zajmujących się bezpieczeństwem. Warunkiem pozostaje istnienie odpowiednich zabezpieczeń praw i wolności osób trzecich.
Oddzielne reguły dotyczą systemów rozpoznawania emocji i kategoryzacji biometrycznej. Jeśli ich wykorzystanie jest dozwolone, osoby poddane działaniu takiego rozwiązania również powinny otrzymać informację. W miejscu pracy i placówkach oświatowych rozpoznawanie emocji jest co do zasady zakazane już od 2 lutego 2025 r., poza zastosowaniami uzasadnionymi względami medycznymi lub bezpieczeństwa.
Podsumowanie
Nowe przepisy AI Act to kolejny krok Unii Europejskiej w kierunku ochrony konsumentów przed manipulacją i brakiem transparentności. Dla firm oznacza to konkretne obowiązki: chatboty muszą się ujawnić, informacja musi być widoczna i dostępna, a kary za naruszenia są znaczące. Jednocześnie przepisy nie zastępują istniejących praw konsumenta — przedsiębiorcy muszą respektować RODO, zakazy wprowadzania w błąd i inne regulacje sektorowe. Firmy, które teraz przygotują się do zmian, unikną kosztownych kar i wzmocnią zaufanie klientów do swoich systemów automatycznej obsługi.
Najczęstsze pytania
Od kiedy chatboty muszą informować, że są sztuczną inteligencją?
Od 2 sierpnia 2024 r., zgodnie z art. 50 unijnego AI Act. Przepis obowiązuje wszystkie systemy przeznaczone do bezpośredniego kontaktu z użytkownikami.
Jaka jest kara za brak informacji o chatbocie?
Do 15 mln euro lub do 3% rocznego obrotu światowego firmy (w zależności, która kwota jest wyższa). Dla małych i średnich przedsiębiorstw górna granica to niższa z tych dwóch wartości.
Gdzie powinna pojawić się informacja o chatbocie?
W momencie pierwszego kontaktu — w czacie jako zdanie nad polem rozmowy, w połączeniu telefonicznym jako komunikat głosowy, w urządzeniu głosowym przed rozpoczęciem interakcji. Musi być widoczna i dostępna dla osób z niepełnosprawnościami.
Czy chatbot może zbierać dane osobowe bez zgody?
Nie. AI Act nie zastępuje RODO. Nawet jeśli chatbot się ujawni, przedsiębiorca musi mieć odrębną podstawę prawną do przetwarzania danych, np. do obsługi reklamacji czy rozpoznania klienta.
Czy pracownik wspierany przez AI musi też informować o systemie?
Jeśli AI jedynie wspiera konsultanta, a nie występuje samodzielnie wobec klienta, obowiązek z art. 50 nie musi działać w taki sam sposób. Jednak mogą powstać inne obowiązki wynikające z ochrony danych i rzetelnej informacji.
Na podstawie: Forsal.pl. Tekst opracowany redakcyjnie.