2 sierpnia 2026 AI Act zaczął być stosowany szerzej w całej Unii Europejskiej. To nie znaczy, że każde narzędzie AI dla marketingu albo sprzedaży nagle stało się systemem wysokiego ryzyka. Znaczy coś prostszego: jeśli dostawca bierze twoje dane, generuje treści albo ma wejść do procesu sprzedaży, powinien umieć pokazać na piśmie, jak działa pod kątem danych, bezpieczeństwa i odpowiedzialności.
Jest tu jeszcze jeden ważny szczegół dat. Obowiązki dla dostawców modeli ogólnego zastosowania, takich jak modele działające pod maską wielu narzędzi AI, ruszyły już 2 sierpnia 2025. Z kolei obowiązki przejrzystości z art. 50 AI Act, dotyczące oznaczania niektórych treści AI, stosują się od 2 sierpnia 2026. Dla kupującego wniosek jest praktyczny: przed podpisaniem umowy pytaj nie tylko o funkcje i cenę, ale też o dokumenty.
Co dokładnie sprawdzić u dostawcy
1. DPA, jeśli narzędzie przetwarza dane osobowe
Jeśli do narzędzia trafiają leady, dane klientów, historia rozmów, adresy mailowe albo pliki z danymi osobowymi, poproś o umowę powierzenia przetwarzania danych. To wymóg z RODO, nie dodatek dla dużych klientów. W dokumencie powinny być jasno opisane zakres danych, cel przetwarzania, podwykonawcy, czas przechowywania i sposób usuwania danych.
Jeśli dostawca mówi, że DPA dostaniesz dopiero po zakupie albo "zobaczymy później", zatrzymaj rozmowę.
2. Pisemną odpowiedź, co dzieje się z danymi z twojej firmy
Zapytaj wprost, czy prompty, pliki, wyniki i logi użytkowników są używane do ulepszania usługi albo dalszego trenowania modeli. Poproś o odpowiedź w regulaminie, polityce prywatności albo osobnym mailu od dostawcy. Ustna deklaracja handlowca nie wystarczy.
To nie jest to samo co wymóg AI Act dotyczący podsumowania danych treningowych modelu. Jako klient musisz ustalić osobno, czy twoje dane wejściowe zostają tylko w usłudze, czy pracują potem na rzecz dostawcy. Jeśli ten temat pojawia się w zespole poza kontrolą IT, wróć też do tekstu o shadow AI i kontroli danych.
3. Gdzie trafiają dane i na jakiej podstawie są transferowane
Dostawca powinien wskazać, gdzie są hostowane dane i logi oraz czy opuszczają Europejski Obszar Gospodarczy. Jeśli tak, poproś o podstawę transferu, na przykład standardowe klauzule umowne albo wskazanie decyzji stwierdzającej odpowiedni stopień ochrony.
Odpowiedź w stylu "mamy globalną infrastrukturę" niczego nie wyjaśnia. Przy zakupie narzędzia do CRM, kampanii albo obsługi leadów to za mało.
4. Opis zabezpieczeń i historii reagowania na incydenty
Poproś o stronę bezpieczeństwa, certyfikaty albo raporty audytowe, jeśli dostawca je ma. Interesują cię nie same logo ISO 27001 czy SOC 2, ale też konkret: szyfrowanie, kontrola dostępu, logowanie działań, kopie zapasowe i sposób informowania klientów o incydentach.
Jeśli narzędzie ma dostęp do CRM, skrzynki, call trackingu albo danych ofertowych, brak takiej dokumentacji jest sygnałem ostrzegawczym.
5. Dokumentację modelu albo API, jeśli integrujesz AI we własnym systemie
Nie każdy klient dostanie pełną dokumentację techniczną. Jeśli jednak kupujesz API, budujesz własny chatbot, asystenta sprzedaży albo automatyzację na modelu dostawcy, poproś o dokumentację opisującą możliwości i ograniczenia modelu, formaty wejścia i wyjścia, zasady użycia oraz główne ograniczenia jakościowe.
To ważne także dlatego, że AI Act nakłada na dostawców modeli ogólnego zastosowania obowiązki dokumentacyjne wobec firm, które integrują model dalej we własnym systemie. Jeśli dostawca sprzedaje API do wdrożeń, a nie umie opisać ograniczeń modelu, kupujesz w ciemno.
6. Zasady oznaczania treści generowanych przez AI
Tu łatwo o skrót myślowy. AI Act nie nakłada jednego obowiązku oznaczania na każdy tekst marketingowy. Od 2 sierpnia 2026 art. 50 obejmuje m.in. techniczne oznaczanie treści generowanych przez AI po stronie dostawcy oraz ujawnianie deepfake’ów i części publikacji tekstowych po stronie podmiotu, który je publikuje.
Dla kupującego oznacza to jedno pytanie: jakie mechanizmy oznaczania albo wykrywania treści daje samo narzędzie i jak wspiera użytkownika w sytuacjach, w których taki obowiązek może się pojawić. Szerzej opisaliśmy to w tekście o kodeksie UE dla treści AI.
7. Sekcję umowy o odpowiedzialności, wsparciu i zgłaszaniu błędów
Model potrafi wygenerować błąd, nieprawdziwą informację albo szkodliwą odpowiedź. Dlatego sprawdź, co umowa mówi o odpowiedzialności dostawcy, limitach odpowiedzialności, wyłączeniach, czasie reakcji supportu i sposobie zgłaszania błędów lub incydentów.
Jeśli jedyna odpowiedź brzmi "usługa jest dostarczana as is", to w praktyce większość ryzyka zostaje po twojej stronie.
Kiedy przerwać rozmowę z dostawcą
Rozmowę warto zatrzymać, jeśli pojawia się choć jedna z tych sytuacji:
- brak DPA mimo pracy na danych osobowych,
- brak jasnej odpowiedzi, czy dane klientów albo prompty służą do ulepszania usługi,
- brak informacji o lokalizacji danych i podstawie transferu poza EOG,
- brak dokumentacji bezpieczeństwa albo brak osoby, która umie ją wskazać,
- brak opisu ograniczeń modelu przy sprzedaży API albo wdrożenia,
- brak jasnej sekcji o odpowiedzialności i zgłaszaniu incydentów.
To nie są formalności do odhaczenia po zakupie. To materiał do decyzji zakupowej.
Mail, który możesz wysłać dziś
Nie komplikuj tego. Wystarczy krótka wiadomość z prośbą o:
1. DPA, jeśli usługa przetwarza dane osobowe.
2. Informację, czy dane z promptów, plików i wyników są używane do ulepszania usługi lub trenowania modeli.
3. Informację o lokalizacji danych i podstawie transferu poza EOG.
4. Link do dokumentacji bezpieczeństwa albo raportów audytowych.
5. Dokumentację modelu lub API, jeśli planujesz integrację we własnym systemie.
6. Opis mechanizmów oznaczania treści AI, jeśli narzędzie generuje obrazy, audio, wideo albo tekst do publikacji.
7. Sekcję umowy o odpowiedzialności, wsparciu i zgłaszaniu błędów.
Poproś o odpowiedź na piśmie. To prostsze do porównania między dostawcami i przydaje się, gdy do rozmowy trzeba włączyć prawników, DPO albo IT.
Nie musisz znać AI Act na pamięć. Musisz umieć odróżnić dostawcę, który ma porządek w dokumentach, od dostawcy, który sprzedaje tylko demo. Po 2 sierpnia 2026 to już nie jest ostrożność na wyrost, tylko rozsądne minimum przy zakupie narzędzia AI.
Źródła
- Rozporządzenie (UE) 2024/1689 w EUR-Lex – art. 50, art. 53 i art. 113 AI Act.
- Komisja Europejska, Questions and answers on the code of practice for General-Purpose AI – potwierdzenie, że obowiązki dla dostawców modeli ogólnego zastosowania stosują się od 2 sierpnia 2025, a pełna egzekucja ruszyła od 2 sierpnia 2026.
- Komisja Europejska, Code of Practice on Transparency of AI-generated Content – opis obowiązków z art. 50 stosowanych od 2 sierpnia 2026.
- RODO w EUR-Lex – art. 28 o umowie powierzenia przetwarzania danych.
