Zbliża się termin, od którego zaczną obowiązywać kolejne przepisy AI Act – 2 sierpnia 2026 r. Tym razem przed nami nowe wymogi związane z oznaczaniem treści generowanych przez sztuczną inteligencję.
W czerwcu Komisja Europejska opublikowała Kodeks praktyk dotyczący przejrzystości treści generowanych przez AI („Kodeks”). Dokument ma znaczenie praktyczne i z założenia ma pomagać dostawcom i użytkownikom systemów AI w wypełnianiu obowiązków wynikających z AI Act w zakresie przejrzystości (art. 50 ust. 2, 4 i 5 AI Act), czyli oznaczaniu, wykrywaniu i ujawnianiu treści stworzonych lub zmodyfikowanych przy użyciu systemów AI.
Dwa najważniejsze wnioski:
- jeżeli używasz systemu AI w ramach działalności zawodowej – nie musisz oznaczać wszystkich treści wygenerowanych przez lub przy użyciu AI, ale bądź ostrożny w przypadku deepfake’ów, ponieważ Komisja Europejska interpretuje to pojęcie szeroko i coś, co według Ciebie deepfake’iem nie jest, może zostać za niego uznane (w tym zakresie warto zwrócić szczególną uwagę na informacje zawarte w pkt. 2); jeżeli używasz systemu AI prywatnie, to obowiązek oznaczania treści Cię nie dotyczy;
- jeżeli dostarczasz klientom rozwiązania bazujące na zewnętrznych modelach AI (np. poprzez API) generujących syntetyczne dźwięki, obrazy, materiały wideo lub tekst pochodzące od zewnętrznych dostawców, to jesteś uznawany za dostawcę systemu AI i dlatego również podlegasz obowiązkom w zakresie przejrzystości. Zewnętrzny model może zapewnić technologię oraz dokumentację potrzebną do spełnienia tych obowiązków, jednak jako dostawca końcowego rozwiązania powinieneś być w stanie wykazać, że mechanizmy oznaczania, wykrywania i informowania użytkowników zostały prawidłowo zaimplementowane w oferowanym przez Ciebie systemie.
Z alertu dowiesz się:
- Czego dotyczy Kodeks opublikowany przez Komisję Europejską i jaki jest jego związek z obowiązkami przejrzystości z art. 50 AI Act.
- Kto musi spełniać wymogi dotyczące przejrzystości.
- Jakie obowiązki przewidziano dla dostawców systemów AI, zwłaszcza w zakresie technicznego oznaczania treści i zapewnienia możliwości ich wykrywania.
- Jakie obowiązki dotyczą podmiotów publikujących treści, w tym kiedy należy poinformować odbiorcę, że dana treść została wygenerowana lub zmodyfikowana przez AI.
- Jak mogą wyglądać oznaczenia wskazujące na korzystanie z AI.
- Jakie wyjątki i ograniczenia przewiduje Kodeks.
- Co organizacje powinny rozważyć w praktyce.
1. Czego dotyczy dokument Komisji Europejskiej i jaki jest jego związek z art. 50 AI Act
Dokument dotyczy przejrzystości treści generowanych lub modyfikowanych przez AI. Jego celem jest wsparcie podmiotów objętych AI Act w wykonywaniu obowiązków z art. 50 AI Act, w szczególności obowiązków dotyczących oznaczania treści, zapewnienia możliwości ich wykrywania oraz informowania odbiorców o tym, że dana treść została sztucznie wygenerowana lub zmanipulowana.
Kodeks ma charakter praktycznego dokumentu wspierającego wykazywanie zgodności z AI Act. Nie zastępuje jednak przepisów AI Act i postępowanie zgodnie z nim samo w sobie nie stanowi rozstrzygającego dowodu zgodności z obowiązkami wynikającymi z tego aktu. Kodeks jest więc dokumentem wspierającym i porządkującym sposób wykonania obowiązków, ale nie zastępuje samych przepisów AI Act.
2. Kogo obejmują zasady
Kodeks obejmuje przede wszystkim dwie grupy podmiotów.
Pierwszą grupą są dostawcy systemów generatywnej AI, w tym systemów ogólnego przeznaczenia, które generują lub modyfikują syntetyczne treści audio, obrazy, wideo albo tekst. W ich przypadku Kodeks koncentruje się na technicznym oznaczaniu treści i zapewnieniu możliwości wykrycia, że treść została wygenerowana lub zmodyfikowana przez AI.
Drugą grupą są podmioty korzystające z systemów AI w ramach działalności zawodowej, które generują lub modyfikują treści stanowiące deepfake albo publikują tekst wygenerowany lub zmodyfikowany przez AI w celu informowania opinii publicznej o sprawach interesu publicznego.
Deepfake oznacza obraz, dźwięk lub wideo wygenerowane albo zmanipulowane przez AI, które łudząco przypomina istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i mogłoby fałszywie sprawiać wrażenie autentycznego lub prawdziwego.
Warto zwrócić uwagę na to, że Komisja Europejska nie podchodzi do deepfake’ów w sposób, w jaki rozumiemy to pojęcie intuicyjnie, czyli jako coś, co służy dezinformacji, zakłamaniu rzeczywistości, wprowadzeniu w błąd. Zgodnie z Kodeksem, jako deepfake należy rozumieć wszystko, co odwołuje się do istniejących osób, przedmiotów, miejsc, podmiotów lub zdarzeń, nawet jeśli nasze intencje nie mają na celu wprowadzenia nikogo w błąd.
A zatem, zgodnie z wytycznymi Komisji Europejskiej, jako deepfake będzie można uznać oczywiste przekłamania, jak np.:
- video z wypowiedzią polityka, który danych słów nigdy nie wypowiedział;
- spot reklamowy z generowanym przez AI wizerunkiem znanej osoby, który sugeruje, że ta osoba promuje produkt, mimo że realnie nie brała udziału w kampanii;
- materiał pokazujący fikcyjne skutki działania produktu, na przykład realistyczne wideo z pacjentem, sportowcem, czy użytkownikiem aplikacji, które wygląda jak autentyczne referencje konkretnej osoby, choć zostało wygenerowane przez AI;
- grafika do postu na social media z realistycznym zdjęciem istniejącego miejsca, np. restauracji, hotelu, sklepu, biura albo zakładu produkcyjnego, w którym AI dodało tłum gości, celebrytę, określone oznaczenia, produkty lub zdarzenia, które faktycznie nie wystąpiły.
… ale również za deepfake mogłyby zostać uznane:
- wygenerowana przez AI grafika na platformę e-commerce prezentująca realny produkt w konkretnym użyciu, np. oferowany rower, ale na stworzonym przez AI tle przedstawiającym górski potok; ekspres do kawy, ale na tle wygenerowanej przez AI kuchni, jeżeli wyglądają jak autentyczne fotografie produktów;
- wygenerowany przez AI obraz influencerów wyglądający jak wspólna sesja, mimo że każdy z nich przesłał jedynie osobno swoje zdjęcie;
- wygenerowane przez AI zdjęcie zespołu wykonującego wspólną aktywność, np. burzę mózgów, pracę w laboratorium, wolontariat, aktywność sportową.
W związku z powyższym, należałoby uznać, że:
- to JEST deepfake:
Deepfake oznacza obraz, dźwięk lub wideo wygenerowane albo zmanipulowane przez AI, które łudząco przypomina istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i mogłoby fałszywie sprawiać wrażenie autentycznego lub prawdziwego. Powyższa grafika wygenerowana przez AI łudząco przypomina model samochodu Aston Martin DB9.
- to NIE JEST deepfake:
Grafika nie sprawia wrażenia autentycznego wydarzenia – wszyscy wiemy, że dinozaury są dziś jedynie wytworem wyobraźni.
Z kolei, gdyby tego rodzaju grafiki zostały wykonane ręcznie przez człowieka, nie wymagałyby oznaczenia jako deepfake. Poza zakresem obowiązku z art. 50 ust. 4 pozostają też co do zasady materiały wyraźnie stylizowane lub ilustracyjne tj. grafiki wektorowe, elementy ikonograficzne, ilustracje o charakterze kreskówkowym, abstrakcyjne tła czy inne treści, których odbiorca nie odbiera jako wiernego odwzorowania rzeczywistości. Obowiązek nie obejmuje również typowych technicznych modyfikacji obrazu, takich jak korekta kolorów, kadrowanie czy redukcja szumów, jeżeli nie prowadzą one do istotnej zmiany przedstawianej treści.
Natomiast o tym, czy aktualizuje się obowiązek oznaczania tekstów wygenerowanych lub zmodyfikowanych przez AI w celu informowania opinii publicznej o sprawach interesu publicznego decyduje przede wszystkim cel publikacji. Np. typowe materiały marketingowe, których zasadniczym celem jest promocja produktów i usług, mają raczej charakter perswazyjny, a nie informacyjny w rozumieniu AI Act, w związku z czym co do zasady nie podlegają obowiązkowi oznaczania wyłącznie dlatego, że zostały przygotowane z wykorzystaniem generatywnej AI. Większej ostrożności mogą natomiast wymagać publikacje o charakterze edukacyjnym lub eksperckim. Jeżeli ich głównym celem byłoby informowanie społeczeństwa o kwestiach mających znaczenie publiczne, należałoby każdorazowo ocenić możliwość zastosowania art. 50 ust. 4 AI Act.
3. Jakie obowiązki przewidziano dla dostawców systemów AI
Dostawcy systemów generatywnej AI powinni zapewnić, aby treści wygenerowane lub zmodyfikowane przez ich systemy były oznaczane w formacie możliwym do odczytu maszynowego oraz możliwe do wykrycia jako sztucznie wygenerowane lub zmanipulowane. Rozwiązania techniczne powinny być skuteczne, interoperacyjne, odporne i wiarygodne w takim zakresie, w jakim jest to technicznie możliwe, przy uwzględnieniu rodzaju treści, ograniczeń technicznych, kosztów wdrożenia oraz aktualnego stanu techniki.
Kodeks zakłada co do zasady podejście wielowarstwowe. Jeżeli jedna technika oznaczania nie wystarcza do spełnienia wymogów z art. 50 ust. 2 AI Act, dostawcy powinni stosować co najmniej dwie warstwy oznaczeń możliwych do odczytu maszynowego. Kodeks wskazuje przede wszystkim metadane podpisane cyfrowo oraz niewidoczne dla człowieka znaki wodne.
Dostawcy powinni także udostępniać mechanizmy pozwalające wykrywać zastosowane oznaczenia. Wyniki detekcji powinny być przedstawiane w sposób jasny, zrozumiały i dostępny dla osób fizycznych, które chcą sprawdzić pochodzenie treści. Kodeks przewiduje również obowiązki dotyczące dokumentowania zgodności, testowania rozwiązań, monitorowania ich skuteczności, szkolenia odpowiednich osób oraz współpracy z organami nadzoru rynku.
4. Jakie obowiązki dotyczą podmiotów publikujących treści w ramach działalności zawodowej
Podmioty korzystające z systemów AI powinny ujawniać, że treść została sztucznie wygenerowana lub zmanipulowana, jeżeli chodzi o deepfake albo o tekst wygenerowany lub zmodyfikowany przez AI i opublikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym.
Informacja dla odbiorcy powinna być przekazana w sposób jasny, odróżnialny i dostępny. Powinna pojawić się najpóźniej w momencie pierwszego kontaktu osoby fizycznej z daną treścią. Celem takiego ujawnienia nie jest ocena wiarygodności samej treści, lecz poinformowanie odbiorcy o jej pochodzeniu od AI albo o roli systemu AI w jej modyfikacji.
W przypadku treści wizualnych oznaczenie powinno być umieszczone w sposób pozwalający na jego natychmiastowe rozpoznanie, bez konieczności podejmowania dodatkowych działań przez odbiorcę. W przypadku wideo oznaczenie powinno pojawić się na początku oraz, tam gdzie to możliwe, także w regularnych odstępach i co najmniej po przerwach, na przykład po blokach reklamowych. W przypadku tekstu oznaczenie może zostać umieszczone nad tekstem, przy tytule albo na początku publikacji, o ile pozostaje jasne, konsekwentne i odróżnialne dla odbiorcy.
5. Jak mogą wyglądać oznaczenia wskazujące na korzystanie z AI
Kodeks przewiduje kilka sposobów oznaczania treści, zależnie od rodzaju treści, roli danego podmiotu i technicznych możliwości danego formatu.
W przypadku dostawców systemów AI oznaczenia mogą mieć charakter techniczny. Kodeks wskazuje przede wszystkim metadane podpisane cyfrowo oraz niewidoczne znaki wodne. Metadane mogą być stosowane wtedy, gdy format pliku pozwala na ich dołączenie. Znak wodny powinien być osadzony w treści w sposób utrudniający jego oddzielenie od treści.
W przypadku podmiotów publikujących treści w ramach działalności zawodowej Kodeks przewiduje możliwość użycia publicznie dostępnej unijnej ikony AI albo równoważnej ikony lub etykiety. Oznaczenie powinno być czytelne, rozpoznawalne, dostępne i widoczne w odpowiednim miejscu. Kodeks przewiduje także odmienne rozwiązania dla treści w pełni wygenerowanych przez AI i treści częściowo zmodyfikowanych przez AI.
Rysunek 1. Ikona ma na celu ujawnienie w całości wygenerowanych przez sztuczną inteligencję deepfake’ów lub opublikowanych tekstów.
Rysunek 2. Ikona ma na celu ujawnienie zmanipulowanych przez sztuczną inteligencję lub częściowo zmodyfikowanych deepfake’ów lub opublikowanych tekstów.
Rysunek 3. Podstawowa ikona umożliwiająca uzupełnienie jej o warstwę interaktywną zawierającą dalsze informacje lub alternatywny opis tekstowy.
Jeżeli oznaczenie wizualne nie jest możliwe, na przykład przy treściach wyłącznie dźwiękowych, Kodeks przewiduje krótki komunikat dźwiękowy na początku treści. Taki komunikat powinien prostym językiem informować o sztucznym pochodzeniu lub modyfikacji treści. W odpowiednich przypadkach komunikat może być uzupełniony o informację, czy treść została wygenerowana, czy zmodyfikowana przez AI.
6. Jakie wyjątki i ograniczenia przewiduje dokument
Kodeks powtarza wyjątki wynikające z art. 50 ust. 4 AI Act. Obowiązek ujawniania deepfake’ów nie ma zastosowania, gdy użycie jest dozwolone przez prawo w celu wykrywania, zapobiegania, prowadzenia postępowań wyjaśniających lub ścigania przestępstw.
Jeżeli deepfake jest częścią wyraźnie artystycznego, twórczego, satyrycznego, fikcyjnego lub podobnego utworu albo programu, obowiązek przejrzystości jest ograniczony do ujawnienia istnienia takiej wygenerowanej lub zmodyfikowanej treści w odpowiedni sposób. Ujawnienie nie powinno utrudniać prezentacji ani odbioru utworu.
W odniesieniu do tekstu publikowanego w celu informowania społeczeństwa o sprawach leżących w interesie publicznym, to tutaj również obowiązek ujawnienia nie ma zastosowania, jeżeli użycie jest dozwolone przez prawo w celu wykrywania, zapobiegania, prowadzenia postępowań wyjaśniających lub ścigania przestępstw. Obowiązek ten nie ma również zastosowania, gdy treść została poddana weryfikacji przez człowieka lub kontroli redakcyjnej, a osoba fizyczna albo prawna ponosi odpowiedzialność redakcyjną za jej publikację.
Dokument uwzględnia też ograniczenia techniczne. Metadane mogą być stosowane tylko w formatach, które pozwalają na ich dołączenie. W przypadku swobodnego tekstu, który nie przenosi metadanych, Kodeks uznaje za wystarczające oznaczanie jedną warstwą. Bardzo krótkie teksty są wyłączone z wymogu znakowania niewidocznym znakiem wodnym, a dokument wskazuje, że na moment publikacji Kodeksu bardzo krótki tekst należy rozumieć jako tekst krótszy niż 200 tokenów.
7. Co organizacje powinny rozważyć w praktyce
W praktyce warto przeprowadzić mapowanie przypadków użycia AI w organizacji, w szczególności w marketingu, komunikacji, e-commerce, obsłudze klienta, mediach, publikacjach internetowych i rozwoju produktów cyfrowych. Organizacja powinna ustalić, jakie treści są generowane lub modyfikowane przez AI, czy mogą stanowić deepfake’i, czy dotyczą spraw interesu publicznego oraz czy są objęte kontrolą redakcyjną lub weryfikacją człowieka.
Dostawcy systemów generatywnej AI powinni rozważyć wdrożenie rozwiązań dotyczących metadanych, znaków wodnych, detekcji, testowania, dokumentowania zgodności i współpracy z organami nadzoru rynku. Podmioty publikujące treści powinny natomiast rozważyć przygotowanie zasad oznaczania, określenie miejsca i formy oznaczeń, zapewnienie dostępności oznaczeń, przeszkolenie odpowiednich zespołów oraz wdrożenie procedur reagowania na brakujące albo nieprawidłowe oznaczenia.
Kodeks pokazuje, że przejrzystość treści generowanych lub modyfikowanych przez AI wymaga połączenia rozwiązań technicznych, procedur wewnętrznych i jasnej komunikacji z odbiorcami. Dla organizacji korzystających z AI oznacza to potrzebę wcześniejszego uporządkowania procesów, przygotowania wewnętrznych procedur, przeprowadzenia szkoleń, a nie tylko dodawania oznaczenia na etapie publikacji materiałów. W przypadku, w którym organizacja zleca innym podmiotom działania np. w zakresie marketingu, zaleca się dokładną analizę umowy z agencją. Należy zweryfikować, czy umowa zawiera odpowiednie klauzule zabezpieczające oraz precyzyjnie reguluje sposób realizacji umowy, zwłaszcza w kontekście wykorzystania sztucznej inteligencji. Analogicznie – należy zweryfikować umowy z dostawcami systemów generatywnej AI, którzy dostarczają organizacji narzędzia objęte obowiązkami w zakresie przejrzystości z AI Act.
Za naruszenie obowiązków dotyczących przejrzystości AI dostawcom i podmiotom wykorzystującym systemy AI w działalności zawodowej mogą grozić administracyjne kary pieniężne nakładane przez nowo powołany organ – Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, która rozpocznie działalność w połowie listopada. Maksymalna kara wyniesie 15 mln euro lub – w przypadku przedsiębiorstw – 3% całkowitego rocznego światowego obrotu z poprzedniego roku, w zależności od tego, która kwota jest wyższa.
Ten artykuł otwiera nasz nowy cykl alertów „Cyfrowa Fala w Biznesie. Prawo, regulacje i trendy kształtujące działalność przedsiębiorstw”. Będziemy przyglądać się najważniejszym zmianom prawnym i regulacyjnym związanym z cyfryzacją, technologią i nowymi trendami, które wpływają na biznes. Dołączcie do nas i bądźcie na bieżąco! Nowe alerty będą pojawiać się w każdy czwartek na naszej stronie internetowej oraz trafiać prosto do Waszych skrzynek mailowych. Wystarczy zapisać się do naszego ogólnego mailingu (poniżej znajdziesz formularz zapisów).
