- AI Act a CRM: co musi wiedzieć firma wdrażająca AI w obsłudze klienta - 4 sierpnia 2026
- Dlaczego wdrożenie AI nie rozwiąże problemów w Twojej firmie? - 23 lipca 2026
- Creatio 10x – co ogłoszono i co to zmienia dla polskich firm - 16 lipca 2026
Dwa dni temu, 2 sierpnia 2026 roku, weszły w życie obowiązki transparentności z Art. 50 AI Act – firma z chatbotem w obsłudze klienta musi już dziś informować klienta, że rozmawia z AI. Równolegle media szeroko pisały o „odroczeniu AI Act” do grudnia 2027 roku. Problem w tym, że odroczenie dotyczy innej części regulacji niż ta, z którą styka się większość systemów CRM.
Czym jest AI Act i dlaczego dotyczy systemów CRM?
AI Act (Regulation (EU) 2024/1689) to unijne rozporządzenie regulujące projektowanie, wprowadzanie do obrotu i wykorzystanie systemów sztucznej inteligencji, które weszło w życie 1 sierpnia 2024 roku. Dotyczy CRM wszędzie tam, gdzie system wykorzystuje funkcje AI – scoring leadów, chatboty obsługi klienta, automatyczne podsumowania rozmów, analizę sentymentu czy rekomendacje kolejnych działań handlowych.
Regulacja nie klasyfikuje samego „CRM” jako kategorii ryzyka – klasyfikuje konkretną funkcję AI działającą w ramach systemu. Ten sam CRM może więc zawierać jednocześnie funkcję niskiego ryzyka (np. automatyczne podsumowanie e-maila) i funkcję podlegającą odrębnym, surowszym obowiązkom (np. ocena kandydatów w module rekrutacyjnym). Dlatego audyt zgodności trzeba prowadzić na poziomie poszczególnych funkcji AI, nie całej platformy.
Co faktycznie obowiązuje od 2 sierpnia 2026, a co zostało odroczone?
Od 2 sierpnia 2026 obowiązują przepisy o transparentności z Art. 50 – to nie zostało odroczone. Odroczeniu, na mocy pakietu Digital Omnibus on AI, uległ inny fragment regulacji: obowiązki dla samodzielnych systemów wysokiego ryzyka z Annex III, przesunięte na 2 grudnia 2027 roku.
Digital Omnibus on AI to pakiet zmian przyjęty przez Parlament Europejski 16 czerwca 2026 roku (423 głosy za, 57 przeciw, 174 wstrzymujących się), zatwierdzony ostatecznie przez Radę UE 29 czerwca 2026 i opublikowany w Dzienniku Urzędowym z wejściem w życie 27 lipca 2026 (Regulation (EU) 2024/1689; Rada Unii Europejskiej, komunikat z 29 czerwca 2026). Firmy, które śledziły wyłącznie nagłówki o „odroczeniu”, mogły błędnie założyć, że cały AI Act przestał obowiązywać w sierpniu 2026 – to nieprawda.
| Obowiązek | Pierwotny termin | Termin po Digital Omnibus |
| Zakazane praktyki (Art. 5) i AI literacy (Art. 4) | 2 lutego 2025 | bez zmian |
| Obowiązki dla modeli GPAI | 2 sierpnia 2025 | bez zmian |
| Transparentność wobec użytkownika – ujawnienie AI (Art. 50 ust. 1) | 2 sierpnia 2026 | bez zmian, obowiązuje |
| Znakowanie treści generowanych przez AI (Art. 50 ust. 2) dla systemów istniejących na rynku | 2 sierpnia 2026 | 2 grudnia 2026 |
| Systemy wysokiego ryzyka – samodzielne (Annex III) | 2 sierpnia 2026 | 2 grudnia 2027 |
| Systemy wysokiego ryzyka wbudowane w regulowane produkty (Annex I) | 2 sierpnia 2027 | 2 sierpnia 2028 |
Dla działów obsługi klienta i sprzedaży praktyczny wniosek jest prosty: obowiązek ujawnienia AI klientowi jest już żywy, a odroczeniu podlega głównie ta część regulacji, która dotyczy rekrutacji, oceny zdolności kredytowej czy oceny dostępu do usług podstawowych.
Jakie obowiązki nakłada Art. 50 na chatboty i voiceboty w CRM?
Art. 50 wymaga, aby dostawca systemu AI przeznaczonego do bezpośredniej interakcji z człowiekiem zaprojektował go tak, by osoba fizyczna wiedziała, że rozmawia z AI, najpóźniej przy pierwszej interakcji. Dotyczy to chatbotów w module obsługi klienta, botów kwalifikujących leady na stronie czy voicebotów obsługujących infolinię – niezależnie od tego, czy dany system spełnia definicję „wysokiego ryzyka”.
Wyjątek jest wąski: obowiązek ujawnienia nie obowiązuje, gdy z okoliczności i kontekstu jest to oczywiste dla rozsądnie poinformowanej, uważnej osoby (np. prosty bot FAQ oznaczony wprost jako automat). W praktyce oznacza to, że milczące założenie „użytkownicy i tak wiedzą, że to bot” nie jest wystarczającą podstawą prawną – ujawnienie powinno być jednoznaczne i widoczne w interfejsie rozmowy.
Obowiązek dotyczy zarówno dostawcy technologii (provider), jak i firmy wdrażającej ją u siebie (deployer) – czyli w praktyce zarówno producenta silnika chatbota w CRM, jak i firmy, która go skonfigurowała i uruchomiła w kontakcie z klientami. Odrębny obowiązek, dotyczący znakowania treści syntetycznych generowanych przez AI (np. automatycznie tworzonych treści e-mail marketingowych), dla systemów działających na rynku przed 2 sierpnia 2026 roku został przesunięty na 2 grudnia 2026 roku.
Kiedy funkcja AI w CRM może zostać uznana za system wysokiego ryzyka?
Poniższa sekcja ma charakter informacyjny i nie stanowi porady prawnej – ostateczną klasyfikację funkcji AI w konkretnym systemie warto zweryfikować z prawnikiem specjalizującym się w prawie nowych technologii.
Annex III AI Act wymienia kategorie zastosowań uznawanych za wysokiego ryzyka, m.in.: ocenę zdolności kredytowej i scoring kredytowy, dostęp do podstawowych usług prywatnych i publicznych, a także zastosowania w obszarze zatrudnienia – rekrutację, selekcję kandydatów, ocenę wydajności pracowników, przydzielanie zadań oraz monitorowanie pracy. Typowe funkcje CRM, takie jak lead scoring czy analiza sentymentu zgłoszeń serwisowych, zwykle nie mieszczą się w tych kategoriach.
Sytuacja zmienia się, gdy funkcja AI w CRM zaczyna realnie wpływać na decyzje objęte Annex III – np. gdy moduł HR wbudowany w system ocenia kandydatów do pracy, gdy CRM wspiera decyzje kredytowe wobec klientów albo gdy AI ocenia wydajność i monitoruje pracę handlowców w sposób wpływający na decyzje kadrowe. To właśnie te przypadki, a nie standardowa automatyzacja sprzedaży, podlegają dziś (po Digital Omnibus) obowiązkom z terminem 2 grudnia 2027 roku.
Czego zabrania Art. 5 niezależnie od klasyfikacji ryzyka?
Art. 5 AI Act zakazuje określonych praktyk bezwzględnie, niezależnie od tego, czy dany system zostałby zakwalifikowany jako wysokiego ryzyka. Zakaz obejmuje m.in. manipulację behawioralną wykorzystującą podprogowe techniki, wykorzystywanie podatności określonych grup osób, społeczny scoring obywateli oraz rozpoznawanie emocji w miejscu pracy i edukacji (poza wąskimi wyjątkami medycznymi i bezpieczeństwa).
Ten przepis obowiązuje od 2 lutego 2025 roku i nie został objęty odroczeniem Digital Omnibus. Dla CRM oznacza to konkretną granicę: funkcja analizy sentymentu zgłoszenia klienta („czy klient jest sfrustrowany”) mieści się w dozwolonym zastosowaniu, natomiast wykorzystanie rozpoznawania emocji do oceny własnych pracowników obsługi klienta w czasie pracy wchodzi w obszar zakazanej praktyki i wymaga odrębnej, ostrożnej analizy prawnej przed wdrożeniem.
Kim jest provider, a kim deployer wdrażający AI w CRM?
AI Act rozróżnia dostawcę (provider) – podmiot, który opracowuje system AI i wprowadza go na rynek pod własną marką, od użytkownika wdrażającego (deployer) – firmy, która korzysta z gotowego systemu we własnej działalności. Firma wdrażająca SugarAI, Creatio czy inny CRM z wbudowaną AI jest zwykle deployerem, nie providerem.
Obowiązki deployera są węższe niż providera, ale nie są zerowe: obejmują m.in. stosowanie systemu zgodnie z instrukcją użycia dostarczoną przez producenta, zapewnienie nadzoru człowieka tam, gdzie wymaga tego klasyfikacja funkcji, oraz – w przypadku systemów interaktywnych – dopilnowanie ujawnienia użycia AI zgodnie z Art. 50. Producent CRM odpowiada za dokumentację techniczną i zgodność silnika AI; firma wdrażająca odpowiada za sposób jego konfiguracji i użycia w kontakcie z klientem.
Checklist zgodności – od czego zacząć audyt AI w CRM
| Obszar | Co sprawdzić |
| Inwentaryzacja | Które funkcje AI działają w CRM (chatbot, scoring, sentyment, generowanie treści)? |
| Transparentność (Art. 50) | Czy klient jest informowany, że rozmawia z botem, przy pierwszej interakcji? |
| Klasyfikacja ryzyka | Czy któraś funkcja wpływa na decyzje z Annex III (kredyt, zatrudnienie, dostęp do usług)? |
| Zakazane praktyki (Art. 5) | Czy żadna funkcja nie ocenia emocji pracowników ani nie wykorzystuje podatności klientów? |
| Rola w łańcuchu | Czy firma jest providerem, deployerem, czy jednym i drugim (np. przy własnych integracjach AI)? |
| Dokumentacja dostawcy | Czy producent CRM dostarczył instrukcję użycia i dokumentację techniczną modułu AI? |
| Nadzór człowieka | Czy istnieje realna możliwość interwencji człowieka przy decyzjach wspieranych przez AI? |
Podoba Ci się to, co czytasz?
Zapisz się na newsletter i otrzymuj więcej takich treści
Najczęściej zadawane pytania
Tak, jeśli prowadzi bezpośrednią rozmowę z klientem – obowiązek z Art. 50 obowiązuje od 2 sierpnia 2026 i nie zostało odroczone, niezależnie od klasyfikacji ryzyka systemu.
Zwykle nie. Annex III obejmuje głównie ocenę zdolności kredytowej, zatrudnienie i dostęp do usług podstawowych – standardowy scoring sprzedażowy zazwyczaj nie mieści się w tych kategoriach.
Nie. Odroczono termin dla samodzielnych systemów wysokiego ryzyka (Annex III) do grudnia 2027. Obowiązki transparentności z Art. 50 obowiązują od sierpnia 2026 bez zmian.
Nie, jeśli dotyczy komunikacji klienta. Zakaz z Art. 5 obejmuje rozpoznawanie emocji pracowników w miejscu pracy, nie analizę treści zgłoszeń serwisowych.
Oboje, ale w różnym zakresie. Producent (provider) odpowiada za dokumentację i zgodność silnika AI, a firma wdrażająca (deployer) – za sposób konfiguracji i użycia systemu.
Wyjątek dotyczy sytuacji oczywistych dla rozsądnego użytkownika. W praktyce bezpieczniej jest jednoznacznie oznaczyć każdego bota, nawet prostego, niż polegać na domniemanej oczywistości.
Tak, jeśli system AI jest używany wobec osób znajdujących się na terenie UE lub jego wyniki są tam wykorzystywane – regulacja ma zasięg eksterytorialny, podobnie jak RODO.
- AI Act a CRM: co musi wiedzieć firma wdrażająca AI w obsłudze klienta - 4 sierpnia 2026
- Dlaczego wdrożenie AI nie rozwiąże problemów w Twojej firmie? - 23 lipca 2026
- Creatio 10x – co ogłoszono i co to zmienia dla polskich firm - 16 lipca 2026
