Własny chatbot na modelu OpenAI albo innym - czy firma staje się dostawcą systemu AI

AI Act - Czy AI Act dotyczy Twojej firmy i w jakiej roli

Własny chatbot na modelu OpenAI albo innym - czy firma staje się dostawcą systemu AI

W skrócie

Dział IT zbudował chatbota na modelu dostępnym przez API (OpenAI, Anthropic, Mistral albo Bielik), a firma udostępnia go klientom na stronie albo pracownikom w intranecie. Chatbot na API zmienia rolę firmy w AI Act: z użytkownika gotowego narzędzia staje się ona dostawcą systemu AI. Sprawdzamy też, co zmienia dostrajanie i jakie obowiązki firma ma już dziś.

Jak to wygląda w praktyce

Biuro podróży z Gdańska uruchomiło na stronie asystenta, który na modelu dostępnym przez API odpowiada klientom na pytania o oferty. Dział IT dostroił model na opisach ofert, a wewnętrzna wersja asystenta streszcza pracownikom umowy z hotelami. Prawnik pyta, czy biuro jest teraz dostawcą i czy dostrojenie coś zmienia. Zarząd chciałby jeszcze użyć asystenta do wstępnej oceny kandydatów do pracy.

Co mówią przepisy

Dostawca systemu, nie modelu. Motyw 97 AI Act wyjaśnia, że model AI nie jest sam w sobie systemem AI i staje się nim dopiero po dodaniu elementów takich jak interfejs użytkownika. Dostawcą jest ten, kto rozwija system AI albo zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą (art. 3 pkt 3), także do użytku własnego (art. 3 pkt 11). Firma z chatbotem na cudzym modelu jest więc dostawcą systemu AI, w języku przepisów dostawcą niższego szczebla (art. 3 pkt 68). Obowiązki z art. 53 ciążą na dostawcy modelu. Musi on udostępnić firmie informacje, które pozwalają dobrze zrozumieć możliwości i ograniczenia modelu (art. 53 ust. 1 lit. b)). Ten obowiązek nie dotyczy modeli na bezpłatnej licencji otwartego oprogramowania z publicznymi parametrami, chyba że chodzi o model z ryzykiem systemowym (art. 53 ust. 2).

Dostrajanie. AI Act nie określa, od jakiego zakresu zmian firma modyfikująca cudzy model staje się dostawcą modelu. Według motywu 109 obowiązki dostawcy modelu powinny być wtedy „ograniczone do tej zmiany lub dostrajania modelu”. Komisja Europejska wyjaśnia w wytycznych dla dostawców modeli ogólnego przeznaczenia, że podmiot modyfikujący model staje się jego dostawcą tylko przy istotnej zmianie ogólności, zdolności lub ryzyka systemowego modelu. Jako kryterium orientacyjne podaje liczbę obliczeń treningowych użytą do zmiany większą niż jedna trzecia liczby obliczeń treningowych pierwotnego modelu i zaznacza, że obecnie niewiele zmian może je spełnić. Wytyczne nie są wiążące.

Zobacz też: Szkolenie Gotowość na AI ACT

Przejrzystość od 2 sierpnia 2026 r. Dostawca chatbota projektuje go tak, by rozmówca wiedział, że prowadzi interakcję z systemem AI, chyba że jest to oczywiste dla osoby „dostatecznie poinformowanej, uważnej i ostrożnej” (art. 50 ust. 1). Informacja ma się pojawić najpóźniej przy pierwszej interakcji (art. 50 ust. 5). Dostawca systemu generującego tekst, obraz, dźwięk lub wideo zapewnia też oznakowanie wyników w formacie do odczytu maszynowego, w zakresie technicznie wykonalnym, z wyjątkiem m.in. funkcji wspomagającej standardową edycję (art. 50 ust. 2). Art. 111 ust. 4 daje czas do 2 grudnia 2026 r. dostawcom takich systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. Przepis, inaczej niż art. 111 ust. 2, nie wspomina o oddaniu do użytku, więc tekst nie rozstrzyga, czy termin obejmuje chatbota, którego firma używa sama.

Kiedy chatbot jest wysokiego ryzyka. Co do zasady, gdy jego przeznaczenie mieści się w załączniku III, np. ocena kandydatów do pracy (pkt 4 lit. a)) albo ocena zdolności kredytowej osób fizycznych (pkt 5 lit. b)). Druga droga to art. 6 ust. 1: chatbot jest produktem objętym przepisami z załącznika I, np. wyrobem medycznym, albo elementem bezpieczeństwa takiego produktu, a produkt podlega ocenie zgodności przez stronę trzecią. Obowiązki dostawcy z art. 16 stosuje się od 2 grudnia 2027 r. dla załącznika III i od 2 sierpnia 2028 r. dla załącznika I. Dostawca takiego systemu i dostawca modelu ustalają w pisemnej umowie informacje, dostęp techniczny i pomoc (art. 25 ust. 4, który po zmianach z Digital Omnibus, czyli rozporządzenia (UE) 2026/1744, obejmuje wprost „model AI”).

Co zrobić krok po kroku

1. Rola na piśmie. Prawnik z kierownikiem projektu potwierdza w notatce, że firma jest dostawcą chatbota, i wskazuje dostawcę oraz wersję modelu. Efekt: notatka o roli w rejestrze systemów AI.
2. Przeznaczenie i granice. Właściciel produktu opisuje, do czego chatbot służy i do czego nie wolno go używać. Nowe zastosowanie, np. ocena kandydatów, wraca do oceny przed uruchomieniem, bo może przenieść chatbota do załącznika III. Efekt: opis przeznaczenia z datą.
3. Informacja o rozmowie z AI. Zespół produktu od razu umieszcza komunikat w nagłówku okna czatu i w pierwszej wiadomości. Efekt: zrzut ekranu komunikatu. Szczegóły w poście o informowaniu klienta, że rozmawia z AI.
4. Oznakowanie wyników. Dział IT ustala z dostawcą modelu techniki oznakowania i wdraża je albo dokumentuje wyjątek z art. 50 ust. 2. Termin: 2 grudnia 2026 r. dla chatbota wprowadzonego do obrotu przed 2 sierpnia 2026 r., dla nowszego od startu, a przy wątpliwościach od razu. Więcej w poście o oznaczaniu treści wygenerowanych przez AI.
5. Dokumentacja modelu i dostrajania. Kierownik projektu pobiera od dostawcy modelu informacje z art. 53 ust. 1 lit. b), a przy modelu otwartym korzysta z informacji opublikowanych razem z modelem. Przy dostrajaniu zespół IT zapisuje dane, zakres i cel zmian, żeby móc wykazać, że modyfikacja nie zmienia istotnie ogólności ani zdolności modelu. Efekt: teczka techniczna chatbota.
6. Umowa z dostawcą modelu. Dział prawny sprawdza warunki korzystania z API pod kątem przeznaczenia chatbota, a przy zastosowaniu z załącznika III negocjuje pisemną umowę z art. 25 ust. 4, którą omawia post o umowie z dostawcą systemu AI. Efekt: umowa albo aneks.
7. Kompetencje zespołu. Kierownik IT obejmuje środkami z art. 4 twórców chatbota i pracowników, którzy go obsługują: szkolenie z ograniczeń modelu i zasad przejrzystości. Efekt: wpis w rejestrze szkoleń.

Jak sprawdzić, że sprawa jest załatwiona

W rejestrze systemów AI chatbot ma notatkę o roli z nazwą i wersją modelu, opis przeznaczenia i ocenę względem załącznika III. Komunikat o AI działa przy pierwszej interakcji, a oznakowanie wyników jest opisane technicznie albo uzasadniony jest wyjątek. Dowodami przy kontroli są zrzuty ekranu, opis oznakowania, dokumentacja modelu, zapis zmian przy dostrajaniu i rejestr szkoleń. Nadzór sprawuje w Polsce Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), a nie Urząd ds. AI, bo model i system pochodzą od różnych dostawców (art. 75 ust. 1 lit. a)).

Podstawa prawna i źródła

• art. 3 pkt 3, 11, 63 i 68, art. 4, art. 6 ust. 1, art. 16, art. 25 ust. 4, art. 50, art. 53, art. 75 ust. 1 i art. 111 ust. 4 oraz motywy 97 i 109 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• rozporządzenie (UE) 2026/1744 (Digital Omnibus), art. 1 pkt 12 lit. b) (art. 25 ust. 4 AI Act) i pkt 39 lit. b) (art. 111 ust. 4 AI Act) (źródło)
• Wytyczne Komisji dotyczące zakresu obowiązków dostawców modeli AI ogólnego przeznaczenia, C(2025) 7719 final z 19.11.2025, pkt 57-64 (wersja polska) (źródło)
• art. 5 ust. 1 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001