AI Act dla e-commerce

Interaktywna checklista · bez logowania

Sprawdź gotowość sklepu na AI Act

Oceń każdy punkt jako Tak, Częściowo, Nie / nie wiem albo Nie dotyczy. Dostaniesz wynik gotowości, listę luk i priorytet kolejnego kroku. Odpowiedzi zostają wyłącznie w tej przeglądarce.

2 sierpnia 2026 r. Zaczynają obowiązywać m.in. wymogi przejrzystości z art. 50. Nie oznacza to, że każdy system AI w sklepie jest systemem wysokiego ryzyka.

Jak odpowiadać

Najpierw zakres, potem wynik

01

Oceniaj stan faktycznyNie plan ani deklarację dostawcy.

02

„Częściowo” oznacza lukęBrakuje dowodu, właściciela albo pełnego wdrożenia.

03

„N/D” wymaga uzasadnieniaUżyj go po sprawdzeniu roli, danych i funkcji systemu.

Wymógobowiązek wskazany w przepisach; zastosowanie nadal zależy od zakresu Warunkowodotyczy określonej roli, funkcji, danych lub sposobu użycia Dobra praktykazabezpieczenie operacyjne i dowodowe, nie uniwersalny obowiązek ustawowy

Obszar A · 5 punktów

Zakres, rola i poziom ryzyka

Najpierw ustal, gdzie używasz AI i jakie obowiązki mogą dotyczyć konkretnego zastosowania.
0/5oceniono
A1 Dobra praktyka Mamy aktualny rejestr zastosowań AI: cel, właściciel, dostawca, dane, odbiorcy i wpływ na klienta.

Uwzględnij także funkcje AI w SaaS, chatboty, rekomendacje, generowanie treści i automatyzacje wewnętrzne.

A2 Warunkowo Dla każdego zastosowania ustaliliśmy rolę organizacji w łańcuchu AI (np. deployer, provider, importer lub dystrybutor).

Rola zależy od sposobu użycia i zmian w systemie, a nie od samej nazwy produktu.

A3 Dobra praktyka Każde zastosowanie przeszło screening: praktyka zakazana, system wysokiego ryzyka, obowiązek przejrzystości art. 50 albo pozostałe AI.

Nie zakładaj automatycznie, że każdy chatbot lub system rekomendacji jest systemem wysokiego ryzyka.

A4 Wymóg Nie stosujemy praktyk zakazanych przez AI Act, a zespół wie, jak zgłosić podejrzany przypadek.

Zakazy z art. 5 stosuje się od 2 lutego 2025 r.; zakres trzeba ocenić dla konkretnego zastosowania.

A5 Wymóg Osoby używające AI mają adekwatne kompetencje i instrukcje, a działania AI literacy są udokumentowane.

Obowiązek AI literacy stosuje się od 2 lutego 2025 r.; zakres szkolenia powinien odpowiadać roli i ryzyku.

Obszar B · 5 punktów

Transparentność wobec klientów

Sprawdź, czy klient rozpoznaje kontakt z AI i treści objęte obowiązkiem ujawnienia.
0/5oceniono
B1 Wymóg Klient jest informowany o interakcji z chatbotem lub innym systemem AI, chyba że jest to oczywiste z kontekstu.

Informacja powinna pojawić się najpóźniej przy pierwszej interakcji i być dostępna dla osób z niepełnosprawnościami.

B2 Warunkowo Dostawca systemu generatywnego potwierdził techniczne oznaczanie i wykrywalność treści AI zgodnie z art. 50 ust. 2.

To przede wszystkim obowiązek providera systemu; jako klient biznesowy zbierz potwierdzenie i opisz zależność w rejestrze.

B3 Warunkowo Deepfake lub realistycznie zmanipulowane obrazy, audio i wideo są wyraźnie oznaczane jako sztucznie wygenerowane lub zmienione.

Szczegółowe wyjątki dotyczą m.in. utworów artystycznych, satyrycznych i fikcyjnych.

B4 Warunkowo Tekst AI publikowany w celu informowania o sprawach interesu publicznego jest ujawniany, jeśli nie przeszedł kontroli redakcyjnej z przypisaną odpowiedzialnością.

Zwykły opis produktu nie staje się automatycznie treścią dotyczącą spraw interesu publicznego.

B5 Warunkowo Jeśli używamy rozpoznawania emocji lub kategoryzacji biometrycznej, osoby objęte systemem otrzymują wymaganą informację.

W typowym e-commerce ten punkt często nie ma zastosowania; zaznacz N/D dopiero po sprawdzeniu funkcji narzędzi.

Obszar C · 5 punktów

Dane osobowe i decyzje automatyczne

AI Act nie zastępuje RODO — oceń dane, profilowanie i decyzje o istotnym wpływie.
0/5oceniono
C1 Warunkowo Dla każdego użycia danych osobowych określiliśmy cel, podstawę prawną, zakres danych i odbiorców.

Samo wdrożenie AI nie tworzy nowej podstawy prawnej do przetwarzania danych.

C2 Warunkowo Wykonaliśmy screening DPIA i przeprowadziliśmy ocenę skutków tam, gdzie przetwarzanie może powodować wysokie ryzyko.

DPIA zależy od sposobu przetwarzania, skali, danych i wpływu — nie od samej etykiety „AI”.

C3 Warunkowo Sprawdziliśmy art. 22 RODO dla decyzji podejmowanych wyłącznie automatycznie, które wywołują skutki prawne lub podobnie istotnie wpływają na osobę.

Jeśli art. 22 ma zastosowanie, oceń podstawę dopuszczalności oraz wymagane zabezpieczenia i interwencję człowieka.

C4 Wymóg Stosujemy minimalizację danych, kontrolę dostępu, retencję i privacy by design odpowiednie do zastosowania.

Ustawienia narzędzia powinny odzwierciedlać politykę, a nie tylko domyślne opcje dostawcy.

C5 Warunkowo Sprawdziliśmy DPA, transfery, podprocesorów oraz to, czy dane i prompty są używane do trenowania modeli dostawcy.

Zapisz dowody konfiguracji i wersję warunków, zamiast polegać wyłącznie na deklaracji handlowej.

Obszar D · 4 punkty

Nadzór, jakość i incydenty

Wyznacz granice automatyzacji i drogę reakcji, gdy wynik AI jest błędny lub szkodliwy.
0/4oceniono
D1 Dobra praktyka Każdy system ma właściciela biznesowego oraz opisane decyzje, których AI nie może podejmować samodzielnie.

Granice powinny być zrozumiałe dla operatora, obsługi klienta i osoby zatwierdzającej zmiany.

D2 Warunkowo Dla zastosowań wpływających na klienta działa interwencja człowieka, eskalacja i bezpieczne ręczne obejście.

Zakres nadzoru zależy od ryzyka i obowiązków dla danego systemu; sam przycisk „wyłącz” nie zawsze wystarczy.

D3 Dobra praktyka Regularnie testujemy trafność, błędy, halucynacje, bias i drift na reprezentatywnych przypadkach.

Zapisuj próbkę, kryteria akceptacji, wynik, właściciela i decyzję o dopuszczeniu zmiany.

D4 Dobra praktyka Mamy ścieżkę zgłoszenia incydentu, log zdarzeń odpowiedni do ryzyka oraz procedurę zatrzymania lub wycofania zmiany.

Okres retencji logów ustal z prawa właściwego dla zastosowania i potrzeb dowodowych — nie ma jednego uniwersalnego okresu dla każdego AI.

Obszar E · 4 punkty

Dostawcy i łańcuch odpowiedzialności

Deklaracja „zgodne z AI Act” to za mało — zbierz dowody i ustal reakcję na zmiany.
0/4oceniono
E1 Dobra praktyka Dostawca opisał swoją rolę, system, wykorzystywane modele oraz obowiązki przekazywane klientowi biznesowemu.

Poproś o dokumentację, a nie tylko link do ogólnej strony „trust center”.

E2 Dobra praktyka Umowa dzieli odpowiedzialność za dane, konfigurację, komunikaty, monitoring, incydenty i aktualizacje systemu.

Zakres odpowiedzialności i ewentualne klauzule odszkodowawcze ustal z prawnikiem dla konkretnej relacji.

E3 Warunkowo Mamy dowody dotyczące obowiązków transparentności: oznaczania treści, informacji o interakcji z AI i zmian funkcji.

Dla systemów objętych art. 50 sprawdź, kto wdraża warstwę techniczną, a kto komunikat widoczny dla klienta.

E4 Dobra praktyka Dostawca ma obowiązek informować o istotnych zmianach modelu, danych, podprocesorów, lokalizacji i warunków użycia.

Ustal właściciela, który ocenia zmianę przed jej przyjęciem w produkcji.

Obszar F · 3 punkty

Dokumentacja i utrzymanie

Kontrola nie kończy się na wdrożeniu — potrzebujesz aktualnych dowodów, decyzji i właścicieli.
0/3oceniono
F1 Dobra praktyka Każdy system ma jedną aktualną kartę: cel, właściciel, rola, screening ryzyka, dane, dostawca, odbiorcy i zabezpieczenia.

Karta może być rekordem w rejestrze; ważne, żeby prowadziła do źródeł i dowodów.

F2 Dobra praktyka Logujemy istotne decyzje, wersje, testy, komunikaty i akceptacje z retencją dobraną do ryzyka oraz przepisów.

Nie zapisuj danych „na wszelki wypadek”; okres retencji powinien mieć uzasadnienie.

F3 Dobra praktyka Mamy cykl ponownej oceny oraz plan naprawczy z właścicielem, terminem i dowodem zamknięcia luki.

Ponów ocenę po istotnej zmianie modelu, celu, danych, dostawcy lub sposobu wpływania na klienta.

Interpretacja

Co oznacza wynik gotowości?

„Nie dotyczy” nie wchodzi do wyniku. Nie oceniaj na tej podstawie prawnej zgodności pojedynczego systemu.
≥ 90%

Dobra gotowość operacyjna - zweryfikuj obowiązki warunkowe i utrzymuj dowody.

70-89%

Istotne luki - nadaj właścicieli punktom „Nie” i „Częściowo” oraz ustal terminy.

< 70%

Dużo otwartych ryzyk - przygotuj plan naprawczy i włącz prawnika lub IOD tam, gdzie to potrzebne.

Metoda i źródła

Zaktualizowano po wytycznych Komisji z 20 lipca 2026 r.

Checklista rozdziela obowiązki, obowiązki warunkowe i zabezpieczenia operacyjne. Nie zastępuje kwalifikacji konkretnego systemu.

Następny krok

Zamień luki w plan z właścicielami i terminami

Przenieś wynik do rejestru systemów AI, a potem rozpisz działania na osiem tygodni.
Plan 8 tygodni Struktura rejestru Pakiet do art. 50

Materiały w tym dziale mają charakter organizacyjny i edukacyjny - nie stanowią porady prawnej. Korzystasz z nich na własną odpowiedzialność. Przed wdrożeniem w swojej firmie skonsultuj się z prawnikiem lub IOD - w szczególności przy klasyfikacji systemów jako wysokiego ryzyka, DPIA i umowach z dostawcami. Stan prawny: 23 lipca 2026 r.