Jak bezpiecznie korzystać z AI w marketingu? AI Act, RODO i anonimizacja danych w praktyce

Zastrzeżenie: ten artykuł ma charakter informacyjny i opisuje stan prawny na 4 listopada 2026 roku. Nie jest poradą prawną. Przy konkretnych wdrożeniach, zwłaszcza dotyczących danych osobowych, skonsultuj się z prawnikiem lub inspektorem ochrony danych.

Pracuję z narzędziami AI na co dzień, w projektach dla firm B2B w Polsce i za granicą. Najczęstsze pytania, które słyszę od właścicieli MŚP i dyrektorów marketingu, nie dotyczą tego, czy AI używać, tylko jak robić to bez ryzyka prawnego i wizerunkowego. Poniżej zebrałam odpowiedzi oparte na tekstach źródłowych: rozporządzeniu, wytycznych Komisji Europejskiej i Europejskiej Rady Ochrony Danych (EROD/EDPB).

Czym jest AI Act i kogo dotyczy w marketingu?

AI Act wszedł w życie 1 sierpnia 2024 roku, a jego przepisy zaczynają obowiązywać etapami (harmonogram wdrażania). Najważniejsze daty dla marketingu:

Dwie ostatnie daty zostały przesunięte przez tzw. Digital Omnibus on AI, czyli rozporządzenie (UE) 2026/1744. Opublikowano je w Dzienniku Urzędowym UE 24 lipca 2026 roku (Parlament Europejski, Legislative Train, EUR-Lex). Ważne: omnibus nie przesunął obowiązków przejrzystości z art. 50. Odroczył jedynie oznaczanie maszynowe (art. 50 ust. 2) dla systemów już obecnych na rynku i tylko do 2 grudnia 2026 roku.

Omnibus zmienił też treść art. 4 o kompetencjach w zakresie AI (AI literacy). Dostawcy i podmioty stosujące mają podejmować działania wspierające rozwój kompetencji AI swoich pracowników i osób działających w ich imieniu, przy czym przepis wprost nie wymaga zagwarantowania określonego poziomu tych kompetencji (Komisja Europejska, AI Literacy Q&A). Dla działu marketingu oznacza to w praktyce: szkolenie zespołu i udokumentowane zasady pracy z AI.

Polska. 11 sierpnia 2026 roku weszła w życie ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), a przepisy dotyczące nadzoru, postępowań i kar obowiązują od 28 października 2026 roku (ELI, Dziennik Ustaw). Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Na pierwszym posiedzeniu, 28 października 2026 roku, Komisja zapowiedziała, że jej pierwsze wyjaśnienia skupią się właśnie na art. 50, czyli na oznaczaniu treści i informowaniu użytkowników o kontakcie z AI (gov.pl/kribsi).

Kiedy trzeba oznaczać treści wygenerowane przez AI?

Tak wynika z art. 50 ust. 4 AI Act (treść art. 50). Przełożenie na sytuacje marketingowe:

• Deepfake w kampanii. Wygenerowane wideo z osobą, która wygląda jak prawdziwa, „nagranie” prezesa, którego nie było, realistyczne zdjęcie nieistniejącego wydarzenia: trzeba ujawnić, że treść jest sztucznie wygenerowana. Przy treściach oczywiście artystycznych, satyrycznych lub fikcyjnych obowiązek ogranicza się do ujawnienia w sposób, który nie przeszkadza w odbiorze dzieła.
• Artykuły i komunikaty o sprawach publicznych. Jeśli tekst wygenerowany przez AI ma informować o sprawach interesu publicznego, oznaczenie jest wymagane, chyba że przeszedł ludzką redakcję i ktoś bierze za niego odpowiedzialność redakcyjną. To dodatkowy argument za modelem human in the loop.
• Chatbot na stronie. Art. 50 ust. 1 nakłada na dostawców obowiązek takiego zaprojektowania systemu, żeby użytkownik wiedział, że rozmawia z AI, chyba że jest to oczywiste. Jeśli firma sama buduje i wdraża chatbota, może sama być dostawcą w rozumieniu AI Act.
• Termin informacji. Informacja musi być jasna, wyraźna i przekazana najpóźniej przy pierwszej interakcji lub pierwszym kontakcie z treścią (art. 50 ust. 5).

Komisja Europejska opublikowała 20 lipca 2026 roku wytyczne do art. 50 (komunikat KE), a 10 czerwca 2026 roku dobrowolny Kodeks praktyk dotyczący oznaczania treści generowanych przez AI. Kodeks zawiera osobną sekcję dla podmiotów stosujących, a UE udostępniła zestaw ikon do oznaczania takich treści (Kodeks praktyk).

Typowy tekst ekspercki na bloga firmowego, przygotowany z pomocą AI i zredagowany przez autora, zwykle nie mieści się w kategorii „tekstu o sprawach interesu publicznego bez ludzkiej redakcji”. Granica bywa jednak nieostra, dlatego w razie wątpliwości warto sięgnąć do wytycznych Komisji albo zapytać prawnika. Dobrowolne oznaczanie, na przykład dopiskiem o wykorzystaniu AI w procesie, jest decyzją wizerunkową firmy.

Jakich danych nie wolno wklejać do narzędzi AI?

Lista kontrolna dla zespołu marketingu:

• Bazy kontaktów i eksporty z CRM: imiona, nazwiska, e-maile, telefony, historia zakupów.
• Korespondencja z klientami: e-maile, zapytania ofertowe, reklamacje, nagrania i transkrypcje rozmów handlowych.
• Dane pracowników: oceny, wynagrodzenia, CV kandydatów.
• Dokumenty poufne: umowy, oferty z cenami indywidualnymi, wyniki finansowe przed publikacją, strategie i plany produktowe.
• Wizerunek i głos konkretnych osób: zdjęcia i nagrania, które mają posłużyć do generowania nowych treści.
• Dane logowania i klucze dostępu: hasła, tokeny API, dane do kont reklamowych.

To, czy dane osobowe można przetwarzać w konkretnym narzędziu, zależy od podstawy prawnej, celu przetwarzania, umowy powierzenia z dostawcą, miejsca przetwarzania danych i ustawień narzędzia, w tym tego, czy dostawca wykorzystuje wprowadzone dane do trenowania modeli. Zanim zespół zacznie pracę, te kwestie powinien sprawdzić inspektor ochrony danych lub osoba odpowiedzialna za RODO w firmie.

Jak anonimizować dane przed użyciem AI?

To rozróżnienie jest kluczowe w praktyce. RODO definiuje pseudonimizację w art. 4 pkt 5 jako przetworzenie danych w taki sposób, że nie można ich przypisać konkretnej osobie bez użycia dodatkowych informacji, przechowywanych osobno i odpowiednio zabezpieczonych. EDPB w wytycznych 01/2025 podkreśla, że dane spseudonimizowane, które można przypisać osobie przy użyciu dodatkowych informacji, pozostają danymi osobowymi, także wtedy, gdy klucz ma ktoś inny (EDPB, wytyczne 01/2025). Pseudonimizacja zmniejsza ryzyko, ale nie wyłącza stosowania RODO.

W lipcu 2026 roku EDPB przyjęła wytyczne 02/2026 dotyczące anonimizacji (wersja poddana konsultacjom publicznym, które trwały do 30 października 2026 roku). Proponują one trzy kryteria, po spełnieniu których dane można uznać za anonimowe: brak możliwości wyodrębnienia rekordu, brak możliwości powiązania z innymi danymi i brak możliwości wnioskowania o konkretnej osobie (EDPB, komunikat z 8 lipca 2026).

Praktyczny proces przed użyciem AI w marketingu:

1. Zadaj pytanie, czy w ogóle potrzebujesz danych osobowych. Do napisania odpowiedzi na typowe pytanie klienta zwykle wystarczy samo pytanie, bez nazwiska i adresu e-mail.
2. Usuń identyfikatory bezpośrednie: imiona i nazwiska, e-maile, telefony, adresy, numery klientów, numery zamówień.
3. Usuń lub uogólnij identyfikatory pośrednie: nazwę firmy klienta, stanowisko, miejscowość, rzadkie cechy. W B2B połączenie „stanowisko + branża + miasto” często wystarczy, żeby zidentyfikować konkretną osobę.
4. Agreguj zamiast przekazywać rekordy. Do analizy kampanii przekaż zestawienie, na przykład liczbę leadów według źródła i miesiąca, a nie listę leadów.
5. Sprawdź efekt trzema pytaniami EDPB: czy da się wyodrębnić jedną osobę, połączyć dane z innym zbiorem albo wywnioskować coś o konkretnej osobie?
6. Jeśli dane pozostają osobowe (np. po pseudonimizacji), traktuj je zgodnie z RODO i używaj wyłącznie narzędzi zatwierdzonych w firmie, z umową powierzenia.

Jak stworzyć w firmie prostą politykę korzystania z AI?

Minimalna struktura, którą rekomenduję:

1. Lista zatwierdzonych narzędzi z informacją, do czego służą i z jakim planem lub kontem firmowym się z nich korzysta.
2. Klasyfikacja danych: co wolno wprowadzać (dane publiczne, treści własne), co tylko po anonimizacji, a czego nigdy.
3. Zasada human in the loop: każda treść zewnętrzna przygotowana z pomocą AI ma osobę zatwierdzającą, która weryfikuje fakty i odpowiada za publikację.
4. Zasady oznaczania: kiedy oznaczamy treści zgodnie z art. 50 AI Act (deepfake, określone teksty, chatbot) i jakiego oznaczenia używamy.
5. Wizerunek i prawa: zakaz generowania wizerunku lub głosu realnych osób bez ich zgody.
6. Szkolenia: krótkie szkolenie przy wdrożeniu i aktualizacja przy zmianie narzędzi lub przepisów. To element realizacji art. 4 AI Act.
7. Zgłaszanie incydentów: co robić, gdy ktoś wklei do narzędzia dane, których nie powinien.
8. Właściciel dokumentu i data przeglądu. Przepisy i wytyczne zmieniają się, więc politykę warto przeglądać regularnie, na przykład co pół roku.

FAQ: AI Act, RODO i AI w marketingu