Chatbot AI na stronie: obowiązki informacyjne z AI Act, RODO i ryzyka dla marki

Jakie obowiązki z AI Act ma firma z chatbotem na stronie?

Podstawowy obowiązek to przejrzystość: osoba wchodząca w interakcję z systemem AI musi zostać poinformowana, że rozmawia z AI, chyba że jest to oczywiste dla rozsądnie poinformowanej, uważnej i ostrożnej osoby, biorąc pod uwagę okoliczności. Informacja musi być jasna, wyraźna, przekazana najpóźniej przy pierwszej interakcji i zgodna z wymogami dostępności.

Formalnie art. 50 ust. 1 adresowany jest do dostawców systemów AI, którzy muszą tak zaprojektować system, by użytkownik był informowany. W praktyce rola Twojej firmy zależy od modelu wdrożenia:

Jeśli chatbot rozpoznaje emocje użytkownika (np. analizuje ton głosu w voicebocie), dochodzi obowiązek informowania z art. 50 ust. 3. Odpowiedzi chatbota widoczne tylko dla pytającego użytkownika nie są natomiast traktowane jako teksty publikowane w celu informowania o sprawach interesu publicznego, więc nie wymagają oznaczania na podstawie art. 50 ust. 4. Pełny przegląd obowiązków przejrzystości znajdziesz w artykule o oznaczaniu treści AI od 2 sierpnia 2026.

Za naruszenie obowiązków przejrzystości grożą kary do 15 mln euro lub 3% światowego obrotu. Kwalifikacja roli przy własnych wdrożeniach bywa niejednoznaczna, dlatego warto ją potwierdzić z prawnikiem.

Jak poinformować użytkownika, że rozmawia z AI?

Najlepiej w trzech miejscach jednocześnie: w nagłówku okna czatu, w pierwszej wiadomości i przy opcji kontaktu z człowiekiem. Informacja nie może być ukryta w regulaminie ani widoczna dopiero po kliknięciu.

Przykładowe sformułowania:

• „Asystent AI sklepu Twój Sklep. Odpowiedzi generuje sztuczna inteligencja i mogą zawierać błędy. W każdej chwili możesz poprosić o kontakt z konsultantem”.
• „Rozmawiasz z wirtualnym asystentem opartym na AI. Nie podawaj w czacie danych dotyczących zdrowia ani numerów kart”.

Fragment widżetu z informacją dostępną także dla czytników ekranu:

<section class="chat-window" role="dialog" aria-labelledby="chat-title" aria-describedby="chat-ai-info">
  <header>
    <h2 id="chat-title">Asystent AI</h2>
    <p id="chat-ai-info">Rozmawiasz ze sztuczną inteligencją. Odpowiedzi mogą zawierać błędy.
      <a href="/kontakt/">Połącz z konsultantem</a> · <a href="/polityka-prywatnosci/#chat">Jak przetwarzamy dane</a>
    </p>
  </header>
  <div class="chat-messages" aria-live="polite"></div>
</section>

W voicebotach informację podaj na początku połączenia, zanim rozmówca zacznie przekazywać dane. Nie nadawaj botowi ludzkiego imienia i zdjęcia bez wyraźnej informacji, że jest AI – to typowy sposób na niechcący „nieoczywistą” sytuację.

RODO i chatbot: jakie dane zbiera i co musisz zapewnić?

Każda rozmowa, w której użytkownik podaje imię, e-mail, numer zamówienia czy opisuje swoją sytuację, to przetwarzanie danych osobowych. Chatbot oparty na LLM dodaje do tego przekazywanie treści rozmów dostawcy modelu.

Bezpieczne zasady pracy z danymi klientów w narzędziach AI opisujemy szerzej w artykule o danych klientów w AI a RODO, a podstawy prawne przetwarzania w marketingu – w tekście o RODO w reklamie online.

Cookies. Widżety czatu często zapisują identyfikatory w przeglądarce. Jeśli służą wyłącznie do utrzymania rozmowy, mogą być uznane za niezbędne; jeśli dostawca używa ich do analityki lub reklamy, potrzebna jest zgoda w CMP. Wymogi Prawa komunikacji elektronicznej omawiamy w przewodniku o banerze cookies zgodnym z TCF 2.3.

Marketing. Jeśli chatbot zbiera adres e-mail lub numer telefonu w celu wysyłki ofert, zgoda na marketing bezpośredni musi być odrębna, dobrowolna i wyrażona aktywnie – nie może wynikać z samego rozpoczęcia rozmowy.

Odpowiedzialność za odpowiedzi chatbota: ryzyka dla marki

Firma odpowiada za informacje przekazywane klientom przez swoje kanały, także przez chatbota. Głośnym przykładem jest sprawa z 2024 roku, w której kanadyjski trybunał uznał linię lotniczą za odpowiedzialną za błędną informację o zniżce udzieloną przez jej chatbota. W Polsce błędne informacje o cenie, warunkach zwrotu czy gwarancji mogą prowadzić do sporów z klientami, a w skali – do zarzutu nieuczciwej praktyki rynkowej.

Najczęstsze ryzyka i sposoby ich ograniczania:

1. Zmyślone informacje. Opieraj odpowiedzi na zatwierdzonej bazie wiedzy (regulamin, cennik, FAQ) i instruuj model, by przy braku informacji odsyłał do konsultanta.
2. Obietnice bez pokrycia. Zablokuj możliwość przyznawania rabatów, zmiany warunków umowy i deklaracji prawnych.
3. Manipulacja poleceniami (prompt injection). Testuj, czy użytkownik może skłonić bota do ujawnienia instrukcji, danych innych klientów lub wygenerowania obraźliwych treści.
4. Wyciek danych. Bot z dostępem do systemu zamówień powinien weryfikować tożsamość przed podaniem szczegółów zamówienia.
5. Treści niezgodne z marką. Zdefiniuj ton i tematy zakazane; spójność komunikacji omawiamy w tekście o brand voice a AI, a ochronę reputacji – w artykule o brand safety.
6. Brak wyjścia do człowieka. Zapewnij przełączenie na konsultanta lub formularz kontaktowy w każdym momencie rozmowy.

Sam dopisek „odpowiedzi mogą zawierać błędy” nie zdejmuje z firmy odpowiedzialności, ale pomaga ustawić oczekiwania użytkownika.

Jak mierzyć chatbota w GA4, nie łamiąc zasad prywatności?

Mierz interakcje, a nie treść rozmów. Do GA4 przekazuj zdarzenia (otwarcie czatu, wysłanie wiadomości, przełączenie na konsultanta, pozostawienie kontaktu), ale nigdy treści wiadomości, adresów e-mail czy numerów telefonów. Przykładowe wywołania dataLayer:

// Otwarcie okna czatu
window.dataLayer = window.dataLayer || [];
window.dataLayer.push({ event: 'chat_open', chat_type: 'ai_assistant' });

// Przełączenie na konsultanta – bez treści rozmowy i danych osobowych
window.dataLayer.push({ event: 'chat_handoff', chat_type: 'ai_assistant', handoff_reason: 'user_request' });

// Pozostawienie kontaktu (tylko informacja o zdarzeniu, bez adresu e-mail)
window.dataLayer.push({ event: 'chat_lead', chat_type: 'ai_assistant', lead_topic: 'oferta_b2b' });

W GTM utwórz reguły typu Custom Event dla tych nazw i tagi zdarzeń GA4. Zdarzenie chat_lead możesz oznaczyć jako kluczowe – jak to zrobić i nadać mu wartość, opisujemy w tekście o zdarzeniach kluczowych w GA4. Tagi uruchamiaj zgodnie ze stanem zgód.

Checklista wdrożenia chatbota AI na stronie

1. Ustal rolę firmy (dostawca czy podmiot stosujący) i zapisz ją w dokumentacji projektu.
2. Dodaj informację o AI w nagłówku, w pierwszej wiadomości i w wersji dostępnej dla czytników ekranu.
3. Podpisz umowy powierzenia z dostawcą widżetu i modelu, sprawdź transfery poza EOG i ustawienia trenowania.
4. Zaktualizuj politykę prywatności i dodaj skróconą informację w oknie czatu.
5. Ustal okres przechowywania transkrypcji i wdróż automatyczne usuwanie.
6. Skonfiguruj cookies widżetu zgodnie z CMP i oddziel zgodę na marketing.
7. Zbuduj bazę wiedzy z regulaminu, cennika i FAQ; zablokuj tematy i deklaracje zakazane.
8. Przetestuj bota: 50–100 pytań, w tym próby manipulacji i pytania spoza zakresu.
9. Zapewnij przełączenie na człowieka i monitoruj rozmowy zakończone frustracją.
10. Wpisz chatbota do firmowej polityki AI – wzór znajdziesz w artykule o polityce korzystania z AI.

Przy wdrożeniach agentowych, w których bot wykonuje działania (np. zmienia zamówienia), ryzyka rosną – przegląd możliwości i ograniczeń agentów przedstawiamy w tekście o agentach AI w marketingu. Ten artykuł nie stanowi porady prawnej; przed wdrożeniem skonsultuj się z prawnikiem i osobą odpowiedzialną za ochronę danych. Więcej tekstów znajdziesz w podtemacie Prawo i etyka AI.