Na jednej z reklam, które w 2024 roku krążyły po Facebooku i Instagramie, Rafał Brzoska stał w kajdankach. Na innych zachęcał do inwestycji. Twarz założyciela InPostu była w tej operacji jedynym prawdziwym elementem i jedynym, który miał znaczenie, bo to ona sprawiała, że ludzie klikali i tracili pieniądze.

W sierpniu 2024 roku Prezes UODO zobowiązał Metę do ograniczenia przetwarzania danych. W listopadzie Brzoska i Omenaa Mensah złożyli pozew i uzyskali zabezpieczenie, które nakazywało blokowanie reklam. W kwietniu 2026 roku Sąd Apelacyjny w Warszawie przesądził, że odpowiedzialność za takie materiały ponosi właściciel platformy.

Sprawa skończyła się wygraną. Zajęła półtora roku, wymagała pracy zespołu prawników i rozpoznawalności Brzoski i Mensah.

To dobry punkt wyjścia do opowiedzenia o przepisach, które zaczęły obowiązywać 2 sierpnia 2026 roku. Unijne prawo rzeczywiście zajęło się treściami tworzonymi przez sztuczną inteligencję, tylko nie w tym miejscu, w którym firmy się tego spodziewają.

Nowy obowiązek

Artykuł 50 unijnego rozporządzenia o sztucznej inteligencji wprowadził obowiązki przejrzystości i — wbrew krążącym opiniom — nie został odsunięty w czasie.

Ciężar rozkłada się na dwie grupy. Pierwsza to dostawcy systemów generujących treści syntetyczne, którzy muszą oznaczać wynik w sposób możliwy do odczytania maszynowo; oznacza to tyle, że znacznik siedzi w samym pliku, a nie w podpisie. Druga grupa to ci, którzy z takich systemów korzystają zawodowo. Muszą ujawniać odbiorcy, że publikowany materiał powstał albo został zmieniony przy użyciu AI. Doszedł też obowiązek uprzedzenia człowieka, że rozmawia z systemem, na przykład chatbotem, a nie z konsultantem.

Zakres jest węższy, niż sugerują nagłówki, bowiem obowiązek dotyczy działalności zawodowej. Kartka świąteczna z generatora nie podlega oznaczaniu. Wyłączone są treści artystyczne, satyryczne i fikcyjne, a także materiały prasowe, za które ktoś ponosi odpowiedzialność redakcyjną. Rozjaśnienie zdjęcia nie robi z niego deepfake’a.

Gdy już dojdzie do naruszenia, kary sięgają 15 milionów euro albo 3 procent rocznego obrotu. W Polsce egzekwuje je Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, powołana ustawą opublikowaną 27 lipca 2026 roku; weszła w życie w sierpniu, część przepisów zaczyna być stosowana pod koniec października. Komisja dopiero się rozpędza.

Jeśli używasz AI w marketingu, obsłudze klienta albo przy wizualizacjach, to jest zmiana, której trzeba się przyjrzeć.

Dlaczego to nie jest tarcza

Obowiązek oznaczania działa na tych, którzy przestrzegają przepisów. Ktoś, kto podrabia twarz i głos Twojego prezesa, ma już za sobą poważniejsze naruszenia i nie zatrzyma się przed brakiem właściwego oznaczenia treści.

Jedna rzecz jednak się zmieniła. Brak oznaczenia przestał być kwestią obyczaju i stał się naruszeniem unijnego rozporządzenia. To dodatkowy argument w zgłoszeniu do platformy i we wniosku do sądu: nie tylko „ten materiał narusza wizerunek”, ale też „ten materiał nie spełnia wymogów stawianych treściom syntetycznym”. Jest to argument, nie narzędzie, jednak skutecznie wzmacnia środki, które faktycznie usuwają treści naruszające prawo.

Kto właściwie jest pokrzywdzony

Tu zaczyna się różnica, która przesądza o tym, kto podpisuje pozew i którą łatwo przeoczyć, bo intuicja podpowiada, że skoro ucierpiała firma, to firma idzie do sądu.

Ściśle rzecz biorąc, firma nie ma wizerunku w takim znaczeniu jak człowiek. Deepfake wykorzystuje najczęściej twarz i głos konkretnej osoby, ale swoją wiarygodność czerpie z jej związku z firmą, stanowiska, marki, logo czy otoczenia. Dlatego jedno fałszywe nagranie może jednocześnie naruszać prawa konkretnego człowieka i reputację spółki.

Wizerunek w rozumieniu art. 81 prawa autorskiego ma człowiek. Jego rozpowszechnianie wymaga zgody, a podrobione nagranie jest rozpowszechnianiem wizerunku w sytuacji, w której dana osoba nigdy się na to nie zgodziła. Roszczenie ma więc prezes, członek zarządu albo pracownik jako osoba fizyczna, nie jako funkcja w spółce.

Spółka broni czegoś innego: renomy i dobrego imienia, na podstawie przepisów o dobrach osobistych stosowanych do osób prawnych przez art. 43 Kodeksu cywilnego. Inna szkoda, inna podstawa. Nie „użyto mojej twarzy”, tylko „podszyto się pod moją markę i podważono zaufanie do niej”.

Pierwsze dwa dni

O wyniku decyduje przede wszystkim kolejność działań, a nie wybór podstawy prawnej.

Zabezpiecz dowody. Adresy, zrzuty ekranu z widoczną datą, nazwy kont, zasięgi. Treść usunięta przez platformę potrafi zniknąć również z Twoich dowodów.

Zgłoś materiał platformie w trybie z aktu o usługach cyfrowych, wskazując naruszenie wizerunku i brak oznaczenia treści syntetycznej. Platforma może usunąć materiał już na tym etapie, ale ta sama treść może wrócić nazajutrz z innego konta. Reagowanie na deepfake jest procesem, a nie jednym zgłoszeniem.

Ostrzeż klientów. Krótki komunikat na własnych kanałach ogranicza straty szybciej niż jakikolwiek sąd.

Rozważ wniosek o zabezpieczenie, sąd może nakazać blokowanie treści na czas procesu. To jedyne narzędzie działające w tygodniach, a nie w latach.

Zostaje jeszcze zawiadomienie o podejrzeniu popełnienia przestępstwa. Podszywanie się pod inną osobę z wykorzystaniem jej wizerunku w celu wyrządzenia szkody jest przestępstwem z art. 190a § 2 Kodeksu karnego, ściganym na wniosek pokrzywdzonego; jeśli ktoś stracił pieniądze, w grę wchodzi też oszustwo z art. 286 k.k. Postępowanie karne rzadko jest szybkie, ale bywa jedyną drogą do ustalenia, kto stoi za kontem.

Przygotuj się, zanim będzie potrzebna reakcja

O takiej sprawie prawie nigdy nie dowiadujesz się pierwszy. Dowiadujesz się od klienta, który już przelał pieniądze, albo od znajomego, któremu coś się nie zgadzało. Między publikacją a Twoją wiedzą mijają dni i to one kosztują najwięcej.

Trzy rzeczy, które warto ustalić wcześniej, bo później nie ma na nie czasu: kto monitoruje wzmianki o marce i nazwiskach zarządu, kto może w ciągu godziny podjąć kroki prawne, zabezpieczyć materiał dowodowy, podpisać zgłoszenie oraz co dokładnie napiszecie klientom.

Nie chodzi o przygotowanie procedury na każdą możliwą sytuację. Chodzi o to, żeby w chwili, w której pojawi się problem, nie zaczynać od ustalania, kto właściwie ma się nim zająć. W kryzysie reputacyjnym pierwsze godziny służą do działania, nie do organizowania działania.

Źródła