Cyfrowy wizerunek AI w Polsce: co wolno robić, a co grozi odpowiedzialnością

21 września 2026 · Bartłomiej Spasowski, Założyciel, modulla · PL

Czym jest cyfrowy wizerunek AI i dlaczego firmy muszą to rozumieć

Cyfrowy wizerunek AI to każda synteza lub modyfikacja podobizny, głosu albo zachowania realnej osoby przy użyciu generatywnych modeli sztucznej inteligencji. Obejmuje deepfake'i wideo, klonowanie głosu, fotorealistyczne awatary i cyfrowe repliki twarzy. Podlega równocześnie prawu autorskiemu, kodeksowi cywilnemu, RODO i AI Act. Stosowanie tych technologii bez zrozumienia ram prawnych to realne ryzyko finansowe i wizerunkowe.

Dlaczego to ważne właśnie teraz: sierpień 2026 zmienia reguły gry

Od 2 sierpnia 2026 roku obowiązują nowe przepisy transparentności z art. 50 AI Act [3]. To nie jest odległa regulacja do zaplanowania. To bieżące wymagania, które dotyczą każdej agencji, marki i twórcy treści działającego na polskim rynku.

Powiedzmy sobie wprost: rynek nie jest na to gotowy. Z badania przeprowadzonego przez Prezesa Urzędu Ochrony Danych Osobowych wynika, że prawie 96% organizacji uważa się za nieprzygotowane do wdrożenia narzędzi AI zgodnie z RODO [12]. Blisko 50% firm nie dostrzega w ogóle związku między korzystaniem z narzędzi AI a przetwarzaniem danych osobowych [12].

W tym samym czasie skala nadużyć rośnie. Między lipcem 2025 a czerwcem 2026 roku Meta usunęła z polskiego rynku 380 000 materiałów naruszających jej zasady i 137 000 fałszywych reklam, w tym deepfake'owe kampanie z wizerunkami znanych osób publicznych [2]. Sprawa Rafała Brzoski i Omenay Mensah zakończyła się tym, że UODO wydał nakazowe decyzje wobec Meta i wymusił wdrożenie specjalnych mechanizmów ochrony dla osób publicznych w Polsce [2].

Dla firm oznacza to jedno: presja regulacyjna i presja rynkowa działają równocześnie.

Trzy warstwy prawa chroniące wizerunek w Polsce

Wizerunek chroniony jest w Polsce przez kilka przepisów jednocześnie, co sprawia, że naruszenie jednego prawa często pociąga za sobą naruszenie kolejnych.

Warstwa 1: prawo autorskie

Art. 81 ustawy o prawie autorskim i prawach pokrewnych wymaga wyraźnej zgody osoby na rozpowszechnianie jej wizerunku [26]. Kluczowy punkt, który większość firm pomija: zgoda na tradycyjną sesję zdjęciową nie obejmuje automatycznie prawa do stworzenia cyfrowego awatara, trenowania modelu AI ani generowania deepfake'a [1]. Każde nowe pole eksploatacji wymaga osobnej klauzuli w umowie.

Warstwa 2: dobra osobiste

Art. 23 i 24 Kodeksu cywilnego traktują wizerunek i głos jako dobra osobiste człowieka podlegające bezwzględnej ochronie [6]. Naruszenie tych przepisów uprawnia poszkodowanego do żądania zaniechania działania, usunięcia skutków naruszenia i zadośćuczynienia finansowego. Sądy w sprawach deepfake'owych coraz częściej odrzucają argument o "pasywnym pośrednictwie" platform [6].

Warstwa 3: RODO i AI Act

Cyfrowe odwzorowanie twarzy identyfikuje osobę, więc jest daną osobową. Przy przetwarzaniu technicznym staje się daną biometryczną w rozumieniu art. 4 pkt 14 RODO. AI Act nakłada na to kolejną warstwę: zakazy praktyk wysokiego ryzyka obowiązują od lutego 2025 roku, a obowiązki transparentności z art. 50 weszły w życie od 2 sierpnia 2026 roku [3].

Co wolno, a czego nie: matryca dopuszczalności

Obszar działania	Co jest dopuszczalne	Co jest zakazane
Marketing i reklama	Cyfrowe awatary na podstawie pisemnej zgody z precyzyjnymi polami eksploatacji [1]	Publikacja syntetycznej podobizny realnej osoby w reklamie bez jej wiedzy i zgody [2]
Obróbka graficzna	Retusz kosmetyczny, zmiana kontrastu, kadrowanie, korekcja kolorów [7]	Fotorealistyczne deepfake'i bez oznaczenia, generowanie fałszywych wypowiedzi [3]
Treści pisane AI	Artykuły i posty wspomagane AI, jeśli przeszły ludzką redakcję z pełną odpowiedzialnością [7]	Syntetyczne teksty w sprawach interesu publicznego bez oznaczenia źródła [31]
Obsługa klienta	Chatbot informujący na wstępie, że rozmawia z automatycznym asystentem [22]	Bot z fałszywą ludzką personą, imieniem pracownika lub zdjęciem avatara człowieka [22]
HR i rekrutacja	Wspomaganie selekcji CV przez człowieka z ostateczną decyzją po stronie ludzkiej [25]	Analiza emocji na wideo-rozmowach kwalifikacyjnych, masowe pobieranie zdjęć kandydatów [25]
Trenowanie modeli	Trenowanie AI na własnych materiałach lub bazach z odpowiednią licencją [1]	Web scraping zdjęć i danych biometrycznych w celu budowania baz rozpoznawania twarzy [25]
Satyra i fikcja	Wyraźnie abstrakcyjne grafiki, parodia nieudająca rzeczywistości [5]	Materiały intymne lub kompromitujące z wizerunkiem realnych osób [9]

Jak wdrożyć zgodność krok po kroku

Tu zaczyna się różnica między firmami, które traktują AI Act jako bufor ryzyka, a tymi, które podchodzą do niego jak do standardu jakości procesu.

Krok 1: inwentaryzacja narzędzi AI

Pierwszym krokiem jest spisanie wszystkich algorytmów używanych wewnętrznie oraz przez podwykonawców i agencje. Chodzi o ustalenie, kto w łańcuchu dostaw jest "dostawcą" narzędzia (podmiotem tworzącym system AI), a kto jest "podmiotem stosującym" (firmą wdrażającą narzędzie do własnych celów) [2]. Ten podział decyduje o podziale odpowiedzialności prawnej.

Krok 2: audyt umów z twórcami i modelami

Standardowa zgoda na sesję zdjęciową nie wystarczy. Umowy z modelami, influencerami i pracownikami muszą zawierać precyzyjne klauzule obejmujące: cyfrową syntezę wizerunku, klonowanie głosu, określone pola eksploatacji oraz kanały dystrybucji [1]. Brakująca klauzula to otwarta luka odpowiedzialności.

Krok 3: wdrożenie dwuwarstwowego systemu oznaczeń

AI Act art. 50 nakłada obowiązki na dwa poziomy jednocześnie [3]:

Warstwa techniczna (backend): dostawca narzędzia musi zapewnić maszynowo odczytywalne metadane lub cyfrowe znaki wodne w generowanych plikach [3].
Warstwa konsumencka (frontend): firma publikująca treść musi zapewnić czytelne, widoczne oznaczenie dla odbiorcy końcowego, np. etykietę "wygenerowane przez AI" lub komunikat lektora w materiale wideo [7].

Wyjątkiem jest drobny retusz techniczny oraz teksty, za które pełną odpowiedzialność redakcyjną przejął człowiek [7].

Krok 4: protokół reagowania na incydenty deepfake

Gdy wizerunek prezesa lub marki zostanie użyty bez zgody w deepfake'owej kampanii, materiały znikają i pojawiają się pod zmieniającymi się adresami URL [37]. Zrzut ekranu to za mało. Firma potrzebuje procedury, która obejmuje sporządzenie notarialnego protokołu otwarcia strony, przechwycenie nagłówków sieciowych i pełne dane konta w ciągu pierwszych 48 godzin, zanim ślad po kampanii zniknie [37].

Krok 5: lista kontrolna UODO przed wdrożeniem narzędzia

Prezes UODO opublikował zestawy pytań wstępnych do własnej oceny narzędzi AI. Wersja dla MŚP zawiera 26 pytań diagnostycznych, a wersja rozszerzona dla zaawansowanych wdrożeń obejmuje 73 pytania [12]. Wypełnienie tej listy przed uruchomieniem narzędzia, a nie po, to konkretna ochrona przed zarzutem zaniedbania.

Typowe błędy i jak ich unikać

Błąd 1: analogia do tradycyjnej fotografii

Firmy często zakładają, że skoro model podpisał zgodę na sesję produktową, to zdjęcia można swobodnie wrzucić do narzędzia AI i wygenerować syntetyczny awatar. To błąd. Zgoda na tradycyjną sesję zdjęciową nie przenosi praw do syntez cyfrowych [1]. Brakujące pole eksploatacji to potencjalne roszczenie.

Błąd 2: mylenie retuszu z deepfake'iem

Korekcja kolorów i kadrowanie nie wymagają oznaczeń AI. Wygenerowanie fotorealistycznej sceny z twarzą realnej osoby już tak [7]. Granica przebiega tam, gdzie technologia tworzy coś, czego nigdy nie było, a odbiorca może uwierzyć, że miało to miejsce naprawdę.

Błąd 3: odpowiedzialność "zostawiona" agencji

Marka zlecająca kampanię agencji jest podmiotem stosującym w rozumieniu AI Act. Jeśli agencja nie oznaczy treści prawidłowo, odpowiedzialność spada na cały łańcuch dostaw [2]. Bez klauzul umownych jasno dzielących obowiązki, reklamodawca odpowiada za błąd podwykonawcy.

Błąd 4: brak planu reagowania

Brak protokołu reagowania to najdroższy błąd. Gdy deepfake wideo z wizerunkiem prezesa pojawia się na Facebooku, liczy się pierwsza godzina. Firmy bez gotowego planu tracą okno dowodowe i tracą czas na ustalenie, kto w organizacji ma skontaktować się z platformą [37].

Skala problemu: dane, które warto znać

Liczby z polskiego rynku mówią same za siebie. Między lipcem 2025 a czerwcem 2026 Meta usunęła z Polski 380 000 materiałów naruszających zasady platformy i 137 000 fałszywych reklam, z czego 88% wykrytych proaktywnie, po nakazowych decyzjach UODO [2]. To nie jest margines. To masowa kampania oszustw opartych na wizerunkach realnych osób.

Z drugiej strony gotowość organizacyjna wygląda niepokojąco. Prezes UODO przeprowadził badanie wśród administratorów danych: niemal 96% podmiotów uznało się za nieprzygotowane do wdrożenia narzędzi AI zgodnie z RODO, a blisko połowa nie dostrzega w ogóle związku między używaniem AI a przetwarzaniem danych osobowych [12]. Najczęstsza praktyka to ocena zgodności po wdrożeniu narzędzia, a nie przed nim [12].

Sednem jest co innego: nie chodzi tylko o kary. Kary za naruszenie zasad transparentności AI Act sięgają 15 mln euro lub 3% rocznego światowego obrotu [3], a za stosowanie zakazanych praktyk biometrycznych do 35 mln euro lub 7% obrotu [4]. Chodzi też o to, że firmom, które zbudują wiarygodny proces zarządzania wizerunkiem AI teraz, zysk reputacyjny przeniesie się bezpośrednio na wartość marki w oczach klientów.

Polska implementuje AI Act przez projekt ustawy o systemach sztucznej inteligencji, który tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako centralny organ nadzoru rynku [4]. W ramach projektu firmy zyskają możliwość uzyskania indywidualnych opinii, czyli wiążących interpretacji planowanych wdrożeń AI [19]. To konkretne narzędzie ograniczania ryzyka, z którego warto skorzystać przed uruchomieniem projektu, a nie po pierwszej kontroli.

Odpowiedzialność karna: gdy dochodzi do ścigania

Polskie prawo karne nie ma jeszcze odrębnego przepisu o nazwie "deepfake". Prezes UODO formalnie wezwał Ministerstwo Cyfryzacji do wprowadzenia takich przepisów, wskazując na niewystarczalność istniejących regulacji [18]. Do czasu ich uchwalenia prokuratura korzysta z przepisów ogólnych: art. 190a par. 2 k.k. przy podszywaniu się pod osobę, art. 212 k.k. przy zniesławieniu przez fałszywe przypisywanie wypowiedzi, art. 286 k.k. przy wykorzystaniu klonowanego głosu do wyłudzenia pieniędzy [9].

Dla porównania: Włochy jako pierwsze państwo UE wprowadziły odrębny typ przestępstwa za niekonsensualne deepfake'i z karami od roku do pięciu lat pozbawienia wolności [20]. Polska jest na etapie projektowania analogicznych przepisów [18].

Podsumowanie i CTA

Regulacje cyfrowego wizerunku AI tworzą w Polsce splot przepisów, który dotyka każdej firmy używającej narzędzi generatywnych w marketingu, HR lub obsłudze klienta. Dwie daty są kluczowe: luty 2025 roku przyniósł zakaz masowego pobierania danych biometrycznych, a sierpień 2026 roku wprowadził obowiązki transparentności z konkretnymi karami finansowymi.

Firmy, które budują ten proces teraz, mają przewagę: nie tylko unikają ryzyka, ale też zyskują wiarygodność w oczach klientów i partnerów, dla których "jak to robicie" staje się coraz ważniejszym pytaniem zakupowym.

Jeśli chcesz przejrzeć, które z używanych narzędzi AI wymagają dostosowania umów, oznaczeń lub procedur wewnętrznych, porozmawiaj z nami. Zaczniemy od inwentaryzacji, a nie od gotowego szablonu.

FAQ: pytania o cyfrowy wizerunek AI w Polsce

Czy AI-generowane treści tekstowe na blogu firmy muszą być oznaczane jako "stworzone przez AI"?

Nie, jeśli przeszły pełną redakcję człowieka, który bierze za nie odpowiedzialność. Art. 50(4) AI Act przewiduje wyjątek dla tekstów poddanych redakcji ludzkiej [7]. Warunek: redaktor rzeczywiście wprowadza zmiany merytoryczne i firmuje publikację swoim nazwiskiem lub stanowiskiem. Surowy output z modelu AI bez korekty tego warunku nie spełnia.

Co grozi za użycie wizerunku modela w kampanii AI bez odpowiedniej klauzuli w umowie?

Firma narusza art. 81 ustawy o prawie autorskim, który wymaga odrębnej zgody na każde nowe pole eksploatacji [26]. Poszkodowany może żądać zaniechania, usunięcia skutków naruszenia i zadośćuczynienia na drodze cywilnej. Równolegle mamy potencjalne naruszenie RODO, jeśli dane biometryczne były przetwarzane bez podstawy prawnej [14]. W praktyce sądy coraz chętniej uwzględniają roszczenia przy wyraźnym braku klauzuli o syntezie cyfrowej w umowach z twórcami.

Kto odpowiada za oznaczenie deepfake'owego materiału w reklamie: agencja czy marka?

Obaj. Dostawca narzędzia AI odpowiada za wbudowane techniczne metadane (art. 50 ust. 2 AI Act), a podmiot stosujący, czyli agencja lub marka dystrybuująca kreację, odpowiada za widoczne oznaczenie dla konsumenta (art. 50 ust. 4 AI Act) [2]. Bez umownego podziału ról odpowiedzialność jest solidarna, co w praktyce oznacza, że kontrola może trafić do każdego z ogniw łańcucha.

Czy można legalnie stworzyć cyfrowego awatara pracownika lub twarzy marki?

Tak, pod warunkiem że umowa z tą osobą zawiera precyzyjne klauzule o cyfrowej syntezie wizerunku, klonowaniu głosu oraz wymienionych polach i kanałach eksploatacji [1]. Zgoda musi być dobrowolna, wyrażona przed nagraniem materiałów źródłowych i nie może być "ukryta" w ogólnej klauzuli o prawach autorskich do sesji. Materiały opublikowane po 2 sierpnia 2026 roku muszą być dodatkowo oznaczone zgodnie z art. 50 AI Act [3].