AI Act od 2 sierpnia: dlaczego kod QR nie zastępuje oznaczenia treści AI

Komisja Europejska opublikowała 20 lipca 2026 r. wytyczne dotyczące obowiązków w zakresie przejrzystości wynikających z art. 50 AI Act; powiązana strona przeglądowa została ostatnio zaktualizowana 29 lipca 2026 r. Obowiązki co do zasady obowiązują od 2 sierpnia 2026 r. Dla zespołów publikujących obrazy, nagrania wideo, audio lub teksty wygenerowane przez AI kluczowe jest rozróżnienie techniczne: maszynowo czytelne oznaczenie treści, jego wykrywalność oraz widoczna informacja dla ludzi to odrębne poziomy. Kod QR może uzupełniać je o czwarty poziom dotyczący proweniencji i objaśnień. Nie zastępuje jednak automatycznie pozostałych poziomów.

Artykuł 50 rozróżnia dostawców i podmioty stosujące systemy

Brzmienie art. 50 nakłada różne obowiązki na różne role.

Dostawcy systemów generujących syntetyczne treści audio, obrazy, nagrania wideo lub teksty muszą zapewnić, aby wyniki były oznaczone maszynowo i rozpoznawalne jako sztucznie wygenerowane lub zmodyfikowane. Rozwiązanie techniczne powinno — w zakresie wykonalnym technicznie — być skuteczne, interoperacyjne, odporne i niezawodne. Artykuł nie wskazuje konkretnego formatu kodu kreskowego. Wymaga właściwości wygenerowanej treści oraz odpowiedniej możliwości jej wykrycia.

Podmioty stosujące systemy muszą natomiast w określonych sytuacjach informować ludzi: na przykład w przypadku rozpoznawania emocji i kategoryzacji biometrycznej, deepfake’ów, a także określonych tekstów wygenerowanych lub zmanipulowanych przez AI dotyczących spraw leżących w interesie publicznym. Informacja ta musi być jasna, odrębna i dostępna najpóźniej przy pierwszej interakcji lub ekspozycji. Obowiązują również odpowiednie wymogi dostępności.

Jedna firma może jednocześnie pełnić obie role. Kto prowadzi własny system generujący i sam publikuje jego wyniki, musi zatem przeanalizować zarówno obowiązki dostawcy, jak i podmiotu stosującego system.

Dlaczego „maszynowo czytelne” nie oznacza po prostu „kod QR”

Kod QR jest czytelny maszynowo. Nie wynika z tego jednak, że kod QR umieszczony obok obrazu wygenerowanego przez AI już spełnia obowiązek dostawcy. Art. 50 ust. 2 wymaga, aby wynik systemu AI był oznaczony i możliwy do wykrycia jako wygenerowany lub zmanipulowany przez AI. Oddzielnie umieszczony kwadrat zazwyczaj odsyła jedynie do zewnętrznej strony. Jeśli obraz zostanie skopiowany, przycięty lub przekazany dalej bez towarzyszącego układu, odsyłacz może zniknąć, podczas gdy sama treść pozostanie niezmieniona i będzie nadal krążyć.

Wniosek dla architektury jest zatem następujący: zewnętrzny kod QR jest zazwyczaj uzupełniającą warstwą proweniencji, a nie technicznym oznaczeniem zawartym w treści. To, czy konkretna implementacja jest zgodna z prawem, zależy od systemu, formatu wyjściowego i kontekstu wykorzystania.

Również po stronie podmiotu stosującego system sam obowiązek skanowania nie wystarczy. FAQ Komisji wyjaśnia wyraźnie w odniesieniu do deepfake’ów, że ujawnienie powinno być możliwe do zauważenia bez specjalnych narzędzi lub dodatkowego działania. Podmioty stosujące systemy nie mogą polegać wyłącznie na osadzonym maszynowo czytelnym oznaczeniu. Informacja widoczna dopiero po zeskanowaniu kodu QR pojawia się zatem zbyt późno, aby spełnić wymóg informacji przy pierwszym kontakcie.

Cztery poziomy solidnej implementacji

1. Oznaczenie w treści

Pierwszy poziom należy wdrożyć w procesie generowania lub eksportu. W zależności od medium można rozważyć podpisane metadane, znaki wodne, kryptograficzne poświadczenia pochodzenia, fingerprinty lub kombinacje tych technik. Wytyczne Komisji podkreślają dwa powiązane elementy: oznaczenie i wykrywalność. Samo oznaczenie bez dostępnej procedury weryfikacji nie spełnia opisanego celu.

Dobrowolny unijny kodeks postępowania dotyczący przejrzystości AI konkretyzuje jedną z możliwych metod weryfikacji. W przypadku rozpowszechnianych online treści skonteneryzowanych przewiduje wielowarstwowe podejście z cyfrowo podpisanymi metadanymi i niewidocznym znakiem wodnym. W odniesieniu do zwykłego tekstu obowiązują inne ograniczenia techniczne. Kodeks jest dobrowolny; obowiązki wynikające z art. 50 — nie.

2. Widoczna informacja przy pierwszej ekspozycji

Drugi poziom jest skierowany do ludzi. Informacja musi pojawić się tam, gdzie treść jest po raz pierwszy odbierana — nie tylko w ogólnej polityce prywatności lub na podstronie dostępnej przez link. W zależności od medium może to być widoczne oznaczenie, informacja głosowa lub inna jasna i dostępna forma.

W przypadku tekstów redakcyjnych ważny jest wyjątek: FAQ wyjaśnia, że opublikowane teksty dotyczące spraw leżących w interesie publicznym nie podlegają obowiązkowi oznaczania, jeśli przeszły istotną kontrolę człowieka lub kontrolę redakcyjną, a osoba fizyczna lub prawna ponosi odpowiedzialność redakcyjną. Sama kontrola pisowni lub formatowania nie wystarczy.

3. Kod QR jako ścieżka proweniencji i kontekstu

Trzeci poziom jest opcjonalny, ale użyteczny operacyjnie. Kod QR może prowadzić z drukowanego motywu, opakowania, baneru targowego lub prezentacji do trwałej strony dotyczącej pochodzenia. Dynamiczny kod QR umożliwia kontrolowaną aktualizację celu bez wymiany fizycznego nośnika.

Strona docelowa nie powinna zawierać ogólnego twierdzenia o „zgodności z AI Act”. Bardziej przydatne są fakty, które można zweryfikować:

jednoznaczny identyfikator zasobu i wersji,
odpowiedzialna organizacja i punkt kontaktowy,
zastosowany system AI, w zakresie, w jakim można go ujawnić,
czas wygenerowania i najważniejsze etapy przetwarzania,
status kontroli przeprowadzonej przez człowieka lub kontroli redakcyjnej,
rodzaj dostępnego oznaczenia i dostęp do detektora,
aktualny status publikacji oraz informacje o korekcie lub wycofaniu.

Prompty zawierające dane osobowe, wewnętrzne parametry modelu i poufne dane produkcyjne nie powinny trafiać na publiczną stronę proweniencji. Przejrzystość nie oznacza ujawniania tajemnic przedsiębiorstwa ani danych osobowych.

4. Wewnętrzny protokół dowodowy

Publiczna strona nie zastępuje wewnętrznego dziennika audytowego. W przypadku każdej publikacji powinno dać się ustalić, jaki obiekt wyjściowy wygenerowano, jakie transformacje przeprowadzono, które metadane zachowano i kto zatwierdził publikację. W praktyce przydatne są niezmienne identyfikatory zasobów, wartości skrótów zatwierdzonych plików, znaczniki czasu, powiązania wersji i rejestrowane wyniki kontroli.

Praktyczny workflow w siedmiu krokach

Określ role: Dla każdego systemu udokumentuj, kto jest dostawcą, podmiotem stosującym system lub pełni obie funkcje.
Zinwentaryzuj rodzaje wyników: Obraz, wideo, audio, zwykły tekst i tekst skonteneryzowany traktuj oddzielnie.
Sprawdź oznaczenie przy eksporcie: Nie szukaj rozwiązania dopiero na końcu łańcucha publikacji.
Przetestuj transformacje: Kompresja, skalowanie, przycinanie, transkodowanie i przesyłanie na platformy nie mogą niepostrzeżenie niszczyć oznaczenia ani możliwości detekcji.
Umieść informację przy pierwszym kontakcie: Widoczną lub słyszalną, zrozumiałą i dostępną; kod QR prowadzi wyłącznie do szczegółów.
Wersjonuj stronę proweniencji: Stabilny URL, aktualne fakty, jasne zasady zmian i wycofywania.
Zabezpiecz dowody: Wspólnie rejestruj wyniki testów, zatwierdzenia, wersję detektora i opublikowaną wersję zasobu.

Szczególnie krytyczne jest przekazywanie danych między narzędziami. Generator może dostarczyć prawidłowo podpisane metadane, które zostaną usunięte podczas eksportu z edytora obrazów lub przesyłania do systemu zarządzania treścią. Dlatego trzeba sprawdzać nie tylko plik źródłowy, lecz także faktycznie opublikowany plik.

Typowe błędne założenia

„Przecież kod QR jest czytelny maszynowo.” Tak, ale często oznacza nośnik lub układ, a nie trwale sam wynik AI.

„Metadane zawsze wystarczą.” Niekoniecznie. Formaty i platformy mogą usuwać metadane. Dlatego dobrowolny kodeks w przypadku wielu rozpowszechnionych mediów opiera się na kilku warstwach oznaczeń.

„Widoczna informacja może być ukryta za kodem QR.” Przy pierwszej ekspozycji jest to ryzykowne, ponieważ ludzie musieliby najpierw wykonać dodatkową czynność.

„Każdy tekst wspomagany przez AI wymaga etykiety.” Nie. Zakres zastosowania przepisów, standardowa redakcja, cel informowania opinii publicznej, a także rzeczywista kontrola człowieka i odpowiedzialność redakcyjna wymagają zróżnicowanej oceny.

Co należy potraktować priorytetowo do 2 sierpnia

FAQ Komisji wskazuje ograniczony okres przejściowy wyłącznie dla obowiązku oznaczania i detekcji dotyczącego określonych systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r.: w ich przypadku istotna jest data 2 grudnia 2026 r. W odniesieniu do pozostałych obowiązków nie jest to ogólne odroczenie. Zgodnie z FAQ treści wygenerowane przed 2 sierpnia nie muszą być oznaczane wstecznie, jednak zaleca się dobrowolne oznaczanie ich po fakcie.

W najbliższych dniach pierwszym krokiem nie powinna być zatem zakrojona na szeroką skalę kampania z kodami QR. Priorytetem są wyjaśnienie ról, testy eksportu i detekcji, widoczne informacje w faktycznym punkcie udostępnienia oraz solidny protokół dowodowy. Kod QR stanie się następnie tym, do czego nadaje się najlepiej: stabilnym wejściem do pogłębionych i aktualizowanych informacji o proweniencji.