Art. 50 AI Act: Obowiązek oznaczania chatbotów od 2026 roku

Brak odroczenia oznacza, że obowiązek oznaczania chatbotów wchodzi w życie, zanim ktokolwiek zdąży to sprawdzić.

Incydent, który zmienił wszystko

W zeszły wtorek marketing podłączył GPT-4 do kampanii mailingowej bez słowa do IT. SPF głównej domeny był o włos od spalenia. Zablokowałem to w cztery godziny.

Od tamtej pory mierzę każdy incydent. W zeszłym tygodniu telemetria wyizolowanej domeny pokazała 0,00% Spam Score i 127 zablokowanych prób wysłania numeru PESEL do LLM.

Wymogi Art. 50 AI Act i kary

2 sierpnia 2026 roku Art. 50 AI Act wszedł natychmiast. Każdy chatbot musi wstrzykiwać flagę x-ai-generated: true w payloadzie API. Audyt wymaga też śladu human-in-the-loop.

Naruszenie to nie teoria. 15 milionów EUR z AI Act. Do 20 milionów EUR z RODO przy wycieku danych. Shadow AI omija kontrolę. Autonomiczne agenty wysłane z głównej domeny potrafią spalić reputację na tygodnie.

Architektura Zero-Trust dla AI

Dlatego powtarzam jedno zdanie. Nie oddam wam SPF-a na głównej domenie. To nie kaprys CTO. To reguła architektury Zero-Trust DNS.

Zgodność weryfikuje się tylko przez artefakty. Flaga w nagłówku HTTP. Osobna domena z własnym SPF, DKIM i DMARC. Logi retencji. Labeling Rate na poziomie 100 procent. Spadek poniżej tej wartości uruchamia alert.

Nasze rozwiązanie: Zewnętrzna walidacja

Zbudowałem zewnętrzną warstwę walidacyjną. Działa jak reverse-proxy. Anonimizuje prompt, odbiera odpowiedź, wstrzykuje oznaczenie Art. 50 i waliduje reguły biznesowe.

Wdrożenie zajęło nam pięć dni:

1. Dzień 1: Blokada zapytań.
2. Dzień 2-3: Budowa wrappera.
3. Dzień 4: Izolacja domenowa.
4. Dzień 5: Wdrożenie human-in-the-loop.

To jest system, który powstał z błędu. Zamiast łatać decyzje biznesu po fakcie, przenieśliśmy całą walidację i telemetrię poza firmę. Zero godzin zespołu IT na integrację. Pełna audytowalność.

Sprawdź, czy w twojej firmie ktoś już zweryfikował, jak narzędzie oznacza interakcje z użytkownikiem.