AI Act UE: jak formexposed korzysta ze sztucznej inteligencji

Niniejszy dokument jest publikowany w kilku wersjach językowych. W razie rozbieżności między wersjami językowymi wiążąca jest wersja polska.

Wersja 1.1 · Stan na: 23 października 2026 r.

Co rozporządzenie (UE) 2024/1689 (akt w sprawie sztucznej inteligencji, „AI Act”), zmienione rozporządzeniem (UE) 2026/1744, oznacza dla formexposed, w których miejscach usługa korzysta ze sztucznej inteligencji, w których wyraźnie nie, jakie dane widzi model i jak oceniamy obowiązki wynikające z rozporządzenia w naszym przypadku. Strona opisuje stan Usługi i naszą ocenę prawną; nie jest dokumentem umownym, a to, do czego jesteśmy zobowiązani wobec Klientów, określają Regulamin i umowa powierzenia przetwarzania danych. Należy ona do naszych dokumentów prawnych obok Polityki prywatności i Rejestru czynności przetwarzania.

1. W skrócie

Akt w sprawie sztucznej inteligencji wszedł w życie 1 sierpnia 2024 r. Jego zakazy i obowiązek kompetencji w zakresie AI obowiązują od 2 lutego 2025 r., obowiązki dotyczące modeli ogólnego przeznaczenia od 2 sierpnia 2025 r., a obowiązki w zakresie przejrzystości z art. 50 od 2 sierpnia 2026 r. (art. 113).

formexposed korzysta z modelu językowego w trzech miejscach: jako pomocy przy klasyfikacji formularza, którego nie rozpoznają nasze reguły, do podsumowywania ustaleń ze skanu w formie planu działań według priorytetów dla kont płatnych oraz w „Fix it for me”, gdzie na Twoje życzenie wbudowuje nasz moduł ochronny w kod Twojego formularza. We wszystkich trzech przypadkach model działa na naszym własnym serwerze w Polsce; żadne dane wejściowe nie trafiają do dostawcy AI. Wynik punktowy (score), ocena, alarmy, przeciwdziałanie nadużyciom i ochrona przed spamem we wtyczce nie są AI, lecz regułami, które sami napisaliśmy i które można przeliczyć ręcznie. Żaden wynik AI nie rozstrzyga o żadnej osobie.

2. Gdzie formexposed korzysta z AI

2.1 Klasyfikacja formularzy w usłudze sprawdzania

Przy każdym sprawdzeniu robot musi wiedzieć, z jakim formularzem ma do czynienia: kontaktowym, logowania, zamówienia, wyszukiwania, zapisu na newsletter itd. Od tego zależy, czy formularz w ogóle podlega ocenie. Klasyfikacja odbywa się w dwóch etapach:

Najpierw reguły. Typy pól, nazwy pól, etykiety, teksty przycisków i tekst wokół formularza są porównywane ze stałymi listami słów w języku niemieckim, angielskim i polskim. To wystarcza dla zdecydowanej większości formularzy.
Model językowy tylko wtedy, gdy reguły zwracają „nieznany”. Wówczas otrzymuje on opis formularza i odpowiada typem oraz pewnością w przedziale od 0 do 1. Jeżeli nie odpowie, odpowie pusto lub czymś nieznanym, formularz pozostaje „nieznany”. Jeżeli model jest niedostępny, sprawdzenie przebiega dalej bez tego etapu.

To, co model może, jest ściśle ograniczone, i to w kodzie, a nie tylko jako zamiar:

Formularz sklasyfikowany przez model nigdy nie jest wysyłany. Zgłoszenia testowe są możliwe tylko dla formularzy kontaktowych, które reguły rozpoznały z wysoką pewnością, i w przypadku Klientów tylko w domenach z potwierdzeniem uprawnień do domeny.
Formularz sklasyfikowany przez model nie liczy się do wyniku punktowego ani oceny. Pozostaje widoczny na liście znalezionych formularzy, ale nigdy nie jest prowadzony jako miarodajny formularz kontaktowy domeny, na którym opierają się monitorowanie, porównanie wizualne, portal klienta i „Fix it for me”. Jeżeli model uzna coś za formularz kontaktowy, kod obniża jego pewność do najwyżej 0,6, ponieważ w naszych testach model brał za takie formularze pola wyszukiwania i kalkulatory ubezpieczeniowe.
W raporcie przy każdym formularzu podane jest, skąd pochodzi jego klasyfikacja: „reguły” lub „AI”, wraz z pewnością w procentach.

2.2 „Fix it for me”: wbudowanie modułu ochronnego w Twój kod

W taryfach płatnych właściciele i administratorzy obszaru roboczego otrzymują gotowy moduł ochronny dla PHP, Node.js lub Pythona. Sam moduł jest stałym szablonem bez AI; wstawiane są tylko Twoja nazwa hosta i nazwy pól z ostatniego sprawdzenia. Opcjonalnie możesz wkleić kod swojego formularza, a model językowy wbuduje w niego moduł. Otrzymujesz zmieniony plik oraz – z wyjątkiem bardzo dużych plików – łatkę (patch). Zanim zobaczysz wynik, nasz kod bez udziału AI sprawdza dwie rzeczy:

czy wywołanie modułu rzeczywiście zostało wbudowane – jeżeli go brakuje, interfejs wyraźnie informuje: nie wdrażaj w tej postaci;
czy składnia jest poprawna (php -l, node --check lub py_compile); Twój kod jest przy tym sprawdzany, a nie wykonywany.

Przy każdym wyniku interfejs informuje, że pochodzi on od AI, że AI może się mylić i że sprawdzenie składni nie testuje Twojej logiki. Niczego nie wdrażamy sami: nie mamy dostępu do Twojego serwera i go nie wymagamy. Czy zmiana działa, pokaże następne sprawdzenie.

2.3 Zewnętrzni asystenci AI przez nasz interfejs MCP

W taryfie Business możesz połączyć własnego asystenta AI (np. Claude, ChatGPT lub Cursor) ze swoim kontem za pomocą Model Context Protocol, aby odpytywać swoje domeny, sprawdzenia i incydenty. Nie jest to nasza AI: dostarczamy asystentowi dane, tak jak interfejs REST. Co dany dostawca robi przy tym z danymi, określasz swoim wyborem i swoją umową z nim. Przez interfejs asystent może tylko odczytywać dane i uruchomić sprawdzenie.

2.4 Google reCAPTCHA w naszych własnych formularzach

Nasze własne formularze (bezpłatne sprawdzenie, narzędzie do nagłówków, opt-out, logowanie, rejestracja, hasło, wsparcie i kontakt) chroni Google reCAPTCHA v3. Google oblicza w tym celu własnymi metodami wartość od 0 do 1; my widzimy tylko tę wartość i odrzucamy zgłoszenie poniżej stałego progu. Metoda należy do Google, nie do nas. Kto zostanie odrzucony, może spróbować ponownie lub skontaktować się z nami e-mailem. Szczegóły zawiera Polityka prywatności.

2.5 Plan działań według priorytetów w płatnych raportach

W przypadku kwalifikujących się sprawdzeń domen na kontach płatnych ten sam lokalny model sporządza również krótki plan działań według priorytetów na podstawie nazwy hosta, ogólnego wyniku i wyniku punktowego, systemu CMS, typu miarodajnego formularza i adresu jego strony, ewentualnej rozpoznanej wtyczki oraz wybranych ustaleń z wynikiem negatywnym lub niejasnym. Nie otrzymuje w tym celu zrzutów ekranu ani przesłanych wartości pól formularza. Plan jest oznaczony jako podsumowanie AI; miarodajne pozostają poszczególne ustalenia. Nie zmienia on strony internetowej ani wyniku skanu.

Model otrzymuje polecenie przygotowania od 3 do 5 krótkich, ponumerowanych kroków albo od 1 do 2 kroków, gdy ochrona jest już dobra. Są to instrukcje dla modelu, a nie gwarancja poprawnych zaleceń. Wynik jest skracany i oczyszczany jako zwykły tekst; nie wdrożono sprawdzania jego poprawności merytorycznej.

3. Gdzie formexposed nie korzysta z AI

Poniższe elementy opierają się wyłącznie na regułach ustalonych przez ludzi. Niczego nie wywnioskowują z danych, niczego się nie uczą i dlatego nie są systemami AI w rozumieniu art. 3 pkt 1, objaśnionym w motywie 12:

Wynik punktowy i ocena: ważona suma brakujących zabezpieczeń (CAPTCHA, pole-pułapka, token, znacznik czasu i inne) od 0 do 100; od stałych progów „Niezabezpieczony”, „Częściowo zabezpieczony” lub „Zabezpieczony”. Wagi ustalamy sami; nie zmieniają się one pod wpływem sprawdzanych danych.
Wykrywanie zabezpieczeń, skryptów podmiotów trzecich, banerów cookie, dostępności: porównanie ze znanymi cechami w kodzie źródłowym strony i w jej zachowaniu.
Monitorowanie i alarmy: porównanie z poprzednim sprawdzeniem; czasy odpowiedzi względem wartości wyjściowej z mediany pierwszych pomiarów ze stałymi progami.
Przeciwdziałanie nadużyciom bezpłatnego sprawdzenia: zliczanie według adresu IP, sesji i okresu ze stałymi limitami. Kto przekroczy limit, jest odrzucany na bieżący okres, najwyżej na 24 godziny. Nieprawidłowości są odnotowywane i wyjaśniane przez człowieka.
Porównanie wizualne formularzy: zrzuty ekranu z kolejnych sprawdzeń są porównywane na podstawie profili jasności ich wierszy i kolumn ze stałymi progami, aby zgłosić przesunięty lub zasłonięty formularz.
Ochrona roju: Domena z linków w odpartych wiadomościach trafia na wspólną listę, jeżeli pojawi się na minimalnej liczbie różnych stron w ustalonym okresie; duże usługi są wyłączone, a każda blokada trafia do kwarantanny, a nie w próżnię.
Ochrona przed spamem we wtyczce WordPress i rozszerzeniu TYPO3: pole-pułapka, podpisany token, minimalny czas wypełniania, dowód interakcji, zagadka rachunkowa, sprawdzanie podziałów wierszy i domeny pocztowej zdolnej do odbioru, ograniczanie częstotliwości, listy adresów jednorazowych, systemy pisma według klas Unicode, własne listy słów i kraje. Samo sprawdzanie działa na stronie Klienta. Do nas trafiają, dopóki strona jest połączona z kontem, wyłącznie wartości liczbowe, nazwy i wersje rozszerzeń oraz, dopóki strona uczestniczy w ochronie roju (we wtyczce WordPress fabrycznie włączonej), domeny linków w odpartych wiadomościach – żadne wiadomości ani adresy.

4. Jakie dane otrzymuje model i gdzie działa

Funkcja	Dane wejściowe dla modelu	Wynik	Co jest zapisywane
Klasyfikacja formularzy	Tytuł i adres strony, tekst przycisków wysyłania, dla każdego pola typ, nazwa, etykieta, tekst zastępczy (placeholder) oraz informacja, czy jest wymagane lub ukryte, najwyżej 400 znaków widocznego tekstu formularza. Żadnych wpisanych wartości.	Typ formularza i pewność	Typ, pewność, źródło „AI” i nazwa modelu przy wyniku sprawdzenia, z jego terminem przechowywania; samo zapytanie nie
„Fix it for me”	wklejony przez Ciebie kod (najwyżej 30 000 znaków) i nasz moduł ochronny z Twoją nazwą hosta i nazwami pól	zmieniony plik	nic z kodu (na potrzeby sprawdzenia składni zmieniony plik znajduje się na naszym serwerze WWW jako plik tymczasowy wyłącznie na czas tego sprawdzenia); w dzienniku aktywności tylko język, długość, czy operacja się powiodła, czy wywołanie zostało wbudowane i wynik sprawdzenia składni
Plan działań według priorytetów w płatnych raportach	Nazwa hosta, ogólny wynik i wynik punktowy, CMS, typ miarodajnego formularza i adres jego strony, ewentualna rozpoznana wtyczka oraz najwyżej 18 różnych ustaleń z wynikiem negatywnym lub niejasnym wraz z kluczami, wynikami i notatkami, z których każda jest skracana do 200 znaków; bez zrzutów ekranu i przesłanych wartości pól	Krótki plan według priorytetów w wybranym języku, ograniczony do 1500 znaków	Zapytanie i odpowiedź tymczasowo w wewnętrznej kolejce zleceń; odebrany tekst planu, język, status i znacznik czasu przy wyniku skanu, z jego terminem przechowywania

Brak odpływu danych. Model działa na naszym własnym serwerze sprawdzającym w Polsce. Robot łączy się z nim ze swojego odizolowanego środowiska, nasz serwer WWW – przez naszą sieć wewnętrzną. Żadne dane wejściowe nie trafiają do dostawcy AI ani innego podmiotu trzeciego. Kod aplikacji i procesu roboczego nie pozwala ustalić, czy usługa modelu rejestruje treść zapytań. W tym przeglądzie nie zweryfikowano konfiguracji rejestrowania na serwerze modelu; dlatego nie twierdzimy tutaj, że wszystkie dzienniki usługi modelu zawierają wyłącznie metadane techniczne.
Brak trenowania. Nie trenujemy ani nie modyfikujemy modelu i nie wykorzystujemy ani wyników sprawdzeń, ani Twojego kodu do jego ulepszania. Każde zapytanie jest niezależne.
Dane osobowe. Do zamierzonych celów tych funkcji nie są potrzebne wiadomości odwiedzających ani rzeczywiste przesłane wartości pól formularza. Nie oznacza to, że ich dane wejściowe są anonimowe. Do tekstu formularza na cudzej stronie może wyjątkowo trafić imię i nazwisko, na przykład osoby kontaktowej obok formularza. W „Fix it for me” prosimy, aby przed wklejeniem usunąć hasła, klucze API i dane osobowe; interfejs przypomina przy polu wprowadzania o hasłach i kluczach API.
Przechowywanie planu działań. Zapytanie jest tymczasowo przechowywane w naszej wewnętrznej kolejce zleceń. Po odebraniu wyniku wpis w kolejce jest usuwany; zaplanowane czyszczenie usuwa również wpisy starsze niż jedna godzina. Wygenerowany tekst, język, status i znacznik czasu są zapisywane wraz z wynikiem skanu i podlegają jego terminowi przechowywania, w tym zachowaniu ostatniego zakończonego sprawdzenia każdej domeny oraz usunięciu przy usuwaniu domeny.
Dane wejściowe planu działań. Nazwy hostów, adresy stron i notatki do ustaleń mogą przypadkowo zawierać informacje osobowe. Polecenie generowania planu działań nie żąda wiadomości odwiedzających ani wpisanych wartości pól.
Limity korzystania: „Fix it for me” z AI jest ograniczone do określonej liczby zapytań na obszar roboczy dziennie, aby serwer pozostawał dostępny dla sprawdzeń.

5. Nasza rola w świetle aktu w sprawie sztucznej inteligencji

Model: Korzystamy z ogólnodostępnego modelu językowego ogólnego przeznaczenia z otwartymi wagami, pochodzącego od zewnętrznego dostawcy. Obowiązki dotyczące samego modelu (art. 53 i nast.) spoczywają na jego dostawcy. Ponieważ go ani nie trenujemy, ani nie modyfikujemy, nie stajemy się sami dostawcą takiego modelu.

Systemy: Klasyfikację formularzy, funkcję planu działań i „Fix it for me” zbudowaliśmy sami i obsługujemy je pod nazwą formexposed. Według naszej oceny jesteśmy dostawcą tych systemów AI (art. 3 pkt 3), ponieważ sami je opracowaliśmy i oddaliśmy do użytku pod własną nazwą. Klasyfikację formularzy i funkcję planu działań obsługujemy również sami i w tym zakresie jesteśmy podmiotem stosującym (art. 3 pkt 4). Samo otrzymanie lub przeczytanie planu działań nie czyni jeszcze Klienta podmiotem stosującym. „Fix it for me” wykorzystują nasi Klienci w ramach swojej działalności zawodowej; według naszej oceny są oni przy tym podmiotami stosującymi.

Klasyfikacja ryzyka: Żadna z tych trzech funkcji, w opisanych tutaj zamierzonych celach, nie należy do obszarów wysokiego ryzyka z załącznika III (np. biometria, infrastruktura krytyczna, kształcenie, zatrudnienie, usługi podstawowe, ściganie przestępstw, migracja, wymiar sprawiedliwości) ani nie jest związanym z bezpieczeństwem elementem produktu w rozumieniu załącznika I. Klasyfikują formularze, podsumowują techniczne ustalenia ze skanu w formie kroków doradczych i przetwarzają kod programu, nie oceniają ludzi. Nie są zatem systemami AI wysokiego ryzyka w rozumieniu art. 6; wymogi dotyczące takich systemów oraz obowiązki ich dostawców i podmiotów stosujących (rozdział III) nie mają do nich zastosowania. Mają do nich zastosowanie obowiązek zapewnienia kompetencji w zakresie AI (art. 4) oraz – o ile spełnione są ich przesłanki – obowiązki w zakresie przejrzystości z art. 50.

Praktyki zakazane (art. 5): formexposed nie prowadzi rozpoznawania emocji, kategoryzacji ani identyfikacji biometrycznej, scoringu społecznego, przewidywania przestępstw ani nie stosuje technik manipulacyjnych lub podprogowych.

6. Przejrzystość (art. 50)

Brak chatbota. Nikt w formexposed nie rozmawia z AI. Art. 50 ust. 1 dotyczy systemów AI przeznaczonych do wchodzenia w bezpośrednią interakcję z osobami fizycznymi. Plan działań jest generowany w tle i w raporcie widocznie oznaczony jako wygenerowany przez AI. Klasyfikacja formularzy nie wchodzi w kontakt z nikim; „Fix it for me” przyjmuje kod i zwraca kod, a interfejs wyraźnie informuje przy tym, że wynik pochodzi od AI. Osoba korzystająca z tej funkcji w każdym przypadku wie zatem, że ma do czynienia z AI.
Generowany kod. „Fix it for me” generuje kod programu i oznacza go jako wynik AI. Zamierzona zmiana polega na wstawieniu naszego modułu ochronnego; może to zmienić zachowanie i znaczenie kodu. Dlatego nie zakładamy, że wyjątek dotyczący standardowej edycji lub niezmienionej semantyki z art. 50 ust. 2 ma zastosowanie w każdym przypadku. Zastosowanie tego przepisu i ewentualnego wyjątku należy ocenić dla rzeczywistego wyniku. Łatka, jeżeli jest dostępna, pokazuje zmienione wiersze, ale sama nie dowodzi zwolnienia z obowiązku ani oznaczenia w formacie nadającym się do odczytu maszynowego. W przypadku bardzo dużych plików łatka nie jest tworzona; wtedy porównujesz plik samodzielnie.
Tekst planu działań i oznaczenie w formacie nadającym się do odczytu maszynowego. Plan działań tworzy na podstawie ustaleń podsumowanie i zalecenia według priorytetów. W tym celu traktujemy go jako tekst wygenerowany w rozumieniu art. 50 ust. 2, a nie jako standardową edycję, która pozostawia znaczenie bez zmian. Przepis ten wymaga oznaczenia w formacie nadającym się do odczytu maszynowego i wykrywalności, z uwzględnieniem jego przesłanek i aktualnego stanu wiedzy technicznej. Sam widoczny komunikat o AI nie potwierdza spełnienia tego wymogu technicznego. Obecny przegląd kodu potwierdza widoczny komunikat oraz przechowywanie i wyświetlanie zwykłego tekstu; nie potwierdza skutecznego oznaczenia w formacie nadającym się do odczytu maszynowego w całym procesie generowania i udostępniania wyniku. Dlatego nie twierdzimy, że wymóg ten został w pełni zweryfikowany.
Kontekst raportu. Plan jest generowany w tle jako wskazówki dla operatora strony internetowej. Nie jest tworzony w celu informowania społeczeństwa o sprawach leżących w interesie publicznym w rozumieniu art. 50 ust. 4. Raporty może jednak otworzyć bez logowania każdy, kto ma ich losowy link. Późniejsza publikacja w celu związanym z interesem publicznym wymaga odrębnej oceny; dostęp przez posiadanie linku nie jest ogólnym zwolnieniem z obowiązków przejrzystości.
Klasyfikacje w raporcie są oznaczone jako „AI”, jeżeli pochodzą od modelu.
Plany działań w płatnych raportach są oznaczone jako podsumowania przygotowane przez naszą AI na naszych własnych serwerach. Komunikat wskazuje, że miarodajne są poszczególne ustalenia.
Nie generujemy obrazów, treści audio ani wideo i nie tworzymy deepfake’ów.

7. Nadzór człowieka i brak zautomatyzowanych decyzji

Wyniki modelu są pomocą, a nie decyzjami. Klasyfikacja formularzy sama niczego nie może wywołać: żadnego zgłoszenia, żadnej oceny, żadnego alarmu. „Fix it for me” niczego nie zmienia na Twoim serwerze; czytasz wynik, decydujesz i sam go wdrażasz. Plan działań jest wyłącznie tekstem doradczym: jego wyświetlenie nie zmienia ani strony internetowej, ani wyniku punktowego czy oceny; użytkownik decyduje, jakie kroki podjąć. Według naszej oceny żadna funkcja formexposed nie podejmuje decyzji, która wywołuje wobec osoby skutki prawne lub w podobny sposób istotnie na nią wpływa (art. 22 RODO). Jeżeli reCAPTCHA lub jeden z naszych stałych limitów automatycznie odrzuci wprowadzone dane, możesz spróbować ponownie lub do nas napisać; wtedy sprawę przejrzy człowiek. Nasze oceny dotyczą stron internetowych i formularzy, a nie ludzi.

Jeżeli uważasz klasyfikację za błędną, napisz do nas, podając link do raportu. Przyjrzymy się jej i poprawimy reguły.

8. Kompetencje w zakresie AI (art. 4) i jakość

Funkcje AI w formexposed zbudował osobiście właściciel i sam je obsługuje; inne osoby obecnie z nimi nie pracują. Przed każdą zmianą modelu zapoznaje się z jego sposobem działania i ograniczeniami oraz z aktualnym stanem rozporządzenia. Jeżeli dołączą pracownicy lub usługodawcy pracujący z tymi funkcjami, przed pierwszym użyciem zostaną przeszkoleni w zakresie sposobu działania, ograniczeń i ryzyk; szkolenie dokumentujemy na piśmie.
Zanim wdrożymy lub zmienimy model, sprawdzamy go na zbiorze formularzy testowych pod kątem czasu odpowiedzi, poprawności odpowiedzi i błędnych klasyfikacji. Jest to czynność wykonywana przez właściciela, a nie procedura wymuszona w kodzie. Ograniczenia opisane w punkcie 2.1 wynikają z takich pomiarów.
Art. 4 dotyczy także Ciebie jako Klienta, jeżeli korzystasz z „Fix it for me” zawodowo. Ta strona i wskazówki w interfejsie mają Ci w tym pomóc.

9. Zmiany i kontakt

Dostosowujemy tę stronę, gdy tylko funkcja AI zostanie dodana, istotnie zmieniona lub usunięta; istotne zmiany są wymienione na stronie Zmiany dokumentów umownych. Pytania i wątpliwości dotyczące naszego wykorzystania AI kieruj na contact@lukaswojcik.com, przez stronę kontaktową lub okno wsparcia. Skargi rozpatrujemy zgodnie z procedurą opisaną na stronie Reklamacje. Nie narusza to prawa do wniesienia skargi do właściwego organu nadzoru rynku (art. 85).

Usługodawca: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polska.

Jak możemy pomóc?