Sharenting, deep nude i AI. Dlaczego wizerunek dziecka w sieci to ryzyko prawne także dla Twojej firmy.

Co 108 sekund do Internet Watch Foundation wpływa zgłoszenie dotyczące materiałów przedstawiających seksualne wykorzystywanie dzieci. Treści generowane przez AI rosną w tempie ponad 1000% rocznie. A Twoja platforma, Twoje narzędzie AI lub Twoja kampania z influencerem może być częścią tego łańcucha — nawet jeśli o tym nie wiesz.

Sharenting — czyli publikowanie wizerunku dzieci przez rodziców w mediach społecznościowych — przestał być wyłącznie prywatną decyzją. Stał się źródłem ryzyka prawnego, reputacyjnego i operacyjnego dla firm technologicznych, platform, agencji marketingowych i każdej organizacji przetwarzającej wizerunki lub współpracującej z twórcami treści. Wzrost AI-generated CSAM (materiały przedstawiające seksualne wykorzystywanie dzieci wygenerowane przez sztuczną inteligencję) oraz narzędzi deep nude zmienia skalę zagrożeń. A trzy regulacje UE — RODO, AI Act i DSA — nakładają na firmy obowiązki, których większość founderów nie ma na radarze.

W tym artykule znajdziesz analizę ryzyk prawnych związanych z wizerunkiem dzieci w sieci, przegląd obowiązujących i nadchodzących regulacji oraz konkretne kroki, które Twoja firma powinna podjąć już teraz.

Podstawowe pojęcia i ramy prawne

Zanim przejdziemy do ryzyk biznesowych, uporządkujmy terminologię i regulacje, które będą się pojawiać w dalszej części artykułu.

Trzy regulacje, które się nakładają:

1. RODO (obowiązuje od 25.05.2018) — chroni dane osobowe, w tym dane biometryczne dzieci. Art. 8 wymaga zgody rodzica/opiekuna na przetwarzanie danych dziecka poniżej 16 lat w usługach cyfrowych. Art. 9 zakazuje przetwarzania danych biometrycznych bez wyraźnej podstawy prawnej.
2. AI Act (Rozporządzenie 2024/1689, stopniowe wdrażanie 2024–2027) — reguluje systemy sztucznej inteligencji. Od 2 lutego 2025 r. obowiązują zakazy z art. 5 (zakazane praktyki AI). Od sierpnia 2026 r. — obowiązek oznaczania treści syntetycznych (art. 50).
3. DSA (Akt o Usługach Cyfrowych) — nakłada na platformy obowiązki w zakresie moderacji treści, w tym CSAM jako pierwszej kategorii ryzyka systemowego dla bardzo dużych platform.

Do tego dochodzą polskie przepisy: art. 202 Kodeksu karnego (pornografia z udziałem małoletnich — kara od 2 do 12 lat pozbawienia wolności), art. 81 ustawy o prawie autorskim (ochrona wizerunku) oraz art. 98 Kodeksu rodzinnego i opiekuńczego (reprezentacja dziecka przez rodziców).

Skala problemu: dlaczego wizerunek dziecka w sieci to dziś zagrożenie

Dane z 2024 roku pokazują skalę, która wymaga uwagi każdego CEO firmy technologicznej.

Te liczby mają bezpośrednie przełożenie na ryzyko biznesowe. Zdjęcia dzieci publikowane przez rodziców — często w wysokiej rozdzielczości — stają się materiałem źródłowym dla narzędzi AI. Twarz dziecka to dana biometryczna w rozumieniu art. 9 RODO. Zdjęcia wysokiej jakości mogą służyć do łamania zabezpieczeń biometrycznych lub trenowania modeli generatywnych.

UODO aktywnie reaguje na te zagrożenia. W czerwcu 2024 r. organ nadzorczy zgłosił do prokuratury sprawę deep nude nastolatki ze szkoły pod Warszawą — uczniowie użyli narzędzia AI do wygenerowania nagiego wizerunku koleżanki. Podobna sprawa miała miejsce w Bydgoszczy.

Ryzyka prawne dla firm: kto i za co odpowiada

Sharenting i deep nude to nie tylko problem rodziców. Oto konkretne scenariusze ryzyka dla firm.

Platformy UGC i SaaS z funkcją uploadu treści

Jeśli prowadzisz platformę, na której użytkownicy mogą wrzucać zdjęcia lub generować treści, Twoja firma może nieświadomie przechowywać AI-generated CSAM. Konsekwencje:

1. Odpowiedzialność karna — art. 202 § 4b k.k. penalizuje przechowywanie treści pornograficznych przedstawiających wytworzony lub przetworzony wizerunek małoletniego uczestniczącego w czynności seksualnej. Kara: od 2 do 12 lat pozbawienia wolności.
2. Odpowiedzialność administracyjna — naruszenie RODO w zakresie danych biometrycznych dziecka: kara do 20 mln EUR lub 4% rocznego obrotu.
3. Ryzyko reputacyjne — jedna sprawa CSAM na platformie może zniszczyć markę. Koszt jest trudny do oszacowania, ale wielokrotnie przekracza koszty prewencji.

DSA nie nakłada na platformy generalnego obowiązku proaktywnego monitorowania treści. Model jest reaktywny — notice-and-action. Ale bardzo duże platformy (powyżej 45 mln użytkowników w UE) muszą przeprowadzać coroczną ocenę ryzyka systemowego, w tym ryzyka związanego z CSAM.

Dla mniejszych platform brak obowiązku proaktywnej detekcji nie oznacza braku odpowiedzialności. Jeśli otrzymasz zgłoszenie i nie zareagujesz niezwłocznie — tracisz ochronę wynikającą z zasady „bezpiecznej przystani”.

Firmy rozwijające narzędzia AI generatywnej

Jeśli budujesz narzędzie AI do edycji zdjęć, generowania treści lub przetwarzania obrazów — musisz wdrożyć zabezpieczenia (safety guardrails) uniemożliwiające generowanie treści intymnych z wykorzystaniem wizerunku realnych osób, ze szczególnym uwzględnieniem nieletnich.

AI Act a deep nude — stan prawny:

1. Art. 5 AI Act (od 2 lutego 2025 r.) nie zakazuje wprost dostarczania narzędzi generatywnych zdolnych do tworzenia deep nude. Zakaz nr 2 (wykorzystywanie słabości dzieci) może mieć zastosowanie, jeśli system jest celowo projektowany do szkodliwych zastosowań wobec małoletnich — ale dotyczy sposobu użycia, nie samego dostarczenia narzędzia ogólnego przeznaczenia.
2. Art. 50 AI Act (od sierpnia 2026 r.) nakłada obowiązek oznaczania treści syntetycznych w formacie odczytywalnym maszynowo — znaki wodne, metadane, metody kryptograficzne. Brak wdrożenia tych mechanizmów naraża dostawcę na kary.
3. Kary za naruszenie zakazów z art. 5: do 35 mln EUR lub 7% globalnego obrotu (stosuje się wyższą kwotę).

Odpowiedzialność za AI zależy od roli firmy w łańcuchu wartości. Nie tylko producent systemu AI ponosi odpowiedzialność — firma korzystająca z narzędzia AI generatywnej odpowiada za sposób jego użycia, w tym za to, czy system nie generuje treści naruszających prawa osób trzecich.

Employer branding i eventy firmowe

Firma organizuje piknik rodzinny, Dzień Dziecka lub inny event z udziałem dzieci pracowników. Zdjęcia trafiają na firmowy profil w mediach społecznościowych. Bez formalnej, pisemnej zgody obu rodziców/opiekunów z klauzulą informacyjną RODO — to naruszenie.

Wyrok Sądu Apelacyjnego w Warszawie z 4 lipca 2018 r. (V ACa 484/17) potwierdza, że publikacja wizerunku dziecka wymaga zgody rodziców jako przedstawicieli ustawowych. Ustna zgoda nie wystarczy — w razie sporu firma nie będzie w stanie udowodnić jej uzyskania.

Współpraca z influencerami

Influencerka współpracująca z Twoją marką e-commerce dokumentuje życie swojego dziecka od zdjęcia USG. Twoja marka staje się pośrednio powiązana z praktykami sharentingu. Ryzyko reputacyjne przenosi się na firmę.

Jeśli influencer w treściach sponsorowanych eksponuje wizerunek dziecka, a Twoja umowa tego nie reguluje — nie masz kontroli nad tym, jak wizerunek nieletniego jest wykorzystywany w kontekście Twojej marki.

Art. 202 Kodeksu karnego a AI-generated deep nude: co mówi polskie prawo

To zagadnienie, które budzi wiele pytań wśród founderów firm technologicznych. Odpowiedź zależy od tego, czy ofiara jest małoletnia.

Małoletni — generowanie deep nude jest karalne nawet bez rozpowszechniania.

Art. 202 § 4b k.k. penalizuje „produkowanie” treści pornograficznych przedstawiających wytworzony lub przetworzony wizerunek małoletniego uczestniczącego w czynności seksualnej. Znamię „produkuje” obejmuje wytwarzanie treści przez algorytmy AI. Przepis nie zawiera wymogu celu rozpowszechniania — samo wygenerowanie i zapisanie na dysku wyczerpuje znamiona przestępstwa. Nie ma znaczenia poziom realizmu materiału — penalizacji podlega zarówno prymitywny fotomontaż, jak i hiperrealistyczny deepfake.

Dorośli — generowanie deep nude bez rozpowszechniania nie jest karalne.

Na gruncie obowiązujących przepisów k.k. nie ma przepisu penalizującego samo wygenerowanie deep nude osoby dorosłej bez jego rozpowszechnienia. Art. 191a k.k. wymaga, by ofiara była faktycznie naga — przy deep nude ofiara nie jest faktycznie naga. Art. 190a § 2 k.k. (kradzież tożsamości) wymaga „podszywania się” wobec osób trzecich. Art. 212 k.k. (zniesławienie) i art. 216 k.k. (zniewaga) wymagają rozpowszechnienia.

Ważne: dyrektywa UE 2024/1385 (przemoc wobec kobiet) nakłada na Polskę obowiązek penalizacji tworzenia i udostępniania „deep porn” z udziałem dorosłych do czerwca 2027 r.

W Polsce trwają prace przedlegislacyjne — Ministerstwo Sprawiedliwości powołało zespół roboczy (ogłoszenie z 10 lutego 2026 r., Dzień Bezpiecznego Internetu), a w marcu 2026 r. odbyło się posiedzenie Komisji nadzwyczajnej ds. zmian w kodyfikacjach. Opublikowanego projektu nowelizacji k.k. jeszcze nie ma.

Obowiązki platform: co wynika z DSA i polskich przepisów

Polska implementacja DSA (nowelizacja ustawy o świadczeniu usług drogą elektroniczną uchwalona 21 listopada 2025 r.) ustanowiła Prezesa UKE jako Koordynatora ds. Usług Cyfrowych.

Procedura nakazowa:

Uwaga: część AI-generated CSAM — materiały z nagimi wizerunkami dzieci, które nie przedstawiają czynności seksualnych — nie spełnia znamion przestępstwa z art. 202 k.k. i formalnie nie jest „nielegalną treścią” w rozumieniu DSA. To luka, na którą zwracają uwagę biegli sądowi i UODO. Ale przerobienie wizerunku małoletniego stanowi przetwarzanie danych osobowych i jest bezprawne na gruncie RODO — nawet jeśli nie wypełnia znamion przestępstwa.

Tymczasowe rozporządzenie UE 2021/1232, umożliwiające dobrowolne skanowanie treści przez dostawców usług komunikacyjnych w celu wykrywania CSAM, zostało przedłużone do kwietnia 2026 r. Polska sprzeciwia się masowemu skanowaniu prywatnej korespondencji (szyfrowanie end-to-end).

Co powinna zrobić Twoja firma: lista działań

Poniżej znajdziesz uporządkowane rekomendacje — od tych, które musisz wdrożyć natychmiast, po te, które warto zaplanować w najbliższych miesiącach.

Działania priorytetowe (wdróż teraz)

1. Audyt materiałów marketingowych i social media — przejrzyj wszystkie opublikowane treści pod kątem obecności wizerunków dzieci. Usuń te, dla których nie masz pisemnej, udokumentowanej zgody obu rodziców/opiekunów.
2. Wewnętrzna polityka dotycząca wizerunku dzieci — wprowadź zasadę zabraniającą publikacji wizerunku dzieci pracowników w komunikacji firmowej lub wymagającą formalnej zgody z klauzulą informacyjną RODO.
3. Integracja narzędzi detekcji CSAM (jeśli prowadzisz platformę UGC lub SaaS z funkcją uploadu zdjęć) — rozważ wdrożenie PhotoDNA (Microsoft, bezpłatne), CSAI Match (Google) lub hash-matching. Ustanów procedurę zgłaszania do NASK/Dyżurnet.
4. Safety guardrails dla narzędzi AI (jeśli rozwijasz narzędzia AI generatywnej) — wdróż zabezpieczenia uniemożliwiające generowanie treści intymnych z wykorzystaniem wizerunku realnych osób. Udokumentuj to jako element compliance z AI Act.

Działania do wdrożenia w najbliższych miesiącach

5. Aktualizacja umów z influencerami — dodaj klauzulę zabraniającą eksponowania wizerunku dzieci w treściach sponsorowanych lub wymagającą zgodności z wytycznymi ochrony nieletnich.
6. Szkolenie dla zespołów marketingu, HR i social media — wyjaśnij ryzyka prawne związane z wizerunkiem dzieci w sieci: sharenting firmowy, eventy, employer branding.
7. Przegląd regulaminu platformy/serwisu — zleć prawnikowi weryfikację pod kątem odpowiedzialności za treści generowane przez AI i przetwarzanie danych biometrycznych nieletnich.

Harmonogram regulacyjny — terminy, o których musisz pamiętać

Jak możemy pomóc

Ryzyka związane z wizerunkiem dzieci, AI-generated content i nowymi obowiązkami z AI Act to obszar, w którym prawo IT, ochrona danych i compliance spotykają się z codzienną działalnością firmy technologicznej.

Łączymy te obszary w jeden model wsparcia — od audytu przez dokumentację po bieżące doradztwo. Pomagamy founderom i CTO zrozumieć, gdzie w ich organizacji powstaje ryzyko, i wdrożyć zmiany, które je ograniczają bez blokowania rozwoju produktu.

Zakres wsparcia obejmuje:

1. Audyt RODO — weryfikacja, czy Twoja firma prawidłowo przetwarza dane biometryczne i wizerunki nieletnich, w tym w materiałach marketingowych i na platformie.
2. AI compliance — ocena zgodności narzędzi AI z zakazami z art. 5 AI Act, przygotowanie do obowiązków transparentności z art. 50, dokumentacja safety guardrails.
3. Polityki platform i regulaminy — przegląd i aktualizacja regulaminów pod kątem odpowiedzialności za treści UGC, AI-generated content i ochronę nieletnich.
4. Umowy z influencerami i twórcami treści — klauzule dotyczące wizerunku dzieci, zasady compliance, mechanizmy kontroli.
5. Szkolenia dla zespołów — praktyczne warsztaty dla marketingu, HR, produktu i zarządu.

Jeśli chcesz sprawdzić, czy Twoja firma jest przygotowana na te ryzyka — napisz do nas.

Wizerunek dziecka w sieci: podsumowanie i następne kroki

Sharenting i deep nude to nie abstrakcyjne zagrożenie. To ryzyko, które dotyczy platform UGC, narzędzi AI, kampanii influencerskich i firmowych eventów. Trzy regulacje UE — RODO, AI Act i DSA — tworzą wielowarstwowy reżim ochrony, który nakłada obowiązki na każdą firmę przetwarzającą wizerunki lub dane nieletnich.

Kary za naruszenia sięgają 35 mln EUR (AI Act) lub 20 mln EUR (RODO). Art. 202 § 4b k.k. penalizuje samo wygenerowanie deep nude małoletniego — bez wymogu rozpowszechnienia.

Zacznij od audytu: przejrzyj materiały marketingowe, zweryfikuj umowy z influencerami, sprawdź zabezpieczenia platformy. Im wcześniej uporządkujesz te obszary, tym mniejsze ryzyko poniesiesz — finansowe, karne i reputacyjne.

Jeśli potrzebujesz wsparcia prawnego w zakresie ochrony wizerunku nieletnich, compliance z AI Act lub audytu RODO — napisz do nas.

Najczęściej zadawane pytania

Czy moja firma może mieć problem prawny, jeśli na naszej platformie ktoś wrzuci deep nude dziecka wygenerowane przez AI?

Tak. Art. 202 § 4b k.k. penalizuje przechowywanie treści pornograficznych przedstawiających wytworzony wizerunek małoletniego uczestniczącego w czynności seksualnej. Jeśli Twoja platforma przechowuje takie materiały i nie reagujesz po uzyskaniu wiedzy o ich obecności — narażasz się na odpowiedzialność karną i administracyjną (RODO). Wdróż narzędzia detekcji (np. PhotoDNA) i procedurę zgłaszania do NASK/Dyżurnet.

Czy mogę bezpiecznie publikować zdjęcia dzieci pracowników z firmowych eventów, jeśli rodzice ustnie wyrazili zgodę?

Ustna zgoda nie wystarczy. Potrzebujesz pisemnej zgody obu rodziców/opiekunów prawnych z klauzulą informacyjną RODO (art. 13). Zgoda musi być konkretna, świadoma i dobrowolna. Musisz też zapewnić łatwy mechanizm jej wycofania (art. 7 ust. 3 RODO). Bez tego narażasz firmę na zarzut naruszenia dóbr osobistych dziecka i przepisów o ochronie danych.

Jakie obowiązki nakłada AI Act, jeśli rozwijam narzędzie AI generatywnej — jak zapobiec tworzeniu deep nude?

Od 2 lutego 2025 r. obowiązują zakazy z art. 5 AI Act (m.in. zakaz wykorzystywania słabości dzieci). Od sierpnia 2026 r. musisz wdrożyć mechanizmy oznaczania treści syntetycznych (znaki wodne, metadane — art. 50). Wdróż safety guardrails uniemożliwiające generowanie treści intymnych z wizerunkiem realnych osób i udokumentuj to jako element compliance. Kary za naruszenie zakazów sięgają 35 mln EUR lub 7% globalnego obrotu.

Czy influencer, z którym współpracuję, może narazić moją markę, jeśli praktykuje sharenting?

Tak. Jeśli influencer w treściach sponsorowanych eksponuje wizerunek dziecka, a Twoja umowa tego nie reguluje — ryzyko reputacyjne przenosi się na Twoją firmę. Zaktualizuj umowy o klauzulę zabraniającą eksponowania wizerunku dzieci lub wymagającą zgodności z wytycznymi ochrony nieletnich.

Czy UODO może nałożyć karę na firmę w kontekście wizerunku dzieci?

Tak. UODO traktuje przerobienie wizerunku małoletniego jako przetwarzanie danych osobowych — bezprawne na gruncie RODO, nawet jeśli nie spełnia znamion przestępstwa z art. 202 k.k. Kary administracyjne RODO sięgają 20 mln EUR lub 4% rocznego obrotu. UODO aktywnie zgłasza do prokuratury sprawy deep nude dotyczące nieletnich — jak w przypadku szkoły pod Warszawą w czerwcu 2024 r.

Co zrobić, jeśli otrzymam zgłoszenie, że na mojej platformie pojawiły się treści CSAM lub deep nude?

Zareaguj niezwłocznie. Zabezpiecz materiał dowodowy, zablokuj dostęp do treści, zgłoś sprawę do NASK/Dyżurnet.pl i — w przypadku podejrzenia przestępstwa — do prokuratury. Polska procedura nakazowa DSA przewiduje terminy od 2 do 21 dni na reakcję, ale zwłoka w działaniu pozbawia Cię ochrony wynikającej z zasady „bezpiecznej przystani” DSA.