PPWR zaczął być stosowany, zaczęły obowiązywać kolejne przepisy AI Act, UODO zwrócił uwagę na bezpieczeństwo firmowych skrzynek mailowych, a greenwashing coraz wyraźniej przestaje być wyłącznie problemem działów marketingu.
Sierpień przyniósł kilka tematów, które mogą mieć bardzo praktyczne znaczenie dla przedsiębiorców.
Dlatego w tym wydaniu zebraliśmy najważniejsze analizy, artykuły i komentarze naszych ekspertów z ostatnich tygodni. Od 7-dniowej serii poświęconej PPWR, przez nowe obowiązki związane z wykorzystaniem AI, aż po prawo pracy, RODO, bezpieczeństwo informacji i spory dotyczące komunikacji środowiskowej.
PPWR już stosujemy. Anna Żmidzińska przez 7 dni prezentowała wnioski z najnowszych FAQ Komisji Europejskiej
12 sierpnia 2026 r. rozpoczęło się co do zasady stosowanie Packaging and Packaging Waste Regulation – PPWR.
Tuż przed tą datą Komisja Europejska opublikowała kolejną porcję FAQ, które w kilku miejscach doprecyzowały sposób rozumienia nowych obowiązków przedsiębiorców.
Anna Żmidzińska rozłożyła najważniejsze zmiany na siedem części i przez kolejne dni przyglądała się praktycznym problemom, z którymi firmy mogą spotkać się podczas wdrażania PPWR.
W serii znalazły się m.in. odpowiedzi na pytania:
- czy logo na opakowaniu zawsze przesądza o tym, kto jest jego wytwórcą,
- jak wygląda odpowiedzialność za półprodukty i komponenty opakowań,
- jakie znaczenie ma dokumentacja i informacje przekazywane w łańcuchu dostaw,
- co zrobić z zapasami wyprodukowanymi przed rozpoczęciem stosowania PPWR,
- jak identyfikować konkretne partie i serie opakowań,
- oraz od czego właściwie zacząć, kiedy trzeba ustalić, co w naszej organizacji jest opakowaniem i jakiego rodzaju.
Ostatni punkt jest szczególnie istotny.
Ten sam przedmiot – np. karton czy koperta – może być kwalifikowany inaczej w zależności od tego, jaką funkcję pełni, na jakim etapie łańcucha dostaw się pojawia i do kogo trafia.
Dlatego przygotowania do PPWR nie powinny zaczynać się od jednej uniwersalnej checklisty.
Najpierw potrzebna jest mapa opakowań wykorzystywanych w organizacji, a dopiero na jej podstawie można prawidłowo ustalić role poszczególnych podmiotów, obowiązki dokumentacyjne, wymagania dotyczące zgodności czy EPR.
AI Act w praktyce: nowe obowiązki w zakresie przejrzystości AI
2 sierpnia 2026 r. zaczęły obowiązywać kolejne przepisy AI Act dotyczące przejrzystości korzystania ze sztucznej inteligencji.
Wokół nowych zasad szybko pojawiło się jednak sporo uproszczeń.
Czy każdy post napisany z ChatGPT trzeba teraz oznaczać? Nie.
Sam fakt wykorzystania sztucznej inteligencji nie powoduje automatycznie obowiązku dodania informacji o AI. Znaczenie ma przede wszystkim rodzaj materiału, sposób wykorzystania sztucznej inteligencji oraz efekt końcowy.
Szczególnej uwagi wymagają m.in.:
- realistyczne obrazy wygenerowane lub istotnie zmienione przez AI,
- syntetyczne nagrania głosowe,
- materiały wideo,
- deepfake’i,
- chatboty i inne systemy bezpośrednio komunikujące się z użytkownikiem,
- określone treści tekstowe dotyczące spraw leżących w interesie publicznym.
Inaczej należy natomiast podejść do sytuacji, w której AI jedynie poprawia jakość zdjęcia, pomaga zredagować tekst albo wspiera pracownika podczas przygotowywania materiału.
W praktyce dla firm oznacza to, że warto odpowiedzieć sobie na kilka pytań: gdzie w organizacji wykorzystujemy generatywną AI, kto podejmuje decyzję o publikacji materiału i kto sprawdza, czy w konkretnym przypadku wymagane jest oznaczenie?
To szczególnie istotne dla marketingu, e-commerce, mediów, działów komunikacji oraz organizacji prowadzących programy employee advocacy.
Przygotowaliśmy praktyczny poradnik oznaczania treści generowanych przez AI – zachęcamy do pobrania:
AI zmyśliło, pracownik wysłał dalej. Kto odpowiada za halucynacje sztucznej inteligencji?
Przy okazji sierpniowej dyskusji o AI warto wrócić również do jednego z materiałów opublikowanych pod koniec lipca.
Pracownik przygotowuje raport przy pomocy ChatGPT, Copilota albo Claude’a. Model generuje nieprawdziwą informację. Pracownik jej nie weryfikuje i wysyła dokument klientowi albo zarządowi.
Czy taki błąd może skończyć się zwolnieniem dyscyplinarnym?
Problem nie sprowadza się do tego, że „AI się pomyliło”.
Sztuczna inteligencja pozostaje narzędziem pracy, a pracownik ma obowiązek wykonywać swoje zadania sumiennie i starannie. Jeżeli bezrefleksyjnie przekazuje dalej wygenerowane informacje, brak ich weryfikacji może – zależnie od okoliczności – zostać oceniony jako naruszenie obowiązków pracowniczych.
Ale odpowiedzialność nie działa wyłącznie w jedną stronę.
Jeżeli firma oczekuje korzystania z AI, powinna również stworzyć pracownikom odpowiednie warunki: określić zasady korzystania z narzędzi, wskazać zakres wymaganej weryfikacji i zadbać o odpowiedni poziom AI Literacy.
Dlatego jednym z podstawowych elementów bezpiecznego wdrożenia AI pozostaje wewnętrzna AI Policy połączona z realną edukacją pracowników.
Prawo pracy: dobra polityka antymobbingowa może już nie wystarczyć
„My już mamy bardzo dobrą politykę antymobbingową!”
Czy jeśli organizacja ma już rozbudowaną politykę antymobbingową, wystarczy zaktualizować w niej definicję mobbingu i kilka odwołań do Kodeksu pracy?
Paweł Kempa-Dymiński zwraca uwagę, że nowe przepisy wymagają znacznie więcej.
Nowelizacja przesuwa ciężar z samego posiadania dokumentu na rzeczywiste i systematyczne działanie organizacji.
Nowy art. 94³a Kodeksu pracy wymaga od pracodawcy zatrudniającego co najmniej 10 pracowników określenia reguł, procedur oraz częstotliwości działań dotyczących aż czterech obszarów:
- przeciwdziałania naruszeniom godności i innych dóbr osobistych pracownika,
- przeciwdziałania nierównemu traktowaniu,
- przeciwdziałania dyskryminacji,
- przeciwdziałania mobbingowi.
Zmienia się również sposób tworzenia zakładowych regulacji – nowe przepisy przewidują ścieżkę konsultacyjną, której wcześniej w tym zakresie nie było.
Ale formalne dostosowanie dokumentacji to dopiero początek.
Najważniejsza zmiana? Systematyczność
Wiele dotychczasowych polityk koncentruje się przede wszystkim na tym, co zrobić, kiedy pojawi się zgłoszenie.
Nowe podejście wymaga spojrzenia szerzej.
Organizacja powinna nie tylko rozpoznawać przypadki mobbingu czy dyskryminacji, ale również prowadzić działania:
- prewencyjne,
- pozwalające wykrywać nieprawidłowości,
- zapewniające właściwe reagowanie,
- naprawcze,
- oraz wspierające osoby dotknięte niepożądanymi zachowaniami.
Samo szkolenie podczas onboardingu, okresowe przypomnienie zasad czy udostępnienie pracownikom polityki może więc okazać się niewystarczające.
Audyt przed wejściem nowych regulacji w życie nie powinien kończyć się na pytaniu: „Czy mamy politykę antymobbingową?”.
Znacznie ważniejsze będzie sprawdzenie, czy za dokumentem rzeczywiście stoi funkcjonujący system przeciwdziałania niepożądanym zachowaniom.
Paweł zapowiada rozwinięcie tego tematu w kolejnych publikacjach – z pytaniami, które organizacje powinny sobie zadać jeszcze przed wejściem nowych przepisów w życie.
Generatywna AI w GameDev. Samo wygenerowanie assetu to dopiero początek pytań
Wojciech Kostka przyjrzał się wykorzystaniu generatywnej sztucznej inteligencji przez studia produkujące gry.
AI może przyspieszać tworzenie grafik, dialogów, kodu, muzyki czy elementów świata gry. Jednocześnie korzystanie z takich narzędzi wymaga coraz większej uwagi przy ustalaniu chain of title, zasad korzystania z wygenerowanych materiałów oraz informacji przekazywanych platformom dystrybucyjnym.
Dla studiów oznacza to, że wykorzystanie AI powinno być nie tylko decyzją kreatywną czy technologiczną.
Warto wiedzieć jakiego narzędzia użyto, do czego, przez kogo i co dokładnie trafiło później do finalnego produktu.
Environmental compliance przestaje być tematem „dla człowieka od środowiska”
Projekt zmian w Kodeksie karnym związany z wdrożeniem dyrektywy 2024/1203 może istotnie zmienić sposób patrzenia na ryzyka środowiskowe w przedsiębiorstwach.
Maurycy Marcinkiewicz zwraca uwagę, że kierunek zmian nie sprowadza się wyłącznie do podwyższenia kar. Prawo karne ma coraz mocniej interesować się również tym, jak przedsiębiorstwo zarządzało ryzykiem, informacją i procesem podejmowania decyzji.
W projektowanych regulacjach większego znaczenia nabiera już samo stworzenie zagrożenia, a część przestępstw środowiskowych będzie mogła być popełniona również nieumyślnie.
To oznacza bardzo praktyczne pytania:
- kto wiedział o nieprawidłowości,
- kiedy informacja pojawiła się w organizacji,
- czy została odpowiednio eskalowana,
- kto miał możliwość podjęcia decyzji,
- czy osoba odpowiedzialna za środowisko faktycznie mogła zatrzymać niebezpieczny proces,
- oraz czy zarząd miał dostęp do informacji, które powinny do niego trafić.
Projekt obejmuje szeroki zakres działalności – m.in. emisje, instalacje przemysłowe, substancje chemiczne, środki ochrony roślin, fluorowane gazy cieplarniane, działalność geologiczną i górniczą czy towary związane z nielegalnym wylesianiem.
Szczególne znaczenie może mieć także dokumentacja. Raport z audytu, mail kierownika technicznego, protokół z przeglądu czy informacja o przekroczeniu parametrów mogą kiedyś przestać być wyłącznie dokumentami operacyjnymi i stać się materiałem dowodowym.
A skala potencjalnej odpowiedzialności powoduje, że trudno traktować ten temat marginalnie: projekt przewiduje w przypadku przestępstw środowiskowych sankcje sięgające nawet 200 mln zł albo 5% przychodu osiągniętego w roku obrotowym, w którym popełniono czyn.
Najważniejszy wniosek?
Dobre environmental compliance nie polega wyłącznie na posiadaniu procedur. Organizacja musi być w stanie wykazać, kto miał obowiązek, kto posiadał informację, kto podjął decyzję i co zrobił, gdy pojawił się problem.
RODO i bezpieczeństwo informacji: małe decyzje, duże ryzyko
UODO bierze pod lupę firmowe skrzynki mailowe
Firmowa skrzynka pocztowa bardzo szybko przestaje być tylko narzędziem komunikacji.
Z czasem staje się ogromnym archiwum zawierającym historię projektów, ustalenia z klientami, dokumenty, decyzje i tysiące danych osobowych.
A im więcej danych przechowujemy, tym większa może być skala potencjalnego naruszenia.
W najnowszych materiałach UODO zwraca uwagę m.in. na praktyczne zabezpieczenia poczty elektronicznej: MFA, szyfrowanie załączników oraz prostą weryfikację odbiorcy i załączników przed wysłaniem wiadomości.
To ważna wskazówka również z perspektywy rozliczalności.
RODO nie daje przedsiębiorcom zamkniętej listy zabezpieczeń, które zawsze należy wdrożyć. Jeżeli jednak organ nadzorczy sam wskazuje konkretne rozwiązania jako dobrą praktykę, mogą one później mieć znaczenie przy ocenie działań organizacji po wystąpieniu incydentu.
Techniczny audyt RODO strony internetowej
Czy strona internetowa faktycznie działa tak, jak wynika z polityki prywatności i ustawień cookies?
Grzegorz Lesniewski zwrócił uwagę na narzędzia umożliwiające techniczną weryfikację witryny – w tym EDPB Website Auditing Tool.
Taki audyt pozwala sprawdzić m.in. wykorzystywane cookies i trackery oraz komunikację strony z podmiotami trzecimi.
To dobry przykład szerszego problemu: zgodność z RODO nie kończy się na posiadaniu odpowiednich dokumentów. Trzeba jeszcze sprawdzić, czy rozwiązania techniczne rzeczywiście działają zgodnie z tym, co organizacja deklaruje użytkownikom.
Oszustwa są coraz bardziej przekonujące
Grzegorz Lesniewski zwrócił też uwagę na rosnące znaczenie socjotechniki, wycieków danych oraz coraz bardziej wiarygodnych prób oszustwa.
Im więcej informacji o użytkowniku znajduje się w różnych źródłach, tym łatwiej przygotować wiadomość, stronę czy scenariusz ataku, który wygląda wiarygodnie.
Techniczne zabezpieczenia pozostają ważne, ale równie istotna staje się edukacja użytkowników i umiejętność rozpoznawania manipulacji.
Greenwashing coraz częściej kończy się sporem
Czy sama nazwa produktu może być greenwashingiem?
„Ekogroszek” przez lata funkcjonował jako powszechnie używana nazwa produktu.
A jednak stał się również przedmiotem sporu dotyczącego komunikacji środowiskowej.
W pierwszym artykule z serii „Greenwashing na sali sądowej” Anna Żmidzińska przeanalizowała sprawę, w której ClientEarth zakwestionował nie tylko samo określenie „ekogroszek”, ale również sposób prezentacji produktu, w tym zielone elementy graficzne i motywy przyrodnicze.
Sprawa zakończyła się ugodą, więc nie otrzymaliśmy sądowej odpowiedzi na pytanie, czy taki komunikat był zgodny z prawem.
Dostaliśmy jednak coś równie ciekawego: przykład pokazujący, że przy ocenie greenwashingu znaczenie może mieć nie tylko dosłowna prawdziwość pojedynczego zdania.
Liczy się również całościowe wrażenie, jakie komunikacja wywołuje u przeciętnego konsumenta.
To szczególnie ważne w perspektywie nowych przepisów dotyczących twierdzeń środowiskowych.
Nazwa produktu, grafika, kolorystyka opakowania czy pojedyncze hasło nie powinny być więc oceniane w całkowitym oderwaniu od reszty komunikacji.
KRS może być czymś więcej niż źródłem informacji o spółce
W sierpniu Anna Żmidzińska zwróciła również uwagę na mniej oczywiste wykorzystanie Krajowego Rejestru Sądowego.
W określonych sytuacjach informacja o niezaspokojonej wierzytelności może zostać ujawniona w dziale 4 KRS.
Z perspektywy dłużnika taki wpis nie jest neutralny – może być widoczny dla banków, kontrahentów, inwestorów czy innych podmiotów weryfikujących spółkę.
Dlatego w niektórych sporach odpowiednie wykorzystanie dostępnych instrumentów rejestrowych może stać się dodatkowym elementem strategii dochodzenia należności, obok klasycznych działań windykacyjnych.
Sierpień w skrócie
Jeżeli mielibyśmy zamknąć ostatnie tygodnie w kilku pytaniach, byłyby to:
→ PPWR: czy wiemy, jakie opakowania faktycznie wykorzystuje nasza organizacja i kto za nie odpowiada?
→ AI: czy wiemy, kiedy treść wymaga oznaczenia i kto odpowiada za weryfikację tego, co wygenerował model?
→ HR: czy nasze procedury antymobbingowe rzeczywiście działają, czy tylko istnieją?
→ RODO: czy potrafimy wykazać nie tylko zgodność dokumentacji, ale również bezpieczeństwo naszych rozwiązań technicznych?
→ ESG: czy komunikat, który marketing uważa za atrakcyjny, może zostać odebrany przez konsumenta jako obietnica środowiskowa?
To właśnie na styku regulacji i codziennych decyzji biznesowych powstaje dziś najwięcej nowych ryzyk.
I temu będziemy przyglądać się również w kolejnych tygodniach.
Dziękujemy za lekturę sierpniowego wydania LBKP Inside.
