Deepfake prezesa w reklamie: co może zrobić firma?

Krótka odpowiedź: zapisać dowody i zgłosić reklamę platformie na podstawie art. 16 aktu o usługach cyfrowych (DSA), z dokładnym adresem i uzasadnieniem nielegalności, bo najpóźniej po takim zgłoszeniu platforma może odpowiadać za treść, której bezzwłocznie nie usunie. Prezes ma własne roszczenia o wizerunek i może złożyć wniosek o ściganie z art. 190a § 2 Kodeksu karnego, a spółka chroni renomę i znak towarowy. Ustawa z 4 września 2026 roku, która da skargę do Prezesa UKE, została podpisana 25 września, ale do 29 września nie ukazała się w Dzienniku Ustaw.

Co zapisać, zanim reklama zniknie

Zrzut reklamy, jej adres URL, identyfikator w repozytorium reklam i adres strony docelowej trzeba zapisać przed zgłoszeniem. Gdy platforma usunie reklamę jako nielegalną albo niezgodną ze swoim regulaminem, repozytorium bardzo dużej platformy nie pokazuje już treści tej reklamy, reklamodawcy ani płatnika (art. 39 ust. 3 DSA). Biblioteka reklam Mety indeksuje też nowe wersje reklam z opóźnieniem sięgającym 24 godzin, gdy użytkownicy już je widzą (CERT Polska, listopad 2024). Prowadzi do niej z reklamy ścieżka „Dlaczego widzę tę reklamę”, „Wybór reklamodawców”, „Wyświetl szczegóły reklamy w bibliotece reklam Meta”; u Google to Ads Transparency Center.

Jak zgłosić reklamę na podstawie art. 16 DSA

Zgłoszenie, wyłącznie elektroniczne, może złożyć każda osoba i firma, więc spółka i prezes mogą zgłaszać tę samą reklamę osobno. Art. 16 ust. 2 DSA wymaga czterech elementów:

1. wystarczająco uzasadnionego wyjaśnienia, dlaczego treść jest nielegalna, na przykład że reklama rozpowszechnia wizerunek prezesa bez zezwolenia i podszywa się pod niego;
2. dokładnego adresu URL, a przy kilku wersjach reklamy adresu każdej z nich;
3. imienia i nazwiska albo nazwy oraz adresu e-mail zgłaszającego;
4. oświadczenia o przekonaniu w dobrej wierze, że informacje i zarzuty są prawidłowe i kompletne.

Zgłoszenie, z którego nielegalność wynika bez szczegółowej analizy prawnej, daje platformie „faktyczną wiedzę” w rozumieniu art. 6. Od tej chwili platforma zachowuje zwolnienie z odpowiedzialności tylko wtedy, gdy bezzwłocznie usunie treść. Od odmowy przysługuje przez co najmniej sześć miesięcy bezpłatna skarga w wewnętrznym systemie platformy (art. 20), potem pozasądowe rozstrzygnięcie sporu (art. 21).

Jedno zgłoszenie często nie wystarcza. CERT Polska zgłaszał Mecie złośliwe reklamy ze zwykłego konta od stycznia do listopada 2024 roku: ze 122 usunięto 10, a 106 zgłoszeń (86,8%) zamknięto odpowiedzią „Nie usunęliśmy reklamy”. Potwierdzenie zgłoszenia i decyzję platformy trzeba więc zachować, a po odmowie od razu składać skargę.

Co dają narzędzia Mety i Google

Oba koncerny mają mocniejsze narzędzia, ale nie dla każdego. Meta napisała 25 sierpnia 2026 roku do wicepremiera Gawkowskiego, że wobec osób publicznych, które wyraziły zgodę, porównuje twarze z reklam ze zdjęciami profilowymi; w Unii Europejskiej robi to od marca 2025 roku, a kryteriów doboru osób nie podaje. Podała też, że „uprawnionym podmiotom, w tym polskim bankom i dużym przedsiębiorstwom” udostępnia narzędzie ochrony praw marki do zgłaszania reklam nadużywających ich znaków towarowych.

Google zalicza w zasadach reklamowych do osób publicznych także „prominent business people like founders or CEOs of big companies”, a konta reklamodawców, którzy się pod nie podszywają, zawiesza bez ostrzeżenia i na stałe. Prezes mniejszej spółki może się w tym opisie nie mieścić, ale formularz zgłoszenia reklamy ma dwie ścieżki, naruszenie zasad Google (oszustwo, phishing) i naruszenie prawa (prawa autorskie, znak towarowy), a deepfake prezesa prowadzący do oszustwa pasuje do obu.

Kiedy pomaga CERT Polska

Wtedy, gdy reklama prowadzi na stronę wyłudzającą dane albo pieniądze. Taką domenę każdy może zgłosić do CERT Polska, a na Listę ostrzeżeń wpisuje się domeny, których podstawowym celem jest wprowadzenie w błąd i wyłudzenie (art. 20 ust. 3 i 4 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej). Lista blokuje domeny, a nie reklamy: reklama może się dalej wyświetlać, ale strona, do której prowadzi, zostaje zablokowana. Same reklamy CERT przyjmuje przez formularz incydent.cert.pl.

Jakie roszczenia mają prezes i spółka

Prezes i spółka mają osobne podstawy i mogą działać równolegle. Prezes może powołać się na art. 81 prawa autorskiego: rozpowszechnianie wizerunku wymaga zezwolenia, a wyjątek dla osoby powszechnie znanej dotyczy wizerunku wykonanego w związku z pełnieniem funkcji publicznych, w tym zawodowych. Sfabrykowanego nagrania ten wyjątek z brzmienia nie obejmuje, choć orzeczenia w tej kwestii nie znalazłem. Do tego dochodzą art. 23 i 24 Kodeksu cywilnego z żądaniem zaniechania, usunięcia skutków, oświadczenia i zadośćuczynienia. Wizerunek jest też daną osobową: Prezes UODO postanowieniami z 5 sierpnia 2024 roku na podstawie art. 66 RODO nakazał Mecie wstrzymać na trzy miesiące wyświetlanie w Polsce fałszywych reklam z danymi Rafała Brzoski i Omeny Mensah. Karnie prezes może złożyć wniosek o ściganie podszywania się z użyciem wizerunku (art. 190a § 2 Kodeksu karnego).

Spółkę chroni art. 43 Kodeksu cywilnego, który każe stosować przepisy o dobrach osobistych odpowiednio do osób prawnych; RODO chroni tylko osoby fizyczne. Reklama wprowadzająca klienta w błąd jest czynem nieuczciwej konkurencji (art. 16 ust. 1 ustawy o zwalczaniu nieuczciwej konkurencji, roszczenia z art. 18), a gdy używa zarejestrowanego znaku towarowego spółki, dochodzi art. 296 prawa własności przemysłowej.

Czego uczy sprawa Brzoski i Mensah

Uczy dwóch rzeczy: zgłoszenia dokumentują wiedzę platformy, a wniosek o zabezpieczenie musi precyzyjnie opisywać naruszające przekazy, tak by platforma nie musiała sama oceniać, co mieści się w zakazie. Rafał Brzoska i Omena Mensah jako osoby fizyczne zgłosili Mecie reklamy odpowiednio 3 i 4 lipca 2024 roku, a potem pozwali ją o ochronę dóbr osobistych; odrębnego pozwu spółki InPost nie znalazłem. Sąd Okręgowy w Warszawie 7 listopada 2024 roku w ramach zabezpieczenia zakazał Mecie wyświetlania i przyjmowania nowych reklam z deepfake'ami Brzoski albo fałszywymi informacjami o Mensah. Wiadomo o tym z komunikatu kancelarii pełnomocników powodów, bo postanowienia nie opublikowano.

Sąd Apelacyjny w Warszawie 27 marca 2026 roku utrzymał zabezpieczenie wobec Mensah, a wobec Brzoski uchylił je jako zbyt szerokie. Orzeczenia też nie opublikowano: datę podaje Prawo.pl, a fragmenty uzasadnienia cytuje tylko XYZ.pl, który ujawnia, że jego inwestorem jest fundusz RiO Mensah i Brzoski. Według tych cytatów sąd uznał za uprawdopodobnione, że wskutek zgłoszeń, po których treści usunięto tylko częściowo albo wcale, Meta miała konkretną wiedzę o istnieniu treści równoznacznych; zaznaczył też, że środki ochrony mają być „ściśle powiązane z konkretnymi naruszeniami”. Sąd uznał też, że udział Mety w emisji reklam „nie powinien być traktowany jako bierny”, bo od jej decyzji zależy publikacja, a ona sama pobiera za nią wynagrodzenie i daje reklamodawcom narzędzia docierania do odbiorców; pełnomocnik powodów wywodzi z tego, że przy reklamach Meta nie może powołać się na zwolnienie z art. 6 DSA. To ocena na etapie zabezpieczenia, oparta na uprawdopodobnieniu.

Co zmieni ustawa wdrażająca DSA

Da skargę do urzędu i uporządkuje ścieżkę sądową; nakazu szybkiego usunięcia reklamy w niej nie ma. Ustawa z 4 września 2026 roku (druk 2694), podpisana 25 września, wchodzi w życie 30 dni po ogłoszeniu, a na 29 września 2026 roku w Dzienniku Ustaw jej nie było. Koordynatorem do spraw usług cyfrowych zostaje Prezes UKE. Po wejściu ustawy w życie:

• usługobiorca może złożyć do Prezesa UKE elektroniczną skargę na dostawcę usług pośrednich (art. 22zh), ze wskazaniem naruszonego obowiązku z DSA i dowodami, choćby zrzutami ekranu; postępowanie wyjaśniające trwa do 4 miesięcy, w sprawach skomplikowanych do 5;
• roszczenia o odszkodowanie z art. 54 DSA rozpatruje sąd okręgowy według Kodeksu cywilnego (art. 22zzi); samo prawo do odszkodowania wynika z rozporządzenia, stosowanego od 17 lutego 2024 roku;
• za niewykonanie m.in. obowiązków z art. 16 i 20 DSA grozi kara do 6% światowego obrotu dostawcy z roku poprzedzającego (art. 22zzn).

Wobec Facebooka, Instagrama i Google rola polskiego urzędu jest ograniczona. Skargę na dostawcę z siedzibą w innym państwie Prezes UKE przekaże koordynatorowi tego państwa (art. 22zh ust. 4), obowiązki bardzo dużych platform w dużej części nadzoruje Komisja Europejska (art. 56 DSA), a polskie kary dotyczą dostawców podlegających polskiej jurysdykcji.

Prezes UKE będzie też nadawał status zaufanego podmiotu sygnalizującego, w ciągu 2 miesięcy od wniosku. Pojedyncza firma raczej go nie dostanie, bo art. 22 DSA wymaga szczególnej wiedzy eksperckiej i niezależności od platform; to ścieżka dla organizacji branżowej. W unijnym wykazie, według stanu na 29 września 2026 roku, jest 87 takich podmiotów z 22 państw, żadnego z Polski, a w dziedzinie oszustw status ma m.in. estoński związek banków i włoski ABI Lab. Meta podała w piśmie do wicepremiera, że zgłoszenia zaufanych podmiotów dotyczące oszustw rozpatrywała na Facebooku z medianą 9,8 godziny, a wszystkie zgłoszenia z art. 16 z medianą 14,8 godziny (UE, lipiec–grudzień 2025); zastrzegła, że mediany nie są rozbite na reklamy oszukańcze.

Nakazy blokowania treści są w osobnym projekcie, druku 2693. Wniosek o nakaz uniemożliwienia dostępu mógłby złożyć m.in. usługobiorca, ale przy usłudze hostingu, takiej jak Facebook, dopiero po zgłoszeniu z art. 16 DSA i w ciągu 14 dni od powiadomienia o decyzji platformy; gdy platforma decyzji nie przyśle, termin biegnie od drugiego dnia po zgłoszeniu (art. 11a ust. 3 i art. 11d ust. 1 i 3 projektu). Katalog obejmuje podszywanie się z art. 190a § 2 i oszustwo z art. 286 Kodeksu karnego. Decyzję wydawałby Prezes UKE, a dla platform wideo Przewodniczący KRRiT. Przy wniosku firmy miałby na nią 7 dni od otrzymania stanowiska autora reklamy i dowodów od platformy, a w sprawach szczególnie skomplikowanych 21 dni; termin 2 dni projekt przewiduje tylko dla wniosków Policji i prokuratora (art. 11o). Na 29 września 2026 roku projekt był po drugim czytaniu, bez trzeciego, i ma wejść w życie 6 miesięcy po ogłoszeniu.

Czy pomoże AI Act

Ofierze nie: art. 50 ust. 4 AI Act, stosowany od 2 sierpnia 2026 roku, każe ujawniać deepfake temu, kto go tworzy i publikuje, i nie daje trybu usunięcia treści. Dotyczy za to firmy, która sama publikuje syntetyczne wideo z prezesem, które widz mógłby wziąć za prawdziwe, bo definicja z art. 3 pkt 60 obejmuje materiały przypominające istniejące osoby, a także „podmioty”, czyli firmy i marki; jak oznaczać takie treści, opisałem osobno.

Skąd liczby o skali oszustw

Liczby podawane we wrześniu 2026 roku są starsze, niż sugerowały relacje z konferencji NASK, albo mierzą co innego. Dane o 16 tys. materiałów z treściami syntetycznymi i wizerunkach ponad 450 osób pochodzą z pięciotygodniowego monitoringu mediów społecznościowych, który NASK przeprowadził pod koniec 2025 roku, a padły w wystąpieniu na konferencji 22 września 2026 roku. NASK nie opublikował komunikatu ani metody; znam te liczby z relacji mediów, a okres badania podał tylko WNP.PL. Część relacji pisała o 16 tys. reklam wygenerowanych przez AI, a WNP.PL i ITReseller o materiałach z treściami syntetycznymi. Kwotę 537 mln zł relacje z konferencji podały jako szacowane straty Polaków z oszukańczych reklam, a to suma strat w sprawach, które Centralne Biuro Zwalczania Cyberprzestępczości prowadziło w 2025 roku, we wszystkich kategoriach przestępstw, jak CBZC podało „Rzeczpospolitej” w kwietniu 2026 roku; ile z tego przypada na reklamy, nie wiadomo.

To nie jest porada prawna.