C2PA i Content Credentials — czym są poświadczenia pochodzenia zdjęcia

Co to jest C2PA

C2PA (Coalition for Content Provenance and Authenticity) to otwarty standard techniczny, który dołącza do pliku kryptograficznie podpisany zapis pochodzenia treści. W zapisie może znaleźć się informacja, jakim narzędziem obraz powstał, czy w procesie użyto AI oraz jakie zmiany naniesiono później.

Marketingowa, przyjazna użytkownikowi nazwa tego samego mechanizmu to Content Credentials — inicjatywa Content Authenticity Initiative. W praktyce Content Credentials to „warstwa C2PA", którą widzisz jako mały znaczek „i" przy zdjęciu w niektórych serwisach i edytorach.

Podpis kryptograficzny sprawia, że zapis jest odporny na manipulację: jeśli ktoś zmieni obraz po jego utworzeniu, poświadczenie to ujawni. To odróżnia C2PA od zwykłych metadanych EXIF, które łatwo podmienić.

Dlaczego Twoje zdjęcia AI mogą już mieć takie poświadczenie

Tu wchodzi drugi, często mylony z Art. 50 ust. 4, przepis AI Act. Art. 50 ust. 2 AI Act nakłada obowiązek na dostawców systemów generujących treści syntetyczne: wyniki takich systemów mają być oznaczane w formacie nadającym się do odczytu maszynowego i wykrywalne jako sztucznie wygenerowane.

To obowiązek producenta narzędzia, nie sklepu. W praktyce oznacza, że wiele generatorów obrazów dokłada do swoich wyników poświadczenie pochodzenia (C2PA / Content Credentials) albo znak wodny czytelny dla maszyn. Innym przykładem jest SynthID od Google — znak wodny wplatany w obrazy z ich modeli, który jednak nie jest dostępny jako uniwersalny detektor dla podmiotów trzecich. Dostawcy systemów wprowadzonych na rynek przed 2 sierpnia 2026 mają na wdrożenie takiego znakowania czas do 2 grudnia 2026 (rozporządzenie (UE) 2026/1744), więc część narzędzi wciąż nie dodaje metryki. Ten okres przejściowy nie dotyczy sprzedawców.

Skutek dla Ciebie: obraz wygenerowany w takim narzędziu może przyjść już z metryką mówiącą, że powstał z udziałem AI. To cenny sygnał — ale nie zwalnia z osobnego obowiązku sprzedawcy.

Metadane to sygnał, nie dowód — i nie oznaczenie dla klienta

Trzy zastrzeżenia, o których łatwo zapomnieć:

• Brak poświadczenia niczego nie przesądza. Jeśli zdjęcie nie ma Content Credentials, nie znaczy to, że nie powstało z udziałem AI. Poświadczenie potwierdza obecność sygnału, jego brak nie potwierdza nic.
• Metadane bywają usuwane. Wiele platform i serwisów sprzedażowych strippuje (usuwa) metadane przy wgrywaniu zdjęcia, żeby zmniejszyć rozmiar pliku. Poświadczenie, które miało być dowodem, może zniknąć po uploadzie.
• To nie jest oznaczenie dla kupującego. Nawet zachowane Content Credentials są zapisem technicznym — klient ich nie zobaczy, chyba że świadomie kliknie znaczek. Obowiązek z Art. 50 ust. 4 wymaga widocznego ujawnienia, więc etykiety w metadanych nie zastąpi.

Innymi słowy: poświadczenie pochodzenia to świetne wejście do oceny zdjęcia, a nie gotowe rozwiązanie. Pomaga ustalić, że w grze było AI; nie decyduje samo, czy i jak trzeba obraz oznaczyć wobec klienta.

Jak to wykorzystać w praktyce

Sensowna kolejność pracy z katalogiem wygląda tak: najpierw sprawdź, czy zdjęcia niosą wiarygodne poświadczenie pochodzenia lub inny sygnał (np. pole IPTC DigitalSourceType), potem oceń, czy obraz jest realistyczny i istotnie zmieniony przez AI, a na końcu — jeśli tak — przygotuj widoczne oznaczenie do miejsca publikacji.

KontrolAI to narzędzie i API dla sklepów internetowych: sprawdza zdjęcia w katalogu, wskazuje obrazy z AI wymagające oznaczenia i zapisuje decyzje. Nie zastępuje porady prawnej. Chcesz wiedzieć więcej? Dołącz do listy.

Powiązane artykuły

• Art. 50 ust. 4 AI Act — co musi zrobić sklep — obowiązek widocznego oznaczenia po stronie sprzedawcy.
• Jak oznaczyć zdjęcia AI na Allegro i w sklepie własnym — od sygnału do widocznej etykiety.
• FAQ: oznaczanie treści AI w e-commerce — krótkie odpowiedzi na najczęstsze pytania.

Zastrzeżenie i źródła

To nie jest porada prawna. Tekst wyjaśnia, czym są poświadczenia pochodzenia i jak wiążą się z obowiązkami z AI Act; nie odnosi się do konkretnej oferty. Standardy techniczne wciąż się rozwijają, a wytyczne Komisji Europejskiej do art. 50 (przyjęte 20 lipca 2026) mogą być doprecyzowywane. W razie wątpliwości skonsultuj się z prawnikiem.

Źródła: C2PA · Content Authenticity Initiative · IPTC Photo Metadata · Rozporządzenie (UE) 2024/1689 (AI Act) — EUR-Lex (art. 50 ust. 2) · Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI) — EUR-Lex · Wytyczne Komisji Europejskiej do art. 50 (20 lipca 2026)