Bankowość i Finanse — Przewodnik po Zgodności z Aktem o AI UE

Obowiązki wynikające z Aktu o AI UE dla banków, instytucji kredytowych i firm fintech. Scoring kredytowy AI, systemy AML, handel algorytmiczny, powiązania z DORA oraz wytyczne EBA.

Dlaczego Bankowość Cechuje Skoncentrowana Ekspozycja na Akt o AI UE

Sektor bankowości i usług finansowych znajduje się na przecięciu najsurowszych obowiązków wynikających z Aktu o AI UE oraz najbardziej złożonego środowiska regulacyjnego w UE. Instytucje finansowe należą do największych podmiotów wdrażających AI w Europie — w obszarze underwritingu kredytowego, wykrywania oszustw, screeningu AML/CFT, należytej staranności wobec klientów, handlu algorytmicznego i zarządzania majątkiem. Akt o AI UE bezpośrednio ukierunkowuje się na najbardziej doniosłe z tych przypadków użycia poprzez Załącznik III, klasyfikując kilka finansowych zastosowań AI jako wysokiego ryzyka z definicji.

Bankowość funkcjonuje również w ramach gęstej, istniejącej warstwy regulacyjnej: DORA, MiFID II, CRD IV/CRR, Dyrektywy AML, RODO oraz BCBS 239. Akt o AI UE nie zastępuje tych ram — dodaje do nich kolejne wymagania. Dla instytucji kredytowej wdrożenie modelu scoringu kredytowego opartego na AI uruchamia jednoczesne obowiązki wynikające z Aktu o AI (Załącznik III, Art. 9–16), DORA (zarządzanie ryzykiem ICT) oraz wytycznych EBA dotyczących zarządzania ryzykiem modeli.

Przypadki Użycia AI Wysokiego Ryzyka w Bankowości Objęte Załącznikiem III

Załącznik III, kategoria 5(b) wprost wymienia AI stosowane do oceny zdolności kredytowej lub scoringu kredytowego osób fizycznych oraz AI stosowane do oceny ryzyka kredytowego osób prawnych, gdy AI determinuje lub w znacznym stopniu wpływa na wynik. Obejmuje to szeroki zakres wdrożeń AI w sektorze finansowym.

Modele scoringu kredytowego i underwritingu — zautomatyzowane systemy określające kwalifikowalność do pożyczki, limity kredytowe lub stopy procentowe dla klientów detalicznych i MŚP — stanowią AI wysokiego ryzyka zgodnie z Art. 6(2) w związku z Załącznikiem III. Banki działające jako dostawcy tych systemów muszą przeprowadzić oceny zgodności, utrzymywać dokumentację techniczną zgodnie z Art. 11, wdrożyć systemy zarządzania ryzykiem zgodnie z Art. 9, zapewnić mechanizmy nadzoru ludzkiego zgodnie z Art. 14 oraz zarejestrować system w bazie danych Aktu o AI UE (Art. 71) przed wdrożeniem.

Systemy AML i wykrywania oszustw przedstawiają bardziej złożony obraz. Systemy stosujące screening sankcji, monitoring transakcji lub analitykę behawioralną do flagowania podejrzanej aktywności wpływają zasadniczo na instytucje finansowe, a nie bezpośrednio determinują wyniki dla osób fizycznych. Gdy dane wyjściowe AI stanowią podstawową przesłankę dla działań niekorzystnych wobec klienta (zamrożenie konta, odmowa świadczenia usługi), może zostać uruchomiona klasyfikacja wysokiego ryzyka zgodnie z Załącznikiem III kat. 5(b) lub kat. 6 (organy ścigania) w zależności od roli organu krajowego. Banki muszą przeprowadzić staranną analizę klasyfikacyjną.

Narzędzia oparte na GPAI — duże modele językowe stosowane do obsługi klienta, przetwarzania dokumentów lub analizy inwestycyjnej — podlegają wymogom przejrzystości Art. 50 (ujawnienie, że użytkownicy wchodzą w interakcję z AI) oraz, gdy dostawca modelu cechuje się ryzykiem systemowym, obowiązkom Art. 55.

Obowiązki Dostawcy a Obowiązki Podmiotu Stosującego w Bankach

Banki mogą działać jako dostawcy (budujący własne modele AI), podmioty stosujące (używające systemów AI stron trzecich) lub w obydwu rolach. Rozróżnienie to determinuje profil obowiązków:

Banki nabywające AI do scoringu kredytowego od dostawcy fintech działają jako podmioty stosujące zgodnie z Art. 26. Muszą zweryfikować, czy dostawca przeprowadził ocenę zgodności, włączyć przegląd ludzki do procesów podejmowania niekorzystnych decyzji, utrzymywać logi użytkowania przez 10 lat (Art. 26(6)) oraz zapewnić, że decyzje AI są wyjaśniane osobom, których dotyczą, zgodnie z Art. 22 RODO i Art. 13 Aktu o AI UE.

Nakładanie się Regulacji Sektorowych: DORA, MiFID II i Solvency II

DORA (Rozporządzenie 2022/2554) ma zastosowanie do banków, firm inwestycyjnych, towarzystw ubezpieczeniowych oraz zewnętrznych dostawców ICT. W odniesieniu do AI DORA wymaga w szczególności:

• Systemów AI traktowanych jako systemy ICT podlegające ramom zarządzania ryzykiem (Art. 6 DORA)
• Klasyfikacji i zgłaszania incydentów związanych z ICT — awarie AI mogą stanowić poważne incydenty ICT
• Testowania odporności krytycznych systemów ICT — modele AI uwzględnione tam, gdzie są istotne dla operacji
• Zarządzania ryzykiem stron trzecich obejmującego umowy z dostawcami AI, strategie wyjścia i prawa do audytu

MiFID II (Dyrektywa w sprawie Rynków Instrumentów Finansowych) ma zastosowanie do handlu algorytmicznego i doradztwa inwestycyjnego. Rekomendacje inwestycyjne generowane przez AI uruchamiają wymogi oceny adekwatności; systemy handlu algorytmicznego wymagają kontroli przed transakcją, wyłączników awaryjnych i powiadomień regulacyjnych.

Wytyczne EBA dotyczące zarządzania ryzykiem ICT i bezpieczeństwa (EBA/GL/2019/04, zaktualizowane 2022) nakazują stosowanie ładu zarządzania ryzykiem technologicznym obejmującego modele AI, wymogi ciągłości operacyjnej oraz niezależność walidacji modeli. Są one w znacznym stopniu zbieżne z wymaganiami Art. 9 Aktu o AI UE dotyczącymi zarządzania ryzykiem.

Organy Egzekwowania Prawa

Egzekwowanie przepisów Aktu o AI UE w odniesieniu do bankowego AI funkcjonuje w ramach dwuwarstwowej struktury organów:

Krajowe Właściwe Organy (NCA) wyznaczone przez każde Państwo Członkowskie zgodnie z Art. 70 są podstawowymi organami egzekwowania Aktu o AI. Mogą przeprowadzać nadzór rynkowy, żądać dokumentacji technicznej oraz nakładać kary (do 30 mln EUR lub 6% globalnego rocznego obrotu zgodnie z Art. 99).

Europejski Urząd Nadzoru Bankowego (EBA) koordynuje sektorowy nadzór AI w całej unii bankowej, zapewnia standardy techniczne dotyczące ryzyka ICT oraz wydaje wytyczne kształtujące krajowe oczekiwania nadzorcze. EBA uczestniczy również w Europejskiej Radzie ds. AI ustanowionej zgodnie z Art. 65.

EBC i krajowe organy nadzoru ostrożnościowego mogą żądać dokumentacji modeli AI w ramach ocen SREP (Supervisory Review and Evaluation Process) zgodnie z CRD IV, gdy AI napędza materialne decyzje kredytowe lub operacyjne dotyczące ryzyka.

Plan Zgodności dla Banków

Natychmiastowe (teraz → sierpień 2026): Wykonanie kontroli zgodności z zakazami — przegląd wszystkich systemów AI pod kątem praktyk zabronionych przez Art. 5, w tym scoringu społecznego i identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej. Zakazy te obowiązują natychmiastowo dla nowych umów.

Q3 2026 — Audyt klasyfikacji wysokiego ryzyka: Mapowanie wszystkich wdrożonych i będących w fazie rozwoju systemów AI względem Załącznika III, w szczególności kategorii 5(b) i 5(c). Dokumentowanie uzasadnienia klasyfikacji. Zaangażowanie prawników i działu compliance do oceny nakładania się z DORA.

Q4 2026 — Obowiązki dostawcy dla AI opracowanego wewnętrznie: W przypadku modeli scoringu kredytowego i underwritingu budowanych wewnętrznie — wszczęcie procedur oceny zgodności, opracowanie dokumentacji technicznej zgodnie z Załącznikiem IV oraz wdrożenie QMS zgodnie z Art. 17.

2027 — Obowiązki podmiotu stosującego dla AI stron trzecich: Audyt wszystkich umów z dostawcami AI pod kątem zgodności z Aktem o AI UE. Zobowiązanie dostawców do dostarczenia deklaracji zgodności i numerów rejestracyjnych. Aktualizacja umów o przetwarzanie danych w celu uwzględnienia obowiązków rejestrowania wynikających z Art. 26.

Sierpień 2027 — Obowiązki GPAI wchodzą w życie: Zapewnienie, że wszystkie zewnętrzne LLM i modele fundamentalne stosowane w aplikacjach bankowych spełniają wymagania Art. 51–55. Weryfikacja, czy dostawcy opublikowali dokumentację przejrzystości zgodnie z Art. 53.

Grudzień 2027 — Termin dotyczący AI wysokiego ryzyka: Pełna zgodność wymagana dla wszystkich systemów AI wysokiego ryzyka objętych Załącznikiem III. Zapewnienie rejestracji w bazie danych Aktu o AI UE, operacyjnych mechanizmów nadzoru ludzkiego oraz planów monitorowania po wprowadzeniu do obrotu zgodnie z Art. 72.