Bankovníctvo a financie — Sprievodca dodržiavaním nariadenia EÚ o umelej inteligencii

Povinnosti vyplývajúce z nariadenia EÚ o umelej inteligencii pre banky, úverové inštitúcie a fintech spoločnosti. Bodovanie kreditu, systémy AML, algoritmické obchodovanie, prekrývanie s DORA a usmernenia EBA.

Prečo bankovníctvo čelí koncentrovanej expozícii voči nariadeniu EÚ o umelej inteligencii

Sektor bankovníctva a finančných služieb sa nachádza na priesečníku najprísnejších povinností nariadenia EÚ o umelej inteligencii a najzložitejšieho regulačného prostredia v EÚ. Finančné inštitúcie patria medzi najväčších nasadzovateľov AI v Európe — v oblasti kreditného upisovania, detekcie podvodov, screeningu AML/CFT, hĺbkovej kontroly klientov, algoritmického obchodovania a správy majetku. Nariadenie EÚ o umelej inteligencii priamo cieli na najdôslednejšie z týchto prípadov použitia prostredníctvom Annex III, pričom niekoľko finančných aplikácií AI klasifikuje ako vysokorizikové z definície.

Bankovníctvo tiež funguje pod hustou existujúcou regulačnou vrstvou: DORA, MiFID II, CRD IV/CRR, Smernice AML, GDPR a BCBS 239. Nariadenie EÚ o umelej inteligencii tieto rámce nenahrádza — pridáva sa k nim. Pre úverovú inštitúciu nasadzovanie modelu kreditného skórovania na báze AI spúšťa súčasné povinnosti podľa Nariadenia o AI (Annex III, Art. 9–16), DORA (riadenie rizika IKT) a usmernení EBA o riadení modelového rizika.

Vysokorizikové prípady použitia AI v bankovníctve podľa Annex III

Annex III, kategória 5(b) explicitne uvádza AI používanú na hodnotenie úveruschopnosti alebo kreditného skórovania fyzických osôb a AI používanú na hodnotenie kreditného rizika právnických osôb, kde AI určuje alebo podstatne ovplyvňuje výsledok. To zachytáva širokú škálu nasadení finančnej AI.

Modely kreditného skórovania a upisovania — automatizované systémy, ktoré určujú oprávnenosť na úver, kreditné limity alebo úrokové sadzby pre retailových a MSP klientov — sú vysokorizikové AI podľa Art. 6(2) v spojení s Annex III. Banky konajúce ako poskytovatelia týchto systémov musia dokončiť posudzovanie zhody, udržiavať technickú dokumentáciu podľa Art. 11, implementovať systémy riadenia rizík podľa Art. 9, zabezpečiť mechanizmy ľudského dohľadu podľa Art. 14 a zaregistrovať systém v databáze nariadenia EÚ o umelej inteligencii (Art. 71) pred nasadením.

Systémy AML a detekcie podvodov predstavujú zložitejší obraz. Systémy, ktoré uplatňujú screening sankcií, monitorovanie transakcií alebo behaviorálnu analytiku na označenie podozrivej aktivity, vo všeobecnosti ovplyvňujú finančné inštitúcie, než aby priamo určovali výsledky pre jednotlivcov. Kde je výstup AI primárnym základom pre nepriaznivé opatrenie voči klientovi (zmrazenie účtu, odmietnutie služby), môže byť spustená vysokoriziková klasifikácia podľa Annex III kat. 5(b) alebo kat. 6 (presadzovanie práva) v závislosti od úlohy národného orgánu. Banky musia vykonať starostlivú klasifikačnú analýzu.

Nástroje na báze GPAI — veľké jazykové modely používané na zákaznícky servis, spracovanie dokumentov alebo investičnú analýzu — podliehajú požiadavkám transparentnosti podľa Art. 50 (zverejnenie, že používatelia interagujú s AI) a, kde má poskytovateľ modelu systémové riziko, povinnostiam podľa Art. 55.

Povinnosti poskytovateľa vs. prevádzkovateľa pre banky

Banky môžu konať ako poskytovatelia (budujúci vlastné modely AI), prevádzkovatelia (používajúci systémy AI tretích strán) alebo oboje. Rozlišovanie určuje profil povinností:

Banky nakupujúce AI kreditného skórovania od fintech dodávateľa konajú ako prevádzkovatelia podľa Art. 26. Musia overiť, že dodávateľ dokončil posudzovanie zhody, integrovať ľudský preskúmanie do procesov nepriaznivého rozhodnutia, udržiavať záznamy o používaní po dobu 10 rokov (Art. 26(6)) a zabezpečiť, aby boli rozhodnutia AI vysvetlené dotknutým osobám podľa GDPR Art. 22 a Art. 13 nariadenia EÚ o umelej inteligencii.

Prekrývanie sektorovej regulácie: DORA, MiFID II a Solventnosť II

DORA (Nariadenie 2022/2554) sa vzťahuje na banky, investičné spoločnosti, poisťovacie spoločnosti a poskytovateľov IKT tretích strán. Konkrétne pre AI, DORA vyžaduje:

• Systémy AI považované za systémy IKT podliehajúce rámcom riadenia rizík (Art. 6 DORA)
• Klasifikácia a hlásenie incidentov súvisiacich s IKT — zlyhania AI môžu predstavovať závažné incidenty IKT
• Testovanie odolnosti kritických systémov IKT — modely AI zahrnuté tam, kde sú materiálne pre prevádzku
• Riadenie rizika tretích strán pokrývajúce zmluvy s dodávateľmi AI, stratégie odchodu a práva na audit

MiFID II (Smernica o trhoch s finančnými nástrojmi) sa vzťahuje na algoritmické obchodovanie a investičné poradenstvo. Investičné odporúčania generované AI spúšťajú požiadavky na hodnotenie vhodnosti; systémy algoritmického obchodovania vyžadujú predbežné obchodné kontroly, núdzové vypínače a regulačné oznámenie.

Usmernenia EBA k riadeniu rizika IKT a bezpečnosti (EBA/GL/2019/04, aktualizované 2022) nariaďujú správu technologického rizika pokrývajúcu modely AI, požiadavky na prevádzkovú kontinuitu a nezávislosť validácie modelov. Tieto sa v podstatnej miere zhodujú s požiadavkami riadenia rizík podľa Art. 9 nariadenia EÚ o umelej inteligencii.

Orgány presadzovania práva

Presadzovanie nariadenia EÚ o umelej inteligencii pre bankové AI funguje prostredníctvom dvojvrstvovej štruktúry orgánov:

Príslušné vnútroštátne orgány (NCA) určené každým členským štátom podľa Art. 70 sú primárnymi orgánmi presadzovania Nariadenia o AI. Môžu vykonávať trhový dohľad, žiadať technickú dokumentáciu a ukladať pokuty (až do výšky 30 mil. EUR alebo 6 % celosvetového ročného obratu podľa Art. 99).

Európsky orgán pre bankovníctvo (EBA) koordinuje sektorovo špecifický dohľad nad AI v celej bankovej únii, poskytuje technické normy v oblasti rizika IKT a vydáva usmernenia, ktoré formujú národné supervízne očakávania. EBA sa tiež zúčastňuje na Európskej rade pre AI zriadenej podľa Art. 65.

ECB a národní prudenciálni supervízori môžu požadovať dokumentáciu modelov AI ako súčasť hodnotení SREP (Supervisory Review and Evaluation Process) podľa CRD IV, kde AI riadi materiálne kreditné alebo operačné rizikové rozhodnutia.

Plán dodržiavania súladu pre banky

Okamžite (teraz → august 2026): Vykonajte kontrolu dodržiavania zákazov — preskúmajte všetky systémy AI na praktiky zakázané podľa Art. 5, vrátane sociálneho skórovania a biometrickej identifikácie v reálnom čase na verejných priestranstvách. Tieto zákazy platia okamžite pre nové zmluvy.

Q3 2026 — Audit vysokorizikovej klasifikácie: Zmapujte všetky nasadené a vyvíjané systémy AI voči Annex III, konkrétne kategórie 5(b) a 5(c). Zdokumentujte odôvodnenie klasifikácie. Zapojte právnikov a compliance na posúdenie prekrývania s DORA.

Q4 2026 — Povinnosti poskytovateľa pre internú AI: Pre modely kreditného skórovania a upisovania vytvorené interne iniciujte postupy posudzovania zhody, vypracujte technickú dokumentáciu podľa Annex IV a implementujte QMS podľa Art. 17.

2027 — Povinnosti prevádzkovateľa pre AI tretích strán: Auditujte všetky zmluvy s dodávateľmi AI z hľadiska súladu s nariadením EÚ o umelej inteligencii. Požadujte od poskytovateľov vyhlásenia o zhode a registračné čísla. Aktualizujte dohody o spracovaní údajov tak, aby odrážali povinnosti vedenia záznamov podľa Art. 26.

August 2027 — Účinnosť povinností GPAI: Zabezpečte, aby všetky veľké jazykové modely a základné modely tretích strán používané v bankových aplikáciách spĺňali Art. 51–55. Overte, že poskytovatelia zverejnili dokumentáciu transparentnosti podľa Art. 53.

December 2027 — Termín pre vysokorizikové AI: Vyžaduje sa úplný súlad pre všetky vysokorizikové systémy AI podľa Annex III. Zabezpečte registráciu v databáze nariadenia EÚ o umelej inteligencii, funkčné mechanizmy ľudského dohľadu a plány monitorovania po uvedení na trh podľa Art. 72.