AI Omnibus: więcej czasu na AI Act czy ryzyko opóźnienia w instytucjach finansowych?

Długo wyczekiwane przesunięcie terminów stosowania części obowiązków wynikających z AI Act dla większości podmiotów jest dobrą wiadomością. Pozwala na lepsze przygotowanie, analizę i korektę procesów bez konieczności wdrażania nowych wymagań w krótkim terminie. Może okazać się jednak, że skutek będzie odwrotny, ponieważ odroczenie terminów stwarza iluzoryczne przekonanie, że prace można odłożyć - pisze Marta Adranowska, adwokat w Lawspective Litwiński Valirakis Radcowie Prawni.

Jeszcze na początku 2026 r. sektor finansowy w całej Unii Europejskiej przygotowywał się na 2 sierpnia 2026 r. – dzień, w którym miały zacząć obowiązywać kluczowe wymogi rozporządzenia 2024/1689 (AI Act) dotyczące systemów AI wysokiego ryzyka. Dla banków, ubezpieczycieli i firm pożyczkowych oznaczało to objęcie pełnym reżimem regulacyjnym m.in. systemów scoringu kredytowego oraz narzędzi oceny ryzyka i taryfikacji w ubezpieczeniach na życie i ubezpieczeniach zdrowotnych. Ten kalendarz uległ zasadniczej zmianie. Pakiet zmian znany jako Digital Omnibus on AI (potocznie: AI Omnibus) przeszedł pełną ścieżkę legislacyjną: po porozumieniu z 7 maja 2026 r. Parlament Europejski zatwierdził tekst 16 czerwca, a Rada UE wydała ostateczną zgodę 29 czerwca 2026 r.

Przeszkodą stały się braki w otoczeniu regulacyjnym. Zarówno prace nad zharmonizowanymi normami CEN-CENELEC, które miały dać przedsiębiorcom domniemanie zgodności, jak i część prac nad innymi wytycznymi nie zostały zakończone w terminie.

Najważniejszy skutek dla instytucji finansowych: obowiązki dla samodzielnych systemów wysokiego ryzyka z załącznika III zaczną obowiązywać dopiero 2 grudnia 2027 r., a dla systemów AI wbudowanych w produkty objęte załącznikiem I – 2 sierpnia 2028 r. Sektor zyskał więc co najmniej 14 dodatkowych miesięcy.

Długo wyczekiwane przesunięcie terminów stosowania części obowiązków wynikających z AI Act dla większości podmiotów jest dobrą wiadomością. Pozwala na lepsze przygotowanie, analizę i korektę procesów bez konieczności wdrażania nowych wymagań w krótkim terminie. Może okazać się jednak, że skutek będzie odwrotny, ponieważ stwarza iluzoryczne przekonanie, że prace można odłożyć.

Takie podejście jest szczególnie ryzykowne dla instytucji finansowych, firm inwestycyjnych czy banków, w których złożoność operacyjna, mnogość zadań, ról i przepływów wpływa na czas potrzebny do prawidłowego wdrożenia wymagań AI Act.

Z tego powodu Omnibus AI należy traktować jako wydłużony czas wdrożeniowy, nie jako uzasadnienie do wstrzymania prac nad projektem.

Czytaj też w LEX: Aspekty prawne dotyczące pojęcia deepfake w AI Act – uwagi de lege ferenda wobec wyzwań współczesności >

Co zmienia Omnibus AI?

Obowiązki rozdziału III AI Act dla samodzielnych systemów z załącznika III (w tym scoring kredytowy i ocena ryzyka ubezpieczeniowego) zaczną obowiązywać 2 grudnia 2027 r. Dla systemów AI stanowiących produkty lub elementy bezpieczeństwa produktów z załącznika I termin przesunięto na 2 sierpnia 2028 r.

Obowiązki znakowania treści generowanych przez AI (tzw. watermarking) z art. 50 przesunięto na 2 grudnia 2026 r. To istotne dla instytucji wdrażających chatboty, generatory treści marketingowych czy narzędzia komunikacji z klientem.

Wyłączenia i uproszczenia przewidziane dotąd dla MŚP objęły podmioty zatrudniające do 500 pracowników – co w polskich realiach może mieć znaczenie dla części firm pożyczkowych, pośredników i mniejszych TFI, choć nie dla banków i zakładów ubezpieczeń.

Systemy AI, które jedynie wspierają użytkownika lub optymalizują wydajność, nie będą automatycznie kwalifikowane jako wysokiego ryzyka – co porządkuje klasyfikację na styku załącznika I.

Czytaj też w LEX: Prawnoporównawcze rozważania w przedmiocie scoringu społecznego. Część I – Unia Europejska versus Chiny >

AI Omnibus: które obowiązki pozostają

W mocy pozostają zakazy praktyk z art. 5 obowiązujące od 2 lutego 2025 r., obowiązki dotyczące modeli AI ogólnego przeznaczenia (GPAI) stosowane od 2 sierpnia 2025 r. oraz wymóg zapewnienia kompetencji w zakresie AI (AI literacy) po stronie personelu. Co kluczowe dla sektora finansowego: scoring kredytowy osób fizycznych (załącznik III pkt 5 lit. b, z wyjątkiem systemów wykrywania oszustw finansowych) oraz ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych (pkt 5 lit. c) pozostają w katalogu wysokiego ryzyka. Sektor bankowo-ubezpieczeniowy nie otrzymał żadnego wyłączenia sektorowego – zyskał wyłącznie czas.

Przykład: 
Instytucja finansowa korzysta z oprogramowania umożliwiającego badanie wiarygodności płatniczej klientów. System dotychczas bazował na danych z centralnych rejestrów o zadłużeniach. W ramach rozwoju wprowadzono wewnętrznie w organizacji możliwość weryfikacji scoringu kredytowego z wykorzystaniem sztucznej inteligencji. Zgodnie z wymaganiami scoring powstaje na podstawie odpowiednio opracowanych danych wejściowych. W tym przypadku instytucja finansowa ma czas na wdrożenie wymagań dla systemu wysokiego ryzyka do 2 grudnia 2027 roku. Nie jest jednak równoznaczne z tym, że może używać systemu AI bez walidacji modelu i zasad nadzoru człowieka, bez procedur wyjaśniania i kwestionowania decyzji oraz ciągłego monitoringu.

Czytaj też w LEX: Jak zadawać pytania sztucznej inteligencji, aby wspierała myślenie prawnicze, a nie je zastępowała? >

Dłuższy czas na przygotowanie nie oznacza mniej pracy

Skala wykorzystania AI w sektorze finansowym rośnie bardzo dynamicznie. Systemy wykorzystujące generatywną AI lub uczenie maszynowe są używane w obsłudze klienta, w analizie dokumentów, w marketingu, windykacji, cyberbezpieczeństwie czy przeciwdziałaniu nadużyciom. Część jest wdrażana centralnie, część jest dostępna w ramach usługi chmurowej lub rozwiązania dostarczanego przez podmiot trzeci.

Dodatkowym problemem może być również shadow AI, czyli korzystanie z narzędzi AI spoza zatwierdzonego środowiska. Brak formalnego projektu wdrożenia nie zawsze będzie równoznaczny z brakiem narzędzi AI w organizacji. Dobrym przykładem jest niejako automatycznie udostępniany Copilot w pakiecie Office, który w wielu podmiotach nadal nie został nawet zinwentaryzowany.

Przede wszystkim należy pamiętać, że obowiązki transparentności technicznej zaczną obowiązywać 2 grudnia 2026 r. Instytucje korzystające z chatbotów i treści generowanych przez AI powinny ten termin traktować jako najbliższy kamień milowy.

Zmiana pozostałych terminów nie powinna wpływać na zakres realizowanego projektu wdrożeniowego. 

Czytaj też w LEX: AI Act 2026: obowiązki, ryzyka i wdrożenia dla kancelarii >

Inwentaryzacja i kwalifikacja systemu AI

Im później organizacja rozpocznie inwentaryzację, tym trudniej będzie ustalić, które systemy wykorzystuje, do jakich celów, na jakich danych i w ramach jakiego modelu odpowiedzialności. W momencie rozpoczęcia formalnego projektu zgodności może się okazać, że część rozwiązań działa już produkcyjnie, lecz nie ma dla nich dokumentacji ani odpowiednich postanowień w umowie z dostawcą.

Każdy przypadek warto opisać poprzez wskazanie celu jego wykorzystania, właściciela biznesowego, zakresu danych, odbiorców wyniku, stopnia automatyzacji oraz roli człowieka w procesie decyzyjnym. Zebrane informacje pozwalają na zarządzanie cyklem życia systemu AI i stanowią operacyjne i aktualne źródło informacji, które pozwala także na zarządzanie ryzykiem związanym z korzystaniem z systemu AI.

Kwalifikacja systemu AI jest konieczna, ponieważ determinuje rodzaj i zakres obowiązków nałożonych na organizację. Nie każdy system jest kwalifikowany jako system wysokiego ryzyka pomimo że jest używany jako narzędzie w instytucji finansowej. Tak samo nie każdy system wspierający decyzje kredytowe będzie objęty tą kategorią. Znaczenie ma zarówno jego zamierzony cel, realizowana funkcja oraz metoda wykorzystania wyników.

Czytaj też w LEX: Odpowiedzialność administracyjna za niedochowanie obowiązków związanych z cyberbezpieczeństwem na gruncie reżimów UKSC oraz DORA >

Drugim elementem kwalifikacji jest ustalenie roli instytucji finansowej. Najczęściej będzie podmiotem stosującym, czyli deployerem systemu AI. Jeżeli system jest rozwijany wewnętrznie w instytucji wówczas może być uznana za dostawcę. Dotyczy to także sytuacji, gdy system wysokiego ryzyka dostarczony przez podmiot trzeci jest modyfikowany w istotny sposób przez instytucję finansową.

Przykład:

Instytucja finansowa zamówiła system HR oparty o komponenty AI. W deklaracji dostawca wskazał, że główne funkcjonalności są zgodne z AI Act. Takiej deklaracji nie można uznać za kompletną, ponieważ wskazuje wyłącznie na pewien zakres funkcjonalności, nie potwierdza natomiast pełnej zgodności systemu z wymogami prawnymi. To na instytucji finansowej ciąży obowiązek zweryfikowania kompletności deklaracji zgodności.

Wprowadzenie AI Governance

Model governance powinien obejmować co najmniej ścieżkę zgłaszania nowych przypadków wykorzystania AI, zasady ich oceny i akceptacji, kryteria eskalacji, wymagania przedprodukcyjne, zasady monitorowania oraz proces zarządzania zmianami. Powinien także łączyć wymagania AI Act z istniejącymi ramami zarządzania ryzykiem ICT, modelem zarządzania danymi, ochroną danych osobowych, cyberbezpieczeństwem, outsourcingiem i ciągłością działania.

W sektorze finansowym tworzenie całkowicie odrębnego systemu zarządzania AI zwykle nie będzie efektywne. Integracja z DORA i RODO pozwoli skorzystać z rejestrów umów z dostawcami ICT lub z oceny skutków dla ochrony danych.

Weryfikacja umów z dostawcami

Sektor finansowy ma za sobą doświadczenie renegocjacji umów z dostawcami przy wdrażaniu wymogów DORA. Dodatkowy czas powinien zatem być w pełni wykorzystany na opracowanie klauzul zapewniających odpowiednią dokumentację i bezpieczeństwo.

Czytaj też w LEX: Od cyberbezpieczeństwa po zrównoważone finanse – nowa rzeczywistość regulacyjna dla uczestników rynku finansowego >

AI Act i Omnibus – najważniejsze wnioski

AI Omnibus jest legislacyjnym przyznaniem się do tego, że kalendarz AI Act wyprzedził infrastrukturę jego stosowania. Dla instytucji finansowych to decyzja korzystna – pod warunkiem właściwego odczytania jej sensu. Odroczenie do 2 grudnia 2027 r. nie jest derogacją: scoring kredytowy i taryfikacja ubezpieczeń na życie i zdrowotnych pozostają systemami wysokiego ryzyka, a obowiązki jedynie przesunięto w czasie.

Jeżeli pełna zgodność ma być osiągnięta 2 grudnia 2027 r., to walidacja i testy powinny odbyć się w trzecim kwartale 2027 r., wdrożenia techniczne i szkolenia w pierwszym półroczu 2027 r., a decyzje architektoniczne, budżetowe i zakupowe w drugiej połowie 2026 r.

Czytaj też w LEX: Kontrola dostępu w sektorze finansowym – wymogi DORA i dobre praktyki >