Komisja Europejska zakończyła konsultacje projektu wytycznych, które mają wyjaśnić, kiedy system AI należy uznać za system wysokiego ryzyka w rozumieniu AI Act. Dokument zawiera wskazówki dotyczące stosowania art. 6 AI Act i ma pomóc dostawcom, podmiotom stosującym oraz organom nadzoru w prawidłowej kwalifikacji systemów AI - pisze Maciej Tabor, adwokat w Lawspective Litwiński Valirakis Radcowie Prawni.
Opublikowany 24 lipca 2026 r. tzw. Omnibus AI przesunął termin rozpoczęcia stosowania przepisów AI Act dotyczących systemów AI wysokiego ryzyka:
Pomimo tego instytucje finansowe powinny wykorzystać ten czas do prawidłowego przygotowania się do obowiązków wynikających z tych przepisów.
Instytucja finansowa będzie najczęściej podmiotem stosującym, czyli korzystającym z systemu AI pozostającego pod jej kontrolą. Może jednak zostać uznana za dostawcę, jeżeli oznaczy system wysokiego ryzyka własną nazwą lub znakiem towarowym, dokona jego istotnej modyfikacji albo zmieni przeznaczenie systemu w taki sposób, że system dotychczas nieuznawany za system wysokiego ryzyka zacznie podlegać takiej kwalifikacji.
Dla kwalifikacji systemu kluczowe jest jego „przeznaczenie”, czyli zastosowanie, kontekst i warunki używania określone przez dostawcę, m.in. w instrukcji, dokumentacji technicznej i materiałach sprzedażowych.
AI Act wyróżnia kilka kategorii systemów AI zależnie od poziomu stwarzanego przez nie ryzyka. Systemy wysokiego ryzyka są dozwolone, ale podlegają najbardziej rozbudowanym obowiązkom regulacyjnym.
AI Act przewiduje dwie główne ścieżki kwalifikacji:
Czytaj też w LEX: Budowa systemu zarządzania ryzykiem wdrażania mechanizmów opartych o AI w organizacji zgodnie z normami ISO i dobrymi praktykami >
Dla instytucji finansowych znaczenie ma przede wszystkim druga ścieżka, obejmująca scoring kredytowy oraz ocenę ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych.
Z perspektywy branży finansowej warto pamiętać, że zgodnie z projektem wytycznych pojęcie „osoby fizycznej” obejmuje również przedsiębiorców prowadzących jednoosobową działalność gospodarczą, którzy działają w ramach swojej działalności. Przykładowo, scoringowy system AI wykorzystywany wyłącznie do oceny osób prawnych nie będzie nie będzie z tego tytułu kwalifikowany jako system wysokiego ryzyka.
Instytucje finansowe mogą również korzystać z systemów wysokiego ryzyka w obszarze rekrutacji i zarządzania pracownikami, np. do filtrowania aplikacji lub oceny wydajności.
System może być systemem wysokiego ryzyka także wtedy, gdy scoring przygotowuje agencja kredytowa, a decyzję na jego podstawie podejmuje bank. Nie jest konieczne, aby ten sam podmiot stosował system i udzielał finansowania.
Poza zakresem tego przypadku zastosowania pozostają systemy, które nie uczestniczą w ocenie zdolności kredytowej, tj. pomagające wypełnić wniosek, obsługujące reklamacje lub monitorujące ekspozycję kredytową już po udzieleniu finansowania.
Systemy służące wyłącznie do wykrywania oszustw finansowych, np. fałszywych dokumentów lub podejrzanych schematów we wnioskach, nie są kwalifikowane jako systemy wysokiego ryzyka na podstawie tego przypadku zastosowania. Kwalifikacja może się jednak zmienić, jeżeli system jest jednocześnie wykorzystywany do oceny zdolności kredytowej lub scoringu.
W branży ubezpieczeniowej systemami wysokiego ryzyka będą narzędzia AI wykorzystywane do oceny ryzyka lub ustalania cen w odniesieniu do osób fizycznych w ubezpieczeniach na życie i ubezpieczeniach zdrowotnych. Dotyczy to m.in. systemów analizujących wiek, stan zdrowia, historię rodzinną lub styl życia klienta na potrzeby decyzji o zawarciu umowy, ustaleniu zakresu ochrony lub wysokości składki.
Kwalifikacja nie obejmuje innych rodzajów ubezpieczeń, np. komunikacyjnych i mieszkaniowych. Poza jej zakresem pozostają również systemy służące wyłącznie do obsługi roszczeń lub projektowania produktów, jeżeli nie oceniają indywidualnego ryzyka konkretnej osoby.
Warto pamiętać, że AI Act przewiduje mechanizm tzw. filtra. System objęty załącznikiem III może nie zostać uznany za system wysokiego ryzyka, jeżeli nie profiluje osób fizycznych, nie stwarza znaczącego ryzyka szkody i nie wpływa istotnie na wynik procesu decyzyjnego. Dotyczy to m.in. systemów wykonujących wąskie zadania proceduralne lub przygotowawcze, poprawiających wynik wcześniej zakończonej pracy człowieka albo wykrywających odstępstwa od dotychczasowych schematów decyzyjnych. Dostawca musi udokumentować tę ocenę oraz dokonać wymaganej rejestracji systemu.
Analiza powinna przebiegać etapami. W pierwszej kolejności należy ustalić, czy dane narzędzie jest systemem AI w rozumieniu AI Act. Następnie trzeba zbadać jego przeznaczenie określone przez dostawcę oraz konkretny sposób, w jaki instytucja finansowa zamierza z niego korzystać. Jeżeli zastosowanie systemu odpowiada jednemu z przypadków wymienionych w załączniku III, system co do zasady będzie systemem wysokiego ryzyka. Dopiero na kolejnym etapie należy ocenić, czy możliwe jest zastosowanie mechanizmu filtra z art. 6 ust. 3 AI Act. Filtr nie może być stosowany do systemów dokonujących profilowania osób fizycznych.
Instytucja finansowa nie powinna przy tym opierać się wyłącznie na kwalifikacji przedstawionej przez dostawcę. Powinna zweryfikować, czy jej planowany sposób wykorzystania systemu jest zgodny z jego przeznaczeniem i dokumentacją. Ocenę należy ponowić w przypadku zmiany funkcji systemu, zakresu wykorzystywanych danych lub jego roli w procesie decyzyjnym.
Kwalifikacja systemu jako systemu wysokiego ryzyka przekłada się na konkretne obowiązki zarówno dostawcy, jak i instytucji finansowej korzystającej z narzędzia. Podmiot stosujący musi m.in. używać systemu zgodnie z instrukcją, zapewnić nadzór człowieka, monitorować jego działanie oraz przechowywać rejestry zdarzeń pozostające pod jego kontrolą.
W przypadku systemów służących ocenie zdolności kredytowej lub scoringowi kredytowemu, a także ocenie ryzyka i ustalaniu cen w ubezpieczeniach na życie i zdrowotnych, przed rozpoczęciem stosowania systemu konieczne jest również przeprowadzenie oceny jego wpływu na prawa podstawowe. Kwalifikacja nie jest więc wyłącznie formalnym przyporządkowaniem systemu do określonej kategorii, lecz determinuje sposób jego wdrożenia, nadzorowania i dokumentowania.
Systemy wysokiego ryzyka w świetle AI Act - czytaj w LEX >
Wytyczne Komisji nie będą źródłem powszechnie obowiązującego prawa, lecz mają przedstawiać interpretację art. 6 AI Act i wspierać jego jednolite stosowanie. Zawarte w nich przykłady nie są wyczerpujące, dlatego kwalifikacja każdego systemu powinna uwzględniać jego rzeczywiste przeznaczenie i konkretny kontekst wykorzystania.
Zapraszamy na szkolenie online w LEX: AI Act i ustawa o systemach sztucznej inteligencji a RODO – co nowa regulacja zmienia (a czego nie zmienia) w ochronie danych osobowych? >
Maciej Tabor, adwokat, senior associate, Lawspective Litwiński Valirakis Radcowie Prawni Sp. k.
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
