AI Act już obowiązuje i dotyczy banków oraz ubezpieczycieli, ale nie wszystko naraz. Zakazane praktyki obowiązują od lutego 2025 r., obowiązki dla modeli ogólnego przeznaczenia (GPAI) od sierpnia 2025 r., a wymogi przejrzystości (art. 50) od sierpnia 2026 r. Najcięższe obowiązki – dla systemów wysokiego ryzyka, w tym scoringu kredytowego – zostały w czerwcu 2026 r. (pakiet Digital Omnibus) przesunięte na grudzień 2027 r. dla systemów z Aneksu III i sierpień 2028 r. dla AI wbudowanej w produkty regulowane (Aneks I). To nie jest jednak ulga do odłożenia sprawy: najtrudniejsza część, czyli inwentaryzacja i klasyfikacja systemów AI, zajmuje właśnie tyle czasu.
Czym jest AI Act i kogo w finansach dotyczy
AI Act (rozporządzenie UE 2024/1689) wszedł w życie 1 sierpnia 2024 r. i jest pierwszym kompleksowym prawem o sztucznej inteligencji. Opiera się na podejściu opartym na ryzyku: dzieli systemy AI na zakazane, wysokiego ryzyka, ograniczonego ryzyka (obowiązki przejrzystości) oraz minimalnego ryzyka. Obowiązki różnią się w zależności od kategorii i roli podmiotu – inne ma dostawca systemu, inne podmiot go stosujący (deployer). Banki i ubezpieczyciele najczęściej są w roli stosującego, ale bywają też dostawcami własnych rozwiązań.
Aktualny kalendarz obowiązywania (po Digital Omnibus)
Pakiet Digital Omnibus na AI został ostatecznie zatwierdzony przez Radę UE 29 czerwca 2026 r. i zmienił część terminów. Obraz na dziś wygląda tak.
Od lutego 2025 r. obowiązują zakazane praktyki AI.
Od sierpnia 2025 r. obowiązują zasady dla modeli ogólnego przeznaczenia (GPAI). Digital Omnibus ich nie ruszył.
Od 2 sierpnia 2026 r. obowiązują wymogi przejrzystości z art. 50 – m.in. informowanie użytkownika, że rozmawia z systemem AI, oraz oznaczanie treści generowanych przez AI.
Od 2 grudnia 2026 r. wchodzą nowe zakazy (m.in. dotyczące generowania nielegalnych treści intymnych) oraz obowiązek oznaczania treści (art. 50 ust. 2) dla systemów już obecnych na rynku.
Od 2 grudnia 2027 r. obowiązują wymogi dla systemów wysokiego ryzyka z Aneksu III – i to jest data kluczowa dla finansów.
Od 2 sierpnia 2028 r. obowiązują wymogi dla AI wysokiego ryzyka wbudowanej w produkty regulowane (Aneks I).
Warto pamiętać, że przesunięcie terminów dla wysokiego ryzyka jest powiązane z mechanizmem gotowości i rejestracji w bazie prowadzonej przez Urząd ds. AI. Zegar nie został po prostu cofnięty, lecz uporządkowany wokół rejestracji systemów.
Co jest „wysokim ryzykiem” w banku i ubezpieczeniach
Dla sektora finansowego najważniejsze są trzy obszary z Aneksu III. Pierwszy to ocena zdolności kredytowej i scoring osób fizycznych – z istotnym wyjątkiem: systemy służące wyłącznie do wykrywania oszustw finansowych nie są traktowane jako wysokiego ryzyka. Drugi to ocena ryzyka i wycena w ubezpieczeniach na życie i zdrowotnych. Trzeci to systemy HR – rekrutacja, ocena, decyzje o zatrudnieniu.
Dla systemów wysokiego ryzyka AI Act nakłada konkretne obowiązki: system zarządzania ryzykiem, wymogi jakości danych, dokumentację techniczną, rejestrowanie zdarzeń (logi), zapewnienie nadzoru człowieka, przejrzystość wobec użytkownika oraz rejestrację systemu. To nie są rzeczy, które da się wdrożyć w tydzień przed terminem.
Co zrobić już teraz, mimo przesunięcia terminów
Pokusa, żeby po przesunięciu terminów odłożyć temat, jest zrozumiała – i błędna. Najtrudniejsza część zgodności z AI Act nie polega na wypełnieniu szablonu dokumentacji. Polega na znalezieniu wszystkich miejsc, w których organizacja używa AI, przypisaniu każdego zastosowania do właściwej kategorii ryzyka i utrzymaniu tej wiedzy w miarę, jak powstają nowe systemy. To praca, która nie robi się łatwiejsza z czasem.
Rozsądna kolejność to: inwentaryzacja wszystkich zastosowań AI (również GenAI oraz reguł zaszytych w systemach legacy), klasyfikacja ryzyka każdego z nich, a następnie zbudowanie podstaw ładu – nadzoru człowieka, logów i dokumentacji. Osobno warto pilnować art. 50, bo sierpień 2026 jest już blisko, a obowiązki przejrzystości dotyczą m.in. chatbotów i treści generowanych przez AI.
Od tego zaczynamy podczas warsztatu GenAI i w ramach doradztwa IT: mapujemy zastosowania AI, klasyfikujemy ryzyko i ustawiamy priorytety pod realny kalendarz.
AI Act, GenAI i systemy legacy
Te trzy tematy są powiązane bardziej, niż się wydaje. GenAI wykorzystywane do wsparcia konsultanta czy streszczania dokumentów mieści się zwykle w kategorii ograniczonego ryzyka (obowiązki przejrzystości). Ale w chwili, gdy podłączymy je do decyzji o zdolności kredytowej, zastosowanie wchodzi w obszar wysokiego ryzyka – z zupełnie innym reżimem.
Żeby w ogóle sklasyfikować ryzyko, trzeba wiedzieć, co system robi. A to prowadzi z powrotem do inwentaryzacji procesów i dokumentacji – również tam, gdzie logika decyzyjna jest zaszyta w starych aplikacjach w Delphi, VB6 czy Javie EE. Bez tej widoczności klasyfikacja ryzyka opiera się na domysłach, a domysły są słabym fundamentem zgodności.
