Rozporządzenie AI fintech: zgodność

Rozporządzenie nie zna kategorii „fintech”. Ta strona używa tego słowa dla AI, która podlega rozporządzeniu przez poniższe zastosowania.

• Scoring kredytowy: załącznik III pkt 5 lit. b)

  Systemy AI przeznaczone do wykorzystywania do celów oceny zdolności kredytowej osób fizycznych lub ustalenia ich scoringu kredytowego są systemami wysokiego ryzyka. Wyjątek dotyczy systemów AI wykorzystywanych w celu wykrywania oszustw finansowych. Pkt 5 lit. b) dotyczy wyłącznie osób fizycznych, a nie firm.

• Ubezpieczenia na życie i zdrowotne: załącznik III pkt 5 lit. c)

  Systemy AI przeznaczone do wykorzystywania przy ocenie ryzyka i ustalaniu cen w odniesieniu do osób fizycznych w przypadku ubezpieczenia na życie i ubezpieczenia zdrowotnego są systemami wysokiego ryzyka. Pkt 5 lit. c) dotyczy wyłącznie ubezpieczenia na życie i zdrowotnego.

• Wykrywanie oszustw jest wyłączone z pkt 5 lit. b)

  Wyłączenie obejmuje systemy AI wykorzystywane w celu wykrywania oszustw finansowych. System do wykrywania oszustw jest systemem wysokiego ryzyka tylko wtedy, gdy obejmuje go inny punkt załącznika III lub załącznik I.

• Inne zastosowania fintech nie są wymienione w pkt 5

  Pkt 5 nie wymienia kontroli w zakresie przeciwdziałania praniu pieniędzy ani „poznaj swojego klienta”, handlu algorytmicznego, robodoradztwa, ubezpieczeń innych niż na życie, likwidacji szkód ani decyzji kredytowych dotyczących osób prawnych. Każde z tych zastosowań należy sprawdzić pod kątem innych punktów załącznika III i załącznika I, zanim uzna się je za wyłączone z zasad dla wysokiego ryzyka.

• Art. 6 ust. 3 może wyłączyć system z załącznika III

  System objęty pkt 5 lit. b) lub pkt 5 lit. c) jest systemem wysokiego ryzyka na podstawie art. 6 ust. 2. Zgodnie z art. 6 ust. 3 nie jest nim, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych. Obejmuje to brak znaczącego wpływu na wynik procesu decyzyjnego. Wyjątek ten stosuje się, gdy spełniony jest którykolwiek z następujących warunków (art. 6 ust. 3 lit. a)–d)). System jest przeznaczony do wykonywania wąsko określonego zadania proceduralnego. Albo jest przeznaczony do poprawienia wyniku zakończonej uprzednio czynności wykonywanej przez człowieka. Albo jest przeznaczony do wykrywania wzorców podejmowania decyzji lub odstępstw od wzorców podjętych uprzednio decyzji. Nie ma on na celu zastąpienia ani wywarcia wpływu na zakończoną uprzednio ocenę dokonaną przez człowieka bez odpowiedniej weryfikacji przez człowieka. Albo jest przeznaczony do wykonywania zadań przygotowawczych w kontekście oceny istotnej z punktu widzenia przypadków wykorzystania wymienionych w załączniku III. To, jak te warunki łączą się z testem znaczącego ryzyka, jest pytaniem do prawnika. System zawsze jest systemem wysokiego ryzyka, jeżeli dokonuje profilowania osób fizycznych. Profilowanie definiuje art. 4 pkt 4 RODO (art. 3 pkt 52). To, czy dany system scoringu lub ustalania cen go dokonuje, również jest pytaniem do prawnika. Dostawca, który powołuje się na wyjątek, dokumentuje swoją ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku. Musi też zarejestrować system (art. 6 ust. 4, art. 49 ust. 2).

• Inne przepisy rozporządzenia, które mogą dotyczyć AI w fintechu

  Art. 5 ust. 1 lit. b) zakazuje systemów AI wykorzystujących słabości osoby fizycznej ze względu na wiek, niepełnosprawność lub szczególną sytuację społeczną lub ekonomiczną. Celem lub skutkiem musi być dokonanie znaczącej zmiany zachowania w sposób, który wyrządza lub może z uzasadnionym prawdopodobieństwem wyrządzić poważną szkodę. Lit. c) zakazuje systemów AI, które oceniają lub klasyfikują osoby fizyczne w określonym czasie na podstawie ich zachowania społecznego lub cech osobistych. Dotyczy to sytuacji, gdy scoring społeczny prowadzi do krzywdzącego lub niekorzystnego traktowania opisanego w tej literze. Zakazy te stosuje się od 2 lutego 2025 (art. 113 akapit trzeci lit. a)). Dostawcy systemów AI przeznaczonych do wchodzenia w bezpośrednią interakcję z osobami fizycznymi, takich jak chatbot, muszą je projektować tak, aby osoby te były informowane, że prowadzą interakcję z systemem AI. Nie dotyczy to sytuacji, gdy jest to oczywiste (art. 50 ust. 1). Ten obowiązek stosuje się od 2 sierpnia 2026.

Dostawca rozwija system AI lub zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym (art. 3 pkt 3). Oddanie do użytku obejmuje dostarczenie systemu do użytku własnego dostawcy (art. 3 pkt 11). Bank lub ubezpieczyciel, który rozwija system i oddaje go do użytku pod własną nazwą, jest więc dostawcą. Bank lub ubezpieczyciel, który wykorzystuje system, nad którym sprawuje kontrolę, jest podmiotem wdrażającym (w rozporządzeniu: podmiot stosujący; art. 3 pkt 4). Podmiot wdrażający staje się dostawcą w trzech przypadkach. Umieszcza swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, bez uszczerbku dla ustaleń umownych przewidujących, że podział obowiązków następuje w inny sposób. Wprowadza istotną zmianę w takim systemie, po której pozostaje on systemem wysokiego ryzyka. Albo zmienia przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się on takim systemem (art. 25 ust. 1). Dostawcy, który pierwotnie wprowadził system do obrotu lub oddał go do użytku, nie uznaje się wtedy już za dostawcę tego konkretnego systemu i musi on ściśle współpracować z nowym dostawcą (art. 25 ust. 2). Nie dotyczy to sytuacji, gdy pierwotny dostawca wyraźnie określił, że jego system nie może zostać zmieniony w system AI wysokiego ryzyka.

Dostawcy muszą zapewnić, aby ich systemy AI wysokiego ryzyka spełniały wymogi sekcji 2 rozdziału III, czyli art. 8–15 (art. 16 lit. a)). Muszą też spełniać pozostałe obowiązki dostawców z art. 16.

• art. 9
  System zarządzania ryzykiem

  Ciągły, iteracyjny proces w całym cyklu życia, z testami względem uprzednio określonych wskaźników i progów probabilistycznych stosownych ze względu na przeznaczenie.

• art. 10
  Dane i zarządzanie danymi

  Zbiory danych treningowych, walidacyjnych i testowych spełniające kryteria jakości z art. 10, w tym badanie pod kątem ewentualnej stronniczości.

• art. 12
  Rejestrowanie zdarzeń w projekcie systemu

  System musi dysponować technicznymi możliwościami automatycznego rejestrowania zdarzeń (rejestrów zdarzeń) w całym cyklu życia.

• art. 13
  Instrukcja obsługi

  Informacje, które umożliwiają podmiotom wdrażającym interpretację wyników i ich właściwe wykorzystanie, w tym zadeklarowany poziom dokładności i jego wskaźniki.

• art. 14
  Nadzór ze strony człowieka w projekcie systemu

  Środki, które umożliwiają osobom fizycznym skuteczny nadzór nad systemem w okresie jego wykorzystywania.

• art. 15
  Dokładność, solidność i cyberbezpieczeństwo

  Odpowiedni poziom, osiągany konsekwentnie w całym cyklu życia. Poziomy dokładności i odpowiednie wskaźniki dokładności deklaruje się w instrukcji obsługi.

• art. 17
  System zarządzania jakością

  Pisemne polityki, procedury i instrukcje obejmujące aspekty wymienione w art. 17 ust. 1, wdrażane proporcjonalnie do wielkości organizacji dostawcy (art. 17 ust. 2).

• art. 43(2)
  Ocena zgodności

  W przypadku systemów z pkt 2–8 załącznika III, do których należy pkt 5, dostawca stosuje procedurę oceny zgodności opartą na kontroli wewnętrznej (załącznik VI). Procedura ta nie przewiduje jednostki notyfikowanej.

• art. 16
  Deklaracja zgodności UE, oznakowanie CE i rejestracja

  Dostawca sporządza deklarację zgodności UE i umieszcza oznakowanie CE. Rejestruje też siebie i system w bazie danych UE przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku (art. 16 lit. g)–i); art. 49 ust. 1).

• art. 72, 73
  Monitorowanie po wprowadzeniu do obrotu i poważne incydenty

  Dostawca ustanawia i dokumentuje system monitorowania po wprowadzeniu do obrotu (art. 72 ust. 1) i zgłasza poważne incydenty organom nadzoru rynku (art. 73).

• art. 26(1), (2)
  Wykorzystywać zgodnie z instrukcją, powierzyć nadzór

  Podmioty wdrażające podejmują odpowiednie środki techniczne i organizacyjne w celu wykorzystywania systemu zgodnie z instrukcją obsługi. Powierzają nadzór ze strony człowieka osobom fizycznym, które mają niezbędne kompetencje, przeszkolenie i uprawnienia.

• art. 26(4)–(6)
  Dane wejściowe, monitorowanie i rejestry zdarzeń

  W zakresie, w jakim sprawują kontrolę nad danymi wejściowymi, podmioty wdrażające zapewniają ich adekwatność i wystarczającą reprezentatywność. Monitorują działanie systemu w oparciu o instrukcję obsługi. Przechowują rejestry zdarzeń znajdujące się pod ich kontrolą przez co najmniej sześć miesięcy, o ile mające zastosowanie prawo Unii lub prawo krajowe nie stanowi inaczej.

• art. 26(11)
  Informowanie osób, których to dotyczy

  Podmioty wdrażające systemy wysokiego ryzyka z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub uczestniczą w ich podejmowaniu, informują te osoby, że jest w stosunku do nich wykorzystywany system, bez uszczerbku dla art. 50 (art. 26 ust. 11).

• art. 27
  Ocena skutków dla praw podstawowych

  Przed wdrożeniem systemu z pkt 5 lit. b) lub pkt 5 lit. c) podmioty wdrażające przeprowadzają ocenę skutków w zakresie praw podstawowych, niezależnie od tego, czy są podmiotami publicznymi, czy prywatnymi (art. 27 ust. 1). Ocena obejmuje: opis procesów podmiotu wdrażającego, w których system będzie wykorzystywany zgodnie z przeznaczeniem; opis okresu i częstotliwości wykorzystywania; kategorie osób fizycznych i grup, na które może mieć wpływ wykorzystywanie systemu; szczególne ryzyko szkody dla nich, z uwzględnieniem informacji przekazanych przez dostawcę zgodnie z art. 13; opis wdrożenia środków nadzoru ze strony człowieka; oraz środki, jakie należy podjąć w przypadku urzeczywistnienia się tego ryzyka, w tym ustalenia dotyczące zarządzania wewnętrznego i mechanizmów rozpatrywania skarg. Podmioty wdrażające powiadamiają organ nadzoru rynku o wynikach (art. 27 ust. 3). Do obowiązków już spełnionych w ramach oceny skutków dla ochrony danych można się odwołać (art. 27 ust. 4).

• art. 86
  Wyjaśnienie dla osoby, na którą AI ma wpływ

  Osoba ma prawo do wyjaśnienia, gdy podmiot wdrażający podejmuje decyzję na podstawie wyników systemu AI wysokiego ryzyka wymienionego w załączniku III, z wyjątkiem pkt 2. Decyzja musi wywoływać skutki prawne lub w podobny sposób oddziaływać na osobę na tyle znacząco, że uważa ona, iż ma to niepożądany wpływ na jej zdrowie, bezpieczeństwo lub prawa podstawowe. Osoba ta ma prawo uzyskać od podmiotu wdrażającego jasne i merytoryczne wyjaśnienie roli systemu AI oraz głównych elementów decyzji (art. 86 ust. 1). Prawo to nie ma zastosowania, gdy z prawa Unii lub zgodnego z prawem Unii prawa krajowego wynikają wyjątki lub ograniczenia (art. 86 ust. 2). Dotyczy to wyłącznie zakresu, w jakim prawo to nie zostało inaczej ustanowione w prawie Unii (art. 86 ust. 3).

Rozporządzenie pozwala instytucjom finansowym włączyć część obowiązków do przepisów, które już stosują. Zasady dotyczą instytucji finansowych podlegających wymogom dotyczącym ich zarządzania wewnętrznego, uzgodnień lub procedur na podstawie prawa Unii dotyczącego usług finansowych. Rozporządzenie nie wskazuje żadnego konkretnego prawa dotyczącego usług finansowych; to, które przepisy się liczą, jest pytaniem do prawnika.

• art. 17(4)
  System zarządzania jakością

  W przypadku dostawców będących takimi instytucjami finansowymi obowiązek wprowadzenia systemu zarządzania jakością uznaje się za spełniony przez zgodność z zasadami zarządzania wewnętrznego. Wyjątkiem są system zarządzania ryzykiem, monitorowanie po wprowadzeniu do obrotu i zgłaszanie poważnych incydentów (art. 17 ust. 4).

• art. 18(3)
  Dokumentacja techniczna

  Dostawcy będący takimi instytucjami finansowymi, które podlegają wymogom dotyczącym ich zarządzania wewnętrznego, uzgodnień lub procedur na podstawie prawa Unii dotyczącego usług finansowych, prowadzą dokumentację techniczną jako część dokumentacji prowadzonej na podstawie tego prawa (art. 18 ust. 3).

• art. 19(2), 26(6)
  Rejestry zdarzeń

  Dostawcy i podmioty wdrażające będące takimi instytucjami finansowymi prowadzą generowane automatycznie rejestry zdarzeń jako część dokumentacji prowadzonej na podstawie odpowiedniego prawa Unii dotyczącego usług finansowych (art. 19 ust. 2, art. 26 ust. 6 akapit drugi).

• art. 26(5)
  Monitorowanie przez podmiot wdrażający

  W przypadku podmiotów wdrażających będących takimi instytucjami finansowymi obowiązek monitorowania z akapitu pierwszego art. 26 ust. 5 uznaje się za spełniony. Warunkiem jest zgodność z przepisami dotyczącymi uzgodnień, procedur i mechanizmów zarządzania wewnętrznego na podstawie odpowiedniego prawa dotyczącego usług finansowych (art. 26 ust. 5 akapit drugi).

• art. 72(4)
  Monitorowanie po wprowadzeniu do obrotu

  Dostawcy mogą zintegrować elementy systemu i planu monitorowania po wprowadzeniu do obrotu z już istniejącymi systemami i planami, pod warunkiem że zapewnia to równoważny poziom ochrony. Art. 72 ust. 4 akapit drugi rozszerza ten wybór na systemy z pkt 5 załącznika III takich instytucji finansowych.

• art. 74(6)
  Organ nadzoru rynku

  Organem nadzoru rynku dla systemów AI wysokiego ryzyka wprowadzanych do obrotu, oddawanych do użytku lub wykorzystywanych przez instytucje finansowe regulowane prawem Unii dotyczącym usług finansowych jest krajowy organ odpowiedzialny za ich nadzór finansowy na podstawie tego prawa. Dotyczy to zakresu, w jakim wprowadzanie do obrotu, oddawanie do użytku lub wykorzystywanie jest bezpośrednio związane ze świadczeniem tych usług finansowych (art. 74 ust. 6).

• Terminy

  Wymogi dla tych zastosowań z załącznika III stosuje się od 2 grudnia 2027 (art. 113 akapit trzeci lit. c) ppkt (i)). System wprowadzony do obrotu lub oddany do użytku przed tą datą jest objęty rozporządzeniem tylko wtedy, gdy po niej jego projekt ulegnie istotnym zmianom. W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2).

• Kary pieniężne

  Dostawcy muszą zapewnić, aby ich systemy AI wysokiego ryzyka spełniały wymogi sekcji 2 rozdziału III, która obejmuje art. 9–15 (art. 16 lit. a)). Naruszenie obowiązków dostawców z art. 16 lub obowiązków podmiotów wdrażających z art. 26 może skutkować karą pieniężną. Kara wynosi do 15 mln EUR lub, w przypadku przedsiębiorstwa, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4 lit. a) i e)). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara jest ograniczona do niższej z tych kwot (art. 99 ust. 6). To samo dotyczy małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie ustanawia przepisy dotyczące określenia, w jakim zakresie na organy i podmioty publiczne ustanowione w tym państwie członkowskim można nakładać administracyjne kary pieniężne (art. 99 ust. 8).

• Zakres rozporządzenia i jego granice

  Rozporządzenie stosuje się do dostawców i podmiotów wdrażających, którzy mają siedzibę lub znajdują się w państwie trzecim, w przypadku gdy wyniki wytworzone przez system AI są wykorzystywane w Unii (art. 2 ust. 1 lit. c)). Nie stosuje się go do obszarów wykraczających poza zakres stosowania prawa Unii i nie wpływa ono na kompetencje państw członkowskich w zakresie bezpieczeństwa narodowego (art. 2 ust. 3). Rozporządzenia nie stosuje się do systemów AI lub modeli AI, w tym ich wyników, specjalnie rozwiniętych i oddanych do użytku wyłącznie do celów badań naukowych i rozwojowych (art. 2 ust. 6). Nie stosuje się go do działalności badawczej, testowej ani rozwojowej przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku. Wyłączenie to nie obejmuje testów w warunkach rzeczywistych (art. 2 ust. 8). Systemy AI udostępniane na podstawie bezpłatnych licencji otwartego oprogramowania są poza zakresem rozporządzenia. Wyłączenie to nie ma zastosowania, jeżeli są one wprowadzane do obrotu lub oddawane do użytku jako systemy AI wysokiego ryzyka albo objęte art. 5 lub 50 (art. 2 ust. 12).

• Brak wskaźników, progów i norm dla fintechu

  Rozporządzenie nie wskazuje wartości dokładności, limitu poziomu błędów, miary sprawiedliwości ani normy technicznej dla scoringu kredytowego ani ustalania cen ubezpieczeń. Dostawcy sami ustalają wskaźniki do testów (art. 9 ust. 8) i deklarują poziomy dokładności oraz wskaźniki w instrukcji obsługi (art. 15 ust. 3). Samo rozporządzenie nie wskazuje żadnej normy zharmonizowanej. Dla systemów AI wysokiego ryzyka zgodnych z normami zharmonizowanymi, do których odniesienia opublikowano w Dzienniku Urzędowym, domniemuje się zgodność z wymogami sekcji 2 w zakresie, w jakim normy te je obejmują (art. 40 ust. 1). Dla systemów wytrenowanych i przetestowanych na danych odzwierciedlających określone otoczenie geograficzne, behawioralne, kontekstualne lub funkcjonalne, do którego są przeznaczone, domniemuje się zgodność z art. 10 ust. 4 (art. 42 ust. 1). Komisja ma opracować wytyczne dotyczące praktycznego stosowania wymogów i obowiązków z art. 8–15, 25 i 26 (art. 96 ust. 1 lit. a)).

• Inne prawo obowiązuje obok rozporządzenia

  Inne prawo Unii i prawo krajowe, takie jak RODO i prawo dotyczące usług finansowych, nadal obowiązuje. Ta strona go nie opisuje, a rozporządzenie nie wskazuje żadnego konkretnego prawa dotyczącego usług finansowych.

• Przykład: jeden wykaz systemów AI

  Przykład, a nie wymóg rozporządzenia: pożyczkodawca lub ubezpieczyciel mógłby prowadzić jeden wykaz swoich systemów AI. Mógłby wskazać dla każdego systemu klasyfikację według załącznika III, ocenę z art. 6 ust. 3 (jeżeli się na nią powołuje) oraz rolę firmy: dostawcy lub podmiotu wdrażającego.

Każda strona stosuje jeden artykuł do AI do scoringu kredytowego i ubezpieczeń.

• Art. 9 dla AI w fintechu: system zarządzania ryzykiem

  System zarządzania ryzykiem dla AI do scoringu kredytowego i ubezpieczeń.

• Art. 10 dla AI w fintechu: dane i zarządzanie danymi

  Zbiory danych, badanie stronniczości i szczególne kategorie danych osobowych.

• Art. 12 dla AI w fintechu: rejestrowanie zdarzeń i rejestry

  Automatyczne rejestrowanie zdarzeń i to, kto przechowuje rejestry.

• Art. 13 dla AI w fintechu: przejrzystość i instrukcja obsługi

  Instrukcja obsługi i wyjaśnienie należne osobom, na które AI ma wpływ.

• Art. 14 dla AI w fintechu: nadzór ze strony człowieka

  Nadzór ze strony człowieka i to, czego rozporządzenie nie wymaga.

• Art. 15 dla AI w fintechu: dokładność, solidność i cyberbezpieczeństwo

  Dokładność, solidność i cyberbezpieczeństwo.

• Art. 17 dla AI w fintechu: system zarządzania jakością

  System zarządzania jakością i zasada dla instytucji finansowych.

• Art. 26 w fintechu: obowiązki podmiotów wdrażających

  Obowiązki podmiotów wdrażających będących bankami i ubezpieczycielami.

• Art. 50 dla AI w fintechu: przejrzystość i ujawnianie

  Obowiązki w zakresie przejrzystości dla chatbotów i generowanych treści.

• Art. 53 w fintechu: obowiązki dostawców modeli AI ogólnego przeznaczenia

  Dostawcy modeli AI ogólnego przeznaczenia.

• Załącznik III szczegółowo: 8 kategorii wysokiego ryzyka

  Pkt 5 załącznika III na tle wszystkich ośmiu kategorii.

• Artykuł 6: klasyfikacja systemów AI wysokiego ryzyka

  Jak art. 6 klasyfikuje systemy AI wysokiego ryzyka, w tym wyjątek z art. 6 ust. 3.

• Artykuł 27: ocena skutków dla praw podstawowych (FRIA)

  Ocena skutków, której art. 27 ust. 1 wymaga od podmiotów wdrażających systemy z pkt 5 lit. b) i pkt 5 lit. c).