Sektor finansowy: wysokie ryzyko jako punkt wyjścia, nie wyjątek
W większości branż, o których piszemy w tej bazie wiedzy, wysokie ryzyko z AI Act to wyjątkowa sytuacja, na którą trzeba uważać. W sektorze finansowym i ubezpieczeniowym jest odwrotnie: kluczowe zastosowania AI, czyli scoring kredytowy i ocena ryzyka ubezpieczeniowego, to klasyczne, podręcznikowe przykłady systemów wysokiego ryzyka wymienione wprost w Załączniku III rozporządzenia. Jeśli działasz w tym sektorze, warto zakładać wysokie ryzyko jako punkt wyjścia i szukać wyjątków, nie odwrotnie.
Które zastosowania AI w finansach są wysokiego ryzyka
Załącznik III wprost wymienia systemy AI wykorzystywane do:
- Oceny zdolności kredytowej i scoringu kredytowego osób fizycznych.
- Oceny ryzyka i wyceny składek w ubezpieczeniach na życie i zdrowotnych.
- Innych zastosowań, w których wynik działania systemu ma istotny wpływ na dostęp osoby fizycznej do usług finansowych.
Nie dotyczy to automatycznie każdego zastosowania AI w firmie finansowej. Systemy wykrywania oszustw (fraud detection) czy analiza ryzyka portfela na poziomie instytucji, bez bezpośredniego profilowania konkretnej osoby wnioskującej o produkt, mogą znajdować się w innej kategorii ryzyka, choć wymaga to indywidualnej analizy konkretnego zastosowania.
Podwójna warstwa regulacji: AI Act plus nadzór sektorowy
To, co odróżnia sektor finansowy od większości innych branż w tej bazie wiedzy, to nakładanie się AI Act na już istniejące, dobrze rozwinięte regulacje sektorowe: przepisy o kredycie konsumenckim, regulacje ubezpieczeniowe, wymogi nadzoru finansowego dotyczące modeli ryzyka. Firma finansowa korzystająca z AI w scoringu musi spełnić jednocześnie:
- Wymogi sektorowe dotyczące oceny zdolności kredytowej i przejrzystości decyzji kredytowych, obowiązujące od dawna, niezależnie od AI Act.
- Wymogi AI Act dla systemów wysokiego ryzyka: ocena zgodności, dokumentacja techniczna, nadzór człowieka, rejestracja systemu.
- RODO w zakresie zautomatyzowanego podejmowania decyzji, w tym profilowania, o czym więcej w artykule RODO a AI: art. 22 o zautomatyzowanych decyzjach.
Najczęstszy błąd firm finansowych to zakładanie, że skoro model scoringowy jest już zgodny z wymogami nadzoru finansowego, to automatycznie spełnia też AI Act. To dwie odrębne regulacje z częściowo pokrywającymi się, ale nietożsamymi wymogami dokumentacyjnymi.
Praktyczne konsekwencje dla mniejszych firm sektora
Nie każda firma z tego sektora to duży bank czy ubezpieczyciel. Fintech, pośrednik finansowy czy mniejsza firma pożyczkowa korzystająca z gotowego narzędzia scoringowego od zewnętrznego dostawcy też podlega tym obowiązkom, choć w innej roli: zwykle jako stosujący, nie dostawca systemu. Warto wtedy dokładnie sprawdzić, jaką dokumentację dostawca systemu scoringowego już przygotował, a czego brakuje po stronie Twojej firmy jako wdrażającego system.
| Rola firmy | Typowe obowiązki |
|---|---|
| Dostawca własnego modelu scoringowego | Pełna ocena zgodności, dokumentacja techniczna, rejestracja systemu |
| Firma wdrażająca gotowe narzędzie scoringowe innego dostawcy | Weryfikacja dokumentacji dostawcy, nadzór człowieka nad decyzjami, informowanie klientów |
| Broker/pośrednik korzystający z narzędzi porównawczych bez oceny zdolności kredytowej | Zwykle niższe ryzyko, wymaga indywidualnej weryfikacji |
Nadzór człowieka: kluczowy element w praktyce
W scoringu kredytowym i ocenie ryzyka ubezpieczeniowego wymóg nadzoru człowieka ma szczególne znaczenie praktyczne: klient odrzucony automatycznie przez system musi mieć realną możliwość odwołania się do człowieka, który może zweryfikować i ewentualnie zmienić decyzję, nie tylko formalnie ją “zatwierdzić” bez realnej analizy. To jeden z elementów najczęściej sprawdzanych przy kontrolach systemów wysokiego ryzyka w tym sektorze.
Chatboty i asystenci wirtualni w bankowości i ubezpieczeniach
Poza scoringiem, sektor finansowy intensywnie korzysta też z chatbotów obsługi klienta i asystentów wspomagających sprzedaż produktów finansowych. Te zastosowania zwykle nie wpadają w wysokie ryzyko (chyba że chatbot faktycznie ocenia zdolność kredytową klienta w trakcie rozmowy), tylko w kategorię ograniczonego ryzyka z obowiązkiem przejrzystości, dokładnie jak opisano w artykule Jak oznaczyć chatbota zgodnie z art. 50. Warto jednak pamiętać, że klient rozmawiający z botem o produkcie finansowym (kredycie, polisie) jest w sytuacji szczególnie wrażliwej na wprowadzenie w błąd, więc jasność oznaczenia ma tu większe znaczenie reputacyjne niż w przeciętnym sklepie internetowym.
Dokumentacja jako pierwsza linia obrony przy kontroli
W sektorze finansowym, który od dawna funkcjonuje pod nadzorem regulacyjnym, kultura dokumentowania procesów jest zwykle lepiej rozwinięta niż w innych branżach MŚP. Warto to wykorzystać: dokumentacja już przygotowywana na potrzeby nadzoru finansowego (opis modelu ryzyka, testy modelu, rejestr zmian) często da się rozszerzyć o elementy wymagane przez AI Act, zamiast budować osobną dokumentację od zera. Praktyczny sposób zbudowania takiej teczki dowodowej, przydatnej na wypadek kontroli obu rodzajów, opisuje artykuł Teczka dowodowa.
Co zrobić w praktyce
- Zidentyfikuj wszystkie systemy AI używane w procesach kredytowych, ubezpieczeniowych i ocenie ryzyka klienta, także te wbudowane w gotowe oprogramowanie od dostawców zewnętrznych.
- Sprawdź, czy dla każdego z nich istnieje ocena zgodności i dokumentacja techniczna, Twoja własna albo dostawcy.
- Zweryfikuj, czy proces odwoławczy od automatycznej decyzji rzeczywiście prowadzi do analizy przez człowieka, nie tylko formalnie istnieje na papierze.
- Zbuduj rejestr systemów AI wysokiego ryzyka, osobno od rejestru narzędzi niskiego ryzyka (jak chatbot na stronie), zobacz Rejestr systemów AI.
Ze względu na skalę odpowiedzialności w tym sektorze, dla firm finansowych i ubezpieczeniowych szczególnie zasadna jest indywidualna konsultacja dopasowana do konkretnych systemów, dostępna w sekcji szkoleń indywidualnych, zamiast poleganie wyłącznie na ogólnym pakiecie zgodności.
Najczęściej zadawane pytania
Czy każdy model AI używany w banku albo firmie ubezpieczeniowej jest wysokiego ryzyka?
Nie każdy. Systemy bezpośrednio oceniające zdolność kredytową czy ryzyko ubezpieczeniowe konkretnej osoby zwykle tak. Systemy wspomagające procesy wewnętrzne bez bezpośredniego wpływu na decyzję dotyczącą klienta mogą znajdować się w innej kategorii, ale wymaga to indywidualnej weryfikacji.
Czy zgodność z regulacjami nadzoru finansowego wystarczy, żeby spełnić AI Act?
Nie automatycznie. To dwie odrębne regulacje. Zgodność sektorowa jest dobrym punktem wyjścia, ale dokumentacja wymagana przez AI Act (np. dotycząca samego systemu AI i jego ograniczeń) zwykle wykracza poza standardowe wymogi nadzoru finansowego.
Co jeśli korzystamy z gotowego narzędzia scoringowego od zewnętrznego dostawcy?
Nadal masz obowiązki jako stosujący, w tym weryfikację, czy dostawca przeprowadził ocenę zgodności, oraz zapewnienie realnego nadzoru człowieka nad decyzjami podejmowanymi z użyciem tego narzędzia w Twojej firmie.
Czy małe firmy pożyczkowe też podlegają pełnemu zakresowi obowiązków?
Tak, jeśli faktycznie wykorzystują AI do oceny zdolności kredytowej klientów, wielkość firmy nie zmniejsza zakresu obowiązków wynikających z klasyfikacji systemu jako wysokiego ryzyka.