Wymogi KNF i DORA wobec AI to zasady, według których bank, ubezpieczyciel czy TFI musi zarządzać ryzykiem narzędzi AI tak samo jak każdej innej usługi ICT: z umową, rejestrem dostawców, planem wyjścia i dowodami dla nadzoru. Od 17 stycznia 2025 r. podstawą jest unijne rozporządzenie DORA, które zastąpiło Rekomendację D i wytyczne IT KNF. 22 lipca 2026 r. UKNF dodał rekomendacje dotyczące modeli Frontier AI, a od 2 grudnia 2027 r. AI oceniające zdolność kredytową osób fizycznych musi spełniać wymogi dla systemów wysokiego ryzyka
Nadzór nad AI w finansach nie opiera się na jednej ustawie. Składa się z czterech warstw:
Rozporządzenie 2022/2554 stosuje się od 17 stycznia 2025 r. Z tym dniem przestały obowiązywać Rekomendacja D i wytyczne IT KNF dla ubezpieczycieli, TFI, firm inwestycyjnych i infrastruktury rynku, a UKNF odwołał komunikat chmurowy
Model AI używany przez API lub w chmurze trzeba wpisać do rejestru informacji o umowach ICT. Umowa musi mieć klauzule z art. 30 DORA, a dla funkcji krytycznych potrzebna jest strategia wyjścia
UKNF oczekuje, że instytucje uwzględnią ataki z użyciem AI w analizie ryzyka i testach, ocenią zarządzanie ryzykiem AI u dostawców i ograniczą uzależnienie od jednego dostawcy ICT i AI. Liczą się dowody, nie same procedury
AI do oceny zdolności kredytowej osób fizycznych oraz do oceny ryzyka i wyceny w ubezpieczeniach na życie i zdrowotnych to systemy wysokiego ryzyka. Od 2 grudnia 2027 r. wymagają nadzoru człowieka i oceny wpływu na prawa podstawowe
DORA obowiązuje, a Rekomendacja D, wytyczne IT KNF i komunikat chmurowy przestały obowiązywać. Polityki ICT i AI opiera się dziś na DORA
DORA art. 64; uchwały KNF 6-8/2025Tylu zewnętrznych dostawców ICT, w tym operatorów największych chmur, na których działają modele AI, europejskie urzędy nadzoru uznały 18 listopada 2025 r. za kluczowych i nadzorują bezpośrednio
DORA art. 31Na wstępne zgłoszenie poważnego incydentu ICT od jego zaklasyfikowania, nie później niż 24 godziny od wykrycia. Wyciek danych przez narzędzie AI też może być takim incydentem
DORA art. 19; rozp. 2025/301 art. 5Rozporządzenie DORA stosuje się wprost, a Rekomendacja D i wytyczne IT KNF przestają obowiązywać
W priorytetach na 2026 r. UKNF zapowiada, że sam będzie analizował raporty i dokumenty instytucji z pomocą AI
UKNF publikuje rekomendacje dotyczące wpływu modeli Frontier AI na cyberbezpieczeństwo sektora finansowego
Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w której zasiada członek wskazany przez KNF, może kontrolować stosowanie AI Act
Obowiązki AI Act dla oceny zdolności kredytowej osób fizycznych i wyceny ubezpieczeń na życie i zdrowotnych
Umowa z klauzulami z art. 30 DORA, wpis do rejestru informacji, ocena ryzyka koncentracji i strategia wyjścia. Dane klientów trafiają do infrastruktury dostawcy, więc trzeba wiedzieć, gdzie są przetwarzane i jak długo przechowywane
Model, także polski, np. Bielik, działa w serwerowni banku lub ubezpieczyciela. Dane klientów nie opuszczają instytucji, a odejście od dostawcy modelu nie zatrzymuje pracy. Dostawca oprogramowania nadal jest stroną trzecią, więc umowa i rejestr zostają
danych klientów wysyłanych do zewnętrznego modelu, gdy AI działa w infrastrukturze instytucji. To prostsza odpowiedź na pytania nadzoru o lokalizację danych i uzależnienie od jednego dostawcy
Dwa pytania, a w wyniku kalendarz obowiązków dla Państwa instytucji: co już obowiązuje i co nadchodzi. Narzędzie działa w przeglądarce i niczego nie wysyła
Proszę wybrać rodzaj instytucji i sposób użycia AI - kalendarz obowiązków pojawi się od razu
Nadzór pyta o dowody, nie o deklaracje. Siedem obszarów, w których AI musi mieć ślad:
Każdy dostawca modelu i usługi AI jako pozycja rejestru, z oznaczeniem funkcji krytycznych (art. 28 ust. 3 DORA)
Lokalizacja danych, prawo audytu, zgłaszanie incydentów, zasady zakończenia współpracy (art. 30)
Co się dzieje, gdy model przestanie działać albo dostawca zmieni warunki, np. przełączenie na model lokalny (art. 28 ust. 8)
Kto, kiedy, z którego modelu i z jakimi danymi korzystał - w zapisie, którego nie da się zmienić. To podstawa analizy incydentu (art. 13 i 19)
Scenariusze ataków z użyciem AI w testach odporności cyfrowej, zgodnie z rekomendacjami UKNF (art. 24-27)
Przy ocenie zdolności kredytowej i wycenie ubezpieczeń osoba z kompetencjami, która może zatrzymać lub zmienić wynik, oraz ocena wpływu na prawa podstawowe (art. 26 i 27 AI Act)
Zarząd odpowiada za ryzyko ICT i regularnie aktualizuje wiedzę, a personel zna zasady korzystania z AI (art. 5 DORA, art. 4 AI Act)
Rejestr WORM, polityki dostępu do modeli, maskowanie danych osobowych
AI w serwerowni instytucji lub air-gap, certyfikaty ISO/IEC 27001 i ISO 22301
Wdrożenie AI krok po kroku, z dokumentami do pokazania nadzorowi
Pokażemy, jak wygląda rejestr użycia AI, o który pyta nadzór
Strona omawia skutki przepisów dla korzystania z AI i nie jest poradą prawną
Tak. Model AI używany przez API, w chmurze lub jako część oprogramowania to usługa ICT. Instytucja wpisuje dostawcę do rejestru informacji, zawiera umowę z klauzulami z art. 30, a gdy AI wspiera funkcję krytyczną, przygotowuje też strategię wyjścia
Nie. KNF uchyliła ją z dniem 17 stycznia 2025 r., razem z wytycznymi IT dla ubezpieczycieli, TFI, firm inwestycyjnych i infrastruktury rynku, a UKNF odwołał komunikat chmurowy. Ich miejsce zajęła DORA
Tak, jeśli jest co najmniej średnim przedsiębiorcą, ale w zarządzaniu ryzykiem ICT i zgłaszaniu incydentów pierwszeństwo ma DORA. Z ustawy o KSC bank stosuje m.in. przepisy o wpisie do wykazu podmiotów kluczowych i ważnych
Przepisy nie zakazują konkretnego narzędzia. Każde, także czat AI, wymaga jednak umowy z klauzulami DORA, wpisu do rejestru informacji i oceny ryzyka. Konto prywatne pracownika tych warunków nie spełnia, dlatego potrzebne jest narzędzie dopuszczone przez instytucję, np. TWIN:DESK z ekosystemu SAIE
Tak, jeśli ocenia osoby fizyczne. Od 2 grudnia 2027 r. bank musi zapewnić nadzór człowieka, monitorować działanie systemu i przed wdrożeniem ocenić jego wpływ na prawa podstawowe. To samo dotyczy wyceny ubezpieczeń na życie i zdrowotnych
KNF nadzoruje instytucje, także w zakresie DORA i ryzyka ICT. Od 28 października 2026 r. stosowanie AI Act może kontrolować KRiBSI, w której zasiada członek wskazany przez KNF
https://www.allclouds.pl/wiedza/wytyczne-knf-dora-a-ai/
