Scoring kredytowy trafił na listę wysokiego ryzyka. Co zmieni AI Act?

Banki nie mogą jednak do tego czasu dowolnie automatyzować decyzji: już obowiązują RODO, przepisy bankowe, regulacje o kredycie konsumenckim i zasady przeciwdziałania dyskryminacji.

Scoring kredytowy jako AI wysokiego ryzyka

Załącznik III obejmuje systemy przeznaczone do oceny zdolności kredytowej osób fizycznych lub ustalania ich wyniku kredytowego. Wyjątek dotyczy systemów używanych do wykrywania oszustw finansowych. AI Act Service Desk wskazuje jako typowy przykład model tworzący liczbową ocenę na podstawie dochodów i zachowań płatniczych, wykorzystywaną przy kredycie konsumenckim lub hipotecznym.

Kategoria może obejmować także wynik przygotowany przez biuro informacji kredytowej lub inną agencję i przekazywany bankowi, firmie telekomunikacyjnej, wynajmującemu albo dostawcy usługi. Podmiot tworzący scoring nie musi być tym samym, który podejmuje ostateczną decyzję. Z drugiej strony nie każdy chatbot pomagający wypełnić formularz jest systemem wysokiego ryzyka. Jeśli jedynie wyjaśnia pojęcia i nie uczestniczy w formalnej ocenie, pozostaje poza tym konkretnym zastosowaniem z załącznika III.

Poza kategorią mogą znaleźć się narzędzia wyceniające wyłącznie zabezpieczenie, systemy obsługujące reklamacje po decyzji kredytowej oraz rozwiązania dotyczące kredytu związanego z lewarowanymi instrumentami inwestycyjnymi, jeżeli nie odnoszą się do dostępu do podstawowej usługi prywatnej. Ostateczna ocena zależy od przeznaczenia i faktycznego wykorzystania.

Obowiązki banku i dostawcy systemu AI

Po rozpoczęciu stosowania przepisów wysokiego ryzyka dostawca będzie musiał wdrożyć system zarządzania ryzykiem, zasady zarządzania danymi, dokumentację techniczną, rejestrowanie zdarzeń, odpowiednią przejrzystość dla podmiotu stosującego, nadzór człowieka oraz wymagania dotyczące dokładności, odporności i cyberbezpieczeństwa. System powinien przejść właściwą ocenę zgodności przed wprowadzeniem na rynek lub oddaniem do użytku.

Bank jako podmiot stosujący ma używać rozwiązania zgodnie z instrukcją, wyznaczyć osoby zdolne do nadzoru, kontrolować dane wejściowe pozostające pod jego kontrolą, obserwować działanie i reagować na ryzyko. Jeżeli dysponuje logami, powinien je przechowywać przez wymagany czas. Sam certyfikat dostawcy nie zwalnia banku z oceny, czy konkretne wdrożenie, progi decyzyjne i źródła danych są właściwe dla jego klientów.

Klient powinien wiedzieć o użyciu AI

Podmiot stosujący system wysokiego ryzyka z załącznika III, który podejmuje lub wspiera decyzję dotyczącą osoby, ma ją poinformować, że podlega wykorzystaniu takiego systemu. Jeżeli decyzja oparta na wyniku AI wywołuje skutki prawne lub podobnie istotnie wpływa na klienta, a klient uważa ją za niekorzystną dla swoich praw, art. 86 może dawać mu prawo do jasnego i znaczącego wyjaśnienia roli systemu oraz głównych elementów decyzji.

Nie oznacza to przekazania pełnego kodu modelu. Bank powinien jednak umieć przedstawić informacje pozwalające zrozumieć zasadnicze czynniki oraz rolę algorytmu. Wyjaśnienie, że wniosek nie spełnił „wewnętrznych kryteriów”, może być niewystarczające, jeżeli klient nie dowiaduje się, które dane lub okoliczności miały kluczowe znaczenie i jak może poprawić błąd.

Automatyczna decyzja kredytowa a RODO

RODO już teraz ogranicza decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie wpływają na osobę. Ocena kredytowa jest jednym z najważniejszych przykładów. Jeżeli automatyzacja jest dopuszczalna na podstawie wyjątku, administrator musi zapewnić zabezpieczenia przewidziane prawem. W określonych przypadkach klient ma prawo do interwencji człowieka, przedstawienia stanowiska i zakwestionowania decyzji.

Trybunał Sprawiedliwości Unii Europejskiej w sprawie SCHUFA uznał, że automatyczne stworzenie wartości prawdopodobieństwa może samo stanowić zautomatyzowaną decyzję, jeśli odbiorca przypisuje temu wynikowi decydującą rolę przy zawieraniu, wykonywaniu lub rozwiązaniu umowy. W późniejszym orzecznictwie Trybunał akcentował potrzebę przekazania znaczących informacji o logice automatycznego rozstrzygnięcia w sposób umożliwiający osobie zrozumienie i zakwestionowanie wyniku.

Ryzyko dyskryminacji przez dane zastępcze

Model może nie używać wprost informacji o płci, pochodzeniu czy niepełnosprawności, a mimo to generować nierówne wyniki. Kod pocztowy, rodzaj urządzenia, częstotliwość zmiany miejsca zamieszkania, nietypowa historia zatrudnienia lub wzorzec zakupów mogą działać jako zmienne zastępcze. Część danych może być niedokładna, nieaktualna albo dotyczyć innej osoby.

Bank powinien testować nie tylko ogólną trafność przewidywań, lecz również rozkład błędów dla poszczególnych grup oraz stabilność modelu w czasie. Niezbędna jest procedura korekty danych i ponownego rozpatrzenia sprawy. Człowiek nadzorujący proces musi mieć wiedzę, uprawnienia i czas, by odrzucić rekomendację systemu, a nie jedynie potwierdzić wynik wygenerowany wcześniej.

Odpowiedzialność pozostaje po stronie instytucji

Bank nie może przenieść całej odpowiedzialności na dostawcę modelu ani biuro przygotowujące scoring. Klient pozostaje w relacji z instytucją podejmującą decyzję. Umowa z dostawcą powinna zapewniać dostęp do dokumentacji, informacji o jakości danych, ograniczeniach, aktualizacjach, incydentach i sposobie monitorowania. Jeżeli bank modyfikuje system w sposób istotny albo zmienia jego przewidziane przeznaczenie, może przejąć obowiązki dostawcy.

Przygotowanie do 2 grudnia 2027 r. wymaga wskazania wszystkich modeli uczestniczących w procesie kredytowym, rozdzielenia zwykłych reguł od systemów AI, określenia roli każdej oceny i sprawdzenia, czy ludzka kontrola jest realna. Analiza powinna objąć również narzędzia zewnętrzne, ponieważ ryzyko nie kończy się na systemach rozwijanych wewnątrz banku.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, w szczególności art. 6, art. 26, art. 86 oraz załącznik III pkt 5 lit. b.
• AI Act Service Desk, przykłady systemów AI dotyczących podstawowych usług i scoringu kredytowego.
• Komisja Europejska, projekt wytycznych dotyczących klasyfikacji systemów wysokiego ryzyka, 19 maja 2026 r.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, w szczególności art. 22.
• Trybunał Sprawiedliwości Unii Europejskiej, wyrok w sprawie C-634/21 SCHUFA Holding.
• Komisja Europejska, harmonogram stosowania AI Act po porozumieniu politycznym z 7 maja 2026 r.