«Najbliższe szkolenie już 19 maja 2025 r.»
Dlatego w banku nie wystarczy odpowiedzieć na pytanie, czy dane narzędzie „jest zgodne z AI Act”. Ten sam proces może podlegać jednocześnie AI Act, RODO, Prawu komunikacji elektronicznej, Prawu bankowemu i DORA, a przy reklamie kredytu dochodzą jeszcze szczegółowe obowiązki konsumenckie. Do tego dochodzą prawo autorskie, wizerunek i dobra osobiste. Zakres przepisów zmienia się razem z tym, co bank robi, jakich danych używa i czy wynik działania systemu realnie wpływa na konkretną osobę.
Pracownik wpisuje do generatora parametry lokaty i prosi o post na Facebooka. Model dopisuje korzyść, której w ofercie nie ma. To bardzo prozaiczny błąd, ale właśnie przy takich błędach najlepiej widać, dlaczego AI nie może być traktowana jak źródło informacji o produkcie.
Dane o oprocentowaniu, opłatach, terminach i warunkach promocji powinny pochodzić z zatwierdzonego źródła bankowego. Model może pomóc je ułożyć w zdanie, skrócić tekst albo przygotować trzy wersje nagłówka, ale wynik trzeba porównać z regulaminem i materiałem produktowym przed publikacją. Przy reklamach kredytu konsumenckiego i hipotecznego dochodzą ustawowe zasady prezentowania m.in. RRSO oraz reprezentatywnego przykładu. Tutaj „model tak napisał” nie jest żadnym argumentem.
Od 2 sierpnia 2026 r. stosuje się co do zasady art. 50 AI Act. Nie wynika z niego obowiązek oznaczania każdej reklamy, którą pracownik skrócił, poprawił albo zaczął pisać z pomocą modelu językowego. To ważne, bo w obiegu funkcjonuje znacznie prostsza zasada: użyłeś AI, więc wszystko trzeba podpisać. Prawo jest bardziej konkretne.
Jeżeli system jest przeznaczony do bezpośredniej interakcji z człowiekiem, dostawca ma obowiązek zaprojektować go tak, aby użytkownik wiedział, że rozmawia z AI, chyba że jest to oczywiste z kontekstu. Dla banku korzystającego z chatbota praktyczny wniosek jest prosty: klient nie powinien domyślać się, czy po drugiej stronie jest człowiek, czy system.
Osobna sytuacja to deepfake. Jeżeli AI generuje albo manipuluje obrazem, dźwiękiem lub wideo tak, że materiał przypomina istniejącą osobę, obiekt, miejsce, podmiot lub zdarzenie i może zostać odebrany jako autentyczny, AI Act nakłada obowiązek ujawnienia sztucznego charakteru takiej treści. Gdy rozpoznawalna jest konkretna osoba, trzeba dodatkowo sprawdzić prawa do wizerunku i ochronę dóbr osobistych. Art. 50 obejmuje również określone teksty generowane lub modyfikowane przez AI i publikowane po to, aby informować opinię publiczną o sprawach interesu publicznego, ale przewiduje wyjątek m.in. dla materiałów poddanych ludzkiej weryfikacji lub kontroli redakcyjnej, za które ktoś ponosi odpowiedzialność redakcyjną.
Największa różnica między użyciem AI w zwykłej firmie i w banku pojawia się wtedy, gdy do systemu trafiają informacje o konkretnej osobie. Bank nie pracuje na zwykłej bazie marketingowej. Ma dane osobowe, historię relacji z klientem, informacje o produktach i aktywności finansowej, a informacje dotyczące czynności bankowych mogą być objęte tajemnicą bankową.
Dlatego wysłanie takich danych do narzędzia, którego bank wcześniej nie dopuścił do tego rodzaju przetwarzania, jest złym skrótem organizacyjnym. Przed użyciem trzeba ustalić cel i podstawę prawną przetwarzania, rolę dostawcy, zakres danych, retencję, podwykonawców, lokalizację przetwarzania, transfery poza EOG i zasady używania danych do dalszego trenowania. Jeżeli dostawca jest procesorem, potrzebna jest również prawidłowa umowa powierzenia. Przy rozwiązaniach mogących powodować wysokie ryzyko trzeba ocenić, czy wymagana jest DPIA.
I tutaj pojawia się problem z prostym hasłem „mamy wersję enterprise”. Enterprise może rozwiązać część kwestii kontraktowych albo technicznych. Nie rozstrzyga samo z siebie, czy bank może przekazać konkretną kategorię danych i do jakiego celu.
AI może pomóc bankowi wybrać grupę osób, którym zostanie pokazana reklama lokaty albo kredytu. Jeżeli taki wybór opiera się na danych osobowych, może być profilowaniem marketingowym. Wtedy trzeba ustalić podstawę prawną, spełnić obowiązki informacyjne i pamiętać, że art. 21 RODO daje osobie prawo sprzeciwu wobec przetwarzania do celów marketingu bezpośredniego, również wobec profilowania z takim marketingiem związanego.
Ocena zdolności kredytowej to inna skala konsekwencji. AI Act wymienia systemy przeznaczone do oceny zdolności kredytowej albo ustalania scoringu kredytowego osób fizycznych w załączniku III jako zastosowania high-risk, z wyjątkiem systemów służących wykrywaniu oszustw finansowych. Po zmianach przyjętych w lipcu 2026 r. obowiązki rozdziału III sekcji 1-3 dla systemów z art. 6 ust. 2 i załącznika III mają być stosowane od 2 grudnia 2027 r.
Z RODO sprawa jest bardziej subtelna. Art. 22 dotyczy decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne albo w podobny sposób istotnie wpływa na osobę. Sam fakt wyliczenia wyniku punktowego nie daje więc automatycznie odpowiedzi. Jednocześnie Trybunał Sprawiedliwości UE w sprawie C-634/21 SCHUFA uznał, że scoring może sam stanowić zautomatyzowaną decyzję, jeżeli od tego wyniku w decydujący sposób zależy, czy inny podmiot nawiąże, wykona albo zakończy relację umowną. W banku trzeba patrzeć na cały proces, a nie tylko na nazwę modułu w systemie.
AI może napisać SMS, wybrać odbiorcę i podpowiedzieć godzinę wysyłki. Nie tworzy jednak zgody na marketing. Art. 398 Prawa komunikacji elektronicznej co do zasady zakazuje używania automatycznych systemów wywołujących lub telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego, bez uprzedniej zgody abonenta lub użytkownika końcowego. Równolegle trzeba mieć podstawę do przetwarzania danych osobowych na gruncie RODO.
Cookies, piksele i inne identyfikatory wymagają osobnej analizy. Art. 399 PKE co do zasady wiąże przechowywanie informacji w urządzeniu użytkownika albo uzyskiwanie do niej dostępu z obowiązkiem wcześniejszego poinformowania i uzyskania zgody. Są wyjątki, np. gdy dostęp jest konieczny do transmisji komunikatu albo do dostarczenia usługi żądanej przez użytkownika. To, że dane później zasilą model personalizacyjny, nie naprawi błędu popełnionego na etapie ich pozyskania.
Marketing może kupić narzędzie AI w kilka minut. W banku problem zaczyna się chwilę później, kiedy trzeba odpowiedzieć, gdzie są przetwarzane dane, kto jest podwykonawcą, jakie są warunki zakończenia umowy i czy usługa wspiera funkcję krytyczną lub istotną.
DORA obejmuje instytucje kredytowe i od 17 stycznia 2025 r. wymaga zarządzania ryzykiem dostawców ICT jako częścią ryzyka ICT banku. Przed zawarciem umowy trzeba ocenić ryzyko i dostawcę, a sama umowa musi zawierać określone elementy dotyczące m.in. zakresu usług, lokalizacji przetwarzania i przechowywania danych oraz dostępu do nich po zakończeniu współpracy. Jeżeli usługa wspiera funkcję krytyczną lub istotną, wymagania są szersze i obejmują m.in. bardziej rozbudowane zasady monitorowania, dostępu, inspekcji i audytu.
Nie oznacza to, że każdy generator AI jest automatycznie outsourcingiem bankowym. DORA i outsourcing z Prawa bankowego to dwie kwalifikacje, których nie warto mieszać. Usługa może podlegać ocenie jako zewnętrzna usługa ICT, nawet jeżeli nie spełnia przesłanek powierzenia czynności z art. 6a Prawa bankowego.
Zakaz używania AI jest najłatwiejszy do napisania w procedurze i najtrudniejszy do utrzymania w praktyce. Ludzie i tak będą szukali narzędzi, które skrócą pracę. Bezpieczniej jest dokładnie określić, co można robić, w jakim narzędziu i z jakimi danymi, a przypadki bardziej ryzykowne skierować do właściwej ścieżki oceny.
Korekta językowa, tworzenie wariantów nagłówków czy streszczanie zatwierdzonego materiału bez danych osobowych mogą mieć prostą ścieżkę, jeżeli bank korzysta z zatwierdzonego rozwiązania i wymaga weryfikacji wyniku. Chatbot, personalizacja, piksele czy syntetyczny wizerunek potrzebują szerszej analizy. Scoring, dane objęte tajemnicą bankową i automatyczne decyzje wobec klientów powinny angażować nie tylko marketing, ale również właściciela produktu, IOD, compliance lub prawników, IT i bezpieczeństwo.
Od 2 lutego 2025 r. stosuje się także art. 4 AI Act dotyczący kompetencji AI. Po nowelizacji z lipca 2026 r. bank jako podmiot stosujący systemy AI ma podejmować środki wspierające rozwój kompetencji osób korzystających z tych systemów w jego imieniu, z uwzględnieniem ich wiedzy, doświadczenia, szkolenia i kontekstu użycia. Przepis nie wymaga zagwarantowania każdemu konkretnego poziomu kompetencji. I słusznie, bo pracownik poprawiający nagłówek potrzebuje innej wiedzy niż osoba konfigurująca profilowanie albo pracująca przy scoringu.
AI może realnie odciążyć marketing banku w części powtarzalnych prac. Nie powinna natomiast skracać drogi między danymi klienta a zewnętrznym systemem ani między wygenerowanym tekstem a publikacją. W banku właśnie te dwa skróty są najdroższe, kiedy coś pójdzie źle.
Maciej Małek
Bank spółdzielczy dowiaduje się, że w lokalnej grupie na Facebooku pojawiło się kilkadziesiąt komentarzy dotyczących awarii bankowości elektronicznej. Część klientów pyta, co się dzieje. Ktoś pisze, że bank został zaatakowany. Inny użytkownik twierdzi, że z jego rachunku zniknęły pieniądze. Po godzinie temat zaczyna żyć własnym życiem.
Historia rozwoju bankowości pokazuje, że przewagę konkurencyjną zdobywali nie ci, którzy jako pierwsi kupowali najdroższe systemy informatyczne, ale ci, którzy potrafili najlepiej wykorzystać zmieniające się otoczenie technologiczne. Podobnie będzie ze sztuczną inteligencją
New Marketing Institute © Wszelkie prawa zastrzeżone. Copyrights 2025
