W sierpniu br. weszły w życie nowe zapisy unijnego rozporządzenia w sprawie sztucznej inteligencji (AI Act), którego celem jest uregulowanie kwestii związanych z wykorzystaniem AI, a zwłaszcza ograniczenie ryzyka.
Rozporządzenie dzieli systemy sztucznej inteligencji na cztery poziomy ryzyka, zakazuje pewnych praktyk (jak np. punktacja społeczna) i nakłada nowe obowiązki na instytucje prywatne i publiczne, w tym banki.
Należy podkreślić, że rozporządzenie ws. AI jeszcze nie obowiązuje w całości, a jego elementy będą wchodzić w życie stopniowo. Na obecnym etapie szczególną uwagę poświęcono transparentności i informowaniu klientów o wykorzystaniu sztucznej inteligencji. Oznacza to, że treści wygenerowane lub zmodyfikowane przy pomocy AI powinny być odpowiednio oznaczone. Klient powinien być również informowany o tym, że komunikuje się z bankiem przy użyciu AI, a nie z człowiekiem (np. pisząc z chatbotem).
Jakie zmiany czekają klientów banków?
Nowe przepisy mają wspierać bezpieczne i odpowiedzialne wykorzystanie sztucznej inteligencji przy jednoczesnym zachowaniu wysokiego poziomu ochrony klientów. W praktyce większa przejrzystość wykorzystania sztucznej inteligencji i silniejsze mechanizmy nadzoru nad algorytmami mogą zmniejszyć ryzyko błędów, dyskryminacji lub nieuzasadnionych wyników działania modeli LLM.
Klienci banków będą mogli zauważyć dodatkowe komunikaty dotyczące wykorzystania AI. Będą mieli też prawo do weryfikacji odpowiedzi wygenerowanych przez system AI oraz możliwość przełączenia rozmowy do konsultanta banku. Te zmiany wynikające z AI Act nie powinny być rewolucyjne z perspektywy użytkownika bankowości cyfrowej. Banki już wcześniej stosowały klarowne komunikaty m.in. dotyczące komunikacji z chatbotami i zapewniały możliwość kontaktu z konsultantem.
Jakie są największe wyzwania dla banków?
Największym wyzwaniem dla banków w związku z implementacją unijnego rozporządzenia ws. AI jest połączenie wymagań regulacyjnych z dynamicznym rozwojem technologii AI oraz właściwe zarządzanie i standaryzacja zastosowań sztucznej inteligencji w ramach organizacji. Na obecnym etapie szczególnie ważna jest identyfikacja i klasyfikacja systemów AI wykorzystywanych w organizacji i zapewnienie skutecznego nadzoru nad nimi przez człowieka.
Koszt dostosowania zależy od skali wykorzystania AI. W przypadku dużej instytucji finansowej jest to proces angażujący obszary biznesowe, IT, bezpieczeństwa, ryzyka, compliance oraz kwestie prawne, jednak znacząca część wymaganych mechanizmów funkcjonowała już wcześniej. W przypadku banków istotne będzie również zintegrowanie obowiązków wynikających z AI Act z już obowiązującymi przepisami DORA, RODO oraz rekomendacjami i wytycznymi Komisji Nadzoru Finansowego.
Odpowiedzialne wdrażanie AI
W VeloBanku od początku kierujemy się zasadą, że sztuczna inteligencja nie zastępuje pracownika, lecz wspiera jego pracę. Kluczowe jest dla nas bezpieczne i etyczne wykorzystanie AI m.in. do optymalizacji wewnętrznych procesów i obsługi klienta. Prowadzimy działania dostosowawcze zgodnie z harmonogramem wynikającym z AI Act, co obejmuje zarówno wdrożenia technologiczne, jak i rozwój ram organizacyjnych oraz procedur zarządczych. Co istotne, VeloBank wdrożył już Politykę AI, metody identyfikacji systemów AI, kwalifikacji i weryfikacji systemów wysokiego ryzyka oraz zakazanych praktyk i sposobu postepowania z nimi.
Realizujemy obowiązki informacyjne zgodnie z wymogami AI Act poprzez aktualizację regulaminów, polityk prywatności oraz informacji dla klientów, a także stosowanie odpowiednich komunikatów w kanałach cyfrowych, w których wykorzystywane są rozwiązania AI. Co ważne, umożliwiamy klientom uzyskanie wsparcia pracownika banku w przypadkach wymagających indywidualnej oceny lub wyjaśnień. Idąc dalej, zakres komunikacji będzie dostosowany do rodzaju rozwiązania oraz poziomu wymagań regulacyjnych przypisanych do danego przypadku użycia AI.
Wnioski i perspektywy
Zmiany wynikające z AI Act mają na celu zwiększenie transparentności oraz zaufania klientów do rozwiązań cyfrowych wykorzystywanych m.in. przez instytucje finansowe. Warto podkreślić, że AI Act przewiduje stopniowe wejście w życie kolejnych obowiązków, a w szczególności tych wynikających z wykorzystania systemów wysokiego ryzyka, które zostały przesunięte z sierpnia tego roku na grudzień 2027 r.
Systemy AI wykorzystywane do oceny zdolności kredytowej lub wspierające podejmowanie decyzji dotyczących klientów należą do obszarów objętych szczególną uwagą regulatorów i mogą zostać zakwalifikowane jako systemy wysokiego ryzyka. W praktyce oznacza to konieczność zapewnienia m.in. odpowiedniej jakości danych wykorzystywanych przez modele, prowadzenia dokumentacji i oceny ryzyka systemów AI oraz zapewnienia odpowiedniego nadzoru człowieka nad procesem.
Należy się jednak spodziewać, że banki będą unikały obszarów wykorzystania AI, które wpisywałby się w kwalifikację systemu AI jako wysokiego ryzyka. Należy pamiętać, że banki już dziś funkcjonują w otoczeniu regulacyjnym nakładającym wysokie wymagania dotyczące procesów kredytowych, dlatego AI Act stanowi przede wszystkim rozszerzenie istniejących obowiązków dotyczących zarządzania modelami i transparentności.
W VeloBanku kontynuujemy przygotowania do następnych etapów regulacji, które obejmują m.in. doskonalenie procesów oceny i zarządzania ryzykiem, zapewnienie zgodności nowych projektów wykorzystujących AI już na etapie ich projektowania. Równie ważne jest dla nas budowanie odpowiednich kompetencji wewnątrz organizacji m.in. poprzez szkolenia dla pracowników. Jako że metody działania cyberoszustów stają się coraz bardziej zaawansowane i wyszukane (np. z użyciem deepfake), w najbliższej przyszłości niezwykle ważne będzie również dalsze umacnianie cyfrowej odporności na potencjalne ataki z użyciem technologii AI.
Autor: Marcin Kraśniewski, Zastępca Dyrektora w Departamencie Efektywności Informatyki w VeloBanku
Wojciech Boczoń