Obowiązuje
DORA: Przepisy o operacyjnej odporności cyfrowej obowiązują
Ryzyko ICT, rejestr dostawców zewnętrznych, zgłaszanie incydentów i testy.
Usługi finansowe
AI i platformy gotowe na ocenę nadzorcy.
Budujemy dla banków, zakładów ubezpieczeń, towarzystw funduszy inwestycyjnych i instytucji płatniczych: AI, której działanie da się wyjaśnić nadzorcy, integracje, które nie naruszają systemów centralnych, oraz procesy operacyjne projektowane z myślą o DORA od pierwszej decyzji architektonicznej.
Dla instytucji finansowych pod nadzorem krajowym i europejskim: KNF, EUNB, EIOPA, ESMA i AMLA.
17 stycznia 2025
DORA obowiązuje
Zarządzanie ryzykiem ICT, rejestr umów z zewnętrznymi dostawcami ICT, zgłaszanie incydentów i testy odporności w podmiotach finansowych.
ŹródłoRozporządzenie (UE) 2022/2554 (otwiera stronę zewnętrzną)
10 lipca 2027
Unijne rozporządzenie AML zaczyna obowiązywać
Jeden zbiór przepisów o należytej staranności wobec klientów w całej UE i nowy urząd AMLA.
ŹródłoRozporządzenie (UE) 2024/1624 (otwiera stronę zewnętrzną)
2 grudnia 2027
AI Act: obowiązki wysokiego ryzyka w kredytach i ubezpieczeniach
Ocena zdolności kredytowej oraz wycena ubezpieczeń na życie i zdrowotnych to zastosowania wysokiego ryzyka; data stosowania po zmianach z 2026 r.
ŹródłoRozporządzenie (UE) 2024/1689 (otwiera stronę zewnętrzną)
Co się zmienia w sektorze finansowym
Odporność to obowiązek prawny
DORA zamienia odporność operacyjną w konkretne obowiązki: zarządzanie ryzykiem ICT, rejestr wszystkich umów z zewnętrznymi dostawcami usług ICT, klasyfikację i zgłaszanie incydentów oraz regularne testy. Dostawcy chmury i AI znaleźli się w polu widzenia nadzoru.
Decyzje AI wymagają śladu audytowego
Scoring kredytowy i wycena ubezpieczeń to zastosowania wysokiego ryzyka w rozumieniu AI Act. Zarządzanie ryzykiem modeli musi obejmować modele uczenia maszynowego i generatywne, z dokumentacją, monitorowaniem i nadzorem człowieka proporcjonalnymi do skutków decyzji.
Klienci porównują Państwa z aplikacjami, których używają na co dzień
Płatności natychmiastowe, weryfikacja odbiorcy i otwarta bankowość podniosły oczekiwania co do szybkości i przejrzystości. Kolejne przepisy o usługach płatniczych zaostrzą wymagania dotyczące zapobiegania oszustwom i jakości API.
Systemy centralne kryją logikę sprzed dekad
Na komputerach mainframe i platformach centralnych wciąż działa księgowość. Zmiany muszą zachodzić wokół nich, przez API i zdarzenia, bez ryzyka dla stabilności i sprawozdawczości regulacyjnej.
Wyzwania i to, co budujemy
- Wyzwanie
Onboarding klientów i okresowe przeglądy zależą od analityków, którzy ręcznie czytają dokumenty.
Nasza odpowiedźPrzetwarzanie dokumentów wyodrębnia i sprawdza dowody tożsamości, struktury własności i źródła pochodzenia środków. Analitycy weryfikują oznaczone przypadki, a każda kontrola jest zapisywana na potrzeby audytu i nadchodzących unijnych przepisów AML.
- Wyzwanie
Doradcy i zespoły obsługi przeszukują pięć systemów, by odpowiedzieć na jedno pytanie.
Nasza odpowiedźAsystent uwzględniający uprawnienia, który odpowiada na podstawie informacji o produktach, polityk i procedur, podaje źródła i zapisuje, co pokazał. Dokumentacja doradztwa pozostaje kompletna.
- Wyzwanie
Każda zmiana w systemie centralnym jest powolna, kosztowna i ryzykowna.
Nasza odpowiedźUdostępniamy funkcje systemu centralnego przez API i strumienie zdarzeń, krok po kroku przenosimy funkcje poza system i prowadzimy uzgadnianie danych, dopóki starej ścieżki nie można wyłączyć.
- Wyzwanie
Rejestr DORA i obsługa incydentów są prowadzone w arkuszach kalkulacyjnych.
Nasza odpowiedźWbudowujemy rejestr informacji, klasyfikację incydentów i procesy zgłaszania w narzędzia do zarządzania usługami IT i chmurą, powiązane z funkcjami krytycznymi lub istotnymi, które wspierają.
- Wyzwanie
Modele, których nie da się wyjaśnić, nie przechodzą walidacji.
Nasza odpowiedźRamy oceny uzgodnione z zespołami ryzyka i walidacji: zestawy testowe, wyjaśnialność tam, gdzie wymaga tego decyzja, monitorowanie dryfu i udokumentowana możliwość zmiany wyniku przez człowieka.
- Wyzwanie
Raporty regulacyjne są co kwartał uzgadniane ręcznie.
Nasza odpowiedźPotoki danych z udokumentowanym pochodzeniem danych i automatycznymi kontrolami jakości, zgodnie z zasadami BCBS 239, tak aby każdą liczbę dało się prześledzić do źródła.
Architektura, w której kontrola jest na pierwszym miejscu
Gdzie AI znajduje się między kanałami a systemami centralnymi: z punktem zatwierdzenia przed każdym istotnym krokiem i kontrolami DORA obok każdej warstwy.
Przykład poglądowy
Usługi AI łączą się z systemami centralnymi wyłącznie przez warstwę integracyjną. Kontrole DORA obejmują każdy komponent.
Diagram w formie tekstu
Klienci, doradcy i zespoły obsługi korzystają z kanałów: aplikacji, strony internetowej, oddziału i contact center.
Za kanałami działają trzy usługi AI: przyjmowanie dokumentów przy onboardingu i KYC, asystent doradców i obsługi oraz krok zatwierdzenia przez analityka, przez który przechodzi każda istotna decyzja.
Usługi AI docierają do systemów centralnych wyłącznie przez warstwę integracyjną API i strumieni zdarzeń. Systemy centralne to system bankowości centralnej lub obsługi polis, CRM i platforma obsługi oraz platforma danych z udokumentowanym pochodzeniem danych.
Obok wszystkich warstw działają kontrole DORA: zarządzanie ryzykiem ICT, rejestr zewnętrznych dostawców ICT, klasyfikacja i zgłaszanie incydentów oraz testy odporności. Każdy model jest rejestrowany, walidowany i monitorowany w ramach zarządzania ryzykiem modeli.
Zatwierdzenie przed skutkiem
AI przygotowuje projekty, wyodrębnia dane i podsuwa propozycje. Decyzje o kredycie, szkodzie czy ograniczeniu rachunku pozostają przy wskazanej z imienia i nazwiska osobie.
Wyjaśnialność zaplanowana w projekcie
Poziom wyjaśnienia ustalamy dla każdego typu decyzji na etapie projektowania, a nie dokładamy go tuż przed walidacją.
Ryzyko wyjścia i koncentracji
Dostawców chmury i modeli wybieramy z planami wyjścia i ścieżkami zastąpienia udokumentowanymi na potrzeby rejestru.
Logi jako dowód
Dane wejściowe, wyniki, wersje modeli i zatwierdzenia są przechowywane, aby nadzorcy i audytorzy mogli odtworzyć każdą sprawę.
Harmonogram regulacyjny instytucji finansowych
Daty, które zmieniają to, co partner wdrożeniowy musi wykazać. KNF i europejskie urzędy nadzoru dodają do tego wytyczne i standardy techniczne.
Obowiązuje
AI Act: Zakazane praktyki i kompetencje w zakresie AI
Obowiązuje
AMLA: Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu rozpoczyna działalność
Przygotowanie jednolitego zbioru przepisów i bezpośredniego nadzoru nad wybranymi instytucjami.
Obowiązuje
Rozporządzenie w sprawie płatności natychmiastowych: Weryfikacja odbiorcy obowiązkowa przy przelewach w euro
Dostawcy usług płatniczych w strefie euro sprawdzają nazwę odbiorcy przed wykonaniem przelewu.
Obowiązuje
AI Act: Obowiązki przejrzystości
Klienci muszą wiedzieć, że mają do czynienia z systemem AI.
Stan na 2 października 2026
Wkrótce
Rozporządzenie AML: Jednolity unijny zbiór przepisów obowiązuje
Ujednolicona należyta staranność wobec klientów, beneficjenci rzeczywiści i przechowywanie dokumentacji.
Wkrótce
AI Act: Obowiązki dla systemów wysokiego ryzyka
W tym ocena zdolności kredytowej oraz wycena ubezpieczeń na życie i zdrowotnych, po zmianach z 2026 r.
Wkrótce
AMLA: Początek bezpośredniego nadzoru nad wybranymi instytucjami
Przepisy i normy w skrócie
Akty, które najczęściej kształtują projekty AI i platform w instytucjach finansowych, oraz to, co każdy z nich oznacza dla wdrożenia.
Ten przegląd służy rozmowom planistycznym. Nie stanowi porady prawnej ani regulacyjnej. Daty sprawdzono 2 października 2026 r.
- DORAZakresCała UE
Rozporządzenie w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) obowiązuje od 17 stycznia 2025 r. banki, zakłady ubezpieczeń, firmy inwestycyjne, instytucje płatnicze i inne podmioty finansowe. Obejmuje zarządzanie ryzykiem ICT, zgłaszanie incydentów, testowanie odporności i zarządzanie ryzykiem związanym z zewnętrznymi dostawcami usług ICT, w tym najważniejsze postanowienia umowne (art. 30). W Polsce właściwym organem w rozumieniu art. 46 DORA jest Komisja Nadzoru Finansowego (KNF).
Co to oznacza dla Państwa projektuJako dostawca ICT wspieramy Państwa obowiązki: postanowienia umowne, powiadamianie o incydentach, plany wyjścia, udział w testach i informacje potrzebne do rejestru.
ŹródłoRozporządzenie (UE) 2022/2554, EUR-Lex (otwiera stronę zewnętrzną)
- AI ActZakresCała UE
AI wykorzystywana do oceny zdolności kredytowej osób fizycznych lub do ustalania cen ubezpieczeń na życie i zdrowotnych na podstawie ryzyka to systemy wysokiego ryzyka. Dostawcy i podmioty stosujące potrzebują zarządzania ryzykiem, zarządzania danymi, rejestrowania zdarzeń, nadzoru ze strony człowieka i dokumentacji. Po zmianach z 2026 r. obowiązki te mają zastosowanie od 2 grudnia 2027 r.
Co to oznacza dla Państwa projektuKlasyfikujemy każde zastosowanie na wczesnym etapie, wbudowujemy nadzór człowieka w proces i przygotowujemy dokumentację, która pasuje do Państwa ram zarządzania ryzykiem modeli.
ŹródłoRozporządzenie (UE) 2024/1689, EUR-Lex (otwiera stronę zewnętrzną)
- Unijny pakiet AML (AMLR i AMLA)ZakresCała UE
Rozporządzenie w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu (AMLR) od 10 lipca 2027 r. zastępuje krajowe przepisy o należytej staranności wobec klientów jednym unijnym zbiorem zasad. Nowy urząd AMLA koordynuje krajowe organy nadzoru i będzie bezpośrednio nadzorował wybrane instytucje wysokiego ryzyka.
Co to oznacza dla Państwa projektuProcesy onboardingu i przeglądów wymagają spójnego postępowania z dowodami i śladów audytowych. Projektujemy przyjmowanie dokumentów i obsługę spraw z myślą o tym standardzie.
ŹródłoRozporządzenie (UE) 2024/1624, EUR-Lex (otwiera stronę zewnętrzną)
- RODO i zautomatyzowane decyzjeZakresCała UE
Art. 22 RODO daje osobom prawo do tego, by nie podlegać decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, które istotnie na nie wpływają. Wyjątki wymagają zabezpieczeń, takich jak prawo do uzyskania interwencji ludzkiej i prawo do zakwestionowania decyzji. W Polsce nadzór sprawuje Prezes UODO.
Co to oznacza dla Państwa projektuProjektujemy procesy, w których człowiek może przejrzeć, wyjaśnić i zmienić zautomatyzowany wynik, a system zapisuje, że to zrobił.
ŹródłoRozporządzenie (UE) 2016/679, EUR-Lex (otwiera stronę zewnętrzną)
- MiFID II i IDD: dokumentacja doradztwaZakresCała UE
Przepisy o dystrybucji produktów inwestycyjnych i ubezpieczeniowych wymagają oceny odpowiedniości lub analizy wymagań i potrzeb klienta oraz dokumentowania udzielonych porad. AI, która wspiera doradców, staje się częścią tej dokumentacji.
Co to oznacza dla Państwa projektuAsystenci zapisują, co pokazali i z jakich źródeł skorzystali, dzięki czemu dokumentacja doradztwa pozostaje kompletna i możliwa do sprawdzenia.
ŹródłoDyrektywa 2014/65/UE, EUR-Lex (otwiera stronę zewnętrzną)
- PSD2 i kolejne przepisy o usługach płatniczychZakresCała UE
PSD2 reguluje dziś usługi płatnicze i dostęp w ramach otwartej bankowości. Jej następcy, PSD3 i rozporządzenie w sprawie usług płatniczych, zostały wstępnie uzgodnione w 2025 r. i po okresie przejściowym zaostrzą wymagania dotyczące zapobiegania oszustwom i wydajności API.
Co to oznacza dla Państwa projektuPlatformy API budowane dziś powinny uwzględniać ostrzejsze wymagania dotyczące wydajności, monitorowania i wymiany danych o oszustwach.
ŹródłoDyrektywa (UE) 2015/2366, EUR-Lex (otwiera stronę zewnętrzną)
Przykładowe zastosowania
Przykład poglądowyKontrola dokumentów przy onboardingu
Dokumenty tożsamości i struktury własności są wyodrębniane i porównywane; o każdym oznaczonym przypadku decyduje analityk, na przykład w banku spółdzielczym.
Asystent wiedzy dla doradców
Odpowiedzi o produktach, politykach i procedurach ze źródłami, w granicach uprawnień doradcy.
Przyjmowanie i kierowanie reklamacji
Reklamacje klasyfikowane według tematu i pilności, przekazywane dalej z projektem podsumowania, z kontrolą terminów wynikających z przepisów o rozpatrywaniu reklamacji.
Zgłoszenia szkód ubezpieczeniowych
Formularze zgłoszeń, faktury i raporty są odczytywane i dopasowywane do polisy; wypłatę zatwierdza likwidator szkód.
Funkcje systemu centralnego za API
Transakcje z komputera mainframe udostępnione jako udokumentowane API i zdarzenia, dzięki czemu nowe kanały przestają zależeć od plików wsadowych.
Platformy w usługach finansowych
Salesforce
Summit PartnerŚrodowiska pracy doradców, ścieżki onboardingu i obsługa klienta, połączone z systemami centralnymi i przetwarzaniem dokumentów.
SAP
Gold PartnerFinanse i sprawozdawczość grupowa, z danymi z systemu SAP udostępnianymi na potrzeby raportowania ryzyka i sprawozdawczości regulacyjnej, z udokumentowanym pochodzeniem danych.
Poziomy partnerstwa to poziomy posiadane przez FromNine. Nazwy produktów są znakami towarowymi ich właścicieli.
Polska
Projektowane z myślą o nadzorze KNF i UE
Komisja Nadzoru Finansowego (KNF) sprawuje nadzór nad rynkiem finansowym, w tym nad bankami, zakładami ubezpieczeń i rynkiem kapitałowym, i jest w Polsce właściwym organem w rozumieniu art. 46 rozporządzenia DORA. Ustawa z dnia 25 czerwca 2025 r. (Dz.U. 2025 poz. 1069) wyposażyła KNF w środki nadzorcze potrzebne do stosowania DORA.
DORA, AI Act i unijny pakiet AML obowiązują w całej UE, a od 2028 r. część instytucji będzie bezpośrednio nadzorowana przez AMLA. Oczekiwania nadzorcze, formaty sprawozdań i praktyka outsourcingu wciąż różnią się jednak między krajami, także dla banków spółdzielczych i zakładów ubezpieczeń.
Dlatego organizujemy wdrożenie tak, aby dowody powstawały raz i można je było pokazać każdemu nadzorcy: dokumentację architektury i modeli, logi, wyniki testów i plany wyjścia, aktualizowane wraz ze zmianami systemu.
- DORARozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) (otwiera stronę zewnętrzną)
- akt w sprawie sztucznej inteligencji (AI Act)Rozporządzenie (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji (akt w sprawie sztucznej inteligencji) (otwiera stronę zewnętrzną)
- rozporządzenie AML (AMLR)Rozporządzenie (UE) 2024/1624 w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu (jednolity zbiór przepisów), z urzędem AMLA (otwiera stronę zewnętrzną)
- RODORozporządzenie (UE) 2016/679 (ogólne rozporządzenie o ochronie danych, RODO) (otwiera stronę zewnętrzną)
- ustawa o KSCUstawa o krajowym systemie cyberbezpieczeństwa (KSC), znowelizowana w celu wdrożenia dyrektywy NIS2 (otwiera stronę zewnętrzną)
- ustawa o systemach sztucznej inteligencjiUstawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, z Komisją Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako organem nadzoru rynku (otwiera stronę zewnętrzną)
Najczęściej zadawane pytania
Jak FromNine jako dostawca wspiera nasze obowiązki wynikające z DORA?
Uzgadniamy postanowienia umowne wymagane przez DORA, zgłaszamy incydenty uzgodnionym kanałem, dokumentujemy plany wyjścia, uczestniczymy w testach odporności i dostarczamy informacje potrzebne do Państwa rejestru zewnętrznych dostawców ICT.
Czy AI można stosować w decyzjach kredytowych lub underwritingu?
Tak, jako zastosowanie wysokiego ryzyka w rozumieniu AI Act: z zarządzaniem ryzykiem, zarządzaniem danymi, rejestrowaniem zdarzeń, nadzorem człowieka i dokumentacją. Projektujemy tak, by decyzję podejmował człowiek, który potrafi ją wyjaśnić, a zabezpieczenia RODO dotyczące zautomatyzowanych decyzji były zachowane.
Gdzie działają modele i gdzie są przetwarzane dane?
W środowisku, na które pozwala Państwa apetyt na ryzyko: we własnym środowisku chmurowym, w regionie UE chmury publicznej lub lokalnie w przypadku wrażliwych obciążeń. Wybory dotyczące modeli i hostingu dokumentujemy wraz z opcjami wyjścia na potrzeby rejestru dostawców.
Czy musimy wymienić system centralny?
Nie. Domyślnie integrujemy i modernizujemy etapami: najpierw API i zdarzenia wokół systemu centralnego, a funkcje przenosimy tylko tam, gdzie to się opłaca, z uzgadnianiem danych do czasu wyłączenia starej ścieżki.
Jak oceniana jest generatywna AI w procesach objętych regulacjami?
Na podstawie zestawów testowych i kryteriów jakości uzgodnionych z Państwa zespołami ryzyka i walidacji przed wdrożeniem, monitorowania po wdrożeniu oraz kroków przeglądu dla niepewnych wyników. Proces zakłada, że część wyników będzie błędna, i kieruje je do ludzi.
Porozmawiajmy o Państwa projekcie w sektorze finansowym
Planują Państwo AI w onboardingu, doradztwie lub likwidacji szkód albo przygotowują systemy do testów DORA? Warto porozmawiać z inżynierami, którzy projektują zarówno dla nadzorców, jak i dla użytkowników.