AI w pracy pośrednika finansowego: gdzie kończy się pomoc, a zaczyna ryzyko?

Największe ryzyko AI w pracy pośrednika finansowego zaczyna się nie wtedy, gdy model popełnia błąd. Zaczyna się w chwili, gdy dane klienta opuszczają kontrolowany proces — na przykład gdy pracownik wkleja do publicznego asystenta fragment Raportu BIK, informacje o dochodach albo dokument sprawy.

W komunikacie z 10 czerwca 2026 r. Urząd Ochrony Danych Osobowych wskazał, że gdy dane trafiają do narzędzi AI poza wiedzą organizacji, organizacja nie realizuje zasady rozliczalności. UODO łączy też niekontrolowane wprowadzanie danych osobowych, tajemnic i dokumentów z rosnącym ryzykiem naruszenia ochrony danych.

Dla pośrednika finansowego to nie jest abstrakcyjny problem. Jedno polecenie może ujawnić pełny kontekst sytuacji konkretnej osoby: jej zobowiązania, opóźnienia, dochody, dane kontaktowe albo planowany cel finansowania.

Wyobraź sobie prostą sytuację. Doradca chce szybciej przygotować podsumowanie i kopiuje fragment Raportu BIK do ogólnodostępnego narzędzia AI. Odpowiedź pojawia się po chwili. Organizacja powinna jednak umieć wykazać, czy narzędzie było zatwierdzone, kto otrzymał dane, gdzie są przetwarzane, czy mogą zostać użyte dalej i jak można odtworzyć całą operację.

Jeżeli nie potrafi odpowiedzieć na te pytania, traci kontrolę nad procesem jeszcze zanim ktokolwiek sprawdzi, czy wynik AI był merytorycznie poprawny.

Dlatego pierwsze pytanie nie brzmi: „czy AI odpowiada poprawnie?”. Brzmi: „czy wolno było przekazać mu te dane i czy nadal potrafimy się z tego rozliczyć?”.

Dopiero potem można rozróżnić neutralny szkic e-maila bez danych klienta, chatbot, analizę dokumentu oraz system, którego wynik wpływa na rekomendację lub ocenę zdolności kredytowej. To cztery różne zastosowania i cztery różne profile ryzyka.

4 sposoby wykorzystania AI przez pośrednika – gdzie kończy się wygoda, a zaczyna ryzyko?

Ta sama aplikacja może być wykorzystana do kilku zupełnie różnych zadań.

Niski poziom ryzyka nie oznacza braku zasad. Ale nie wolno wrzucać wszystkiego do jednego worka.

Przypadek 1: szkic neutralnej wiadomości

Pośrednik prosi narzędzie o propozycję e-maila z przypomnieniem o spotkaniu. Nie podaje nazwiska, danych finansowych ani szczegółów sprawy.

To zastosowanie zwykle nie ma nic wspólnego z oceną zdolności kredytowej. Nadal warto sprawdzić treść i działać według polityki firmy, ale ciężar ryzyka jest mniejszy.

Przypadek 2: chatbot rozmawia z klientem

Jeżeli klient wchodzi w interakcję z systemem AI i nie jest to oczywiste, zasady przejrzystości mogą wymagać poinformowania go, że rozmawia z AI.

To nie jest ozdobna etykieta. Klient powinien rozumieć, z kim lub z czym prowadzi rozmowę.

Przypadek 3: raport BIK trafia do publicznego asystenta

W tym momencie zmienia się wszystko.

Raport dotyczy konkretnej osoby i zawiera informacje o jej historii finansowej. Firma powinna wiedzieć między innymi:

• jakie dane są przekazywane,
• na jakiej podstawie i w jakim celu,
• kto jest dostawcą oraz gdzie odbywa się przetwarzanie,
• czy dane są używane dalej,
• jak zrealizować prawa osoby, której dane dotyczą,
• jak udokumentować całą operację.

To właśnie w takim przypadku procedura, lista zatwierdzonych narzędzi i możliwość odtworzenia operacji są ważniejsze niż szybkość uzyskania odpowiedzi.

Przypadek 4: AI ocenia zdolność kredytową lub ustala scoring

To już nie jest zwykłe wsparcie biurowe.

AI Act kwalifikuje systemy przeznaczone do oceny zdolności kredytowej osób fizycznych lub ustalania ich scoringu jako systemy wysokiego ryzyka, z wyjątkiem rozwiązań służących wykrywaniu oszustw finansowych.

Obowiązki dla takich samodzielnych systemów z załącznika III zaczną być stosowane od 2 grudnia 2027 r. Termin został przesunięty przez AI Omnibus, ale sama klasyfikacja pokazuje, jak wrażliwy jest ten obszar.

Równolegle już dziś działa RODO. Jego art. 22 chroni osobę przed decyzją opartą wyłącznie na zautomatyzowanym przetwarzaniu, jeżeli wywołuje ona skutki prawne lub podobnie istotnie na nią wpływa — z określonymi wyjątkami i zabezpieczeniami.

Brak oznaczenia AI może obciążyć pośrednika – sprawdź, kiedy odpowiadasz za transparentność

Od 2 sierpnia 2026 r. obowiązują reguły przejrzystości z art. 50 AI Act. Nie wprowadzają one jednego, uniwersalnego napisu dla każdego użycia sztucznej inteligencji.

W zależności od sytuacji obowiązek może spoczywać na dostawcy systemu albo na firmie, która go stosuje.

Przykłady:

• klient powinien wiedzieć, że rozmawia z AI, jeżeli nie jest to oczywiste,
• deepfake powinien zostać ujawniony jako treść sztucznie wygenerowana lub zmieniona,
• tekst wygenerowany przez AI i publikowany w sprawie interesu publicznego może wymagać oznaczenia, jeśli nie przeszedł ludzkiej weryfikacji i nie ma za niego odpowiedzialności redakcyjnej,
• dostawcy części systemów generatywnych mają obowiązki technicznego oznaczania treści.

Wniosek dla pośrednika jest prosty:

najpierw ustal przypadek użycia, potem sposób informowania.

Samo zdanie „korzystamy z AI” jest za mało. Tak samo jak zdanie „to tylko narzędzie”.

Co może stracić pośrednik przez niewłaściwe użycie AI?

Nie każda pomyłka kończy się karą. Ale brak zasad może uruchomić kilka problemów jednocześnie.

1. Skarga klienta i konieczność wyjaśnienia procesu

Firma może zostać poproszona o wykazanie, jakie dane przetwarzała, do czego służył system, kto zatwierdził jego użycie i jaką rolę miał człowiek.

Jeżeli nikt nie potrafi tego odtworzyć, problemem nie jest tylko technologia. Problemem jest brak rozliczalności.

2. Naruszenie zasad ochrony danych

Wysłanie raportu lub danych klienta do niezatwierdzonego narzędzia może naruszać wewnętrzne procedury, umowy, obowiązek minimalizacji albo wymogi bezpieczeństwa. AI Act nie zastępuje RODO — oba reżimy mogą mieć znaczenie równocześnie.

3. Błędna rekomendacja dla klienta

Model może pominąć kontekst, źle odczytać dokument albo wygenerować wiarygodnie brzmiącą odpowiedź bez oparcia w danych.

Jeżeli doradca przekaże ją klientowi bez weryfikacji, odpowiedzialność nie znika dlatego, że treść przygotowała maszyna.

4. Obowiązek zmiany lub wycofania procesu

Firma może być zmuszona zatrzymać narzędzie, zmienić konfigurację, poinformować osoby albo odtworzyć dokumentację. To oznacza koszt operacyjny, przerwę w pracy i utratę zaufania zespołu.

5. Sankcje administracyjne

Za naruszenia obowiązków AI Act innych niż praktyki zakazane, w tym określonych obowiązków przejrzystości, rozporządzenie przewiduje maksymalne pułapy do 15 mln euro albo do 3% całkowitego światowego rocznego obrotu przedsiębiorstwa.

To maksymalny pułap, a nie automatyczna kara za brak pojedynczej etykiety. Organ bierze pod uwagę okoliczności naruszenia, jego skalę, czas trwania, współpracę firmy i proporcjonalność wobec mniejszych przedsiębiorstw.

Polska ustawa o systemach sztucznej inteligencji została ogłoszona 27 lipca 2026 r. Jej przepisy wchodzą w życie etapami: zasadniczo od 11 sierpnia, a istotna część organizacji nadzoru i postępowań od 28 października 2026 r.

Zanim uruchomisz AI – sprawdź, za co możesz odpowiadać – checklista bezpiecznego użycia AI przez pośrednika

1. Nazwij cel. Czy tworzysz tekst, obsługujesz klienta, analizujesz dane czy wpływasz na decyzję?
2. Sprawdź dane. Czy narzędzie naprawdę musi otrzymać dane osobowe? Czy można użyć danych anonimowych albo fikcyjnego przykładu?
3. Ustal rolę firmy. Czy jesteś tylko użytkownikiem gotowego systemu, czy zmieniasz jego przeznaczenie, konfigurację lub oferujesz go dalej?
4. Zweryfikuj dostawcę. Sprawdź warunki przetwarzania, retencję, lokalizację, możliwość dalszego użycia danych i warunki umowne.
5. Oceń wpływ na człowieka. Czy wynik tylko pomaga, czy faktycznie decyduje, klasyfikuje albo przesądza o rekomendacji?
6. Zapewnij kontrolę człowieka. Wyznacz osobę, która potrafi zakwestionować wynik, a nie tylko go zatwierdzić.
7. Ustal sposób informowania. Sprawdź, czy klient powinien wiedzieć o interakcji z AI lub o pochodzeniu treści.
8. Zapisz zasady. Lista dozwolonych narzędzi i danych jest więcej warta niż ogólne polecenie „używaj odpowiedzialnie”.

Raport BIK wymaga szczególnej ostrożności

Nie rekomendujemy używania AI do pracy z raportem. Warto zacząć także od uporządkowania samego procesu pracy z raportem. Pomocne będą instrukcje: jak pobrać prawidłowy raport BIK oraz jak zachować jego oryginalną postać.

Gdzie w tym wszystkim jest ScoreUp?

ScoreUp wspiera analizę raportów BIK i pomaga uporządkować możliwe kolejne kroki.

Najważniejsze w kontekście tego artykułu jest jednak coś innego:

ScoreUp nie wykorzystuje modeli AI, uczenia maszynowego ani generatywnej AI do przetwarzania raportów BIK, oceny danych klientów lub generowania wyników analizy.

Dane są przetwarzane za pomocą deterministycznych reguł biznesowych zaimplementowanych w kodzie aplikacji. To znaczy, że system realizuje zdefiniowaną logikę biznesową, zamiast przekazywać dane klienta do modelu, który generuje ocenę.

W procesie tworzenia oprogramowania mogą być używane narzędzia AI wspierające generowanie kodu. Każda taka zmiana jest jednak przeglądana, testowana i zatwierdzana przez człowieka na tych samych zasadach jak kod napisany ręcznie.

Co równie ważne, te narzędzia nie mają dostępu do danych produkcyjnych, raportów BIK, danych osobowych klientów ani poświadczeń systemowych.

Doradca nie musi dokładać do tego etapu systemu AI tylko dlatego, że rynek lubi dziś słowo „automatyzacja”. Może pracować na narzędziu zaprojektowanym do uporządkowania procesu i nadal zachować własną odpowiedzialność za rozmowę, ocenę sytuacji oraz dalsze kroki.

Jeśli zarządzasz większym zespołem, zobacz też, dlaczego wspólny standard analizy ma znaczenie dla całego regionu. A jeżeli pracujesz z klientem o krótkiej historii kredytowej, przeczytaj, jak kwalifikować taki przypadek bez zgadywania.

Najczęstsze pytania

Czy mogę wkleić raport BIK klienta do publicznego narzędzia AI?

Nie należy tego robić.

Raport BIK zawiera rozbudowany zestaw danych osobowych i finansowych klienta. Przesłanie go do publicznego narzędzia AI może oznaczać przekazanie tych informacji zewnętrznemu dostawcy, nad którego infrastrukturą, retencją danych i dalszym sposobem ich wykorzystania pośrednik nie ma realnej kontroli.

Po przesłaniu dokumentu możesz nie być w stanie potwierdzić:

• gdzie dane zostały zapisane,
• kto uzyskał do nich dostęp,
• czy zostały wykorzystane do dalszego przetwarzania,
• czy powstały ich kopie zapasowe,
• czy zostały trwale usunięte ze wszystkich systemów dostawcy.

Samo usunięcie rozmowy lub pliku z interfejsu narzędzia nie musi oznaczać trwałego usunięcia danych z infrastruktury dostawcy.

Dlatego pośrednik nie powinien przetwarzać w publicznych narzędziach AI żadnych dokumentów klientów zawierających dane osobowe. Dotyczy to w szczególności raportów BIK, umów kredytowych, wyciągów bankowych, dowodów osobistych, zaświadczeń o dochodach i dokumentacji finansowej.

Wygoda nie zastępuje bezpieczeństwa, minimalizacji danych ani odpowiedzialności za ich ochronę.

Czy każdą treść stworzoną z AI trzeba oznaczyć?

Nie. Art. 50 AI Act rozróżnia konkretne przypadki, role i wyjątki. Znaczenie ma między innymi interakcja z AI, rodzaj treści, cel publikacji oraz to, czy materiał przeszedł ludzką weryfikację i podlega odpowiedzialności redakcyjnej.

Czy użycie AI do oceny klienta może oznaczać system wysokiego ryzyka?

Tak – jeżeli AI ocenia zdolność kredytową osoby fizycznej, ustala scoring, klasyfikuje ryzyko lub wspiera decyzję o finansowaniu.

Liczy się rzeczywista funkcja narzędzia i wpływ jego wyniku na klienta, a nie nazwa „asystent” czy „narzędzie pomocnicze”.

Drugim poważnym ryzykiem jest przetwarzanie danych osobowych klienta.

Pośrednik nie powinien przesyłać do publicznych ani niezatwierdzonych narzędzi AI raportów BIK, umów, wyciągów bankowych ani innych dokumentów klienta.

Dotyczy to m.in.:

• imienia, nazwiska, PESEL i danych kontaktowych,

• informacji o zobowiązaniach, dochodach i historii spłat,

• numerów umów i rachunków,

• pełnych raportów BIK lub ich fragmentów.

Samo usunięcie imienia i numeru PESEL może nie wystarczyć. Jeżeli klienta można ponownie zidentyfikować na podstawie pozostałych informacji, dane nadal podlegają RODO.

Przesyłając dokument do zewnętrznego narzędzia AI, pośrednik może utracić kontrolę nad tym:

• gdzie i jak długo dane są przechowywane,

• kto ma do nich dostęp,

• czy powstają kopie,

• czy dane są dalej wykorzystywane,

• czy można je skutecznie i trwale usunąć.

Usunięcie rozmowy lub pliku z interfejsu nie musi oznaczać usunięcia wszystkich kopii z infrastruktury dostawcy.

Najbezpieczniejsza zasada jest prosta: żadnych dokumentów klientów zawierających dane osobowe w ogólnodostępnych narzędziach AI. W szczególności żadnych raportów BIK.

Użycie AI w takim procesie może uruchomić jednocześnie obowiązki wynikające z AI Act i RODO. AI Act nie zastępuje RODO – oba reżimy mogą mieć zastosowanie równocześnie.

Materiał ma charakter informacyjny i nie stanowi porady prawnej. Każde wdrożenie należy oceniać według jego przeznaczenia, konfiguracji, danych i wpływu na osoby.

Źródła

• Komisja Europejska: obowiązki przejrzystości z art. 50 AI Act
• Komisja Europejska: klasyfikacja systemów wysokiego ryzyka i obowiązki podmiotów stosujących
• Rozporządzenie (UE) 2026/1744 — terminy po AI Omnibus
• RODO — art. 22 o zautomatyzowanym podejmowaniu decyzji
• UODO: kontrola nad danymi przy wdrażaniu AI
• RCL: ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji