ScoreUp był gotowy na AI Act, zanim zaczął obowiązywać. Zaczęliśmy od decyzji, czego nie robić
ScoreUp był przygotowany na AI Act, zanim zaczęły obowiązywać jego główne przepisy. Raporty BIK i dane klientów są przetwarzane bez modeli AI — przez deterministyczne reguły biznesowe zapisane w kodzie. Wyjaśniamy też, jak oddzielamy ten…
AI Act zaczął być stosowany szerzej 2 sierpnia 2026 r. Dla wielu firm oznacza to mapowanie narzędzi, ról i obowiązków. ScoreUp był przygotowany wcześniej w jednym bardzo konkretnym zakresie: do przetwarzania raportów BIK, oceny danych klientów i generowania wyników analizy nie wykorzystuje AI, uczenia maszynowego ani generatywnej AI. Dane są przetwarzane przez deterministyczne reguły biznesowe zapisane w kodzie. To ogranicza warstwę ryzyka związaną z regulacją systemów AI, ale nie zastępuje RODO ani oceny całego procesu.
Rynek przez ostatnie lata ścigał się na dwa słowa: „mamy AI”.
My zaczęliśmy od innego pytania.
Czy sztuczna inteligencja jest potrzebna właśnie tam, gdzie pośrednik pracuje na raporcie BIK i danych konkretnej osoby?
W ScoreUp odpowiedź brzmi: nie. Nie wykorzystujemy modeli AI, uczenia maszynowego ani generatywnej AI do analizy danych osobowych.
I dzisiaj ta decyzja ma znaczenie większe niż kolejna funkcja w prezentacji sprzedażowej.
ScoreUp a AI Act: co dokładnie oznacza nasza gotowość?
Nie chodzi o certyfikat. Nie chodzi też o deklarację, że każda czynność wykonywana przez firmę jest poza zakresem AI Act.
Chodzi o konkretny fakt produktowy: ScoreUp nie wykorzystuje modeli sztucznej inteligencji, uczenia maszynowego ani generatywnej AI do przetwarzania raportów BIK, oceny danych klientów lub generowania wyników analizy.
Dane są przetwarzane za pomocą deterministycznych reguł biznesowych zaimplementowanych w kodzie aplikacji. System wykonuje zaprogramowaną logikę. Nie prosi modelu o wygenerowanie oceny konkretnego klienta.
To ważne, ponieważ AI Act reguluje systemy AI i nakłada obowiązki zależne od ich przeznaczenia, roli firmy oraz poziomu ryzyka. Jeżeli dany element procesu nie jest systemem AI, nie powstaje wobec niego ta sama warstwa obowiązków tylko dlatego, że działa cyfrowo.
Cyfrowe narzędzie nie zawsze jest narzędziem AI.
I właśnie to rozróżnienie będzie teraz jednym z najważniejszych pytań podczas audytów, rozmów z dostawcami oraz porządkowania procedur.
Dlaczego analiza danych kredytowych jest obszarem szczególnie wrażliwym?
AI Act nie traktuje wszystkich zastosowań sztucznej inteligencji tak samo.
Systemy przeznaczone do oceny zdolności kredytowej osób fizycznych lub ustalania ich scoringu zostały wskazane w załączniku III jako zastosowania wysokiego ryzyka. Wyjątek dotyczy systemów używanych do wykrywania oszustw finansowych.
To nie znaczy, że każde narzędzie pomagające doradcy przy kredycie automatycznie jest systemem wysokiego ryzyka. Liczy się jego przeznaczenie i rzeczywista funkcja.
Różnica jest zasadnicza:
- narzędzie może pomóc uporządkować raport i kolejne kroki,
- albo może oceniać człowieka, ustalać jego wynik i wpływać na decyzję.
To nie są te same procesy. Nie niosą też tych samych obowiązków.
Reguły dla samodzielnych systemów wysokiego ryzyka z załącznika III zostały przez unijny AI Omnibus przesunięte na 2 grudnia 2027 r. Ten dodatkowy czas nie jest jednak powodem, by temat odłożyć. Jest czasem na dokładne ustalenie, co firma naprawdę wykorzystuje.
Największe ryzyko zaczyna się od zdania: „przecież to tylko pomoc”
Doradca wkleja fragment raportu do ogólnodostępnego asystenta AI.
Prosi o podsumowanie historii klienta.
Dostaje odpowiedź w kilkanaście sekund.
Operacyjnie wygląda to wygodnie. Prawnie pojawia się kilka pytań naraz:
- kto jest administratorem i podmiotem przetwarzającym dane,
- jaka jest podstawa oraz cel przetwarzania,
- czy dane trafiają do modelu lub poza zatwierdzone środowisko,
- czy organizacja potrafi wykazać, co zostało wysłane i dlaczego,
- czy wynik wpływa na ocenę klienta albo rekomendację dalszego działania.
UODO zwraca uwagę właśnie na ten problem: dane, dokumenty i tajemnice trafiają do narzędzi AI bez wiedzy organizacji, a firma traci kontrolę nad celem, zakresem i odpowiedzialnością za przetwarzanie.
To nie jest dyskusja o tym, czy AI jest dobre albo złe.
To dyskusja o tym, czy proces jest świadomy i rozliczalny.
Co daje partnerowi podejście ScoreUp?
ScoreUp wspiera analizę raportów BIK i pomaga uporządkować możliwe kolejne kroki. Nie obiecuje decyzji kredytowej i nie zastępuje oceny banku ani doradcy.
Jednocześnie przetwarzanie raportów BIK, ocena danych klientów i generowanie wyników analizy w ScoreUp nie wykorzystują AI, uczenia maszynowego ani generatywnej AI.
Dla partnera oznacza to ograniczenie jednego z pytań, które musi zadać przy każdym wdrożeniu:
czy powierzam dane klienta systemowi AI, który je analizuje?
W tym zakresie odpowiedź brzmi: nie.
To nie zwalnia z ochrony danych, nadawania dostępów, pracy na prawidłowym pliku ani wdrożenia wewnętrznych zasad. Pomaga jednak nie dokładać technologii AI do procesu, w którym jej obecność nie jest konieczna.
Dlatego warto równolegle pilnować podstaw. Zobacz, dlaczego oryginalnego raportu BIK nie należy otwierać i ponownie zapisywać, oraz jak poprawnie pobrać raport BIK.
A co z AI podczas tworzenia oprogramowania?
Tu potrzebne jest precyzyjne rozróżnienie.
W procesie tworzenia ScoreUp mogą być wykorzystywane narzędzia AI wspierające generowanie kodu. Nie oznacza to jednak, że AI analizuje raporty BIK albo dane klientów.
Każda wygenerowana zmiana kodu:
- jest przeglądana przez człowieka,
- jest testowana,
- musi zostać zatwierdzona na takich samych zasadach jak kod napisany ręcznie.
Narzędzia AI używane w tym procesie nie mają dostępu do danych produkcyjnych, raportów BIK, danych osobowych klientów ani poświadczeń systemowych.
AI może więc wspierać pracę programisty. Nie uczestniczy w przetwarzaniu danych klienta przez ScoreUp.
AI Act nie nakazuje oznaczać wszystkiego, co powstało z pomocą AI
Od 2 sierpnia 2026 r. stosuje się obowiązki przejrzystości z art. 50 AI Act. Ich zakres zależy jednak od sytuacji.
Obowiązek może dotyczyć między innymi:
- poinformowania człowieka, że wchodzi w interakcję z systemem AI, jeżeli nie jest to oczywiste,
- technicznego oznaczania części treści generowanych lub zmienianych przez AI po stronie dostawcy systemu,
- ujawnienia użycia AI przy deepfake’ach,
- oznaczenia tekstu tworzonego przez AI i publikowanego w celu informowania opinii publicznej o sprawach interesu publicznego, jeżeli nie przeszedł ludzkiej weryfikacji i nie ma za niego odpowiedzialności redakcyjnej.
Nie każde wewnętrzne podsumowanie i nie każdy e-mail trzeba więc opatrzyć etykietą „AI”.
Ale chatbot rozmawiający z klientem, automatycznie wygenerowana publikacja albo system wpływający na ocenę osoby wymagają już zupełnie innej analizy.
Gotowość to również umiejętność powiedzenia „nie używamy AI tutaj”
Innowacja nie polega na tym, by dodać sztuczną inteligencję do każdego procesu.
W dojrzałej organizacji ważniejsze są trzy odpowiedzi:
- gdzie AI tworzy realną wartość,
- gdzie zwiększa ryzyko bez proporcjonalnej korzyści,
- gdzie lepszy jest prostszy i jasno zdefiniowany proces.
ScoreUp był gotowy na AI Act wcześniej właśnie w tym praktycznym sensie. Nie czekaliśmy na termin z rozporządzenia, aby zdecydować, że przetwarzanie raportów BIK i danych klientów nie potrzebuje modelu AI.
Potrzebuje dobrego narzędzia, uporządkowanych danych i odpowiedzialnego doradcy.
Jeśli zarządzasz zespołem, przeczytaj także, jak wspólny standard analizy BIK wpływa na pracę całego regionu.
Najczęstsze pytania
Czy ScoreUp jest całkowicie poza AI Act?
Nie składamy tak szerokiej deklaracji. Potwierdzamy konkretny zakres: ScoreUp nie wykorzystuje AI, uczenia maszynowego ani generatywnej AI do przetwarzania raportów BIK, oceny danych klientów lub generowania wyników analizy. To ogranicza ryzyko właściwe dla systemów AI w tym elemencie procesu, ale całą działalność i każde inne narzędzie należy oceniać osobno.
Czy brak AI oznacza brak obowiązków dotyczących danych?
Nie. Nadal obowiązują między innymi RODO, zasada minimalizacji danych, rozliczalność, kontrola dostępów oraz właściwe zabezpieczenie dokumentów. Brak AI usuwa jedną warstwę złożoności, nie wszystkie obowiązki.
Czy pośrednik może używać AI przy obsłudze klienta?
Może, ale powinien wcześniej ustalić cel, rolę firmy, rodzaj danych, klasyfikację systemu, zasady nadzoru człowieka oraz obowiązki informacyjne. Szczególnej ostrożności wymaga analiza danych kredytowych i wpływanie na decyzje dotyczące konkretnej osoby.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Klasyfikację konkretnego wdrożenia należy ocenić na podstawie jego przeznaczenia, konfiguracji i sposobu użycia.