Urząd Komisji Nadzoru Finansowego opublikował 22 lipca 2026 r. dokument pt.„Rekomendacje dla podmiotów rynku finansowego dotyczące wpływu modeli Frontier AI na cyberbezpieczeństwo”. Dokument został skierowany do podmiotów rynku finansowego i dotyczy wpływu najbardziej zaawansowanych modeli sztucznej inteligencji, określanych jako Frontier AI, na cyberbezpieczeństwo oraz odporność operacyjną sektora finansowego.
Przez Frontier AI należy rozumieć najbardziej zaawansowane modele sztucznej inteligencji, w szczególności modele generatywne i językowe o wysokich zdolnościach w zakresie programowania, korzystania z narzędzi, analizy kodu, pracy agentowej oraz realizacji wieloetapowych zadań technicznych. Ich znaczenie w kontekście cyberbezpieczeństwa nie polega wyłącznie na tworzeniu nowych rodzajów zagrożeń, lecz przede wszystkim na zwiększeniu skali, tempa i efektywności działań, które dotychczas wymagały istotnego nakładu pracy człowieka. W praktyce oznacza to, że Frontier AI może wspierać zarówno działania defensywne, jak i ofensywne: od szybszej identyfikacji podatności, analizy poprawek i tworzenia proof-of-concept, po automatyzację rekonesansu, generowanie przekonujących treści phishingowych lub wspieranie kolejnych etapów ataku.
Rekomendacje nie mają charakteru aktu prawnego i nie tworzą samodzielnego, nowego reżimu obowiązków. Ich znaczenie praktyczne jest jednak istotne. UKNF wskazuje w nich, jak podmioty rynku finansowego powinny dostosowywać istniejące procesy zarządzania ryzykiem ICT do zmieniającego się krajobrazu zagrożeń. Dokument należy więc traktować jako ważny sygnał nadzorczy, pokazujący, jakie obszary mogą podlegać szczególnej weryfikacji w ramach bieżącego nadzoru oraz czynności kontrolnych. Jednocześnie publikacja wpisuje się w szerszą, aktywną działalność edukacyjną i analityczną CSIRT KNF, w tym wnioski prezentowane w opracowaniu dotyczącym krajobrazu cyberzagrożeń w polskim sektorze finansowym. Celem tego rodzaju materiałów nie jest ustanawianie nowych obowiązków regulacyjnych, lecz zwiększanie świadomości rynku, wspieranie instytucji w identyfikacji aktualnych scenariuszy zagrożeń oraz wzmacnianie praktycznego przygotowania do zarządzania ryzykiem ICT.
Frontier AI jako czynnik zmiany ryzyka i praktyki nadzorczej
UKNF wskazuje, że rozwój modeli Frontier AI może istotnie zmienić dynamikę cyberzagrożeń, przede wszystkim przez przyspieszenie identyfikacji podatności, automatyzację działań ofensywnych oraz skrócenie czasu między wykryciem luki a przeprowadzeniem ataku. Dla instytucji finansowych oznacza to nie tyle pojawienie się całkowicie nowych kategorii ryzyka, ile wzrost skali, szybkości i intensywności materializacji ryzyk już znanych. Z tego względu kluczowe staje się ponowne przejrzenie procesów zarządzania ryzykiem ICT, w tym zarządzania podatnościami, zmianą, dostawcami ICT oraz odpornością operacyjną, a także zapewnienie dowodów ich realnej skuteczności. Rekomendacje sygnalizują również, że cyberbezpieczeństwo powinno być traktowane jako ryzyko biznesowe wymagające zaangażowania zarządu, odpowiednich zasobów i stałego nadzoru nad profilem ryzyka organizacji.
Przełożenie na DORA, AI Act i Prawo bankowe
Rekomendacje UKNF należy odczytywać jako wskazanie sposobu stosowania istniejących wymogów regulacyjnych do nowych ryzyk wynikających z rozwoju Frontier AI, przede wszystkim na gruncie DORA, AI Act oraz w przypadku banków Prawa bankowego.
Z perspektywy DORA Frontier AI powinno zostać włączone do funkcjonujących ram zarządzania ryzykiem ICT, testowania odporności cyfrowej, obsługi incydentów oraz nadzoru nad dostawcami ICT, a nie traktowane jako odrębny temat regulacyjny. Instytucje finansowe powinny aktualizować analizy ryzyka o scenariusze wykorzystania AI przez cyberprzestępców, dostosowywać środki ochrony i monitorowania do nowych technik ataków, uwzględniać takie scenariusze w testach odporności oraz wykorzystywać wnioski z incydentów do doskonalenia zabezpieczeń.
Równolegle AI Act wymaga, aby systemy AI były identyfikowane, klasyfikowane i monitorowane pod kątem ryzyka, cyberbezpieczeństwa, dokumentacji, nadzoru człowieka oraz kompetencji osób zaangażowanych w ich stosowanie. W praktyce oznacza to konieczność spójnego połączenia zarządzania ryzykiem AI z procesami ICT, w szczególności w obszarze dostawców, raportowania incydentów, dokumentacji zgodności i testowania odporności.
Dla banków dodatkowe znaczenie mają wymogi Prawa bankowego dotyczące ostrożnego i stabilnego zarządzania, skuteczności kontroli wewnętrznej, ciągłości działania, ochrony tajemnicy prawnie chronionej oraz powierzania czynności podmiotom zewnętrznym. Relacje z dostawcami ICT lub rozwiązań opartych na AI powinny więc podlegać pogłębionej ocenie, zwłaszcza gdy wspierają funkcje krytyczne lub istotne, w tym pod kątem odporności technologicznej, reagowania na podatności, ochrony danych, dostępu do informacji, audytu, monitoringu, raportowania oraz planów wyjścia.
Co powinny zrobić podmioty rynku finansowego?
W ocenie UKNF skutkiem rekomendacji powinno być przełożenie ryzyk związanych z Frontier AI na konkretne działania operacyjne – zarówno krótkoterminowe, ukierunkowane na szybkie wzmocnienie odporności, jak i długoterminowe, obejmujące trwałe zmiany strukturalne w zarządzaniu cyberbezpieczeństwem.
W krótkim terminie szczególną uwagę należy skoncentrować na priorytetowych obszarach wskazanych przez UKNF, tj. na działaniach, które mogą bezpośrednio ograniczać ryzyko szybszej materializacji cyberzagrożeń wspieranych przez Frontier AI:
Przyspieszeniu identyfikacji i obsługi podatności oraz zarządzania aktualizacjami zabezpieczeń w skali masowej, tak aby procesy patch management i vulnerability management odpowiadały na skracający się czas między wykryciem luki a jej potencjalnym wykorzystaniem.
Usprawnieniu monitorowania, wykrywania oraz zdolności obronnych przy założeniu, że DORA wymaga nie tylko posiadania strategii, polityk, instrukcji i metodyk, lecz także dowodów ich realnego działania, takich jak testy, w tym testy warunków skrajnych odporności cybernetycznej, ćwiczenia BCP oraz rejestry incydentów.
Weryfikacji, czy zarządzanie ryzykiem stron trzecich jest adekwatne do rzeczywistości uwzględniającej rozwój modeli Frontier AI, w szczególności biorąc pod uwagę rolę dostawców usług ICT w krytycznych łańcuchach dostaw.
Zwiększeniu poziomu ochrony zasobów ICT dostępnych z sieci publicznych, w szczególności rozwiązań zabezpieczających infrastrukturę na styku z Internetem, technologii perymetrycznych, oprogramowania dostarczanego przez podmioty trzecie oraz wykorzystywanych komponentów open source.
W dłuższej perspektywie podmioty rynku finansowego powinny wdrażać opisywane przez UKNF środki strukturalne, tj. trwale uwzględniać ryzyka związane z Frontier AI w systemie zarządzania ryzykiem ICT, programach testowania odporności cyfrowej, procesach zarządzania dostawcami, modelu raportowania do organów zarządzających oraz działaniach szkoleniowych i świadomościowych. Istotne jest również utrzymywanie stałej komunikacji z CSIRT KNF i aktywne korzystanie z jego ostrzeżeń, analiz oraz materiałów edukacyjnych. Ten element należy ocenić pozytywnie – zachęcanie rynku do bieżącej wymiany informacji z CSIRT KNF wzmacnia praktyczny wymiar rekomendacji i może sprzyjać szybszemu reagowaniu sektora finansowego na zmieniający się krajobraz zagrożeń.
Podsumowanie
Ryzyka związane z Frontier AI powinny zostać włączone do codziennego zarządzania ryzykiem ICT, odpornością operacyjną i relacjami z dostawcami, a nie pozostawać wyłącznie tematem technologicznym lub eksperckim. Dla podmiotów rynku finansowego oznacza to konieczność przełożenia ogólnych obowiązków regulacyjnych na konkretne działania, mierniki skuteczności i dowody nadzoru nad tym, jak organizacja identyfikuje, ocenia i ogranicza nowe scenariusze cyberzagrożeń.
W praktyce można oczekiwać, że zagadnienia te będą coraz częściej pojawiać się w rozmowach nadzorczych, przeglądach odporności cyfrowej, ocenach outsourcingu ICT oraz analizach incydentów i podatności. Instytucje, które będą w stanie wykazać, że uwzględniły wpływ AI w istniejących procesach, będą lepiej przygotowane zarówno na realne zagrożenia operacyjne, jak i na pytania organu nadzoru dotyczące adekwatności ich modelu zarządzania ryzykiem.
Zapisz się na newsletter: Prawo
