Obecnie krajobraz prawny UE przechodzi gruntowną metamorfozę, której filarami stają się AI ACT (rozporządzenie w sprawie sztucznej inteligencji) oraz dyrektywa NIS2 (wdrożona w Polsce nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa – UKSC). Zmiany te, które w polskim porządku prawnym zaczęły w pełni obowiązywać w kwietniu 2026 roku, nakładają na przedsiębiorstwa bezprecedensowe obowiązki w zakresie zarządzania ryzykiem i odporności cyfrowej. Kluczowym wnioskiem płynącym z analizy obu powyższych aktów jest to, że ich wymogi dotyczą nie tylko systemów AI wysokiego ryzyka, ale obejmują szerokie spektrum technologii i procesów wykorzystywanych przez podmioty kluczowe i ważne.
Powszechny zasięg regulacji:
Podstawowym błędem w interpretacji AI Act jest przekonanie, że regulacja ta dotyczy wyłącznie wąskiej grupy systemów zakwalifikowanych jako systemy wysokiego ryzyka. W rzeczywistości zaś, unijne ramy prawne dążą do objęcia nadzorem niemal całego ekosystemu cyfrowego. Dyrektywa NIS2 stosuje horyzontalne podejście “wszystkich zagrożeń” (tzw. all-hazards approach), co oznacza, że każdy system informatyczny (w tym ten oparty na sztucznej inteligencji), który jest wykorzystywany do świadczenia usług kluczowych lub ważnych, musi spełniać rygorystyczne normy bezpieczeństwa. Jeśli zatem przedsiębiorstwo np. z sektora energetyki, transportu czy ochrony zdrowia, wdraża narzędzia AI do optymalizacji procesów, to niezależnie od tego, czy system ten zostanie uznany za system wysokiego ryzyka w rozumieniu AI Act, to staje się on integralną częścią sieci i systemów informatycznych podlegających pod reżim dyrektywy NIS2. Powyższe oznacza zaś obowiązek wdrożenia adekwatnych i proporcjonalnych środków technicznych, operacyjnych oraz organizacyjnych, takich jak analiza ryzyka, obsługa incydentów czy ciągłość działania.
Sektory kluczowe i ważne:
Nowelizacja UKSC znacząco rozszerzyła katalog podmiotów prowadzących działalność w branżach objętych nowymi wymogami, dzieląc je na 19 sektorów kluczowych i ważnych. Do podmiotów kluczowych, tj. podlegających najbardziej rygorystycznemu nadzorowi, zaliczono m.in. administrację publiczną, sektor kosmiczny oraz dostawców usług chmurowych i centrów danych. Z kolei sektory ważne, obejmują m.in.: produkcję chemikaliów, żywności, wyrobów medycznych oraz gospodarkę odpadami.
Dla podmiotów prowadzących działalność w powyższych branżach, integracja AI Act z NIS2 oznaczać więc będzie konieczność prowadzenia systematycznego szacowania ryzyka, które uwzględniać będzie specyfikę narzędzi AI. Sztuczna inteligencja jest bowiem traktowana przez NIS2 jako innowacyjna technologia, która z jednej strony wspiera wykrywanie ataków, ale z drugiej strony może też generować nowe podatności w łańcuchu dostaw.
Punkt styku – bezpieczeństwo łańcucha dostaw:
Jedną z najistotniejszych kwestii NIS2, jest bezpieczeństwo łańcucha dostaw. Przedsiębiorstwa powinny zatem weryfikować nie tylko własne systemy, ale także standardy bezpieczeństwa dostawców swoich produktów lub usług ICT. W kontekście sztucznej inteligencji oznaczać to będzie zatem, że dostawca modelu AI stanie się krytycznym ogniwem w całej architekturze bezpieczeństwa danego podmiotu.
AI Act oraz powiązany z nim CRA (Cyber Resilience Act), wprowadzają wymogi tzw. “secure by design” oraz obowiązek zarządzania podatnościami w całym cyklu życia danego produktu (obejmując czas od fazy jego projektowania, poprzez produkcję, aż po wycofanie z rynku). Przedsiębiorstwa objęte NIS2, korzystające tudzież wdrażające technologie AI, powinny stosować procedury należytej staranności, obejmujące m.in. prawo do audytu dostawców, czy też weryfikację polityk bezpieczeństwa dostawców. W przeciwnym wypadku bowiem, brak kontroli nad dostawcą oprogramowania AI mógłby zostać uznany za naruszenie obowiązków ustawowych, co otwierałoby zaś prostą drogę do nałożenia dotkliwych sankcji.
Zarząd i jego odpowiedzialność:
Znaczącą zmianą „kulturową” w zakresie korporacyjnym, jest natomiast wymuszona przez NIS2, bezpośrednia i osobista odpowiedzialność kadry zarządzającej. Zgodnie z art. 20 dyrektywy NIS2, zarządy mają obowiązek zatwierdzać środki zarządzania ryzykiem oraz nadzorować ich wdrażanie. Nieznajomość specyfiki działania systemów AI w firmie, nie zwalnia zatem kierownictwa z odpowiedzialności za ewentualne incydenty. Ponad to, nowelizacja UKSC, w zw. z art. 20 ust.2 NIS2, wprowadza też wymóg odbywania obowiązkowych i cyklicznych szkoleń dla kierowników jednostek z zakresu cyberbezpieczeństwa. Celem powyższego ma być budowa świadomości, że bezpieczeństwo systemów informatycznych (w tym również tych opartych na AI), jest strategicznym zadaniem biznesowym – a nie tylko i wyłącznie domeną działów IT.
Sankcje i kary:
Niedopełnienie obowiązków wynikających z NIS2 oraz AI Act, grozi dotkliwymi sankcjami finansowymi, które ukształtowane zostały na wzór tych obowiązujących w RODO. Dla podmiotów kluczowych, kary mogą sięgać nawet 10 mln EUR lub 2% łącznego rocznego światowego obrotu. Natomiast w przypadkach najpoważniejszych naruszeń, zagrażających przykładowo bezpieczeństwu państwa, obronności czy porządku publicznego lub życiu i zdrowiu ludzi, to – zgodnie z treścią art. 73 ust.5 UKSC, przewidziane są kary sięgające naswet do 100 mln zł.
Istotnym elementem nadzoru jest system S46, do którego to podmioty kluczowe i ważne mają obowiązek zarejestrować się do dnia 3 października 2026 r. System ten służy do wieloetapowego zgłaszania incydentów poważnych (24h na wczesne ostrzeżenie, 72h na pełny raport), co przykładowo w razie awarii systemów AI wymagających szybkiej reakcji stanie się kluczowym wyzwaniem operacyjnym.
Reasumując, powiązanie AI Act z dyrektywą NIS2, tworzy spójny reżim prawny, wymuszający na firmach przejście z reaktywnego na proaktywne zarządzanie ryzykiem. Przedsiębiorstwa z sektorów objętych tą regulacją, powinny zrozumieć, że bezpieczeństwo technologii AI jest nierozerwalnie powiązane z ogólną cyberodpornością danej organizacji. Czas pobłażliwości dla opóźnień we wdrażaniu tych standardów minął, a stawką jest nie tylko uniknięcie wielomilionowych kar, ale przede wszystkim zapewnienie ciągłości działania i zaufania w cyfrowym obrocie gospodarczym.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.
Stan prawny na dzień 22 lipca 2026r.
autor / redaktor cyklu:
