Każdy wymóg regulacyjny spełnione dzięki Państwa zapisom.
Każdy wymóg, jaki organ nadzoru stosuje wobec sztucznej inteligencji w ubezpieczeniach, jest powiązany z opieczętowanymi zapisami, które potwierdzają jego spełnienie. Audytor może prześledzić ścieżkę od konkretnego artykułu do decyzji, dowodów, na których się opierała, oraz osoby, która ją podpisała.
Niektóre przepisy już obowiązują. Kolejne mają wyznaczone daty wejścia w życie.
Rozporządzenie DORA już obowiązuje ubezpieczycieli. Wkrótce wejdą w życie znowelizowane przepisy Wypłacalność II (Solvency II) oraz przepisy Aktu w sprawie sztucznej inteligencji (AI Act) dotyczące systemów wysokiego ryzyka. Dowody wymagane przez każdy z tych aktów są takie same: kto podjął decyzję, na jakiej podstawie i według jakiej reguły.
do dnia 2 grudnia 2027 r., kiedy przepisy aktu w sprawie sztucznej inteligencji (EU AI Act) dotyczące systemów AI wysokiego ryzyka zaczną obowiązywać w ocenie ryzyka i taryfikacji w ubezpieczeniach na życie i zdrowotnych.
Rozporządzenie DORA już dziś obowiązuje ubezpieczycieli, a Wypłacalność II (Solvency II) oraz dyrektywa IDD wymagają tego samego: dowodów. HONESTAS gromadzi te dowody od pierwszej szkody.
Wybierz dowolną datę na osi. Zegar odlicza czas do wejścia przepisu w życie, a następnie liczy dni jego obowiązywania.
Daty dotyczące AI Act zgodnie ze zmianami wprowadzonymi rozporządzeniem (EU) 2026/1744 (Digital Omnibus), opublikowanym w Dzienniku Urzędowym w dniu 24 lipca 2026 r. Przegląd dyrektywy Wypłacalność II: dyrektywa (EU) 2025/2, stosowana od 30 stycznia 2027 r. Materiał nie stanowi porady prawnej.
Czego wymaga każdy przepis i jaki zapis stanowi na niego odpowiedź.
Jeden opieczętowany zapis może potwierdzać spełnienie kilku wymogów jednocześnie. Poniżej przedstawiono każdy obowiązek prostym językiem wraz z informacją, jakie dane przechowuje w tym celu HONESTAS.
Akt w sprawie sztucznej inteligencji (EU AI Act) · Rozporządzenie (EU) 2024/1689
- Zarządzanie ryzykiemArtykuł 9System zarządzania ryzykiem dla każdego systemu AI wysokiego ryzyka, prowadzony i poddawany przeglądowi przez cały okres użytkowania systemu.Spełnienie wymoguPrzebiegi walidacyjne, ustalenia modelu weryfikującego (challenger) oraz alerty o dryfie modelu – każdy przechowywany wraz z wersją modelu, której dotyczył test.
- Rejestrowanie zdarzeńArtykuł 12Systemy AI wysokiego ryzyka muszą automatycznie rejestrować zdarzenia przez cały cykl swojego życia, tak aby można było prześledzić ich działanie.Spełnienie wymoguOpieczętowany zapis decyzji: dane wejściowe, wersje reguł i modeli, każdy argument, podpis oraz zewnętrzny znacznik czasu.
- Przejrzystość dla podmiotów stosującychArtykuł 13Osoby korzystające z systemu muszą być w stanie zrozumieć generowane przez niego wyniki i właściwie z nich korzystać.Spełnienie wymoguKażda odpowiedź AI zawiera listę danych, na podstawie których została wygenerowana, oraz danych pominiętych. Każdy przycisk AI pokazuje używany model i jego wersję.
- Nadzór człowiekaArtykuł 14Ludzie muszą mieć możliwość nadzorowania systemu, rozumienia jego ograniczeń, podjęcia decyzji o niewykorzystaniu jego wyniku oraz zatrzymania go.Spełnienie wymoguWskazany z imienia i nazwiska przewodniczący w każdym pokoju decyzyjnym, rola weryfikatora (challenger), drugi model mogący wstrzymać decyzję oraz osoba składająca podpis.
- Obowiązki podmiotów stosującychArtykuł 26Powierzenie nadzoru osobom posiadającym odpowiednie kompetencje, przeszkolenie i uprawnienia, monitorowanie systemu, przechowywanie rejestrów (logów) przez co najmniej sześć miesięcy oraz informowanie osób, których dotyczą decyzje.Spełnienie wymoguOsoby podpisujące, których pełnomocnictwa są weryfikowane przed złożeniem podpisu, rejestry przechowywane w repozytorium przez ustalony przez Państwa okres oraz pisma informujące o wsparciu ze strony AI.
- Taryfikacja w ubezpieczeniach na życie i zdrowotnychZałącznik III pkt 5 lit. c)Sztuczna inteligencja wykorzystywana do oceny ryzyka i ustalania składek dla osób fizycznych w ubezpieczeniach na życie i ubezpieczeniach zdrowotnych stanowi system wysokiego ryzyka. Przepisy w tym zakresie stosuje się od 2 grudnia 2027 r.Spełnienie wymoguKażda decyzja underwritingowa i taryfikacyjna w ubezpieczeniach na życie i zdrowotnych jest kierowana do odpowiedniego pokoju decyzyjnego i opieczętowywana, począwszy od pierwszej oferty.
Nadzór ubezpieczeniowy
- Wypłacalność II (Solvency II) · system zarządzaniaDyrektywa 2009/138/EC · Artykuły 41–49Jasny podział obowiązków, zarządzanie ryzykiem, kontrola wewnętrzna i pisemne zasady (polityki), przy zachowaniu kontroli ubezpieczyciela nad funkcjami powierzonymi w ramach outsourcingu.Spełnienie wymoguLimity pełnomocnictw przechowywane jako wersjonowane dokumenty, zasada dwóch par oczu przy każdej ich zmianie oraz rejestr osób posiadających określone uprawnienia w danym dniu.
- Wypłacalność II (Solvency II) · walidacja modeliDyrektywa 2009/138/EC · Artykuł 124Regularny cykl walidacji modeli wewnętrznych, testowanie wyników oraz kluczowych założeń.Spełnienie wymoguPrzebiegi walidacyjne, które można dokładnie odtworzyć, opieczętowane wraz z wykorzystanymi danymi, kodem i wersjami modeli.
- Dyrektywa w sprawie dystrybucji ubezpieczeń (IDD)Dyrektywa (EU) 2016/97 · Artykuły 17, 20, 25Postępowanie uczciwie, rzetelnie i zgodnie z najlepiej pojętym interesem klientów, spełnianie ich wymagań i potrzeb oraz zarządzanie każdym produktem z myślą o jego rynku docelowym.Spełnienie wymoguDo każdej oferty przypisane są dokumenty, które klient widział przed opłaceniem składki. Dla każdego produktu przechowywana jest każda zatwierdzona wersja ogólnych warunków ubezpieczenia (OWU).
- Opinia EIOPA dotycząca AINadzór nad AI i zarządzanie ryzykiem · 6 sierpnia 2025 r.Sposób stosowania wymogów Wypłacalność II oraz IDD do systemów AI, które nie są systemami wysokiego ryzyka: zarządzanie (governance), dane, prowadzenie rejestrów, sprawiedliwość, wyjaśnialność, nadzór człowieka oraz cyberbezpieczeństwo.Spełnienie wymoguTen sam opieczętowany zapis dla każdej decyzji wspieranej przez AI, niezależnie od tego, czy dotyczy systemu wysokiego ryzyka.
- DORARozporządzenie (EU) 2022/2554 · od 17 stycznia 2025 r.Zarządzanie ryzykiem ICT, zgłaszanie poważnych incydentów, prowadzenie rejestru dostawców usług ICT oraz posiadanie planów wyjścia dla dostawców wspierających krytyczne lub istotne funkcje.Spełnienie wymoguNasze dane do Państwa rejestru, osie czasu incydentów od pierwszego alertu oraz pełny eksport danych w otwartym formacie.
- Lloyd'sZasada 4, zarządzanie szkodami · walidacja MS14Szybka i sprawiedliwa likwidacja szkód z zachowaniem nadzoru nad szkodami przekazanymi w ramach delegowanych uprawnień (delegated authority) oraz niezależna walidacja modeli wewnętrznych przeprowadzana co najmniej raz w roku.Spełnienie wymoguOpieczętowane decyzje szkodowe do wglądu dla agencji zarządzającej (managing agent), decyzje coverholderów i TPA dostępne dla dawcy pojemności (capacity provider) oraz możliwe do odtworzenia przebiegi walidacyjne.
Klienci i ich dane
- RODO (GDPR) · zautomatyzowane podejmowanie decyzjiRozporządzenie (UE) 2016/679 · Art. 22 i art. 15 ust. 1 lit. h)Każda osoba ma prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która istotnie na nią wpływa, oraz może żądać istotnych informacji o zasadach jej podejmowania. W sprawie C-203/22 z 27 lutego 2025 r. Trybunał Sprawiedliwości orzekł, że oznacza to obowiązek wyjaśnienia faktycznie zastosowanej procedury i zasad.Spełnienie wymoguŻadna odmowa nie jest wydawana wyłącznie przez model. Podpisuje ją wskazana z imienia i nazwiska osoba, a rejestr prostym językiem wyjaśnia, jakie dane wykorzystano i w jaki sposób.
- Central Bank of IrelandConsumer Protection Code · S.I. 80 i 81 z 2025 r.Od 24 marca 2026 r.: działanie w najlepszym interesie klienta, przekazywanie jasnych informacji prostym językiem, zapewnienie łatwych w obsłudze kanałów cyfrowych oraz wsparcie dla klientów w trudnej sytuacji.Spełnienie wymoguKażde pismo do klienta sprawdzane pod kątem prostego języka i przystępności przed wysyłką oraz zapis tego, co przekazano każdemu klientowi.
- FCA Consumer DutyZasada 12 · PRIN 2A · od 31 lipca 2023 r.Zapewnianie dobrych rezultatów dla klientów indywidualnych: produkty i usługi, cena i wartość, zrozumienie przez konsumenta oraz wsparcie konsumenta.Spełnienie wymoguZapieczętowane uzasadnienie każdej decyzji taryfowej i szkodowej, dokładna treść, którą zobaczył klient, oraz wsparcie, jakie otrzymał podczas każdej rozmowy.
Certyfikacja pozostaje sprawą między Państwem a audytorem. HONESTAS przechowuje dowody – nie certyfikuje. To nie jest porada prawna.
Organ nadzoru pyta o jedną decyzję. Odpowiadają Państwo w czterech krokach.
Przepis, decyzja i dowody są łączone w momencie podejmowania decyzji, a nie składane w całość dopiero wtedy, gdy ktoś o nie zapyta.
Przepis
Każdy przepis, przed którym Państwo odpowiadają, jest przechowywany jako wersjonowana pozycja z datą obowiązywania oraz procedurami wdrażającymi go w praktyce.
Decyzja
Każda zapieczętowana decyzja wskazuje przepisy, OWU, tabele taryfowe i pełnomocnictwa, na podstawie których została podjęta, w wersji obowiązującej w danym momencie.
Materiał dowodowy
Zapis zawiera wszystkie dane wejściowe, ich źródło i wiek oraz jasno wskazuje, czego brakowało w momencie podejmowania decyzji.
Dostęp tylko do odczytu
Państwa audytor lub organ nadzoru otrzymuje dostęp wyłącznie do odczytu tych konkretnych zapisów albo Paszport Decyzji, który można zweryfikować bez posiadania konta.
O przepisach.
Czy HONESTAS zapewnia nam zgodność z przepisami?
Żaden produkt tego nie potrafi. HONESTAS gromadzi dowody wymagane przez poszczególne przepisy w trakcie podejmowania decyzji, aby Państwa dział compliance, audytor i organ nadzoru mogli wyrobić sobie własne zdanie. Certyfikacja pozostaje kwestią między Państwem a audytorem.
Które z naszych zastosowań są wysokiego ryzyka w rozumieniu AI Act?
Załącznik III pkt 5 lit. c) obejmuje systemy AI wykorzystywane do oceny ryzyka i taryfikacji w odniesieniu do osób fizycznych w ubezpieczeniach na życie i ubezpieczeniach zdrowotnych. Inne zastosowania, takie jak likwidacja szkód komunikacyjnych czy underwriting korporacyjny, podlegają opinii EIOPA oraz dotychczasowym obowiązkom wynikającym z dyrektyw Wypłacalność II i IDD. HONESTAS prowadzi taki sam rejestr dla obu tych obszarów, więc zmiana klasyfikacji nie wpływa na gromadzone dowody.
Co zmienił pakiet Digital Omnibus?
Rozporządzenie (UE) 2026/1744 przesunęło termin stosowania przepisów AI Act dotyczących systemów wysokiego ryzyka z Załącznika III z 2 sierpnia 2026 r. na 2 grudnia 2027 r. Nie zniosło jednak samych obowiązków dla tych zastosowań. Rejestry prowadzone od dziś obejmą już okres, o który zapyta organ nadzoru.
Czy przepisy brytyjskie i zasady Lloyd's również mają zastosowanie?
Jeśli prowadzą Państwo działalność w Wielkiej Brytanii, wobec klientów indywidualnych stosuje się wymogi FCA Consumer Duty, natomiast Lloyd's określa własne zasady dla agencji zarządzających (managing agents). HONESTAS prowadzi jeden rejestr i przyporządkowuje go do każdego reżimu regulacyjnego, któremu Państwo podlegają.
Jak długo przechowywane są zapisy?
Tak długo, jak Państwo ustalą dla danego rodzaju zapisu. AI Act wymaga od podmiotów stosujących przechowywania rejestrów zdarzeń przez co najmniej sześć miesięcy; dokumentacja szkodowa i underwritingowa jest zazwyczaj przechowywana znacznie dłużej. Blokada prawna (legal hold) wstrzymuje usunięcie danych do momentu jej zwolnienia, przy czym obie te czynności są odnotowywane w rejestrze.
Czy ta strona stanowi poradę prawną?
Nie. Jest to nasza przystępna interpretacja przepisów wraz z odesłaniami, które mogą zweryfikować Państwa doradcy prawni.
Dowiedz się więcej
Proszę wskazać przepis, który najbardziej Państwa niepokoi.
Proszę nam powiedzieć, o który artykuł ostatnio pytał Państwa organ nadzoru. Pokażemy zapisy, które na niego odpowiadają.