18.08.2026
Autorzy:
Praktyki:
Specjalizacje:
Karolina Kulikowska-Gruszecka wyjaśnia, dlaczego AI Act nie powinien być analizowany w oderwaniu od regulacji dotyczących cyberbezpieczeństwa i odporności operacyjnej.
7 lipca 2026 r. Komisja Europejska przedstawiła komunikat „Action Plan on Cybersecurity and Artificial Intelligence”. Dokument nie ustanawia nowych obowiązków po stronie przedsiębiorców, lecz pokazuje kierunek dalszego rozwoju unijnej praktyki regulacyjnej i nadzorczej w obszarze bezpieczeństwa sztucznej inteligencji.
Z planu wynika przede wszystkim, że bezpieczeństwa AI nie należy postrzegać wyłącznie przez pryzmat wymagań przewidzianych w AI Act dla określonych systemów i modeli. Coraz większego znaczenia nabiera równoległe stosowanie regulacji dotyczących cyberbezpieczeństwa, odporności produktów i ciągłości działania. Oznacza to konieczność uwzględnienia nie tylko AI Act, lecz również dyrektywy NIS2, krajowych przepisów o cyberbezpieczeństwie, aktu o cyberodporności, a w sektorze finansowym również rozporządzenie DORA, które ustanawia szczegółowe wymogi w zakresie cyfrowej odporności operacyjnej, zarządzania ryzykiem ICT oraz raportowania incydentów.
Uwaga! Dla organizacji wdrażających systemy AI oznacza to konieczność zintegrowania procesów AI governance i cyberbezpieczeństwa. Dotychczasowe podejście, w którym oba obszary funkcjonują niezależnie od siebie, przestaje odpowiadać rzeczywistym ryzykom i kierunkowi zmian regulacyjnych. Sama klasyfikacja systemu na gruncie aktu w sprawie sztucznej inteligencji nie odpowiada bowiem na pytanie, czy jego wdrożenie zwiększa ryzyko dla ciągłości działania, poufności danych, integralności procesów, bezpieczeństwa łańcucha dostaw albo odporności usług świadczonych przez organizację.
(...)
Cały artykuł Karoliny Kulikowskiej-Gruszeckiej, Senior Associate z Praktyki IP&TMT jest dostępny w serwisie Dziennika Gazety Prawnej.