AI Governance: czego możemy nauczyć się z decyzji ws. mBank?

Michał Nowakowski · 21 czerwca 2026

Kontrola wewnętrzna a AI Governance. Wnioski po karze KNF dla mBank za nieprawidłowości

Komisja Nadzoru Finansowego nałożyła na mBank 💥 kilkanaście milionów złotych kary, w tym 3,5 mln za nieodpowiednią realizację obowiązków w zakresie kontroli wewnętrznej. Szczegółowego uzasadnienia nie znamy, ale z tego co dostępne możemy wyciągnąć kilka wniosków. Także z perspektywy mojego ukochanego AI Governance. I o tym dzisiejszy felieton, w którym postaram się pokazać jak dobrze opisany proces wraz z bramkami decyzyjnymi, checkpointami i systemem zarządzania jakością może być dla nas wybawieniem i ochroną przed ewentualnymi sankcjami.

Przy czym ważne zastrzeżenie - nie mam zamiaru nikogo biczować czy pokazywać niedociągnięć po stronie banku. To tylko tło dla mojej propozycji praktycznego wykorzystania AI Governance.

Zanim jednak przejdziemy do niego kilka nowości na stronie legalarchitect.pl:

• poprawiony system rejestracji i logowania,
• odpalony newsletter, do którego zapisania się gorąco zachęcam,
• testowy generator umów na AI,
• szkolenie dla AI Governance Officer'ów w dniach 8 i 21 lipca,
• kompas modeli OpenSource, który pozwala lepiej dobrać model do naszych potrzeb.

O co chodzi w sprawie mBanku? Sprawa jest wielowątkowa, ale nas interesuje część dotycząca tzw. kontroli wewnętrznej. Banki są zobowiązane do posiadania "czegoś takiego" m.in. na podstawie Prawa bankowego i aktów wykonawczych czy też rekomendacji KNF (w tym H). Połapanie się w tym wszystkim nie jest łatwe. Bank dostał po głowie za:

brak zapewnienia realizacji celu systemu kontroli wewnętrznej w zakresie zgodności działania z przepisami prawa, nieskuteczne działania funkcji zgodności działalności z prawem, brak zapewnienia skutecznych mechanizmów kontroli wewnętrznej.

W dużym skrócie system kontroli wewnętrznej jest zbiorem rozwiązań organizacyjnych i technicznych, które ma wspierać procesy decyzyjne. Innymi słowy - ma być bezpiecznie, ale i z korzyścią dla biznesu i jego klientów. W ramach takiego systemu musimy wyodrębnić sobie trzy linie (tzw. Line of Defense), do których należą:

• jednostki biznesowe i operacyjne,
• jednostki odpowiedzialne za nadzór i wsparcie, w tym compliance czy ryzyko,
• jednostki audytujące.

Połączenie działań tych jednostek ma na celu zapewnienie, że procesy biznesowe i operacyjne w banku jest bezpieczne i skuteczne oraz efektywne. Dzięki współpracy i realizacji określonych procesów bank działa stabilnie i realizuje swoją misje i cele w sposób zgodny z oczekiwaniami regulatora i przepisami.

Tymczasem, zdaniem Komisji (podkreślmy, że decyzja jest nieostateczna i może ulec jeszcze zmianie) w banku nie działało to jak trzeba. Komisja podkreśliła, że "[z]naczącym czynnikiem skutecznego systemu kontroli wewnętrznej jest uznanie przez wszystkich pracowników banku konieczności efektywnego wykonywania swoich obowiązków i przekazywania na właściwy szczebel zarządzania informacji o nieprawidłowościach, przypadkach braku zgodności z regulacjami oraz naruszania innych zasad lub nielegalnych działań, które zostały zaobserwowane". To bardzo ważne zdanie, bo wskazuje wyraźnie na znaczenie dobrego systemu komunikacji, eskalacji oraz whistleblowing.

Generalnie chodzi o to, że w ocenie KNF nie było właściwego nadzoru i kontroli, w tym przez przełożonych, selektywna weryfikacja czy brakowało "(...) konkretnych i stanowczych działań weryfikujących". No i w efekcie bank miał naruszyć istotne regulacje dotyczące obowiązków z zakresu zarządzania i bezpieczeństwa prowadzenia działalności, w tym zapewnienia jej zgodności z przepisami prawa.

A jak to się ma do AI Governance? Daleki jestem od twierdzenia, że AI Governance to system kontroli wewnętrznej - to by zabiło całą ideę biznesowego podejścia i tworzenia procesu, który ma odblokowywać inicjatywy, a nie je "zamykać". Co wcale nie oznacza, że taki system nie jest elementem całego governance oraz że nie możemy z tego wyciągnąć jakiejś nauki.

Ja widzę co najmniej 5 wniosków do zastosowania przy projektowaniu naszych ram AI Governance (a także dla danych!):

• brak właściwego nadzoru nad podmiotami trzecimi, co jest bardzo istotne przy dostawcach rozwiązań AI & Data; w ramach naszego procesu wyodrębniamy zasady kwalifikacji dostawców (np. ze względu na ryzyka), przeprowadzamy due diligence i następnie monitorujemy spełnianie określonych standardów [AI Act nas do tego de facto zobowiązuje m.in. na podstawie art. 25],
• niewłaściwa kwalifikacja systemów AI, czyli po prostu brak całego procesu "end-to-end" w zakresie identyfikacji ryzyk dla danych rozwiązań i brak nadzoru nad tym czy to działa, np. w zakresie naszego systemu zarządzania jakością (i zgodnością!); a w AI Governance dokładnie opisujemy etapy i działania do wykonania, aby zapewnić właściwą kwalifikację,
• traktowanie AI Governance jako "papierowego obowiązku" a nie jasnego podziału ról i odpowiedzialności w ramach całego procesu; jeżeli zatrzymamy się wyłącznie na zrobieniu polityki, matrycy RASCI i procesu to to nie zadziała; dalej będzie po staremu; dlatego AI Governance wymaga ciągłości, w tym monitorowania i uświadamiania oraz nauki,
• brak mechanizmów monitorowania nieprawidłowości, co przecież jest jednym z najważniejszych obszarów dobrze działającego AI Governance; układamy mechanizmy ML/AIops, które pomagają nam w identyfikowaniu ryzyk, tworzymy środki komunikacji i eskalacji oraz wdrażamy odpowiednie narzędzia,
• brak odpowiednich środków AI Literacy, które uświadamiałyby wszystkich od zarządu przez management aż po pozostałych pracowników - > AI Governance musi opierać się na wzajemnym zaufaniu i zrozumieniu, a to wymaga odpowiednich (dopasowanych) programów i nie traktowanie tego jako przykrego obowiązku.

Gdyby wejść głębiej... ... to okazałoby się pewnie, że jest tego więcej, ale te pięć wniosków nasunęło mi się po lekturze krótkiego uzasadnienia. Nie ukrywam, że "skonsultowałem się" też z Opus 4.8 i mieliśmy podobne wnioski.

Dobre AI Governance jest dobre, bo:

• pomaga realizować cele biznesowe szybciej i bezpieczniej,
• zapewnia nadzór i kontrolę nad punktami zapalnymi,
• jest ścieżką audytową, a to jest nie bez znaczenia w sektorach regulowanych,
• buduje świadomość i kompetencje w sposób ciągły,
• jasno określa kto, co i jak.

Jeżeli temat Was zainteresował, to już 📆 8 i 21 lipca organizuję szkolenie dla AI Governance Officer'ów, które ma pokazać jak dobrze zarządzać naszymi projektami AI & Data. Zapisy tutaj!