Banki i firmy pożyczkowe coraz częściej korzystają z algorytmów, które potrafią w kilka chwil przeanalizować ogromną liczbę informacji o kliencie. Nie oznacza to jednak, że instytucja finansowa może stworzyć profil konsumenta na podstawie jego aktywności na Facebooku, Instagramie czy innych platformach i na tej podstawie zdecydować, czy zasługuje on na kredyt. Prawo wyraźnie rozróżnia dopuszczalny credit scoring od niedopuszczalnego social scoringu. Granica ta ma szczególne znaczenie po wejściu w życie AI Act oraz w związku z nowymi przepisami unijnymi dotyczącymi kredytu konsumenckiego.
Credit scoring a social scoring – dlaczego nie można ich ze sobą utożsamiać?
Ocena klienta przed udzieleniem kredytu nie jest nowym zjawiskiem. Bank musi ustalić, czy osoba ubiegająca się o finansowanie będzie w stanie zwrócić pieniądze wraz z odsetkami. Od wielu lat wykorzystuje się w tym celu różnego rodzaju modele scoringowe.
Klasyczny credit scoring może uwzględniać m.in.:
- wysokość i stabilność dochodów,
- miesięczne wydatki,
- istniejące kredyty i pożyczki,
- historię regulowania zobowiązań,
- sposób korzystania z produktów finansowych,
- dane pochodzące z odpowiednich baz informacji kredytowej,
- informacje dotyczące sytuacji finansowej klienta.
Rozwój big data oraz uczenia maszynowego pozwolił jednak tworzyć znacznie bardziej rozbudowane modele. Algorytm może próbować wyciągać wnioski nie tylko z sytuacji finansowej człowieka, lecz także z jego codziennych zachowań, aktywności internetowej, zainteresowań albo innych cech pośrednio wynikających z danych zgromadzonych w różnych miejscach. Na tym obszarze pojawia się problem social scoringu.
Social scoring nie polega więc jedynie na tym, że klient otrzymuje określoną liczbę punktów. Punktowy wynik występuje również w zwykłym scoringu kredytowym. Kluczowe jest przede wszystkim to, jakie dane są analizowane, w jakim celu oraz do jakiego skutku prowadzi dokonana klasyfikacja.
Bank musi zbadać zdolność kredytową klienta
Ocena zdolności kredytowej nie jest dla kredytodawcy jedynie możliwością. W przypadku kredytu konsumenckiego jest ona ustawowym obowiązkiem.
Art. 9 ust. 1 ustawy z 12 maja 2011 r. o kredycie konsumenckim stanowi:
„Kredytodawca przed zawarciem umowy o kredyt konsumencki jest zobowiązany do dokonania oceny zdolności kredytowej konsumenta.”
Zgodnie z art. 9 ust. 2 tej ustawy ocena jest dokonywana na podstawie informacji uzyskanych od konsumenta albo informacji pozyskanych z odpowiednich baz danych lub zbiorów danych kredytodawcy. Konsument musi również, na żądanie kredytodawcy, przedstawić dokumenty i informacje niezbędne do przeprowadzenia takiej oceny.
W przypadku banku znaczenie ma dodatkowo art. 70 Prawa bankowego. Zdolność kredytowa odnosi się przede wszystkim do możliwości spłaty zaciągniętego kredytu wraz z odsetkami w terminach przewidzianych w umowie.
Pamiętaj zatem, że samo wykorzystywanie algorytmu do badania ryzyka kredytowego nie jest zakazane. Problem zaczyna się dopiero wtedy, gdy sposób działania systemu albo wykorzystywane przez niego dane przekraczają granice wyznaczone przez przepisy dotyczące ochrony danych, AI i kredytów konsumenckich.
Czy bank może automatycznie zdecydować o przyznaniu kredytu?
Tak. Polskie Prawo bankowe przewiduje możliwość podejmowania określonych decyzji na podstawie zautomatyzowanego przetwarzania danych.
Art. 105a ust. 1a Prawa bankowego pozwala m.in. bankom i wskazanym w tym przepisie innym podmiotom podejmować w celu oceny zdolności kredytowej i analizy ryzyka kredytowego decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych, w tym profilowaniu. Warunkiem jest jednak zapewnienie osobie, której dotyczy decyzja, określonych praw.
Klient powinien mieć możliwość:
- otrzymania stosownych wyjaśnień dotyczących podstaw decyzji,
- uzyskania interwencji człowieka i ponownego rozpatrzenia sprawy,
- przedstawienia własnego stanowiska.
Oznacza to, że automatyzacja procesu kredytowego jest dopuszczalna, ale decyzja algorytmu nie może tworzyć sytuacji, w której konsument zostaje całkowicie pozbawiony możliwości zakwestionowania jej wyniku.
Przykład
Anna składa przez aplikację wniosek o pożyczkę na 32 000 zł. System analizuje wysokość jej dochodów, dotychczasowe zobowiązania i informacje pochodzące z odpowiednich baz. W ciągu kilkunastu sekund wniosek zostaje odrzucony.
Sama szybkość wydania decyzji ani fakt zastosowania algorytmu nie przesądza jeszcze o naruszeniu prawa. Jeżeli jednak przepisy znajdujące zastosowanie do takiej decyzji wymagają zapewnienia interwencji człowieka, Anna powinna mieć możliwość zakwestionowania wyniku i przedstawienia dodatkowych informacji.
Może się bowiem okazać, że system korzystał z nieaktualnych danych dotyczących kredytu, który został już spłacony.
RODO chroni klienta przed niekontrolowanym profilowaniem
Drugim ważnym elementem jest art. 22 RODO. Przepis ustanawia prawo osoby do tego, aby nie podlegała decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, jeżeli decyzja wywołuje wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa.
Nie jest to jednak zakaz absolutny.
Art. 22 ust. 2 RODO przewiduje trzy sytuacje, w których takie podejmowanie decyzji może być dopuszczalne: gdy jest ono niezbędne do zawarcia lub wykonania umowy, jest dozwolone przez odpowiednie przepisy prawa albo opiera się na wyraźnej zgodzie osoby.
Dlatego nie można przyjąć prostej zasady, że każda automatyczna ocena zdolności kredytowej zawsze wymaga od klienta osobnej zgody. Trzeba ustalić konkretną podstawę prawną zautomatyzowanego procesu.
RODO przewiduje również dodatkowe zabezpieczenia. W określonych przypadkach osoba powinna mieć co najmniej możliwość uzyskania interwencji człowieka, przedstawienia swojego stanowiska i zakwestionowania decyzji.
Jakich danych nie można używać do automatycznej oceny kredytowej?
Prawo bankowe nie daje instytucjom finansowym nieograniczonego prawa do zbierania wszelkich możliwych informacji o kliencie.
Z art. 105a wynika przede wszystkim zasada, że przy automatycznej decyzji mogą być wykorzystywane dane niezbędne ze względu na cel i rodzaj kredytu. Przepis wymienia przykładowe kategorie informacji, ale zakres przetwarzania nie może zostać oderwany od celu, jakim jest ocena zdolności kredytowej i ryzyka.
Szczególną ostrożność należy zachować przy tzw. szczególnych kategoriach danych osobowych z art. 9 RODO, obejmujących m.in. określone informacje dotyczące zdrowia, poglądów politycznych, przekonań religijnych czy orientacji seksualnej.
Zautomatyzowana ocena konsumenta nie może stać się sposobem na stworzenie bardzo szerokiego profilu jego osobowości tylko dlatego, że współczesna technologia pozwala takie informacje wywnioskować.
Czy bank może sprawdzać Facebooka, Instagrama albo TikToka przed udzieleniem kredytu?
W tym obszarze kierunek unijnych regulacji jest szczególnie wyraźny.
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2023/2225 dotycząca kredytów konsumenckich przewiduje, że szczegółowa ocena zdolności kredytowej powinna opierać się na odpowiednich i dokładnych informacjach dotyczących dochodów, wydatków oraz innych warunków finansowych i ekonomicznych konsumenta.
Co bardzo istotne, art. 18 ust. 3 dyrektywy wskazuje wprost, że sieci społecznościowych nie uznaje się za źródło zewnętrzne na potrzeby takiej oceny. Art. 19 ust. 5 zabrania natomiast kredytodawcom i pośrednikom kredytowym przetwarzania danych osobowych pochodzących z sieci społecznościowych, które mogą znaleźć się w bazach wykorzystywanych do oceny zdolności kredytowej.
Przepisy wdrażające tę dyrektywę mają być stosowane od 20 listopada 2026 r.
Na dzień 4 września 2026 r. polski rządowy projekt nowej ustawy o kredycie konsumenckim jest prowadzony pod numerem UC82 i ma służyć wdrożeniu dyrektywy 2023/2225.
Dla sektora finansowego oznacza to bardzo istotną zmianę podejścia: aktywność w mediach społecznościowych nie powinna stanowić alternatywnego źródła informacji pozwalającego ocenić, czy ktoś jest „dobrym” lub „złym” klientem kredytowym.
Przykład
Firma pożyczkowa tworzy system AI, który oprócz dochodów i wcześniejszych zobowiązań analizuje aktywność klienta w mediach społecznościowych. Algorytm przyznaje mniej punktów osobom, które często publikują zdjęcia z kosztownych podróży, śledzą strony dotyczące hazardu albo należą do określonych grup internetowych.
Taki model jest zasadniczo czymś innym niż zwykła ocena sytuacji finansowej. Algorytm zaczyna klasyfikować człowieka według jego zachowania poza właściwym kontekstem kredytowym, a dodatkowo wykorzystuje informacje pochodzące z sieci społecznościowych.
To właśnie tego rodzaju rozwiązania generują największe ryzyko prawne.
AI Act zakazuje określonych form social scoringu
Od 2 lutego 2025 r. stosowane są przepisy rozdziału II AI Act dotyczące zakazanych praktyk w zakresie sztucznej inteligencji.
Art. 5 ust. 1 lit. c AI Act obejmuje systemy AI służące ocenie lub klasyfikowaniu osób przez określony czas na podstawie ich zachowania społecznego albo znanych, wywnioskowanych lub przewidywanych cech osobistych lub cech osobowości, jeżeli wynik prowadzi do wskazanego w tym przepisie krzywdzącego lub niekorzystnego traktowania.
Chodzi w szczególności o sytuacje, w których konsekwencje oceny pojawiają się w kontekście niezwiązanym z tym, w którym zgromadzono dane, albo są nieuzasadnione lub nieproporcjonalne do zachowania danej osoby.
Zwróć uwagę na ważną różnicę: AI Act nie zakazuje każdej oceny punktowej człowieka. Gdyby tak było, praktycznie niemożliwe stałoby się stosowanie wielu legalnych modeli oceny ryzyka finansowego.
Zakaz dotyczy określonych praktyk social scoringu spełniających warunki wskazane w art. 5.
Czy AI może nadal oceniać zdolność kredytową?
Tak, ale system wykorzystywany w tym celu może zostać objęty bardzo rygorystycznymi zasadami AI Act.
Załącznik III AI Act zalicza do systemów AI wysokiego ryzyka systemy przeznaczone do oceny zdolności kredytowej osób fizycznych lub ustalania ich scoringu kredytowego, z wyjątkiem systemów wykorzystywanych do wykrywania oszustw finansowych.
To niezwykle ważne rozróżnienie:
zakazany social scoring – oznacza praktykę, której nie wolno stosować;
system AI wysokiego ryzyka do credit scoringu – może być legalny, ale podlega szczególnym wymaganiom.
Nie można więc powiedzieć, że AI Act zakazuje bankom wykorzystywania sztucznej inteligencji do badania zdolności kredytowej.
Co więcej, harmonogram części obowiązków dotyczących systemów AI wysokiego ryzyka został zmieniony w 2026 r. Rozporządzenie (UE) 2026/1744 przesunęło stosowanie części wymagań dotyczących systemów kwalifikowanych na podstawie art. 6 ust. 2 i załącznika III na 2 grudnia 2027 r.
Możesz zażądać wyjaśnienia oceny zdolności kredytowej
Dla klienta bardzo istotny jest również art. 70a Prawa bankowego.
Na wniosek osoby ubiegającej się o kredyt bank lub inna instytucja ustawowo upoważniona do udzielania kredytów przekazuje pisemne wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej.
Aktualne przepisy przewidują również obowiązek poinformowania klienta o prawie do wystąpienia z takim wnioskiem. Wniosek można złożyć w terminie roku od otrzymania oceny zdolności kredytowej, a odpowiedź powinna zostać udzielona bez zbędnej zwłoki, nie później niż w ciągu 30 dni.
Wyjaśnienie obejmuje informacje o czynnikach, w tym danych osobowych klienta, które wpłynęły na dokonaną ocenę. Przepisy stosuje się odpowiednio również do oceny zdolności kredytowej i ryzyka kredytowego opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu.
Co zrobić po odmowie udzielenia kredytu?
Jeżeli odmowa wydaje Ci się niezrozumiała, nie ograniczaj się do informacji „system odrzucił wniosek”.
Warto sprawdzić przede wszystkim:
- jakie czynniki wpłynęły na ocenę,
- czy wykorzystane dane są aktualne,
- czy w bazach nie znajdują się błędne informacje,
- czy decyzja została wydana automatycznie,
- czy przysługuje Ci możliwość ponownej oceny z udziałem człowieka.
Dwa banki mogą również różnie ocenić tę samą osobę. Wynika to m.in. z odmiennej polityki kredytowej i poziomu akceptowanego ryzyka. Negatywna decyzja jednej instytucji nie oznacza więc automatycznie, że każdy inny bank musi dojść do identycznego rezultatu.
Podsumowanie
Rozwój sztucznej inteligencji nie oznacza, że banki mogą dowolnie oceniać całe życie klienta. Prawo wyznacza coraz wyraźniejszą granicę między analizą sytuacji ekonomicznej potrzebną do odpowiedzialnego udzielania kredytu a ocenianiem człowieka na podstawie jego zachowania społecznego.
Najważniejsze jest pięć zasad:
- bank i kredytodawca mogą, a w odpowiednich sytuacjach muszą badać zdolność kredytową,
- dopuszczalne jest wykorzystywanie automatycznych systemów scoringowych,
- automatyczna decyzja musi respektować prawa wynikające m.in. z Prawa bankowego i RODO,
- AI Act zakazuje określonych praktyk social scoringu, ale nie każdego credit scoringu,
- nowe regulacje dotyczące kredytu konsumenckiego wyraźnie odcinają ocenę zdolności kredytowej od danych pochodzących z mediów społecznościowych.
Dla konsumenta najważniejszym praktycznym uprawnieniem pozostaje możliwość ustalenia, dlaczego otrzymał określoną ocenę i jakie informacje wpłynęły na decyzję kredytową. Coraz bardziej zaawansowany algorytm nie może oznaczać coraz mniejszej przejrzystości procesu.
Podstawa prawna
art. 9 ust. 1–4 – ustawa z dnia 12 maja 2011 r. o kredycie konsumenckim
art. 70, art. 70a, art. 105a – ustawa z dnia 29 sierpnia 1997 r. – Prawo bankowe
art. 9, art. 22 – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
art. 18, art. 19, art. 48 – dyrektywa Parlamentu Europejskiego i Rady (UE) 2023/2225 z dnia 18 października 2023 r. w sprawie umów o kredyt konsumencki oraz uchylająca dyrektywę 2008/48/WE
art. 5 ust. 1 lit. c, art. 6 ust. 2, załącznik III – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji)
art. 40 – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z dnia 8 lipca 2026 r. w sprawie zmiany rozporządzeń (UE) 2024/1689, (UE) 2018/1139 i (UE) 2023/1230 w odniesieniu do uproszczenia wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji
Tematy porad zawartych w poradniku
- social scoring a zdolność kredytowa
- AI w ocenie kredytowej
- bank a dane z social mediów
- automatyczna decyzja kredytowa
- wyjaśnienie odmowy kredytu