5 godzin temu
Europejskie regulacje coraz silniej wpływają na sposób projektowania usług cyfrowych, przesuwając ciężar zgodności z formalnej dokumentacji na architekturę systemów, zarządzanie danymi i możliwość weryfikacji ich działania.
Jeszcze niedawno ocena zgodności często stanowiła jeden z końcowych etapów przygotowania produktu do wprowadzenia na rynek. w tej chwili coraz więcej wymagań dotyczy jego funkcjonowania przez cały cykl życia. System ma nie tylko spełniać określone standardy, ale również umożliwiać wykazanie, iż pozostaje z nimi zgodny po kolejnych aktualizacjach, zmianach dostawców i modyfikacjach funkcjonalności.
Zmianę tę widać szczególnie w europejskich regulacjach dotyczących cyberbezpieczeństwa, sztucznej inteligencji i dostępu do danych. Choć obejmują różne kategorie produktów i przedsiębiorstw, łączy je rosnące znaczenie technicznej rozliczalności.
Regulacje wchodzą w architekturę produktu
Od 11 września 2026 r. producenci objęci Cyber Resilience Act (CRA) mają obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów wpływających na bezpieczeństwo produktów z elementami cyfrowymi. Wstępne ostrzeżenie należy przekazać w ciągu 24 godzin, a pełne zgłoszenie w ciągu 72 godzin od uzyskania informacji o zdarzeniu. Główne wymagania rozporządzenia zaczną obowiązywać 11 grudnia 2027 r.
Terminy te wymagają odpowiedniego przygotowania technologicznego. Wykrycie podatności, określenie jej zasięgu czy identyfikacja zagrożonych wersji systemu zależą od jakości informacji gromadzonych podczas rozwoju i eksploatacji produktu.
Skala problemu rośnie. Według ENISA w 2025 r. opublikowano ponad 48 tys. nowych podatności oznaczonych identyfikatorami CVE, o 22 proc. więcej niż rok wcześniej. Sama liczba podatności nie określa poziomu ryzyka konkretnej usługi, ale pokazuje, jak intensywnie zmienia się środowisko, w którym funkcjonuje oprogramowanie.
Podobną logikę wprowadza Data Act. Od września 2026 r. nowe wymagania projektowe obejmują cyfrowe produkty skomunikowane i powiązane z nimi usługi wprowadzane na rynek po 12 września. Użytkownicy mają uzyskiwać łatwy i bezpieczny dostęp do określonych danych generowanych podczas korzystania z produktu, w zakresie przewidzianym rozporządzeniem.
Dostępność danych przestaje być wyłącznie dodatkową funkcjonalnością. Wpływa na sposób organizacji baz danych, zarządzania uprawnieniami i budowania interfejsów. Jednocześnie wymaga pogodzenia nowych zasad udostępniania informacji z ochroną danych osobowych oraz tajemnic przedsiębiorstwa.
Dokumentacja, która odzwierciedla rzeczywiste działanie
Kolejnym obszarem jest sztuczna inteligencja. AI Act przewiduje dla systemów wysokiego ryzyka m.in. wymagania dotyczące dokumentacji technicznej, monitorowania i automatycznego rejestrowania określonych zdarzeń. Zgodnie ze zmienionym harmonogramem odpowiednie przepisy zaczną być stosowane od grudnia 2027 r. dla wskazanych samodzielnych systemów wysokiego ryzyka i od sierpnia 2028 r. dla systemów wbudowanych w określone produkty regulowane.
W praktyce oznacza to konieczność zapewnienia odpowiedniej identyfikowalności działania systemu. Istotne stają się informacje o zastosowanej wersji modelu, przeprowadzonych testach, zmianach parametrów i mechanizmach nadzoru.
Można to zobrazować na przykładzie cyfrowej usługi kredytowej wykorzystującej AI do oceny zdolności kredytowej. Samo udokumentowanie zasad działania algorytmu może okazać się niewystarczające. Znaczenie ma również możliwość ustalenia, na jakich podstawach system wygenerował określony wynik, jaka wersja modelu była wykorzystywana i czy działały przewidziane mechanizmy kontroli.
Nie chodzi jednak o gromadzenie możliwie największej ilości informacji. Rejestrowanie zdarzeń podlega ograniczeniom wynikającym m.in. z zasad minimalizacji danych i ich ochrony. Odpowiednio zaprojektowana architektura pozwala pogodzić identyfikowalność działania z ograniczaniem zakresu przetwarzanych informacji.
Znaczenie takich decyzji pokazuje postępowanie irlandzkiego organu ochrony danych przeciwko TikTokowi. W 2023 r. nałożono na spółkę 345 mln euro kar za naruszenia RODO dotyczące m.in. przetwarzania danych dzieci. Jednym z problemów były domyślne ustawienia prywatności. Przedmiotem oceny stały się więc konkretne rozwiązania zastosowane w produkcie, a nie wyłącznie jego dokumentacja.
Zgodność obejmuje również dostawców
Rosnąca złożoność infrastruktury cyfrowej sprawia, iż istotna część ryzyka powstaje poza bezpośrednią kontrolą właściciela usługi.
Obowiązujące od stycznia 2025 r. rozporządzenie DORA wymaga od objętych nim instytucji finansowych prowadzenia rejestrów ustaleń umownych z zewnętrznymi dostawcami usług ICT. Informacje te służą zarządzaniu ryzykiem i nadzorowi nad zależnościami technologicznymi.
Wybór dostawcy coraz trudniej sprowadzić zatem do porównania ceny, wydajności i dostępności. Znaczenie zyskują warunki audytu, zasady podwykonawstwa, możliwość odzyskania danych oraz zdolność zastąpienia usługi innym rozwiązaniem.
Powstaje przy tym istotne napięcie ekonomiczne. Korzystanie z gotowych platform i komponentów przyspiesza rozwój produktów, ale może ograniczać dostęp do informacji niezbędnych podczas kontroli. Rozbudowana infrastruktura zgodności z kolei generuje koszty, które nie zawsze przekładają się bezpośrednio na nowe przychody.
Zgodność jako zdolność do zmiany
Największe wyzwanie pojawia się po uruchomieniu produktu. Każda aktualizacja, nowa integracja lub zmiana modelu AI może wpływać na wcześniejszą ocenę ryzyka. Kontrola przeprowadzona przed premierą nie gwarantuje więc, iż usługa pozostanie zgodna po kilkunastu kolejnych wdrożeniach.
W tym kontekście rośnie wartość mechanizmów łączących rozwój systemu z dokumentowaniem zmian, testowaniem zabezpieczeń i kontrolą zależności. Takie podejście znajduje odzwierciedlenie m.in. w opracowanym przez NIST standardzie dobrych praktyk Secure Software Development Framework.
Ekonomiczna przewaga tych rozwiązań jest potencjalna, a nie automatyczna. Ich wdrożenie wymaga inwestycji i może zwiększać złożoność procesów. Jednocześnie ogranicza konieczność późniejszej przebudowy systemów, w których podstawowych mechanizmów kontrolnych zabrakło na etapie projektowania.
W miarę rozszerzania europejskich wymagań regulacyjnych coraz większego znaczenia może nabierać zdolność do wykazania zgodności bez zatrzymywania rozwoju produktu. W takim modelu dokumentacja, bezpieczeństwo i kontrola zmian przestają funkcjonować jako odrębne procesy. Stają się elementami tej samej architektury, od której zależy ciągłość działania usługi i możliwość jej dalszego rozwijania.
