AI Act, CRA, reforma CEMAC: jak z nawarstwienia przepisów zrobić jeden plan działania

Kalendarz regulacyjny lipca 2026 roku przypomina skrót całej dekady. 2 sierpnia wchodzi w życie kolejny etap europejskiego rozporządzenia o sztucznej inteligencji: obowiązki przejrzystości z artykułu 50 (oznaczanie treści generowanych, systemy konwersacyjne, deepfake'i) oraz uprawnienia sankcyjne Komisji wobec modeli ogólnego przeznaczenia, z karami sięgającymi 15 milionów euro lub 3% globalnego obrotu.

Trzy tygodnie wcześniej, 13 lipca, ENISA opublikowała model samooceny dojrzałości cyberodporności MŚP, zgodny z Cyber Resilience Act: pięć ocenianych obszarów, od zarządzania po cykl życia produktu, narzędzie do pobrania, klasyfikacja na poziom dojrzałości podstawowy, pośredni lub zaawansowany. A w Libreville COBAC otworzyła oferty w międzynarodowym przetargu na zrewidowanie swoich aktów organicznych i opracowanie jednolitej ustawy bankowej dla sześciu krajów CEMAC, która ma zastąpić ramy wynikające z konwencji z 1990 i 1992 roku.

Agencja doprecyzowała od tego czasu sam mechanizm zgłaszania: kartę informacyjną i dwa przewodniki krok po kroku dotyczące jej jednolitej platformy, opublikowane w lipcu 2026 roku i zaktualizowane 31 lipca, mimo że platforma jeszcze nie działa. Ma zostać uruchomiona 11 września, tego samego dnia, w którym obowiązek zaczyna obowiązywać. Praktyczna konsekwencja dla producenta mieści się w jednym zdaniu: konto EU Login, które otwiera dostęp, można założyć już teraz, natomiast okresu próbnego nie da się przyspieszyć na żądanie.

Trzy regulatory, trzy geografie, trzy tematy. Z perspektywy zarządu to trzy nowe projekty, które dochodzą do tych już istniejących: NIS2, CSRD, EUDR, w zależności od sektora. To właśnie dyrekcje ds. zgodności nazywają, z rosnącym zmęczeniem, nawarstwieniem.

W obliczu każdego nowego aktu instytucjonalny odruch jest zawsze taki sam: dedykowany projekt, dedykowana osoba odpowiedzialna, dedykowana firma doradcza, dedykowany arkusz kalkulacyjny. Odruch ten ma swoją logikę, ponieważ każdy akt ma własnego regulatora i własne sankcje. Ma jednak przede wszystkim koszt, którego niewiele organizacji mierzy.

Pierwszym kosztem jest powielanie: te same zespoły trzykrotnie odpowiadają na te same pytania, różniące się tylko sformułowaniem. Kto odpowiada za ten system? Gdzie jest inwentarz? Jak zarządzają Państwo incydentami? CISO firmy przemysłowej może spędzić znaczną część roku na wypełnianiu kwestionariuszy, które pokrywają się w dwóch trzecich.

Drugim kosztem jest niespójność: trzy oddzielne projekty tworzą trzy oddzielne diagnozy stanu, które szybko zaczynają się rozjeżdżać. Zarząd otrzymuje trzy poziomy powagi, trzy budżety, trzy harmonogramy, bez możliwości ich wzajemnego zestawienia. A trzeci koszt ma charakter strategiczny: w pogoni za każdym kolejnym terminem organizacja nigdy nie buduje fundamentu, który pozwoliłby jej wchłonąć następny.

Przeczytajmy jednak ponownie trzy lipcowe sygnały okiem praktyka. AI Act wymaga przede wszystkim inwentarza systemów sztucznej inteligencji i ich zastosowań, jasnego zarządzania, dokumentacji, którą można udowodnić. CRA, w wersji przedstawionej przez model ENISA, ocenia zarządzanie, zarządzanie ryzykiem, obsługę podatności, cykl życia produktów, kompetencje. Przyszłe ramy ostrożnościowe CEMAC będą wymagać, jak wszystkie ramy bazylejskie, zarządzania ryzykiem, udokumentowanych mechanizmów, wykazywalnej kontroli wewnętrznej.

Innymi słowy: pod różnym słownictwem znaczna część wymogów się pokrywa. Wiedzieć, co się eksploatuje (inwentarz systemów, produktów, procesów). Wiedzieć, kto decyduje (zarządzanie, odpowiedzialności). Wiedzieć, co może pójść źle (zarządzanie ryzykiem). Umieć zareagować (incydenty, podatności, ciągłość działania). Umieć to udowodnić (dokumentacja, identyfikowalność). Pięć kompetencji fundamentu, które każdy akt następnie rozwija we własnym obszarze.

Właśnie dlatego, że ten fundament jest wspólny, podejście silosowe jest marnotrawstwem: każdy oddzielny projekt odtwarza, na własny koszt, inwentarz, mapę ryzyka i strukturę zarządzania, które sąsiedni projekt właśnie opłacił.

Alternatywą nie jest łączenie zgodności w jeden dokument, regulatory by na to nie pozwoliły. Jest nią rozdzielenie dwóch rzeczy, które odruch silosowy myli: fundamentu, który mierzy się raz, oraz widoków regulacyjnych, które rozwija się według każdego aktu osobno.

W praktyce: jedna ocena dojrzałości obejmuje kompetencje fundamentu, inwentarz, zarządzanie, ryzyko, incydenty, dokumentację. Każde ocenione kryterium jest przypisane do aktów, którym służy: dana kontrola inwentarza zasila jednocześnie AI Act i CRA; dany wymóg zarządzania ryzykiem służy CRA i przyszłym ramom CEMAC. Pomiar ujawnia wówczas to, co ukrywają silosy: kolizje, czyli pojedyncze działania, które naraz przybliżają do zgodności z dwoma lub trzema regulacjami.

To zasada krzyżowania audytów: zamiast piętrzyć oceny, sprawia się, że zaczynają się one ze sobą komunikować. Organizacja, która mierzy się według trzech modeli referencyjnych na wspólnym fundamencie, niemal zawsze odkrywa, że jej prawdziwe opóźnienie dotyczy garstki kompetencji przekrojowych, a nie trzystu odrębnych wymogów.

Pozostaje uporządkować plan działania. Wystarczą dwa kryteria, pod warunkiem ich zestawienia. Najpierw termin: 2 sierpnia 2026 roku już minął lub jest bliski, w zależności od interpretacji, główne obowiązki CRA przypadają na koniec 2027 roku, przyszły akt CEMAC przejdzie własną procedurę przyjęcia. Następnie efektywność: działanie, które służy trzem aktom, jest warte, przy tym samym nakładzie, trzykrotnie więcej niż działanie służące tylko jednemu.

Zestawienie tych dwóch kryteriów daje naturalną kolejność. Na czele kompetencje fundamentu o wysokiej efektywności: inwentarz systemów AI i produktów programistycznych, zarządzanie ryzykiem, mechanizm obsługi incydentów. Następnie specyficzne luki dla każdego terminu: oznaczanie przejrzystości z artykułu 50 dla AI, wymogi produktowe CRA, dostosowania ostrożnościowe, gdy akt CEMAC zostanie opublikowany. Na końcu to, co może poczekać bez ryzyka, udokumentowane jako takie.

Taka kolejność ma walor polityczny w równym stopniu co techniczny: daje zarządowi jedną decyzję budżetową, jedną trajektorię, zamiast trzech konkurujących żądań, z których każde twierdzi, że jest priorytetowe.

Prowadzone w ten sposób nawarstwienie zmienia charakter. Diagnoza fundamentu staje się aktywem wielokrotnego użytku: gdy pojawi się kolejny akt, a pojawi się na pewno, organizacja nie zacznie od zera, zmierzy tylko lukę. Prezentacje wyników rozwijają się według odbiorcy na bazie tych samych danych: widok AI Act dla właściwego regulatora, widok CRA dla kupujących, którzy go zażądają, widok ostrożnościowy dla nadzorcy, widok skonsolidowany dla komitetu zarządzającego.

A powtarzany w czasie pomiar przekształca zgodność w trajektorię: nie mówi się już „jesteśmy zgodni”, czyli stwierdzenia niemożliwego do zweryfikowania i nietrwałego, lecz „oto nasz poziom dojrzałości, jego postęp i nasz plan”, czyli datowany i możliwy do obrony dowód.

Nawarstwienie regulacyjne to rzeczywistość, która nie zwolni tempa; rozdrobnienie odpowiedzi jest natomiast wyborem. Organizacje, które dokonują przeciwnego wyboru, zmierzony fundament, widoki według aktu, jeden uporządkowany priorytetami plan, nie mierzą się z mniejszą liczbą przepisów niż pozostałe. One po prostu wchłaniają je lepiej i taniej.