Ryzyko agentów AI w branżach: jak zmienia się model zagrożeń w finansach, ochronie zdrowia i prawie

Agent AI, który samodzielnie planuje kroki, sięga do baz danych i wykonuje akcje, nie jest neutralnym narzędziem. Jego profil ryzyka zmienia się radykalnie w zależności od tego, w jakiej branży działa. Ten sam mechanizm — model językowy spięty z narzędziami i pamięcią — w banku grozi czym innym niż w szpitalu, a w kancelarii czym innym niż w jednym i drugim.

Czym różni się ryzyko agenta AI w poszczególnych branżach?

Krótka odpowiedź: zmienia się to, co agent może stracić, naruszyć lub wywołać — i kto za to odpowiada przed prawem. W finansach głównym zagrożeniem jest nieodwracalna transakcja i oszustwo wymierzone w pieniądze. W ochronie zdrowia stawką jest zdrowie pacjenta i wyjątkowo wrażliwe dane medyczne. W prawie najgroźniejsze są błędne treści podawane jako pewnik — zmyślone orzeczenia, fałszywa porada, naruszenie tajemnicy klienta.

Innymi słowy: rdzeń techniczny zagrożeń (prompt injection, eksfiltracja danych, nadmierne uprawnienia agenta) pozostaje ten sam we wszystkich trzech sektorach — to ten sam zestaw, który rozkładamy w przeglądzie krajobrazu zagrożeń agentów AI w 2026. Przesuwa się natomiast waga skutku i obowiązujące przepisy. To dlatego nie da się przenieść jednego zestawu zabezpieczeń z jednej branży do drugiej bez rewizji. Poniżej rozkładam każdy z trzech sektorów na czynniki pierwsze, a na końcu zestawiam je w tabeli.

Wspólny rdzeń: co zagraża każdemu agentowi, niezależnie od branży?

Zanim przejdę do różnic, warto nazwać to, co wspólne. Agent — w odróżnieniu od zwykłego chatbota — ma dostęp do narzędzi i potrafi działać. To zmienia powierzchnię ataku.

• Prompt injection — wstrzyknięcie poleceń do treści, którą agent przetwarza (e-mail, dokument, strona, rekord w bazie). Agent traktuje je jak instrukcję od użytkownika i wykonuje. To dziś najpoważniejsza klasa zagrożeń dla systemów agentowych; znajduje się na szczycie listy OWASP Top 10 for LLM Applications.
• Nadmierne uprawnienia (excessive agency) — agent dostaje szerszy dostęp, niż wymaga zadanie: prawo zapisu zamiast odczytu, dostęp do całej bazy zamiast jednego rekordu, możliwość wywołania płatności bez progu zatwierdzenia.
• Eksfiltracja danych — wyciek wrażliwych informacji przez odpowiedź agenta, log, wywołanie zewnętrznego narzędzia albo zatruty kontekst.
• Halucynacja jako działanie — model nie tylko zmyśla treść, ale na jej podstawie podejmuje akcję (wysyła, zatwierdza, archiwizuje).
• Łańcuch agentów — gdy agenty wołają inne agenty i narzędzia, błąd lub atak propaguje się przez cały ciąg kroków, a ślad audytowy się rozmywa.

Te pięć wektorów to fundament. Różnica branżowa polega na tym, w co uderza skutek i jakie prawo wtedy reaguje.

Bezpieczeństwo agentów w finansach: dlaczego stawką jest nieodwracalne działanie?

W finansach najgroźniejsza nie jest błędna odpowiedź — jest błędne działanie, którego nie da się cofnąć. Agent z dostępem do systemu płatności, rachunku maklerskiego czy decyzji kredytowej może wykonać przelew, zlecić transakcję albo zmienić limit, zanim ktokolwiek to zobaczy. Pieniądz raz wysłany rzadko wraca.

Drugi przesunięty akcent to oszustwo wymierzone w agenta. Przestępcy nie muszą już łamać szyfrowania — wystarczy, że spreparują dokument lub wiadomość tak, by agent obsługujący reklamacje albo wnioski zinterpretował je jako legalne polecenie. To podszywanie pod klienta i prompt injection w jednym. Dochodzi do tego ryzyko głosowych deepfake’ów w kanałach, gdzie agent weryfikuje tożsamość rozmówcy.

Trzeci czynnik to nadzór i przepisy. Sektor finansowy w Unii działa pod gęstą siatką regulacji: RODO chroni dane, DORA odporność operacyjną i cyfrową, MiFID II rynki instrumentów finansowych, a od niedawna unijny AI Act, który ocenę zdolności kredytowej i punktową ocenę klienta zalicza do zastosowań wysokiego ryzyka. W Polsce dochodzi nadzór KNF i wymóg wytłumaczenia decyzji wobec klienta. Agent, który „po prostu odmówił kredytu“, to w tym świetle problem prawny, nie tylko techniczny.

Co z tego wynika dla projektu agenta w banku? Bramki zatwierdzania przy każdej akcji finansowej powyżej progu, twardy rozdział uprawnień odczyt/zapis, niezmienne logi każdego kroku agenta oraz człowiek w pętli przy decyzjach dotyczących klienta. Autonomia jest tu kosztowna z definicji.

Agent AI w ochronie zdrowia: dlaczego dane i bezpieczeństwo pacjenta zmieniają wszystko?

W ochronie zdrowia ciężar zagrożeń przesuwa się w dwie strony naraz: ku bezpieczeństwu pacjenta i ku najbardziej chronionej kategorii danych, jaką zna prawo.

Dane o zdrowiu to w RODO szczególna kategoria danych osobowych (art. 9), objęta surowszymi wymogami niż dane zwykłe. Wyciek rekordu medycznego przez agenta — choćby przez zatruty załącznik czy nieostrożne wywołanie zewnętrznego narzędzia — to nie incydent wizerunkowy, lecz naruszenie ochrony danych wrażliwych z obowiązkiem zgłoszenia i realną karą. Agent streszczający dokumentację, umawiający wizyty czy wstępnie segregujący zgłoszenia ma styczność dokładnie z tymi danymi.

Drugi przesunięty akcent: halucynacja zamienia się w ryzyko kliniczne. Agent, który podsuwa lekarzowi błędne podsumowanie wywiadu albo sugeruje dawkę, nie generuje „złej odpowiedzi“ — wpływa na decyzję, od której zależy zdrowie człowieka. Dlatego w tym sektorze granica między „narzędziem wspierającym“ a „wyrobem medycznym“ bywa cienka. Jeśli agent przekracza rolę pomocniczą i wkracza w diagnozę lub terapię, może podlegać unijnemu rozporządzeniu o wyrobach medycznych (MDR) oraz wymogom dla zastosowań wysokiego ryzyka w AI Act. To zmienia cały proces dopuszczenia do użytku.

Trzeci czynnik to trwałość szkody. Błąd finansowy da się czasem odwrócić księgowo. Szkody na zdrowiu — nie zawsze. To podnosi wymóg wobec nadzoru człowieka: w zastosowaniach klinicznych agent powinien proponować, a nie rozstrzygać, a każda jego sugestia musi być jednoznacznie oznaczona jako wygenerowana przez AI i możliwa do zweryfikowania u źródła.

Ryzyko agenta AI w prawie: dlaczego najgroźniejsza jest pewna siebie nieprawda?

W prawie centralnym zagrożeniem nie jest ani przelew, ani dawka leku, lecz treść podana z autorytetem, która jest fałszywa. Model językowy potrafi wygenerować idealnie brzmiące, lecz nieistniejące orzeczenie, błędnie zacytować przepis albo pominąć kluczowy wyjątek. W kontekście prawniczym taka halucynacja nie jest usterką — jest porażką merytoryczną o realnych konsekwencjach dla klienta i dla odpowiedzialności zawodowej prawnika.

To zagrożenie ma udokumentowane precedensy: w kilku jurysdykcjach sądy nakładały sankcje na pełnomocników, którzy złożyli pisma z cytatami spraw zmyślonymi przez generatywną AI. Przesunięcie ciężaru zagrożeń polega tu na tym, że odpowiedzialność spoczywa na człowieku, który firmuje treść — agent nie ponosi konsekwencji dyscyplinarnych, ponosi je prawnik.

Drugi czynnik to tajemnica zawodowa i poufność. Materiały klienta są objęte tajemnicą; wprowadzenie ich do agenta korzystającego z zewnętrznego modelu rodzi pytanie, gdzie te dane trafiają, czy są wykorzystywane do trenowania i kto ma do nich dostęp. Prompt injection ukryty w przesłanym dokumencie procesowym może z kolei skłonić agenta do ujawnienia treści z innej sprawy znajdującej się w jego kontekście.

Trzeci czynnik to brak progu „wagi“ widocznego od razu. W finansach dużą transakcję widać po kwocie, w medycynie ryzyko sygnalizuje kontekst kliniczny. W prawie błąd bywa subtelny — jedno przeoczone zdanie w umowie czy błędna interpretacja terminu — a jego skutek ujawnia się dopiero w sporze. To wymaga obowiązkowej weryfikacji każdego źródła i każdego cytatu przez prawnika przed użyciem, traktowania wyniku agenta jako szkicu, nigdy jako gotowego stanowiska.

Jak wygląda model zagrożeń branżowych w jednej tabeli?

Wymiar	Finanse	Ochrona zdrowia	Prawo
Co jest stawką	nieodwracalna transakcja, środki klienta	bezpieczeństwo pacjenta, dane wrażliwe	trafność treści, tajemnica zawodowa
Najgroźniejszy wektor	błędne lub oszukańcze działanie agenta	eksfiltracja danych medycznych + ryzyko kliniczne	halucynacja podana jako pewnik
Odwracalność szkody	częściowa (księgowo)	często nieodwracalna	późna, ujawnia się w sporze
Kluczowe regulacje (UE/PL)	RODO, DORA, MiFID II, AI Act, KNF	RODO art. 9, MDR, AI Act	RODO, tajemnica zawodowa, AI Act
Rola człowieka	zatwierdzanie akcji powyżej progu	nadzór kliniczny, agent tylko proponuje	weryfikacja każdego źródła i cytatu
Domyślny tryb agenta	działanie za bramką zgody	wsparcie, nie rozstrzyganie	szkic, nie gotowe stanowisko

Co to zmienia w projektowaniu agenta dla branży regulowanej?

Wspólny wniosek z trzech sektorów: autonomia agenta powinna być odwrotnie proporcjonalna do wagi skutku. Im poważniejsza i mniej odwracalna konsekwencja akcji, tym ciaśniejsza bramka zatwierdzania i tym węższe uprawnienia. To zasada przenośna między branżami, mimo że szczegóły zagrożeń się różnią.

Praktyczny zestaw zabezpieczeń, który sprawdza się we wszystkich trzech sektorach:

1. Najmniejszy potrzebny zakres uprawnień — agent dostaje dostęp do konkretnego rekordu i konkretnej akcji, nie do całej bazy i pełnego API. Domyślnie odczyt, zapis tylko tam, gdzie konieczny.
2. Człowiek w pętli przy akcjach o wysokiej wadze — przelew powyżej progu, sugestia kliniczna, treść pisma procesowego. Agent proponuje, człowiek zatwierdza.
3. Izolacja treści niezaufanej — wszystko, co agent czyta z zewnątrz (e-mail, dokument, rekord), traktuj jako potencjalny nośnik prompt injection; oddzielaj dane od instrukcji.
4. Niezmienny ślad audytowy — każdy krok agenta, każde wywołanie narzędzia i każda decyzja zapisane tak, by dało się je odtworzyć przed regulatorem lub sądem.
5. Jawne oznaczanie wyników AI — odbiorca (klient, lekarz, prawnik) zawsze wie, że treść pochodzi od agenta i wymaga weryfikacji u źródła.

Ten wspólny szkielet wygodnie odwzorowuje się na listę OWASP Top 10 dla aplikacji agentowych (ASI01–ASI10), która porządkuje te same ryzyka w dziesięć nazwanych kategorii. Branżowa specyfika nakłada się na ten szkielet: w finansach mocniej akcentujesz progi i nadzór nad transakcjami, w ochronie zdrowia ochronę danych wrażliwych i status wyrobu medycznego, w prawie weryfikację źródeł i tajemnicę klienta. Punkt wyjścia jest jednak ten sam — najpierw rozpisz skutki i regulacje, dopiero potem zakres autonomii agenta.

Ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. Klasyfikację konkretnego systemu agentowego pod AI Act, RODO, DORA czy MDR zawsze potwierdź z prawnikiem lub specjalistą ds. zgodności znającym Twój przypadek.