ESMA rusza z kontrolą krypto i AI

ESMA bierze pod lupę tokenizację i AI

Europejski Urząd Nadzoru Giełd i Papierów Wartościowych, czyli ESMA, zapowiedział nowy obszar nadzoru na poziomie Unii Europejskiej. Od 2027 roku regulator ma skoncentrować się na dwóch technologiach, które coraz mocniej zmieniają rynek finansowy: tokenizacji oraz sztucznej inteligencji.

W praktyce oznacza to, że krajowe organy nadzoru mają zacząć zbierać informacje o tym, gdzie rozwijają się projekty oparte na tych rozwiązaniach i w jaki sposób firmy wykorzystują je w produktach trafiających bezpośrednio do klientów.

Co dokładnie będzie sprawdzane

ESMA chce przede wszystkim ocenić:

• jak firmy komunikują klientom użycie nowych technologii,
• czy produkty oparte na tokenizacji są dla inwestorów wystarczająco zrozumiałe,
• jakie ryzyka niesie wykorzystywanie systemów AI,
• czy podmioty nie są nadmiernie uzależnione od zewnętrznych dostawców technologii.

Regulator zwraca uwagę, że algorytmy mogą generować zniekształcone lub mylące wyniki, a same produkty finansowe oparte na nowoczesnych rozwiązaniach bywają trudne do oceny dla przeciętnego inwestora.

W tle rośnie znaczenie tokenizacji w Europie

Decyzja ESMA nie pojawia się przypadkowo. Tokenizacja w Europie wyraźnie przyspiesza, a równolegle rozwijają się inicjatywy, które mają umożliwić rozliczanie tokenizowanych aktywów w bezpieczniejszy i bardziej uporządkowany sposób.

W jednym z takich projektów Europejski Bank Centralny uruchomił system Pontes, dzięki któremu banki mogą rozliczać tokenizowane papiery wartościowe bezpośrednio w pieniądzu banku centralnego. W przedsięwzięciu uczestniczy kilka niemieckich instytucji.

Równolegle rusza kontrola cyberodporności firm krypto

Nowy kierunek nadzoru ESMA nie dotyczy wyłącznie tokenizacji i AI. Osobno regulator uruchomił też skoordynowaną kontrolę dotyczącą cyberodporności oraz odporności operacyjnej firm świadczących usługi w zakresie kryptoaktywów, zwłaszcza tych oferujących custody, czyli przechowywanie aktywów klientów.

Sprawdzenia mają objąć m.in.:

• zarządzanie kluczami kryptograficznymi,
• mechanizmy kontroli transakcji,
• wykrywanie i reagowanie na incydenty,
• ryzyka związane ze smart contractami,
• zależność od zewnętrznych dostawców.

Kontrole będą prowadzone przez krajowe urzędy nadzoru w państwach członkowskich na podstawie analizy ryzyka.

MiCA wchodzi w etap egzekwowania

To ważny moment dla branży, bo wraz z końcem okresu przejściowego MiCA wszystkie firmy krypto działające w Unii Europejskiej muszą mieć odpowiednie zezwolenia. Według dostępnych danych autoryzację uzyskało obecnie około 280–283 CASP, podczas gdy przed terminem licencję miało 243 podmioty.

ESMA chce teraz sprawdzić, czy samo uzyskanie licencji faktycznie przekłada się na wyższy standard działania. Do analizy mają trafić między innymi:

• ramy zarządzania,
• sposób przechowywania kluczy,
• kontrola transakcji,
• reagowanie na awarie i incydenty,
• ryzyka związane ze smart contractami,
• zależność od zewnętrznych usługodawców.

DORA i MiCA idą razem

Nowa inicjatywa ESMA opiera się na dwóch filarach regulacyjnych. Pierwszym jest MiCA, czyli unijne ramy dla firm krypto. Drugim DORA, które ustala szersze zasady dotyczące zarządzania ryzykiem ICT, cyberbezpieczeństwa i ciągłości działania w sektorze finansowym.

ESMA podkreśla, że takie skoordynowane akcje pozwalają zebrać jednolity obraz sytuacji w całej Unii Europejskiej i lepiej wyłapywać problemy, które mogą dotyczyć całego rynku.

Co dalej

Pierwsze przeglądy mają potrwać od drugiej połowy 2026 roku do pierwszej połowy 2027 roku, a zbiorczy raport ma trafić do Rady Nadzorców ESMA w drugiej połowie 2027 roku.

Jeśli w trakcie kontroli wyjdą na jaw poważne problemy, na przykład w obszarze zarządzania kluczami lub nadmiernej zależności od zewnętrznych dostawców, może to otworzyć drogę do kolejnych wymogów regulacyjnych. Dla firm z rynku krypto oznaczałoby to jeszcze większą presję na zgodność z przepisami i bezpieczeństwo operacyjne.