MiCA, DORA, Akt w sprawie AI i NIS2: jak unijne przepisy wypychają start-upy i małe firmy z Europy

Utrzymuję się z regulacji UE. Klienci zgłaszają się do nas, ponieważ MiCA, przepisy dotyczące przeciwdziałania praniu pieniędzy i pozostałe elementy europejskich regulacji są zbyt trudne do samodzielnego obsłużenia, a my robimy to za nich. Nie jest to więc skarga osoby, która traci, gdy Bruksela uchwala nowe prawo. Jeśli już, to zyskuję.

A jednak, patrząc na to, co w ostatnich latach spadło na małe i średnie przedsiębiorstwa (SMEs), uważam, że Europa popełnia błąd. Nie chodzi o jeden źle napisany akt. Chodzi o sumę wszystkich, tempo, w jakim UE się koryguje, oraz o to, że rachunek trafia do firm najmniej zdolnych go zapłacić. Nasze stanowisko w sprawie regulacji AI przedstawiono szczegółowo w osobnym tekście; ten dotyczy wzorca obecnego w całym zbiorze przepisów.

Jedna warstwa na drugiej

Oto czego obecnie regulacje UE wymagają od europejskiej spółki, zależnie od jej działalności.

• GDPR dla każdego, kto posiada dane osobowe.
• Akt o usługach cyfrowych i Akt o rynkach cyfrowych dla platform internetowych i platform handlowych.
• Akt w sprawie danych dla urządzeń podłączonych do sieci i umów chmurowych.
• NIS2 i Akt w sprawie cyberodporności dla cyberbezpieczeństwa oraz produktów zawierających oprogramowanie.
• MiCA dla usług w zakresie kryptoaktywów.
• DORA dla banków, firm płatniczych i kryptowalutowych oraz obsługujących je dostawców IT.
• Akt w sprawie AI dla każdego, kto tworzy systemy AI lub wykorzystuje je w działalności.
• Nowe rozporządzenie AML z nadzorcą na poziomie UE, AMLA.
• eIDAS 2.0 z portfelami tożsamości cyfrowej.
• Obowiązki sprawozdawcze dotyczące transferów kryptowalut (travel rule), danych podatkowych dotyczących kryptowalut (DAC8), zrównoważonego rozwoju (CSRD) i łańcuchów dostaw (CSDDD).

Żaden z tych aktów nie jest drobny. Każdy ma własne definicje, formularze, nadzorcę i kary. Fintech zatrudniający dwanaście osób może jednocześnie podlegać pięciu lub sześciu z nich.

Każdą ustawę można uzasadnić. Nie ich stos

Rozpatrywana osobno każda z tych ustaw odpowiada na realny problem. Pieniądze klientów nie powinny znikać po upadku giełdy kryptowalut, bank nie powinien przestać działać, ponieważ jego dostawca chmury miał złą noc, a nikt nie chce, by o przyznaniu kredytu decydowało oprogramowanie bez możliwości sprawdzenia wyniku przez człowieka. Jeśli argumentuje się przeciwko którejkolwiek z tych ustaw z osobna, przegrywa się — i słusznie.

Problemem jest suma, a problemem jest czas. Komisja zaproponowała Akt w sprawie AI w kwietniu 2021, a UE przyjęła go w 2024. Jego główne zasady dotyczące AI wysokiego ryzyka, na przykład systemów stosowanych przy rekrutacji, ocenie zdolności kredytowej lub edukacji, miały obowiązywać od 2 sierpnia 2026. W lipcu 2026, na kilka tygodni przed tą datą, UE przyjęła korektę nazwaną Digital Omnibus on AI. Przesunęła ona zasady na grudzień 2027, a dla AI wbudowanej w regulowane produkty — na sierpień 2028. Oficjalnym powodem był brak gotowości norm technicznych i krajowych nadzorców. Pięć lat po propozycji mechanizmy mające egzekwować prawo nie istniały. Firmy, które przez dwa lata przygotowywały się do sierpnia, przygotowywały się na datę, która się zmieniła.

Tak w praktyce wygląda powolność. Przepisy wchodzą w życie. Korekty pojawiają się dwa lub trzy lata po tym, gdy wszyscy dostrzegają problem, w formie kolejnego rozporządzenia.

Dlaczego te same zasady kosztują małą firmę więcej

To właśnie najbardziej mi przeszkadza. Koszt zgodności prawie nie zależy od wielkości firmy. Podręcznik polityk, rejestr dostawców IT, procedura zgłaszania incydentów, zewnętrzny audyt, wniosek licencyjny: kosztują mniej więcej tyle samo, niezależnie od tego, czy obsługuje się 50 klientów, czy 5 milionów.

DORA jest najjaśniejszym przykładem. W badaniu Deloitte wśród instytucji finansowych z 28 krajów europejskich, opublikowanym w marcu 2025, około dwie trzecie respondentów spodziewało się wydać na zgodność od €2 milionów do €5 milionów, a tylko jeden na dziesięciu oczekiwał kosztu poniżej €2 milionów. Duży bank to absorbuje. Instytucja płatnicza zatrudniająca dwadzieścia osób nie może, a dla najmniejszych firm rachunek za zgodność może przekroczyć wartość rynku UE dla nich.

MiCA opowiada tę samą historię liczbami. Przed MiCA, według danych branżowych, ponad tysiąc firm posiadało krajowe rejestracje kryptowalutowe w całej UE. Okres przejściowy zakończył się 1 lipca 2026, a do października 2026 rejestr ESMA wymieniał około 370 autoryzowanych dostawców. Część brakujących firm zasługiwała na odejście. Wiele innych było małych, lokalnych i legalnych, a odeszły, ponieważ licencja MiCA (zezwolenie CASP) kosztuje sześciocyfrowe kwoty na doradców, kapitał i czas zarządu, których giełda założona przez dwie osoby nie ma. Osobno omawiałem co MiCA zrobiło z europejskimi start-upami kryptowalutowymi; tutaj jest to jeden przykład szerszego wzorca.

Duzi gracze rzadko narzekają. Dla dobrze finansowanego obecnego uczestnika rynku każdy nowy akt jest fosą: zespół ds. zgodności już istnieje, prawnicy są na stałym zleceniu, a każda nowa zasada podnosi cenę wejścia dla każdego, kto chce konkurować. Regulacja napisana dla ochrony konsumentów kończy się ochroną udziału w rynku.

Dokąd idą założyciele

Start-upy są mobilne w sposób, w jaki banki nie są. Założyciel z pomysłem i laptopem porównuje kraje tak, jak reszta z nas porównuje loty. Gdy Apple i Meta postanowiły w 2024 wstrzymać nowe funkcje AI dla użytkowników z UE, powołując się na Akt o rynkach cyfrowych i „nieprzewidywalne” otoczenie regulacyjne, nagłówki dotyczyły dwóch gigantów. Cichszy skutek dotknął każdego europejskiego dewelopera, który chciał budować na tych modelach i musiał teraz czekać albo się przenieść.

W mojej pracy ten wzorzec jest mniej dramatyczny, ale równie stały. Pytanie zadawane przez założycieli zmieniło się z „czy możemy uzyskać licencję w Estonii” na „czy europejska licencja w ogóle jest warta zachodu w porównaniu z Dubajem, Singapurem lub stanem USA”. Kilka lat temu to drugie pytanie było rzadkie. Dziś jest rutynowe i nie zawsze potrafię ich od tego odwieść.

Liczby mówią to samo. Badanie Europejskiego Banku Inwestycyjnego opublikowane w styczniu 2026 r. wykazało, że w latach 2008–2021 niemal 30% europejskich jednorożców, czyli start-upów wycenianych na ponad $1 miliard, przeniosło swoje siedziby poza UE. Większość trafiła do Stanów Zjednoczonych, a na czele były technologie cyfrowe, AI i biotechnologia. Mario Draghi powiedział resztę w swoim raporcie o konkurencyjności Europy z września 2024 r.: obciążenia regulacyjne nakładają zbyt wiele ograniczeń na innowacje i utrudniają start-upom rozwój. Dwa lata później, według obserwatorium Draghiego przy European Policy Innovation Council, tylko 16% śledzonych przez nie działań zostało w pełni wdrożonych. Diagnoza jest przyjęta. Leczenie postępuje wolno.

Dlaczego Tallinn nie może naprawić tego, co napisała Bruksela

Estonia jest dobrym miejscem, by to obserwować. Jest mała, cyfrowa i na ogół rozsądna w sprawach biznesu. W tej kwestii jest również niemal bezsilna.

MiCA, DORA i Akt w sprawie AI są rozporządzeniami, a nie dyrektywami. Dyrektywa wyznacza cel i pozwala każdemu krajowi napisać własną ustawę; rozporządzenie obowiązuje słowo w słowo w każdym państwie członkowskim i żaden parlament w Tallinn, Wilnie ani Lizbonie nie może złagodzić ani jednego artykułu. Krajowy margines działa tylko w jednym kierunku: kraj może zawsze być bardziej rygorystyczny niż Bruksela, ale nie może być łagodniejszy.

Gdy więc założyciel mówi mi, że Estonia powinna „po prostu to naprawić”, muszę wyjaśnić, że rozwiązanie zależy od 27 rządów, Komisji, Parlamentu i cyklu legislacyjnego mierzonego latami. Od początku 2025 Komisja przedstawiła dwanaście pakietów „omnibus”, z których każdy jednocześnie zmienia kilka ustaw, i obiecała zmniejszyć obciążenie administracyjne o co najmniej 25%, a dla SMEs o 35%, przed końcem swojej kadencji. Stowarzyszenia biznesowe twierdzą, że dotychczasowy rezultat nawet nie zbliża się do tych liczb. Wierzę im, bo czytam te teksty.

Europa sama ogranicza ryzyko

Każdy, kto w ostatnich latach miał do czynienia z bankiem, zna słowo de-risking. Klient wygląda nieco nietypowo, koszt jego monitorowania przekracza opłaty, które wnosi, więc rachunek zostaje zamknięty. Bez oszustwa, bez naruszenia — tylko tańsza decyzja dla banku. Klient szuka innego banku, często w innym kraju, a raport ryzyka banku wygląda lepiej niż wcześniej.

Coraz częściej uważam, że Unia Europejska robi to samo z całymi sektorami. Kryptowaluty wydawały się ryzykowne, więc Europa stworzyła MiCA i obserwowała, jak większość firm z rejestracjami krajowymi odpada. AI wydaje się ryzykowne, więc Europa napisała pierwszą na świecie kompleksową ustawę o AI, zanim miała branżę AI wystarczająco dużą, by odpowiedzieć. Za każdym razem ryzyko spada, a wraz z nim spada działalność, która to ryzyko niosła. W bilansie liczącym tylko uniknięte ryzyka jest to sukces. W bilansie liczącym założone firmy i utworzone miejsca pracy — nie.

Pod spodem działa cichszy mechanizm. Instytucja, której wyniki mierzy się liczbą regulacji, będzie produkować regulacje. Każdy akt potrzebuje wytycznych, norm technicznych i pytań i odpowiedzi, następnie nadzorcy do ich stosowania, a potem pakietu omnibus, by naprawić to, co zepsuły wytyczne. Każdy krok dodaje pracowników potrzebnych przy następnym akcie. Nikt w tym łańcuchu nie działa w złej wierze. Proces po prostu nie ma wbudowanego powodu, by się zatrzymać, a nikt w nim nie płaci za start-up, który nigdy nie powstał.

Trzy scenariusze dla europejskich start-upów

Aby to skonkretyzować, oto dokąd, moim zdaniem, zmierza część europejskiej gospodarki związana ze start-upami. Punkt odniesienia stanowi Dealroom: w UE co roku powstaje około 14 800 start-upów, około 4 400 z nich pozyskuje finansowanie zewnętrzne, a UE jest siedzibą około 450 jednorożców. Europa jako całość, wraz z Wielką Brytanią, pozyskała rekordowe 19% globalnego kapitału venture capital w 2023 r. i 16% w 2024 r., podczas gdy Stany Zjednoczone pozyskały 57%.

Dlaczego w pierwszym scenariuszu spadek, a nie załamanie? Ponieważ przepisy uderzają w założycieli w momencie decyzji, a nie w istniejące firmy. Bank we Frankfurcie nie odejdzie z powodu DORA. Trzyosobowy start-up AI w Tartu po prostu rejestruje się zamiast tego w Delaware i przez pewien czas zatrzymuje deweloperów w kraju. UE traci siedzibę, bazę podatkową i wyjście z inwestycji, a przez jakiś czas zachowuje listę płac.

A dlaczego trzeci scenariusz nie jest fantazją? Ponieważ jego liczby są bliskie temu, gdzie Europa już była w najlepszym okresie: udział 19–20% w światowym venture capital osiągnięto kilka lat temu, zanim obecna warstwa zasad zaczęła obowiązywać. Pisanie regulacji UE z myślą o małych firmach nie kosztowałoby Europy ochrony konsumentów. Kosztowałoby kilka akapitów redakcyjnych.

Argumenty drugiej strony

Nie zasługiwałbym na poważne traktowanie, gdybym udawał, że zbiór przepisów nie ma zalet, więc oto one. Jedna licencja MiCA pozwala firmie obsługiwać klientów we wszystkich 30 krajach UE i EOG; wcześniej firma kryptowalutowa potrzebowała 27 odrębnych rozmów z 27 regulatorami. GDPR stało się globalnym wzorem prawa o prywatności. Jedno rozporządzenie AML powinno teoretycznie zakończyć sytuację, w której klient zaakceptowany w jednym państwie członkowskim zostaje odrzucony w następnym. Harmonizacja jest realnym dobrem i korzystam z niej każdego dnia.

Uczciwy kompromis jest taki. Harmonizacja w skali europejskiej jest kupowana kosztem szybkości i strukturą kosztów, która najmocniej uderza w najmniejszych. Europa zdecydowała, głównie domyślnie, że woli bezpieczny rynek od szybkiego. To uzasadniony wybór. Uważam tylko, że powinien być dokonywany otwarcie, z dołączoną ceną, zamiast odkrywać ją po jednym pakiecie omnibus naraz.

Co Europa powinna zrobić zamiast tego

Nie twierdzę, że Europa powinna przestać regulować. Twierdzę, że Europa powinna przestać regulować trzyosobowy start-up tak, jakby był bankiem. Mały zespół nie może prowadzić działu ds. zgodności, a ustawa, która po cichu zakłada jego istnienie, nie jest zasadą bezpieczeństwa, lecz barierą wejścia. Sześć zmian usunęłoby większość szkód, a żadna nie jest radykalna: każda ma już precedens gdzieś w prawie UE.

1. Rzeczywiste progi wielkości zapisane w akcie. Poniżej własnej definicji małego przedsiębiorstwa UE (mniej niż 50 pracowników i obrót poniżej €10 milionów) ciężkie obowiązki w ogóle nie powinny obowiązywać albo powinny obowiązywać w krótkiej, stałej formie. GDPR już tak czyni w odniesieniu do prowadzenia rejestrów na podstawie art. 30(5), który zwalnia większość organizacji zatrudniających mniej niż 250 pracowników, a w 2025 Komisja zaproponowała rozszerzenie tego zwolnienia. Ta sama logika powinna znaleźć się w DORA, NIS2 i Akcie w sprawie AI.
2. Normy przed rozpoczęciem stosowania prawa. Żaden obowiązek nie powinien wejść w życie, dopóki nie istnieją normy techniczne i co najmniej jeden nadzorca w każdym państwie członkowskim nie jest gotowy je stosować. Opóźnienie Aktu w sprawie AI boleśnie dowiodło tej kwestii. Zasada powinna zostać zapisana, aby następny akt nie potrzebował pakietu omnibus do ratowania go.
3. Najpierw piaskownice, potem egzekwowanie. Nowy sektor powinien otrzymać nadzorowany okres testowy, w którym firma może działać pod obserwacją regulatora przed wymogiem pełnej licencji. Akt w sprawie AI obiecuje takie piaskownice, lecz przesunięto je na sierpień 2027, po części obowiązków. Kolejność powinna być odwrotna.
4. Jeden nadzorca na firmę. Fintech zatrudniający dwanaście osób może obecnie odpowiadać osobno przed nadzorcą finansowym, FIU, organem ochrony danych, a wkrótce organem AI. Model GDPR „jednego punktu kontaktowego”, w którym jeden wiodący organ obsługuje firmę, pokazuje właściwy model. Należy go rozszerzyć na cały zbiór przepisów.
5. Data wygaśnięcia w każdym akcie. Jeżeli rozporządzenie wygasa, chyba że zostanie ponownie potwierdzone po rzeczywistym przeglądzie kosztów, korekta staje się obowiązkowa, a nie polityczną przysługą. Pakiet omnibus staje się zasadą, a nie ratunkiem.
6. Policzmy firmę, która nigdy nie powstała. Każda ocena skutków UE mierzy koszt dla istniejących przedsiębiorstw. Żadna nie mierzy start-upów, które zamiast tego wybrały Delaware, Dubaj lub Singapur. Dopóki tej liczby nie będzie na stole, osoby opracowujące następny akt będą nadal zaniżać jego koszt.

Nie oznacza to kopiowania Stanów Zjednoczonych, które nadal nie mają kompleksowej federalnej ustawy o AI i jedynie mozaikę zasad stanowych, ani Wielkiej Brytanii, która dotąd postanowiła nie przyjmować jednego aktu o AI i prosi istniejących regulatorów o stosowanie zestawu zasad. Oznacza przyznanie, że są to miejsca, z którymi europejski założyciel obecnie porównuje Europę. Dodajmy EU Inc., jednolitą europejską formę spółki zaproponowaną w marcu 2026, z rejestracją w mniej niż 48 godzin za mniej niż €100 i bez minimalnego kapitału, jak obiecuje Komisja, a Europa otrzymałaby ofertę, z której mały zespół może rzeczywiście skorzystać.

Co mówię założycielom

Moja rada dla założycieli stała się nudno praktyczna. Traktujcie koszty zgodności jako pozycję w koszcie własnym sprzedaży, a nie jednorazową opłatę prawną. Wybierajcie kraj UE według jakości regulatora i szybkości rejestru, ponieważ same zasady będą wszędzie takie same. Wykorzystujcie okresy przejściowe i opóźnienia pakietów omnibus jako czas na budowę, a nie jako przyzwolenie na ignorowanie prawa; zasady Aktu w sprawie AI dotyczące wysokiego ryzyka zostały odroczone, a nie anulowane. A jeśli model biznesowy działa tylko poza zbiorem przepisów UE, przyznajcie to wcześnie — przed wnioskiem licencyjnym, a nie po nim.

Budowanie firmy w Europie mimo zbioru przepisów

Europa nadal jest dobrym miejscem do prowadzenia firmy i mówię to klientom co tydzień. Celem tego tekstu nie jest odwodzenie kogokolwiek od Estonii lub UE. Chodzi o stwierdzenie, że regulacje UE są rzeczywistym kosztem i należy je uwzględniać od pierwszego dnia. Właściwa struktura, właściwa ścieżka licencyjna i właściwy kraj w UE mają teraz większe znaczenie niż pięć lat temu. Jeśli rozważają Państwo takie wybory dla nowej lub istniejącej firmy, nasz zespół w Eesti Firma może przeprowadzić Państwa przez to, co zasady faktycznie będą oznaczać w Państwa przypadku — od założenia spółki po licencjonowanie.

Wyślij zapytanie