Rozmowa ekspertów ISCG: Jakub Modrzewski – Digital Transformation Consultant oraz Julia Kmita – ekspertka ds. AI Governance.
Sztuczna inteligencja przenika obecnie każdy aspekt działalności biznesowej, a zjawisko Shadow AI to jedno z większych wyzwań w zarządzaniu bezpieczeństwem informacji. Te niewidoczne dla działów IT działania, opisują nieautoryzowane wykorzystanie narzędzi AI przez pracowników poza oficjalnym nadzorem organizacji. Nasi eksperci nakreślą specyfikę tego typu zagrożeń oraz wskażą, jak ramy prawne w tym Krajowy System Cyberbezpieczeństwa (KSC) i unijny AI Act, definiują odpowiedzialne podejście do tego wyzwania.
JK: Jakub, zacznijmy od podstaw, czym jest właściwie zjawisko Shadow AI i dlaczego stanowi tak duże niebezpieczeństwo dla firm?
JM: Shadow AI jest praktyką, w której pracownicy wykorzystują narzędzia generatywnej sztucznej inteligencji jak chat GPT czy Gemini bez wiedzy i zgody działów IT. Statystyki wskazują, że jedna trzecia firm nie ma pełnej świadomości ani kontroli nad użyciem narzędzi AI. To powoduje poważne ryzyko dla bezpieczeństwa danych i zgodności z obowiązującymi regulacjami, zwłaszcza w kontekście polskiego Krajowego Systemu Cyberbezpieczeństwa (KSC).
JK: A jaką rolę pełni najnowsza nowelizacja KSC z 2025 roku względem Shadow AI?
JM: Nowelizacja ta rozszerza obowiązki przedsiębiorstw, zwłaszcza w zakresie audytu, raportowania i kontroli nad technologiami cyfrowymi.
Kluczowe jej elementy to:
- rozszerzony katalog podmiotów objętych regulacjami,
- obligatoryjne wprowadzenie systemów detekcji i monitoringu ryzyk związanych z AI,
- obowiązek raportowania incydentów do CSIRT Polska, w tym tych związanych z nieuprawnionym użytkowaniem AI,
- audyty oraz dokumentowanie procesów AI,
- wzmocnienie współpracy między różnymi działami przedsiębiorstwa,
- sankcje za niedopełnianie obowiązków
JK: Jak te zmiany wiążą się z europejskim AI Act?
JM: AI Act, który wszedł w życie w 2024 roku, ustanawia unijne standardy dla transparentności, oceny ryzyka i audytowalności systemów AI, ze szczególnym naciskiem na te o wysokim ryzyku, a jego pełna implementacja zaplanowana jest na 2026 rok. Polski KSC w nowelizowanym kształcie jest krajowym odzwierciedleniem tych norm, tworząc spójny system regulacyjny sprzyjający zwiększaniu bezpieczeństwa i odpowiedzialności.
JK: A jaki jest poziom wdrożenia rzetelnych polityk zarządzania AI w kontekście powyższych regulacji?
JM: Według danych ISACA z 2025 roku, 62% firm nie ma formalnych procedur audytowych dla takich narzędzi. To determinuje pilną potrzebę opracowania i wdrożenia rzetelnych polityk zarządzania AI, co jest także wymogiem i rekomendacją KSC oraz AI Act.
JK: Wynika z tego, że większość firm stoi dopiero przed zadaniem adaptacji standardów bezpieczeństwa i zgodności, co zatem zrobić żeby Shadow AI było mniej lub nie było wcale?
JM: Jedną z przyczyn takiego stanu rzeczy jest złe przygotowanie organizacji do korzystania z AI (LLM Copilot), ze względów bezpieczeństwa Działy IT mocno ograniczają funkcjonalności i korzystanie z tego typu narzędzi jest utrudnione. Po drugie, w organizacji zmiany muszą zadziać się u podstaw, od opracowania i wdrożenia odpowiedniej polityki bezpieczeństwa informacji, przez procedurę obiegu, przechowywanie, hierarchizację dostępu, aż po klasyfikację informacji. Niemniej istotnym czynnikiem jest też fakt, że użytkownicy nie są odpowiednio przeszkoleni w bezpiecznym korzystaniu z AI i nie widzą jak oznaczać dokumenty, gdzie je przechowywać, jak udostępniać i czego nie udostępniać.
JK: Co organizacja może zrobić, żeby poprawić poziom bezpieczeństwa i możliwość korzystania z AI?
JM: Przede wszystkim wdrażać AI z głową, zaczynając od identyfikacji potrzeb biznesowych i POC, przez edukację i szkolenia użytkowników. Każdy użytkownik musi najpierw zrozumieć jak działa technologia AI, jakie use casey mogą być obsłużone, poznać rodzaje Copilotów i ich zastosowania, zainspirować się oraz przygotować do korzystania z funkcjonalności Copliot czy autonomicznych agentów w Copilot Studio. Ponadto, jak już wspomniałem, należy odpowiednio zaprojektować bezpieczeństwo informacji – określić klasyfikacje, etykiety, oraz odpowiednio skonfigurować Copliot, tak aby nie mógł sięgać do określonych plików czy bibliotek oraz wdrożyć odpowiedni monitoring oraz alerty w przypadku nieautoryzowanych działań. Z naszych doświadczeń w obszarze wdrożeń Copilot widać, że większość organizacji nie jest w stanie przeprowadzić takich działań samodzielnie. To swiąże się z wielowarstwowością rozwiązania, od jego konfiguracji poprzez bazowe ustawienia bezpieczeństwa ekosystemu Microsoft 365, aż po zrozumienie potrzeb biznesu, jak i z aspektu nieustannie zmieniających się regulacji prawnych implikujących wiele ograniczeń. To, co sprawdza się świetnie dla firm z którymi zaczynamy współpracę, to Copilot/AI Readiness Assessment, czyli sprawdzenie gotowości organizacji do wdrożenia Copilot lub innych usług opartych o AI.
JK: Dziękuję za rozmowę i już teraz zapraszam do śledzenia kolejnych odsłon cyklu tech-talk w eksperckim gronie ISCG.
Do zobaczenia.