W kolejnym odcinku ISCG Tech-Talks Izabella Żernicka rozmawia z Piotrem Olszewskim, CTO ISCG, o tym, jak przygotować organizację do odpowiedzialnego i zgodnego z regulacjami wykorzystania sztucznej inteligencji. AI coraz mocniej przenika procesy biznesowe – niezależnie od tego, czy firma świadomie wdraża rozwiązania AI, czy po prostu korzystają z nich jej pracownicy.
Gotowość systemów zarządzania bezpieczeństwem informacji (SZBI) w erze AI
IŻ: Cześć Piotr, miło Cię usłyszeć w kolejnym odcinku ISCG Tech-Talks.
Dzisiaj ze mną jest Piotr Olszewski, nasz CTO, a rozmawiać będziemy o gotowości systemów zarządzania bezpieczeństwem informacji (SZBI) do symbiozy z AI.
PO: Cześć, dziękuję za zaproszenie i cieszę się, że mogę podzielić się swoimi doświadczeniami. Temat jest bardzo na czasie bo AI wchodzi w praktyce do każdej organizacji i czy ktoś tego chce czy nie, jest już wykorzystywana na co dzień.
IŻ: Odpowiednie przygotowanie firmy do użycia AI, to tak naprawdę klucz do bezpiecznego przejścia przez ten proces, a jest on wielopoziomowy, począwszy od obszaru regulacji prawnych, przez zgodność z politykami bezpieczeństwa, aż po całe spectrum szkoleń pracowników.
PO: Tak, jest właśnie tak jak powiedziałaś, to dosyć złożony proces. Ostatnio prowadziłem projekt dla Ministerstwa Finansów, gdzie mieliśmy pomóc w przygotowaniu organizacji do bezpiecznego wdrożenia i wykorzystania AI. Przekładając to na język praktyczny, mieliśmy ocenić na ile obecne procesy i polityki bezpieczeństwa są gotowe na wdrożenie AI,
a następnie opracować brakujące elementy systemu i wytyczne do zmian w organizacji.
Zaczęliśmy jak zwykle od dostosowania strategii i metody oceny do charakteru organizacji. Kolejnym krokiem było opracowanie list kontrolnych i pytań do zespołu Klienta. A następnie zaczęła się najciekawsza cześć pracy – czyli analiza potrzeb AI i analiza dokumentacji oraz budowanie brakujących elementów systemu bezpieczeństwa. Na końcu tego procesu przedstawiliśmy nasze rekomendacje i przeprowadziliśmy bardzo ciekawy warsztat pokazując jak można poradzić sobie z AI.
Ten warsztat obejmował:
- Przegląd obecnych rozwiązań AI na rynku.
- Podejście do budowy i wdrażania systemów AI wewnątrz organizacji i wykorzystanie systemów otwartych takich jak Chat GPT.
- Elementy metody oceny ryzyka związanego z AI
- Budowę kompetencji AI w poszczególnych obszarach organizacji.
- Zagadnienia prawne związane z AI, w tym sposoby oceny czy system, nad którym pracujemy jest w ogóle systemem AI i czy podlega regulacjom AI Act.
Czyli był to cały dzień intensywnych dyskusji.
Regulacje prawne i przewidziane sankcje
IŻ: Wspomniałeś o regulacjach. Powiedz proszę jakie mamy obecnie regulacje związane z AI?
PO: W Europie obowiązuje już Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. tzw. AI Act i oczywiście mamy też nieobowiązkowe, ale przydatne normy ISO z serii 42000.
IŻ: Czy wszystkie organizacje podlegają pod AI Act?
PO: Tak. Wszystkie organizacje w Europie, które wykorzystują AI i które oferują AI dla obszaru Unii Europejskiej.
IŻ: Czyli w zasadzie wszystkie firmy powinny się przygotować do wykorzystania AI?
PO: Tak. Wszystkie firmy powinny się do tego przygotować już teraz.
IŻ: Jakie są najważniejsze terminy wynikające z AI Act?
PO: Rozporządzenie już obowiązuje w pewnym zakresie od 2 sierpnia 2024 r. Od 2 lutego 2025 r. obowiązują przepisy dotyczące zakazanych praktyk w AI, a od 2 sierpnia 2025 r. obowiązują przepisy dotyczące organów nadzoru i modeli AI ogólnego przeznaczenia.
Natomiast od 2 sierpnia 2027 r. wejdą w życie przepisy dotyczące wszystkich innych systemów w tym systemów AI wysokiego ryzyka. Są tam oczywiście wyjątki i wyłączenia,
ale szczegółowe warunki omówimy na naszym następnym spotkaniu z Panem Mecenasem.
IŻ: Tak, to będzie przedmiotem rozmowy w kolejnym odcinku Tech-Talks, na który już serdecznie zapraszam. A co się stanie, jeśli organizacja nie dostosuje się do regulacji prawnych?
PO: Na początku doprecyzujmy, że sankcje są środkami, które mogą być użyte aby chronić rynek i obywateli Unii Europejskiej, a nie blokować biznes czy karać dostawców AI.
AI Act przewiduje sankcje finansowe do wysokości 35 000 000 EUR lub 7% globalnego rocznego obrotu, przy czym zastosowanie ma kwota wyższa za najcięższe z naruszeń, takie jak manipulacje danymi wrażliwymi, przez kary rzędu 15 000 000 EUR, lub 3% globalnego rocznego obrotu za naruszenia obowiązków dostawcy technologii AI, czy wreszcie 7 500 000 EUR albo (dla przedsiębiorstwa) do 1% globalnego rocznego obrotu za wprowadzanie w błąd przy raportowaniu i sprawozdawczości.
Są też kary, które mogą być nawet bardziej dotkliwe dla biznesu np. nakaz wycofania produktu z rynku, co może się skończyć w ekstremalnym przypadku upadkiem firmy, dla której był to główny obszar działalności.
Szczegóły sankcji omówimy dokładnie na następnym spotkaniu z Panem Mecenasem.
Należy jednak pamiętać, że oprócz ryzyka sankcji ze strony regulatora mamy tez cały szereg ryzyk. Podsumowując – lepiej się przygotować i ograniczyć ryzyko, tym bardziej, że w większości przypadków przygotowania wymagane przez AI Act nie są bardzo skomplikowane, znacznie bardziej skomplikowane jest zarzadzanie bezpieczeństwem systemów AI, których AI Act nie dotyka.
Regulacje AI Act tworzą fundament, bez którego trudno myśleć o odpowiedzialnym wdrażaniu sztucznej inteligencji. Choć przepisy i sankcje wydają się skomplikowane, to zaledwie pierwszy krok — bo największym wyzwaniem jest praktyczne zarządzanie bezpieczeństwem systemów AI na co dzień.
W drugiej części przechodzimy właśnie do tego praktycznego wymiaru:
- realnych zagrożeń,
- analizy ryzyka,
- incydentów,
- budowania bezpiecznego środowiska pracy z AI.
Zapraszamy do lektury drugiej części rozmowy.