Sztuczna inteligencja na stałe wpisała się w procesy firm i życie prywatne. W 2026, wraz z pełnym wejściem w życie przepisów AI Act oraz Cyber Resilience Act, technologie te przestały być wyłącznie domeną innowacji, a stały się obszarem realnego ryzyka zarówno prawnego, jak i finansowego dla organizacji czy zarządów.
Oprócz standardowych wdrożeń obejmujących szeroko pojęte AI, częstych warsztatów o nazwie Mistrz promptowania, prowadzimy całkiem sporo konsultacji z zakresu oceny ryzyka wykorzystania AI, adaptacji polityki bezpieczeństwa, czy samego audytu systemów i ich przygotowania do udostępniania danych wykorzystywanych przez systemy AI.
Dlaczego jest to kluczowe dla Zarządu właśnie teraz?
- Zgodność z AI Act i ochrona prawna: Forma zabezpieczenia dla Zarządu w kontekście osobistej odpowiedzialności za nadzór nad nowymi technologiami. Wykazanie wykonania dobrych praktyk w celu zabezpieczenia systemów i edukacji personelu jeśli temat dotyczy AI
- Kontrola nad „Shadow AI”:Obecnie największym ryzykiem nie jest brak AI, lecz jej niekontrolowane użycie przez pracowników. Często o tym piszę, np. wprowadzanie danych wrażliwych, niejednokrotnie do modeli wykupionych prywatnie przez pracowników lub ich bezpłatnych wersji. Wdrożenie procesów pozwoli nam na ich uszczelnienie oraz zapobiega wyciekom danych poufnych.
- Jasny komunikat do rynku:Klienci i partnerzy biznesowi coraz częściej wymagają dowodów na to, że dostarczane przez nas rozwiązania AI są etyczne, bezpieczne i wolne od halucynacji. W ten sposób obniżamy, czy też eliminujemy efekt podania do klientów informacji uważanych jako własne, a de facto w sposób niekontrolowany w 100% wytworzonych przez AI (skutek: utrata wizerunku, kolejne kłopoty finansowe).
Proponowane pierwsze kroki:
- Powołanie multidyscyplinarnego zespołu – my w naszych projektach używamy połączenia sił IT i prawnych
- Przeprowadzenie audytu zerowego, który określi dokładny koszt i czas wdrożenia. Standardowa analiza ryzyka, audyt, spisanie stanu bieżącego, kolejne kroki
- Inwentaryzacja wszystkich narzędzi AI wykorzystywanych wewnątrz organizacji, a jest ich całkiem sporo i oby to był tylko ChatGPT, a nie systemy chińskie typu DeepSeek. Tutaj warto zaznaczyć, że nasi bezpiecznicy nie polecają instalacji tych aplikacji na urządzeniach mobilnych, ponieważ aplikacje są uprawnione do cichego dostępu do schowka, plików, mikrofonu. Więc z definicji niepotrzebna powierzchnia ataku.
Na koniec trochę pytań, które są punktem wyjścia do stworzenia polityki zarządzania AI:
Polityki dotyczące AI
- Czy posiadamy spójną Politykę AI(osobną lub zintegrowaną z Bezpieczeństwem Informacji)?
- Czy polityka ta jest regularnie przeglądana pod kątem zmian w prawie (np. AI Act)?
Organizacja wewnętrzna
- Czy role i odpowiedzialności za systemy AI są jasno rozdzielone?
- Czy wyznaczyliśmy „właścicieli modeli” (tzw. AI Owners)?
- Czy mechanizmy raportowania incydentów AI (np. halucynacji) są aktywne?
Zasoby dla AI
- Czy zapewniamy odpowiednie zasoby techniczne (moc obliczeniowa, dane)?
- Czy mamy kompetentnych ludzi (lub plan ich szkolenia)?
- Czy środowisko, w którym działa AI, jest stabilne i monitorowane?
Analiza wpływu systemów AI
- Czy przeprowadzamy ocenę skutków (AI Impact Assessment)dla każdego wdrożonego modelu?
- Czy oceniamy wpływ na prawa podstawowe i etykę?
- Czy wyniki tych ocen wpływają na decyzję o uruchomieniu systemu?
Cykl życia systemu AI
- Czy mamy ramy zarządzania całym cyklem życia (od koncepcji po wycofanie)?
- Czy wymagania dla AI są precyzyjnie zdefiniowane?
- Czy proces projektowania uwzględnia etykę (Privacy/Ethics by Design)?
- Czy weryfikujemy i walidujemy modele (testy na bias, halucynacje)?
- Czy proces wdrażania jest kontrolowany?
- Czy monitorujemy systemy w czasie rzeczywistym po uruchomieniu?
- Czy mamy procedury wycofywania modeli (Retirement)?
Dane dla systemów AI
- Czy dbamy o jakość danych(reprezentatywność, czystość)?
- Czy wiemy, skąd pochodzą dane (provenance)?
- Czy proces przygotowania danych (data labeling) jest nadzorowany?
- Czy chronimy prywatność w danych treningowych?
Informacje dla interesariuszy
- Czy informujemy użytkowników, że wchodzą w interakcję z AI?
- Czy dokumentacja systemu jest zrozumiała dla osób nietechnicznych (np. Zarządu/Klienta)?
Użytkowanie systemów AI
- Czy pracownicy wiedzą, jak bezpiecznie korzystać z AI (instrukcje promptowania)?
- Czy monitorujemy, jak AI zmienia procesy w firmie?
- Czy mamy procedury reagowania na anomalie w działaniu AI?
Relacje z dostawcami
- Czy weryfikujemy dostawców co i w jaki sposób dostarczają jeśli chodzi o wykorzystanie AI i wykorzystanie naszych danych?
- Czy w umowach z dostawcami mamy zapisy o odpowiedzialności za błędy AI?
- Czy oceniamy ryzyka związane z korzystaniem z zewnętrznych API?
Potrzebujesz dostosować politykę bezpieczeństwa lub przeprowadzić audyt w zakresie udostępniania danych wykorzystywanych przez firmowe systemy AI? Skontaktuj się z autorem: https://outlook.office.com/book/Konsultacjewobszarzeaplikacjibiznesowych@ISCG.onmicrosoft.com/s/fKddgNyppECh3KThb8VNMw2?ismsaljsauthenabled