Od 2 sierpnia 2026 r. zaczęły obowiązywać kolejne przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689, powszechnie określanego jako AI Act. Wśród nich znalazły się regulacje dotyczące transparentności określonych systemów sztucznej inteligencji. Nie oznacza to jednak, że ustawodawca nałożył powszechny obowiązek oznaczania każdej grafiki stworzonej przez AI, każdego tekstu przygotowanego przy pomocy ChatGPT czy każdej prezentacji wygenerowanej z wykorzystaniem narzędzi opartych na sztucznej inteligencji.

Jeszcze niedawno technologia deepfake była postrzegana przede wszystkim jako ciekawostka technologiczna i efekt dynamicznego rozwoju narzędzi opartych na sztucznej inteligencji. Dziś sytuacja wygląda zupełnie inaczej. Generatywna AI umożliwia stworzenie w ciągu kilku minut realistycznego nagrania wideo lub głosu, które dla przeciętnego odbiorcy może być niemal niemożliwe do odróżnienia od autentycznego materiału. Fałszywe wypowiedzi polityków, celebrytów, przedsiębiorców czy influencerów coraz częściej pojawiają się w mediach społecznościowych, a stale rosnąca dostępność narzędzi AI sprawia, że tworzenie tego rodzaju treści nie wymaga już specjalistycznej wiedzy ani zaawansowanego zaplecza technicznego.

Powierzenie danych dostawcy IT, operatorowi SaaS czy dostawcy chmury nie oznacza automatycznego przeniesienia odpowiedzialności za ich bezpieczeństwo. Cyberatak na zewnętrzny system może więc rodzić obowiązki nie tylko po stronie dostawcy technologii, ale również administratora danych. Wyjaśniamy, co w takich sytuacjach wynika z RODO, na co zwrócić uwagę w umowie z dostawcą IT i dlaczego outsourcing technologii nie oznacza outsourcingu całego ryzyka prawnego.

Inteligentne urządzenia generują dziś ogromne ilości danych. Samochód zapisuje informacje o przebiegu, parametrach pracy i błędach, smartwatch rejestruje dane dotyczące sposobu korzystania z urządzenia, a maszyna przemysłowa zbiera informacje z czujników temperatury, ciśnienia czy drgań. Problem polegał dotąd na tym, że choć dane powstawały podczas korzystania z produktu przez użytkownika, techniczną kontrolę nad nimi bardzo często zachowywał producent. Użytkownik mógł więc kupić kosztowną maszynę albo samochód, ale nadal nie mieć dostępu do danych generowanych przez własne urządzenie.

Do tej pory bezpieczeństwo oprogramowania w Unii Europejskiej regulowały różne, rozproszone przepisy. Nie było jednego wspólnego prawa, które obejmowałoby tak szeroką grupę sprzętu i programów. Cyber Resilience Act (CRA), czyli rozporządzenie (UE) 2024/2847, zmienia to, ustanawiając szeroki, prawnie wiążący obowiązek dbania o cyberbezpieczeństwo produktów. Dotyczy to nie tylko dużych producentów sprzętu, ale może również obejmować niewielkie firmy komercyjnie udostępniające na rynku UE nawet jedną aplikację, jeżeli spełnia ona definicję produktu z elementami cyfrowymi i nie korzysta z jednego z przewidzianych wyłączeń.

Ustawa o zarządzaniu danymi tworzy w naszym kraju nowe ramy bezpiecznego udostępniania i ponownego wykorzystywania danych, w tym zupełnie nową kategorię działalności regulowanej, czyli usługi pośrednictwa danych. Nie oznacza to jednak, że dane w administracji publicznej staną się nagle ogólnodostępne ani, tym bardziej, że straci na znaczeniu ochrona wynikająca z RODO, tajemnicy przedsiębiorstwa czy praw własności intelektualnej. Co więc regulują nowe przepisy?

CISO coraz rzadziej jest wyłącznie ekspertem technicznym odpowiedzialnym za zabezpieczenie systemów informatycznych. W świetle NIS2, DORA, przepisów o krajowym systemie cyberbezpieczeństwa oraz AI Act jego rola koncentruje się przede wszystkim na zarządzaniu ryzykiem technologicznym i bezpieczeństwem informacji. Dla inspektora ochrony danych właściwe umiejscowienie CISO w organizacji ma szczególne znaczenie – wpływa bowiem na skuteczność współpracy przy ocenie ryzyka, reagowaniu na incydenty i ochronie danych osobowych.

Shadow AI to zjawisko polegające na wykorzystywaniu przez pracowników narzędzi opartych na sztucznej inteligencji do realizacji zadań służbowych bez wiedzy, zgody lub nadzoru kierownictwa firmy. Dotyczy to m.in. publicznie dostępnych chatbotów, generatorów treści, asystentów programistycznych czy narzędzi do analizy dokumentów. Korzystanie z takich rozwiązań może prowadzić do niekontrolowanego ujawnienia informacji poufnych, tajemnic przedsiębiorstwa oraz danych osobowych, a w konsekwencji do naruszenia zasad bezpieczeństwa informacji i przepisów RODO. Aby ograniczyć ryzyko związane z Shadow AI, organizacja powinna uwzględnić je w analizach ryzyka, politykach bezpieczeństwa, procedurach ochrony danych oraz zasadach korzystania z narzędzi AI. Istotne są również szkolenia pracowników, określenie dozwolonych zastosowań sztucznej inteligencji i wdrożenie mechanizmów kontroli, które pozwolą zapobiegać przetwarzaniu danych poza wiedzą i kontrolą administratora.

Przez wiele lat outsourcing usług IT był postrzegany przede wszystkim jako sposób na ograniczenie kosztów i uzyskanie dostępu do specjalistycznej wiedzy technicznej. Przedsiębiorstwa przekazywały obsługę infrastruktury informatycznej, bezpieczeństwa sieci, hostingu czy rozwiązań chmurowych wyspecjalizowanym podmiotom, zakładając, że wraz z usługą przejmują one również znaczną część odpowiedzialności za bezpieczeństwo systemów. Współczesne regulacje dotyczące cyberbezpieczeństwa pokazują jednak, że takie założenie jest błędne.

Jedno zdarzenie związane z bezpieczeństwem może jednocześnie stanowić naruszenie ochrony danych osobowych w rozumieniu RODO oraz incydent podlegający przepisom ustawy o krajowym systemie cyberbezpieczeństwa. Organizacje powinny więc zadbać o właściwą kwalifikację zdarzenia, dotrzymanie terminów zgłoszeniowych oraz spójność dokumentacji przekazywanej do Prezesa UODO i właściwego CSIRT. Artykuł przedstawia praktyczną listę kontrolną oraz przykładowe zapisy, które można wykorzystać przy aktualizacji procedur bezpieczeństwa.