Sztuczna inteligencja a cyberbezpieczeństwo – nowe zagrożenia, NIS 2/UKSC i bezpieczne korzystanie z AI

Sztuczna inteligencja jest już wykorzystywana w organizacjach na wiele sposobów: w komunikacji, analizie dokumentów, obsłudze klientów, pracy zespołów prawnych, HR, sprzedaży i IT. Część tych zastosowań jest wdrażana oficjalnie, część pojawia się oddolnie, bez wiedzy i kontroli organizacji. W obu przypadkach AI zmienia sposób myślenia o cyberbezpieczeństwie, ochronie danych i odpowiedzialności za decyzje podejmowane w procesach biznesowych.

W ramach szkolenia zostanie omówione jak AI wpływa na bezpieczeństwo organizacji na trzech poziomach. Po pierwsze, wzmacnia działania atakujących – ułatwia tworzenie wiarygodnych wiadomości phishingowych, podszywanie się pod osoby decyzyjne oraz przygotowywanie fałszywych materiałów audio i wideo. Po drugie, AI sama może stać się źródłem ryzyka, gdy działa w procesach organizacji, analizuje treści od osób trzecich, korzysta z danych firmowych lub wykonuje działania jako agent. Po trzecie, korzystanie z AI oznacza zależność od dostawcy: jego modelu, infrastruktury, zasad przetwarzania danych, retencji, ciągłości usługi i warunków umowy.

Program ma charakter praktyczny, decyzyjny i prawny. Uczestnicy poznają ryzyka, które powinny zostać uwzględnione w zasadach korzystania z AI, politykach wewnętrznych, umowach z dostawcami oraz w ocenie obowiązków wynikających z NIS2/KSC, RODO, AI Act.

Cel szkolenia

Celem szkolenia jest pokazanie, jak korzystanie z rozwiązań opartych na sztucznej inteligencji zmienia ryzyka w obszarze cyberbezpieczeństwa, ochrony danych i ciągłości działania oraz jak przełożyć te ryzyka na konkretne decyzje organizacyjne, prawne i kontraktowe.

Po szkoleniu uczestnik będzie potrafił rozpoznać najważniejsze kategorie ryzyk w obszarze cyberbezpieczeństwa związanych z AI, ocenić, które zastosowania wymagają dodatkowego nadzoru, wskazać podstawowe zasady bezpiecznego korzystania z narzędzi AI, zidentyfikować kluczowe obszary umowy z dostawcą oraz powiązać korzystanie z AI z obowiązkami wynikającymi z NIS2/KSC, RODO i AI Act.

Na szkoleniu dowiesz się:

• jak AI zmienia sposób działania atakujących, w tym przy phishingu, deepfake’ach i podszywaniu się pod osoby decyzyjne,
• dlaczego narzędzie AI działające w procesach organziacji wymaga innych zasad kontroli niż zwykła aplikacja biurowa,
• jakie ryzyka powstają, gdy AI analizuje wiadomości, dokumenty, faktury, CV, zgłoszenia lub inne treści pochodzące od osób trzecich,
• jak ocenić, co można wprowadzać do narzędzi AI, a czego nie należy przekazywać do rozwiązań konsumenckich lub niezatwierdzonych przez organizację,
• jak ograniczać niekontrolowane korzystanie z AI przez pracowników (tzw. shadow AI) bez prostego zakazywania wykorzystania narzędzi, których organizacja i tak realnie używa,
• jakie decyzje i postanowienia umowne są kluczowe przy wyborze dostawcy AI, w tym w zakresie danych, retencji, zakazu uczenia na danych, ciągłości usługi i planu wyjścia,
• jak powiązać korzystanie z AI z obowiązkami wynikającymi z przepisów NIS2/KSC, RODO i AI Act bez zamieniania tego w przegląd ustaw,
• jak przygotować pierwszą checklistę działań: inwentaryzacja użycia AI, zasady wewnętrzne, dopuszczanie narzędzi, AI Literacy, umowy i reakcja na incydent.

Dla kogo jest to szkolenie?

Szkolenie jest przeznaczone dla osób, które odpowiadają za decyzje, zgodność, bezpieczeństwo, dane lub umowy w organizacjach korzystających z AI albo planujących szersze wykorzystanie narzędzi AI.

W szczególności szkolenie jest adresowane do:

• kadry kierowniczej i członków zarządu, którzy potrzebują zrozumieć, jakie decyzje organizacyjne i nadzorcze są konieczne przy korzystaniu z AI,
• menedżerów IT, bezpieczeństwa, AI i operacji, którzy odpowiadają za dopuszczanie narzędzi, procesy i zasady korzystania z AI,
• dostawców rozwiązań AI oraz firm w łańcuchu dostaw, które muszą odpowiadać na wymagania bezpieczeństwa i zgodności ze strony klientów,
• prawników in-house, compliance officerów, radców prawnych i adwokatów wspierających organizacje w ocenie ryzyk, umów i obowiązków regulacyjnych,
• inspektorów ochrony danych, którzy analizują wykorzystanie AI pod kątem danych osobowych, powierzenia przetwarzania, transferów i naruszeń.

1. Wprowadzenie do tematyki szkolenia: jak korzystanie z AI wpływa na cyberbezpieczeństwo organizacji.

2. Podstawy prawne korzystania z AI w kontekście cyberbezpieczeństwa (50 min.)

• Ramy prawne istotne przy korzystaniu z AI w organizacji: NIS2 i ustawa o krajowym systemie cyberbezpieczeństwa, RODO oraz AI Act, regulacje sektorowe.
• Zakres podmiotowy i praktyczne znaczenie tych regulacji dla organizacji korzystających z narzędzi AI.
• Obowiązki dotyczące zarządzania ryzykiem, bezpieczeństwa łańcucha dostaw, ochrony danych, nadzoru nad systemami AI i kompetencji pracowników.
• DORA jako dodatkowy punkt odniesienia dla sektora finansowego.

3. AI w rękach atakującego – nowe formy znanych zagrożeń (30 min.)

• Deepfake, generatywny phishing, podszywanie się pod kierownictwo i fałszywe komunikaty.
• Co AI zmienia w praktyce: koszt, skala, wiarygodność i szybkość przygotowania ataku.
• Jakie środki organizacyjne ograniczają ryzyko: niezależne potwierdzanie dyspozycji, procedury płatności i zmiany danych, świadomość pracowników.
• Kiedy zdarzenie może wymagać oceny obowiązków zgłoszeniowych na gruncie NIS2/KSC lub RODO.

4. AI w procesach organizacji – sterowanie, zawodność i nadzór (30 min.)

• Ryzyka związane z narzędziami AI analizującymi treści pochodzące z zewnątrz organizacji, takie jak e-maile, dokumenty, faktury, CV, zgłoszenia lub strony internetowe.
• Dlaczego treści przetwarzane przez AI powinny być traktowane jako potencjalnie niezaufane.
• Agenci AI wykonujący działania: zakres dostępu do danych, uprawnienia, punkty zatwierdzeń, możliwość zatrzymania działania i odpowiedzialność za nadzór.
• Zawodność i halucynacje AI jako ryzyko operacyjne.
• Obowiązek weryfikacji wyniku działania AI i granice automatyzacji decyzji.

5. Dane, „shadow AI” i bezpieczne korzystanie z narzędzi (30 min.)

• Jakie dane można wprowadzać do narzędzi AI, a jakie wymagają szczególnej ostrożności: dane osobowe, tajemnica przedsiębiorstwa, informacje klientów, dokumenty wewnętrzne.
• Różnice między kontem prywatnym, narzędziem konsumenckim, wersją firmową i rozwiązaniem zatwierdzonym przez organizację. Nieformalne korzystanie z AI przez pracowników („shadow AI”) – jak je rozpoznać i ograniczyć bez blokowania pracy.

6. Dostawca AI, umowa i ciągłość działania (40 min.)

• Ryzyka związane z dostawcą AI: niedostępność usługi, zmiana lub wycofanie modelu, uzależnienie od jednego dostawcy, przetwarzanie i retencja danych, jurysdykcja oraz transfer danych.
• Kiedy modele lokalne lub rozwiązania na własnej infrastrukturze mogą mieć sens i czego nie rozwiązują.
• Kluczowe obszary umowy z dostawcą: poziom usług, plan wyjścia, przenośność danych, powierzenie przetwarzania danych osobowych, zakaz uczenia na danych, rezydencja danych, notyfikacja zmian i wymogi bezpieczeństwa.
• Powiązanie tych kwestii z NIS2/KSC, RODO, AI Act oraz – w sektorze finansowym – z ryzykiem dostawcy ICT.

7. Praktyczne spełnienie wymogów: polityki, procedury i checklisty (35 min.)

• Jakie polityki wewnętrzne wprowadzić oraz jakie procedury przygotować lub zaktualizować dla zgodności z obowiązującymi przepisami (NIS2/UKSC, RODO, AI Act).
• Checklista decyzji i działań.
• Reguły bezpiecznego korzystania z AI.
• Program kompetencji w zakresie AI (AI Literacy).
• Mapa pierwszych kroków oraz dokumentacja spełnienia obowiązków.

Sesja pytań i odpowiedzi (Q&A).

W trakcie szkolenia przewidziane są 3 przerwy.