Z badań AMP z zakresu cyberbezpieczeństwa, wynika, że jedna na trzy firmy w Polsce wprowadziła jakiekolwiek formalne zasady dotyczące używania AI. W sektorze publicznym – w samorządach, szpitalach i przychodniach – odsetek ten jest jeszcze niższy. Z analizy wynika także, że 69 proc. pracowników w Polsce korzysta z narzędzi AI bez wiedzy działu IT, a 72 proc. wklejało treści firmowe do ChatGPT lub Gemini bez oceny ryzyka.
Największym problemem zdiagnozowanym w badaniu jest zjawisko Shadow AI, czyli korzystanie z tej technologii poza wiedzą i nadzorem. Niewłaściwe korzystanie z AI przez pracowników może prowadzić do strat finansowych, wycieku poufnych danych a także do przygotowania fałszywych analiz lub porad na podstawie sfałszowanych przez cyberprzestępców danych wykorzystywanych przez sztuczną inteligencję.
AI to także ryzyko
Na świecie dostępnych jest ponad 30 tysięcy narzędzi AI. Do 2026 r. ponad 80 proc. pracowników będzie korzystać z AI codziennie – często bez świadomości ryzyka. Tymczasem polskie firmy wciąż nie nadążają za wdrażaniem zabezpieczeń. Tymczasem pracownicy zaczęli wykorzystywać ją do wszystkiego – także tam, gdzie nie powinni.
– W jednym z europejskich banków pracownik wkleił do darmowej wersji ChatGPT pełne dane klientów: numery PESEL, salda kont, treści umów. W globalnym koncernie technologicznym – Samsungu – inżynierowie kopiowali fragmenty kodu źródłowego do publicznych modeli AI, aby szybciej diagnozować błędy, nieświadomie udostępniając strategiczne informacje. W firmach przemysłowych pracownicy wpisywali do generatywnych modeli konfiguracje sterowników PLC wraz z hasłami dostępu, co doprowadziło do ataków na infrastrukturę. Zespoły programistyczne wklejały klucze API i loginy, co w jednej z firm zakończyło się przejęciem repozytoriów i paraliżem kilku projektów. To nie są wyjątki – to codzienność.- komentuje Przemysław Wójcik, prezes polskiej firmy AMP.
Według danych ESET z pierwszej połowy 2025 roku to właśnie Polska była najczęściej atakowanym krajem w zakresie ransomware, odpowiadając za ok. 6 proc. globalnych incydentów tego typu. Sztuczna inteligencja stała się dostępna szybciej, niż firmy były w stanie wdrożyć jakiekolwiek zabezpieczenia. W ciągu kilku lat powstało ponad 30 tysięcy narzędzi AI, wykorzystywanych zarówno w pracy biurowej, jak i w środowiskach przemysłowych, medycznych czy administracyjnych. Większość z nich działa w chmurze, a darmowe wersje systemów generatywnych przechowują treści użytkowników na serwerach poza UE, często wykorzystując je do dalszego trenowania modeli. Oznacza to, że wszelkie dane, które tam wprowadzimy – konfiguracje, opisy procesów, dane osobowe, dokumentację medyczną, kody źródłowe, wyniki badań, grafiki, analizy – mogą trafić w miejsca, nad którymi organizacje nie mają żadnej kontroli. Wyciek takich danych jest z definicji nieodwracalny.
Czy jest Shadow AI?
Problemem zdiagnozowanym przez AMP jest zjawisko Shadow AI, czyli korzystanie z narzędzi AI poza wiedzą i nadzorem organizacji. Większość pracowników nie robi tego w złej wierze – po prostu chce przyspieszyć pracę. Jednak brak świadomości powoduje, że do systemów generatywnych trafiają treści objęte tajemnicą przedsiębiorstwa, informacją niejawną, danymi medycznymi lub konfiguracjami systemów, które zgodnie z procedurami NIS2 powinny być ściśle chronione.
Z perspektywy cyberbezpieczeństwa jest to dziś jeden z głównych wektorów ryzyka. Pracownik korzystający z AI bez odpowiednich uprawnień i wiedzy może w praktyce stworzyć incydent, który spełnia kryteria poważnego incydentu bezpieczeństwa i musi zostać zgłoszony w ciągu 24 godzin do CSIRT NASK.
– W ostatnich latach pojawiły się przypadki, w których AI generowała raporty techniczne zawierające błędne parametry urządzeń przemysłowych, co mogło doprowadzić do awarii infrastruktury. Ataki na media – jak przejęcie konta PAP i publikacja fałszywej depeszy o mobilizacji wojsk – pokazują, że manipulowanie informacją stało się jedną z najskuteczniejszych metod destabilizacji – wskazuje Przemysław Wójcik.
W środowisku medycznym czy publicznym ryzyko jest jeszcze większe. Pracownicy szpitali coraz częściej używają AI do szybkiego streszczenia dokumentacji, pracownicy urzędów – do redagowania pism, a nauczyciele – do tworzenia ocen opisowych. W wielu przypadkach odbywa się to na prywatnych kontach i bez żadnych zabezpieczeń. Dane pacjentów, dane wrażliwe, dane kadrowe, informacje o stanie zdrowia – to wszystko trafia do systemów, nad którymi nie ma żadnej kontroli. Tymczasem zgodnie z RODO i przepisami o cyberbezpieczeństwie sektor publiczny ma obowiązek utrzymywania najwyższych standardów ochrony danych, a incydenty dotyczące AI powinny być zgłaszane i dokumentowane tak samo, jak wszystkie inne naruszenia bezpieczeństwa informacji.
Jak zabezpieczyć firmę?
Brakuje procedur, szkoleń i świadomości. Większość organizacji nie ma polityki AI, nie monitoruje ruchu do usług generatywnych, nie stosuje systemów DLP ani CASB, nie szkoli pracowników i nie wie, jak klasyfikować dane przed wprowadzeniem ich do AI. Tymczasem polska polityka bezpieczeństwa zgodna z ISO 27001 i NIS2 jednoznacznie wskazuje, że wszelkie systemy przetwarzające informacje – także te oparte na AI – muszą podlegać zasadom kontroli dostępu, monitorowania, klasyfikacji danych, audytu i rejestracji incydentów. Bez tego każda organizacja jest narażona na poważne naruszenia bezpieczeństwa, które mogą skutkować odpowiedzialnością prawną, finansową, a nawet paraliżem działalności.
– Sztuczna inteligencja nie jest zagrożeniem sama w sobie. Zagrożeniem jest jej nieświadome, niekontrolowane używanie. Odpowiednio wdrożona polityka AI, szkolenia, regularne audyty Shadow AI, stosowanie narzędzi monitorujących oraz rygorystyczna klasyfikacja danych są dziś absolutnym minimum, jeśli organizacje chcą uniknąć najpoważniejszych incydentów. W świecie, w którym Polska stała się jednym z najczęściej atakowanych cybernetycznie krajów, a AI wykorzystywana jest zarówno przez pracowników, jak i cyberprzestępców, brak odpowiedzialnego podejścia do nowych technologii może kosztować więcej, niż ktokolwiek się spodziewa- podsumowuje Przemysław Wójcik.
7 Zasad bezpiecznego korzystania z AI według AMP:
1. Nie wklejaj danych wrażliwych.
2. Korzystaj tylko z narzędzi zatwierdzonych przez IT.
3. Anonimizuj dane przed wprowadzeniem do AI.
4. Weryfikuj każdą odpowiedź AI.
5. Zgłaszaj Shadow AI.
6. Chroń hasła, klucze i konfiguracje.
7. Pamiętaj, że AI może kłamać.
Czytaj także:
