Targi Breizh Cyber Show 2025, zorganizowane w Océanopolis w Brest, uwypukliły paradoks dotykający wszystkie małe i średnie przedsiębiorstwa: sztuczna inteligencja zwiększa wydajność, ale jednocześnie stwarza zagrożenia dla bezpieczeństwa i zgodności z przepisami, jeśli nie jest odpowiednio regulowana.
Podczas dwóch paneli dyskusyjnych przekazano jasny komunikat:
Wdrażać rozwiązania bez blokowania dostępu, aby uniknąć zjawiska „shadow AI” i wycieków danych.
Wprowadzić solidne zasady zarządzania zgodne z ustawą AI Act, wytycznymi ANSSI, standardem PSSI-IA opracowanym przez CLUSIF oraz zaleceniami CNIL.
To coś więcej niż tylko zgodność z przepisami – to przewaga konkurencyjna oparta na zaufaniu.
Shadow AI: niewidzialne zagrożenie, które gwałtownie rośnie
W większości firm sztuczna inteligencja już funkcjonuje… ale często bez ustalonych wytycznych. Dział marketingu testuje generator treści, dział kadr sporządza streszczenia CV, a programiści korzystają z asystenta do pisania kodu. To właśnie tzw. „shadow AI”: niekontrolowane wdrażanie narzędzi opartych na sztucznej inteligencji przez poszczególne zespoły.
Bezpośrednie zagrożenia:
- Wyciek poufnych danych za pośrednictwem monitów.
- Utrata możliwości śledzenia (kto o co poprosił?).
- Uzależnienie od nieprzejrzystych usług stron trzecich.
Według firmy Gartner, jeśli nie zostaną podjęte żadne działania, w 2025 r. 60% organizacji będzie korzystać z „shadow AI”.
Dlaczego warto działać szybko?
Raport ENISA za lata 2024/2025 pokazuje, że phishing pozostaje głównym sposobem ataku (≈ 60% włamań), a sztuczna inteligencja wzmacnia te ataki (phishing wspomagany przez sztuczną inteligencję, automatyzacja społeczna).
Ustawa o sztucznej inteligencji: zgodność z przepisami staje się kwestią strategiczną
Ustawa o sztucznej inteligencji obowiązuje od sierpnia 2024 r. Obowiązki z niej wynikające będą wprowadzane etapami:
- Luty 2025 r.: zakazy (praktyki zabronione).
- Sierpień 2025 r.: zarządzanie i GPAI.
- Sierpień 2026 r.: powszechne wprowadzenie.
- 2027: oznakowanie CE dla systemów sztucznej inteligencji wysokiego ryzyka.
Co to dla Państwa oznacza:
- Jeśli wdrażacie Państwo model zewnętrzny w celu dostarczenia systemu sztucznej inteligencji, możecie stać się dostawcą w rozumieniu ustawy o sztucznej inteligencji, co wiąże się z obowiązkami w zakresie jakości, prowadzenia rejestrów, nadzoru oraz oznakowania CE w przypadkach wysokiego ryzyka.
- Podjęcie działań już teraz pozwala uniknąć kar i przyspieszyć realizację projektów związanych ze sztuczną inteligencją.
Szybkie rozwiązania zapewniające bezpieczeństwo korzystania ze sztucznej inteligencji
Eksperci z Breizh Cyber Show oraz przedstawiciele władz publicznych są zgodni co do trzech pilnych działań:
- Szkolenie bez blokowania: ustawa o sztucznej inteligencji nakłada obowiązek posiadania umiejętności w zakresie sztucznej inteligencji (art. 4). Uświadomcie swoim zespołom, czym jest model, co to jest prompt oraz jakie są zagrożenia związane z wyciekiem danych.
- Opracuj mapę przypadków użycia: zidentyfikuj dane narażone na ryzyko, prowadź rejestr (CNIL + AI Act).
- Kontrola komunikatów i wyników: filtrowanie danych wejściowych, oczyszczanie danych wyjściowych, rejestrowanie (ANSSI, OWASP LLM Top 10).
Dlaczego jest to przewaga konkurencyjna
Firmy, które wspierają śmiałość (akulturacja, środowisko testowe, zatwierdzone modele) i instytucjonalizują ostrożność (PSSI-IA, kontrole ANSSI/NIST, zgodność z AI Act/CNIL), zyskują przewagę.
Ponieważ zaufanie staje się walutą transformacji w dziedzinie sztucznej inteligencji.
Sztuczna inteligencja to nie tylko szanse, ale także obowiązki.
Aby w pełni wykorzystać te zasoby, należy szkolić, uwrażliwiać i wspierać zespoły, opierając się jednocześnie na już dostępnych materiałach: przewodnikach ANSSI, PSSI-IA opracowanym przez CLUSIF oraz zaleceniach CNIL.
Hoel LE PENNEC
Konsultant-analityk ds. bezpieczeństwa informatycznego
Philippe MAHE
Konsultant ds. cyberbezpieczeństwa
Alan POSTOLLEC
Konsultant ds. koordynacji cyberbezpieczeństwa
Tom KERANDEL
Konsultant-analityk ds. bezpieczeństwa informatycznego
