Zasady bezpieczeństwa dotyczące AI ustalone w momencie wdrożenia mogą z czasem wymagać aktualizacji, wraz z rozwojem wykorzystywanych narzędzi i sposobu ich użycia.

Na czym polega ta usługa

Usługa obejmuje okresowy przegląd obowiązujących w firmie zasad bezpieczeństwa AI oraz ich aktualizację w razie zmiany sposobu wykorzystania narzędzi.

Dla kogo ma sens

Usługa jest przydatna dla firm korzystających z AI od dłuższego czasu, którym zależy na aktualności swoich zasad bezpieczeństwa.

Ile to trwa

Przegląd zasad bezpieczeństwa mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne. Dojazd na terenie Warszawy i okolic jest bezpłatny, a usługa objęta jest gwarancją do 12 miesięcy.

Dlaczego wdrożone procedury bezpieczeństwa AI wymagają cyklicznej rewizji

Narzędzia oparte na sztucznej inteligencji podlegają dynamicznym zmianom technicznym i funkcjonalnym. Modele językowe LLM (Large Language Model – duży model językowy wyszkolony na obszernych zbiorach tekstowych do generowania i analizowania treści) są regularnie aktualizowane przez dostawców oprogramowania. Wraz z kolejnymi wersjami systemów pojawiają się nowe funkcjonalności, takie jak bezpośrednie wgrywanie plików arkuszy kalkulacyjnych, analiza baz danych, generowanie kodu źródłowego czy przetwarzanie materiałów graficznych i dźwiękowych. Zasady opracowane w firmie zaledwie kilka miesięcy wcześniej mogą nie uwzględniać nowo dodanych funkcji, co stwarza ryzyko niekontrolowanego przesyłania wrażliwych informacji poza infrastrukturę przedsiębiorstwa.

Drugim istotnym czynnikiem są systematyczne zmiany w regulaminach i politykach prywatności dostawców usług chmurowych. Dostawcy platform takich jak OpenAI, Google, Microsoft czy Anthropic modyfikują warunki przetwarzania danych użytkowników. Zmiany te dotyczą między innymi tego, czy zapytania pracowników są wykorzystywane do dalszego trenowania modeli publicznych, czy też pozostają odizolowane. Brak stałego monitorowania tych zapisów może doprowadzić do sytuacji, w której dane wprowadzone przez personel staną się częścią publicznego zbioru treningowego. Cykliczny przegląd pozwala zweryfikować status kont firmowych oraz upewnić się, że mechanizmy wycofania zgody na trenowanie (opt-out – rezygnacja z przekazywania danych do uczenia algorytmu) są aktywne na każdym stanowisku roboczym.

Kluczowe obszary sprawdzane podczas przeglądu

W trakcie realizacji usługi weryfikacji poddawane są newralgiczne punkty styku między infrastrukturą informatyczną firmy a zewnętrznymi usługami sztucznej inteligencji. Prace skupiają się na czterech głównych obszarach:

Zjawisko Shadow AI – nieautoryzowane korzystanie z narzędzi sztucznej inteligencji przez pracowników bez wiedzy działu technicznego. Personel często sięga po darmowe, konsumenckie asystenty tekstowe, aby przyspieszyć tworzenie pism, analizę umów lub korektę kodu. Podczas przeglądu weryfikowane są logi sieciowe (zapisy ruchu internetowego rejestrowane przez routery i zapory sieciowe) oraz rozszerzenia zainstalowane w przeglądarkach internetowych na stacjach roboczych, co pozwala wykryć niezatwierdzone usługi.
Konfiguracja kont służbowych i zarządzanie tożsamością – kontrola licencji biznesowych (takich jak Microsoft Copilot czy dedykowane plany korporacyjne). Sprawdzane jest, czy dostęp do narzędzi jest powiązany z centralną usługą tożsamości, na przykład Active Directory (system Microsoftu do centralnego zarządzania kontami użytkowników i komputerami w domenie) lub Azure Active Directory. Pozwala to na natychmiastowe odebranie dostępu do historii zapytań w przypadku odejścia pracownika z firmy.
Ochrona danych przed wyciekiem (DLP) – systemy DLP (Data Loss Prevention – oprogramowanie monitorujące i blokujące nieuprawnione próby przesyłania poufnych informacji) muszą być dostosowane do specyfiki zapytań kierowanych do modeli AI. Weryfikowane są reguły filtrujące, które uniemożliwiają wklejanie numerów PESEL, danych kart płatniczych, baz kontrahentów z programów sprzedażowych czy tajemnic przedsiębiorstwa do okien dialogowych asystentów cyfrowych.
Zgodność z przepisami prawnymi i regulacjami – analiza obowiązujących w firmie procedur pod kątem RODO (Rozporządzenie o Ochronie Danych Osobowych) oraz europejskiego aktu w sprawie sztucznej inteligencji (AI Act – unijne rozporządzenie klasyfikujące systemy AI pod względem ryzyka i nakładające wymogi w zakresie przejrzystości). Sprawdzana jest ewidencja przetwarzania danych oraz treść klauzul informacyjnych dla klientów.

Warianty i metodyka przeprowadzania audytu

Sposób realizacji przeglądu jest dopasowywany do wielkości organizacji, profilu prowadzonej działalności oraz stopnia zaawansowania wykorzystywanej infrastruktury teleinformatycznej. Wyróżnia się trzy podstawowe warianty wykonania usługi:

Wariant dla pojedynczych stacji roboczych i małych biur skupia się na bezpośrednim środowisku pracy użytkowników końcowych. Weryfikacji podlegają przeglądarki internetowe, zainstalowane wtyczki wspomagające tłumaczenia i edycję tekstu oraz lokalne profile systemowe. Sprawdzane jest, czy na komputerach pracowników nie zapisano poświadczeń do prywatnych kont sztucznej inteligencji, które mogłyby synchronizować historię zapytań z urządzeniami domowymi. Personel otrzymuje praktyczne wytyczne dotyczące bezpiecznego formatowania zapytań oraz metod poprawnej anonimizacji danych przed ich wysłaniem do chmury.

Wariant sieciowy dla środowisk domenowych i serwerowych obejmuje kompleksową analizę polityk centralnych w systemach Windows Server oraz Linux. Wykorzystywane są zasady grupy GPO (Group Policy Objects – narzędzie do centralnego konfigurowania stacji roboczych i uprawnień użytkowników w domenie), które pozwalają na automatyczne egzekwowanie blokad instalacji niezaufanych rozszerzeń do przeglądarek Chrome, Edge czy Firefox. Konfigurowane są reguły filtrowania ruchu na zaporach sieciowych oraz weryfikowane są logi serwerów proxy (serwerów pośredniczących w ruchu sieciowym), co uniemożliwia łączenie się ze stacji firmowych z nieautoryzowanymi serwisami generatywnymi.

Wariant dla integracji programistycznych i automatyzacji biznesowych koncentruje się na bezpieczeństwie interfejsów API (Application Programming Interface – zestaw funkcji umożliwiających bezpośrednią komunikację i wymianę informacji między różnymi aplikacjami). Przedsiębiorstwa coraz częściej łączą modele językowe ze swoimi bazami danych lub systemami zarządzania magazynem i księgowością, takimi jak InsERT GT, InsERT nexo, Subiekt GT, Comarch ERP Optima, WAPRO Mag czy Symfonia. Audyt w tym wariancie obejmuje weryfikację bezpieczeństwa przechowywania tokenów uwierzytelniających, ograniczenie uprawnień zapytań kierowanych do relacyjnych baz danych SQL oraz testy odporności na ataki prompt injection (próby zmanipulowania kontekstu modelu w celu wymuszenia nieautoryzowanego wykonania poleceń lub ujawnienia danych z tabel bazy).

Błędy i ryzyka przy samodzielnym ustalaniu reguł korzystania z AI

Próby samodzielnego uregulowania zasad korzystania z algorytmów sztucznej inteligencji często kończą się stworzeniem pozornego poczucia bezpieczeństwa. W praktyce przedsiębiorstwa popełniają powtarzalne błędy, które obniżają skuteczność ochrony danych firmowych:

Poleganie wyłącznie na regulaminach papierowych bez wdrożenia technicznych barier w systemie. Podpisanie przez pracowników oświadczenia o zapoznaniu się z zasadami bezpieczeństwa rzadko powstrzymuje przed wykorzystaniem niezatwierdzonego narzędzia, gdy pojawia się pilne zadanie. Bez odpowiednich blokad w politykach bezpieczeństwa systemu operacyjnego oraz na poziomie bramy sieciowej pracownicy wracają do darmowych serwisów zewnętrznych.

Brak rozróżnienia między kontami konsumenckimi a licencjami korporacyjnymi. Darmowe wersje narzędzi generatywnych w swoich standardowych warunkach świadczenia usług zastrzegają prawo do wykorzystywania wprowadzanych treści do optymalizacji i douczania kolejnych wersji modeli. Przetwarzanie w takich oknach dialogowych wyciągów bankowych, baz klientów, projektów umów czy korespondencji handlowej oznacza faktyczne przekazanie tych informacji podmiotowi trzeciemu bez gwarancji ich ochrony.

Pozostawianie otwartych sesji i brak procedur wygaszania uprawnień. W wielu biurach dostęp do asystentów AI odbywa się z poziomu współdzielonych kont lub stacji roboczych. Brak automatycznego wylogowywania po określonym czasie bezczynności oraz brak procedury natychmiastowego odbierania uprawnień w momencie zakończenia współpracy z pracownikiem prowadzi do sytuacji, w której osoby nieuprawnione mają wgląd w całą wcześniejszą historię zapytań biznesowych.

Ignorowanie zagrożeń związanych z wtyczkami do przeglądarek i pakietów biurowych. Niezweryfikowane rozszerzenia obiecujące automatyczną korektę tekstu lub podsumowywanie zawartości stron często wymagają uprawnień do odczytu wszystkich danych w przeglądarce. W ten sposób treść formularzy, wiadomości z poczty elektronicznej czy rekordy przeglądane w webowych systemach CRM (Customer Relationship Management – aplikacje do zarządzania kontaktami z klientami) są w sposób ciągły przesyłane na serwery zewnętrznych deweloperów.

Rozróżnienie: przegląd zasad AI a całościowy audyt bezpieczeństwa IT

Właściwe zdefiniowanie zakresu prac jest kluczem do skutecznego zabezpieczenia przedsiębiorstwa. Przegląd zasad bezpieczeństwa AI skupia się bezpośrednio na przepływie danych między użytkownikami, aplikacjami firmowymi a zewnętrznymi i wewnętrznymi modelami sztucznej inteligencji. Weryfikowane są instancje modeli, reguły wprowadzania informacji, konfiguracja tokenów API oraz procedury postępowania z danymi wrażliwymi.

Zdarza się jednak, że podczas weryfikacji narzędzi AI ujawniają się ogólne luki w strukturze informatycznej przedsiębiorstwa, takie jak nieaktualne wersje systemów operacyjnych Windows lub Linux, brak włączonych zapór sieciowych, nieaktywne mechanizmy tworzenia kopii zapasowych (backupu) czy brak kontroli nad uprawnieniami do folderów współdzielonych. W takiej sytuacji doradzane jest rozszerzenie działań o pełną analizę środowiska teleinformatycznego. Na życzenie przedsiębiorstwa przeprowadzany jest bezpłatny przegląd środowiska IT dla firm, który pozwala na całościową ocenę infrastruktury serwerowej, sieciowej i stacyjnej.

Dodatkowe pytania o przegląd zasad bezpieczeństwa AI (FAQ)

Jak często firma powinna powtarzać przegląd procedur AI?

Przegląd zaleca się realizować cyklicznie co najmniej raz na sześć miesięcy. Ponadto weryfikacja jest wskazana przy każdej większej zmianie organizacyjnej lub technologicznej, na przykład przy wdrożeniu nowego systemu ERP, migracji poczty do chmury, zatrudnieniu grupy nowych pracowników czy wprowadzeniu przez dostawców modeli AI istotnych zmian w regulaminach świadczenia usług i politykach prywatności.

Czy bezpłatne narzędzia sztucznej inteligencji mogą być używane do prostych zadań biurowych?

Darmowe wersje publicznych modeli AI mogą być stosowane wyłącznie do zadań o charakterze ogólnym i abstrakcyjnym, takich jak redagowanie szablonów ogłoszeń, poszukiwanie ogólnych pomysłów czy nauka składni języków programowania. Wszelkie operacje wymagające wprowadzenia rzeczywistych danych klientów, numerów faktur, kodów źródłowych wewnętrznego oprogramowania czy treści umów muszą być bezwzględnie realizowane w dedykowanych środowiskach komercyjnych z gwarancją poufności i wyłączonym mechanizmem uczenia modeli.

W jaki sposób weryfikowane jest bezpieczeństwo bez wglądu w hasła pracowników?

Zgodnie z podstawowymi zasadami bezpieczeństwa teleinformatycznego specjaliści nigdy domyślnie nie proszą o hasła użytkowników ani dane uwierzytelniające do ich kont prywatnych. Wszelkie weryfikacje konfiguracji, audyty uprawnień i kontrola polityk sieciowych prowadzone są na poziomie administracyjnym, za pośrednictwem centralnych konsol zarządzania domeną, routerami i licencjami firmowymi. W wyjątkowych sytuacjach, gdy konieczne jest sprawdzenie konkretnego stanowiska, czynność ta odbywa się w obecności pracownika, który sam wprowadza swoje poświadczenia.

Czy przeprowadzenie przeglądu wymaga wstrzymania bieżącej pracy firmy?

Przegląd zasad bezpieczeństwa AI jest realizowany w sposób całkowicie bezinwazyjny dla ciągłości procesów biznesowych. Analiza ruchu sieciowego, konfiguracji zapór firewall, uprawnień chmurowych oraz stacji roboczych odbywa się równolegle z normalną pracą biura. Systemy sprzedaży, bazy magazynowe oraz stacje robocze personelu pozostają w pełni dostępne przez cały czas trwania prac.

Co dokładnie zawiera dokumentacja podsumowująca przegląd zasad AI?

Po zakończeniu prac przygotowywany jest szczegółowy raport techniczny zawierający inwentaryzację wykrytych narzędzi AI, analizę przepływu danych poufnych, wykaz wdrożonych konfiguracji zabezpieczających oraz listę zaleceń organizacyjnych. Przedsiębiorstwo otrzymuje także zaktualizowany wzorzec wewnętrznej polityki bezpieczeństwa AI, gotowy do wdrożenia wśród pracowników, oraz wytyczne tworzenia bezpiecznych promptów (zapytań) minimalizujących ryzyko wycieku informacji.

Bezpieczne korzystanie z nowoczesnych technologii w przedsiębiorstwie

Świadome i kontrolowane korzystanie z narzędzi sztucznej inteligencji stanowi istotną przewagę rynkową, pod warunkiem zachowania pełnego bezpieczeństwa przetwarzanych informacji. Regularna aktualizacja procedur pozwala wyeliminować ryzyko naruszenia tajemnicy przedsiębiorstwa, kar administracyjnych oraz utraty zaufania kontrahentów. Usługa realizowana jest w modelu pełnego dojazdu do klienta na terenie całej Warszawy oraz okolicznych powiatów w promieniu do 40 kilometrów (w tym powiatu pruszkowskiego, piaseczyńskiego, legionowskiego, warszawskiego zachodniego, wołomińskiego, otwockiego i grodziskiego).

Dla zapewnienia pełnego komfortu i bezpieczeństwa, na życzenie klienta przed przystąpieniem do jakichkolwiek prac podpisywana jest bezpłatna umowa o zachowaniu poufności (NDA – Non-Disclosure Agreement, czyli prawnie wiążące zobowiązanie do nieujawniania informacji technicznych i handlowych). Wszystkie zrealizowane konfiguracje i wdrożone procedury objęte są gwarancją do 12 miesięcy oraz bezpłatnym wsparciem technicznym po wykonaniu usługi przez okres do 30 dni.

22 378 48 09

Regularny przegląd zasad bezpieczeństwa AI w firmie