Cyberbezpieczeństwo w AI Governance?

Michał Nowakowski · 10 listopada 2026

Czy skala zagrożeń związanych z AI uzasadnia przyznanie CISO lub jego zespołowi zadań z zakresu AI Governance? I czy to dobry krok?

Czy skala zagrożeń związanych z AI uzasadnia przyznanie CISO lub jego zespołowi zadań z zakresu AI Governance? I czy to dobry krok?

Czy dobry, to trudno powiedzieć, bo wiele zależy od kontekstu i samej organizacji, ale... Coraz częściej widzę apetyt na przyznawanie zadań z zakresu systemu zarządzania AI osobom odpowiedzialnym za bezpieczeństwo informacji. Wynika to zazwyczaj z następujących powodów stosowanych alternatywnie lub kumulatywnie:

✅ obszar bezpieczeństwa dobrze rozumie zagrożenia związane z AI, ale także potrafi zidentyfikować potrzeby techniczne i organizacyjne nakierowane na zapewnienie rozsądnego podejścia do bezpieczeństwa,

✅ nie ma lepszej alternatywy, bo i tak prędzej czy później bezpiecznicy wszystko poblokują, więc od razu przypisujemy to im,

✅ CISO mogą tworzyć naturalną przeciwwagę do dość swobodnego podejścia IT do nowinek technologicznych (co ogólnie nie jest złe pod warunkiem, gdy uwzględnia nie tylko naszą wygodę, ale i ryzyka dla organizacji).

Ludzie z obszaru bezpieczeństwa mogą być rzeczywiście dobrym wyborem dla organizacji w kontekście AI Governance, ale nie w każdym przypadku. Przypisując taką rolę - w ogóle - właściwej jednostce powinniśmy wziąć pod uwagę:

✅ czy jednostka ma charakter wspierający czy raczej blokujący, co może wynikać zarówno z samego opisania zadań, jak i praktyki działania jednostki w organizacji,

❌ czy przypadkiem wprowadzenie nowych obowiązków nie spowoduje niebezpiecznego przesunięcia uwagi z rzeczy "fundamentalnych" na zarządzanie AI, co w rezultacie może spowodować więcej szkody niż pożytku,

✅ ❌ czy jednostka posiada wystarczające zasoby oraz kompetencje, bo nasza intuicja co do gotowości, np. jednostki pod egidą CISO, może być błędna.

Obszar bezpieczeństwa rzeczywiście zaczyna zagarniać coraz więcej, np. w kontekście rozwiązań agentowych, gdzie trzeba dbać o uprawnienia, zarządzanie tożsamością i progami decyzyjnymi czy też źródła prawdy i poziomy dostępu. W takim wypadku naturalnym wyborem może być obszar bezpieczeństwa. I wcale nie musi to być zły wybór, ale...

💥 powinniśmy zastanowić się czy nie wywoła to korporacyjnego konfliktu, którego źródeł należy upatrywać w dość konkurencyjnych celach, ale także zwykłym "zarządzaniu ego",

🎯 przemyślmy czy jednak bezstronny koordynator, który może równoważyć interesy i ryzyka nie jest lepszym rozwiązaniem.

Każda organizacja musi na to pytanie odpowiedzieć samodzielnie. Dzisiaj w kontekście AI Governance zaczynają pojawiać się nowe standardy, które będą za chwilę kształtowały bardziej uporządkowane podejście do projektów AI (i mam nadzieję, że w obszarze danych) i prawdę powiedziawszy każde z nich w jakiś sposób zazębia się z cyberbezpieczeństwem:

✅ ISO 27090 - cyberbezpieczeństwo w AI,

✅ ISO 42001 - stawia na bezpieczeństwo i odporność,

✅ EN 18286 - wymaga od nas tego w kontekście zarządzania systemem jakości,

✅ AI Act - wprost wymaga tego w kontekście art. 15 i 17, a także 25,

✅ NIS2 / uKSC - to też AI.