Gdybym był prawnikiem w spółce IT i AI, to...

Michał Nowakowski · 23 października 2026

Gdybym był prawnikiem w spółce, która stawia na rozwój IT i AI, to... 7 "must have" dla liderów zmiany.

Gdybym był prawnikiem w spółce, która stawia na rozwój IT i AI, to... 7 "must have" dla liderów zmiany.

Chwila, jestem i pracuję "z". A skoro tak, to może podzielę się tipami dotyczącymi tego na co obecnie warto zwrócić uwagę. Zarówno z perspektywy prawnej, jak i zarządczej (governance). To efekt nie tylko moich przemyśleń, ale licznych rozmów z działami wsparcia i samym IT.

Przykładem organizacji, której na sercu leżą te tematy jest Elitmind z prawniczą głową w postaci Basi Głowali i szefem produktów Przemkiem Wiesiołkiem. Warsztatowaliśmy głównie w obszarze AI, ale wątków było więcej.

Moje top 7 na najbliższe miesiące to:

✅ ustawa o krajowym systemie cyberbezpieczeństwa i to z dwóch powodów: (i) dlatego, że świadcząc usług IT możemy być adresatem bezpośrednim, ale także dlatego, że (ii) podmioty ważne i kluczowe będą od nas wymagać spełnienia rygorystycznych wymagań bezpieczeństwa (łańcuch dostaw),

✅ governance pod "AI", który wychodzi daleko poza normę ISO 42001; powinniśmy tutaj uwzględniać najnowsze normy EN 18286 oraz ISO 27090 i AI Act (jeżeli czujemy, że możemy i pod to podpadać),

✅ bezpieczne wytwarzanie oprogramowania z wykorzystaniem AI; ENISA jeszcze nie potwierdziła finalnego brzmienia wytycznych ws. wykorzystania asystentów do kodowania i developmentu - to tzw. AI sSDLC, którego nie możemy ignorować,

✅ Cyberresilience Act, które nie jest "łatwym" rozporządzeniem, a dotyczy bezpieczeństwa produktów, którymi może być np. aplikacja dostarczana klientom; rygorystyczne wymogi cybersecurity mogą nam sporo namieszać, więc warto się rozejrzeć,

✅ umowy z dostawcami, które powinny zacząć odzwierciedlać rzeczywistość - ludzie korzystają z AI i powinniśmy to jakoś odzwierciedlić w postanowieniach,

✅ rejestry zasobów IT - trzeba cisnąc mocno zespoły, aby zaczęły poważnie podchodzić do kwestii inwentaryzacji i mapowania zasobów; nie da się dobrze zarządzać ryzykami (ale i rozwijać biznesu) bez świadomości tego czym dysponujemy,

✅ programy uświadamiające, które pozwolą nam zbudować nie tylko "awareness", ale także pozyskać ambasadorów zmiany.

To oczywiście pewien skrót i powinniśmy do tego podejść z rozwagą i proporcjonalnie. Niektóre wymogi lub rekomendacje będą wchodziły pod koniec 2027 roku, ale nie wszystko jest "twardym" wymogiem.

Jeżeli jesteśmy obecni w sektorze finansowym, to dotknie nas między innymi rekomendacja UKNF ws. przeglądu usług SaaS dla instytucji finansowych. Będą audyty, a po audytach twarde lądowanie. Jeżeli dzisiaj nie zaczniemy o to dbać, to potem może być ciężej wynegocjować dobre warunki.

Nie czekajmy. I niektórzy nie czekają.