Na czym oprzeć swoje podejście do AI i cyberbezpieczeństwa?
Michał Nowakowski · 12 listopada 2026
Budujesz swoje podejście do AI i cyberbezpieczeństwa na określonych założeniach. I nagle "boom", pojawia się kilkanaście standardów i projektów. Co robisz?
Budujesz swoje podejście do AI i cyberbezpieczeństwa na określonych założeniach. I nagle "boom", pojawia się kilkanaście standardów i projektów. Co robisz?
✅ dalej budujesz w oparciu o fundament, który sam ustaliłeś,
✅ wprowadzasz zmiany w oparciu o nowe wytyczne czy projekty i komplikujesz wszystko,
✅ czekasz ze zmianami aż rynek powie co właściwie warto robić (np. poprzez wymagania klientów),
✅ łapiesz się za głowę i zastanawiasz się jaki jest tego sens.
Od jakiegoś czasu próbuję stworzyć sensowny framework łączący aspekty zarządzania AI z cyberbezpieczeństwem, aby projekty mogły być realizowane szybciej, bezpieczniej i efektywniej. Takie ramy muszą uwzględniać pewne fundamenty, które częściowo bazują na przepisach prawa, a częściowo na wytycznych i standardach.
Problem, który mam to nadmiar. Nie wiem czy to zasługa AI (generowania treści) czy nagle wszyscy się skrzyknęli i stwierdzili, że będą publikować takie same lub zbliżone standardy, ale efekt jest taki, że naprawdę trudno coś wybrać. A problem jest, bo:
✅ przepisy nakreślają nam jakiś ogólny kierunek i cel, który mamy osiągnąć, jak np. CRA, które wymaga standardów bezpieczeństwa dla produktów z elementami cyfrowymi czy raportowania pewnych podatności,
✅ wytyczne takich organów jak ENISA czy krajowe organy stanowią niewiążący (ale jednak wiążący) standard, który można, a w praktyce powinno się uwzględnić,
✅ standardy i dobre praktyki nakreślają często jak podejść do jakiegoś skrawka, np. bezpieczeństwa agentów czy wykorzystania AI w cyberbezpieczeństwie,
a do tego dochodzą przecież niewiążące praktyki oddziałujące na całą operacyjną część naszych systemów (w tym zarządzania bezpieczeństwem informacji - 27001 / 27090 czy AI - 42001), które mogą nie być spójne i zbieżne z naszym podejściem. Aha, jak chcemy do tego podejść całościowo, to przecież jeszcze zarządzanie i opieki nad danymi (np. DAMA) czy kwestie organizacyjne i w zakresie ryzyka.
Dojrzałe organizacje mogą sobie pozwolić na pewne szaleństwo, ale małe przedsiębiorstwa, które wpadają np. w tryby ustawy o KSC?
Nie mam na razie pomysłu jak tym wszystkim zarządzić i gdzie znaleźć rozsądny kompromis. Może Wy wiecie? A może nawet macie w tym zakresie praktykę?