Polityka IT to nie to samo co Polityka compliance
Michał Nowakowski · 25 sierpnia 2026
Polityka w rozumieniu IT a polityka w rozumieniu Legal & Compliance. Niby to samo, a jednak nie do końca. Czy dobry prawnik "od" IT powinien czuć PEP, PDP i PIP?
Polityka w rozumieniu IT a polityka w rozumieniu Legal & Compliance. Niby to samo, a jednak nie do końca. Czy dobry prawnik "od" IT powinien czuć PEP, PDP i PIP?
Przeraziłem skrótami? Spokojnie, zaraz wyjaśnię, o co chodzi. Zacznijmy jednak od tego, że dzisiaj nieznajomość IT szkodzi. Szczególnie, jeżeli zamierzamy prawdziwie doradzać w zakresie prawa i regulacji technologicznych. Nawet nie dlatego, że nie będziemy potrafili stworzyć polityki czy procedury - to się da zrobić i nie potrzeba do tego aż tak wiele (szczególnie, gdy umiejętnie korzystamy z AI). Problem leży gdzie indziej.
W komunikacji i wzajemnym respekcie, który często warunkuje, czy projekt - np. wdrożeniowy - zaliczymy do sukcesów, czy raczej do "ok, zrobione". Wszystko jest wynikiem zupełnie innego rozumienia polityk - ich znaczenia i formy - przez zespoły techniczne i wsparcia. Przykład?
W ramach naszego systemu zarządzania AI (wg ISO 42001 i AI Act) mamy stworzyć politykę dla agentów, z których korzystać będzie organizacja. Polityka z perspektywy legal & compliance będzie w tym przypadku papierem, który określa, co można, czego nie można, a jeżeli można - to pod jakimi warunkami. Proste. Ale rozmowa z IT, które ma potem przenieść to na grunt np. technicznych instrukcji i w ogóle "wykonania", może być dla nas trudna.
IT będzie oczekiwało określenia:
✅ PEP (Policy Enforcement Point) - tzw. punktu egzekwowania, który przed wykonaniem czynności zatrzymuje ją, pyta o decyzję i tę decyzję wykonuje,
✅ PDP (Policy Decision Point) - tzw. punktu decyzyjnego, któremu dostarczamy opis sytuacji, a który sprawdza reguły i odpowiada: przepuść / zablokuj / eskaluj,
✅ PIP (Policy Information Point) - tzw. źródła dodatkowych faktów, których PDP potrzebuje: kto występuje o wykonanie czynności, jaka jest jego rola, ile operacji już dziś wykonał.
Te punkty nie są jednak samą polityką - to elementy architektury, która politykę wykonuje. Polityka pozostaje zbiorem reguł, które PDP stosuje. I tu jest nasze miejsce, bo model ma jeszcze czwarty element, o którym mówi się najrzadziej - PAP (Policy Administration Point), czyli punkt, w którym polityka powstaje i jest zarządzana, zanim jakiekolwiek żądanie w ogóle trafi do systemu.
Takie polityki mogą mieć ogromne znaczenie, np. w przypadku agentów, gdzie istotne jest m.in. to:
☑ kto może podejmować decyzje w zakresie działań agenta,
☑ jakie działania agent może podejmować i z jakich źródeł może korzystać,
☑ jakie czynności zanim zostaną wykonane podlegają człowiekowi.
I teraz możesz zadać pytanie - po co mi, prawnikowi czy inspektorowi compliance, znajomość takiego zagadnienia? Odpowiedź jest dość prosta - bo tego wymagają także przepisy, zarówno te "od" AI, jak i od cyber. Częściowo chodzi o audytowalność - uzyskanie dowodów na to, że coś się stało albo nie. Ale tylko częściowo, bo PEP to przede wszystkim prewencja - zatrzymanie czynności, zanim wywoła skutek. Dowód jest tego efektem ubocznym. Dalsza część w komentarzu.