W skrócie
W europejskiej firmie szybko rosło wykorzystanie generatywnej sztucznej inteligencji. Pracownicy korzystali z ogólnodostępnych narzędzi do przygotowywania dokumentów, podsumowywania informacji, tworzenia prezentacji, wyszukiwania materiałów i wykonywania codziennych zadań administracyjnych.
Niektóre zespoły rozważały również bardziej zaawansowane zastosowania, takie jak wewnętrzni asystenci, automatyczne przetwarzanie dokumentów oraz obsługa klientów wspierana przez AI.
Firma dostrzegała korzyści. Część zadań można było wykonywać szybciej, łatwiej odnajdywać potrzebne informacje i ograniczyć czas poświęcany na powtarzalną pracę. Wykorzystanie generatywnej AI rozwijało się jednak szybciej niż wewnętrzne zasady i procesy służące do zarządzania nim.
Pojawiły się podstawowe pytania:
- ?Z jakich narzędzi generatywnej AI korzystają pracownicy?
- ?Jakie informacje są wprowadzane do tych narzędzi?
- ?Czy może dojść do ujawnienia danych osobowych lub informacji poufnych?
- ?Które zastosowania AI wiążą się z największym ryzykiem?
- ?Kto odpowiada za zatwierdzanie nowych rozwiązań?
- ?Jak należy oceniać dostawców i zewnętrzne usługi AI?
- ?Czy istniejące zabezpieczenia i zasady ochrony danych są wystarczające?
- ?Jak umożliwić rozwój wartościowych projektów, nie blokując innowacji?
Pomogliśmy klientowi zrozumieć, w jaki sposób generatywna AI była wykorzystywana, wskazać obszary wymagające uwagi i wprowadzić praktyczny model zarządzania.
Połączyliśmy przypadki użycia AI z procesami biznesowymi, danymi, aplikacjami, dostawcami, ryzykami, zabezpieczeniami i odpowiedzialnymi osobami. Dzięki temu firma mogła łatwiej określić, które inicjatywy można kontynuować, które wymagają dodatkowych zabezpieczeń, a które należy zatrzymać.
O kliencie
Nazwa klienta, dokładna liczba pracowników, lokalizacje oraz wybrane informacje operacyjne zostały pominięte ze względu na poufność.
Wyzwanie
Generatywna AI pojawiła się w firmie na kilka różnych sposobów.
Część pracowników samodzielnie utworzyła konta w publicznie dostępnych usługach. Zespoły biznesowe testowały narzędzia, które mogły poprawić produktywność. Dotychczasowi dostawcy oprogramowania zaczęli dodawać funkcje AI do swoich produktów. Jednocześnie dział IT analizował rozwiązania przeznaczone dla całej organizacji, a poszczególne działy rozważały zakup własnych narzędzi.
Firma nie miała pełnego obrazu tych działań.
Posiadała polityki bezpieczeństwa, procedury ochrony danych, procesy oceny dostawców oraz funkcjonujący ISMS. Procesy te nie były jednak przygotowane na tempo i różnorodność zastosowań generatywnej AI.
Pracownicy nie zawsze wiedzieli, które narzędzia były zatwierdzone i jakie informacje mogli do nich wprowadzać. Menedżerowie dostrzegali korzyści, ale nie mieli spójnej metody oceny nowych pomysłów. Zespoły bezpieczeństwa, ochrony danych i prawne często były angażowane dopiero wtedy, gdy dane rozwiązanie zostało już przetestowane lub zakupione.
Firma nie chciała wprowadzać całkowitego zakazu. Zależało jej na umożliwieniu korzystania z AI tam, gdzie mogło to przynieść rzeczywistą wartość. Jednocześnie potrzebowała jasnych zasad i rozsądnych zabezpieczeń.
Generatywna AI rozwijała się szybko – bez spójnego nadzoru.
Wyzwanie nie polegało na zatrzymaniu wdrażania AI, ale na zapewnieniu widoczności, struktury i odpowiedzialności w szybko zmieniającym się i rozproszonym środowisku.
Klient potrzebował prostego sposobu na zarządzanie AI, który nie tworzyłby kolejnego rozbudowanego procesu administracyjnego.
Co klient chciał osiągnąć
Projekt miał siedem głównych celów:
Zrozumieć, w jaki sposób generatywna AI była już wykorzystywana.
Zidentyfikować zastosowania obejmujące dane wrażliwe lub ważne procesy biznesowe.
Opracować jasne i praktyczne zasady dla pracowników.
Wprowadzić spójny proces oceny i zatwierdzania nowych zastosowań.
Przypisać odpowiedzialność za narzędzia, dane, ryzyka i zabezpieczenia.
Połączyć zarządzanie AI z istniejącym ISMS, ochroną danych i zarządzaniem dostawcami.
Zapewnić kierownictwu przejrzysty obraz możliwości, ryzyk i wymaganych decyzji.
Co zrobiliśmy
Zaczęliśmy od tego, jak pracownicy faktycznie korzystali z AI
Pierwszym krokiem było poznanie rzeczywistej sytuacji.
Przeprowadziliśmy rozmowy z przedstawicielami IT, bezpieczeństwa informacji, ochrony danych, działu prawnego, zakupów, HR oraz wybranych działów biznesowych. Przeanalizowaliśmy również istniejące rejestry technologii, informacje o dostawcach, polityki, rejestry ryzyka i planowane projekty AI.
Przegląd objął:
- ✓publicznie dostępne narzędzia generatywnej AI;
- ✓firmowe usługi AI;
- ✓funkcje AI wbudowane w używane aplikacje;
- ✓pilotażowe projekty prowadzone przez poszczególne działy;
- ✓rozwiązania dostarczane przez podmioty zewnętrzne;
- ✓planowanych asystentów AI i automatyczne przepływy pracy;
- ✓rodzaje wykorzystywanych informacji;
- ✓cel biznesowy każdego zastosowania;
- ✓użytkowników oraz osoby odpowiedzialne;
- ✓istniejące zabezpieczenia techniczne i organizacyjne.
Celem nie było analizowanie każdej pojedynczej instrukcji wpisywanej do narzędzia. Chcieliśmy poznać miejsca i sposoby wykorzystania AI, jej cel oraz dane i procesy biznesowe, na które mogła wpływać.
Dzięki temu klient otrzymał pierwszy uporządkowany obraz swojego środowiska AI. Wyszło również na jaw, że różne działy rozważały podobne rozwiązania, nie wiedząc o prowadzonych równolegle pracach.
Stworzyliśmy uporządkowany rejestr zastosowań AI
Przygotowaliśmy wspólną strukturę do rejestrowania i oceniania zastosowań AI.
Dla każdego przypadku użycia firma mogła zapisać:
- ✓cel biznesowy;
- ✓dział korzystający z rozwiązania;
- ✓odpowiedzialnego właściciela biznesowego;
- ✓usługę lub aplikację AI;
- ✓dostawcę rozwiązania;
- ✓użytkowników lub grupy użytkowników;
- ✓informacje wprowadzane do usługi;
- ✓treści generowane przez usługę;
- ✓połączone systemy;
- ✓procesy biznesowe, na które rozwiązanie wpływa;
- ✓informacje o przetwarzaniu danych osobowych;
- ✓informacje o wykorzystywaniu treści poufnych;
- ✓możliwe skutki błędnego wyniku;
- ✓odpowiednie zabezpieczenia;
- ✓kwestie dotyczące dostawcy i warunków umownych;
- ✓aktualny status zatwierdzenia;
- ✓wymagane działania i terminy przeglądów.
Takie podejście pozwoliło odróżnić proste zastosowania zwiększające produktywność od przypadków wymagających szczególnej ostrożności.
Podzieliliśmy zastosowania według poziomu ryzyka
Firma potrzebowała prostego sposobu określania, jak dokładna powinna być ocena danego zastosowania.
Opracowaliśmy proporcjonalną metodę uwzględniającą:
- ✓wrażliwość informacji;
- ✓przetwarzanie danych osobowych;
- ✓znaczenie procesu biznesowego;
- ✓liczbę i rodzaj użytkowników;
- ✓zakres kontroli człowieka;
- ✓możliwe skutki błędnego wyniku;
- ✓poziom automatyzacji;
- ✓połączenia z systemami wewnętrznymi;
- ✓dostęp dostawcy do informacji firmy;
- ✓przechowywanie i ponowne wykorzystywanie przekazanych danych;
- ✓kwestie własności intelektualnej;
- ✓wymagania prawne i umowne;
- ✓możliwość niewłaściwego wykorzystania;
- ✓istniejące zabezpieczenia.
Na tej podstawie zastosowania kierowano do odpowiedniej ścieżki zatwierdzania.
Proste zastosowanie wykorzystujące informacje niewrażliwe mogło zostać zatwierdzone po podstawowym przeglądzie. Rozwiązania obejmujące dane wrażliwe, automatyczne decyzje lub ważne operacje wymagały dokładniejszej analizy i zgody na odpowiednim poziomie.
Niektóre projekty zostały wstrzymane do czasu wdrożenia dodatkowych zabezpieczeń. Inne zmodyfikowano, usuwając dane wrażliwe lub wybierając bezpieczniejszą usługę firmową.
Przygotowaliśmy jasne zasady dla pracowników
Firma posiadała już polityki bezpieczeństwa informacji i dopuszczalnego wykorzystania technologii. Pracownicy potrzebowali jednak konkretnych wskazówek odnoszących się do generatywnej AI.
Opracowaliśmy praktyczne zasady określające:
- ✓z jakich usług można korzystać;
- ✓które narzędzia wymagają wcześniejszej zgody;
- ✓jakich informacji nie wolno wprowadzać;
- ✓kiedy wykorzystanie danych osobowych wymaga dodatkowej oceny;
- ✓w jaki sposób należy sprawdzać treści wygenerowane przez AI;
- ✓kiedy konieczna jest kontrola człowieka;
- ✓jak postępować z informacjami poufnymi;
- ✓jak zgłaszać podejrzenie ujawnienia informacji;
- ✓kiedy należy zgłosić kwestie związane z prawami autorskimi;
- ✓gdzie uzyskać pomoc przy nowym pomyśle na wykorzystanie AI.
Zasady opierały się na przykładach z codziennej pracy. Unikaliśmy abstrakcyjnego języka i niepotrzebnych szczegółów technicznych.
Pracownicy zostali również poinformowani, że pewnie brzmiąca odpowiedź AI nie musi być prawidłowa. Nadal odpowiadali za sprawdzanie ważnych faktów, obliczeń, decyzji i komunikacji zewnętrznej.
Wyjaśniliśmy zakres odpowiedzialności
Zarządzanie AI nie mogło należeć wyłącznie do zespołu bezpieczeństwa.
Dział proponujący zastosowanie musiał wyjaśnić jego cel, oczekiwane korzyści i możliwy wpływ na działalność. IT odpowiadało za analizę techniczną i integracje. Zespół bezpieczeństwa oceniał ryzyka cybernetyczne. Zespoły prawne i ochrony danych zajmowały się zagadnieniami należącymi do ich obszarów odpowiedzialności. Zakupy odpowiadały za dostawców i warunki umowne.
Określiliśmy odpowiedzialność za:
- ✓zgłoszenie nowego zastosowania;
- ✓zatwierdzenie celu biznesowego;
- ✓rozpoznanie wykorzystywanych informacji;
- ✓przeprowadzenie oceny bezpieczeństwa i ochrony danych;
- ✓ocenę dostawcy;
- ✓zatwierdzenie integracji technicznej;
- ✓określenie wymaganych zabezpieczeń;
- ✓szkolenie użytkowników;
- ✓sprawdzanie treści generowanych przez AI;
- ✓monitorowanie dalszego wykorzystania;
- ✓rejestrowanie incydentów i problemów;
- ✓przegląd lub cofnięcie zgody.
Każde zatwierdzone zastosowanie otrzymało właściciela biznesowego. Osoba ta odpowiadała za sprawdzanie, czy zastosowanie pozostawało uzasadnione i czy uzgodnione zabezpieczenia nadal działały.
Połączyliśmy zarządzanie AI z istniejącym ISMS
Firma nie potrzebowała oddzielnego systemu zarządzania przeznaczonego wyłącznie dla AI.
Przypadki użycia zostały powiązane z procesami, które już służyły do zarządzania bezpieczeństwem informacji i ryzykiem.
Zastosowanie AI można było połączyć z:
- ✓odpowiednim procesem biznesowym;
- ✓wykorzystywaną aplikacją;
- ✓przetwarzanymi informacjami;
- ✓dostawcą usługi;
- ✓właścicielem biznesowym;
- ✓rozpoznanymi zagrożeniami i ryzykami;
- ✓obowiązującymi zabezpieczeniami;
- ✓oceną ochrony danych;
- ✓wymaganiami umownymi;
- ✓incydentami i ustaleniami z audytów;
- ✓działaniami naprawczymi;
- ✓terminami przeglądów;
- ✓dokumentacją potwierdzającą działanie zabezpieczeń.
Ryzyka związane z AI mogły być dzięki temu zarządzane w ramach istniejącego ISMS, zamiast trafiać do kolejnego niezależnego arkusza.
Łatwiej było również zauważyć sytuacje, w których jedna zmiana wpływała na kilka obszarów. Zmiana po stronie dostawcy mogła jednocześnie wpłynąć na zatwierdzone zastosowanie AI, ocenę ochrony danych, ustalenia umowne i ogólny poziom ryzyka.
Oceniliśmy dostawców i wbudowane funkcje AI
Nie każda usługa AI została zakupiona jako oddzielny produkt. W niektórych przypadkach nowe funkcje pojawiały się w systemach, z których firma już korzystała.
Dlatego rozszerzyliśmy proces oceny dostawców o pytania dotyczące AI:
- ✓Jakie informacje otrzymuje dostawca?
- ✓Gdzie są one przetwarzane?
- ✓Czy wprowadzone dane mogą być przechowywane?
- ✓Czy mogą być wykorzystywane do rozwijania modeli lub usług dostawcy?
- ✓Jacy podwykonawcy są zaangażowani?
- ✓Jakie zabezpieczenia stosuje dostawca?
- ✓W jaki sposób kontrolowany jest dostęp?
- ✓Jak zgłaszane są incydenty?
- ✓Co dzieje się z informacjami po zakończeniu świadczenia usługi?
- ✓Czy firma może wyłączyć niepożądane funkcje AI?
- ✓W jaki sposób dostawca informuje o istotnych zmianach?
Jeżeli odpowiedzi były niepełne, firma rejestrowała pozostałe wątpliwości i określała, czy potrzebne były dodatkowe zabezpieczenia albo wyjaśnienia umowne.
Usprawniliśmy raportowanie do kierownictwa
Kierownictwo nie potrzebowało technicznego opisu każdego modelu i narzędzia. Potrzebowało krótkiego i zrozumiałego obrazu sytuacji.
Nowy sposób raportowania obejmował:
- ✓zatwierdzone i proponowane zastosowania AI;
- ✓przypadki obejmujące informacje wrażliwe;
- ✓zastosowania podwyższonego ryzyka oczekujące na decyzję;
- ✓narzędzia wykorzystywane bez zgody;
- ✓zaległe działania z zakresu bezpieczeństwa lub ochrony danych;
- ✓problemy związane z dostawcami;
- ✓incydenty i podejrzenia ujawnienia informacji;
- ✓powtarzające się problemy;
- ✓brakujące lub nieskuteczne zabezpieczenia;
- ✓oczekiwane korzyści biznesowe;
- ✓decyzje wymagane od kierownictwa.
Dla każdego istotnego problemu raport przedstawiał kontekst biznesowy, odpowiedzialną osobę, główne ryzyko, planowane działanie, termin i potrzebną decyzję.
Pozwoliło to omawiać możliwości i ryzyka w ramach jednej rozmowy.
Co przekazaliśmy klientowi
Klient otrzymał:
- ✓uporządkowany rejestr zastosowań generatywnej AI;
- ✓praktyczną metodę oceny ryzyka;
- ✓różne ścieżki zatwierdzania zależne od poziomu ryzyka;
- ✓jasne zasady bezpiecznego korzystania z generatywnej AI;
- ✓określone role i zakresy odpowiedzialności;
- ✓proces oceny dostawców oraz wbudowanych funkcji AI;
- ✓powiązania pomiędzy zastosowaniami, danymi, systemami, dostawcami, ryzykami i zabezpieczeniami;
- ✓szablony raportów dla kierownictwa;
- ✓procedurę eskalacji dla niezatwierdzonych lub bardziej ryzykownych działań;
- ✓wskazówki dotyczące regularnych przeglądów;
- ✓proces zmiany lub cofania zgody;
- ✓strukturę do gromadzenia dowodów i monitorowania działań naprawczych.
Projekt nie stworzył osobnego systemu zarządzania konkurującego z dotychczasowymi procesami. Włączył AI do istniejącego podejścia do ryzyka, bezpieczeństwa, ochrony danych i zarządzania dostawcami.
Rezultaty
W ciągu sześciu miesięcy klient osiągnął następujące rezultaty:
Firma uzyskała również lepszy obraz tego, gdzie wykorzystywana jest generatywna sztuczna inteligencja, jakie informacje są przy jej użyciu przetwarzane oraz na jakie procesy biznesowe może ona wpływać.
Przypadki użycia AI obejmujące informacje wrażliwe, kluczowe procesy operacyjne lub wyższy poziom automatyzacji zostały objęte bardziej szczegółową oceną. Zastosowania o niższym poziomie ryzyka, związane głównie ze wzrostem produktywności, mogły korzystać z krótszej i bardziej proporcjonalnej ścieżki zatwierdzania.
Pracownicy otrzymali praktyczne wytyczne dotyczące zatwierdzonych narzędzi AI, informacji, których nie wolno wprowadzać, obowiązku weryfikacji treści generowanych przez AI, wymaganego nadzoru człowieka oraz zgłaszania podejrzeń ujawnienia informacji.
Najważniejszym rezultatem było włączenie zarządzania AI do istniejącego ISMS oraz procesów związanych z ochroną danych, zakupami i zarządzaniem dostawcami.
Co zmieniło się dla klienta
Czego się nauczyliśmy
Opinia klienta
„Generatywna AI była już wykorzystywana w różnych częściach firmy, ale nie mieliśmy jasnego obrazu tego, gdzie dokładnie była używana i jakie informacje były wprowadzane do poszczególnych narzędzi. Nowy proces dał pracownikom praktyczną możliwość zgłaszania wartościowych pomysłów, a nam pozwolił wskazać te zastosowania, które wymagały silniejszych zabezpieczeń."
Poniższy cytat można wykorzystać wyłącznie po uzyskaniu zgody klienta. Jeżeli zatwierdzony cytat nie jest dostępny, tę sekcję należy usunąć.
Podsumowanie
Klient nie musiał wybierać pomiędzy wykorzystaniem generatywnej AI a właściwym zarządzaniem ryzykiem.
Problemem był brak pełnego obrazu sytuacji, niejasna odpowiedzialność i niespójne decyzje. Poszczególne zespoły testowały AI, ale firma nie miała wspólnego sposobu oceny celu biznesowego, przetwarzanych informacji, ryzyka dostawców i wymaganych zabezpieczeń.
Dzięki stworzeniu rejestru zastosowań i połączeniu go z danymi, systemami, dostawcami, ryzykami i odpowiedzialnymi osobami powstał praktyczny model zarządzania.
Pracownicy otrzymali zrozumiałe zasady. Zespoły biznesowe zyskały jasną ścieżkę zgłaszania pomysłów. Specjaliści ds. bezpieczeństwa i ochrony danych mogli skoncentrować się na zastosowaniach wrażliwych i bardziej ryzykownych. Kierownictwo uzyskało lepszy obraz tego, gdzie AI może przynieść korzyści, a gdzie potrzebne są dodatkowe zabezpieczenia.
Co najważniejsze, generatywna AI stała się częścią normalnego zarządzania ryzykiem biznesowym, zamiast pozostawać tematem obsługiwanym za pomocą oddzielnych polityk i pojedynczych, nieskoordynowanych decyzji.
Czy mierzą się Państwo z podobnym wyzwaniem?
Generatywna AI często trafia do organizacji poprzez publiczne narzędzia, eksperymenty pracowników, usługi dostawców oraz nowe funkcje dodawane do używanych już aplikacji.
Cybersecurity Analytics może pomóc Państwa organizacji:
- ✓zrozumieć, w jaki sposób wykorzystywana jest generatywna AI;
- ✓określić, jakie dane i procesy biznesowe są z nią związane;
- ✓ocenić ryzyka cyberbezpieczeństwa i ochrony danych;
- ✓przygotować jasne zasady dla pracowników;
- ✓wprowadzić proporcjonalny proces zatwierdzania;
- ✓oceniać dostawców usług AI i funkcje wbudowane w aplikacje;
- ✓przypisać odpowiedzialność za zastosowania i działania;
- ✓połączyć zarządzanie AI z istniejącym ISMS;
- ✓zapewnić kierownictwu przejrzysty obraz możliwości i ryzyk.
Bezpiecznie rozwijaj wykorzystanie generatywnej AI, zachowując jasne zasady, odpowiedzialność i praktyczne zabezpieczenia.
Skontaktuj się z nami, aby omówić, jak bezpiecznie rozwijać wykorzystanie generatywnej AI, zachowując jasne zasady, odpowiedzialność i praktyczne zabezpieczenia.
Zrozumieć, gdzie wykorzystywana jest generatywna AI i jakie informacje są zaangażowane.
Wprowadzić proporcjonalne ścieżki przeglądu i zatwierdzania inicjatyw AI.
Przygotować praktyczne zasady wspierające odpowiedzialne i produktywny wykorzystanie AI.
Połączyć zarządzanie AI z istniejącymi procesami bezpieczeństwa i zarządzania ryzykiem.
