Szkolenie dla pracowników z zakresu sztucznej inteligencji: bezpieczeństwo AI, zgodność z przepisami dotyczącymi AI oraz „cieniowa” sztuczna inteligencja

W skrócie: szkolenia z zakresu świadomości AI uczą pracowników, jak rozpoznawać ataki wykorzystujące sztuczną inteligencję, takie jak phishing generowany przez AI czy klonowanie głosu (świadomość bezpieczeństwa AI), oraz jak korzystać z narzędzi AI w pracy bez ujawniania danych czy łamania zasad (zgodność z przepisami dotyczącymi AI). Od 2 lutego 2025 r. art. 4 unijnej ustawy o AI wymaga, by organizacje korzystające z systemów AI podejmowały działania mające na celu podnoszenie kompetencji pracowników w zakresie AI. Dobry program uwzględnia oba te aspekty, opiera się na jasnej polityce dotyczącej sztucznej inteligencji i prowadzi ewidencję osób, które przeszły szkolenie.

Sztuczna inteligencja niesie ze sobą tyle samo możliwości, co zagrożeń. Hakerzy wykorzystują ją do tworzenia lepszych ataków phishingowych i fałszowania głosów, a pracownicy wklejają dane klientów do publicznych chatbotów, żeby zaoszczędzić dziesięć minut.

Porównanie szkoleń z zakresu świadomości w zakresie sztucznej inteligencji, bezpieczeństwa sztucznej inteligencji oraz zgodności z przepisami dotyczącymi sztucznej inteligencji

Wiele organizacji zaczyna od kwestii bezpieczeństwa, bo to zagrożenie jest bezpośrednie. Zgodność z przepisami jest równie pilna: wiele incydentów związanych ze sztuczną inteligencją nie zaczyna się od hakera, tylko od pracownika działającego w dobrej wierze.

Jak sztuczna inteligencja zmienia obraz zagrożeń

Phishing i inżynieria społeczna tworzone przez sztuczną inteligencję

Kiedyś phishing zdradzał się nieporadnym językiem i ogólnikowymi zwrotami grzecznościowymi. Generatywna sztuczna inteligencja eliminuje obie te rzeczy: model potrafi przeczytać czyjś profil na LinkedIn i napisać e-mail w tonie, jaki używałby kolega z pracy, w bezbłędnym języku holenderskim lub niemieckim, na dowolną skalę. Microsoft zmierzył ten efekt w swoim raporcie „Digital Defense Report 2025”: phishing zautomatyzowany przez AI osiągnął współczynnik klikalności na poziomie 54 procent, czyli 4,5 razy wyższy niż w przypadku tradycyjnego phishingu. Szukanie błędów ortograficznych już nie działa. Skuteczne jest natomiast ocenianie samej prośby: czy jest nieoczekiwana, pilna, dotyczy pieniędzy lub danych logowania? Nasz przewodnik „Czym jest phishing” omawia podstawy.

Badania nad złośliwym oprogramowaniem i lukami w zabezpieczeniach z wykorzystaniem chatbotów

Kiedyś tworzenie złośliwego oprogramowania czy badanie luk w zabezpieczeniach wymagało wykwalifikowanych hakerów. W październiku 2024 roku firma OpenAI potwierdziła, że udaremniła ponad 20 złośliwych operacji, w których wykorzystywano ChatGPT, między innymi do debugowania złośliwego oprogramowania i przygotowywania ataków typu spear phishing. Nie dało to atakującym żadnych nowych możliwości, ale sprawiło, że działali szybciej. Skutek dla pracowników: więcej ataków w skrzynkach odbiorczych, w tym od mniej wykwalifikowanych przestępców.

Deepfake’i i klonowanie głosu

Deepfake to realistyczne, sfałszowane nagranie wideo lub audio przedstawiające prawdziwą osobę. W 2024 roku pracownik firmy Arup w Hongkongu przelał około 25,6 mln dolarów po rozmowie wideo, w której dyrektor finansowy i inni współpracownicy byli w rzeczywistości deepfake’ami – poinformowała stacja CNN. W tym samym roku przestępcy próbowali podszyć się pod dyrektora generalnego WPP, Marka Reada, używając klonu głosu podczas spotkania na Teamsie, ale nie udało im się to, bo pracownicy zachowali czujność. W lutym 2025 roku sklonowany głos włoskiego ministra obrony Guido Crosetto przekonał biznesmena Massimo Morattiego do przelania prawie miliona euro. Pieniądze udało się namierzyć na holenderskim koncie bankowym i zamrozić. Więcej przypadków znajdziesz w naszych przykładach deepfake’ów.

Ta sama sztuczka działa też na zwykłych ludzi: telefon, w którym słyszysz przerażony głos swojej córki proszącej o pieniądze. Czy byś się wahał? Większość ludzi by się nie wahała. Właśnie na wyeliminowanie wątpliwości co do znajomego głosu ma służyć to szkolenie.

Shadow AI: zagrożenie, które zaczyna się w nas samych

„Shadow AI” to korzystanie z narzędzi opartych na sztucznej inteligencji, których organizacja nie zatwierdziła lub których nie ma w zasięgu wzroku: darmowy chatbot na koncie osobistym, rozszerzenie przeglądarki podsumowujące e-maile, aplikacja do robienia notatek podczas spotkań. Ryzyko wiąże się z tym, co tam trafia. Darmowe wersje mogą zapisywać to, co wpisujesz, i wykorzystywać te dane do uczenia się, a wklejony plik z danymi klienta już nie da się cofnąć.

W raporcie IBM „Cost of a Data Breach Report 2025” co piąta z badanych organizacji zgłosiła naruszenie związane z „cieniową sztuczną inteligencją”. W przypadku organizacji, w których występuje dużo „cieniowej sztucznej inteligencji”, koszt naruszenia był średnio o 670 000 USD wyższy niż w organizacjach, w których jej było mało lub wcale. Tylko 37 procent organizacji miało zasady dotyczące zarządzania sztuczną inteligencją lub wykrywania „cieniowej sztucznej inteligencji”.

W latach 2024 i 2025 holenderski organ ds. ochrony danych otrzymał dziesiątki zgłoszeń dotyczących udostępniania wrażliwych informacji za pośrednictwem chatbotów. Jak podał serwis Accountant.nl w grudniu 2025 r., w urzędzie miasta Eindhoven wewnętrzna kontrola wykazała, że w ciągu trzydziestu dni pracownicy wprowadzali poufne dokumenty do publicznych chatbotów, w tym akta dotyczące opieki nad młodzieżą. Od tego czasu urząd zablokował publiczne strony internetowe wykorzystujące sztuczną inteligencję.

Samo blokowanie rzadko rozwiązuje problem, bo sztuczna inteligencja pozwala ludziom zaoszczędzić czas. Trwałym rozwiązaniem jest jasna polityka, zatwierdzona alternatywa oraz szkolenie wyjaśniające, dlaczego te zasady istnieją.

Dlaczego klasyczne szkolenia z zakresu świadomości bezpieczeństwa to za mało

Wiele programów wciąż uczy ludzi, jak wyłapywać literówki w mailach, w których już ich nie ma, i nie wspomina ani słowem o tym, co można wpisać w czacie z botem. Szkolenia z zakresu świadomości bezpieczeństwa AI skupiają się na zagrożeniach związanych ze sztuczną inteligencją, żeby pracownicy potrafili je rozpoznać i zgłaszać. To ważne, bo większość z nas przecenia swoje umiejętności w wykrywaniu zagrożeń – dopóki kierownik IT nie przeprowadzi symulacji phishingu i nie wpiszemy tam swoich danych logowania.

Szkolenia z zakresu zgodności z przepisami dotyczącymi sztucznej inteligencji oraz unijna ustawa o sztucznej inteligencji

Głównym aktem prawnym w Europie jest unijna ustawa o sztucznej inteligencji, rozporządzenie (UE) 2024/1689. Jeśli chodzi o szkolenia, kluczowy jest artykuł 4. Od 2 lutego 2025 r. nakłada on na dostawców i użytkowników systemów sztucznej inteligencji obowiązek podjęcia działań mających na celu podnoszenie kompetencji pracowników, którzy korzystają z AI w ich imieniu. Organizacja, której pracownicy używają w pracy narzędzi takich jak ChatGPT czy Copilot, zazwyczaj jest uznawana za użytkownika. Pakiet „Digital Omnibus” dotyczący sztucznej inteligencji, obowiązujący od lipca 2026 r., utrzymał ten obowiązek, ale zrezygnował z wymogu osiągnięcia „wystarczającego” poziomu, jak podaje Komisja Europejska. Organy krajowe zaczną egzekwować te przepisy od 2 sierpnia 2026 r. Nie potrzebujesz żadnego certyfikatu – wystarczą wewnętrzne zapisy z szkoleń. Co w praktyce oznacza znajomość sztucznej inteligencji, wyjaśniamy na naszej stronie poświęconej szkoleniom z tej dziedziny.

Kary przewidziane w ustawie o sztucznej inteligencji sięgają 35 milionów euro lub 7 procent światowego obrotu, ale ten pułap dotyczy tylko praktyk zabronionych. Artykuł 99 nie wymienia artykułu 4 wśród obowiązków podlegających karze. Prawdziwe ryzyko jest takie: po jakimś incydencie organizacja, która nie potrafi udowodnić, że przeszkoliła swoich pracowników, będzie miała sporo do wyjaśnienia.

Szkolenia z zakresu zgodności z przepisami dotyczącymi sztucznej inteligencji pozwalają pracownikom i kadrze kierowniczej zapoznać się z takimi tematami jak:

• Kategorie ryzyka: jak rozpoznać, czy dany system AI jest zabroniony, stanowi wysokie ryzyko, czy też nie należy do żadnej z tych kategorii
• Przejrzystość: informowanie ludzi, kiedy mają do czynienia ze sztuczną inteligencją lub treściami wygenerowanymi przez sztuczną inteligencję
• Prywatność: co RODO oznacza dla danych osobowych w poleceniach, przesłanych plikach i wynikach generowanych przez sztuczną inteligencję
• Nadzór ludzki: sprawdzanie wyników generowanych przez sztuczną inteligencję przed wykorzystaniem ich w podejmowaniu decyzji oraz prowadzenie ścieżki audytu

Zasady prawidłowego korzystania z AI: co powinny zawierać

Szkolenie bez zasad sprawia, że pracownicy muszą zgadywać, a zasady bez szkolenia lądują w szufladzie. Zasady dopuszczalnego użytkowania sztucznej inteligencji określają reguły prostym językiem. Te, które naprawdę się sprawdzają, mieszczą się na dwóch stronach i obejmują co najmniej:

• Zatwierdzone narzędzia: jakie narzędzia AI można używać, na jakim koncie oraz jak poprosić o nowe
• Zasady dotyczące danych: jakie dane nie mogą być nigdy przechowywane (dane osobowe, akta klientów, kod źródłowy, umowy, hasła) oraz jakie dane można przechowywać w zatwierdzonych narzędziach
• Sprawdzanie treści: Wynik generowany przez AI to tylko szkic, a za fakty, liczby i ton wypowiedzi nadal odpowiada człowiek
• Zabronione zastosowania: na przykład podejmowanie decyzji dotyczących ludzi bez udziału człowieka albo wykorzystywanie systemów AI do sporządzania notatek podczas poufnych spotkań
• Zgłaszanie: gdzie zgłosić błąd, np. wklejenie danych do niewłaściwego narzędzia, bez obawy, że zostaniesz obwiniony
• Odpowiedzialność i przegląd: kto odpowiada za tę politykę i jak często jest ona aktualizowana

Szkolenia pomagają utrwalić zasady, przekształcając je w konkretne sytuacje. „Nie wprowadzaj danych osobowych” to abstrakcyjne sformułowanie. Natomiast sytuacja, w której kolega wkleja skargę klienta – wraz z adresem – do darmowego chatbota, już taka nie jest. Powtarzaj takie scenariusze, a zasady staną się nawykiem. To właśnie sedno kultury świadomości bezpieczeństwa.

Co obejmuje program szkolenia z zakresu świadomości w zakresie sztucznej inteligencji

Jak wdrożyć szkolenia z zakresu sztucznej inteligencji dla pracowników

1. Zbadaj, jak wygląda korzystanie z AI. Dowiedz się, z jakich narzędzi faktycznie się korzysta, kto z nich korzysta i do czego. Krótka, anonimowa ankieta często dostarcza więcej informacji niż logi sieciowe.
2. Opracuj lub zaktualizuj zasady dotyczące sztucznej inteligencji i zaproponuj zatwierdzoną alternatywę dla najczęstszych przypadków użycia.
3. Ustal punkt odniesienia. Przed rozpoczęciem szkolenia przeprowadź symulację ataku phishingowego i krótki test wiedzy.
4. Ćwicz regularnie, w krótkich sesjach. Roczne szkolenie e-learningowe szybko wychodzi z pamięci, podczas gdy krótkie i regularne mikroszkolenia pozwalają utrzymać wiedzę na bieżąco.
5. Dostosowane do roli: fałszywe prośby o płatności w dziale finansów, fałszywi kandydaci w dziale kadr, sekrety narzędzi AI dla programistów, zasady zarządzania dla kadry kierowniczej.
6. Wszystko dokumentuj: kto przeszedł szkolenie, kiedy i z jakiego tematu, a także wersję polityki. To będą twoje dowody w ramach ustawy o sztucznej inteligencji oraz podczas audytów NIS2 i ISO 27001.

Upewnij się, że wybrany przez ciebie program zawiera moduł poświęcony sztucznej inteligencji. Guardey taki ma: w krótkich, trwających około trzech minut cotygodniowych wyzwaniach pracownicy dowiadują się o najnowszych zagrożeniach związanych ze sztuczną inteligencją, takich jak deepfake’i. W programie są też symulacje ataków phishingowych, zespoły rywalizują w rankingach, a audytorzy akceptują raporty zgodne z NIS2, ISO 27001 i ponad 40 innymi standardami.

Jak sprawdzić, czy szkolenia z zakresu świadomości w zakresie sztucznej inteligencji przynoszą efekty

Wskaźniki konwersji pokazują tylko kliknięcia, a nie zachowanie. Zamiast tego mierz zachowanie:

• Wyniki symulacji phishingu: wskaźnik kliknięć i, co ważniejsze, wskaźnik zgłoszeń, śledzone w czasie
• Sygnały z Shadow AI: ruch do nieautoryzowanych narzędzi AI oraz alerty dotyczące zapobiegania utracie danych – zarówno przed, jak i po szkoleniu
• Błędy zgłaszane przez samych pracowników: większa liczba zgłoszeń to często dobry znak, bo ludzie mają odwagę się odezwać
• Frekwencja w czasie: stała cotygodniowa frekwencja mówi więcej niż jeden skokowy wzrost po obowiązkowej sesji

Co kwartał sprawdzaj statystyki, zwracając uwagę na nowe narzędzia AI, które są w użyciu, oraz nowe techniki ataków. Program, który nie jest aktualizowany kilka razy w roku, nie nadąża za atakującymi, których ma powstrzymać.

Często zadawane pytania

Czym jest szkolenie z zakresu świadomości w zakresie sztucznej inteligencji?

Szkolenie, które uczy pracowników, jak przestępcy wykorzystują sztuczną inteligencję w atakach, takich jak deepfake’i, oraz jak bezpiecznie i zgodnie z zasadami korzystać z narzędzi opartych na sztucznej inteligencji w pracy. Zazwyczaj są to krótkie, cykliczne moduły.

Jaka jest różnica między szkoleniem z zakresu świadomości bezpieczeństwa w kontekście sztucznej inteligencji a szkoleniem z zakresu zgodności z przepisami dotyczącymi sztucznej inteligencji?

Szkolenie z zakresu świadomości bezpieczeństwa w kontekście sztucznej inteligencji dotyczy ochrony przed atakami wykorzystującymi sztuczną inteligencję, takimi jak phishing, deepfake’i i klonowanie głosu. Szkolenie z zakresu zgodności z przepisami dotyczącymi sztucznej inteligencji dotyczy tego, jak sam korzystasz z AI: zatwierdzonych narzędzi, ochrony danych, unijnej ustawy o sztucznej inteligencji oraz firmowej polityki dotyczącej sztucznej inteligencji. Większość organizacji potrzebuje obu tych szkoleń.

Czy szkolenia z zakresu sztucznej inteligencji dla pracowników są obowiązkowe na mocy unijnej ustawy o sztucznej inteligencji?

Od 2 lutego 2025 r. artykuł 4 nakłada na organizacje korzystające z systemów sztucznej inteligencji obowiązek wspierania wiedzy pracowników w zakresie sztucznej inteligencji. Prawo nie określa konkretnego kursu ani certyfikatu, ale zazwyczaj spełnia się ten wymóg poprzez szkolenia z dokumentacją.

Czym jest „shadow AI”?

„Shadow AI” to korzystanie z narzędzi opartych na sztucznej inteligencji, których organizacja nie zatwierdziła – często są to darmowe chatboty na kontach prywatnych. Głównym zagrożeniem jest to, że poufne lub osobiste dane trafiają do narzędzi, nad którymi organizacja nie ma kontroli.

Czy szkolenie z zakresu świadomości bezpieczeństwa oparte na sztucznej inteligencji to to samo, co szkolenie z zakresu świadomości w zakresie sztucznej inteligencji?

Nie. W szkoleniach opartych na sztucznej inteligencji sama platforma wykorzystuje sztuczną inteligencję, na przykład do personalizacji treści. Szkolenie z zakresu świadomości sztucznej inteligencji dotyczy właśnie sztucznej inteligencji jako tematu. Platforma może służyć do obu tych celów.