Komisja Europejska przedstawia plan wykorzystania AI do wzmocnienia cyberbezpieczeństwa

Komisja Europejska przedstawiła 7 lipca plan działań na rzecz cyberbezpieczeństwa i sztucznej inteligencji, który ma połączyć istniejące unijne ramy prawne, w tym AI Act, Cyber Resilience Act oraz dyrektywę NIS2, w spójną odpowiedź na zagrożenia płynące z zaawansowanych modeli AI.

Dwie strony tej samej technologii

Komisja podkreśla, że zaawansowane modele AI są bronią obosieczną w cyberbezpieczeństwie. Z jednej strony mogą pomagać wykrywać podatności i automatyzować obronę systemów, z drugiej te same możliwości pozwalają atakującym identyfikować luki, automatyzować ataki oraz zwiększać skalę i szybkość incydentów do poziomu, którego dotychczasowe zabezpieczenia nie były w stanie obsłużyć.

Sztuczna inteligencja zmienia znaczenie cyberbezpieczeństwa. Musimy nadążyć za tym tempem. Unia Europejska ma mocne fundamenty - Henna Virkkunen, wiceprzewodnicząca wykonawcza Komisji Europejskiej ds. suwerenności technologicznej

Nowa zdolność oceny modeli

Kluczowym elementem planu jest budowa unijnej zdolności do oceny modeli AI przed ich wprowadzeniem na rynek, zgodnie z wymogami AI Act. Komisja ogłosiła nabór na stworzenie dedykowanej zdolności oceniającej modele pod kątem cyberbezpieczeństwa, która ma zacząć działać w 2027 roku. To oznacza, że nowe, potężne modele trafiające na unijny rynek będą przechodzić dodatkową weryfikację pod kątem ryzyk związanych z bezpieczeństwem cyfrowym, zanim trafią do firm i instytucji.

Komisja zapowiedziała też współpracę z Agencją Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) nad opracowaniem europejskiego planu bezpiecznego dostępu do zaawansowanych systemów AI wykorzystywanych w cyberbezpieczeństwie. Ma to dać firmom i instytucjom jasne wytyczne, jak korzystać z takich narzędzi bez narażania się na dodatkowe ryzyko.

Platforma testowa dla sektorów krytycznych

Plan przewiduje uruchomienie bezpiecznej platformy testowej, na której organizacje z sektorów energetyki, transportu, zdrowia, finansów i administracji publicznej będą mogły testować i wdrażać rozwiązania AI w kontrolowanych warunkach. To odpowiedź na obawy, że sektory krytyczne wdrażają narzędzia AI szybciej, niż nadążają za tym procedury bezpieczeństwa.

Dokument wprost łączy pięć aktów prawnych obowiązujących lub wchodzących w życie w Unii: AI Act, Cyber Resilience Act, dyrektywę NIS2, rozporządzenie DORA dotyczące sektora finansowego oraz Cyber Solidarity Act. Komisja chce, by te regulacje działały jako spójny system, a nie zbiór niezależnych od siebie wymogów, z którymi firmy muszą radzić sobie osobno.

Co to oznacza dla Polski

Dla polskich firm i instytucji plan oznacza w praktyce kolejną warstwę wymogów zgodności, ale też szansę na dostęp do unijnej platformy testowej i wspólnych standardów oceny modeli. Sektory takie jak energetyka czy administracja publiczna, które w Polsce dopiero zaczynają wdrażać AI na szerszą skalę, będą mogły korzystać z gotowych ram bezpieczeństwa zamiast budować je od zera. Jednocześnie krajowy regulator, powstająca Komisja ds. Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, będzie musiał zharmonizować swoje działania z nowym unijnym planem.

Plan Komisji wpisuje się w szerszy kontekst debaty o europejskiej suwerenności technologicznej, w którym Unia stara się ograniczyć zależność od amerykańskich i chińskich dostawców modeli AI, budując jednocześnie własne zdolności oceny i nadzoru. Kolejne miesiące pokażą, czy zapowiedziana na 2027 rok zdolność oceny modeli powstanie w terminie i czy będzie miała realny wpływ na tempo wprowadzania nowych systemów AI na unijny rynek.