Szkolenie: Bezpieczne korzystanie z AI w firmie – ChatGPT, Copilot i ochrona danych

Czym jest AI, generatywna AI oraz model językowy LLM

Jak AI generuje odpowiedzi

Tokenizacja, kontekst i ograniczenia modeli

Dlaczego AI może tworzyć błędne informacje

Kiedy AI korzysta ze źródeł (internet, dane firmowe), a kiedy odpowiada z pamięci modelu – i jak to rozpoznać

Weryfikacja źródeł i cytowań podawanych przez AI

Przygotowanie dokumentów, analiz i podsumowań

Wsparcie pracy administracyjnej i biznesowej

Automatyzacja powtarzalnych czynności

Przykłady skutecznego wykorzystania AI

Najczęstsze błędy użytkowników

ChatGPT: w usługach konsumenckich rozmowy mogą być wykorzystywane do ulepszania modeli, o ile użytkownik tego nie wyłączy w ustawieniach; w ChatGPT Business i Enterprise dane organizacji nie są domyślnie wykorzystywane do trenowania modeli (warunki i ustawienia należy każdorazowo zweryfikować w aktualnej dokumentacji dostawcy)

Nazewnictwo Microsoft jest obecnie zmieniane: Microsoft 365 Copilot występuje także pod nazwą Microsoft Copilot, a Microsoft 365 Copilot Chat jako Microsoft Copilot Chat; w interfejsie mogą być widoczne etykiety licencji, np. Copilot Chat (Basic), Copilot (Basic), Copilot (Premium). Na szkoleniu produkty i licencje są rozróżniane według faktycznych możliwości dostępu do danych organizacji, a nie samej nazwy

Copilot to kilka różnych produktów: konsumencki Copilot, Copilot Chat z kontem firmowym (Entra ID) oraz licencjonowany Microsoft Copilot (dawniej Microsoft 365 Copilot) z dostępem do danych w środowisku organizacji

Copilot z kontem służbowym (Microsoft Entra ID): Enterprise Data Protection – prompty i odpowiedzi nie są wykorzystywane do trenowania modeli bazowych, a Microsoft działa jako podmiot przetwarzający; zakres dostępu do danych zależy od licencji i konfiguracji środowiska. Konsumencki Copilot takiej ochrony nie zapewnia

Jak sprawdzić, z jakiej wersji faktycznie korzystam (konto, logowanie, oznaczenia w interfejsie, np. znacznik ochrony danych w Copilot Chat po zalogowaniu kontem firmowym oraz etykieta licencji widoczna w aplikacji Copilot)

Copilot Chat a licencjonowany Microsoft Copilot (dawniej Microsoft 365 Copilot): różnica w zakresie dostępu do danych organizacji, źródeł odpowiedzi i funkcji zależnych od licencji; uczestnik powinien rozpoznać, czy korzysta z trybu Web czy Work (o ile jest dostępny) oraz jakie dane organizacji są dostępne w danym środowisku (m.in. pliki wgrane do czatu, kontekst aplikacji, agenci)

Praktyczna reguła: jakie dane wolno wprowadzać do której wersji

Warunki licencyjne zmieniają się często – gdzie szukać aktualnej dokumentacji dostawcy

Dane osobowe, poufne i informacje chronione

Klasyfikacja informacji przed użyciem AI

RODO w praktyce: podstawa prawna przetwarzania, zasada minimalizacji danych

Dostawca AI jako podmiot przetwarzający: umowa powierzenia przetwarzania danych

Transfer danych poza Europejski Obszar Gospodarczy

Kiedy przy wdrożeniu AI potrzebna jest ocena skutków dla ochrony danych (DPIA)

Ryzyko wycieku informacji zależne od typu licencji i ustawień konta

Tajemnica przedsiębiorstwa i zobowiązania poufności wobec klientów

Odpowiedzialność użytkownika za przekazane dane

Status prawny treści wygenerowanych przez AI

Ryzyko naruszenia cudzych praw autorskich przy wykorzystaniu wyników AI

Zasady oznaczania i weryfikacji materiałów tworzonych z pomocą AI

Dobre praktyki dla marketingu, sprzedaży i dokumentów dla klientów

Czym jest prompt engineering

Budowanie skutecznych zapytań

Przykłady dobrych i złych promptów

Jak usuwać lub anonimizować dane wrażliwe w zapytaniach

Weryfikacja odpowiedzi generowanych przez AI

Copilot respektuje uprawnienia użytkownika – nie omija ich

Oversharing: nadmierne udostępnianie w SharePoint i OneDrive, które Copilot czyni łatwo wyszukiwalnym

Typowe scenariusze ujawnienia dokumentów przez błędną konfigurację uprawnień

Etykiety poufności i DLP w Microsoft Purview – przegląd możliwości oraz ograniczeń zależnych od konfiguracji, licencji i zakresu zastosowanych mechanizmów ochrony

Skopiowanie treści dokumentu do czatu może oderwać ją od etykiet i uprawnień źródłowych – dlaczego to ważne dla użytkownika

Role administratorów i użytkowników

Lista kontrolna przygotowania środowiska przed wdrożeniem Copilota

Wersja pośrednia: złośliwe polecenia w mailu, dokumencie lub na stronie internetowej przetwarzanej przez Copilota lub agenta AI

Dlaczego Prompt injection jest groźnym zagrozeniem: AI może ujawnić dane lub wykonać akcję w imieniu użytkownika

Zasady dla użytkownika (bez technik.szczeg.): nieufność wobec cudzych treści, kontrola wyników, ograniczanie uprawnień AI, zgłaszanie dziwnych zachowań

Pokaz i analiza przykładów

Prywatne konta ChatGPT używane do pracy

Przekazywanie dokumentów firmowych do narzędzi o nieznanych warunkach przetwarzania

Nieautoryzowane rozszerzenia przeglądarki, aplikacje i wtyczki AI

Konektory i agenci AI z dostępem do poczty, kalendarza i plików – zasada minimalnych uprawnień

Ryzyko dla organizacji

Jak stworzyć bezpieczne zasady korzystania z AI w organizacji

Phishing generowany przez AI

Tworzenie realistycznych wiadomości i podszywanie się pod pracowników

Deepfake (głos, wideo) i manipulacja informacją

Procedury obrony: weryfikacja poleceń przelewu drugim kanałem (callback), hasła weryfikacyjne, zasada dwóch osób przy płatnościach, ścieżka eskalacji

Wykorzystanie AI do analizy informacji OSINT

Nowe zagrożenia dla organizacji

Wsparcie zespołów bezpieczeństwa

Analiza logów i zdarzeń

Automatyzacja analizy informacji

Wsparcie administratorów i użytkowników

AI Act – ogólne ramy i podejście oparte na ryzyku

Art. 4 AI Act: obowiązek podejmowania działań wspierających rozwój kompetencji w zakresie AI (AI literacy) – w brzmieniu po zmianach wprowadzonych rozporządzeniem (UE) 2026/1744 (Digital Omnibus on AI) – i jak organizacja może te działania udokumentować

Zakres obowiązku z art. 4: środki dostosowane do wiedzy, roli i kontekstu użycia AI; przepis nie wymaga gwarantowania określonego poziomu kompetencji u każdej osoby; przykłady dobrych praktyk

Obowiązki przejrzystości (art. 50 AI Act) – przegląd z perspektywy użytkownika treści generowanych przez AI

Tworzenie polityki korzystania z AI

Role i odpowiedzialność pracowników

Proces akceptacji nowych narzędzi

AI Governance

Aktualny stan dalszych obowiązków AI Act i ich terminów – omawiany według stanu na dzień szkolenia

Analiza bezpiecznych i ryzykownych promptów

Ocena, czy dana konkretna informacja może zostać przekazana do AI (z uwzględnieniem typu licencji)

Rozpoznawanie prompt injection w przykładowych mailach i dokumentach

Symulacja sytuacji wycieku danych przez AI

Ćwiczenie: reakcja na fałszywe polecenie przelewu z użyciem deepfake

Przygotowanie zasad korzystania z AI dla organizacji

Dyskusja nad realnymi sytuacjami biznesowymi z wykorzystaniem AI w pozytywnym i negatywnym kontekście