Musimy postawić na polskie rozwiązania

Jak generatywna sztuczna inteligencja przedefiniowała cyberbezpieczeństwo? Z jakimi nowymi wektorami ataków musimy się mierzyć?

Przedefiniowała krajobraz globalny, bo zagrożenia dotyczą wszystkich przedsiębiorstw i podmiotów publicznych. Wektory ataków zmieniły się diametralnie. Obrona jest znacznie trudniejsza, ponieważ po stronie atakujących stoi sztuczna inteligencja wielokrotnie przewyższająca zdolności ludzkie. Dotychczasowe metody się zdezaktualizowały. Ryzyko istniało zawsze, najpierw pojawiał się wirus, a za nim antywirus. Dziś tempo pojawiania się nowych zagrożeń związanych z AI jest tak duże, że nadążenie za nim staje się arcytrudne. Poza tym kiedyś czerpaliśmy z AI prostą wiedzę, dziś musimy dostarczać modelom mnóstwo kontekstu i wrażliwych danych, co znacząco zwiększa ryzyko ich ujawnienia lub niekontrolowanego wykorzystania.

Mierzymy się ze zjawiskami, o których kilka lat temu nikt nawet nie myślał. Bardzo groźny jest prompt injection, czyli sytuacja, w której odpowiednio spreparowana instrukcja może skłonić model lub agenta AI do działania niezgodnego z intencją użytkownika lub twórcy systemu.

Czy tradycyjne narzędzia dają gwarancję ochrony?

Absolutnie nie. Tradycyjne rozwiązania chroniły system operacyjny i nie skupiały się na warstwie użytkownika, która dotyka systemów AI. Narzędzia klasy DLP nie spełniają już dzisiejszych wymogów. Przyszłością są rozwiązania klasy AI Detection and Response. To jedyna droga, by skutecznie przeciwstawić się współczesnym atakom.

Czy polskie przedsiębiorstwa nadążają za tą dynamiką, czy jesteśmy skazani na import zagranicznych technologii?

Naszą szansą jest wąska, ale głęboka specjalizacja. Nie zbudujemy wielkich modeli językowych, bo to domena globalnych gigantów. Możemy jednak celować w konkretne, wąskie nisze. Mamy w kraju podmioty dostarczające pierwszorzędne rozwiązania. Jako Xopero Software przejęliśmy niedawno spółkę zabezpieczającą styk użytkowników z modelami językowymi. Polska myśl inżynierska ma tu ogromny potencjał sukcesu, o ile zbudujemy odpowiedni ekosystem wsparcia.

Z raportu „Polskie technologie w cieniu globalnych graczy” przygotowanego przez Xopero Software oraz Klaster #CyberMadeInPoland wyłania się niepokojący obraz. Jakie są kluczowe wnioski?

Deficyt handlowy w polskim sektorze IT wynosi aż 60 mld zł przy całym rynku wartym ok. 70 mld zł. Większość środków wypływa za granicę, a w kraju premiuje się rolę narodowego dystrybutora czy resellera, czyli de facto pośrednika zagranicznych korporacji. W efekcie budujemy kompetencje przede wszystkim w sprzedaży i wdrażaniu cudzych technologii, zamiast wzmacniać własność intelektualną, produkty i firmy, które mogłyby rozwijać się z Polski i zdobywać międzynarodowe rynki. Tymczasem 60 mld zł wraz z naszym rodzimym potencjałem wystarczyłoby na stworzenie globalnych czempionów.

W 2025 r. wydano u nas na cyberbezpieczeństwo 3,1 mld zł. Część trafiła za granicę. Czy jako państwo nie finansujemy cudzej przewagi technologicznej kosztem własnego ekosystemu?

Płacimy podwójnie, najpierw finansujemy bezpłatną edukację inżynierów współtworzących sukcesy OpenAI czy ElevenLabs, a potem gotowe produkty kupujemy za ciężkie pieniądze z Zachodu. Trzeba to odwrócić. 3 mld zł rocznie to potężny kapitał, który powinien zasilić rodzimy rynek. Cyberbezpieczeństwo to branża krytyczna, która na świecie rozwija się dzięki zamówieniom publicznym. Tak było ze SpaceX – bez kontraktów rządowych firma nie przetrwałaby mimo rund inwestycyjnych. Rola państwa jest kluczowa, nie tylko jako regulatora czy źródło finansowania innowacji, ale przede wszystkim jako pierwszego i wymagającego klienta. Zamówienia publiczne mogą dać krajowym firmom pierwsze duże wdrożenia, referencje i skalę, bez których trudno konkurować z globalnymi dostawcami. Państwo, kupując technologie, w praktyce współdecyduje więc o tym, czy w kraju powstają produkty i kompetencje, czy pozostajemy przede wszystkim rynkiem zbytu dla rozwiązań rozwijanych gdzie indziej.

Jak skłonić instytucje publiczne do wybierania polskich technologii?

Konieczne jest zdefiniowanie obszarów strategicznych i odejście od rozproszenia zakupów na tysiące administratorów w gminach i powiatach, bo tracimy efekt skali. Jak wskazuje prezes UZP, musimy nauczyć się robić zakupy mądrze i traktować je jako kartę przetargową do rozwoju innowacji. Trzeba też wzmacniać rynek VC i preferencje dla aniołów biznesu.

Czy potrzebne są zmiany prawne, np. wdrożenie klauzul local content?

Polityka zakupowa państwa idzie w dobrą stronę, w czym aktywnie uczestniczyliśmy, ale przez 30 lat przyzwyczailiśmy się do zachodnich korporacji. Potrzebujemy mechanizmu „first buyer”, czyli państwo musi być pierwszym odważnym klientem dla polskich spółek. Drugim filarem jest precyzyjnie zdefiniowany „local content”. Dziś kupuje się system od polskiego pośrednika, ale 90‒95 proc. środków natychmiast odpływa za granicę do zagranicznego właściciela praw.

Zobacz również

AI zmienia świat, ale zaufania się nie zautomatyzuje

Zapisz na później

First buyer i local content pozwolą przejść z modelu podwykonawcy do gospodarki produktowej. Dziś mamy absurd: polska firma musi najpierw odnieść sukces za granicą, by instytucje w kraju zechciały kupić jej produkt. Czas wdrożyć zachodnie praktyki w Polsce.

W czym tkwi nasza największa siła?

Przede wszystkim w niezwykłej determinacji inżynierów. Mamy potężny zasób 400 tys. specjalistów IT, którzy dotąd głównie świadczyli usługi dla zagranicznych korporacji. Ten kapitał nie tworzył dotąd własnej wartości technologicznej. Mówiono, że jesteśmy „Polską Doliną Krzemową”. Nie byliśmy nią i nie jesteśmy. Dolina Krzemowa tworzy finalne produkty, my byliśmy podwykonawcami. Ten model jednak się wyczerpał. Cenowo przestaliśmy być atrakcyjni, a jakość pracy w innych krajach jest już porównywalna. Czas zacząć tworzyć własne technologie, wzorując się na Izraelu, gdzie aż 56‒57 proc. eksportu IT stanowi cyberbezpieczeństwo.

Czy polska branża IT może zagwarantować państwu suwerenność cyfrową?

Pełna suwerenność cyfrowa jest niemożliwa. Ten obszar jest zbyt rozległy, by nad nim zapanować. Żadne państwo nie jest w stanie samodzielnie kontrolować całego stosu technologicznego. Suwerenność oznacza jednak posiadanie wyboru, a ten kończy się wtedy, gdy nie mamy własnych narzędzi. Możemy natomiast być suwerenni w wybranych segmentach. Jestem zwolennikiem budowy gotowych produktów w cybersecurity. Mamy prężny klaster ok. 100 firm, z czego 30‒40 oferuje dojrzałe, świetne technologie. To solidna baza, by budować własne zdolności i skutecznie chronić państwo.

PAO

ROZMOWY I DEBATY MOŻNA OBEJRZEĆ NA CYFROWA-GOSPODARKA.GAZETAPRAWNA.PL