Copilot a akt o sztucznej inteligencji UE

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Poznaj obowiązki związane z Copilotem i aktem o sztucznej inteligencji UE, w tym obowiązki podmiotów stosujących AI, zarządzanie, zarządzanie ryzykiem, przejrzystość i nadzór człowieka.

Automatically translated with AI from the original post. Read the English original

Możesz pomyśleć, że zasada Compliant by Design pozwala odpuścić. Ta koncepcja może jednak narazić Twoją organizację na ryzyko. Akt o AI UE nakłada na Ciebie realne obowiązki. Dostawca nie jest jedynym odpowiedzialnym podmiotem. Wielu liderów IT i compliance obawia się asystentów AI. Uważają, że AI może pokazać dane osobom, które nie powinny ich widzieć. Microsoft Copilot 365 korzysta z solidnych kontroli dostępu oparte na rolach. Te funkcje pomagają, ale to dopiero początek. Pomyśl o użytkowniku, który prosi Copilota o podsumowanie tajnych plików. Czy masz pewność, że Twoje ustawienia chronią wszystkie dane?

Najważniejsze wnioski

• Poznaj drabinę ryzyka aktu o AI UE. To Twój przypadek użycia AI określa poziom zgodności, a nie dostawca.

• Korzystaj z funkcji zgodności Copilota. Upewnij się, że skonfigurowano je prawidłowo. Domyślne ustawienia mogą nie być zgodne z przepisami UE.

• Dokumentuj każdy krok podczas korzystania z AI. Dobre zapisy pomagają wykazać, że przestrzegasz przepisów. Może to pomóc uniknąć wysokich kar.

• Szkol zespół z zakresu bezpieczeństwa i zgodności AI. Każdy powinien wiedzieć, co robić, oraz znać zasady korzystania z narzędzi AI.

• Regularnie sprawdzaj i aktualizuj plan zgodności. Śledź nowe przepisy. Pomoże to utrzymać zgodność z prawem.

Drabina ryzyka aktu o AI UE – wyjaśnienie

Kategorie ryzyka i przypadki użycia

Zanim wdrożysz jakiekolwiek narzędzie AI, musisz zrozumieć drabinę ryzyka aktu o AI UE. Akt dzieli systemy AI na cztery poziomy ryzyka. Każdy poziom wiąże się z innymi zasadami, których musisz przestrzegać. Oto prosta tabela pokazująca, jak działa drabina ryzyka:

Im wyżej na drabinie, tym więcej obowiązków. Jeśli korzystasz z Copilota lub ChatGPT do prostych zadań, takich jak pisanie e-maili, mieścisz się w kategorii minimalnego lub ograniczonego ryzyka. Jeśli używasz tych narzędzi do rekrutacji, oceny zdolności kredytowej lub porad zdrowotnych, wkraczasz na teren wysokiego ryzyka. Musisz wtedy przestrzegać większej liczby zasad i prowadzić lepszą dokumentację.

Dlaczego przypadek użycia jest ważniejszy niż dostawca

Możesz sądzić, że ryzyko określa dostawca lub model. To nieprawda. Sposób, w jaki używasz AI, wyznacza poziom ryzyka. Musisz opracować jasne przypadki użycia i wymagania. Potrzebujesz udokumentować, jakiego problemu chcesz rozwiązać i sprawdzić, czy AI jest właściwym rozwiązaniem. Warto też ocenić ryzyko wyników oraz kontrole jakości. Zapytaj siebie, jak wykorzystasz wyniki działania AI i co może pójść nie tak.

Oto kilka przykładów:

• Jeśli używasz Copilota do podsumowywania notatek ze spotkań, grozi Ci ryzyko ograniczone.

• Jeśli używasz ChatGPT do pomocy w decyzji, komu przyznać kredyt, grozi Ci wysokie ryzyko.

• Jeśli budujesz własne AI do oceniania społecznego, grozi Ci ryzyko niedopuszczalne.

Skup się na przypadku użycia, a nie tylko na marce czy modelu. Funkcje Compliant by Design pomagają, ale nadal musisz dopasować sposób użycia AI do właściwego poziomu ryzyka i przestrzegać zasad.

Compliant by Design – rusztowanie zgodności Copilota

Wbudowane funkcje zgodności

Korzystając z Copilota w Microsoft 365, zyskujesz solidny start. Platforma oferuje wiele narzędzi, które pomagają chronić dane. Narzędzia te współpracują, pomagając przestrzegać przepisów. Główne z nich znajdziesz w tabeli poniżej:

Te narzędzia pomagają Copilotowi wspierać podejście Compliant by Design. Otrzymujesz wsparcie w zarządzaniu danymi, kontrolowaniu, kto może je zobaczyć, i monitorowaniu tego, co się dzieje. Nie musisz budować wszystkiego samodzielnie. Możesz wykorzystać te narzędzia jako podstawę planu zgodności.

Wskazówka: Copilot nie wykorzystuje Twoich promptów ani odpowiedzi do trenowania swoich modeli. Dzięki temu Twoje dane pozostają prywatne, a ryzyko maleje.

Co wdrażający nadal muszą skonfigurować

Nie możesz po prostu korzystać z ustawień domyślnych. Musisz wprowadzić zmiany, aby Copilot przestrzegał zasad określonych w EU AI Act. Compliant by Design pomaga zacząć, ale pracę musisz dokończyć. Regulatorzy chcą dowodów, a nie obietnic.

Oto kroki, które wzmocnią Twoją zgodność:

1. Sprawdź i popraw uprawnienia w usługach SharePoint, OneDrive i Microsoft Teams, zanim włączysz Copilota. Usuń dostęp, którego ludzie nie potrzebują.

2. Stosuj zasadę najmniejszych uprawnień. Sprawdź listy grup i ustawienia udostępniania. Pozwól widzieć tylko to, czego ktoś naprawdę potrzebuje.

3. Rozważ zakup licencji E5, jeśli chcesz zapewnić lepszą ochronę danych użytkownikom, którzy mają dostęp do danych osobowych.

4. Szkol swoich użytkowników. Poinformuj ich, że Copilot przestrzega Waszych zasad dotyczących danych. Upewnij się, że wszyscy wiedzą, co Copilot potrafi, a czego nie.

Musisz skonfigurować etykiety poufności Purview oraz reguły DLP dla Copilota. Trzeba określić, jak długo dane są przechowywane, i sprawdzać dzienniki audytu. Warto ograniczyć wyszukiwanie w SharePoint, aby zapobiegać nadmiernemu udostępnianiu. Musisz spisać swoje oceny ryzyka i prowadzić dokumentację tego, co robisz.

Compliant by Design nie oznacza, że praca jest skończona. Musisz wykazać, jak wykorzystałeś te narzędzia w swoim środowisku. Regulatorzy chcą widzieć dowody. Musisz pokazać, że skonfigurowałeś, monitorowałeś i udokumentowałeś swoje działania związane ze zgodnością.

ChatGPT i Azure OpenAI – Bring Your Own Governance

Luki w zgodności publicznego ChatGPT

Korzystanie z publicznego ChatGPT to duże wyzwanie. Copilot ma wbudowane mechanizmy kontroli, ChatGPT ich nie ma. Musisz sam ustalić zasady i kontrole bezpieczeństwa. Wiele organizacji przekonało się o tym na własnej skórze.

Przyjrzyj się przypadkowi gminy Tromsø. Urzędnicy użyli AI do napisania większości raportu. Nikt nie sprawdził, czy fakty są prawdziwe, zanim go udostępniono. Raport zawierał fałszywe informacje. Ta pomyłka nadszarpnęła reputację i spowodowała problemy w pracy. Łatwo stracić kontrolę, jeśli nie ma silnych zasad.

Oto kilka typowych problemów, które musisz rozwiązać:

• Nie ma automatycznego zapisu promptów ani odpowiedzi.

• Brak wbudowanego sposobu zapobiegania utracie danych ani etykietowania danych wrażliwych.

• Brak ostrzeżeń ani oznaczeń dla treści wygenerowanych przez AI.

• Brak ludzkiej weryfikacji ważnych wyników.

• Brak jasnego sposobu ograniczania dostępu i kontrolowania, gdzie przechowywane są dane.

Te problemy musisz rozwiązać samodzielnie. EU AI Act wymaga, abyś wykazał, jak zarządzasz ryzykiem, dokumentował swoje decyzje i prowadził rejestry.

Azure OpenAI jako rozwiązanie pośrednie

Azure OpenAI daje większą kontrolę niż publiczny ChatGPT. Możesz korzystać z kont służbowych, określać, kto może z tego korzystać, i monitorować działania użytkowników. Otrzymujesz lepsze zapisy i możesz przechowywać dane w obrębie firmy. Te narzędzia pomagają spełnić niektóre wymagania EU AI Act.

Większość pracy nadal jest po Twojej stronie. Musisz:

1. Przeprowadzać oceny skutków dla ochrony danych (DPIA) dla każdego sposobu wykorzystania tej usługi.

2. Prowadzić rejestry czynności przetwarzania.

3. Ustanowić zasady zapobiegające utracie danych i określić, jak długo dane mają być przechowywane.

4. Sprawdzać dzienniki i weryfikować wyniki.

5. Szkolić użytkowników w bezpiecznym korzystaniu z AI i przestrzeganiu zasad.

Azure OpenAI pomaga zacząć, ale pracę musisz dokończyć. Musisz wykazać się dowodami w postaci jasnych zapisów i kontroli. EU AI Act nie przyjmuje obietnic. Musisz pokazać, co zrobiłeś.

Zestaw przetrwania wdrażającego dla EU AI Act

Potrzebujesz prostego planu, aby przestrzegać zasad EU AI Act. Ten zestaw pomaga uporządkować działania. Zawiera proste kroki, narzędzia i wskazówki dotyczące Copilota, ChatGPT i Azure OpenAI. Wykorzystaj go, aby chronić swoją organizację i pokazać regulatorom, że dbasz o zgodność.

Klasyfikacja ryzyka i dokumentacja

Zacznij od spisania swoich systemów AI oraz sposobów ich wykorzystania. Musisz wiedzieć, gdzie stosowana jest AI i co robi każdy system. Wykonaj poniższe kroki, aby posortować i udokumentować ryzyko:

1. Spisz wszystkie narzędzia i modele AI, których Twoja firma używa, tworzy, importuje lub sprzedaje w Europie.

2. Określ, czy Twoja firma jest dostawcą, wdrażającym, importerem czy dystrybutorem dla każdego systemu.

3. Sprawdź, czy EU AI Act obejmuje każdy system lub model.

4. Przypisz każdemu przypadkowi użycia AI poziom ryzyka: niedopuszczalny, wysoki, ograniczony lub minimalny.

5. Przejrzyj umowy i sprawdź szczegóły usług AI.

6. Utwórz lub zaktualizuj plan zarządzania AI tak, aby był zgodny z zasadami Aktu.

7. Prowadź notatki o wszystkich zmianach wprowadzanych w systemach lub modelach AI.

Musisz dokumentować każdy podjęty krok. Jeśli nie prowadzisz rzetelnej dokumentacji, możesz zostać ukarany wysokimi grzywnami.

Podmioty wdrażające, które nie dokumentują swoich działań zgodnie z unijnym aktem o AI, mogą mieć poważne kłopoty, na przykład grzywny w wysokości 7,5 mln euro za niepodanie regulatorom pełnych informacji, nawet jeśli ich decyzje dotyczące ryzyka były prawidłowe.

Konfiguracja Purview, DLP i dostępu

Musisz wdrożyć solidne mechanizmy kontroli, aby chronić dane. Użyj Purview, Data Loss Prevention (DLP) oraz kontroli dostępu, aby spełnić wymagania unijnego aktu o AI. Poniższa tabela pokazuje, czego potrzebujesz:

Pogrupuj reguły DLP tak, aby obejmowały typowe potrzeby. Upewnij się, że reguły najpierw stosują najbardziej restrykcyjne działania. Często sprawdzaj dzienniki audytu i raporty DLP, aby zweryfikować, czy zasady są przestrzegane.

Rejestrowanie, przejrzystość i nadzór człowieka

Musisz śledzić wykorzystanie AI i zachować przejrzystość. Regulatorzy chcą widzieć, jak kontrolujesz i monitorujesz swoje systemy. Zastosuj następujące dobre praktyki:

Dodawaj wyraźne oznaczenia do wszystkiego, co wytworzyła AI. Używaj stopek lub znaków wodnych, aby pokazać, kiedy AI pomogła stworzyć plik lub wiadomość. Wymagaj weryfikacji przez człowieka ważnych decyzji, zwłaszcza dotyczących na przykład rekrutacji lub oceny zdolności kredytowej.

Szkolenia i wewnętrzne zasady

Musisz nauczyć zespół bezpiecznego korzystania z AI. Przygotuj jasne zasady i szkolenia dla wszystkich. Upewnij się, że wszyscy pracownicy znają swoje obowiązki i obowiązujące reguły.

• Prowadź szkolenia dopasowane do roli, na przykład dla użytkowników biznesowych, administratorów i pracowników działów zgodności.

• Udostępnij zasady określające, jakie zastosowania AI są dozwolone, a jakie nie.

• Używaj poleceń i ustawień wspierających zgodność, na przykład proś Copilot o wskazanie źródeł lub dodawanie notatek do weryfikacji.

• Aktualizuj zasady w miarę zmian unijnego aktu o AI.

Możesz skorzystać z wbudowanych narzędzi, aby pomóc użytkownikom poznać ich obowiązki. Przygotuj przewodniki wyjaśniające różnicę między modelami AI ogólnego przeznaczenia a systemami AI. Udostępnij zestawy startowe z szablonami i listami kontrolnymi wspierającymi zgodność.

Plan działań na 30/60/90 dni i komunikacja wewnętrzna

Potrzebujesz harmonogramu, aby zakończyć prace nad zgodnością. Oto prosty plan działań:

Pierwsze 30 dni:

• Wypisz wszystkie systemy AI i przypadki ich użycia.

• Przypisz role i poziomy ryzyka.

• Rozpocznij sporządzanie DPIA i RoPA.

Kolejne 60 dni:

• Skonfiguruj Purview, DLP oraz kontrole dostępu.

• Włącz audytowanie i monitorowanie.

• Rozpocznij szkolenia dla głównych zespołów.

Ostatnie 90 dni:

• Przejrzyj i zaktualizuj zasady.

• Przetestuj weryfikację przez człowieka i jasność oznaczeń.

• Przygotuj dowody dla regulatorów.

Udostępnij zespołowi tę wiadomość:

Korzystamy z narzędzi AI zgodnie z planem Compliant by Design. Wszyscy muszą przestrzegać nowych zasad i uczestniczyć w szkoleniach. Będziemy śledzić, sprawdzać i dokumentować każdy krok, aby spełnić wymagania unijnego aktu o AI.

Skorzystaj z tego zestawu, aby przygotować solidny plan zgodności. Dzięki temu Twój zespół będzie bezpieczny i nauczy się korzystać z AI we właściwy sposób.

Nie wystarczy ufać hasłu „compliant by design”. Musisz udokumentować, że przestrzegasz zasad. Unijny akt o AI nakłada na Ciebie konkretne obowiązki. Jeśli ich nie spełnisz, możesz zostać ukarany wysokimi grzywnami. Kary mogą wynosić do 15 mln euro lub 3% całkowitego rocznego obrotu firmy.

Zarządzanie AI jest ważne. Musisz pilnować, jak wykorzystujesz AI. Potrzebujesz osoby odpowiedzialnej i powtarzalnych procedur. Regularnie sprawdzaj swoje narzędzia AI. Skonfiguruj narzędzia do zgodności i dokumentuj wszystko, co robisz. Wykorzystaj zasady, aby budować zaufanie do firmy i zapewnić bezpieczne korzystanie z AI.

Najważniejsze wnioski

Co oznacza „compliant by design” w przypadku Copilota?

„Compliant by design” oznacza, że Copilot zawiera wbudowane narzędzia, które pomagają spełniać wymogi regulacyjne. Nadal musisz je skonfigurować, sprawdzać i udokumentować zgodność. Nie możesz polegać wyłącznie na funkcjach dostawcy.

Czy muszę przeprowadzić DPIA dla Copilota lub ChatGPT?

Tak. Musisz przeprowadzić ocenę skutków dla ochrony danych (DPIA) dla każdego przypadku użycia AI. Pozwala ona wykryć ryzyka i pokazać organom nadzorczym, że poważnie traktujesz prywatność.

Jak udowodnić zgodność z unijnym aktem o AI?

Musisz prowadzić dokumentację, wdrożyć mechanizmy kontrolne i udostępniać dzienniki zdarzeń. Organy nadzorcze chcą zobaczyć dowody, a nie obietnice. Jako dowód wykorzystaj dzienniki audytu, dokumenty dotyczące ryzyka i zapisy szkoleń.

Czy mogę używać publicznego ChatGPT do zadań wysokiego ryzyka?

Nie. Publiczny ChatGPT nie ma wbudowanych mechanizmów kontrolnych dla zadań wysokiego ryzyka. Musisz dodać własne kontrole bezpieczeństwa. W przypadku wrażliwych zastosowań wybierz narzędzia z rozbudowanymi funkcjami zgodności.

Jaki jest największy błąd podmiotów wdrażających AI?

Wielu uważa, że same narzędzia dostawcy wystarczą, aby zapewnić zgodność. Musisz skonfigurować, monitorować i dokumentować wszystko. Dowody zawsze przewyższają obietnice.

Warto też posłuchać

Jeśli zgłębiasz temat unijnego aktu o AI i Microsoft Copilot, te odcinki dodają praktycznego kontekstu dotyczącego wdrażania, architektury, bezpieczeństwa i zarządzania:

• Zarządzanie w Microsoft Teams – iluzja kontroli — Zobacz, jak decyzje dotyczące właścicielstwa, zasad i cyklu życia wpływają na niezawodne działanie Microsoft 365.
• Microsoft AI Agent Harness – w prostych słowach — Zrozum orkiestrację, zabezpieczenia, ocenę i obserwowalność w przepływach pracy opartych na AI.
• Azure AI Foundry – w prostych słowach — Dowiedz się, jak tworzy się, ocenia, wdraża i zarządza rozwiązaniami AI dla przedsiębiorstw.
• Microsoft Defender XDR – w prostych słowach — Połącz decyzje wdrożeniowe z widocznością zagrożeń, analizą incydentów i reagowaniem.