Bezpieczne korzystanie z AI w organizacji: ochrona danych i zasady pracy, szkolenie online w czasie rzeczywistym

1. Jak narzędzia AI przetwarzają Wasze dane

• Co dzieje się z promptem po naciśnięciu Enter, w prostych słowach
• Historia rozmów, uczenie modeli na danych i okres przechowywania: o co pytać
• Wersje bezpłatne, płatne i firmowe: dlaczego różnice mają znaczenie
• Gdzie szukać informacji w warunkach usługi i ustawieniach prywatności
• Ćwiczenie: przegląd ustawień prywatności w używanym narzędziu

2. Klasyfikacja informacji przed wpisaniem do promptu

• Dane osobowe, dane szczególnych kategorii i informacje prawnie chronione
• Tajemnica przedsiębiorstwa, dokumenty wewnętrzne i dane kontrahentów
• Trzy kategorie: wolno, wolno po anonimizacji, nie wolno
• Sytuacje graniczne: notatka ze spotkania, CV, korespondencja z interesantem
• Ćwiczenie: przypisanie przykładowych dokumentów do kategorii

3. Anonimizacja i bezpieczne prompty

• Usuwanie i zastępowanie danych identyfikujących osoby i podmioty
• Jak opisać problem bez podawania szczegółów, które nie są potrzebne
• Pułapki: metadane plików, zrzuty ekranu, dane ukryte w arkuszach
• Kiedy anonimizacja nie wystarcza i zadania nie należy zlecać modelowi
• Ćwiczenie: przerobienie prawdziwie wyglądającego pisma na bezpieczny prompt

4. Shadow AI: narzędzia poza kontrolą organizacji

• Prywatne konta używane do zadań służbowych
• Rozszerzenia przeglądarki, wtyczki i aplikacje z funkcjami AI
• Asystenci nagrywający i streszczający spotkania
• Dlaczego sam zakaz przenosi problem do szarej strefy
• Ćwiczenie: lista narzędzi AI faktycznie używanych w Waszym zespole

5. Wiarygodność odpowiedzi: halucynacje i błędy

• Dlaczego model podaje nieprawdę pewnym tonem
• Zmyślone przepisy, źródła i cytaty: jak je wyłapać
• Zasada: człowiek odpowiada za treść, którą podpisuje
• Sposoby weryfikacji dopasowane do wagi dokumentu
• Ćwiczenie: sprawdzenie odpowiedzi modelu z celowo ukrytymi błędami

6. Ryzyka techniczne w zarysie

• Prompt injection: polecenia ukryte w dokumencie albo na stronie
• Asystenci z dostępem do poczty, plików i kalendarza: zakres uprawnień
• Integracje i automatyzacje jako nowa droga wycieku danych
• Treści generowane przez AI w oszustwach wymierzonych w pracowników
• Ćwiczenie: analiza scenariusza z ukrytym poleceniem w dokumencie

7. Ramy prawne: RODO i AI Act ostrożnie i praktycznie

• Dane osobowe w narzędziach AI: podstawowe pytania do inspektora ochrony danych
• AI Act, czyli rozporządzenie (UE) 2024/1689: podejście oparte na ryzyku w zarysie
• Umowy z dostawcami narzędzi: na co zwrócić uwagę
• Prawa autorskie i poufność w treściach tworzonych z pomocą AI
• Lista pytań do prawnika po powrocie ze szkolenia

8. Wybór i ocena narzędzi AI dla organizacji

• Kryteria oceny: dane, umowa, kontrola administracyjna, rejestrowanie użycia
• Lista narzędzi dopuszczonych i sposób zgłaszania nowych
• Konta służbowe i zarządzanie dostępem
• Rola IT, inspektora ochrony danych i kierownictwa w decyzji
• Ćwiczenie: ocena przykładowego narzędzia według listy kryteriów

9. Polityka użycia AI i reagowanie na incydenty

• Z czego składa się polityka użycia narzędzi AI, którą ktoś przeczyta
• Zasady dla pracowników na jednej stronie
• Oznaczanie treści tworzonych z pomocą AI i odpowiedzialność za wynik
• Co zrobić, gdy dane trafiły do narzędzia AI, choć nie powinny
• Ćwiczenie: szkic polityki dla własnej organizacji

10. Warsztat podsumowujący na przykładach uczestników

• Zadania z pracy uczestników: jak wykonać je z AI bezpiecznie
• Wspólny przegląd szkiców polityk i wymiana uwag
• Lista zasad dla pracowników do wdrożenia od zaraz
• Plan dalszych kroków: kogo włączyć i co ustalić w organizacji
• Pytania do trenera i podsumowanie dnia

Uczestnicy szkolenia otrzymają materiały szkoleniowe w formie elektronicznej, obejmujące:

• checklistę wspierającą analizę bezpieczeństwa aplikacji i identyfikację najczęściej występujących podatności,
• materiały dotyczące kodów odpowiedzi HTTP wykorzystywanych podczas testowania aplikacji webowych i usług sieciowych,
• materiał wprowadzający do narzędzia OWASP ZAP wraz z przykładami jego wykorzystania podczas testów bezpieczeństwa,
• przykładowy raport z testów bezpieczeństwa prezentujący sposób dokumentowania wyników oraz zgłaszania wykrytych podatności,
• materiały edukacyjne dotyczące rodzajów ataków oraz najczęściej występujących podatności bezpieczeństwa w aplikacjach i systemach informatycznych,
• zestaw ćwiczeń praktycznych realizowanych podczas szkolenia.

Uczestnicy otrzymają również dostęp do materiałów wykorzystywanych podczas warsztatów praktycznych oraz przykładowych scenariuszy związanych z analizą bezpieczeństwa aplikacji i systemów IT.

Usługa dostępna dla uczestników projektu „Małopolski Pociąg do Kariery – sezon 1” oraz „Nowy Start w Małopolsce z EURESem”. Realizacja możliwa z wykorzystaniem bonów szkoleniowych zgodnie z zasadami projektu.

Usługa realizowana będzie w formie zdalnej w czasie rzeczywistym z wykorzystaniem platformy szkoleniowej ClickMeeting.

Uczestnik powinien dysponować:

• komputerem lub laptopem wyposażonym w mikrofon oraz głośniki lub słuchawki,
• stabilnym dostępem do Internetu,
• aktualną przeglądarką internetową (Google Chrome, Microsoft Edge, Mozilla Firefox lub równoważną),
• aktywnym adresem e-mail umożliwiającym otrzymywanie materiałów szkoleniowych oraz informacji organizacyjnych.

Ze względu na praktyczny charakter szkolenia uczestnik powinien posiadać możliwość instalacji bezpłatnego oprogramowania wykorzystywanego podczas zajęć, w szczególności:

• narzędzia OWASP ZAP lub równoważnego oprogramowania wspierającego analizę bezpieczeństwa aplikacji,
• przeglądarki internetowej umożliwiającej wykonywanie ćwiczeń praktycznych,
• oprogramowania umożliwiającego korzystanie z materiałów szkoleniowych udostępnianych przez trenera.

Przed rozpoczęciem szkolenia uczestnicy otrzymają:

• link do platformy szkoleniowej ClickMeeting,
• instrukcję logowania i udziału w zajęciach,
• informacje organizacyjne dotyczące realizacji usługi,
• listę niezbędnego oprogramowania wykorzystywanego podczas warsztatów praktycznych,
• dostęp do materiałów szkoleniowych w formie elektronicznej.

Uczestnik powinien posiadać podstawowe umiejętności obsługi komputera oraz możliwość aktywnego udziału w ćwiczeniach praktycznych związanych z identyfikacją zagrożeń, analizą podatności oraz oceną bezpieczeństwa aplikacji i systemów informatycznych.