Najnowsze badanie Red Hat ujawnia luki w nadzorze nad łańcuchami dostaw oprogramowania w polskich przedsiębiorstwach

Red Hat, wiodący na świecie dostawca rozwiązań open source, ogłosił wyniki badania poświęconego wdrażaniu sztucznej inteligencji (AI) i zarządzaniu związanym z nią ryzykiem w przedsiębiorstwach. Pula respondentów liczyła 1400 dyrektorów IT (CIO) z 14 krajów, w tym z Polski. Wyniki badania wskazują, że autonomiczni agenci AI coraz szybciej trafiają do środowisk produkcyjnych przedsiębiorstw, a wszystkie badane podmioty w Polsce już je wykorzystują. Mimo to nadal istnieje istotna rozbieżność między przekonaniem firm, że sprawują odpowiedni nadzór nad tymi rozwiązaniami, a ich rzeczywistą wiedzą o sposobie ich działania.

Większość badanych w Polsce dyrektorów IT (87%) jest przekonana, że wykorzystywani w ich firmach agenci AI działają bezpiecznie i zgodnie z przepisami, a także są odpowiednio zabezpieczone i monitorowane. Z badania Red Hat wynika jednak, że za tym optymizmem może kryć się brak pełnego obrazu tego, co dzieje się w firmowych środowiskach AI:

• 40% respondentów deklaruje, że dokładnie wie, jak przepływają dane w ich przedsiębiorstwach oraz gdzie są przechowywane i przetwarzane;
• Tylko 24% firm ma pełny obraz łańcucha dostaw oprogramowania, obejmujący zarówno bezpośrednie, jak i pośrednie zależności między jego komponentami;
• Zaledwie 24% na bieżąco ocenia ryzyko związane z dostawcami AI, nie ograniczając się wyłącznie do ich wstępnej weryfikacji.

Wyniki te pokazują, że choć badane firmy są przekonane o skuteczności zabezpieczeń i kontroli nad swoimi środowiskami AI, również w zakresie suwerenności cyfrowej, nie zawsze dysponują dowodami, które pozwalają to potwierdzić. Tymczasem szybki rozwój sztucznej inteligencji i zmieniające się warunki rynkowe sprawiają, że system, który w momencie wdrożenia zapewnia wysoki poziom bezpieczeństwa i zgodności z przepisami, może w krótkim czasie stać się narażony na zagrożenia.

Niewielkie luki w widoczności, poważne ryzyko dla danych

Polskie przedsiębiorstwa coraz szybciej wdrażają sztuczną inteligencję. 42% respondentów deklaruje, że może w pełni polegać na przetestowanych mechanizmach ochronnych, ciągłym monitorowaniu oraz rozwiązaniach umożliwiających interwencję lub zatrzymanie agentów AI w razie potrzeby. Kolejne 45% firm jest „dość pewnych”, że ma pod kontrolą kwestie bezpieczeństwa i zgodności z przepisami, choć dostrzega drobne braki w zabezpieczeniach i monitorowaniu.

W środowiskach produkcyjnych ryzyko pojawia się jednak wtedy, gdy firmy nie monitorują wymiany danych między własnymi platformami, usługami chmurowymi a zewnętrznymi modelami AI. 45% badanych przedsiębiorstw w Polsce uważa, że nie ma pełnego obrazu przepływu danych. Kolejne 10% wskazuje, że zdarza im się wdrażać funkcje AI bez dokładnej wiedzy o związanym z nimi przepływie informacji, a 5% ma jedynie ograniczone rozeznanie w tym, gdzie dane są przetwarzane, przechowywane lub udostępniane.

Pod tym względem występują znaczne różnice między krajami badanymi przez Red Hat. W RPA 61% respondentów deklaruje, że jest w stanie śledzić przepływ danych od początku do końca, podczas gdy we Francji odsetek ten wynosi 31%. Dla polskich przedsiębiorstw, które muszą spełniać rygorystyczne wymagania regulacyjne, takie jak RODO i unijny akt o sztucznej inteligencji (AI Act), możliwość śledzenia i weryfikowania przepływów danych przez cały cykl życia rozwiązań AI ma kluczowe znaczenie dla ograniczania ryzyka naruszeń przepisów i wycieków danych.

„Choć firmy z poszczególnych krajów różnią się nieznacznie w ocenie własnych możliwości, większość z nich uważa, że potrafi skutecznie monitorować i kontrolować działanie agentów AI. Ta pewność nie w każdym przypadku jest jednak uzasadniona. Nasze badanie pokazuje, że przedsiębiorstwa nie zawsze mają pełną, stale aktualizowaną wiedzę o przepływach danych, zależnościach między komponentami oprogramowania i ryzyku związanym z dostawcami. Otwarte architektury, którymi można zarządzać centralnie, mogą pomóc im zachować kontrolę, a jednocześnie elastyczność przy wyborze modeli oraz dostawców.” – zaznaczył Chris McBrayne, senior vice president and general manager, EMEA, Red Hat.

Poważne ryzyko związane z pośrednimi zależnościami oprogramowania

Aż 77% badanych firm w Polsce deklaruje, że potrafi usunąć krytyczne podatności oprogramowania w ciągu 24 godzin od udostępnienia odpowiedniej poprawki. Kolejne 22% potrzebuje na to więcej niż doby, ale nie dłużej niż tygodnia. Pozostały 1% wskazuje, że czas wprowadzania poprawek tak bardzo różni się między systemami, iż trudno podać jego typową długość.

Jednocześnie większość przedsiębiorstw nie wie dokładnie, z jakich komponentów składa się wykorzystywane przez nie oprogramowanie. Tylko 24% ma pełne i stale aktualizowane informacje o wszystkich stosowanych komponentach open source: ich pochodzeniu, wersjach oraz bezpośrednich i pośrednich zależnościach. Dla porównania, wśród badanych firm z całego regionu EMEA odsetek ten wynosi 33%.

Ponad połowa polskich firm (54%) ma dobrą wiedzę o wykorzystywanych komponentach i ich wersjach, lecz przyznaje, że informacje o ich pochodzeniu i pośrednich zależnościach nie są kompletne. Kolejne 22% ma jedynie częściowy obraz sytuacji, ponieważ uwzględnia głównie komponenty dużych projektów lub zależy od konkretnej aplikacji czy działu przedsiębiorstwa. Wszyscy respondenci w Polsce zadeklarowali jednak, że systematycznie śledzą łańcuch dostaw otwartego oprogramowania.

W wielu projektach open source wykorzystuje się biblioteki, frameworki i komponenty pochodzące z innych projektów. Powstają w ten sposób pośrednie zależności, które mogą stanowić poważne zagrożenie dla całego środowiska IT przedsiębiorstwa, zwłaszcza gdy związane z nimi ryzyko nie jest odpowiednio oceniane (76%).

„Skuteczny nadzór nad AI zaczyna się od zapewnienia pełnej widoczności wykorzystywanych systemów, wspieranej przez polityki i procesy audytowe. Firmy w Polsce powinny wiedzieć, jak przepływają ich dane, z jakich komponentów oprogramowania korzystają i jakie ryzyko wiąże się ze współpracą z dostawcami sztucznej inteligencji. Kontrola ta musi obejmować cały cykl życia agentów AI. Mechanizmy monitorowania i nadzoru należy wdrażać, zanim organizacje zaczną skalować wykorzystanie AI i agentów. Pomoże im to identyfikować zagrożenia odpowiednio wcześnie, co jest o tyle istotne, że AI ułatwia wykrywanie i wykorzystywanie podatności. Ograniczaniu zagrożeń dla bezpieczeństwa i ryzyka operacyjnego sprzyjają również zaufane łańcuchy dostaw oprogramowania oraz społeczności open source, które szybko opracowują i dokładnie testują poprawki, a następnie przenoszą je do starszych wersji systemów.” – podkreślił Lubomir Stojek, country manager Red Hat w Polsce.

Ocena ryzyka jako proces ciągły, a nie jednorazowe działanie

Zaledwie 24% badanych firm w Polsce deklaruje dobre przygotowanie do oceny ryzyka związanego z dostawcami AI oraz stosowanie na co dzień mierzalnych kryteriów jego monitorowania. To nieco więcej niż w Holandii (22%), ale znacznie mniej niż we Włoszech (51%).

Choć 38% polskich przedsiębiorstw przebadanych przez Red Hat przeprowadza ocenę ryzyka przed wdrożeniem nowych technologii AI, późniejsze monitorowanie i ponowna ocena tego ryzyka sprawiają im trudność. Z kolei 35% prowadzi oceny bezpieczeństwa, zgodności z przepisami i zarządzania danymi, lecz nie monitoruje w sposób ciągły ryzyka związanego z dostawcami. W szybko zmieniającym się świecie AI takie podejście może okazać się niewystarczające, ponieważ modele, dane, wymagania regulacyjne i zagrożenia zmieniają się niemal codziennie.

Respondenci dostrzegają to wyzwanie i potrzebę stosowania mierzalnych metod oceny ryzyka, nad którymi przedsiębiorstwa zachowują wewnętrzną kontrolę. Tylko 3% polskich firm opiera takie oceny przede wszystkim na zewnętrznych audytach, certyfikatach i zapewnieniach umownych. Wszystkie badane firmy deklarują stosowanie określonych metod oceny ryzyka związanego z dostawcami AI, a żadna nie opiera się w tym procesie przede wszystkim na ich reputacji czy wcześniejszych doświadczeniach.

Badanie przeprowadziła firma Censuswide w okresie od 24 sierpnia do 1 września 2026 r. wśród 1400 dyrektorów IT (CIO) w wieku co najmniej 25 lat z Wielkiej Brytanii, Francji, Włoch, Niemiec, Hiszpanii, Zjednoczonych Emiratów Arabskich, Szwecji, Turcji, Szwajcarii, Polski, RPA, Holandii, Belgii i Arabii Saudyjskiej. Censuswide jest członkiem Market Research Society i British Polling Council oraz sygnatariuszem Global Data Quality Pledge.