Cyfrowe miliony kroplą w morzu potrzeb

Dzień upłynął pod znakiem państwa w roli gracza na rynku AI: raz jako fundatora infrastruktury do testów, raz jako właściciela stron, które ktoś właśnie prześwietlił.

Ministerstwo Cyfryzacji zapowiedziało polską piaskownicę AI: centralny portal i bezpieczne środowisko, w którym przedsiębiorcy i administracja sprawdzą rozwiązania oparte na AI. Na ten cel idzie 35 mln zł z programu FERC. Projekt prowadzi resort cyfryzacji razem z Ministerstwem Rozwoju i Technologii, UODO, NASK oraz z Cyfronetem AGH i Poznańskim Centrum Superkomputerowo-Sieciowym, gdzie powstają fabryki AI Gaia i PIAST. To na ich infrastrukturze piaskownica ma działać. Powstaną dwie e-usługi do zgłaszania projektów i portal obsługujący dwie ścieżki. Regulacyjna jest dla firm, administracji i samorządów rozwijających systemy AI, zwłaszcza wysokiego ryzyka: obiecane jest wsparcie eksperckie i sprawdzenie zgodności z AI Act. Technologiczna to już tylko urzędy i samorządy, które przetestują rozwiązania bez ryzyka dla działających systemów i bez kupowania własnych zasobów obliczeniowych, z dostępem do polskich modeli językowych i gotowych komponentów AI. Do tego materiały, przewodniki, webinary i szkolenia. Dla małej firmy, która buduje coś na AI i nie wie, po której stronie AI Act stoi, ścieżka regulacyjna jest jedyną konkretną rzeczą w tej zapowiedzi. Reszta to na razie plan.

Tego samego dnia cyfrowe państwo pokazało się od podszewki. Robert Kruczek i Kamil Szczurowski przedstawili na konferencji Def Con w Las Vegas wyniki niezależnego audytu polskiego internetu: ponad 10 tysięcy podatnych podmiotów publicznych i 250 tysięcy witryn z lukami. Wśród nich lotniska, szpitale, sądy i urzędy. Krytyczna podatność w systemie Pad CMS miała dawać pełny dostęp do ponad 400 stron publicznych bez żadnego hasła, a łatki podobno nie ma. Inny błąd otwierał dostęp do stron mniej więcej dwóch trzecich sądownictwa. Jeśli korzystasz z tego samego CMS-a co urząd obok, to jest też Twój problem.

Trzeci wątek dopina obraz. Ministerstwo Cyfryzacji potwierdza, że w Polsce wciąż nie ma listy dostawców wysokiego ryzyka, nie wszczęto ani jednego postępowania. Procedura z ustawy o KSC istnieje: postępowanie prowadzi minister, opiniuje Kolegium do Spraw Cyberbezpieczeństwa, decyzja podlega natychmiastowemu wykonaniu i obejmuje konkretne produkty lub usługi, nie całą firmę, a na wycofanie jest 7 lat, czasem 4. Resort przypomina, że brak listy z niczego nie zwalnia.

Państwo buduje więc piaskownicę do bezpiecznego testowania AI, podczas gdy dwóch specjalistów testuje jego własne strony za darmo i bez piaskownicy.