Prawo a nowe technologie

Gościem Mec. Patryka Skłodowskiego i Mec. Wojciecha Lamika jest Mec. Agnieszka Wachowska - radczyni prawna, Co-Managing Partner w Kancelarii Traple Konarski Podrecki i Wspólnicy (TKP) zarządzająca zespołem prawa IT, Nowych Technologii, Cyberbezpieczeństwa i Zamówień Publicznych. Od 20 lat specjalizuję się w problematyce prawnej branży IT i nowych technologii. Członkini stowarzyszenia Women Go Cyber. W 2024 r. laureatka listy Forbes Women „25 Prawniczek w Biznesie”. Wyróżniona indywidualnie w prestiżowych rankingach prawniczych w dziedzinie TMT za 2025 r.: Legal 500 ( Hall of Fame) Chambers and Partners (Band 2).
To kolejny odcinek o wdrażaniu w polskich organizacjach ustawy o krajowym systemie cyberbezpieczeństwa po nowelizacji wynikającej z Dyrektywy NIS2. Ostatnie miesiące upłynęły na samoidentyfikacji przez organizacje, czy należą do podmiotów, które powinny podlegać pod UKSC. Od jakiegoś czasu pojawiały się wątpliwości, czy kancelarie prawne doradzające w zakresie cyberbezpieczeństwa, np. będące małym przedsiębiorcą, powinny rejestrować się jako dostawca usług zarządzania w zakresie cyberbezpieczeństwa. A to siłą rzeczy rodzi dalsze konsekwencje dla takiej kancelarii. Problem przybrał na sile po zaktualizowanym przez Ministerstwo Cyfryzacji kilka dni temu swojego FAQ dot. Krajowego Systemu Cyberbezpieczeństwa.
Podczas tej rozmowy poruszyliśmy m.in. następujące wątki:
1) Czy kancelaria radcy prawnego może podlegać NIS2/UKSC?
2) Czy kancelaria może zostać objęta UKSC tylko dlatego, że obsługuje podmioty objęte NIS2?
3) Skąd kancelaria ma wiedzieć, że podlega UKSC?
4) Jeżeli kancelaria podlega UKSC, jakie konkretne obowiązki musi spełnić i w jakich terminach?
5) Jakiej dokumentacji wymaga się od kancelarii?
6) Czy podstawowe zabezpieczenia, takie jak MFA, kopie zapasowe, szyfrowanie i aktualizacje, mogą wystarczyć?
7) Czy kancelaria musi zatrudniać własnego informatyka lub specjalistę ds. cyberbezpieczeństwa jeżeli chce być zgodna z UKSC?
8) Co w sytuacji, gdy kancelaria jest praktycznie całkowicie uzależniona od jednego dostawcy usług ICT, który zapewnia pocztę elektroniczną, usługi chmurowe, aplikacje do zdalnej komunikacji, back up oraz inne usługi ICT, to czy UKSC/NIS2 wymaga zarządzania takim ryzykiem i przygotowania np. planu „awaryjnego” na wypadek niedostępności tego dostawcy?
9) Co grozi kancelarii za niewdrożenie wymagań UKSC?
10) Jak pogodzić wymagania UKSC/NIS2 z obowiązkiem zachowania tajemnicy zawodowej radcy prawnego?

Gościem Mec. Katarzyny Załęskiej i Mec. Wojciecha Lamika jest Mec. Renata Zalewska - radczyni prawna i Head of Legal w Microsoft, odpowiedzialna za zapewnienie wsparcia prawnego spółkom Microsoft w Polsce i w Ukrainie. Pani Mecenas jest cenioną prelegentką w obszarach związanych z regulacjami dotyczącymi AI, Responsible AI oraz wykorzystaniem narzędzi AI w praktyce prawniczej. Jest również współautorką publikacji „AI w pracy radcy prawnego”, wydanej przez Krajową Izbę Radców Prawnych, wnosząc istotny wkład merytoryczny i inspirując środowisko prawnicze. Prowadzi zajęcia dydaktyczne w ramach pierwszego w Polsce programu studiów podyplomowych dla liderek i liderów AI w obszarze transformacji cyfrowej, realizowanego przez Polsko-Japońską Akademię Technik Komputerowych.
Dzisiejszy odcinek poświęciliśmy zjawisku, które niestety jest coraz powszechniejsze w polskich organizacjach - shadow AI. Stosowanie narzędzi sztucznej inteligencji w codziennej pracy staje się już normą. Tego typu rozwiązania znacząco ułatwiają pracę, ale również wiążą się z licznymi ryzykami zarówno dla organizacji. Wiele osób korzysta z AI bezrefleksyjnie. Brak odpowiednich ram korzystania z AI może prowadzić do dotkliwych konsekwencji na wielu płaszczyznach.
Podczas tej rozmowy poruszyliśmy m.in. następujące wątki:
1. Czym jest shadow AI i jaka jest jego relacja do shadow IT?
2. Czy shadow AI jest naruszeniem AI Act przez organizację lub przez pracownika?
3. Czy shadow AI to problem tylko dużych organizacji?
4. Jakie ryzyka wiążą się z shadow AI?
5. Czy są branże, które są szczególnie narażone na negatywne skutki nieautoryzowanego użycia AI?
6. A może najprostsze rozwiązanie, tj. zakazać, zablokować, zagrozić konsekwencjami etc., będzie w takim przypadku najlepsze? Może to rozwiąże problem szybko i raz na zawsze?
7. Czy te organizacje, które mają wdrożone narzędzia klasy DLP, data loss prevention, czyli zapobiegania utracie danych, w ogóle nie muszą się martwić o shadow AI?
8. Czy shadow AI to bardziej problem „chodzenia na skróty” przez przeciążonych pracowników czy może brak tego, czego wymaga się od nas pod hasłem AI literacy? Czy tam, gdzie ogólna świadomość technologiczna jest wyższa ten problem występuje rzadziej?
9. Jeśli postanowimy potraktować wykrycie shadow AI ja

Gościem Mec. Alicji Cegielskiej-Roli i Mec. Wojciecha Lamika jest Mec. Jacek Karp - radca prawny (Counsel) w Olesiński i Wspólnicy, specjalizujący się w doradztwie dla krajowych i międzynarodowych grup kapitałowych w obszarze compliance regulacyjnego, prawa konkurencji, international trade compliance, sektora defence i dual-use oraz energetyki i OZE. Wspiera klientów zarówno w bieżącej działalności operacyjnej, jak i przy projektach inwestycyjnych, finansowych i rozwojowych, ze szczególnym uwzględnieniem identyfikacji ryzyk prawnych i biznesowych.
W tym odcinku rozmawiamy o regulacjach dotyczących produktów dual-use, które odgrywają coraz większą rolę w działalności firm technologicznych, przemysłowych i eksportowych.
Podczas tej rozmowy poruszyliśmy m.in. następujące wątki:
1. Czym są produkty podwójnego zastosowania i jak zbudowany jest wykaz kontrolny? Czy każde użycie towaru na cele wojskowe oznacza, że jest on dual-use?
2. Czy klient ma jakieś pole manewru jeśli chodzi o „być” lub „nie być” dual-use? Czy prawnik jest w stanie dokonać identyfikacji towaru i stwierdzić czy towar jest podwójnego zastosowania?
3. Na czym polega klauzula catch all i czy w jej ramach zawsze może okazać się, że dany towar jest dual-use? Czy niezbędny jest due diligence po stronie klienta w kontekście stosowania tej klauzuli?
4. Czy klienci powinni zwracać uwagę przede wszystkim na eksport towarów jeśli chodzi o wymogi dual-use, czy też są inne rodzaje obrotu towarami mogące rodzić ryzyka?
5. Jak wygląda wybór ścieżki zezwoleniowej - zezwolenie indywidualne, globalne, unijne generalne, krajowe generalne?
6. Czy ostatnie zmiany w polskich przepisach o obrocie towarami strategicznymi wpłynęły na sytuację przedsiębiorców planujących kontrakty eksportowe towarów podwójnego zastosowania?
7. Czy ewidencja obrotu towarami dual-use jest złożonym procesem? Czy WSK (wewnętrzny system kontroli) to coś, z czym musi zmierzyć się każdy przedsiębiorca wchodzący w ten sektor?
8. Jak wygląda praktyka sankcyjna w tym obszarze?

Gościem Mec. Macieja Białasa i Mec. Wojciecha Lamika są:
1) Mateusz Jakubik - prawnik łączący prawo z IT; związany zawodowo z Bonnier Business Polska (CISO), InfinityLawTech (Partner) i ODO Szkolenia (CIO); certyfikowany audytor wiodący systemów zarządzania bezpieczeństwie informacji ISO;
2) Rafał Prabucki - prawnik i inżynier, doktor nauk prawnych; adiunkt na Uniwersytecie Śląskim; COO w Szostek_Digital; audytor wiodący ISO/IEC 27001 i in.
Ten odcinek dotyczy ransomware – szczególnego zagrożenia dla kancelarii radcy prawnego. Występowanie tego procederu może nieść dla naszej profesji szereg ryzyk, w tym ryzyko naruszenia tajemnicy zawodowej.
Podczas tej rozmowy poruszyliśmy m.in. następujące wątki:
1) Czym dokładnie jest ransomware i dlaczego kancelarie prawne są szczególnie atrakcyjnym celem dla cyberprzestępców?
2) Padamy ofiarą ransomware - czego nie robić? Jakie działania powinniśmy podjąć po zrozumieniu, że doszło do skutecznego ataku?
3) Czy warto płacić okup? Jakie są konsekwencje prawne, biznesowe i praktyczne takiej decyzji?
4) Jakie są najczęstsze błędy organizacyjne i techniczne, które zwiększają ryzyko ataku ransomware w kancelarii?
5) Jakie obowiązki prawne ciążą na kancelarii po ataku ransomware – w szczególności w kontekście RODO, tajemnicy zawodowej oraz informowania klientów?

Gościem Mec. Bartłomieja Ofierskiego oraz Mec. Wojciecha Lamika jest Mec. Michał Kulesza – partner w Kancelarii Bird&Bird, specjalizuje się w prawie technologii, compliance regulacyjnym i cyberbezpieczeństwie. Doradza w złożonych sprawach z zakresu fintech, projektów transformacji cyfrowej, cyber resilience (DORA, NIS2), regulacji AI oraz wdrożeń technologicznych w sektorach regulowanych.
W tym odcinku rozmawiamy o problemach biznesu, który musi mierzyć się z natłokiem regulacji. Regularnie otrzymujemy informacje o nowych przepisach / aktach prawnych, które nakładają na przedsiębiorców nowe obowiązki. Często zmiany te powodują realną poprawę funkcjonowania organizacji, ale często stanowią duże obciążenie w prowadzeniu bieżącej działalności. Nigdzie nie jest to tak jaskrawo widoczne, jak w przypadku regulacji związanych z nowymi technologiami.
Podczas tej rozmowy poruszyliśmy m.in. następujące kwestie:
1. Czy mamy dziś do czynienia z nadregulacją, czy raczej z koniecznym dostosowaniem prawa do rosnącej cyfryzacji gospodarki?
2. W ostatnich latach pojawiły się m.in. DORA, NIS2, AI Act czy Cyber Resilience Act. Czy przedsiębiorstwa powinny patrzeć na te regulacje oddzielnie, czy traktować je jako element jednego trendu regulacyjnego?
3. Które obszary działalności biznesowej są dziś najbardziej podatne na skutki nowych regulacji technologicznych i cyberbezpieczeństwa?
4. Jakie błędy najczęściej popełniają zarządy przy ocenie ryzyk związanych z technologią, cyberbezpieczeństwem lub korzystaniem z usług zewnętrznych dostawców? Czy zarząd powinien dziś rozumieć technologię, czy wystarczy, że rozumie konsekwencje biznesowe i regulacyjne związane z jej wykorzystaniem?
5. Regulacje coraz częściej wymagają od organizacji kontrolowania nie tylko własnych procesów, ale również swoich dostawców. Jak zmienia to relacje pomiędzy biznesem a dostawcami ICT?
6. Czy w praktyce największe ryzyko wynika dziś z samej technologii, czy raczej z nadmiernej zależności od określonych dostawców i usług?
7. W których obszarach najczęściej pojawia się konflikt pomiędzy wymaganiami regulatora a standardowym podejściem dostawców technologicznych?
8. Czy DORA rzeczywiście zwiększyła bezpieczeństwo sektora finansowego, czy przede wszystkim pokazała regulatorom, że instytucje finansowe są w praktyce silnie uzależnione od niewielkiej grupy globalnych dostawców technologii?