Haker, AI i 100 firm. Kto odpowie za włamanie, którego „nikt” się nie spodziewał?
Włamanie do ponad stu firm przy użyciu sztucznej inteligencji, „z łatwością i po niskich kosztach” — brzmi jak scenariusz filmu, a jest to rzeczywistość, z którą mierzyć się musi polski i europejski porządek prawny. Dla przedsiębiorców to nie ciekawostka technologiczna, lecz sygnał ostrzegawczy: sprawca może być nieuchwytny, ale odpowiedzialność i tak zapuka do drzwi zarządu. I to nie metaforycznie.
## Dlaczego to temat nie tylko dla informatyków
Cyberprzestępczość przestała być domeną pojedynczych „hakerów w kapturze”. Narzędzia oparte na AI obniżyły próg wejścia — dziś skuteczny atak phishingowy, obejście uwierzytelniania czy automatyzacja skanowania luk potrafią kosztować mniej niż miesięczny abonament w chmurze. Problem prawny jest jednak głębszy: gdy sprawca pozostaje nieznany lub działa z jurysdykcji, w której nikt go nie ściga, ciężar konsekwencji przesuwa się na podmiot, który danych nie zabezpieczył. A tu prawo jest bezlitosne.
## Ramy prawne: RODO, KSC i Kodeks karny
Zacznijmy od fundamentu. **Art. 32 RODO** nakłada na administratora obowiązek wdrożenia środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku. To nie jest norma „miękka” — jej naruszenie to podstawa do kar administracyjnych. Prezes UODO nie musi dowodzić, że doszło do wycieku; wystarczy wykazać, że środki były nieadekwatne. Kara? **Art. 83 ust. 4 RODO** przewiduje do 10 mln euro lub 2% globalnego obrotu, a w przypadku naruszeń podstawowych zasad — do 20 mln euro lub 4% obrotu.
Równolegle działa **ustawa o krajowym systemie cyberbezpieczeństwa** (KSC). Podmioty kluczowe i ważne muszą zgłaszać poważne incydenty, a od 2024 r., wraz z wdrożeniem dyrektywy NIS2, katalog obowiązków istotnie się rozszerzył — obejmuje m.in. zarządzanie ryzykiem, odpowiedzialność kierownictwa i szkolenia. Ustawa wprost przewiduje kary pieniężne sięgające milionów euro.
Nie można też pominąć odpowiedzialności karnej. **Art. 267 k.k.** penalizuje nieuprawniony dostęp do informacji, **art. 268** — niszczenie lub uszkadzanie danych, a **art. 269** — sabotowanie systemów. Sprawca „z AI” odpowiada tak samo jak każdy inny — narzędzie nie umniejsza winy, wręcz przeciwnie, może być okolicznością obciążającą.
## Czy „nie wiedziałem” to dobra linia obrony?
W praktyce sądowej i administracyjnej powtarza się ten sam schemat: przedsiębiorca twierdzi, że padł ofiarą, a nie sprawcą. Problem w tym, że RODO i KSC nie pytają, kto zaatakował — pytają, czy administrator zrobił wszystko, co rozsądnie mógł. Brak uwierzytelniania wieloskładnikowego, nieaktualne systemy, brak monitoringu logów, brak procedury reagowania — to lista grzechów, która w decyzjach organów nadzorczych pojawia się regularnie.
Orzecznictwo Trybunału Sprawiedliwości UE (m.in. sprawa C-340/21 dotycząca włamania i odpowiedzialności administratora) potwierdza: sama obawa o naruszenie danych może być szkodą, a ciężar dowodu należytego zabezpieczenia spoczywa na administratorze. To odwrócenie logiki „domniemania niewinności” w wymiarze administracyjnym — i realne ryzyko.
## Co to oznacza dla Twojej firmy
Po pierwsze: **zgłoszenie incydentu to obowiązek, nie wybór**. Przy naruszeniu danych osobowych masz 72 godziny na zgłoszenie do UODO (art. 33 RODO). Spóźnienie to odrębne naruszenie.
Po drugie: **polisa cyber to nie wszystko**. Ubezpieczyciel wypłaci, jeśli dochowałeś należytej staranności. Jeśli nie — odmówi, a Ty zostaniesz z karą i roszczeniami kontrahentów.
Po trzecie: **odpowiedzialność zarządu**. W spółkach członek zarządu może odpowiadać na podstawie art. 299 k.s.h., a w przypadku spółek publicznych — także na podstawie przepisów o rynku kapitałowym. Brak nadzoru nad cyberbezpieczeństwem coraz częściej traktowany jest jako naruszenie obowiązków staranności.
Po czwarte: **umowy z dostawcami IT**. Klauzule o odpowiedzialności za bezpieczeństwo, audyty, SLA dotyczące czasu reakcji — to nie biurokracja, lecz Twój pancerz procesowy.
## Konkluzja: prawo nadąża, ale nie za Ciebie
AI obniżyła koszt ataku do poziomu, przy którym każda firma — od jednoosobowej działalności po spółkę giełdową — jest potencjalnym celem. Prawo nie pozostawia wątpliwości: to na administratorze i podmiocie objętym KSC spoczywa ciężar zabezpieczenia. Kara nie spotka sprawcy, jeśli ten pozostanie nieuchwytny — spotka tego, kto nie zrobił, co mógł. Rekomendacja jest prosta: audyt bezpieczeństwa, aktualizacja polityk, szkolenia i realny plan reagowania. Bo w cyberprzestrzeni brak przygotowania to nie pech. To zaniedbanie, za które się płaci.
Powyższy artykuł ma charakter informacyjny i nie stanowi porady prawnej.
