Program, czwartek 29 października
Po rejestracji i otwarciu zobaczysz demo na żywo oraz panel ekspercki z głosowaniem. Po przerwie porozmawiamy o kontroli UODO i przygotowaniu organizacji do ISO 42001, a na koniec przejdziemy do praktycznych warsztatów z systemami AI.
-
Rejestracja i kawa
Odbiór identyfikatorów, podłączenie do sieci, krótkie sprawdzenie, czy narzędzia działają na Twoim laptopie.
-
Otwarcie
dr Edyta Bielak-Jomaa, Kierownik Centrum Ochrony Danych Osobowych i Zarządzania Informacją UŁ, pierwsza Prezes UODO
-
Demo na żywo – wyciągamy z chata dane osobowe
Prompt injection jako incydent RODO, pokazany na przygotowanym systemie.
Tomasz Soczyński (Secure2Me), Łukasz Nowatkowski (r0w2 academy) -
Panel ekspercki z głosowaniem na żywo: „Czy internet powinien znać wiek dziecka – i czy AI ma prawo to sprawdzać?”
dr Edyta Bielak-Jomaa (pierwsza Prezes UODO), dr Tomasz Soczyński (Secure2Me), dr Magdalena Celeban (ODO Szkolenia)
-
Przerwa kawowa
-
Kontrola UODO od kuchni – jak przygotować organizację
Jak wygląda kontrola w praktyce, czego spodziewać się od urzędu i co mieć gotowe.
Michał Prószyński, prawnik, inspektor ochrony danych; w latach 2014–2016 pracownik departamentu inspekcji Biura GIODO -
Perspektywa organizacji ISO 42001 – Polityka AI, incydenty, dokumentacja. Co przygotować, zanim przyjdzie kontrola
dr Dariusz Wasiak i Joanna Szmelich (2CERT), Mateusz Jakubik
-
Warsztaty – promptowanie i obsługa systemów AI (moduł 1 kursu)
Praca w małych grupach przy laptopach, na przygotowanym środowisku testowym.
Tomasz Soczyński (Secure2Me), Łukasz Nowatkowski (r0w2 academy) -
Lunch i networking
Zakończenie i podsumowanie.
Dla kogo i po co
Przede wszystkim dla inspektorów ochrony danych. Jeśli jesteś IOD, prawnikiem, pracujesz w compliance albo bezpieczeństwie, to AI trafia na Twoje biurko niezależnie od tego, czy tego chcesz. Pracownicy już korzystają z chatbotów, zarząd pyta o AI Act, a Ty masz powiedzieć, co wolno. Trudno to zrobić na podstawie cudzych slajdów.
Jedna myśl spina cały program: system AI, który zawodzi, to jednocześnie luka bezpieczeństwa (prompt injection, jailbreak), incydent ochrony danych (RODO) i pytanie o zarządzanie (ISO/IEC 42001, AI Act). Osoba, która potrafi te trzy rzeczy zobaczyć naraz, jest dziś w organizacji rzadkością. Na tym budujemy warsztat i cały kurs.
Nie trzeba umieć programować. Trzeba mieć laptopa i jedno realne zadanie z własnej pracy, które chcesz przetestować.
Z czym wychodzisz
-
Prompt systemowy jako zabezpieczeniepiszesz instrukcję dla asystenta AI, która określa role, kontekst i granice, i widzisz, co się dzieje, gdy jej zabraknie
-
Rozumienie, skąd biorą się błędyhalucynacje, wyciek danych z kontekstu, podatność na wstrzyknięcie polecenia: pokazujemy mechanizm, nie anegdoty
-
Własne zadanie zawodowe wykonane z AIi ocena, które dane mogły do niego trafić, a które nie
-
Start kursu z mikropoświadczeniemwarsztat realizuje treści modułu 1 planowanego kursu UŁ (szczegóły niżej)
-
Argument dla zarząduudział to konkretny krok w kierunku obowiązku zapewnienia kompetencji AI z art. 4 AI Act
Dlaczego teraz
Obowiązek już obowiązuje
Art. 4 rozporządzenia 2024/1689 (AI Act) nakłada na podmioty stosujące systemy AI obowiązek zapewnienia wystarczającego poziomu kompetencji w zakresie AI swojemu personelowi. Stosuje się go od 2 lutego 2025 r.
RODO nie zniknęło
Każdy prompt z danymi klienta czy pracownika to przetwarzanie danych. Pytanie, na jakiej podstawie, do kogo trafiają i kto za to odpowiada, nadal zadaje organ nadzorczy, a odpowiada IOD.
Nauka od praktyków
Na sali będą osoby, które te przepisy współtworzyły, egzekwowały lub wdrażają na co dzień: przedstawiciele Ministerstwa Cyfryzacji i byłego kierownictwa UODO, eksperci z jednostki certyfikującej ISO 42001 oraz praktycy wdrożeń.
Panel ekspercki: czy internet powinien znać wiek dziecka – i czy AI ma prawo to sprawdzać?
Zamiast panelu „o danych dzieci” stawiamy jeden konkretny dylemat, przy którym każdy IOD musi w końcu zająć stanowisko: usługodawca ma obowiązek chronić małoletnich, ale żeby wiedzieć, kto jest małoletni, musi zebrać kolejne dane, a coraz częściej robi to algorytm szacujący wiek. Czterech panelistów, cztery perspektywy: były organ nadzorczy, ministerstwo odpowiedzialne za AI, praktyka IOD i doświadczenie wdrożeń.
Sala głosuje na żywo, na przykład: „Czy dopuściłbyś tę funkcję dla 13-latka?”. Głosowanie powtarzamy po dyskusji; różnica między wynikami jest wynikiem panelu.
O czym rozmawiamy
-
Weryfikacja czy szacowanie wiekudokument, karta, selfie, czy model AI zgadujący wiek z zachowania – co jest proporcjonalne
-
Kto ma to robićrodzic, system operacyjny, sklep z aplikacjami czy platforma – i kto odpowiada, gdy się pomyli
-
Ochrona bez kolejnych danychustawienia domyślne, rekomendacje i personalizacja zamiast zbierania dowodów tożsamości
-
Ochrona a blokowaniegdzie kończy się bezpieczeństwo dziecka, a zaczyna cyfrowe wykluczenie
-
Jedna Europa czy 27 regulacjifragmentacja krajowych przepisów o wieku cyfrowym i co z tego wynika dla polskiego administratora
Warsztaty AI pod kontrolą IOD
Zarząd pyta, czy można używać ChatGPT. Pracownicy już go używają. Ty musisz mieć odpowiedź.
W dwie godziny przejdziesz od „AI to czarna skrzynka” do konkretnych narzędzi, które wykorzystasz w poniedziałek rano. Warsztaty prowadzą praktycy cyberbezpieczeństwa i ochrony danych, a nie programiści. Pracujesz w małej grupie, na własnym laptopie, w przygotowanym środowisku i bez danych rzeczywistych osób.
Zrozumiesz, dlaczego AI się myli i jak to wykorzystać w ocenie ryzyka bez matematyki:
co model naprawdę „wie”, skąd biorą się halucynacje i dlaczego to, co wpisze pracownik, może wypłynąć w zupełnie innym miejscu.
Zobaczysz na żywo, jak łamie się chatbota
Pokażemy prompt injection i jailbreak na przygotowanym asystencie. Zobaczysz, jak łatwo obejść zabezpieczenia i co realnie ogranicza to ryzyko.
Napiszesz własny prompt systemowy i go przetestujesz
Tworzysz instrukcję dla asystenta AI do zadania z twojej pracy: rola, zakres, zakazy i reakcja na próby obejścia. Potem sprawdzasz, czy wytrzymuje atak.
Będziesz wiedzieć, o co pytać dostawcę AI
Dowiesz się, gdzie trafiają wpisywane dane, czym różni się wersja konsumencka od firmowej i jakie pytania zadać przed podpisaniem umowy. Wszystko z perspektywy IOD, a nie informatyka.
Prowadzą: Tomasz Soczyński (Secure2Me), Łukasz Nowatkowski (r0w2 academy), dr Dariusz Wasiak i Joanna Szmelich (2CERT), Mateusz Jakubik Prezes SABI
Ścieżka do mikropoświadczenia UŁ
Warsztat 29 października otwiera kurs „Bezpieczne i zgodne z prawem systemy AI: promptowanie, testowanie podatności, zarządzanie wg ISO/IEC 42001”, który Centrum Ochrony Danych Osobowych i Zarządzania Informacją UŁ przygotowuje. Mikropoświadczenie to cyfrowy dokument uczelni potwierdzający konkretne efekty uczenia się, zgodny ze standardem Europass; można go dołączyć do CV i profilu zawodowego.
-
Moduł 1
Promptowanie i obsługa systemów AI
Prompt systemowy, role, kontekst, ograniczanie halucynacji, prompt jako element bezpieczeństwa. Tu jesteś 29 października. Zaliczenie: prompt systemowy dla wskazanego zastosowania plus raport z testów.
-
Moduł 2
Testowanie podatności systemów AI
Prompt injection bezpośredni i pośredni, jailbreak, wyciek danych z kontekstu i RAG, red teaming jako metoda, ramy prawne testowania. Zaliczenie: raport z testu podatności z dokumentacją incydentu wg RODO.
-
Moduł 3
Zarządzanie AI wg ISO/IEC 42001 i AI Act
Struktura normy, polityka AI, rejestr ryzyk, ocena wpływu, relacja do AI Act i wytycznych EROD. Zaliczenie: rejestr ryzyk i uproszczona ocena wpływu, obronione przed „audytorem”.
- projektować prompty, które ograniczają ryzyko wycieku danych i nadużyć,
- przeprowadzić podstawowy test podatności systemu AI i udokumentować wynik jako incydent lub ryzyko,
- ocenić, kiedy test systemu AI jest dopuszczalny prawnie,
- sporządzić wpis do rejestru ryzyk i ocenę wpływu zgodne z ISO/IEC 42001 i RODO,
- uzasadnić swoje decyzje wobec audytora i organu nadzorczego.
- 3 moduły, zajęcia stacjonarne przy komputerach,
- łącznie 75 godzin nakładu pracy, 3 ECTS,
- zaliczenie na podstawie prac praktycznych, nie testów wiedzy,
- każdy moduł poświadczany osobno, całość składa się w jedno mikropoświadczenie,
- bez wymagań programistycznych.
Kurs jest w przygotowaniu. Liczba godzin, punkty ECTS, termin uruchomienia i zasady zaliczania modułu 1 na podstawie warsztatu wymagają zatwierdzenia przez uczelnię i mogą się zmienić. Rejestracja na warsztaty 29 października jest już dostępna: wypełnij formularz rejestracyjny.
Prelegenci i prowadzący
Ludzie, którzy ochronę danych i AI znają od strony organu nadzorczego, ministerstwa, stowarzyszenia inspektorów, uczelni i wdrożeń w firmach.
Organizatorzy i partnerzy
Pytania przed wyjazdem
Czy potrzebuję laptopa?
Tak. Warsztaty to praca przy klawiaturze. Wystarczy laptop z przeglądarką; konta w narzędziach, z których skorzystamy, założymy wspólnie na miejscu albo podamy instrukcję przed wydarzeniem.
Czy muszę umieć programować?
Nie. Pracujemy w języku naturalnym, z perspektywy prawnika i inspektora, nie programisty. Cały kurs z mikropoświadczeniem również nie ma wymagań programistycznych.
Czy będziemy „łamać” prawdziwe systemy?
Nie. Wszystkie ćwiczenia odbywają się na przygotowanym środowisku, bez danych rzeczywistych osób. Zasada odpowiedzialnego testowania (tylko własne lub udostępnione środowiska) jest jednym z efektów uczenia się kursu.
Jak dojechać na miejsce?
Warsztaty odbędą się na Wydziale Prawa i Administracji Uniwersytetu Łódzkiego: ul. Kopcińskiego 8/12, 90-232 Łódź, sala 1.02. Budynek jest dobrze skomunikowany; przed wyjazdem sprawdź aktualne połączenia MPK Łódź.
Gdzie zaparkować?
Według informacji WPiA UŁ budynek ma wiele miejsc parkingowych. Informacja o rezerwacji miejsc dla uczestników wydarzenia nie została podana, a dostępność może się zmieniać — zaplanuj przyjazd z zapasem i sprawdź aktualne zasady parkowania.