Nowe rozporządzenie Trumpa o AI: dobrowolne testy, ale realne skutki dla firm

Prezydent Donald Trump podpisał rozporządzenie wykonawcze ustanawiające dobrowolne ramy weryfikacji najbardziej zaawansowanych modeli sztucznej inteligencji (AI) pod kątem zagrożeń dla bezpieczeństwa narodowego. Dokument przewiduje 30-dniowy okres testów przez agencje federalne przed publicznym udostępnieniem modelu. Choć udział firm jest dobrowolny, decyzja ta ma bezpośrednie znaczenie dla polskich firm korzystających z rozwiązań AI amerykańskich gigantów technologicznych oraz dla administratorów odpowiedzialnych za bezpieczeństwo łańcucha dostaw oprogramowania.

Dobrowolne testy, ale realne konsekwencje

Rozporządzenie, podpisane 2 czerwca 2026 roku, nakazuje agencjom federalnym, w tym Narodowej Agencji Bezpieczeństwa (NSA), ocenę najbardziej zaawansowanych modeli AI – tzw. frontier labs – pod kątem potencjalnych zagrożeń dla krytycznej infrastruktury i cyberbezpieczeństwa. Jak czytamy w dokumencie: „Zaawansowane możliwości AI czynią nasz naród silniejszym, ale także wprowadzają nowe wyzwania dla bezpieczeństwa narodowego, które wymagają skoordynowanych działań w ramach departamentów i agencji wykonawczych”. Udział firm, takich jak OpenAI, Anthropic czy Google, jest dobrowolny, ale – jak podkreślają eksperci – brak uczestnictwa może być postrzegany jako ryzyko reputacyjne i biznesowe.

Juan Londoño z Cato Institute określił rozporządzenie jako „krok w dobrym kierunku”, ale wyraził obawy co do niejasności kryteriów kwalifikacji modeli do testów oraz zbyt dużego uznania pozostawionego dyrektorowi NSA. Jego zdaniem może to stworzyć „niebezpieczny precedens”, umożliwiający „uzbrojenie” polityki przeciwko firmom, z którymi administracja jest w konflikcie.

Co to oznacza dla polskich firm i adminów?

Dla przedsiębiorstw w Polsce, które integrują amerykańskie modele AI (np. poprzez API chmurowe lub wtyczki przeglądarkowe), rozporządzenie oznacza potencjalne opóźnienia w dostępie do najnowszych wersji modeli. Jeśli dostawca zdecyduje się na dobrowolne testy, nowa wersja może trafić na rynek nawet o miesiąc później. To z kolei może wpłynąć na harmonogramy aktualizacji systemów wewnętrznych i aplikacji klienckich.

Ważniejszy jest jednak aspekt bezpieczeństwa. Jak zauważa Tonya Ugoretz z PwC, „kluczowym testem będzie to, w jaki sposób odkrycia dokonane przez wybrane organizacje mające wczesny dostęp do modelu zostaną przekazane znacznie większej, mniej zasobnej populacji firm i gmin”. W praktyce oznacza to, że polskie firmy – szczególnie małe i średnie – mogą nie otrzymać na czas informacji o podatnościach wykrytych w modelach AI, co zwiększa ryzyko wykorzystania tych luk przez atakujących.

Reakcje branży: entuzjazm i wątpliwości

OpenAI, główny konkurent Anthropica, określił politykę jako „ważny krok”. Chris Lehane, dyrektor ds. globalnych spraw OpenAI, stwierdził: „W miarę jak możliwości AI będą się rozwijać, wierzymy, że skuteczne ramy bezpieczeństwa powinny być opracowywane przez demokratyczne instytucje, w oparciu o wiedzę techniczną i szeroki wkład interesariuszy, aby promować odpowiedzialność i zaufanie publiczne”.

Natomiast Chris Boehm z Zero Networks studzi entuzjazm: „Rozporządzenie nie jest obowiązkowe. Poza utrzymaniem dobrych relacji z sektorem publicznym, firma nie ma realnego powodu, aby ujawniać słabości własnego modelu, chyba że istnieje polityczna korzyść z takiego działania”. Boehm przywołuje przykład ustawy o wymianie informacji o cyberzagrożeniach z 2015 roku, której dobrowolny charakter doprowadził do stopniowego załamania się uczestnictwa.

Luka w rozporządzeniu: agenci AI w środowisku wykonawczym

Bill Robbins z Menlo Security wskazuje na istotną lukę: „Rozporządzenie dotyczy tylko tego, jak modele wyglądają przed wydaniem. Nie adresuje tego, co te modele robią, gdy działają jako agenci w infrastrukturze przedsiębiorstwa. Prawdziwą luką w tym rozporządzeniu jest środowisko wykonawcze agentów”. Agenci AI – programy, które samodzielnie uwierzytelniają się w systemach, przetwarzają dane i podejmują decyzje – stają się coraz powszechniejsi, a ich działanie wymaga monitorowania i kontroli na poziomie wykonawczym, a nie tylko przedwdrożeniowych testów.

Dla polskich administratorów oznacza to, że nawet jeśli model przejdzie federalne testy, ryzyko związane z jego działaniem w środowisku produkcyjnym pozostaje. Konieczne jest wdrożenie dodatkowych mechanizmów kontroli dostępu, audytu i izolacji agentów AI.

Jak się przygotować? Praktyczne wnioski

Niezależnie od tego, czy polskie firmy bezpośrednio podlegają amerykańskim regulacjom, rozporządzenie Trumpa jest sygnałem, że AI staje się przedmiotem poważnej polityki bezpieczeństwa. Warto:

• Monitorować komunikaty dostawców AI – jeśli korzystasz z modeli OpenAI, Anthropic lub Google, śledź informacje o ich udziale w programie testów i ewentualnych opóźnieniach w wydaniach.
• Wzmocnić podstawy cyberhigieny – jak radzi Tonya Ugoretz, „okno jest teraz, aby wzmocnić podstawy cyberbezpieczeństwa, zintegrować ryzyko AI z istniejącymi procesami zarządzania i zbudować zdolność do szybkiego reagowania na wykryte podatności”.
• Kontrolować agentów AI – wdróż mechanizmy monitorowania i ograniczania uprawnień dla agentów AI działających w Twojej infrastrukturze. Rozważ segmentację sieci i zasadę najmniejszych uprawnień.
• Budować łańcuch dostaw z przejrzystością – żądaj od dostawców AI informacji o składzie modeli (SBOM dla AI) i wynikach testów bezpieczeństwa.

Rozporządzenie Trumpa to nie koniec, ale początek dyskusji o tym, jak równoważyć innowację z bezpieczeństwem w erze AI. Dla polskich firm kluczowe będzie nie tylko śledzenie tych regulacji, ale przede wszystkim budowanie własnych zdolności do oceny i kontroli ryzyka związanego z AI – niezależnie od tego, czy Waszyngton, czy Bruksela narzucą ramy prawne.