Problem · Szkolenia

Jak szkolić pracowników z RODO, cyberbezpieczeństwa i AI?

Skuteczne szkolenie jest dopasowane do roli pracownika, a nie identyczne dla całej organizacji - inaczej ryzykuje się, że nikt niczego nie zapamięta.

Dział HR potrzebuje innego zakresu wiedzy o RODO niż dział marketingu, a administratorzy systemów - innego zakresu cyberbezpieczeństwa niż zarząd. Dobra praktyka to szkolenie wstępne przy wdrożeniu nowego pracownika oraz cykliczne szkolenia okresowe, dopasowane do zmieniających się zagrożeń, np. phishingu czy nowych narzędzi AI.

Obowiązek szkoleniowy nie jest tylko dobrą praktyką - wynika wprost z kilku regulacji jednocześnie. RODO w art. 39 ust. 1 lit. b wskazuje monitorowanie i prowadzenie działań podnoszących świadomość jako jedno z zadań IOD. Dyrektywa NIS2 wymienia „podstawową cyberhigienę i szkolenia w zakresie cyberbezpieczeństwa” jako jeden z dziesięciu obszarów obowiązkowego zarządzania ryzykiem. AI Act w art. 4 wprost wymaga zapewnienia odpowiedniego poziomu kompetencji AI (AI literacy) personelowi zajmującemu się obsługą i wykorzystaniem systemów sztucznej inteligencji.

Szkolenia warto łączyć z krótkim testem wiedzy - nie tylko podnosi to skuteczność nauki, ale też stanowi dowód rozliczalności, że organizacja rzeczywiście dba o świadomość pracowników, a nie tylko odhacza formalny obowiązek.

Dobrą praktyką jest zbudowanie macierzy szkoleń (training matrix), która dla każdej roli w organizacji określa wymagany zakres tematyczny, częstotliwość odświeżania wiedzy oraz sposób weryfikacji jej przyswojenia - taki dokument sam w sobie jest dowodem systemowego, a nie przypadkowego podejścia do obowiązków szkoleniowych.

Podstawa prawna

art. 39 RODO, art. 21 dyrektywy NIS2 (cyberhigiena i szkolenia) oraz art. 4 rozporządzenia AI Act (AI literacy)