A co zrobi Twoja firma, gdy z dnia na dzień wyłączą jej dostęp do ChatGPT, Claude’a, Gemini albo Copilota?

Sztuczna inteligencja coraz częściej wspiera ważne procesy w przedsiębiorstwach. Pomaga pisać kod, analizować dokumenty, obsługiwać klientów i przeszukiwać firmowe bazy wiedzy. Wraz z rosnącą zależnością od tych narzędzi pojawia się jednak pytanie: co zrobi organizacja, jeśli wykorzystywany model z dnia na dzień przestanie być dostępny?

Nie musi dojść do cyberataku ani awarii serwerowni. Wystarczy decyzja administracyjna podjęta w kraju, którego prawu podlega dostawca technologii. Przypadek Anthropic pokazał, że dostęp do modelu AI może zależeć nie tylko od wykupionego abonamentu i umowy z producentem, ale także od polityki państwa, w którym firma ma swoją centralę.

Z raportu „Cyberportret polskiego biznesu 2026”, przygotowanego przez ESET i DAGMA Bezpieczeństwo IT, wynika, że polski biznes coraz wyraźniej dostrzega ryzyko technologicznego uzależnienia. 52% ekspertów ds. cyberbezpieczeństwa uważa, że zależność od rozwiązań spoza Polski i Europy może stanowić zagrożenie dla ich firmy.

Jedna decyzja ograniczyła dostęp na całym świecie

Pierwszym ostrzeżeniem był spór pomiędzy Anthropic a amerykańską administracją. W lutym 2026 roku prezydent Donald Trump polecił instytucjom federalnym wycofanie technologii tej firmy, a Pentagon uznał ją za ryzyko dla łańcucha dostaw. Decyzja była następstwem sporu o warunki używania Claude’a. Anthropic sprzeciwiał się wykorzystywaniu swojego modelu do masowej inwigilacji obywateli Stanów Zjednoczonych oraz przez w pełni autonomiczne systemy uzbrojenia.¹²

Ograniczenia dotyczyły amerykańskiej administracji i jej wykonawców, a nie wszystkich klientów firmy. Kilka miesięcy później wydarzyło się jednak coś, co jeszcze wyraźniej pokazało skalę możliwych konsekwencji.

12 czerwca 2026 roku rząd USA nakazał Anthropic zawieszenie dostępu do modeli Claude Fable 5 i Claude Mythos 5 wszystkim osobom niebędącym obywatelami Stanów Zjednoczonych - niezależnie od tego, czy przebywały w USA, czy poza ich granicami. Ponieważ firma nie miała możliwości wiarygodnego weryfikowania obywatelstwa użytkowników w czasie rzeczywistym, wyłączyła oba modele wszystkim klientom na świecie. Pozostałe modele Anthropic nie zostały objęte ograniczeniem.³

Ograniczenia dotyczące Fable 5 zniesiono 30 czerwca, a model wrócił do globalnej dystrybucji 1 lipca. Dostęp do Mythos 5 przywrócono wówczas jedynie wybranym organizacjom w Stanach Zjednoczonych, a Anthropic zapowiadało dalsze rozmowy dotyczące szerszego udostępnienia modelu. Przypadek ten pokazał jednak, że jedna decyzja administracyjna może w krótkim czasie ograniczyć zagranicznym użytkownikom dostęp do zaawansowanej technologii.

Nie oznacza to, że administracja USA planuje odcięcie Europy od amerykańskich modeli AI. Mechanizm pozwalający ograniczyć dostęp określonej grupie zagranicznych użytkowników już jednak istnieje. Kolejne restrykcje mogą objąć konkretny kraj, region, branżę lub kategorię odbiorców.

Starlink pokazał, że warunki mogą zmienić się z dnia na dzień

Podobny sygnał ostrzegawczy pojawił się w sierpniu 2026 roku w przypadku Starlinka. SpaceX czasowo wyłączyło Polskę z europejskiej strefy roamingowej swojej usługi, mimo że obejmowała ona ponad 30 państw Europy, w tym Niemcy, Czechy, Słowację i Litwę. Dla polskich klientów oznaczało to mniej korzystne warunki korzystania ze Starlinka poza krajem. Firma nie podała publicznie przyczyny wyłączenia Polski. Po interwencjach przedstawicieli polskiego rządu SpaceX wycofało się z decyzji i ponownie włączyło Polskę do europejskiej strefy roamingowej. Ten przypadek pokazuje inny wymiar technologicznej zależności: warunki dostępu do ważnej infrastruktury mogą zostać jednostronnie zmienione przez zagranicznego dostawcę, a ich przywrócenie może wymagać interwencji na poziomie politycznym

Gdy narzędzie staje się elementem firmowej infrastruktury

Brak dostępu do chatbota używanego do poprawiania wiadomości będzie przede wszystkim niedogodnością. Utrata modelu zintegrowanego z systemem obsługi klientów, narzędziami programistycznymi, obiegiem dokumentów czy firmową bazą wiedzy może już zakłócić ciągłość działania organizacji.

Ryzyko rośnie, gdy cały proces został zaprojektowany dla jednego dostawcy, a firma nie sprawdziła, czy może przenieść go do innego rozwiązania. Cyfrowa suwerenność nie oznacza więc konieczności rezygnacji z globalnych technologii. Oznacza zachowanie kontroli nad kluczowymi procesami także wtedy, gdy określony model lub dostawca przestanie być dostępny.

Pochodzenie technologii przestaje być tym samym kwestią patriotyzmu gospodarczego. Staje się elementem zarządzania ryzykiem prawnym, geopolitycznym i operacyjnym.

Polski biznes zwraca się ku europejskim rozwiązaniom

Z raportu ESET i DAGMA Bezpieczeństwo IT wynika, że 61% polskich firm preferuje rozwiązania cyberbezpieczeństwa europejskich producentów. 53% przedsiębiorstw planuje w ciągu najbliższych dwóch lat jeszcze bardziej zwiększyć udział europejskich technologii w swojej infrastrukturze.

Za tymi decyzjami stoją konkretne powody. Najważniejszym jest zgodność z europejskimi i polskimi regulacjami prawnymi, na którą wskazuje 57% firm preferujących europejskie rozwiązania. Dla 47% istotne są lokalne wsparcie techniczne i znajomość polskiego rynku. 46% zwraca uwagę na większą stabilność geopolityczną i mniejsze ryzyko odcięcia usług, a 45% na niższe ryzyko nieautoryzowanego dostępu przez tzw. tylne furtki, czyli backdoory.

Europejski serwer nie rozwiązuje problemu jurysdykcji

Samo przechowywanie danych na serwerach znajdujących się w Warszawie, Frankfurcie czy innym mieście Unii Europejskiej nie oznacza jeszcze, że pozostają one wyłącznie pod europejską jurysdykcją.

Amerykańska ustawa CLOUD Act potwierdza, że dostawca podlegający prawu USA może zostać zobowiązany - na podstawie ważnej procedury prawnej - do przekazania danych znajdujących się w jego posiadaniu, pieczy lub pod kontrolą, niezależnie od tego, w którym kraju są one fizycznie przechowywane. Nie oznacza to automatycznego dostępu amerykańskich instytucji do dowolnych danych. Pokazuje jednak, że lokalizacja serwera i jurysdykcja, której podlega dostawca, nie są tym samym.⁵

Podobna zasada dotyczy pochodzenia producenta. Europejska siedziba nie gwarantuje cyfrowej suwerenności, jeżeli firma korzysta z kodu, modeli, aktualizacji lub infrastruktury kontrolowanych przez podmioty spoza Europy.

Suwerenności nie można sprowadzać wyłącznie do geograficznego pochodzenia producenta czy technologii. Większy nacisk należy kłaść na obiektywne wskaźniki dotyczące tego, w jakim stopniu dane rozwiązanie zapewnia autonomię operacyjną i ochronę prawną przed jurysdykcjami spoza UE

Andy Garth

Director of Government Affairs, ESET

Firmy powinny zatem sprawdzać, kto faktycznie kontroluje dane, kod i aktualizacje, od jakich zewnętrznych podmiotów zależy działanie rozwiązania oraz czy procesy można przenieść do innego systemu. Znaczenie ma również odporność całego łańcucha dostaw na ograniczenia eksportowe, sankcje i konflikty polityczne.

Firmy potrzebują drogowskazów

Ocena rzeczywistej niezależności technologicznej wymaga połączenia wiedzy prawnej, technicznej i biznesowej. Dla wielu organizacji samodzielne zweryfikowanie wszystkich zależności jest trudne.

44% badanych firm oczekuje rekomendacji i certyfikacji instytucji państwowych, które pomogłyby wskazać wiarygodnych producentów z Europy. 40% liczy natomiast na wsparcie finansowe dla przedsiębiorstw wybierających europejskie rozwiązania cyberbezpieczeństwa.

Firmy chcą wiedzieć, czy dany producent naprawdę spełnia kryteria bezpieczeństwa i niezależności, nie tylko deklaruje ich spełnienie. Stąd tak silny sygnał dotyczący roli państwa: 44% badanych firm oczekuje rekomendacji i certyfikacji, a 40% liczy na wsparcie finansowe dla firm sięgających po europejskie rozwiązania. Państwowe drogowskazy mogłyby nie tylko ułatwić firmom właściwy wybór, ale też przyspieszyć budowanie cyfrowej odporności całej gospodarki

Paweł Jurek

dyrektor rozwoju biznesu, DAGMA Bezpieczeństwo IT

Wsparcie państwa powinno jednak opierać się na przejrzystych i porównywalnych kryteriach, a nie na prostym podziale dostawców według kraju pochodzenia. Koncentracja rynku wokół jednej lub dwóch firm oznaczałaby zastąpienie jednej zależności inną. Zdrowa konkurencja zwiększa wybór, wspiera innowacyjność i ogranicza ryzyko związane z niepowodzeniem pojedynczego dostawcy.

Co zrobi firma w poniedziałek rano?

Każda organizacja korzystająca z AI, chmury lub oprogramowania kluczowego dla swojej działalności powinna odpowiedzieć sobie na trzy pytania:

• Które procesy zostaną zakłócone, jeśli główne narzędzie przestanie być dostępne?
• Jak szybko dane i procesy można przenieść do innego dostawcy?
• Jakie rozwiązanie firma uruchomi następnego dnia?

Cyfrowa suwerenność nie polega na zamknięciu się na technologie spoza Europy. Polega na tym, aby żadna pojedyncza decyzja - producenta, regulatora czy zagranicznej administracji - nie odebrała firmie zdolności do dalszego działania.

O raporcie: Trzecia edycja raportu „Cyberportret polskiego biznesu 2026” powstała na podstawie badania ilościowego zrealizowanego w marcu 2026 roku przez instytut ARC Rynek i Opinia na próbie 1026 Polaków pracujących przy komputerze co najmniej trzy dni w tygodniu, w tym ekspertów ds. cyberbezpieczeństwa z firm zatrudniających minimum 10 osób. Badanie przeprowadzono techniką CAWI.

Raport do pobrania

¹Trump directs US agencies to toss Anthropic's AI as Pentagon calls startup a supply risk | Reuters
²Statement on the comments from Secretary of War Pete Hegseth | ANTHROPIC
³Statement on the US government directive to suspend access to Fable 5 and Mythos 5 | ANTHROPIC
⁴Redeploying Fable 5 | ANTHROPIC
⁵Promoting Public Safety, Privacy, and the Rule of Law Around the World: The Purpose and Impact of the CLOUD Act | Justice.Gov