W wielu firmach IT pełni dziś rolę, której nigdy nie powinno dostać. Ma pilnować bezpieczeństwa, oceniać dostawców, blokować ryzykowne pomysły, kontrolować użycie AI, chronić dane i jeszcze odpowiadać za skutki decyzji podejmowanych przez inne działy. W praktyce staje się ostatnią linią obrony przed ryzykiem tworzonym przez całą organizację.

Ten model przestał być skalowalny

Technologia nie jest już domeną pionu technologicznego. Marketing kupuje własne platformy SaaS, HR wdraża narzędzia do rekrutacji, finanse automatyzują procesy, a pracownicy korzystają z generatywnej AI często bez udziału IT. Według Stanford AI Index 2026 już 88 proc. badanych organizacji wykorzystywało AI w 2025 r., a 70 proc. stosowało generatywną AI przynajmniej w jednej funkcji biznesowej.

Skala adopcji rośnie szybciej niż kontrola nad nią. IBM podaje, że 63 proc. badanych organizacji nie miało odpowiednich mechanizmów governance dla AI. W firmach z wysokim poziomem shadow AI, czyli używania niezatwierdzonych narzędzi, średni koszt naruszenia danych był o 670 tys. dolarów wyższy. Spośród organizacji, które doświadczyły incydentu bezpieczeństwa związanego z AI, 97 proc. nie posiadało właściwych mechanizmów kontroli dostępu.

To pokazuje zasadniczy problem. IT może zabezpieczyć platformę, ale nie jest w stanie kontrolować każdej decyzji dotyczącej tego, jakie dane pracownik wklei do modelu, w jakim procesie zostanie wykorzystany algorytm ani czy dostawca wybrany przez dział biznesowy jest wart podejmowanego ryzyka.

Awaria IT może być przede wszystkim awarią biznesu

Równie wyraźnie widać to w kosztach dużych incydentów.

Po cyberataku na MGM Resorts w 2023 r. spółka oszacowała negatywny wpływ zakłóceń na skorygowany wynik operacyjny swoich obiektów na około 100 mln dolarów. Jednorazowe koszty konsultantów technologicznych, prawników i innych doradców wyniosły mniej niż 10 mln dolarów.

Proporcja jest znamienna. Największym problemem nie było usunięcie technicznej przyczyny. Kosztowała niedostępność usług, problemy z rezerwacjami i zakłócenie działalności hoteli.

Jeszcze większą skalę pokazała awaria spowodowana wadliwą aktualizacją CrowdStrike w lipcu 2024 r. Delta Air Lines odwołała około 7 tys. lotów w ciągu pięciu dni. Problemy dotknęły 1,4 mln pasażerów. Spółka wykazała około 380 mln dolarów utraconych przychodów i kolejne 170 mln dolarów dodatkowych kosztów operacyjnych.

Serwery i aplikacje należą do infrastruktury IT. Odwołane loty, zwroty dla klientów, niewykorzystane załogi i utracone przychody już nie.

Dlatego przypisywanie CIO pełnej odpowiedzialności za ryzyko technologiczne jest konstrukcyjnie błędne. Im bardziej cyfrowa firma, tym mniej sensowne staje się rozdzielenie „ryzyka IT” od ryzyka biznesowego.

Regulacje właśnie formalizują tę zmianę

W 2026 r. nie jest to już wyłącznie dyskusja o dobrych praktykach.

DORA wprost stanowi, że w instytucjach finansowych ostateczna odpowiedzialność za zarządzanie ryzykiem ICT spoczywa na organie zarządzającym. To on zatwierdza strategię odporności cyfrowej i poziom tolerancji ryzyka. NIS2 podobnie wymaga, aby organy zarządzające zatwierdzały środki zarządzania ryzykiem cyberbezpieczeństwa i nadzorowały ich wdrożenie.

W Polsce nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2 weszła w życie 3 kwietnia 2026 r. Według Ministerstwa Cyfryzacji nowe przepisy mogą objąć około 38 tys. podmiotów.

Do tego dochodzi AI Act. Od 2 sierpnia 2026 r. zaczęła obowiązywać większość jego przepisów, w tym część wymogów dotyczących przejrzystości systemów AI.

Wspólny kierunek tych regulacji jest czytelny: odpowiedzialności za technologię nie można wygodnie zdeponować w dziale technologicznym.

CIO nie jest korporacyjnym strażnikiem rozsądku

Rolą IT pozostaje stworzenie architektury, standardów bezpieczeństwa, kontroli dostępu, odporności systemów i mechanizmów pozwalających zobaczyć ryzyko. NIST Cybersecurity Framework 2.0 umieszcza jednak cyberbezpieczeństwo wprost w systemie zarządzania ryzykiem przedsiębiorstwa i podkreśla rolę kierownictwa w ustalaniu priorytetów oraz tolerancji ryzyka.

Granica powinna więc przebiegać jasno. IT odpowiada za jakość mechanizmów technologicznych. Właściciel procesu biznesowego odpowiada za sposób wykorzystania technologii. Zarząd odpowiada za ryzyko, które firma świadomie podejmuje.

Jeżeli przed wdrożeniem AI, zakupem systemu albo podpisaniem umowy z dostawcą najważniejsze pytanie brzmi „czy IT to zatwierdziło?”, organizacja prawdopodobnie źle zdefiniowała problem.

Właściwe pytanie brzmi: kto jest właścicielem tej decyzji, jej ekonomicznego sensu i jej konsekwencji?