Firmowe polityki zakazujące asystentów AI w programowaniu okazują się fikcją. Z danych Black Duck wynika, że w organizacjach, które oficjalnie zabraniają korzystania z takich narzędzi, programiści i tak po nie sięgają, a według ustaleń przywołanych przez CRN robi to aż 71 proc. z nich. Problem w tym, że zakazane narzędzia działają wtedy całkowicie poza kontrolą działów bezpieczeństwa. A te i bez tego mają coraz więcej pracy, bo liczba podatności w komercyjnym kodzie właśnie się podwoiła.
Kluczowe fakty:
- W organizacjach, które oficjalnie zakazują korzystania z asystentów AI w programowaniu, aż 71 proc. programistów i tak po nie sięga, działając poza kontrolą działów bezpieczeństwa.
- Według raportu Linux Foundation „2026 State of Tech Talent Europe" wytwarzanie oprogramowania to obszar, w którym europejskie firmy widzą największy potencjał AI – wskazuje go 64 proc. organizacji, a dwie trzecie firm wdrożyło już asystentów AI do tworzenia kodu.
- Raport Black Duck „2026 OSSRA", oparty na analizie 947 komercyjnych baz kodu z 17 branż, odnotował największy wzrost ryzyka w jedenastoletniej historii badania – średnia liczba podatności open source na bazę kodu wzrosła o 107 proc.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Zakaz na papierze, AI w edytorze
Skala zjawiska nie powinna dziwić. Według raportu Linux Foundation „2026 State of Tech Talent Europe” to właśnie wytwarzanie oprogramowania jest obszarem, w którym europejskie firmy widzą największy potencjał sztucznej inteligencji: wskazuje go 64 proc. organizacji, podczas gdy analizę danych 39 proc., a sprzedaż i marketing zaledwie 30 proc. Dwie trzecie firm wdrożyło już asystentów AI do tworzenia kodu.
Presja jest więc ogromna, a zakazy przegrywają z codzienną praktyką. Black Duck obserwuje to zjawisko od dawna. W badaniu rynku oprogramowania wbudowanego firma ustaliła, że wśród organizacji zakazujących asystentów AI trzy czwarte przyznaje, że programiści i tak ich używają. „Asystenci AI są w tych firmach wykorzystywani wbrew polityce, a to z pewnością rodzi spory potencjał zwiększonego ryzyka” / „AI coding assistants are being used in these businesses against policy, and that certainly brings up a lot of potential for increased risk”, komentował Corey Hamilton, główny badacz raportu Black Duck.
Sprawdziłem, jak te deklaracje mają się do twardych danych o kodzie. I tu robi się naprawdę nieprzyjemnie.
Podatności podwoiły się w rok
Najnowszy raport Black Duck „2026 Open Source Security and Risk Analysis” (OSSRA), oparty na analizie 947 komercyjnych baz kodu z 17 branż, dokumentuje największy wzrost ryzyka w jedenastoletniej historii tego badania. Liczby mówią same za siebie:
- średnia liczba podatności open source na bazę kodu wzrosła o 107 proc., do 581,
- 87 proc. audytowanych aplikacji zawierało co najmniej jedną znaną podatność,
- liczba plików w bazach kodu urosła rok do roku o 74 proc., a liczba komponentów open source o 30 proc.,
- 68 proc. baz kodu zawiera konflikty licencyjne, najwięcej w historii badania (rok wcześniej 56 proc.),
- 65 proc. ankietowanych organizacji doświadczyło w ciągu roku ataku na łańcuch dostaw oprogramowania.
Autorzy raportu nie mają wątpliwości, skąd ta eksplozja: AI generuje kod szybciej, niż ktokolwiek jest w stanie go sprawdzać. Tylko 24 proc. organizacji prowadzi kompleksową ocenę kodu generowanego przez AI pod kątem własności intelektualnej, licencji, bezpieczeństwa i jakości jednocześnie.
Widzę w tych danych klasyczny mechanizm, który branża IT przerabia od lat: prohibicja nie eliminuje zjawiska, tylko wypycha je do podziemia. Programista z zakazem nie przestaje używać AI, on przestaje o tym mówić. I to jest najgorszy możliwy scenariusz dla firmy, bo kod generowany przez niezatwierdzone narzędzia trafia do produkcji bez jakiejkolwiek weryfikacji pochodzenia. Z drugiej strony rozumiem zarządy, które wobec luki kompetencyjnej w cyberbezpieczeństwie wybierają zakaz jako najprostszą formę zarządzania ryzykiem. Tyle że to zarządzanie pozorne. Prawdziwe pytanie nie brzmi już „czy pozwolić na AI w kodzie”, bo ta decyzja zapadła bez udziału zarządów. Brzmi ono: kto pierwszy zbuduje procesy, które ten żywioł ucywilizują?
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Linux Polska: wdrażać sprawdzone, nie zakazywać
Podobny wniosek płynie od polskich praktyków. Sebastian Jaworski, wiceprezes Linux Polska, wskazuje, że AI stała się trzonem najważniejszych platform deweloperskich i przyspiesza przede wszystkim najbardziej żmudne zadania związane z projektowaniem i analizą kodu.
Maciej Wawrzyniak, dyrektor obszaru baz danych i inżynierii danych w Linux Polska, stawia sprawę jasno: firmy powinny dążyć do wdrożenia sprawdzonych rozwiązań, zamiast unikać tematu. „Każdy model AI wykorzystywany w procesie produkcyjnym należy uprzednio przeanalizować pod kątem pochodzenia, historii i podatności” mówi Wawrzyniak i dodaje, że narzędzia AI stają się częścią ekosystemu IT organizacji, więc muszą być dopasowane do jej infrastruktury i wymogów bezpieczeństwa.
Problem w tym, że do takiej analizy potrzebni są ludzie. A tych brakuje. Linux Foundation wskazuje, że bezpieczeństwo i prywatność wysunęły się w 2026 roku na czoło barier we wdrażaniu nowych technologii w Europie (odpowiednio 51 i 44 proc. wskazań), a niemal połowa europejskich organizacji zgłasza braki kadrowe w cyberbezpieczeństwie. Odpowiedzią jest przede wszystkim podnoszenie kwalifikacji własnych zespołów (63 proc.), które wyprzedziło rekrutację zewnętrzną (59 proc.).
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Polskie zespoły IT: więcej kontroli, ale szara strefa kwitnie
W Polsce napięcie między programistami a politykami firmowymi widać jeszcze wyraźniej niż w Europie. Według badania JetBrains AI Pulse 2026 aż 92 proc. polskich programistów używa co najmniej jednego narzędzia AI w pracy, a 36 proc. z nich deklaruje, że firma ogranicza dostęp wyłącznie do zatwierdzonej listy narzędzi, wobec 27 proc. globalnie. Polskie organizacje próbują więc kontrolować zjawisko częściej niż zagraniczne.
Skuteczność tej kontroli to inna sprawa. Z badania przeprowadzonego przez redakcję AIPORT.pl wśród polskich firm wynika, że 45,4 proc. pracowników i menedżerów przyznaje się do korzystania z AI poza wiedzą pracodawcy, a oficjalną politykę i firmowe narzędzia AI ma zaledwie co piąta organizacja. Pisałem o tym szerzej w raporcie „Polska firma w erze AI 2026″. Dane Black Duck pokazują, że polski problem nie jest lokalną anomalią, tylko częścią globalnego wzorca. Zakaz bez alternatywy produkuje szarą strefę, a szara strefa produkuje ryzyko, którego nikt nie mierzy.
Stawka rośnie z każdym miesiącem, bo Black Duck ostrzega wprost: organizacje nie będą w stanie spełnić wymogów nadchodzących regulacji, takich jak unijny Cyber Resilience Act, jeśli nie zaczną śledzić modeli AI i generowanego przez nie kodu. Firmy, które dziś zamiatają temat pod dywan zakazem, za chwilę będą musiały wykazać przed regulatorem pełną kontrolę nad swoim łańcuchem dostaw oprogramowania. Z kodem pisanym po kryjomu na prywatnych kontach to zadanie niewykonalne.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym raportu Black Duck „2026 Open Source Security and Risk Analysis” z dnia 25.02.2026, raportu Linux Foundation „2026 State of Tech Talent Europe” z dnia 08.06.2026 oraz publikacji CRN Polska z dnia 18.08.2026. Wykorzystano również dane z badania JetBrains AI Pulse 2026, publikacji LinuxInsider i Infosecurity Magazine oraz własnego badania redakcji AIPORT.pl. Cytat Coreya Hamiltona (Black Duck) został zweryfikowany z oryginalnym anglojęzycznym materiałem źródłowym, cytaty Sebastiana Jaworskiego i Macieja Wawrzyniaka (Linux Polska) pochodzą z wypowiedzi opublikowanych po konferencji Linux Polska DevOps Cup 2026. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji na temat wykorzystania AI w wytwarzaniu oprogramowania i bezpieczeństwa łańcucha dostaw.
