A GDPR nem azt kérdezi, hogy ember vagy gép dolgozik az adattal. Az Európai Unió adatvédelmi rendelete (GDPR) szerint személyes adat minden olyan információ, amely azonosított vagy azonosítható természetes személyre vonatkozik, és az adatkezelés szabályai az AI-ra is ugyanúgy érvényesek, mint egy táblázatra. Az AI nem viszi el a felelősséget: az adatkezelő te maradsz, ezért neked kell tudnod, milyen adat kerül hová.
Ez a cikk 5 kérdést ad, amelyet minden AI-s folyamatnál érdemes feltenni, mielőtt élesedik, és összefoglalja az EU AI Act már hatályos részeit is. Általános tájékoztatás, nem jogi tanács: a konkrét esetedre kérd ki jogász véleményét. Ha még azt választod, kire bízod az építést, a Ki csinálja meg, ha nincs informatikusod? cikkben azt is megtalálod, hogyan kérdezz rá az adatkezelésre. Az eszközök tárolási helyét az n8n, Make vagy Zapier cikkben vetjük össze.
- A GDPR az AI-ra is vonatkozik, és az adatkezelő te vagy, nem a szoftver vagy a fejlesztő. Az EU AI Act egy része (tiltások, AI-jártasság, átláthatóság) szintén már él.
- Csak annyi személyes adatot add az AI-nak, amennyi a feladathoz kell.
- A szolgáltatóval és a fejlesztővel írásbeli adatfeldolgozói szerződés kell, és nézd meg, tanít-e az adataiddal, és hol dolgozza fel őket.
- Tájékoztasd az érintetteket, főleg hívás vagy meeting rögzítésénél, és legyen jogalapod.
- Fontos döntést ne bízz egyedül a gépre, és előre döntsd el, ki mit tesz adatvédelmi incidensnél.
Mi számít személyes adatnak?
A név, az e-mail-cím és a telefonszám mellett a hangfelvétel, a levél tartalma és a meeting átirata is, ha kiderül belőle, kiről van szó. A fontos határ az azonosíthatóság: ha a név hiányzik, de a cég és a beosztás egyértelműen megmutatja a személyt, az adat még mindig személyes. Egy AI-s folyamat háromféle adatot érint: amit beadsz a modellnek, amit a modell kiad, és amit a szolgáltató a feldolgozás közben esetleg tárol.
Az 5 kérdés minden AI-s folyamatnál
1. Milyen személyes adat kerül az AI-hoz?
Miért számít: A GDPR 5. cikke szerint az adat legyen a célhoz szükséges mértékre korlátozott. Sok feladathoz az AI-nak nincs szüksége a névre vagy a telefonszámra. Egy beérkezett levél besorolásához például elég a levél szövege, az azonosító adatokat a rendszer a besorolás után maga illesztheti vissza.
Mit csinálj: Írd fel folyamatonként, mely adatmezők mennek az AI-hoz, és húzd ki, ami nem kell. Amit nem adsz oda, az nem is kerülhet ki.
2. Ki a szolgáltató, és mi áll a szerződésben?
Miért számít: Ha egy külső szolgáltatás (AI-modell, automatizáló eszköz, fejlesztő) a nevedben kezel személyes adatot, ő adatfeldolgozó, és a GDPR 28. cikke szerint írásbeli szerződés kell vele, amely előírja az utasítás szerinti kezelést is. A nagy AI-szolgáltatóknál ez általában egy kész adatfeldolgozási melléklet (DPA). Az OpenAI saját közlése szerint az API-ra és az üzleti csomagokra nem tanítja a modelleket az adatokból, hacsak te nem engedélyezed, és DPA-t kínál. Az Anthropic kereskedelmi feltételei szerint a szolgáltatásokon át küldött ügyféltartalmon nem taníthat modelleket, és az adatokat a DPA szerint kezeli. Ezeket az üzleti (API) szolgáltatásokra olvastuk. A fogyasztói chat feltételei mások lehetnek, ezért ügyféladatot oda ne másolj, amíg a feltételeket meg nem néztétek.
Mit csinálj: Kérd el a szolgáltató DPA-ját, és nézd meg 3 dolgot: tanít-e az adataiddal, meddig tárolja őket, és hol dolgozza fel őket. A fejlesztőddel is köss írásbeli szerződést, ha hozzáfér az ügyféladatokhoz.
3. Hol dolgozzák fel az adatot?
Miért számít: Az adat Unión kívülre vitele külön feltételekhez kötött (44. cikk), és ha tervezed, az érintettnek is el kell mondanod (13. cikk). Az Európai Bizottság 2023. július 10-én fogadta el az EU-USA adatvédelmi keretrendszerről (Data Privacy Framework) szóló megfelelőségi határozatot, amely szerint az adat szabadon áramolhat a keretrendszerben részt vevő amerikai cégekhez. Hogy egy szolgáltatónál ez a jogalap, a szerződésből derül ki, és hogy a határozat a jövőben is érvényben marad-e, azt jogásszal ellenőriztesd. Az OpenAI jogosult ügyfeleinek uniós feldolgozást is kínál: az API-nál az új projekt létrehozásakor választható Európa, és a kéréseket ott az adatok tárolása nélkül (zero data retention) dolgozzák fel. Egy már létező projekt utólag nem állítható át.
Mit csinálj: Kérdezd meg írásban a szolgáltatótól és a fejlesztőtől, hol dolgozzák fel az adataidat, és mi a jogalap, ha az adat Unión kívülre kerül.
4. Tudnak-e róla az érintettek, és van-e jogalap?
Miért számít: Személyes adatot csak megfelelő jogalappal kezelhetsz (6. cikk): ilyen a hozzájárulás, a szerződés teljesítése és a jogos érdek is. Az érintettnek előre el kell mondanod, ki kezeli az adatát, mire, milyen jogalappal, kik kapják meg, és hogy tervezed-e Unión kívülre vinni (13. cikk). Az AI bevezetésekor ezért az adatkezelési tájékoztatót is frissíteni kell. Ez különösen számít, ha hívást vagy meetinget rögzítesz és szöveggé írsz át: a résztvevőnek az elején tudnia kell, hogy felvétel készül, és hová kerül az átirat.
Magyar példa: a NAIH, a magyar adatvédelmi hatóság 2022-ben nyilvánosságra hozott döntése szerint 250 millió forintra (kb. 670 000 euróra) büntetett egy bankot, amely AI-val elemezte a telefonos ügyfélhívások hangját az érzelmi állapot és a kulcsszavak szerint. A hatóság szerint maga az elemzés nem volt jogsértő. Hibás volt az adatkezelési tájékoztató, amely nem említette a hangelemzést és a célját, így az érintettek tiltakozni sem tudtak. Az érdekmérlegelés hiányos volt, a hatásvizsgálat pedig felismerte a magas kockázatokat, de nem járt hozzájuk intézkedéssel. Az AI használata tehát lehet jogszerű, de tájékoztatás, jogalap és kockázatfelmérés nélkül büntetik.
Mit csinálj: Vedd fel az adatkezelési tájékoztatóba az AI-s feldolgozást és a szolgáltatót mint címzettet. Rögzítésnél az elején mondd el, hogy felvétel készül, és kérd el a hozzájárulást, vagy ellenőriztesd a jogásszal, hogy a jogos érdek elég-e. Ha az AI embereket elemez vagy értékel, kérdezd meg a jogászt, kell-e adatvédelmi hatásvizsgálat (35. cikk).
5. Ki dönt, és mi történik, ha baj van?
Miért számít: A 22. cikk szerint az érintettnek joga van, hogy ne vonatkozzon rá olyan döntés, amely kizárólag automatizált feldolgozáson alapul, és rá nézve jogi hatással jár vagy hasonlóan jelentős (például hitel, állás vagy szolgáltatás megtagadása). A védelmi intézkedések között szerepel az emberi beavatkozás kérésének joga. Ha az AI csak előkészít, és ember érdemben, a saját mérlegelésével dönt, a szabály kevésbé érinti a folyamatot. A gyors, átnézés nélküli jóváhagyás ilyen érdemi döntésnek nem számít. Ha pedig adatvédelmi incidens történik (például rossz címzettnek ment ki az ügyféllista), a 33. cikk szerint indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül jelenteni kell a hatóságnak, kivéve, ha az incidens valószínűleg nem jár kockázattal az emberekre.
Mit csinálj: Hitelről, felvételről vagy szolgáltatás megtagadásáról ne dönts egyedül a géppel, és beszéld meg előre a jogásszal. Írd le, kit hívsz adatvédelmi incidens esetén, és ki dönt a bejelentésről, mert a 72 óra attól telik, hogy tudomást szereztél róla.
Mi él már az EU AI Act-ből?
Az EU mesterséges intelligenciáról szóló rendelete (AI Act) egy része már alkalmazandó, és a cégen belül AI-t használóra is vonatkozik. A rendelet alkalmazónak (deployer) hívja azt, aki AI-rendszert a saját felelősségére használ (3. cikk). 3 szabályt érdemes ismerned.
- Tiltások (2025. február 2-től): Az 5. cikk tiltja például a társadalmi pontozást, és főszabály szerint azt is, hogy AI-val kövessék a munkahelyen vagy oktatási intézményben lévők érzelmeit. Ha egy meeting-elemző eszköz a kollégák hangulatát értékeli, ez ide eshet. Az ügyfelek hangulatelemzésére ez a tiltás nem terjed ki, ott a GDPR és a tájékoztatás számít, ahogy a NAIH-esetnél.
- AI-jártasság (4. cikk, 2025. február 2-től): Az AI-t használó cégnek intézkedéseket kell tennie a munkatársak AI-jártasságának támogatására. Konkrét szintet egyetlen személynél sem kell garantálnia, mert a 2026/1744 uniós módosítás óta a cikk így szól. Gyakorlatban egy rövid belső szabály az eszközök használatáról és egy közös átbeszélés jó kezdés.
- Átláthatóság (50. cikk, 2026. augusztus 2-től): Az ügyféllel közvetlenül kommunikáló AI-nak jeleznie kell, hogy gép (erről az Az érdeklődők, akiket elveszítesz cikkben írunk). Az érzelemfelismerő rendszer alkalmazójának tájékoztatnia kell az érintetteket a működéséről, és a személyes adatot a GDPR szerint kell kezelnie. Aki mélyhamisításnak (deepfake) minősülő kép-, hang- vagy videótartalmat készít AI-val, annak jeleznie kell, hogy a tartalmat mesterségesen állították elő vagy módosították.
Ami még nem él: a magas kockázatú rendszerek szabályai, például a munkaerő-felvételnél vagy a hitelbírálatnál használt AI-ra. A 2026/1744 módosítás ezeket 2027. december 2-re halasztotta, ezért most ne erre építs tervet. Ha ilyen eszközt vennél, kérdezz rá a szállítónál, hogyan készül fel.
Mi legyen indulás előtt?
Az élesítés előtt írd le egy oldalon, milyen személyes adat kerül az AI-hoz, kinek a szolgáltatásába, és mi a jogalap. Ez az adattérkép egyben a kérdéslistád a jogásznak, és a fejlesztőnek is megmutatja, mit kell megvédeni. A 32. cikk az adatok biztonságát kéri a kockázathoz mérten (például titkosítás, helyreállíthatóság, rendszeres tesztelés), ezért ide írd azt is, ki fér hozzá, van-e mentés, és ki kapcsolja ki gyorsan a folyamatot, ha baj van. Ha az AI a saját gépeden fut, nincs külső szolgáltató, de a biztonság és a jogalap kérdése ugyanúgy a tiéd marad.
Ha a szolgáltató nem tanít az adatommal, nincs több teendőm.
A tanítás tiltása csak egy pont. Adatfeldolgozói szerződés, tájékoztatás, jogalap és hozzáférés-kezelés is kell.
A GDPR csak az ügyféllistára vonatkozik.
Minden adatra vonatkozik, amely természetes személyhez köthető: a levélre, a hívásfelvételre, a meeting átiratára és a chatüzenetre is.
A fejlesztő vagy a szolgáltató felel az adatvédelemért.
Az adatkezelő döntései és a tájékoztatás a te dolgod. A szerződés a feladatokat osztja meg a fejlesztővel és a szolgáltatóval.
Az AI Act csak az AI-t fejlesztő cégeket érinti.
Az AI-t használó cégre is vonatkozik: a tiltások mindenkire, az AI-jártasság és egyes átláthatósági szabályok az alkalmazóra.
Mit csinálj a héten?
A héten ezt érdemes megcsinálni:
- Írd fel, melyik folyamatod kezel személyes adatot: levelek, űrlapok, hívások, meeting rögzítés.
- Nézd meg, melyik AI-szolgáltatót használjátok, és kérd el az adatfeldolgozási szerződését (DPA).
- Nézd át az adatkezelési tájékoztatót: szerepel-e benne az AI-s feldolgozás és a szolgáltató mint címzett, és rögzítésnél elhangzik-e az elején, hogy felvétel készül.
- Ellenőrizd, hogy egyetlen eszközöd sem elemzi a kollégák érzelmeit, és írj egy rövid belső szabályt az AI-eszközök használatáról.
- Beszéld meg jogásszal azt az egy folyamatot, ahol a legérzékenyebb az adat.
Források
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), EUR-Lex
- Az Európai Parlament és a Tanács (EU) 2024/1689 rendelete (AI Act), EUR-Lex
- Artificial Intelligence Act: Digital Omnibus on AI (2026/1744), a módosított 4. cikk és az alkalmazási dátumok
- White & Case: EU AI Omnibus enters into force, amending the AI Act
- OpenAI: Introducing data residency in Europe
- Anthropic: Commercial Terms of Service
- Európai Bizottság: EU-US data transfers
- William Fry: Hungarian Data Protection Authority issues largest fine to date to a bank for unlawful use of AI
- HVG: Lebukott egy magyar bank: 250 millióra büntette a NAIH, amiért mesterséges intelligenciával figyeltette ügyfeleit
