AI és GDPR: amit tudnod kell, mielőtt AI-t vezetsz be

Bemásolsz egy ügyfélpanaszt a ChatGPT-be, hogy írjon rá udvarias választ. Gyors, kényelmes, és közben valószínűleg személyes adatot adtál át egy külföldi szolgáltatónak. Az AI és a GDPR viszonya nem tiltás, hanem rendrakás: ha tudod, milyen adat hova kerül, nyugodtan használhatod a mesterséges intelligenciát. Ebben a cikkben végigmegyünk azon, mire figyelj, mielőtt AI-t vezetsz be a vállalkozásodban.

Fontos: ez a cikk gyakorlati útmutató, nem jogi tanácsadás. Ha az AI-val nagy mennyiségű vagy érzékeny adatot kezelnél, kérd adatvédelmi szakember véleményét is.

Mikor vonatkozik a GDPR az AI-használatodra?

Akkor, amikor személyes adat kerül az AI-eszközbe. Személyes adat minden, amiből egy élő ember azonosítható: név, e-mail-cím, telefonszám, lakcím, de egy egyedi panaszleírás vagy egy fotó is. Ha a géppel csak általános szöveget íratsz (blogvázlatot, termékleírást, hirdetésötletet), a GDPR jellemzően nem érintett. Ha viszont ügyféllevelet, foglalási listát, számlaadatot vagy önéletrajzot adsz neki, akkor adatkezelést végzel, és arra ugyanazok a szabályok vonatkoznak, mint bármelyik más szoftverre.

Az öt kérdés, amit minden AI-eszköz előtt tegyél fel

1. Milyen adat megy bele? Csak annyit adj meg, amennyi a feladathoz tényleg kell. A válaszlevélhez nem kell az ügyfél neve és telefonszáma, elég a panasz lényege.
2. Mire használja a szolgáltató? Több népszerű AI-eszköz ingyenes vagy egyéni változata alapbeállításként felhasználhatja a beszélgetéseket a modell fejlesztésére. Ezt a beállításokban általában ki lehet kapcsolni, az üzleti csomagoknál pedig jellemzően eleve ki van zárva. Nézd meg a saját eszközödnél.
3. Van adatfeldolgozói szerződés? Ha ügyféladatot kezeltetsz egy szolgáltatóval, a GDPR 28. cikke szerint írásos megállapodás kell vele. A nagy AI-szolgáltatók üzleti és API-csomagjaihoz ez elérhető, az ingyenes fogyasztói változatokhoz általában nem.
4. Hol tárolják az adatot? Ha az EU-n kívülre kerül, annak jogalapja kell legyen. Amerikai szolgáltatóknál ez gyakran az EU–USA adatvédelmi keretrendszer (Data Privacy Framework): nézd meg, hogy a cég szerepel-e a listán.
5. Tudnak róla az ügyfeleid? Az adatkezelési tájékoztatódban szerepelnie kell, hogy milyen eszközökkel és milyen célból dolgozod fel az adataikat.

Fogyasztói vagy üzleti csomag: ez a legnagyobb különbség

A legtöbb kisvállalkozás ott csúszik el, hogy a saját, magánhasználatra regisztrált fiókjával dolgozik ügyféladatokon. Ugyanannak az AI-nak az üzleti változata adatvédelmi szempontból egészen más termék: van hozzá adatfeldolgozói szerződés, a beszélgetések nem kerülnek a modell tanításába, és adminisztrátorként látod, ki mit használ. Ha a csapatod rendszeresen ügyféladattal dolgozik AI-ban, az üzleti csomag ára gyakorlatilag a jogi biztonság ára.

Ha nem akarsz előfizetni, akkor is van tiszta út: anonimizálj. Cseréld a neveket „Ügyfél A”-ra, töröld a telefonszámot és az e-mail-címet, mielőtt bemásolod a szöveget. Az AI így is meg tudja írni a választ, te pedig utána beírod a valódi nevet.

Chatbot a weboldalon: mire figyelj külön?

Egy weboldalra tett AI chatbot maga gyűjti az adatokat: nevet, e-mail-címet, kérdéseket, néha egészségügyi vagy pénzügyi részleteket is. Ilyenkor három dolgot érdemes rendbe tenni:

• Legyen egyértelmű, hogy gépi rendszerrel beszél. Az EU mesterségesintelligencia-rendelete (AI Act) átláthatósági szabályai szerint az embereket tájékoztatni kell arról, ha egy AI-rendszerrel kommunikálnak.
• Kérj csak annyi adatot, amennyi kell. Ha a bot visszahívást szervez, név és telefonszám elég, születési dátum nem.
• Tudd, meddig őrzi a beszélgetéseket. Állíts be ésszerű megőrzési időt, és írd bele az adatkezelési tájékoztatóba.

Magyar weboldalnál érdemes olyan megoldást választani, ahol a szolgáltató elérhető, és ahol a chatbot tudását te határozod meg. Ilyen például a ChatAutomata, ami a weboldalad tartalmából építi fel a tudásbázisát.

Automatikus döntés: itt húzódik a határ

Az AI-t használhatod arra, hogy előválogassa a beérkező leveleket vagy összefoglalja a jelentkezéseket. Más a helyzet, ha a gép dönt egy emberről: elutasít egy jelentkezőt, hitelképességet állapít meg, vagy kizár valakit egy szolgáltatásból. A GDPR 22. cikke alapján az embereknek joguk van ahhoz, hogy ne kizárólag automatizált döntés vonatkozzon rájuk, ha az jelentősen érinti őket. A gyakorlati szabály egyszerű: az AI javasoljon, az ember döntsön, és ezt dokumentáld is.

Gyors ellenőrzőlista bevezetés előtt

• Összeírtad, melyik AI-eszközt ki és mire használja a cégben?
• Ügyféladatot csak üzleti csomagban vagy anonimizálva adtok meg?
• Ki van kapcsolva a beszélgetések modelltanításra való felhasználása?
• Megvan az adatfeldolgozói szerződés azokkal, akik ügyféladatot kapnak?
• Frissítetted az adatkezelési tájékoztatót?
• A chatbot jelzi, hogy AI-val beszél a látogató?
• A munkatársaid tudják, mit szabad bemásolni és mit nem? Az AI Act 2025 februárja óta elvárja, hogy aki AI-rendszert használ a cégben, megfelelő AI-ismerettel rendelkezzen.

Mi történik, ha nem figyelsz oda?

A GDPR-bírság felső határa 20 millió euró vagy az éves globális árbevétel 4 százaléka, a magasabb érték. Egy kisvállalkozásnál nem ez a reális veszély, hanem az, hogy egy ügyfél panaszt tesz a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH), vagy egyszerűen elveszíted a bizalmát, mert kiderül, hogy az adatai egy ingyenes AI-fiókban landoltak. A jó hír: a fenti lépések többsége egy délután alatt rendbe tehető.

Összefoglalva

Az AI és a GDPR jól megfér egymással, ha tudatosan döntesz arról, milyen adat milyen eszközbe kerül. Adj meg kevesebb adatot, ügyféladatnál használj üzleti csomagot vagy anonimizálj, kösd meg a szükséges szerződéseket, és mondd meg az ügyfeleidnek, mit csinálsz az adataikkal. Ha szeretnéd, hogy az AI-automatizálásod eleve adatvédelmi szempontból is rendben legyen, nézd meg az AI asszisztens szolgáltatásunkat, vagy vedd fel velünk a kapcsolatot.

Ez a cikk mesterséges intelligencia közreműködésével készült. A szöveget Dobó Imre szerkesztette és ellenőrizte. A cikkben szereplő képek egy része mesterséges intelligenciával generált.