Hat kérdés, amit a NAIH kitett a falra — és amit a cégeknél senki nem tesz fel
Szerző: Boros Réka | Rovat: Jog & Compliance
A NAIH szeptember 2-án közzétett egy plakátot a generatív MI adatvédelmi kockázatairól. Hat kérdés, magánfelhasználóknak. Csakhogy a kockázat, amiről a plakát beszél, nem a nappaliban keletkezik. A magyar cégek irodáiban keletkezik, ahol a munkatársak ma is céges adatot gépelnek be a chatbotokba — szabályzat nélkül.
Mi jelent meg, és miért érdekes
A dokumentum nem a NAIH saját munkája. A dél-koreai adatvédelmi hatóság (PIPC) és a francia CNIL készítette közösen, május 27-én tették közzé angolul és franciául. A NAIH most lefordította, és PDF-ként elérhetővé tette.
Két adatvédelmi hatóság a világ két végéről ugyanarra jutott: a generatív MI használatának legnagyobb kockázata nem a technológia, hanem a felhasználó rutinja. Az, hogy mit ír be, milyen fiókkal, milyen beállításokkal.
A plakát hat kérdése egyszerű. Melyik MI-alkalmazást válasszam? Kell-e fiókot létrehoznom? Hogyan védem az adataimat? Milyen információt osztok meg? Megbízhatók-e a válaszok? Mit tegyek, ha végeztem?
Magánembernek szánt lista. De tegyük egymás mellé a hat kérdést és egy magyar KKV hétköznapjait — és kirajzolódik, hol tart ma a céges MI-használat.
A hat kérdés — céges fordításban
| A plakát kérdése (magánfelhasználó) | Ugyanez cégvezetőként |
|---|---|
| Melyik MI-alkalmazást válasszam? | Van-e a cégnek kiválasztott, szerződött MI-eszköze — vagy mindenki azt használ, amit talált? |
| Kell-e fiókot létrehoznom? | Céges admin alatt futnak-e a fiókok, vagy privát e-mail-címeken? |
| Hogyan védem az adataimat? | Meghatározta-e valaki, milyen adat nem kerülhet promptba? |
| Milyen információt osztok meg? | Ki ellenőrizte a beállítást, hogy a bevitt adat tanításra megy-e? |
| Megbízhatók-e a válaszok? | Ki felel, ha a munkatárs MI-válasz alapján dönt, és az téves? |
| Mit tegyek, ha végeztem? | Van-e törlési rutin — előzmények, feltöltött fájlok, megszűnt fiókok? |
A bal oszlop hat személyes döntés. A jobb oszlop hat vezetői döntés. A különbség: a bal oszlopot a NAIH plakátja lefedi, a jobb oszlopról a legtöbb magyar cégnél nincs leírt szabály.
Az ötödik kérdés külön figyelmet érdemel. A plakát szó szerint azt írja: az MI hibázhat, és nem tudja, mi igaz és mi hamis. Magánembernek ez annyit jelent: ellenőrizd a fontos információt. Cégben ugyanez felelősségi kérdés. Ha a kolléga MI-válasz alapján áraz be egy ajánlatot, ír meg egy szerződéstervezetet vagy válaszol egy ügyfélpanaszra, a hibáért nem a chatbot felel. Az felel, aki a döntést meghozta — és a cég, amelynek a nevében meghozta. Ezt a kérdést a plakát egy mondatban elintézi. Egy cégnél ez a mondat munkaköri és felelősségi szabály nélkül a levegőben lóg.
A jelenség, amiről a plakát hallgat: shadow AI
A munkatársak engedély és rálátás nélküli MI-használatát a szakma shadow AI-nak hívja. A Piac&Profit júniusi cikke idézi Béres Pétert, a Sicontact IT-vezetőjét: a legnagyobb veszély az, hogy a szervezet nem látja, mikor és milyen eszközt használnak a munkatársak.
A tankönyvi eset a Samsungé. 2023-ban a cég mérnökei bizalmas forráskódot és belső dokumentumokat töltöttek fel a ChatGPT-be — az esetet ugyanez a cikk idézi fel. Nem hacker vitte ki az adatot. Munkatárs gépelte be, munkaidőben, jó szándékkal.
Itt van a plakát vakfoltja. A PIPC és a CNIL a magánfelhasználót védi a szolgáltatótól. A plakát harmadik kérdése fel is sorolja, mit ne adj meg: valódi nevet, címet, jelszót, banki adatot, személyes problémát. Csupa olyan adat, aminek céges megfelelője is van — ügyféllista, bérszalag, hozzáférési kulcs, folyamatban lévő jogvita. A cégnél a kitettség kétszintű: a munkatárs privát rutinja találkozik a cég adatvagyonával. És a plakát azt tanácsolja, hogy ha lehet, fiók nélkül használd az MI-t, és ne adj meg valós adatot. Cégvezetőként pont fordítva áll a logika: fiók nélküli, szerződés nélküli használatban nincs adatfeldolgozói megállapodás (DPA — az a szerződés, amely rögzíti, mit tehet a szolgáltató a cég adatával), nincs számonkérhető fél. A magánembert a névtelenség védi. A céget a szerződés.
Kinek mi az érdeke
Réka-i alapkérdés: kinek az érdeke, hogy ez így maradjon?
A szolgáltatónak az alapértelmezett beállítás az érdeke. A plakát 4. pontja nem véletlenül mondja: ellenőrizd a beállításokat, és korlátozd az adataid tanításra való felhasználását. Amit a felhasználó nem kapcsol ki, az a szolgáltatónál marad. Az adat a termék része.
A munkatársnak a sebesség az érdeke. A chatbot percek alatt megírja, amivel órákat töltene. Amíg nincs belső szabály, a leggyorsabb út a privát fiók.
A cégvezetőnek a kontroll lenne az érdeke — de a kontrollnak ára van: eszközválasztás, szerződés, oktatás. Amíg baj nincs, ez a költség láthatónak tűnik, a kockázat nem.
És legyünk pontosak: a compliance-tanácsadói piacnak — ennek a lapnak is — az az érdeke, hogy a kockázat nagynak látsszon. Ezért nem ijesztgetünk számokkal, amiket nem tudunk linkelni. Ami linkelhető: a plakát létezik, a Samsung-eset megtörtént, a szabályok élnek. A többi mérlegelés — a tiéd. A GDPR-oldali tét ettől még adott: az EDPB — az uniós adatvédelmi hatóságok testülete — 28/2024-es véleménye szerint az MI-modellek fejlesztése és használata során a személyes adatok kezelésére a GDPR szabályai érvényesek. A felelős pedig nem a chatbot, hanem az adatkezelő — vagyis a cég.
És van egy naptári tény is: az AI Act átláthatósági kötelezettségei (50. cikk) 2026. augusztus 2. óta élnek — a Digital Omnibus a magas kockázatú rendszerek határidejét tolta 2027–2028-ra, ezt nem. Aki a halasztásról szóló hírekből azt szűrte le, hogy az MI-szabályozás elcsúszott, az a két réteget keveri: az átláthatósági kötelezettség — például hogy az ügyfél tudja, géppel beszél — már most él. A NAIH-plakát és az AI Act itt ér össze: mindkettő ugyanazt kéri, csak az egyik a felhasználótól, a másik a cégtől.
⚠️ Figyelem: a NAIH plakátja tájékoztató anyag, nem kötelező előírás. Aki betartja, attól még nem lesz GDPR-konform — aki figyelmen kívül hagyja, annak viszont a hatóság szeptember 2. óta nehezen hiszi el, hogy nem tudhatta.
Mit tehet a cégvezető ezen a héten
- Leltár. Kérdezd meg név nélkül a csapatot: ki, mire, milyen MI-eszközt használ. A shadow AI ellen az első lépés a láthatóság.
- Beállítás és szerződés. A használt eszközöknél nézd meg: megy-e a bevitt adat tanításra, és van-e a céges csomaghoz adatfeldolgozói megállapodás.
- Egy oldalas szabály. Mit szabad beírni, mit nem, melyik fiókból. A NAIH-plakát hat kérdése ehhez kész váz — a PDF innen letölthető.
- Törlési rutin. Előzmények, feltöltött fájlok, kilépő munkatársak fiókjai — negyedévente.
💡 Tipp: a plakátot nyomtasd ki és tedd ki az irodában. Nem azért, mert megold bármit — hanem mert a hat kérdés bármelyikéről elindul az a beszélgetés, ami eddig elmaradt.
Ördög ügyvédje
Ha a leírt szabály önmagában megoldás lenne, a shadow AI nem a jól dokumentált nagyvállalatoknál termelné a tankönyvi eseteket. A szabály csak akkor ér valamit, ha az engedélyezett eszköz legalább olyan gyors, mint a tiltott. Amelyik cég szabályzatot ír, de nem ad használható MI-eszközt, az nem megszüntette a shadow AI-t. Csak a privát telefonokra száműzte — oda, ahol már látni sem lehet.
És egy megszorítás a saját elemzésemre: arról, hogy a magyar KKV-knál pontosan hányan használnak MI-t szabályzat nélkül, nincs általam ellenőrizhető friss adat. A következtetés a plakát tartalmán, a shadow AI dokumentált esetein és a szabályozási környezeten áll — nem magyar felmérésen. Ha holnap megjelenik egy, ez a cikk attól lesz erősebb vagy gyengébb.
Ami marad
Két adatvédelmi hatóság megírta a hat kérdést, a magyar hatóság lefordította. A válaszok a cégvezetőnél vannak.