Két hír futott be a héten, látszólag semmi közük egymáshoz. A Meta bejelentés nélkül juttatott arcfelismerő kódot ötvenmillió telefonra. A BlackFog felmérésében az 500 fő feletti brit és amerikai cégek dolgozóinak 49 százaléka használ olyan AI-eszközt, amit a munkáltatója nem hagyott jóvá. Az egyik kívülről jön, a másik belülről. Ugyanazt teszik tönkre: a transzparenciát. És e nélkül a GDPR-t és az AI Actet nem lehet betartani.
Ez a cikk arról szól, miért nem védi azt, amiről nem tud — és miért felel érte mégis.
Az első irány: amit nem Ön telepített
A Meta egy NameTag nevű, belső fejlesztésű arcfelismerő kódot juttatott el több mint 50 millió telefonra. A kód helyben biometrikus azonosítót képzett az arcokból, és egy szerverről frissülő adatbázishoz illesztette. Bejelentés nem volt. A felhasználók nem tudtak róla. A Wired leleplezése után a cég csendben törölte.
A megrázó nem a technológia. Az, hogy a kód a telefonon ült, anélkül hogy bárki engedélyezte volna. Ez a gyártói vakfolt: a rendszerébe kerül valami, amiről nem szóltak, és amiről nincs döntése.
A magyar cégvezető most legyint: ez a Meta, nem én. De a logika ugyanaz minden eszközön, amit a cége használ. A szoftver, amit telepít, frissít. A frissítés új funkciót hoz. A funkció adatot gyűjt. Ki olvasta el, mit kapcsoltak be a legutóbbi update-tel?
A második irány: amit a csapata hozott be
A BlackFog 2026. januári felmérése szerint az 500 fő feletti brit és amerikai cégeknél a megkérdezett dolgozók 49 százaléka használ a munkahelyén olyan AI-eszközt, amit a munkáltató nem engedélyezett. Közülük 58 százalék ingyenes verziót használ, vállalati adatvédelem nélkül. Ezt hívják shadow AI-nak: a rendszeren kívül futó, láthatatlan AI-használat.
A jelenség nem rosszindulat. A kolléga gyorsabban akar dolgozni, ezért feltölti a jegyzőkönyvet egy ingyenes átíró eszközbe. Az eszköz beépíti az adatot a modelljébe. Az ügyfele neve, a tárgyalás tartalma, a számok — mind kikerült a cége falain kívülre. Csendben.
A Deloitte 2026-os jelentése szerint az engedélyezett AI-hozzáférés egy év alatt 50 százalékkal nőtt. A cégek 21 százalékának van érett irányítási modellje az autonóm ügynökökre. A használat fut előre, a kontroll utána kullog.
A két irány ugyanaz a probléma. Nem tudja, milyen adat hagyja el a cégét, és milyen úton. A gyártó lefelé nyom, a dolgozó befelé húz. A vakfolt középen nyílik.
Miért jogi kérdés ez, nem kényelmi
Itt válik el a komment a tényállástól. A biometrikus adat — az arc, az ujjlenyomat — a GDPR 9. cikke szerint különleges adat. Kezeléséhez külön, kifejezett hozzájárulás kell. Nem elég, hogy valaki elfogadta az általános feltételeket. Az európai hatóságok egységesek: az ÁSZF-elfogadás nem érvényes hozzájárulás arcfelismeréshez. Külön kell kérni, konkrét célra.
Az AI Act 50. cikkének (3) bekezdése az érzelemfelismerésnél és a biometrikus kategorizálásnál írja elő, hogy az érintettet tájékoztatni kell a rendszer működéséről. Ez 2026. augusztus 2. óta él. A III. melléklet magas kockázatú szabályai, köztük a biometria, 2027. december 2-től érvényesek.
A shadow AI ugyanezt a falat dönti. A GDPR 5. cikke szerint az adatkezelésnek jogszerűnek, tisztességesnek és átláthatónak kell lennie. Egyik sem áll, ha a kolléga titokban tölt fel ügyféladatot egy nem engedélyezett eszközbe. A bírság nem azt nézi, Ön töltötte-e fel. Azt nézi, Ön felelt-e a rendszerért.
Figyelem: A GDPR és az AI Act nem azt kérdezi, szándékos volt-e. Azt kérdezi, tudott-e róla, és tett-e ellene. A „nem tudtam” nem védekezés. A felelősség az adatkezelőé — vagyis az Öné.
Három lépés, hogy lássa a vakfoltot
Készítsen leltárt arról, mi gyűjt adatot. Írja össze, milyen szoftvert, AI-eszközt, bővítményt használ ténylegesen a cége. Nem amit szabadna — amit valóban. A leltár nélkül a többi lépés vakon megy.
Engedje be a hasznosat, szabályozott úton. A shadow AI-t nem tiltással állítja meg, hanem alternatívával. Jelölje ki, melyik eszköz engedélyezett, és tegye elérhetővé. A kolléga azért használ ingyenes verziót, mert nincs jobb a kezében.
A biometriához külön hozzájárulás kell. Ha bármilyen rendszere arcot, ujjlenyomatot, hangmintát kezel, ahhoz külön, kifejezett beleegyezés szükséges. Nem az általános adatkezelési tájékoztatóban elrejtve. Önállóan, érthetően, visszavonhatóan.
Holnap reggel
Egy kérdés a következő vezetői körre. Tudja-e felsorolni, milyen AI-eszközök és frissítések gyűjtenek ma adatot a cégénél — a gyártó által lenyomottakat és a csapata által behozottakat is?
Ha a lista hiányos, a vakfolt a kisebb gond. Az átláthatóság augusztus 2. óta él, a magas kockázatú biometria szabályai pedig 2027. december 2-től.
Frissítve 2026. október 10-én: a magas kockázatú biometria határideje a (EU) 2026/1744 szerint 2027. december 2. A BlackFog 49 százalékos adata 500 fő feletti brit és amerikai cégek dolgozóira vonatkozik. A Deloitte szerint a cégek 21 százalékának van érett irányítási modellje az autonóm ügynökökre, az engedélyezett hozzáférés pedig egy év alatt 50 százalékkal nőtt.
Hogyan készült ez a cikk Szerző: Loop Magazin szerkesztőség (Boros Réka) Peer-források: nincs (heti sorozat, gyors elemző formátum). Források: a NameTag-ügy a Wired, a Malwarebytes és a Rappler beszámolóiból; a shadow AI a BlackFog és a Deloitte felméréséből, a jelenség kockázata a Kiteworksnél; a GDPR 9. és 5. cikk, az AI Act 50. cikk (3) és a (EU) 2026/1744, valamint a Lexology a biometrikus szabályokról. AI-segéd: forrás-pakk, helyesírás-ellenőrzés. Szerkesztői döntés emberé.
- Meta silently added face-recognition code — Wired — NameTag-kód a több mint 50 milliószor letöltött Meta AI alkalmazásban; a funkció nem volt bekapcsolva.
- Meta deletes the face-recognition system after the Wired report — Wired — a kódot a beszámolót követő napon kivették.
- Meta's face-recognition code raises new concerns about smart glasses — Malwarebytes — 2026. június. A NameTag-kód 50 milliónál több telefonon, bekapcsolás nélkül.
- Meta removes undisclosed smart glasses facial recognition system after WIRED report — Rappler — 2026. június 8. A kód kikerült az alkalmazásból.
- Shadow AI: When Everyone Becomes a Data Leak Waiting to Happen — Kiteworks — a nem engedélyezett AI adatvédelmi kockázata.
- Shadow AI Threat Grows — BlackFog — 2026. január 27. 2000 brit és amerikai válaszadó, 500 fő feletti cégeknél: 49 százalék nem engedélyezett eszközt használ, közülük 58 százalék ingyenes változatot.
- State of AI in the Enterprise 2026 — Deloitte — 2026. január. Az engedélyezett hozzáférés egy év alatt 50 százalékkal nőtt. A cégek 21 százalékának van érett irányítási modellje az autonóm ügynökökre.
- GDPR, 5. és 9. cikk — EUR-Lex — különleges adat a biometria, és az átláthatóság alapelve.
- AI Act, 50. cikk (3) — EUR-Lex — érzelemfelismerésnél és biometrikus kategorizálásnál tájékoztatni kell az érintettet a rendszer működéséről. Alkalmazása 2026. augusztus 2. A deepfake látható jelölése az 50. cikk (4) bekezdése.
- (EU) 2026/1744 — Hivatalos Lap — 2026. július 8. A III. melléklet magas kockázatú szabályai, köztük a biometria, 2027. december 2-től érvényesek.
- AI and biometrics – what is permitted, prohibited, and what only needs labelling? — Lexology — a GDPR 9. cikk és az AI Act kockázati osztályai a biometriánál.
