AI-jog★ Cikksorozat · 4.
A mesterséges intelligencia és az adatvédelemMit enged meg a GDPR az algoritmusok korában?
Az MI-rendszerek adatkezelési kockázatai, a személyes adatok felhasználása, az automatizált döntéshozatal és a vállalkozások adatvédelmi kötelezettségei
Adatkezelő vagy adatfeldolgozó az MI-szolgáltató? Jogalap, modelltanítás, automatizált döntés, NAIH- és EUB-gyakorlat, amerikai adattovábbítás: a GDPR gyakorlati kérdései MI-használatnál.
A mesterséges intelligencia néhány év alatt a vállalkozások mindennapi működésének részévé vált. Munkavállalók használnak MI-alapú alkalmazásokat dokumentumok elemzésére, ügyfélszolgálatok alkalmaznak automatizált hangelemző rendszereket, a HR-osztályok algoritmusokkal értékelik az álláspályázatokat, míg a generatív nyelvi modellek már szerződéstervezetek, üzleti elemzések és ügyféltájékoztatók elkészítésében is közreműködnek.
A technológia azonban olyan adatokhoz is hozzáférhet, amelyek kezelése szigorú jogszabályi követelményekhez kötött.
Mi történik például akkor, ha egy munkavállaló ügyfelek személyes adatait tartalmazó dokumentumot tölt fel egy mesterségesintelligencia-szolgáltatásba? Jogszerűen használhatja-e a szolgáltató ezeket az adatokat saját modelljeinek továbbfejlesztésére? Megtagadható-e egy hitelkérelem kizárólag automatizált értékelés alapján? És miként érvényesítheti a törléshez vagy helyesbítéshez való jogát az, akinek személyes adatait már egy mesterségesintelligencia-modell tanításához is felhasználták?
E kérdések megválaszolásában meghatározó szerepet tölt be az Európai Unió általános adatvédelmi rendelete, közismert nevén a GDPR.
A mesterséges intelligencia megjelenése ugyanis nem helyezi hatályon kívül a személyes adatok védelmére vonatkozó szabályokat. Az MI-rendszerek alkalmazása során is biztosítani kell az adatkezelés jogszerűségét, átláthatóságát és az érintettek jogainak érvényesülését.
Ügyvédként, különösen a szerződéses, polgári jogi és peres ügyekkel kapcsolatos szakmai érdeklődésemre tekintettel, az AI-jog egyik legfontosabb területének tartom a mesterséges intelligencia és az adatvédelem kapcsolatát.
AI-jogi cikksorozatom negyedik részében ezért a GDPR és a mesterséges intelligencia legfontosabb kapcsolódási pontjait, a magyar és európai joggyakorlatot, valamint a vállalkozások számára felmerülő gyakorlati kockázatokat mutatom be.
A GDPR a mesterséges intelligencia alkalmazásakor is irányadó
Az Európai Parlament és a Tanács (EU) 2016/679 rendelete, vagyis a GDPR, a személyes adatok kezelésére vonatkozó általános követelményeket határozza meg.
A rendelet 4. cikkének 1. pontja alapján személyes adatnak minősül minden olyan információ, amely azonosított vagy azonosítható természetes személyre vonatkozik.
Ez a fogalom rendkívül széles. Személyes adat lehet többek között egy ügyfél neve, e-mail-címe, telefonszáma, azonosításra alkalmas hangfelvétele, munkavállalói teljesítményértékelése vagy egy természetes személyre vonatkozó pénzügyi információ.
Az MI-rendszerek szempontjából különösen fontos, hogy a személyes adatok kezelése nem korlátozódik azok tárolására. A GDPR 4. cikkének 2. pontja alapján adatkezelésnek minősülhet az adatok gyűjtése, rendszerezése, elemzése, felhasználása, továbbítása vagy törlése is.
Így amennyiben egy vállalkozás személyes adatokat tartalmazó dokumentumot küld egy mesterségesintelligencia-rendszernek elemzésre, a művelet során személyesadat-kezelés valósulhat meg.
A GDPR alkalmazandósága ugyanakkor mindig a tényleges adatkezelési művelettől függ. Ha a rendszer kizárólag olyan adatokat dolgoz fel, amelyek nem minősülnek személyes adatnak, a GDPR az adott műveletre emiatt önmagában nem válik alkalmazandóvá.
A legfontosabb adatvédelmi alapelvek
A GDPR 5. cikke meghatározza azokat az alapelveket, amelyeknek az MI-rendszerekben végzett személyesadat-kezelés során is érvényesülniük kell.
Különösen jelentős a jogszerűség, a tisztességes eljárás és az átláthatóság, a célhoz kötöttség, az adattakarékosság, a pontosság, a korlátozott tárolhatóság, valamint az integritás és bizalmas jelleg követelménye.
A célhoz kötöttség elve például azt jelenti, hogy a személyes adatokat meghatározott, egyértelmű és jogszerű célból lehet gyűjteni, és azok további felhasználásának is meg kell felelnie a GDPR követelményeinek.
Az adattakarékosság elvéből pedig az következik, hogy a vállalkozásnak mérlegelnie kell, valóban szükséges-e az adott feladat teljesítéséhez a személyes adatok átadása egy MI-rendszer számára.
Egy szerződéstervezet nyelvi ellenőrzéséhez például sok esetben elegendő lehet a természetes személyeket azonosító adatok eltávolítása vagy megfelelő helyettesítése.
A szerződő felek: Minta Anna[BÉRBEADÓ] (lakcím: 1111 Budapest, Példa utca 1.[CÍM_1], e-mail: minta.anna@pelda.hu[E-MAIL_1]) mint bérbeadó, valamint Teszt Elek[BÉRLŐ] (anyja neve: Próba Mária[ADAT_1]) mint bérlő. A havi bérleti díj 250 000 Ft, amely minden hónap 5. napjáig esedékes.
Az MI-használat adatvédelmi megfelelésének egyik alapvető kérdése ezért az, hogy a kívánt eredmény elérhető-e kevesebb személyes adat kezelésével.
Ki az adatkezelő, és ki az adatfeldolgozó?
A vállalkozások által igénybe vett külső MI-szolgáltatások esetében az egyik legfontosabb jogi feladat az adatvédelmi szerepkörök meghatározása.
A GDPR 4. cikkének 7. pontja szerint adatkezelő az a személy vagy szervezet, amely önállóan vagy másokkal együtt meghatározza a személyes adatok kezelésének céljait és eszközeit.
A 4. cikk 8. pontja alapján adatfeldolgozó az a személy vagy szervezet, amely az adatkezelő nevében kezel személyes adatokat.
A vállalkozás mint adatkezelő
Ha egy magyar vállalkozás úgy dönt, hogy ügyfeleinek adatait meghatározott üzleti célból mesterséges intelligencia segítségével elemzi, rendszerint maga határozza meg az adatkezelés célját.
Ebben a jogviszonyban ezért adatkezelői minőségben járhat el.
Az adatkezelői felelősség fennmaradhat akkor is, ha az adatfeldolgozási műveleteket ténylegesen egy külső technológiai szolgáltató végzi.
Az MI-szolgáltató mint adatfeldolgozó
Amennyiben a külső szolgáltató kizárólag a vállalkozás dokumentált utasításai alapján kezeli a személyes adatokat, adatfeldolgozónak minősülhet.
Ebben az esetben a GDPR 28. cikke szerinti adatfeldolgozói megállapodás szükséges.
A megállapodásnak többek között rendeznie kell az adatkezelés tárgyát, időtartamát, célját, az érintett személyes adatok kategóriáit, az adatbiztonsági követelményeket, az al-adatfeldolgozók igénybevételét és az adatkezelés befejezésével kapcsolatos kötelezettségeket.
Mi történik, ha a szolgáltató saját célra is felhasználja az adatokat?
A helyzet összetettebbé válik, ha a technológiai szolgáltató a rendelkezésére bocsátott személyes adatokat saját céljaira, például általános célú modelljeinek továbbfejlesztésére vagy tanítására is felhasználja.
Amennyiben az adott adatkezelés célját és lényeges eszközeit önállóan határozza meg, e művelet tekintetében önálló adatkezelőnek minősülhet.
A szerepkörök elhatárolását azonban minden esetben a tényleges működés alapján kell elvégezni. A modelltanítás ténye önmagában nem eredményez minden helyzetben automatikus, valamennyi adatkezelésre kiterjedő szerepváltozást.
A magyar vállalkozás számára külön jelentősége lehet annak, hogy személyes adatokat továbbít-e egy önálló adatkezelő részére, és ha igen, az adattovábbításnak milyen jogalapja, célja és megfelelő tájékoztatási háttere van.
Egy MI-szolgáltató általános szerződési feltételeinek elfogadása önmagában nem igazolja a teljes adatkezelési folyamat GDPR-nak való megfelelését.
Milyen jogalapon használhatók személyes adatok mesterséges intelligenciával?
A GDPR 6. cikk (1) bekezdése meghatározza a személyes adatok kezelésének jogalapjait.
Az MI-rendszerek alkalmazásakor különösen a hozzájárulás, a szerződés teljesítéséhez szükséges adatkezelés és a jogos érdek merülhet fel, de más jogalapok is relevánsak lehetnek.
Hozzájárulás
A GDPR 6. cikk (1) bekezdés a) pontja szerint az adatkezelés jogalapja lehet az érintett megfelelő hozzájárulása.
A hozzájárulásnak önkéntesnek, konkrétnak, megfelelő tájékoztatáson alapulónak és egyértelműnek kell lennie.
A mesterséges intelligencia esetében ugyanakkor különös jelentősége lehet a hozzájárulás visszavonhatóságának.
A GDPR 7. cikk (3) bekezdése alapján ugyanis az érintett hozzájárulását bármikor visszavonhatja. Ez nem érinti a visszavonás előtti adatkezelés jogszerűségét, de az adatkezelőnek a további adatkezelés jogalapját és a törlési kötelezettségeit is értékelnie kell.
A kérdés különösen összetett lehet, ha az adatokat már egy MI-modell tanítására is felhasználták.
Szerződés teljesítése
A 6. cikk (1) bekezdés b) pontja akkor szolgálhat jogalapul, ha az adatkezelés szükséges egy olyan szerződés teljesítéséhez, amelyben az érintett fél.
A szerződés teljesítése azonban nem tesz automatikusan jogszerűvé minden, a szolgáltatáshoz kapcsolódó MI-alapú adatfeldolgozást.
A szükségességet az adott szolgáltatás és adatkezelési művelet alapján kell megítélni.
Jogos érdek
A 6. cikk (1) bekezdés f) pontja alapján az adatkezelés jogszerű lehet, ha az adatkezelő vagy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, feltéve, hogy ezen érdekekkel szemben nem élveznek elsőbbséget az érintett személy jogai és szabadságai.
A jogos érdekre alapított adatkezeléshez megfelelő érdekmérlegelés szükséges.
Ennek során meg kell határozni a követett jogos érdeket, vizsgálni kell az adatkezelés szükségességét, valamint azt, hogy az érintettek jogai és érdekei nem élveznek-e elsőbbséget.
Mit mond az Európai Adatvédelmi Testület?
Az Európai Adatvédelmi Testület (EDPB) 2024. december 18-án elfogadott 28/2024. számú véleménye kifejezetten foglalkozik az MI-modellek fejlesztésével és alkalmazásával kapcsolatos adatvédelmi kérdésekkel.
A testület álláspontja szerint a jogos érdek megfelelő feltételek mellett jogalapul szolgálhat MI-modellek fejlesztéséhez és alkalmazásához.
Ez azonban nem jelent általános felmentést az adatkezelés jogszerűségének vizsgálata alól.
Különösen fontos annak értékelése, hogy az érintettek észszerűen számíthattak-e adataik ilyen célú felhasználására, milyen forrásból származtak az adatok, és az adatkezelés milyen következményekkel járhat számukra.
Az Európai Unió Bíróságának C-621/22. számú, 2024. október 4-i ítélete szintén lényeges a jogos érdek értelmezése szempontjából. A bíróság megerősítette, hogy a kereskedelmi jellegű érdek önmagában nem zárható ki a jogos érdek fogalmából, ugyanakkor az adatkezelés szükségességét és az érdekek megfelelő mérlegelését minden esetben vizsgálni kell.
A vállalkozás üzleti érdeke tehát önmagában nem elegendő az adatkezelés jogszerűségének megállapításához, de megfelelő feltételek mellett a jogos érdek jogalapja alkalmazható lehet.
Különleges személyes adatok
A GDPR 9. cikke különös védelmet biztosít többek között az egészségügyi adatok, a genetikai adatok és az egyedi azonosítás céljából kezelt biometrikus adatok számára.
Ezek kezelése főszabály szerint tilos, kivéve, ha a rendeletben meghatározott valamely kivétel alkalmazható.
Egy MI-rendszerbe egészségügyi dokumentumok feltöltésekor ezért rendszerint a GDPR 6. cikke szerinti jogalap mellett a 9. cikk (2) bekezdésében foglalt megfelelő feltételt is azonosítani kell.
Nem minden hangfelvétel minősül ugyanakkor automatikusan különleges biometrikus adatnak. A minősítésnél jelentősége van az alkalmazott technikai feldolgozásnak és különösen annak, hogy az adatkezelés egyedi azonosításra irányul-e.
Tanítható-e mesterséges intelligencia személyes adatokkal?
A mesterséges intelligencia fejlesztése és tanítása gyakran jelentős adatmennyiséget igényel.
Az adatok azonban többféle forrásból származhatnak. Lehetnek a vállalkozás saját működése során keletkezett adatok, más szolgáltatóktól beszerzett adatállományok vagy nyilvánosan hozzáférhető internetes tartalmak.
A személyes adatok felhasználásának jogszerűségét minden esetben a GDPR alapján kell megítélni.
A nyilvánosan elérhető adat sem feltétlenül használható fel korlátlanul
Gyakori tévedés, hogy az interneten nyilvánosan hozzáférhető személyes adatok szabadon gyűjthetők és felhasználhatók MI-modellek tanítására.
A nyilvános hozzáférhetőség önmagában azonban nem szünteti meg a GDPR alkalmazandóságát.
A személyes adatok automatizált gyűjtéséhez, például webes adatkinyeréshez (web scraping) is megfelelő jogalap és jogszerű adatkezelési cél szükséges.
A kérdésben különösen aktuális fejlemény, hogy az EDPB 2026. július 8-án közzétette a generatív mesterséges intelligenciához kapcsolódó webes adatgyűjtésről szóló 03/2026. számú iránymutatás-tervezetét.
A dokumentum részletesen foglalkozik a személyes adatok nyilvános forrásból történő gyűjtésével, a jogos érdek alkalmazhatóságával, a célhoz kötöttséggel, az adattakarékossággal és a különleges személyes adatok kezelésével.
Az iránymutatás 2026 októberében még nyilvános konzultáció alatt áll, ezért annak megállapításait az EDPB aktuális, de még nem végleges szakmai álláspontjaként kell kezelni.
Anonimizálás és álnevesítés
Az MI-modellek fejlesztése és vállalati alkalmazása során gyakran felmerül az adatok anonimizálásának vagy álnevesítésének lehetősége.
A kettő azonban jogilag eltérő fogalom.
A megfelelően anonimizált adatok esetében az érintett a rendelkezésre álló és észszerűen felhasználható eszközökkel már nem azonosítható, így az ilyen adatok nem tartoznak a GDPR személyes adatokra vonatkozó szabályozási körébe.
Az álnevesített adatok ezzel szemben továbbra is személyes adatok lehetnek, ezért kezelésükre a GDPR követelményei irányadók.
Minta Anna→[ÉRINTETT_01]Kiegészítő információval visszakövethető
Továbbra is személyes adat lehet: a GDPR irányadóMinta Anna→████████Észszerűen felhasználható eszközökkel már nem azonosítható
A GDPR személyes adatokra vonatkozó szabályain kívül esikAz EDPB 28/2024. számú véleménye az MI-modellek anonimitásának megítélésével is foglalkozik.
A testület szerint esetről esetre kell vizsgálni, hogy a modellből az érintettek közvetlenül vagy közvetve azonosíthatók-e, illetve a modelltől érkező válaszok révén kinyerhetők-e a tanításhoz felhasznált személyes adatok.
A vizsgálat jelentősége abban áll, hogy egy modell nem válik automatikusan anonimnak pusztán azért, mert a tanítóadatok már nem hagyományos adatbázis formájában szerepelnek benne.
Automatizált döntéshozatal – dönthet-e kizárólag az algoritmus?
A mesterséges intelligencia és az adatvédelem egyik legfontosabb kapcsolódási pontja az automatizált döntéshozatal.
A GDPR 22. cikk (1) bekezdése alapján az érintett főszabály szerint jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna, vagy őt hasonlóképpen jelentős mértékben érintené.
A rendelkezés különösen olyan döntések esetében lehet releváns, amelyek az érintett gazdasági vagy jogi helyzetére lényeges hatást gyakorolnak.
Ilyen lehet például egy hitelkérelem automatikus elutasítása vagy egy álláspályázat érdemi emberi közreműködés nélküli, automatizált értékelésen alapuló elutasítása.
A döntés kizárólag automatizált adatkezelésen alapul, érdemi emberi közreműködés nélkül?
Az érintettre nézve joghatással jár, vagy hasonlóan jelentős mértékben érinti? (pl. hitelkérelem, álláspályázat)
A 22. cikk alkalmazhatóságához mindkét feltétel szükséges.
- Kivételek (22. cikk (2)) szerződés megkötéséhez vagy teljesítéséhez szükséges · jogszabály teszi lehetővé megfelelő garanciákkal · kifejezett hozzájárulás
- Garanciák emberi beavatkozás kérése · álláspont kifejtése · kifogás a döntéssel szemben
Milyen kivételeket enged a GDPR?
A GDPR 22. cikk (2) bekezdése alapján a kizárólag automatizált döntéshozatal meghatározott esetekben megengedett lehet.
Ilyen eset különösen, ha a döntés szükséges az érintett és az adatkezelő közötti szerződés megkötéséhez vagy teljesítéséhez, az alkalmazandó uniós vagy tagállami jog megfelelő garanciák mellett lehetővé teszi, vagy a döntés az érintett kifejezett hozzájárulásán alapul.
A szerződéshez kapcsolódó, illetve a kifejezett hozzájáruláson alapuló esetekben az adatkezelőnek biztosítania kell legalább az emberi beavatkozás kérésének lehetőségét, az érintett álláspontjának kifejtését és a döntéssel szembeni kifogás előterjesztését.
Jogszabályon alapuló automatizált döntéshozatal esetében az alkalmazandó jogszabálynak kell megfelelő intézkedésekről rendelkeznie.
A különleges személyes adatokra ezenfelül a 22. cikk (4) bekezdése további korlátokat állapít meg.
Mi minősül valódi emberi közreműködésnek?
A GDPR 22. cikkének alkalmazása szempontjából jelentősége van annak is, hogy egy automatizált értékelés eredményét valóban érdemben vizsgálja-e felül természetes személy.
Ha egy munkatárs pusztán formálisan jóváhagyja az algoritmus által előállított döntést, anélkül hogy annak tartalmát ténylegesen megvizsgálná vagy lehetősége lenne azt megváltoztatni, az emberi közreműködés valódisága vitatható lehet.
Az emberi felügyelet tényleges tartalma ezért fontosabb lehet annál, hogy a döntési folyamatban formálisan szerepel-e egy emberi jóváhagyási lépés.
Mit mond az Európai Unió Bírósága az algoritmikus döntésekről?
Az automatizált döntéshozatalra vonatkozó szabályok értelmezését az Európai Unió Bíróságának ítélkezési gyakorlata is pontosította.
A SCHUFA-ügy – C-634/21.
A Bíróság 2023. december 7-én hozott ítéletében a természetes személyek hitelképességének automatizált értékelésével foglalkozott.
A döntés szerint a hitelképességet kifejező valószínűségi érték automatizált előállítása a GDPR 22. cikke szerinti automatizált egyedi döntéshozatalnak minősülhet, ha az értéket felhasználó harmadik fél arra meghatározó módon támaszkodik egy szerződéses kapcsolat létrehozásáról, teljesítéséről vagy megszüntetéséről szóló döntés során.
Ez azért különösen fontos, mert az automatizált értékelés és a végső üzleti döntés különböző vállalkozásoknál is történhet.
A jogi megítélés szempontjából ezért a tényleges döntési folyamatot és az algoritmikus eredmény meghatározó szerepét kell vizsgálni.
A Dun & Bradstreet Austria-ügy – C-203/22.
A Bíróság 2025. február 27-én újabb jelentős ítéletet hozott az automatizált hitelképességi értékeléssel kapcsolatban.
Az ügy központi kérdése az volt, milyen tartalmú tájékoztatást köteles adni az adatkezelő a GDPR 15. cikk (1) bekezdés h) pontja alapján az automatizált döntéshozatal során alkalmazott logikáról.
A Bíróság megállapította, hogy az érintett jogosult arra, hogy tömör, átlátható, érthető és könnyen hozzáférhető formában tájékoztatást kapjon a személyes adatai automatizált felhasználása során ténylegesen alkalmazott eljárásról és elvekről.
A tájékoztatásnak alkalmasnak kell lennie arra, hogy az érintett megértse és adott esetben vitathassa a rá vonatkozó automatizált döntést.
A Bíróság az üzleti titkok védelmével kapcsolatban is fontos megállapítást tett. Amennyiben az adatkezelő szerint a szükséges tájékoztatás üzleti titkot vagy más személyek védett adatait érinti, ez önmagában nem eredményezheti az érintetti jogok automatikus kizárását.
Ilyen esetben a védett információkat az illetékes felügyeleti hatóság vagy bíróság rendelkezésére kell bocsátani, amely mérlegeli az érintett jogokat és érdekeket.
Az ítélet jelentősége abban áll, hogy az automatizált döntéshozatal műszaki összetettsége vagy az üzleti titokra történő hivatkozás önmagában nem mentesíti az adatkezelőt az érdemi tájékoztatási kötelezettség alól.
Magyarországi joggyakorlat – 250 millió forintos adatvédelmi bírság MI-alapú hangelemzés miatt
A mesterséges intelligencia adatvédelmi kockázatai Magyarországon is megjelentek a hatósági gyakorlatban.
Különösen jelentős a NAIH-85-3/2022. számú határozat, amelyben a Nemzeti Adatvédelmi és Információszabadság Hatóság a Budapest Bank Zrt. ügyfélszolgálati hangelemzési gyakorlatát vizsgálta.
A bank olyan szoftvert alkalmazott, amely az ügyfélszolgálati telefonbeszélgetések hangfelvételeit automatizált módon elemezte.
A rendszer többek között az ügyfelek elégedetlenségét és érzelmi állapotát, valamint az ügyfélszolgálati munkavállalók kommunikációjának jellemzőit is értékelte.
Az elemzés eredményeit a bank egyebek mellett a minőségellenőrzéshez, az ügyfelek visszahívásának kiválasztásához és a munkavállalók teljesítményével kapcsolatos folyamatokhoz használta fel.
A NAIH több adatvédelmi jogsértést állapított meg, különösen az adatkezelés jogszerűsége, a célhoz kötöttség, a tájékoztatás és az érintetti jogok biztosítása körében.
A hatóság arra kötelezte a bankot, hogy módosítsa adatkezelési gyakorlatát, és a hangelemzés során ne végezzen érzelemelemzést. Emellett 250 millió forint adatvédelmi bírságot szabott ki.
- ügyfélszolgálati hívások automatizált hangelemzése
- az ügyfelek elégedetlenségének és érzelmi állapotának értékelése
- a munkavállalók kommunikációjának elemzése
Kötelezés: az adatkezelési gyakorlat módosítása, érzelemelemzés nélkül.
Az ügy több szempontból is tanulságos.
Egyrészt rámutat arra, hogy a mesterséges intelligencia alkalmazásával kapcsolatos üzleti hatékonysági célok nem mentesítik az adatkezelőt a GDPR követelményeinek teljesítése alól.
Másrészt jól szemlélteti, hogy az automatizált elemzési folyamatok az ügyfeleken túl a munkavállalók jogait is érinthetik.
A határozat az AI Act alkalmazandóvá válása előtti adatkezelési gyakorlatot vizsgálta. Ebből következően az ügyben megállapított jogsértések és a kiszabott bírság közvetlen jogalapját a GDPR rendelkezései jelentették.
A döntés ugyanakkor ma is jelentős, mert a vállalkozások MI-alapú adatkezelésének alapvető követelményeit szemlélteti.
Adatvédelmi hatásvizsgálat és alapvetőjogi hatásvizsgálat
A mesterséges intelligencia alkalmazásához kapcsolódó kockázatok feltárásában két különböző hatásvizsgálati rendszernek lehet jelentősége.
Adatvédelmi hatásvizsgálat – DPIA
A GDPR 35. cikke szerint az adatkezelőnek adatvédelmi hatásvizsgálatot kell végeznie, ha az adatkezelés valamely típusa – különösen új technológiák alkalmazása esetén – valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve.
A kötelezettség különösen felmerülhet személyes jellemzők szisztematikus és átfogó automatizált értékelése, nagy számban történő különlegesadat-kezelés vagy más, a GDPR-ban meghatározott magas kockázatú adatkezelések esetében.
A mesterséges intelligencia alkalmazása azonban önmagában nem jelenti azt, hogy minden esetben kötelező adatvédelmi hatásvizsgálatot végezni.
A kötelezettséget az adatkezelés jellegére, hatókörére, körülményeire és céljaira tekintettel kell megítélni.
A GDPR 36. cikke alapján előzetes hatósági konzultáció is szükséges lehet, ha a hatásvizsgálat szerint az adatkezelés megfelelő kockázatcsökkentő intézkedések hiányában, illetve az előírt intézkedések ellenére fennmaradó magas kockázatot eredményez.
Alapvetőjogi hatásvizsgálat – FRIA
Az AI Act 27. cikke meghatározott nagy kockázatú MI-rendszerek alkalmazói számára külön alapvetőjogi hatásvizsgálatot ír elő.
Ez az értékelés túlmutathat a szűken vett adatvédelmi kockázatokon.
A vizsgálat kiterjedhet például az érintett személyek és csoportok alapvető jogaira, a hátrányos megkülönböztetés kockázatára, az emberi felügyeletre, valamint a lehetséges jogsérelmek kezelésére.
A két hatásvizsgálat ugyanakkor összekapcsolható.
Az AI Act 27. cikk (4) bekezdése – a 2026/1744/EU rendelettel módosított szöveg szerint – lehetővé teszi, hogy az alkalmazó az alapvetőjogi hatásvizsgálat során hivatkozzon a már elkészített adatvédelmi hatásvizsgálat megfelelő részeire, illetve felhasználja azokat.
Az AI Act nagy kockázatú rendszerekre vonatkozó érintett követelményei azonban a 2026-os módosítás következtében későbbi időpontoktól alkalmazandók.
A III. melléklet alapján nagy kockázatúnak minősülő rendszerekre vonatkozó érintett rendelkezések fő alkalmazási kezdőnapja 2027. december 2.
Fontos ezért, hogy a vállalkozások külön kezeljék a GDPR alapján már jelenleg fennálló hatásvizsgálati kötelezettségeket és az AI Act alapján később alkalmazandó követelményeket.
- valószínűsíthetően magas kockázat esetén
- pl. szisztematikus automatizált értékelés, nagy számú különlegesadat-kezelés
- szükség esetén előzetes konzultáció (36. cikk)
- meghatározott nagy kockázatú rendszerek alkalmazóinál
- alapvető jogok, megkülönböztetés, emberi felügyelet
- a DPIA megfelelő részei felhasználhatók (27. cikk (4))
Munkahelyi MI-használat – feltölthető-e egy ügyfél dokumentuma a ChatGPT-be?
A vállalkozások adatvédelmi kockázatai között kiemelt jelentősége lehet a munkavállalók által használt generatív MI-rendszereknek.
Képzeljünk el egy munkatársat, aki egy hosszabb szerződéstervezetet szeretne összefoglalni, ezért annak teljes szövegét bemásolja egy nyilvánosan elérhető MI-szolgáltatásba.
A dokumentum azonban az ügyfél személyes adatait, szerződéses feltételeit és bizalmas üzleti információit is tartalmazza.
Foglald össze ezt a szerződést:
„… Minta Anna (minta.anna@pelda.hu) mint megrendelő és a Példa Kft. között létrejött szerződés … a díj havi 1 200 000 Ft …”
- személyes adat
- bizalmas üzleti információ
Ilyen esetben több jogi kérdést kell megvizsgálni.
- Az adatkezelés rendelkezik-e megfelelő jogalappal?
- A vállalkozás jogosult-e az adatokat a külső szolgáltató rendelkezésére bocsátani?
- Az MI-szolgáltató milyen adatvédelmi szerepet tölt be?
- Felhasználhatja-e az adatokat saját céljaira?
- Milyen adatbiztonsági garanciák érvényesülnek?
Nem minden adatfeltöltés tilos
Önmagában az a körülmény, hogy a vállalkozás személyes adatot tartalmazó dokumentumot mesterségesintelligencia-rendszerrel dolgoztat fel, nem jelenti automatikusan a GDPR megsértését.
Az adatkezelés jogszerű lehet, ha a vonatkozó jogalap, az adatkezelési cél, a szükségesség, a megfelelő adatvédelmi szerepkörök és az adatbiztonsági követelmények biztosítottak.
Az is lényeges, hogy az adott szolgáltatás milyen szerződéses és technikai feltételeket nyújt.
Egy megfelelően kialakított vállalati MI-szolgáltatás, amely az adatokat kizárólag a vállalkozás utasításainak megfelelően kezeli, és megfelelő szerződéses, valamint műszaki garanciákat biztosít, eltérő kockázatokat hordozhat egy olyan szolgáltatástól, amely a bevitt információkat saját céljaira is felhasználja.
Ugyanakkor a vállalati előfizetés vagy a szolgáltatás „enterprise” megnevezése önmagában nem garantálja a GDPR-nak való megfelelést.
Mikor történik adatvédelmi incidens?
A GDPR 4. cikkének 12. pontja szerint személyes adatok megsértésének minősülhet olyan biztonsági sérülés, amely a kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséhez, elvesztéséhez, megváltoztatásához, jogosulatlan közléséhez vagy az azokhoz való jogosulatlan hozzáféréshez vezet.
A személyes adatok nem megfelelő MI-szolgáltatásba történő feltöltése adott esetben adatvédelmi incidensnek minősülhet.
Az adatfeldolgozói szerződés hiánya vagy egy adatvédelmi előírás megsértése azonban önmagában nem jelenti automatikusan, hogy a GDPR szerinti adatvédelmi incidens is bekövetkezett.
Ha adatvédelmi incidens történik, az adatkezelőnek értékelnie kell annak kockázatait.
A GDPR 33. cikke alapján az incidensről főszabály szerint indokolatlan késedelem nélkül, lehetőség szerint a tudomásszerzéstől számított 72 órán belül értesíteni kell a felügyeleti hatóságot, kivéve, ha az incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve.
A 34. cikk szerint magas kockázat esetén az érintettek tájékoztatása is szükséges lehet.
- Kockázatértékelés az incidens felismerése után
- Bejelentés a hatóságnak indokolatlan késedelem nélkül, lehetőleg 72 órán belül, kivéve, ha valószínűsíthetően nem jár kockázattal
- Az érintettek tájékoztatása magas kockázat esetén
Miért fontos a belső MI-használati szabályzat?
Álláspontom szerint a vállalkozások számára indokolt lehet olyan belső eljárásrend kialakítása, amely egyértelműen meghatározza a munkavállalók által alkalmazható MI-eszközöket és azok megengedett felhasználását.
Különösen fontos lehet meghatározni a személyes adatok, üzleti titkok, ügyféldokumentumok és belső információk feltöltésének feltételeit, a jóváhagyási folyamatokat és az eredmények ellenőrzésének rendjét.
Az AI Act 4. cikkének MI-jártasságra vonatkozó rendelkezései szintén jelentőséget adnak a munkavállalók megfelelő felkészítésének.
A rendelet azonban nem teszi minden vállalkozás számára egységes formában kötelezővé egy meghatározott elnevezésű MI-szabályzat elfogadását.
A belső szabályzat a GDPR szerinti szervezési és biztonsági intézkedések, illetve az AI Act szerinti MI-jártasság fejlesztésének egyik megfelelő eszköze lehet.
Nemzetközi adattovábbítás – mi történik az amerikai MI-szolgáltatók esetében?
A mesterséges intelligencia piacán számos jelentős szolgáltató az Európai Unión kívül, különösen az Egyesült Államokban működik.
Ezért az MI-rendszerek vállalati alkalmazásakor különös jelentősége lehet a személyes adatok nemzetközi továbbításának.
A GDPR V. fejezete, különösen a 44–49. cikk, meghatározza a harmadik országokba történő adattovábbítás követelményeit.
A szabályozás célja annak biztosítása, hogy a személyes adatok Unión kívüli továbbítása ne járjon az uniós adatvédelmi követelmények sérelmével.
Az EU–USA adatvédelmi keret
Az Európai Bizottság (EU) 2023/1795 végrehajtási határozata az EU–USA adatvédelmi keret (EU–US Data Privacy Framework) alapján meghatározott feltételekkel megfelelő védelmi szintet ismer el az amerikai szervezetek egy meghatározott köre tekintetében.
A mechanizmus alapján az adatok megfelelő védelmi szintet biztosító harmadik országra vonatkozó további adattovábbítási garancia alkalmazása nélkül továbbíthatók olyan amerikai szervezet részére, amely rendelkezik a keret szerinti érvényes és az adott adattovábbítást lefedő tanúsítással.
A vállalkozásnak azonban ellenőriznie kell, hogy a tényleges adatfogadó szervezet szerepel-e a hivatalos nyilvántartásban, és a tanúsítás az adott adattovábbításra is kiterjed-e.
A megfelelő védelmi szintet elismerő határozat nem mentesíti az adatkezelőt a GDPR egyéb követelményeinek teljesítése alól.
Az Európai Adatvédelmi Testület 2026. január 23-án frissített, vállalkozásoknak szóló tájékoztatást is közzétett az EU–USA adatvédelmi keret alkalmazásáról.
Az EU–USA keret bírósági felülvizsgálata
A szabályozás aktualitását növeli, hogy az adatvédelmi kerettel kapcsolatos jogvita az európai bíróságokat is foglalkoztatja.
Az Európai Unió Törvényszéke 2025. szeptember 3-án, a T-553/23. számú ügyben elutasította az Európai Bizottság megfelelőségi határozatának megsemmisítésére irányuló keresetet.
Az ítélettel szemben C-703/25 P. számon fellebbezést nyújtottak be.
A megfelelőségi határozat 2026 októberében továbbra is hatályban van, ugyanakkor a folyamatban lévő bírósági eljárás miatt annak további sorsát érdemes figyelemmel kísérni.
Általános szerződési kikötések – SCC
Ha az adattovábbítás nem alapítható megfelelő védelmi szintet elismerő határozatra, a GDPR 46. cikke szerinti megfelelő garanciák alkalmazása is szóba jöhet.
Ilyenek lehetnek az Európai Bizottság által elfogadott általános adatvédelmi kikötések, vagyis az SCC-k.
Az SCC-k alkalmazása azonban önmagában nem minden esetben elegendő.
A C-311/18. számú, úgynevezett Schrems II ítélet alapján az adattovábbítás körülményeit is értékelni kell, és szükség esetén további szerződéses, műszaki vagy szervezési intézkedések alkalmazása válhat szükségessé.
Fontos ugyanakkor, hogy egy szolgáltató amerikai székhelye önmagában nem dönti el, hogy a konkrét adatkezelési művelet során a GDPR V. fejezete szerinti harmadik országbeli adattovábbítás történik-e.
Ehhez az adatok tényleges címzettjeit, az adatokhoz való hozzáférés lehetőségét, az alvállalkozói kapcsolatokat és a szolgáltatás működését is vizsgálni kell.
A tényleges adatfogadó szerepel a nyilvántartásban, és a DPF-tanúsítás az adott továbbítást is lefedi?
- A Bizottság elfogadja a 2023/1795 határozatot
- Törvényszék, T-553/23: a megsemmisítési keresetet elutasítja
- Fellebbezés: C-703/25 P
Az érintetti jogok érvényesítése a mesterséges intelligencia korában
A GDPR alapján az érintetteket megillető jogok az MI-rendszerek alkalmazása során is érvényesülnek.
A legfontosabb jogok közé tartozik a megfelelő tájékoztatáshoz, a hozzáféréshez, a helyesbítéshez és a törléshez való jog.
Hozzáférés és tájékoztatás
A GDPR 13–15. cikke alapján az érintett meghatározott feltételekkel jogosult tájékoztatást kapni a személyes adatai kezeléséről, valamint hozzáférést kérhet a rá vonatkozó személyes adatokhoz.
A 15. cikk (1) bekezdés h) pontja a rendeletben meghatározott automatizált döntéshozatal esetében érdemi tájékoztatást követel meg az alkalmazott logikáról, továbbá az adatkezelés jelentőségéről és várható következményeiről.
A már ismertetett Dun & Bradstreet Austria-ítélet különösen fontos e rendelkezés értelmezéséhez.
Helyesbítés
A GDPR 16. cikke alapján az érintett jogosult a rá vonatkozó pontatlan személyes adatok indokolatlan késedelem nélküli helyesbítését kérni.
A mesterséges intelligencia esetében ez különösen akkor válhat jelentőssé, ha a rendszer valótlan tényállításokat állít elő valamely azonosítható személyről.
Az ilyen esetekben ugyanakkor vizsgálni kell, hogy az előállított tartalom személyes adatnak minősül-e, ki az adatkezelő, és az adott adatkezelés körülményei alapján milyen helyesbítési kötelezettség áll fenn.
Törlés és a gépi felejtés kérdése
A GDPR 17. cikke a rendeletben meghatározott feltételek mellett biztosítja a személyes adatok törléséhez való jogot.
Az MI-rendszerek esetében azonban a törlés technikai végrehajtása sajátos nehézségeket vethet fel.
Míg egy felhasználói dokumentum vagy naplózott adat meghatározott körülmények között eltávolítható az adatkezelési rendszerből, lényegesen összetettebb lehet annak megállapítása, hogy egy személyes adat milyen formában jelenik meg egy már betanított modellben.
Ezzel összefüggésben a technológiai kutatásokban egyre nagyobb figyelmet kap a gépi felejtés (machine unlearning) lehetősége.
Ennek célja olyan módszerek kialakítása, amelyek lehetővé teszik meghatározott információk vagy azok hatásainak eltávolítását egy korábban betanított modellből.
Az adatkezelőnek ugyanakkor a törlés iránti igényt a GDPR konkrét feltételei alapján kell megítélnie.
A törléshez való jog nem korlátlan, és az sem állapítható meg általános érvénnyel, hogy minden érintetti törlési kérelem szükségszerűen egy teljes MI-modell újratanítását követeli meg.
A kérdés megítélésében jelentősége van annak is, hogy a modell valóban tartalmaz-e személyes adatot, és az érintett adatai milyen formában azonosíthatók vagy nyerhetők ki belőle.
Mit tegyen egy vállalkozás az MI-használat adatvédelmi megfelelése érdekében?
A mesterséges intelligencia alkalmazásával kapcsolatos adatvédelmi kockázatok megfelelő kezelése tudatos előkészítést igényelhet.
A vállalkozások számára különösen az alábbi intézkedések lehetnek fontosak.
Az alkalmazott MI-rendszerek azonosítása
Célszerű felmérni, hogy a vállalkozás mely szervezeti egységeiben, milyen MI-eszközöket és milyen adatállományokat használnak.
Az adatkezelési célok és jogalapok meghatározása
Meg kell vizsgálni, hogy az adott MI-rendszer alkalmazása során történik-e személyesadat-kezelés, és ha igen, milyen jogalapon, milyen célból és milyen adatkörre kiterjedően.
A szolgáltatói szerződések és adatvédelmi szerepkörök ellenőrzése
Indokolt tisztázni, hogy a technológiai szolgáltató adatkezelőnek vagy adatfeldolgozónak minősül-e, szükséges-e adatfeldolgozói megállapodás, valamint felhasználhatja-e az adatokat saját céljaira.
A személyes adatok feltöltésének szabályozása
A belső eljárásrendben célszerű meghatározni a megengedett adatfeltöltéseket, az anonimizálási vagy álnevesítési lehetőségeket, az ügyféladatok kezelésének feltételeit és a bizalmas információk védelmét.
Az automatizált döntések felülvizsgálata
Amennyiben a vállalkozás algoritmikus értékelést alkalmaz természetes személyekkel kapcsolatban, vizsgálni kell a GDPR 22. cikkének alkalmazhatóságát, a szükséges garanciákat és a megfelelő emberi felülvizsgálat biztosítását.
Hatásvizsgálatok és adatbiztonsági intézkedések
Fel kell mérni, hogy szükséges-e adatvédelmi hatásvizsgálat, milyen műszaki és szervezési intézkedések indokoltak, valamint hogyan kezelhetők az esetleges adatvédelmi incidensek.
A GDPR 24., 25. és 32. cikke az elszámoltathatóság, a beépített és alapértelmezett adatvédelem, valamint az adatbiztonság tekintetében is irányadó.
Érintetti jogok biztosítása
A vállalkozásnak gondoskodnia kell arról, hogy az érintettek megfelelő tájékoztatást kapjanak, és a GDPR szerinti jogaikat az MI-rendszerek alkalmazása esetén is gyakorolhassák.
Ezek az intézkedések a konkrét adatkezeléshez igazítandók. Nem minden vállalkozásnak kell azonos terjedelmű adatvédelmi dokumentációt vagy ugyanazon műszaki megoldásokat alkalmaznia.
Összegzés – a technológiai fejlődés nem csökkenti az adatvédelem jelentőségét
A mesterséges intelligencia rohamos fejlődése számos új lehetőséget kínál a vállalkozások számára, ugyanakkor a személyes adatok kezelésével összefüggő jogi kockázatokat is összetettebbé teszi.
Az adatvédelmi kihívások jelentős része a már ismert jogintézményekhez kapcsolódik. Az adatkezelés jogalapja, a célhoz kötöttség, az adatkezelői és adatfeldolgozói szerepek, az érintetti jogok és az adatbiztonság követelményei továbbra is meghatározók.
Az MI-rendszerek sajátosságai azonban új problémákat teremtenek, különösen a modelltanítás, az automatizált döntéshozatal, az algoritmikus értékelések átláthatósága és a személyes adatok későbbi eltávolíthatósága területén.
A magyar NAIH gyakorlata, az Európai Unió Bíróságának újabb ítéletei és az Európai Adatvédelmi Testület 2024–2026 között megjelent állásfoglalásai egyaránt azt mutatják, hogy ezek a kérdések már a jelenlegi jogalkalmazásban is meghatározó jelentőséggel bírnak.
Álláspontom szerint a következő években a mesterséges intelligencia adatvédelmi megfelelése a vállalkozások jogi kockázatkezelésének egyik fontos területévé válhat.
A megfelelő jogi felkészülés ugyanakkor nem feltétlenül a technológia alkalmazásának korlátozását jelenti. Sok esetben éppen a jól meghatározott adatkezelési célok, a megfelelő szerződéses feltételek és a tudatos belső szabályozás teremthetik meg a mesterséges intelligencia jogszerű és biztonságos használatának feltételeit.
Meggyőződésem, hogy a mesterséges intelligencia és az adatvédelem kapcsolatának megértése a jövőben egyre fontosabb lesz mind a vállalkozások, mind a jogalkalmazók számára.
Ügyvédként ezért ezt a területet is kiemelt figyelemmel kívánom követni, különösen a kialakuló magyar és európai hatósági, valamint bírósági gyakorlat szempontjából.
AI-jogi cikksorozatom következő, ötödik részében a mesterséges intelligencia biztosítási, pénzügyi és más gazdasági alkalmazásainak jogi kérdéseivel foglalkozom.
Felhasznált főbb jogforrások és joggyakorlati dokumentumok
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete – GDPR – különösen a 4–7., 9., 12–17., 21–22., 24–25., 28., 32–36. és 44–49. cikk.
- Az Európai Parlament és a Tanács (EU) 2024/1689 rendelete – AI Act – különösen a 4., 26. és 27. cikk.
- Az Európai Parlament és a Tanács (EU) 2026/1744 rendelete – az AI Act 2026-os módosítása.
- Az EDPB 28/2024. számú véleménye az MI-modellek adatvédelmi kérdéseiről.
- Az EDPB 2026. július 8-i közleménye az anonimizálásról és az MI-célú webes adatgyűjtésről.
- A NAIH NAIH-85-3/2022. számú határozata.
- Az Európai Unió Bíróságának C-634/21. számú ítélete – SCHUFA.
- Az Európai Unió Bíróságának C-203/22. számú ítélete – Dun & Bradstreet Austria.
- Az Európai Unió Bíróságának C-621/22. számú ítélete – jogos érdek.
- A Bizottság (EU) 2023/1795 végrehajtási határozata – EU–USA adatvédelmi keret.
- Az EDPB 2026. január 23-i tájékoztatója az EU–USA adatvédelmi keretről.
- Az Európai Unió Törvényszékének T-553/23. számú ítélete.
A cikk a 2026. október 15-én irányadó jogi szabályozás és az addig megjelent joggyakorlati dokumentumok figyelembevételével készült.
dr. Mezei-Rácz János Edvárd
ügyvéd
