Előbb egy őszinte korlát
Egy A4 elég a használati szabályhoz. Nem elég a teljes megfeleléshez: az uniós AI-jártassági kötelezettség, az adatvédelmi dokumentáció és a kockázatértékelés nem fér rá egy lapra, és nem is oda való.
És még valami: a szabályzat megléte önmagában nem akadályozza meg a szabályszegést. Egy 1 250 fős, 2026 áprilisában felvett vizsgálat szerint a válaszadók 86%-ánál van AI-szabályzat, és 66%-uk mégis használt olyan eszközt, amiről azt hitte, tiltott.
Akkor minek? Mert az egylapos szabályzat nem attól hasznos, hogy megakadályoz valamit, hanem attól, hogy jogi helyzetet teremt — az üzleti titok védelmében, a munkajogban és a felelősség kérdésében. És mert a legnagyobb probléma nem a tudatos szabályszegés: egy 48 340 fős nemzetközi felmérés szerint a munkavállalók 38%-a használt AI-t úgy, hogy nem tudta, szabad-e, és 19% azt sem tudta, létezik-e szabályzat a cégénél.
A legerősebb érv, amiről ritkán esik szó
Az üzleti titkokról szóló (EU) 2016/943 irányelv 2. cikk (1) bekezdése szerint egy információ akkor üzleti titok, ha titkos, ha éppen a titkossága miatt van kereskedelmi értéke, és ha a jogosult megtette a titokban tartásához szükséges, az adott körülmények között ésszerű lépéseket. A három feltétel együttes: ha bármelyik hiányzik, nincs védelem.
Ez a harmadik feltétel a lényeg. Az üzleti titok védelme nem automatikus. Ha egy cégnél nincs írott szabály arról, hogy az árazást, az árrést vagy a szerződésszöveget nem szabad nyilvános eszközbe tenni, akkor egy későbbi jogvitában megkérdőjelezhető, hogy ezek egyáltalán üzleti titoknak minősültek-e. Az irányelvet minden tagállam átültette, tehát a szöveg, amire egy perben hivatkoznál, a saját országodé — a harmadik feltétel viszont mindegyikben ott van. Nyisd le, amelyik érint:
Magyarország — 2018. évi LIV. törvény: „az adott helyzetben általában elvárható magatartás"
A magyar átültetés a 2018. évi LIV. törvény, amely 2018. augusztus 17-én lépett hatályba. Az 1. § (1) bekezdése szerint üzleti titok a gazdasági tevékenységhez kapcsolódó, titkos, ennélfogva vagyoni értékkel bíró tény, tájékoztatás, egyéb adat és az azokból készült összeállítás, amelynek a titokban tartása érdekében a titok jogosultja az adott helyzetben általában elvárható magatartást tanúsítja.
A törvény külön nevesíti a védett ismeretet (know-how) is: az 1. § (2) bekezdése szerint ez az üzleti titoknak minősülő, azonosításra alkalmas módon rögzített műszaki, gazdasági vagy szervezési ismeret, megoldás, tapasztalat vagy ezek összeállítása. A „rögzített" itt nem díszítés: ha nincs leírva, mi tartozik ide, a know-how-ra hivatkozás egy perben üresen marad.
Amit ez az AI-használatban jelent: ha a cégnél senki nem írta le, hogy az árazás, az árrés vagy az ügyfélszerződés szövege nem kerülhet nyilvános eszközbe, akkor utólag nem a bemásolás tényét lesz nehéz bizonyítani, hanem az elvárható magatartást. Az egylapos szabályzat pontosan ezt a bizonyítékot állítja elő.
Spanyolország — Ley 1/2019, és egy legfelsőbb bírósági ítélet a mércéről
A spanyol átültetés a Ley 1/2019, de 20 de febrero, de Secretos Empresariales. Az 1. cikk (1) bekezdése ugyanazt a három együttes feltételt szabja, a harmadikat így: az információnak „medidas razonables por parte de su titular para mantenerlo en secreto" — a jogosult részéről ésszerű intézkedések tárgyának kell lennie.
Hogy mi számít ésszerűnek, arra van konkrét válasz. A spanyol Legfelsőbb Bíróság polgári tanácsa a 447/2024. számú, 2024. április 3-i ítéletében elutasította egy cég üzleti titok iránti igényét volt munkatársaival szemben: a jelszó, a személyes belépési kód és a hozzáférési szintek a bíróság szerint szokásos biztonsági intézkedések, amelyekből nem látszik, hogy a cég az adott információt a versenyértéke miatt tekintette volna titkosnak.
Ez a mérce szigorúbb, mint amire a legtöbb cég számít: nem az a kérdés, volt-e informatikai védelem, hanem hogy látszik-e a szándék. Egy írott AI-szabályzat, amely név szerint felsorolja a kizárt adatkategóriákat, pontosan ezt a szándékot dokumentálja — és a spanyol gyakorlat az ítéletet úgy olvassa, hogy az intézkedésnek egyszerre kell hatékonynak, dokumentáltnak, naprakésznek és a munkatársakkal közöltnek lennie.
Vagyis az egylapos szabályzat nem bürokrácia. Az üzleti titok jogi védelmének feltétele.
Mi kell bele, és mi kényszeríti ki
Minden sorhoz oda van írva, mi az alapja — mert egy szabályzat akkor hiteles, ha nem „jó gyakorlatot" mond, hanem kötelezettséget nevez meg.
| # | Elem | Mi kényszeríti ki |
|---|---|---|
| 1 | Engedélyezett eszközök listája, és hogyan lehet újat kérni | enélkül a többi pont végrehajthatatlan |
| 2 | Céges fiók kötelező, magánfiók tilos | az adatkezelés biztonsága: magánfiókban a cégnek nincs kontrollja |
| 3 | Tiltott adatkörök tételesen | az adatkezelés jogalapja, az adatfeldolgozói szerződés és a harmadik országba továbbítás szabályai |
| 4 | Üzleti titok: mi az, és hogy nem kerülhet nyilvános eszközbe | 2018. évi LIV. törvény — lásd fent |
| 5 | Emberi ellenőrzés minden kifelé menő kimenetre, névvel megjelölt felelőssel | szerződéses és polgári jogi felelősség; a gép kimenete a cég nyilatkozata |
| 6 | Jelölés: chatbot, deepfake, közérdekű AI-szöveg | AI-rendelet 50. cikk, 2026. augusztus 2-től |
| 7 | Szerzői jogi szabály: mit szabad betölteni, mi a kimenet státusza | szerzői jogi törvény; uniós irányelv |
| 8 | Felelősök megnevezése: ki dönt új eszközről, kihez kell szólni bajban | az ausztrál kormányzati minta ezt „felelős tisztviselő" néven kötelezővé teszi |
| 9 | Incidensbejelentés határidővel | adatvédelmi bejelentési kötelezettség: 72 óra |
| 10 | Képzés: ki kapott, mikor, miből | AI-rendelet 4. cikk, nemzeti felügyelet 2026. augusztus 2-től |
| 11 | Felülvizsgálati dátum | a legjobb egyetemi minták mind élő dokumentumként kezelik magukat |
| 12 | Munkajogi hivatkozás | Mt. 8. § (1): a munkavállaló nem tanúsíthat olyan magatartást, amellyel a munkáltató jogos gazdasági érdekeit veszélyeztetné |
A tizenkettedik pont nélkül a szabályzat megszegésének nincs munkajogi következménye. Ez egy sor, de enélkül a papír tanács, nem szabály.
A sablon
[CÉGNÉV] — AI-HASZNÁLATI SZABÁLYZAT
Hatályos: .......... Felülvizsgálat: ..........
Felelős: ............................
(új eszköz jóváhagyása · kérdés · incidensbejelentés)
1. ENGEDÉLYEZETT ESZKÖZÖK — céges fiókkal, céges belépéssel:
..........................................................
Új eszközt csak a felelős jóváhagyásával. Az ingyenes verzió is eszköz.
2. AMI SOHA NEM KERÜLHET AI-ESZKÖZBE — semmilyen fiókban:
ügyfél neve és azonosítói · szerződés teljes szövege · árazás és árrés ·
személyes adat (név, e-mail, lakcím, adószám, egészségügyi adat) ·
jelszó, API-kulcs, hozzáférési adat · forráskód a ........ rendszerekből ·
üzleti titoknak minősített anyag (lásd a mellékelt listát)
3. AMIT BE KELL ÁLLÍTANI: a tanításra való felhasználás kikapcsolva,
az előzmények megőrzése ........, munkafiók, nem magánfiók.
4. EMBERI ELLENŐRZÉS: minden kifelé menő szöveg, szám, hivatkozás és kód
előtt ellenőrzés. A cég felel érte, nem az eszköz.
5. JELÖLÉS: ha AI-val készült kép, videó vagy hang jelenik meg publikusan,
jelöljük. Chatbot ügyfélnek: közöljük, hogy géppel beszél.
6. HA BAJ VAN: aki érzékeny adatot illesztett be, ........ órán belül szól
a felelősnek. A bejelentésért nincs retorzió.
7. KÉPZÉS: minden új belépő ........, mindenki évente egyszer.
A megtörténtét itt vezetjük: ..........................
8. EZ A SZABÁLY A MUNKAVISZONY RÉSZE.
Miért nem negyven pont? Mert a nemzetközi felmérés szerint minden ötödik ember nem tudja, van-e szabályzat a cégénél. Egy tizenkét oldalas dokumentum ezen nem javít. Egy A4 igen — ha kiteszik a falra.
Két hely, ahol az „aki nem szabályoz, az is dönt" konkrét kárt okozott
Egy légitársaság weboldali chatbotja kitalált egy nem létező kedvezményszabályt. A cég azzal védekezett, hogy a chatbot „külön jogi személy, amely a saját tetteiért felel". A kanadai tribunál 2024 februárjában elutasította ezt: a cég felel a saját felületén megjelenő minden információért, akár statikus oldalról, akár chatbottól származik. A megítélt kártérítés mindössze 812 kanadai dollár volt — és pont ettől tanulságos. Nem a kár nagysága a lecke, hanem az elv: a gép kimenete a cég nyilatkozata. Ez az ötödik pont indoklása.
Egy nagy tanácsadó cég 2025 októberében nem létező hivatkozásokat és egy kitalált bírósági idézetet hagyott egy kormányzati megrendelésre készült jelentésben, és részlegesen visszafizette a díjat. Ha a világ egyik legnagyobb könyvvizsgáló cégénél sem volt szabály a hivatkozások emberi ellenőrzésére, egy húszfős cégnél biztosan nincs.
A sablon hetedik pontja: mit követel a jog a képzésről
Az AI-jártassági kötelezettséget 2026 júliusában enyhítették. A jelenlegi szöveg szerint a szolgáltatóknak és alkalmazóknak intézkedéseket kell tenniük az AI-jártasság fejlesztésének támogatására — és az Európai Bizottság saját tájékoztatója kimondja, hogy a 4. cikk nem jelent kötelezettséget a munkatársak AI-tudásának megmérésére, és nem ír elő kötelező tananyagot, tanúsítványt vagy vizsgát.
Ugyanakkor a kötelezettség létezik, és 2026. augusztus 2. óta a nemzeti piacfelügyeleti hatóságok felügyelik — Magyarországon ez a vállalkozásfejlesztésért felelős miniszter, nem az adatvédelmi hatóság.
Amit ez a gyakorlatban jelent: legyen jelenléti íved. Nem vizsgád. A négyüléses képzés tematikáját a csapat AI-képzési terveírja le.
Honnan meríthetsz, ha többet akarsz
Négy nyilvános, hivatkozható forrás — mind valódi szervezeti szabályzat, nem tartalommarketing:
- Egy brit önkormányzati szakmai szövetség letölthető sablonja, második kiadás, 2026 júniusában frissítve. A hatálya kifejezetten kiterjed a beszállítókra és alvállalkozókra is — ez a legtöbb kkv-szabályzatból hiányzik. (A sablon egy része tagsághoz kötött.)
- Az ausztrál kormányzati AI-szabályzat, jelenleg a második verzió, 2025 decemberétől hatályos. Kötelezővé teszi a felelős vezető kijelölését, a nyilvános átláthatósági nyilatkozatot és a használati eset nyilvántartását.
- Egyetemi szabályzatok — ezek azért jó minták, mert kényszerből, nyilvánosan és nem eladási célból készültek. Az egyik amerikai egyetem szabályzata magáról írja, hogy „folyamatban lévő munka, ahogy a technológia, a jog és a közösség használata fejlődik" — ez a mondat maga is átvehető elem.
- Az uniós AI-hivatal gyakorlatgyűjteménye az AI-jártasságról, 40-nél több szervezeti kezdeményezéssel. Fontos korlát, amit maga a gyűjtemény ír ki: az itt szereplő gyakorlatok másolása önmagában nem jelent megfelelőségi vélelmet.
Amit ne használj forrásként: a „ingyenes AI-szabályzat sablon" keresésre feljövő oldalak nagy része tartalommarketing, szerző és jogi felülvizsgálat nélkül, egy termék mellé.
Milyen sorrendben csináld
Előbb a felmérés, aztán a szabályzat. Ha előbb írod meg, az fog benne szerepelni, amit te gondolsz — nem az, amit ténylegesen használnak, és a lista első pontja (engedélyezett eszközök) kitölthetetlen marad. A felmérés egy nap, és nem kell hozzá szoftvert venni: a shadow AI feltérképezése leírja az öt forrást.
Utána jön a szabályzat, aztán a hozzáférések beállítása, végül a képzés.
Amit érdemes elvinni
Az egy A4 nem teljes megfelelés, és nem is akadályozza meg a szabályszegést — de jogi helyzetet teremt három ponton: az üzleti titok védelmében, a munkaviszony részeként, és a felelősség kérdésében. Ez a három nem függ attól, hogy valaki betartja-e.
A tizenkét pontból a leggyakrabban kihagyott kettő a munkajogi hivatkozás és a felülvizsgálati dátum. Az első nélkül nincs következmény, a második nélkül pedig fél év múlva olyan eszközöket tilt, amiket már senki nem használ.
És a sablon kettes pontja, a tiltott adatkörök listája, akkor lesz jó, ha a jogi háttér is megvan mögötte — erről a GDPR és az AI viszonyaszól, hét döntési kérdéssel.