A mondat, ami a legtöbb félreértést okozza
Amikor egy szolgáltató azt írja, hogy „EU data residency", az annyit jelent, hogy az adat fizikailag EU-s adatközpontban tárolódik vagy dolgozódik fel. Ez valódi, ellenőrizhető és hasznos állítás.
Amit nem jelent: hogy a feldolgozás minden eleme az EU-ban marad, hogy a támogatás nem lát bele máshonnan, hogy a szerződő fél EU-s jog alá tartozik, vagy hogy egy harmadik ország hatósága nem kérhet hozzáférést. A földrajz és a joghatóság két külön kérdés, és a marketinganyagok rendszeresen egyként kezelik őket.
(Ez a cikk nem jogi tanácsadás — a döntés előtt a saját jogászoddal nézesd át.)
Három különböző dolog, amit összekevernek
Ha ezt a hármat szétválasztod, a beszerzési beszélgetés fele megoldódik:
- Data residency. Hol van fizikailag az adat és a számítás. Régióválasztás, végpont, adatközpont. Ellenőrizhető, és a legkönnyebben teljesíthető.
- Adatvédelmi megfelelés. GDPR-alap, adatfeldolgozói szerződés, altárhelyszolgáltatók listája, törlési határidő, tanítás i felhasználás. Ez a szerződésben dől el, nem a térképen.
- Szuverenitás. Kinek a joga alá tartozik a szerződő fél, ki a tulajdonos, ki fér hozzá üzemeltetésből, és melyik ország hatósága kérhet adatot. Ez a legnehezebb, és ezt nem oldja meg egy régióválasztó legördülő.
Milyen EU-s lehetőségek vannak ma?
2026 őszén ezek az utak léteznek, a legkönnyebbtől a legnehezebbig:
- EU-s végpont a nagy szolgáltatóknál. Több nagy amerikai gyártó kínál külön európai régiós projektet vagy végpontot, ahol a feldolgozás EU-s adatközpontban fut.
- Felhő-adatzóna. A nagy felhőszolgáltatók EU-s adatzónát vagy EU-s következtetési profilt kínálnak a modelljeikhez, a meglévő szerződésed alatt.
- Európai gyártó. Van EU-s fejlesztésű modellcsalád, saját európai végponttal — itt a szerződő fél is EU-s.
- Nyílt súlyú modell EU-s szolgáltatónál. A letölthető modelleket bármelyik európai üzemeltető futtathatja, akivel te kötsz szerződést.
- Saját üzemeltetés. Saját szerver vagy saját bérelt gép. Itt a kérdés eldől — cserébe a költség és az üzemeltetés a tiéd.
Hét kérdés, ami eldönti, mennyire szuverén
Ezt a hetet érdemes végigkérdezni a szolgáltatón. A válaszok együtt adják ki a képet:
- Ki a szerződő fél? Az EU-s leányvállalat vagy az anyacég? Melyik ország joga az irányadó?
- Ki a tulajdonos, és hol? A tulajdonosi lánc végén álló cég joghatósága számít, nem a leányvállalaté.
- Kik az alfeldolgozók? A listát kérd el írásban. Egy EU-s végpont mögött is lehet EU-n kívüli alszolgáltató.
- Ki lát bele üzemeltetésből? A támogatás, a hibakeresés, a felügyelet gyakran máshonnan érkezik, mint ahol az adat van.
- Kinél vannak a kulcsok? Titkosítás EU-s kulcskezeléssel vagy a szolgáltató kulcsával — nem ugyanaz.
- Mi az adattovábbítás jogalapja? Ha bármi kimegy, arra kell egy érvényes mechanizmus.
- Tanítanak-e rajta? Alapbeállítás szerint, vagy csak hozzájárulással? Ez fogyasztói és céges csomagoknál eltér .
Mit ír elő a jog, és mit nem?
Két külön szabályrendszer vonatkozik rád, és nem helyettesítik egymást.
A GDPR a személyes adatról szól, és régóta él. Ez az, ami adatfeldolgozói szerződést, jogalapot, adattovábbítási mechanizmust és törlési szabályt követel. Az AI nem kivétel alóla.
Az EU AI Act az AI-rendszerekről szól, és fokozatosan lép hatályba. Az általános célú modellekre vonatkozó kötelezettségek 2026. augusztus 2-a óta kikényszeríthetők. Ami ebből téged érint, az jellemzően nem a modell gyártójának a kötelezettsége, hanem a te felhasználói oldali dokumentációd és átláthatóságod. Fontos különbség: az AI Act nem ír elő adatlokációt. Ha EU-s tárolást akarsz, az üzleti vagy GDPR-döntés, nem AI Act-követelmény.
Mennyire szigorú legyél? Három szint
Nem minden adatnál kell ugyanaz. Három szint elég a legtöbb cégnél:
Nyilvános vagy semleges tartalom. Marketingszöveg, blogbejegyzés, belső jegyzet érzékeny adat nélkül. Itt a residency nem kérdés — bármit használhatsz, ami a munkához jó.
Belső üzleti adat. Ajánlat, árazás, terv, ügyfélnév. Itt kell adatfeldolgozói szerződés, kikapcsolt tanítás és lehetőleg EU-s végpont. Ez a legtöbb cégnél a fő kategória.
Különleges adat. Egészségügyi, biometrikus, büntetőjogi, vagy nagy tömegű személyes adat. Itt a hét kérdés mindegyikére kell válasz, és sokszor a saját üzemeltetés az egyetlen tiszta megoldás.
A gyakorlati sorrend
Négy lépés, ebben a sorrendben — a legtöbb cég a harmadikkal kezdi, és ez a hiba:
- Először sorold be az adatot a fenti három szintbe. Enélkül mindenre a legszigorúbb szabályt fogod alkalmazni, és megbénul a munka.
- Utána nézd meg, mi van már. Ha a cég használ egy nagy felhőszolgáltatót, ott lehet, hogy a modellek már a meglévő szerződésed alatt elérhetők EU-s régióban.
- Csak ezután válassz szolgáltatót, a hét kérdéssel.
- Végül írd le, hol mi fut. Egy egyoldalas táblázat arról, melyik feladat melyik szolgáltatónál és melyik régióban fut — ez az, amit egy auditon elő kell venni.
Amit érdemes elvinni
A data residency földrajz, a szuverenitás joghatóság — a kettő nem ugyanaz, és a „frankfurti szerver" önmagában csak az elsőt oldja meg. A hét kérdés adja ki a valódi képet, a GDPR és az AI Act pedig két külön rendszer, amiből csak az előbbi szól az adatlokációról. És előbb az adatot sorold be, csak utána válassz szolgáltatót.