Az a kiindulópont, amit érdemes ismerni
2024 végén az európai adatvédelmi testület véleményt adott ki az AI-modellekkel kapcsolatos adatkezelésről, az ír felügyeleti hatóság négy kérdésére válaszolva. Ez a dokumentum azóta is a viszonyítási pont.
A legfontosabb megállapítása: a személyes adaton tanított AI-modellek nem tekinthetők minden esetben névtelennek. A testület elutasította azt az általános vélelmet, hogy egy modell pusztán a modell mivoltától névtelenné válik.
A mérce kettős, és mindkét feltételnek teljesülnie kell: elhanyagolhatónak kell lennie annak a valószínűségnek, hogy (1) a személyes adat közvetlenül kinyerhető a modellből, és (2) hogy a lekérdezéseken keresztül megszerezhető. Az értékelésnél „minden észszerűen valószínű eszközt" figyelembe kell venni, esetről esetre — és a tervezési döntéseket, az elemzést, az ellenállás-vizsgálatot dokumentálni kell.
A gyakorlati fordítás: az „ez már csak egy modell, nincs benne az adat" érv nem elfogadható alapértelmezés.
Jogos érdek: a háromlépcsős teszt
Ha jogos érdekre hivatkozol, három lépést kell végigmenned:
1. Fennáll-e egyáltalán az érdek? A testület szerint akkor jogos, ha „jogszerű; világosan és pontosan megfogalmazott; valós és jelenlévő, nem pedig feltételezett".
2. Szükséges-e? Nincs kevésbé beavatkozó út ugyanahhoz a célhoz, és a cél más módon észszerűen nem teljesíthető.
3. Kiállja-e a mérlegelést? Itt dőlnek el a gyakorlati esetek, és a testület felsorolja a szempontokat: nyilvánosan hozzáférhető volt-e az adat, milyen a kapcsolat az érintettel, honnan gyűjtötték, mire használhatják még a modellt, és tud-e róla ténylegesen az érintett.
És egy mondat, amit érdemes megjegyezni: a puszta átláthatóság önmagában nem elég. Attól, hogy beírtad az adatkezelési tájékoztatóba, még nem lesz jogszerű.
Ha a modellt jogellenesen tanították
A vélemény három forgatókönyvet különböztet meg, és ebből az egyik közvetlen üzleti következménnyel jár rád nézve:
Ha egy modellt átveszel és beépítesz a terméked mögé, akkor neked kell megfelelő vizsgálatot végezned annak megállapítására, hogy a modellt nem jogellenes adatkezeléssel fejlesztették-e. Ez nem elméleti kötelezettség — ez a beszállítói átvilágítás része lesz.
A harmadik forgatókönyv viszont megnyugtató: ha a modellt utólag ténylegesen névtelenítették, a GDPR nem alkalmazandó a későbbi működésére. A fejlesztési jogellenesség nem „mérgezi meg" örökre a jogszerű használatot.
Mi történt 2025–2026-ban — három ügy és egy hiány
Az olasz 15 millió eurós bírságot hatályon kívül helyezték. Ez a legfontosabb friss fejlemény, és sok összefoglalóból hiányzik. Az olasz hatóság 2024 novemberében 15 millió eurós bírságot és hat hónapos nyilvános tájékoztató kampányt szabott ki egy nagy chatbot-szolgáltatóra — adatvédelmi incidens bejelentésének elmulasztása, a tanításhoz hiányzó jogalap, az átláthatóság megsértése és a korellenőrzés hiánya miatt. Egy római bíróság 2026. március 18-án közzétett ítélete viszont helyt adott a fellebbezésnek, és a hatóság levette a határozatot a honlapjáról. Az ítélet indokolása és jogereje nem nyilvános.
Ami helyette használható példa: egy 2026 nyarán kiszabott 158 ezer eurós bírság egy amerikai társalgó chatbot-szolgáltatóra. Ez azért tanulságosabb, mert a megsértett rendelkezések listája pontosan az, amin egy saját chatbotot indító cég is elbukhat: elszámoltathatóság, átlátható tájékoztatás, tájékoztatás az érintettől és máshonnan gyűjtött adatoknál, az adatkezelő felelőssége, alapértelmezett adatvédelem, uniós képviselő hiánya és az adatvédelmi hatásvizsgálat elmaradása.
Egy ír vizsgálat, ami 2026 februárjában indult egy közösségi platform generatív funkciója ellen: hozzájárulás nélküli, intim jellegű képek létrehozása és közzététele miatt, gyerekeket is érintve. A vizsgált rendelkezések: a GDPR alapelvei, a jogalap, a beépített adatvédelem és a hatásvizsgálat. Ugyanez a magatartás 2026. december 2-től az AI-rendelet szerint is tiltott gyakorlat lesz.
Nemzeti hatósági gyakorlat viszont a legtöbb tagállamban nincs. A jogérvényesítés eddig néhány hatóságnál koncentrálódik — az olasznál, az írnél, a franciánál —, sok nemzeti felügyelet pedig egyetlen határozatot sem tett közzé AI-chatbotról vagy generatív modellről. A hiánynak nem mindenhol ugyanaz az oka, és ez a különbség számít, ha arra alapoznál. Nyisd le, amelyik érint:
Magyarország — a NAIH-nak nincs egyetlen chatbot-határozata sem
Átnézve a NAIH nyilvános határozatlistáját — amelynek legutóbbi közzétett tétele 2026 májusából való —, egyetlen határozat sem szól AI-chatbotról vagy generatív modellről. A hatóság honlapján a „chatbot" szóra egyetlen találat van, és az egy hír egy olasz döntésről.
Ez önmagában is fontos információ: magyar hatósági gyakorlat ebben a kérdésben egyelőre nincs. Aki azt mondja, „a NAIH kimondta", téved — vagy uniós testületi állásfoglalást idéz magyar hatósági döntésként.
Amit ebből nem szabad levonni: a határozat hiánya nem engedély. A GDPR ugyanúgy alkalmazandó, a hatóság hatásköre megvan, és az első ügy egyszerűen még nem történt meg.
Spanyolország — az AEPD vizsgálta az egyik nagy szolgáltatót, aztán elengedte, mégsem tétlen
Az AEPD 2023. április 13-án hivatalból vizsgálatot indított a legnagyobb chatbot-szolgáltató ellen, és kezdeményezte, hogy az ügy kerüljön az európai adatvédelmi testület napirendjére. A vizsgálatot viszont megszüntette: 2024. február 15-e óta a szolgáltató ír leányvállalata az adatkezelő az Európai Gazdasági Térségben, így az egyablakos ügyintézés miatt az ír hatóság a vezető felügyelet. Spanyol bírság tehát nem született — de nem azért, mert a hatóság rendben találta a szolgáltatást.
Generatív AI-ról szóló spanyol bírság ma sincs. AI-hoz kapcsolódó viszont bőven van, csak mind biometrikus ügy: arcfelismeréses online vizsgáztatás egy egyetemen, és egy nagyjából 10 millió eurós bírság a repülőtér-üzemeltetőnek a biometrikus beszállítás hiányos hatásvizsgálata miatt.
Van egy harmadik ügy, ami a chatbotnál is közelebb áll a „mit szabad beírni" kérdéshez: az AEPD 2024 márciusában sürgősségi intézkedéssel állította le egy íriszszkenneléses azonosítási projekt spanyolországi adatgyűjtését, és ezt a spanyol központi bíróság 2026. június 30-án helybenhagyta.
Iránymutatásban pedig Spanyolország az egyik legaktívabb: chatbot-használati ajánlás, egy 2025 márciusi hatósági blogbejegyzés, amely kimondja, hogy a generatív modell megőrizhet tanítási információt, és az visszanyerhető vagy kiszivárogtatható lehet, valamint 2026 elején két külön anyag a hangátiratról és az agentikus AI-ról. Vagyis: határozat nincs, álláspont van — és az álláspont egybevág az európai testületével.
A hét kérdés, amit sorban végig kell menned
Ez a cikk gyakorlati magva. Mielőtt bármit beírsz egy AI-eszközbe, ez a sorrend:
1. Van-e benne személyes adat? Ha nincs, nincs GDPR-kérdés — marad az üzleti titok és a szerződéses titoktartás, ami önmagában is elég ok az óvatosságra. Fontos: az álnevesített adat személyes adat marad. A névtelenség mércéje az, hogy egyetlen rekord se legyen elkülöníthető, összekapcsolható, és ne lehessen belőle következtetni.
2. Milyen jogalapon kezeled eredetileg? Ha az ügyféladatot a szerződés teljesítésére gyűjtötted, akkor a chatbotba töltés új cél. Ehhez vagy összeegyeztethetőségi vizsgálat kell, vagy önálló jogalap.
3. Ki a címzett, és milyen minőségben? Ez a legélesebb határvonal:
| Amit használsz | A szolgáltató szerepe | Mehet-e bele ügyféladat |
|---|---|---|
| Fizetős üzleti előfizetés aláírt adatfeldolgozói szerződéssel | adatfeldolgozó | igen, dokumentált jogalappal |
| Ingyenes vagy fogyasztói fiók | tipikusan nincs ilyen szerződés, és saját céljaira is kezel | nem |
4. Harmadik országba kerül? Az Egyesült Államokba történő továbbításhoz megfelelőségi keret vagy szerződéses garanciák kellenek. A jelenlegi uniós keret érvényben van, de megtámadták: az uniós törvényszék 2025 szeptemberében elutasította a keresetet, a felperes fellebbezett, az ügy folyamatban.
5. Különleges adat van benne? Egészségügyi, biometrikus, világnézeti, szakszervezeti vagy a szexuális élettel kapcsolatos adat. Ehhez a szokásos jogalapon felül külön kivétel is kell. Ügyfélpanaszban, HR-anyagban és önéletrajzban ez gyakrabban fordul elő, mint gondolnád.
6. Gyerekadat van benne? Az olasz és az ír ügy is ezen bukott el. A korellenőrzés hiánya mindkét hatóságnál önálló jogsértési tétel volt.
7. Kell-e hatásvizsgálat? Ha nyilvánosan elérhető, generatív chatbotot indítasz, gyakorlatilag igen — a 2026-os olasz bírság egyik tétele pontosan ennek az elmaradása volt.
A „zero data retention" jogi értéke
Több szolgáltató kínál olyan beállítást, amelynél a beküldött adatot egyáltalán nem tárolják. Ez hasznos, de szerződéses ígéret, nem jogi státusz. Öt dolog, amit nem old meg:
- Nem teszi nem-személyes adattá, amit beküldesz. Az adattovábbítás és a felhasználás megtörtént — csak a tárolás marad el. Az adatkezelés fogalma a gyűjtést, a felhasználást, a lekérdezést és a továbbítást is magában foglalja.
- Nem pótolja a jogalapot. Attól, hogy nem tárolják, még kell jogalap ahhoz, hogy elküldd az ügyfeled adatát egy harmadik félnek.
- Nem pótolja az adatfeldolgozói szerződést, és nem oldja meg a harmadik országba történő továbbítás kérdését.
- Feltételhez kötött. Tipikusan bizonyos végpontokra és bizonyos felhasználási esetekre kérhető, nem jár automatikusan.
- Nem véd a felelősségtől, ha maga a beküldés volt jogellenes — például sérült a célhoz kötöttség vagy az adattakarékosság.
A szolgáltatói oldalon egyébként az alapértelmezések ma többnyire kedvezőek: az üzleti csomagoknál a nagy szolgáltatók szerződésben vállalják, hogy nem tanítanak az ügyfél üzleti adatain, és van aláírható adatfeldolgozói kiegészítésük. A megőrzési idők viszont csomagonként eltérnek, és ezeket érdemes tételesen elolvasni, nem feltételezni. Arról, hogy hol marad az adat a cégen belül, külön írás szól: privát AI a cégen belül.
Az ökölszabály
| Mehet | Csak üzleti fiókban, szerződéssel, dokumentált jogalappal | Nem megy, vagy csak külön kivétellel |
|---|---|---|
| nyilvános céges szöveg | ügyfélnév, e-mail-cím | egészségügyi adat |
| saját jogi dokumentumsablon | szerződésszöveg | gyerekadat |
| névtelenített vagy kitalált minta | ügyfélszolgálati jegy | biometrikus adat |
| technikai napló azonosítók nélkül | önéletrajz, pályázati anyag | olyan harmadik fél adata, akinek nem tudsz tájékoztatást adni |
Két félreértés, amit érdemes tisztázni
„Ha nem tárolják, akkor nem is adatkezelés." De az. A továbbítás és a felhasználás önmagában adatkezelés.
„Az EU-s szerver megoldja." Segít a továbbítási kérdésben, de nem pótolja sem a jogalapot, sem a szerződést, sem a hatásvizsgálatot. Az európai elérhetőségről és annak korlátairól az európai AI-opciók szólnak.
Amit érdemes elvinni
Két új uniós iránymutatás készül — az egyik a névtelenítésről, a másik a generatív AI céljából végzett webes adatgyűjtésről —, de 2026 őszén mindkettő tervezet, a nyilvános konzultáció 2026. október 30-ig tart. Hatályos szabályként még nem lehet rájuk hivatkozni; a következő negyedévben viszont érdemes lesz megnézni, hol tartanak.
Addig a hét kérdés a használható iránytű. A legfontosabb kettő: milyen fiókban dolgozol (üzleti, aláírt szerződéssel — vagy ingyenesben), és van-e benne olyan adat, amit nem te adtál meg magadról. A többi ebből következik.
És ha a csapat már használ AI-eszközöket, csak épp személyes fiókból, akkor ez a cikk később jön, mint kellene: a shadow AI feltérképezése ott kezdődik, hogy megtudod, mi van.