AI adatvédelem: hová kerülnek a cég adatai? Négy kérdés

Mi történik a cég adataival, ha AI dolgozik velük?

Az adat két helyen fordul meg: a beszállító rendszerében és a modell szolgáltatójánál. A beszállító rendszere a szerver, az adatbázis, a mentések és a naplók; ezek helyét a beszállító választja. A modell szolgáltatójához a rendszer elküldi a feladathoz szükséges szöveget, és visszakapja a választ; ott a szolgáltató feltételei döntenek.

A modell szolgáltatója olyan cég, amely a nyelvi modellt futtatja, például az Anthropic (Claude), a Google (Gemini) vagy az OpenAI (GPT). Az API két program közötti kapcsolat, ezen megy a kérés és a válasz. Az első beszélgetéseinken ez az egyik leggyakoribb kérdés, és jogos: egy számlán vagy ügyféllevélben szinte mindig van személyes adat.

Mi a különbség az ingyenes chat és az üzleti hozzáférés között?

A különbség az, hogy a szolgáltató taníthatja vagy sem a modelljét a beírt szövegen. Az egyéni chat csomagoknál ez jellemzően a felhasználó beállításán múlik, az üzleti és API hozzáférésnél a nagy szolgáltatók alapból nem tanítanak a cég adatain.

• Anthropic: az adatvédelmi központja szerint a Claude Free, Pro és Max csomagokban akkor tanítanak a beszélgetéseken, ha a felhasználó ezt a beállításaiban engedi (néhány kivétellel, például biztonsági vizsgálatnál). Az üzleti termékeknél, így az API esetében alapból nem.
• OpenAI: a súgója szerint az egyéni szolgáltatásokban, például a ChatGPT programban, a tartalmat felhasználhatják tanításra, ez a beállításokban kikapcsolható. A ChatGPT Business, az Enterprise és az API adatain alapból nem tanítanak.
• Google: a Gemini API feltételei szerint a fizetős szolgáltatásban a Google nem használja a kéréseket és a válaszokat a termékei fejlesztésére, az ingyenesben igen. Az Európai Gazdasági Térségben, Svájcban és az Egyesült Királyságban viszont az ingyenes Gemini API és a Google AI Studio használatára is a fizetős adatkezelési szabályok vonatkoznak.

A mi véleményünk ebből egyszerű: céges adat ne a munkatársak saját, ingyenes chat fiókjába kerüljön, hanem üzleti feltételekkel használt eszközbe.

A táblázat a szolgáltatók 2026 októberében elérhető oldalai alapján készült; a feltételek változhatnak.

Megtartja vagy törli az adatot a modell szolgáltatója?

Alapbeállítás mellett egy ideig megtartja. Hogy meddig, az a szolgáltatótól, a használt funkciótól és a szerződéstől függ. A tanítás tilalma és a törlés két külön kérdés: egy szolgáltató tanítás nélkül is tárolhat.

Az Anthropic az API kéréseket és válaszokat 30 napon belül automatikusan törli, az OpenAI a visszaélésfigyelő naplókat legfeljebb 30 napig őrzi. Mindkettő kínál nulla adatmegőrzést (angolul zero data retention), de csak jóváhagyás után, és csak a jogosult API funkciókra. Az Anthropic leírása szerint ilyenkor a szolgáltató nem tárolja a kérést és a választ, kivéve, ha törvény vagy visszaélés kivizsgálása miatt szükséges.

A kérdés tehát a beszállítónak: melyik modellt, milyen megőrzési feltételekkel használjátok, és ez hol van leírva?

Hol fut és hol tárolódik a rendszer?

Két helyet kell megkérdezni: hol van a beszállító szervere a mentésekkel és a naplókkal együtt, és hol dolgozza fel a kérést a modell. Az első a beszállító döntése, a második a modell szolgáltatójáé és a választott beállításé.

A naplókban is van adat, ezért kérdezd meg, mi kerül beléjük és meddig őrzik őket. Ha személyes adat az Európai Unión kívülre kerül, arra a GDPR adattovábbítási szabályai vonatkoznak (V. fejezet, a 44. cikktől). Van már választás: az OpenAI 2025 februárja óta a jogosult ügyfeleinek európai adatfeldolgozást is kínál egyes API projektekben. A jó válasz országot nevez meg, nem csak annyit, hogy „a felhőben”.

Kik az alvállalkozók, és miért számít?

Az alvállalkozó (a GDPR nyelvén további adatfeldolgozó) olyan cég, amely a beszállító megbízásából hozzáfér az adathoz: a tárhelyszolgáltató, a modell szolgáltatója, egy levelező vagy egy monitorozó szolgáltatás. A GDPR 28. cikk (2) bekezdése szerint a beszállító csak a cég mint adatkezelő előzetes írásos engedélyével vonhat be ilyet. Általános engedélynél előre szólnia kell a változásokról, hogy a cég tiltakozhasson.

Kérj listát: név, feladat, ország. A 28. cikk (4) bekezdése szerint az alvállalkozóra szerződésben ugyanazokat az adatvédelmi kötelezettségeket kell átruházni, és ha nem teljesíti őket, a beszállító teljes felelősséggel tartozik érte.

Kell adatfeldolgozási szerződés?

Igen, ha a beszállító a cég megbízásából személyes adatot dolgoz fel. A GDPR 28. cikk (3) bekezdése szerint az adatfeldolgozást szerződés (vagy más jogi aktus) szabályozza. Az adatfeldolgozási szerződés (angolul DPA) olyan megállapodás, amely rögzíti, mit tehet a beszállító az adattal, és mit nem.

A rendelet szerint benne van többek között, hogy a beszállító csak a cég dokumentált utasítására dolgozik az adattal, kiket von be, ellenőrzést (auditot) is lehetővé tesz, és a szerződés végén törli vagy visszaadja az adatot. A modell szolgáltatóknak is van ilyen: az Anthropic adatfeldolgozási kiegészítése a kereskedelmi feltételek része, az OpenAI pedig kérésre köt ilyet. Ezek a beszállító és a szolgáltató között szólnak; a cégnek a saját beszállítójával kell szerződnie.

Az AI adatvédelem négy kérdése: mit kérdezz a beszállítótól?

1. 01

   Hol fut és hol tárolódik a rendszer? Ország a szerverre, a mentésekre és a naplókra, és külön a modell feldolgozására.

2. 02

   Megőrzi vagy törli az adatot a modell szolgáltatója? Melyik modell, milyen feltételekkel, tanít rajta vagy sem, meddig tárolja, és van nulla adatmegőrzés vagy nincs.

3. 03

   Kik az alvállalkozók? Név, feladat, ország, és hogyan szóltok, ha változik a lista.

4. 04

   Van adatfeldolgozási szerződés? Benne van a törlés a szerződés végén, az ellenőrzés joga és az alvállalkozók listája.

A válaszokat írásban kérd. Ha egy beszállító ezekre nem tud egyenes választ adni, az is válasz.

Mit jelent ez egy 10 és 250 fős cégnek?

Nem kell hozzá jogi osztály. A négy kérdés és az írásos válaszok elég alapot adnak a döntéshez, a szerződést pedig érdemes jogásszal átnézetni.

Két dolgot tennénk meg először. Rögzítsétek, melyik AI eszközbe és melyik fiókkal kerülhet céges adat; a munkatársak saját, ingyenes chat fiókja ne legyen ilyen hely. És minden automatizálásnál nézzétek meg, milyen adat megy át a rendszeren, mielőtt élesbe kerül.

Mi így építjük az AI automatizálást: a rendszereket Magyarországon, Németországban vagy Finnországban üzemeltetjük, az Anthropic, a Google és az OpenAI modelljeit pedig olyan feltételekkel használjuk, amelyek mellett a szolgáltató nem őrzi meg az adatot. Ellenőrző szabályok futnak, minden lépés naplóba kerül, és ahol pénz vagy ügyfél érintett, ember hagyja jóvá a műveletet. A részleteket az adatvédelmi oldalunkon írtuk le.

Ez általános tájékoztatás, nem jogi tanács.