A ChatGPT GDPR-megfelelésében nem az a valódi kérdés, hogy szabad-e AI-t használni a cégben, hanem hogy mit, melyik fiókban és milyen jogi feltételekkel viszel bele. Ez a hat lépés végigvezet azon, hogyan lesz a mai kapkodásból jogszerű, dokumentált és védhető AI-használat — akkor is, ha nincs saját jogi osztályod.

A vízválasztó két kérdés. Van-e személyes adat a beírt szövegben, azaz hatálya alá esik-e a GDPR? És fogyasztói (Free/Plus) vagy vállalati (Business/Enterprise/API) fiókot használsz? Ha fogyasztói fiókba viszel személyes adatot adatfeldolgozói szerződés nélkül, az szabálysértés. Ha vállalati fiókot használsz megkötött szerződéssel, jogalappal és anonimizálási rutinnal, az kezelhető kockázat.

Ez a cikk gyakorlati útmutató, nem jogi tanácsadás. Konkrét ügyben kérd adatvédelmi szakértő vagy ügyvéd véleményét.

ChatGPT GDPR: 1. Döntsd el, van-e személyes adat a szövegben

Személyes adat minden információ, ami alapján egy élő ember azonosítható: név, e-mail-cím, telefonszám, ügyfélazonosító, de akár egy elég részletes leírás is. A GDPR csak akkor lép be, ha ilyen adatot kezelsz — a marketingszöveg-vázlat vagy egy jogszabály-összefoglaló nem esik a hatálya alá.

A gyakorlatban ez a lépés bukik el a leggyakrabban. A meeting-transzkriptek szinte mindig tartalmaznak személyes adatot: nevet, véleményt, minősítést. A Sally.io GDPR-elemzése pontosan ezt emeli ki: a résztvevők többsége nem tud róla, és nem is járult hozzá, hogy a jegyzőkönyv egy amerikai szolgáltatóhoz kerüljön.

Amit soha ne tölts fel fogyasztói ChatGPT-be:

• ügyfél- és partneradat: név, e-mail, telefonszám, cím, szerződésszám
• munkavállalói adat, önéletrajz, HR- és fegyelmi anyag, bérinformáció
• egészségügyi adat és minden más különleges kategória (GDPR 9. cikk)
• meeting-transzkript vagy jegyzőkönyv névvel és véleménnyel
• azonosítható forráskód, árazás, üzleti titok, nem publikus stratégia
• ügyféllista, CRM-export, számlázási adat

2. Válts vállalati fiókra, és köss DPA-t

Az OpenAI hivatalos vállalati adatvédelmi oldala szerint a cég alapértelmezetten nem tanítja a modelljeit az üzleti ügyfelek adatán. Ez a vállalás a Business, Enterprise, Healthcare, Edu és az API input- és outputadatára vonatkozik — az ingyenes és a Plus verzió nincs ebben a felsorolásban. Ott a beszélgetési adat alapértelmezetten modellfejlesztésre mehet, és neked kell kikapcsolnod a beállításokban.

„By default, we do not use your business data for training our models.” — OpenAI, Enterprise privacy

A GDPR 28. cikke szerint üzleti használatban az OpenAI adatfeldolgozó, ezért adatfeldolgozói szerződés (DPA) kötése kötelező. Az OpenAI ezt kizárólag ChatGPT Business, ChatGPT Enterprise és API mellé köti meg, külön űrlapon. Free és Plus fiókra nincs DPA — és DPA nélkül a személyes adatot érintő használat egyszerűen nem megengedett.

A jó hír: a DPA megkötése ingyenes, csak adminisztráció. A ChatGPT Business havidíja pedig nagyságrendekkel kisebb, mint egy hatósági eljárás vagy egy elvesztett ügyfél bizalmi kára.

3. Kapcsold be az EU adat-rezidenciát — és tudd, mit nem old meg

Az OpenAI 2025 februárja óta kínál európai adat-rezidenciát. ChatGPT Enterprise és Edu esetén az ügyféltartalom — beszélgetés, prompt, kép, feltöltött fájl, egyéni bot — nyugalmi állapotban Európában tárolható. Az API-n bizonyos végpontokon európai feldolgozás kérhető nulla adatmegőrzéssel: a kérés és a válasz nem tárolódik nyugalomban. 2026. január 16-tól régión belüli GPU-inferencia is választható.

Amit viszont fontos tudni: a jogi kontroll továbbra is amerikai jogalanynál marad. A CLOUD Act és a FISA 702 miatti kockázatot a rezidencia mérsékli, de nem szünteti meg. Az EU–US Data Privacy Framework enyhít a helyzeten, viszont jogilag instabil — folyó keresetek mellett reális a „Schrems III” forgatókönyv. Az adat-rezidencia tehát szükséges, de nem elégséges feltétel.

Technikai oldalon az OpenAI nyugalmi állapotban AES-256, átvitelben TLS 1.2+ titkosítást használ, SOC 2 auditja teljesített, az egyedi finomhangolt modellek pedig nem oszthatók meg más ügyféllel.

4. Anonimizálj bevitel előtt — építs zöld/sárga/piros listát

A leghatékonyabb védelem nem szerződés, hanem reflex: ami nem megy be, az nem is szivároghat ki. Nevek helyett írj „Ügyfél A”-t, konkrét összegek helyett nagyságrendet, valós eset helyett kitalált, de szerkezetében azonos példát. A modell ugyanolyan jó választ ad egy anonimizált feladványra.

Ami így jogszerűen mehet: marketingszöveg-vázlat, jogszabály-összefoglaló, sablonok, ötletelés, kódrészlet érzékeny kulcs nélkül, publikus vagy nem személyes tartalom. Ha bizonytalan vagy abban, melyik feladathoz melyik eszközt érdemes hívni, ebben segít az AI döntési térkép: melyik AI-t használd 10 feladathoz.

A zöld/sárga/piros lista a legegyszerűbb működő eszköz: zöld, amit bárki feltölthet; sárga, amihez anonimizálás kell; piros, ami sosem hagyhatja el a céget. Egy oldal, a belső wikin, mindenki számára elérhetően.

Néhány konkrét átírás, ami a napi munkában működik. Ügyfél-e-mailből készülő válaszvázlat helyett add be a levél tartalmi vázát név, cégnév és szerződésszám nélkül. Álláspályázat értékelése helyett a pozíció követelményeit és az anonimizált tapasztalati blokkot töltsd fel. Számlázási hiba elemzésénél a folyamatot írd le, ne a konkrét partner adatait. A modell a szerkezetre válaszol, nem a névre — a minőség nem romlik, a kockázat viszont nullára megy.

5. Írj belső szabályzatot, tájékoztass, és készíts DPIA-t

A GDPR 13–14. cikke szerint, ha harmadik fél — ügyfél, munkatárs, partner — adatát viszed be egy AI-eszközbe, őt erről tájékoztatni kell. A gyakorlatban ez szinte mindig hiányzik. Az adatkezelési tájékoztatóban jelenjen meg, hogy AI-eszközt használtok feldolgozásra.

Ugyanígy fontos az 5. cikk szerinti célhoz kötöttség: amit egy ügyfél árajánlatkéréshez adott meg, azt modellfejlesztésre átadni összeegyeztethetetlen az eredeti céllal. A 6. cikk szerinti jogalapot is meg kell találni — a jogos érdek elképzelhető, de csak akkor, ha a kezelés valóban szükséges, az érintettet tájékoztatták, és az ő érdeke nem előzi meg a tiéd.

Az EU AI Act 2024 augusztusa óta hatályos, és fokozatosan, 2027-ig lép teljesen életbe. A GPT-szerű modellek általános célú AI-nak (GPAI) minősülnek. A felhasználó szervezetnek ez azt jelenti, hogy a belső GPAI-használatot dokumentálni kell — különösen magas kockázatú területen, például HR-ben és toborzásban —, és bevezetés előtt érdemes adatvédelmi hatásvizsgálatot (DPIA) készíteni. A német adatvédelmi hatóságok (DSK) útmutatója ugyanezt kéri: DPIA, belső szabályzat, üzemi tanács bevonása, célhoz kötöttség.

A szabályzat mellé kell egy rövid, gyakorlatias képzés is. Ha a csapatnak strukturált belépőre van szüksége, jó kiindulás a 30 napos AI-kezdő útmutató, agentes munkához pedig a Hogyan dolgozz Claude-dal és AI-agentekkel.

6. Döntsd el, mikor kell helyi AI

Van, amikor a felhő semmilyen szerződéssel nem elég: ügyvédi, egészségügyi vagy védelmi adatnál előfordul, hogy az információ egyáltalán nem hagyhatja el a céget. Ilyenkor a válasz a saját gépen futó modell: a szöveg ki sem lép a belső hálózatból, így nincs harmadik országba történő adattovábbítás, és nincs mit szerződéssel lefedni.

Cserébe le kell mondanod a legerősebb modellek képességeiről, és kell hozzá hardver meg üzemeltetés. A gyakorlatban a legtöbb cégnél vegyes megoldás működik: a hétköznapi, nem érzékeny feladatok mennek a felhőbe, a piros kategóriájú adat pedig helyben marad. Erről külön írás készül nálunk; addig is a legjobb Ollama alternatívákat bemutató cikkünk ad használható kiindulást.

Amit a hatóságok eddig csináltak

Az olasz adatvédelmi hatóság, a Garante 2023 márciusában ideiglenesen letiltotta a ChatGPT-t Olaszországban, majd 2024 decemberében 15 millió eurós bírságot szabott ki az OpenAI-ra. A Syrenis összefoglalója szerint a megállapított jogsértések között szerepelt az 5. cikk (1) a), a 12–13., a 24., a 25. és a 33. cikk (1) bekezdése — köztük az, hogy a ChatGPT-t megfelelő jogalap nélkül tanították személyes adaton.

2026. március 19-én egy római bíróság törölte a bírságot — de eljárásjogi, illetékességi okból, nem azért, mert az OpenAI megfelelt volna a GDPR-nek. Az érdemi kifogások továbbra is állnak.

Franciaországban a CNIL több vizsgálatot folytat, az Európai Adatvédelmi Testület (EDPB) pedig ChatGPT-munkacsoportot és koordinált európai felügyeletet működtet. Ez utóbbi Magyarországra, a NAIH-ra is kiterjed — a téma tehát nem távoli brüsszeli ügy.

Buktatók, amikbe a magyar KKV-k belefutnak

• Teljes tiltás. A gyakorlatban nem tartható: a dolgozók a saját telefonjukról akkor is használják. A tiltásból „shadow AI” lesz, amiről a vezetés semmit nem tud. Erről szól részletesen az AI a munkahelyen: 7 lépés, ha a céged tiltja című írásunk.
• „Van Plus előfizetésünk, tehát rendben vagyunk.” A Plus fogyasztói termék: nincs mögötte DPA, és nem szerepel az alapértelmezett tréningkizárásban.
• A DPA megkötése önmagában. Szerződés jogalap, tájékoztatás és anonimizálás nélkül papír marad.
• Csak a bevitelre figyelni. Az AI kimenetét is ellenőrizni kell, mielőtt döntés vagy ügyfélkommunikáció lesz belőle.

Mennyibe kerül mindez?

A költségoldal a legtöbb cégnél sokkal kisebb, mint amire számít. A DPA megkötése ingyenes: egy űrlap és néhány nap átfutás. Az EU adat-rezidencia bekapcsolása Enterprise és API mellett beállítás kérdése, nem külön termék. A belső szabályzat egy oldal, a képzés egy órányi munkaidő fejenként. Az egyetlen valós tétel a fiókváltás: a fogyasztói előfizetés helyett vállalati licenc, felhasználónként.

A másik oldalon egy hatósági eljárás jogi költsége, a vezetői idő és az ügyfélbizalom elvesztése áll — az olasz 15 millió eurós bírság ugyan egy modellfejlesztőt sújtott, de a hatósági figyelem iránya világos. A megfelelés árazása itt nem szabályozási teher, hanem kockázatkezelés: a legdrágább forgatókönyv az, ha a cég azt hiszi, nem használ AI-t, közben mindenki használja.

Mit nyersz vele

Ez a hat lépés nem lassítja le az AI-bevezetést — épp ellenkezőleg: kiveszi belőle a bizonytalanságot. A csapat tudni fogja, mit tölthet fel, a vezetés dokumentálva látja a használatot, egy hatósági kérdésre pedig lesz mit felmutatni. Ha most kezded az AI bevezetését a cégben, érdemes ezzel párhuzamosan végigmenni az AI a vállalkozásodban: hol kezdd? útmutatón is.

Ha pedig nemcsak szabályozni, hanem folyamattá is szeretnéd tenni az AI-használatot — adatkezelés, jogosultságok és automatizált munkafolyamatok együtt —, abban a WebAIPro AI-automatizálási szolgáltatása tud segíteni.

A szabályozás gyorsabban mozog, mint a legtöbb belső szabályzat. Iratkozz fel az AI Hírek hírlevelére, hogy időben értesülj a GDPR, az EU AI Act és a szolgáltatói feltételek változásairól — magyarul, tényellenőrzött összefoglalókban.