A mesterséges intelligencia használatának adatvédelmi kérdései és aktuális jogszabályi környezete

A technológia nemcsak, hogy rohamosan, szinte napról-napra változik, fejlődik, hanem a mindennapjaink részévé is válik. Az online szolgáltatások, a keresőprogramok, a számítógépeink operációs rendszere, az irodai alkalmazások, illetve a mobilapplikációk – akár számunkra észrevétlen módon – használhatják vagy használják is már a mesterséges intelligenciát (a továbbiakban röviden:MI), annak különböző célú és funkciójú változatait.

Az MI a számárahozzáférhetővé tett adatokból „tanul”, ezáltal ezen adatok tekintetében

bekapcsolódik azok kezelésébe, feldolgozásába is, egyfajta „új szereplő”-ként jelenik meg annak folyamatában. Az, hogy az adatok honnan származnak, ki fér hozzá azokhoz, tárolásra kerülnek-e és ha igen, hol, mikor és kinek adja át, akár válaszában felhasználva azokat egy másik felhasználó által feltett kérdésre (promptra), ki rendelkezik az adatok felett, kinek a tulajdona, jogszerű-e azok felhasználása egyáltalán – mind olyan kérdések, amik napjainkban a világ minden részén foglalkoztatják az ezzel foglalkozó szakembereket, jogászokat, döntéshozókat egyaránt.

Az MI, mint új technológia az Európai Unió általános adatvédelmi-rendeletének (GDPR)2018-as hatályba lépése után jelent megszéles körben elérhető módon, az egyik legismertebb MI szolgáltatás,a ChatGPT például csak 2022. november 30. óta. Amikor tehát aGDPR szövegszerű tartalmaa mai ismert formájában2016-ban kiadásra került, messze  nem volt ismert, hogy az MI milyen szinten és mélységben jelenik meg ezen a területen.

A jogalkotónak fentiek miatt, egyrészt atechnológiai fejlődés„kényszerítő erejénél” fogva, másrészt az ezzel összefüggő jogi védelem általános biztosítása érdekében követnie kellett a változásokat. Az EU elsőként egyáltalános keretszabályozást alkotott meg, szintén rendeleti formában: ez lett az Európai Parlament és Tanács mesterséges intelligenciáról szóló 2024/1689 Rendelete (a továbbiakban:MI-rendelet), más néven:AI Act.

AzMI-rendelet 2024. augusztus 1-jén lépett hatálybaés az minden EU-s tagállamban közvetlenül hatályos és alkalmazandó, akárcsak az adatvédelem területén a GDPR. Ez a rendelet az EU-ban az első a mesterséges intelligencia alkalmazására, fejlesztésére, telepítésére és annak az Unióban való használatára vonatkozó átfogó jogi keretrendszer.

A rendelet a teljes körű alkalmazásáig ugyanakkorátmeneti időszakokathatároz meg, egészen2027. augusztusáigelnyúlóan. Az uniós szabályozások általános érvényűen egyrészt azt várják el azadatkezelőktől, hogy aszervezeti adatgazdálkodási gyakorlatuknakaszemélyes adatokesetében ki kell terjednie az adatkezelés, illetve az adatgyűjtés eredeti céljával kapcsolatos átláthatóságra. Másrészt az MI használata során az

adatvédelmi előírások, azadatvédelmi jog betartása szintén elvárás, de elvárás az üzleti titok, a céges információk, a know-how védelme is.

A MI-rendeletről és a jelenlegi hazai szabályozásról

Az EU MI-rendelete kötelezőenMI-jártasságotír elő (lásd 4. Cikk), ez gyakorlatilag minden adatkezelőt érint.

De mit jelent ez?

Azt jelenti, hogy azMI-rendszerek szolgáltatói és annak alkalmazói intézkedéseket kell, hogy hozzanak annak érdekében, hogy a tőlük telhető legnagyobb mértékben biztosítsák foglalkoztatottjaik és a nevükben az MI-rendszer működtetésével, használatával foglalkozó bármely személyek mesterséges intelligencia terén szerzett megfelelő szintűMI-jártasságát, mégpedig figyelembe véveszakmai ismereteiket, tapasztalatukat, végzettségüket és képzettségüket,továbbá azon személyeket vagy azon személyek csoportjait, valamint azokat a körülményeket is, amik tekintetében az MI-rendszereket használni fogják.

Jártasság nélkülaz MI eszközök/rendszerek alkalmazása adatvédelmi szempontból egyértelműenműködési kockázatot jelent:az adatkezelő által ismert és kezelt személyes adatok védelme az adatkezelő kötelezettsége, az érintett természetes személyek adatainak védelme azonban csakMI-jártasság birtokában biztosíthatómegnyugtató módon.

Ismernie kell az adatkezelőnekaz MI felhasználására vonatkozó legalapvetőbb elméleti, s még inkább akonkrét gyakorlati elvárásokat, amiket az említett rendeletek – GDPR és az MI-rendelet – minden aztfelhasználó (alkalmazó) személytől elvár, legyen szó természetes vagy jogi személyekről, szervezetekről.

A rendeletkockázatalapú szabályokathatároz meg az MI fejlesztői és alkalmazói számára is az MI felhasználására vonatkozóan.Bizonyos felhasználási esetek nem tartoznak a rendelet hatálya alá,ilyenek például az MI-rendszerekhez kapcsolódókutatási és fejlesztési tevékenységek,amíg azokat nem vezetik bekereskedelmi használatravagy működési alkalmazásra; az ingyenes és nyílt forráskódú szoftverek, kivéve, ha elfogadhatatlan vagy nagy kockázatú MI alkalmazásként, illetve jelentős hatású általános célú MI modellként vannak besorolva; az MI-rendszerek katonai vagy védelmi célú alkalmazásai; a kizárólag tudományos vizsgálatokra és felfedezésekre tervezett MI-rendszerek; azEU-rendelet hatályba lépése előtt piacra került MI-rendszerek, kivéve, ha jelentős módosításon esnek át;

továbbá azon MI-rendszerek, amiket kizárólag személyes, nem szakmai tevékenység során használnak.

Az Európai Bizottság közzétette az AI Act Service Desk FAQ-t (gyakran ismételt kérdések) is azóta, ami útmutatóként szolgálhat az MI-rendelet, azaz az AI Act megfelelő alkalmazásához ( https://ai-act-service-desk.ec.europa.eu/en/faq ).

A hazaijogszabályi környezet az idei évben alakult– és még alakul is folyamatosan – ki. Egyikmeghatározó elemeaz Európai Unió mesterséges intelligenciáról szóló rendeletének magyarországi végrehajtásáról szóló2025. évi LXXV. törvény, ami alapvetően azon MI-rendszerekkel összefüggő piacfelügyeleti eljárásokra vonatkozik, aminek esetében az MI-rendszer forgalomba hozatalára vagy üzembe helyezésére, vagy a forgalomba hozatal vagy üzembe helyezés helyétől függetlenül az MI-rendszer kimenetének használatára Magyarországon kerül sor, függetlenül attól, hogy az MI-rendszert forgalomba hozó vagy üzembe helyező szolgáltató letelepedési vagy tartózkodási helye Magyarországon van-e; vonatkozik továbbá aMagyarországon kezdeményezett EU rendeletszerinti bejelentési eljárásokra, valamint az EU rendelet szerinti szankciók alkalmazására vonatkozó azon

közigazgatási hatósági eljárásokra, amiket az EU rendeletnek meghatározott személyi kör általi megsértése esetén folytatnak le.

A törvény rendelkezik továbbá azMI bejelentő hatóság feladatainak ellátásárakijelölt (Nemzeti Akkreditáló Hatóság) jogköreivel, valamint rendelkezik a Magyar Mesterséges Intelligencia Tanács feladatairól, tagjairól, azMI szabályozói tesztkörnyezetkialakításról,aminek kialakítása és működtetése az MI piacfelügyeleti hatóság feladatát képezi. A törvény a kihirdetését követő 31. napon (2025. december 1-jén) lép hatályba. Az MI szabályozói teszt környezetrevonatkozó rendelkezéseipedig majd2026. augusztus 2-án lépnek hatályba.

Az Európai Unió mesterséges intelligenciáról szóló rendeletének magyarországi végrehajtásáról szóló2025. évi LXXV. törvény végrehajtásáról szóló 344/2025 (X.31.) Korm. rendelet pedig azMI bejelentő hatóság eljárására vonatkozókülönös szabályokról rendelkezik, többek között arról, hogy a nagy kockázatú mesterséges intelligencia rendszerek tekintetébenmegfelelőségértékelésétvégző szervezetkéntolyan akkreditált státusszal rendelkező szervezet jelölhető ki, amik megfelel az (EU)

2024/1689 európai parlamenti és tanácsi rendeletben, valamint a megfelelőségértékelő szervezetek tevékenységéről szóló 2009. évi CXXXIII. törvény (Msztv.) 3. § (2) bekezdésében foglalt követelményeknek (jogi személy, független a megfelelőségértékelési tevékenység tárgyát képező gazdasági szereplőtől és terméktől, felelősségbiztosítási szerződéssel rendelkezik és megfelel a törvény végrehajtási rendeletében foglalt további követelményeknek is), továbbá rendelkezik azMI piacfelügyeleti hatóságeljárására és az eljárás keretében megállapított közigazgatási bírságra vonatkozó különös szabályokról, akiszabható bírság mértékéről, az annak megállapítására vonatkozó szabályokról,megfizetésük határidejéről.

Megjelent ezeken kívül még több kormányhatározat is a témában, a mesterséges intelligenciával kapcsolatostársadalmi tudatosság növelését, illetve azMI hazai stratégiai megerősítésétés kiemelt fejlesztési területeit szolgáló intézkedésekről.

Mindezek együttesen jelzik, hogy az MI használatával kapcsolatos jogalkotási folyamat legalább olyan dinamikusan zajlik jelenleg, részint követve azt, mint maga azMI fejlődése.

Ajogalkotásfentiek alapján Uniós és hazai szinten egyaránt láthatóan reagál az MI által jelentett új kihívásokra, próbálja megfelelően szabályozni, azelőnyeit, a társadalmi, gazdasági hasznosságát és ajogi, adatvédelmi kockázataitis figyelembe véve a területet. A szigorú szabályozás nem arra irányul,hogy nélkülözni kelljen az MI adta lehetőségeket, hanem azt jelenti, hogyMI-jártasság és tudatosságnélkül egy adatkezelőnél bármilyen legális MI-eszköz alkalmazása ésszerűen fel sem merülhetne.

Az első lépés az MI esetében is a tudatosság,a képzés, oktatás, és a működési folyamatok tudatos alakítása,melynek során az adatvédelmi és adatbiztonsági garanciák, valamint előírások betartása továbbra is elvárt követelmény valamennyi adatkezelő szervezet irányában.

Adatvédelmi értelembenpedig a következő lépés, hogyelőzetesen belső adatvédelmi hatásvizsgálatotfolytat le az adatkezelő szervezet, mielőtt egyáltalán arról hozna érvényes döntést, hogy milyen feladatokra és melyik (mennyi) MI-rendszert vagy eszközt fog használni a szervezetén belül, s adott esetben azok milyen adatokhoz fognak hozzáférni, s annak milyen, az érintettekre vonatkozó kockázatai és hatásai lehetnek.

Források:

• a mesterséges intelligenciáról szóló EU-rendelet (AI Act),
• a NAIH 2025. GDPR. Gyakorlata – szakmai konferencia, „Az AI vállalati felhasználásának aktuális jogi kihívásai” folyamán elhangzott és publikált információk.

Amennyiben fentiekkel kapcsolatban további kérdése merülne fel, forduljon bizalommal a szerződésben kijelölt helyszíni kapcsolattartó kollégánkhoz vagy adatvédelmi tisztviselőjéhez!