Adatkormányzás kkv-méretben: az MI-megfelelés adatalapja
Minden MI-rendszer annyit ér, amennyit az adatai – és a jog is itt kezdi a számonkérést. Az EU AI-rendelet 10. cikke a magas kockázatú rendszerek adatkészleteire ír elő minőségi követelményeket, az európai adatvédelmi testület pedig háromlépcsős tesztet vár el az MI-tanításhoz használt személyes adatoknál. Gyakorlati útmutató az adatleltárról, a jogalapokról és a kkv-méretű adatkormányzás felépítéséről – primer forrásokkal, a 2026 nyári állapot szerint.
A cikk lényegeMinden MI-rendszer annyit ér, amennyit az adatai – és a jog is itt kezdi a számonkérést. Az EU AI-rendelet 10. cikke a magas kockázatú rendszerek adatkészleteire ír elő minőségi követelményeket, az európai adatvédelmi testület pedig háromlépcsős tesztet vár el az MI-tanításhoz használt személyes adatoknál. Gyakorlati útmutató az adatleltárról, a jogalapokról és a kkv-méretű adatkormányzás felépítéséről – primer forrásokkal, a 2026 nyári állapot szerint.
Rövid válasz. Az MI-megfelelés adatlábon áll: az EU AI-rendelet 10. cikke a magas kockázatú rendszerek tanító-, validálási és tesztadataira ír elő minőségi követelményeket – relevancia, reprezentativitás, hibamentesség, teljesség és a torzítások vizsgálata –, méretalapú kedvezmény nélkül. Ezzel párhuzamosan a GDPR is él: az európai adatvédelmi testület 28/2024. számú véleménye szerint, aki jogos érdekre hivatkozva használ személyes adatot MI-fejlesztéshez, annak háromlépcsős tesztet kell dokumentálnia, és a nyilvánosan elérhető adat sem szabad préda – a testület friss iránymutatás-tervezete szerint a nyilvános hozzáférhetőség nem jogalap. A kkv-méretű adatkormányzás négy alappillére: adatleltár, jogalaptérkép, minőségi minimumok és a kilépési utak – vagyis annak rendezése, mi történik az adattal és a modellel, ha a jogalap megdől. A jogsértően tanított modell ára akár az újratanítás is lehet.
Mit vár el a 10. cikk az adatoktól?
A magas kockázatú rendszerek tanító-, validálási és tesztadatkészleteire a rendelet minőségi mércét állít: az adatoknak a rendeltetés szempontjából relevánsnak, kellően reprezentatívnak, a lehető legnagyobb mértékben hibamentesnek és teljesnek kell lenniük, megfelelő statisztikai tulajdonságokkal – ideértve azokat a személyeket vagy csoportokat, akiken a rendszert használni fogják. A szabály kifejezetten megköveteli a lehetséges torzítások vizsgálatát és kezelését, valamint a földrajzi, viselkedési és funkcionális kontextus figyelembevételét: egy máshol, más populáción tanított rendszer magyar környezetben való bevetése önmagában adatkormányzási kérdés. Méretalapú kivétel nincs – a kkv annyiban van könnyebb helyzetben, hogy a megvalósítás mélysége arányos lehet a szervezettel, a követelmény iránya azonban azonos. A határidő az önálló magas kockázatú rendszereknél a Digital Omnibus után 2027. december 2. – az adatrendezés azonban a leghosszabb átfutású megfelelési elem, ezért ezt érdemes legkorábban kezdeni.
Mit mond a GDPR-oldal: mikor tanítható modell személyes adaton?
Az európai adatvédelmi testület 2024. december 18-án elfogadott 28/2024. számú véleménye a kérdés uniós mércéje. Aki az MI-modell fejlesztéséhez vagy üzemeltetéséhez jogos érdekre hivatkozik, annak három lépcsőt kell dokumentálnia: a jogos érdek pontos azonosítását; a szükségességet – vagyis hogy a cél kevésbé beavatkozó módon nem érhető el –; és az érdekmérlegelést az érintettek jogaival szemben. A mérleg javítható enyhítő intézkedésekkel: a testület kifejezetten említi az adatgyűjtés kezdetétől biztosított kifogásolási lehetőséget, az álnevesítést és a 13–14. cikken túlmutató többletátláthatóságot. A tét nem elméleti: jogellenes adatkezelés a fejlesztési fázisban a felügyeleti hatóságoktól szigorú korrekciós intézkedéseket vonhat maga után – a bírságon túl az adatkészlet törlését, szélső esetben a modell újratanítását is. A vélemény a magyar gyakorlatban is irányadó: a hazai adatvédelmi hatóság önálló, MI-specifikus állásfoglalást e cikk írásakor nem tett közzé, honlapján az uniós testület anyagaira hivatkozik.
Mi változik az anonimizálás és a webes adatgyűjtés szabályaiban?
A testület 2026. július 7-i plenáris ülésén két iránymutatás-tervezetet fogadott el: a 02/2026. számút az anonimizálásról és a 03/2026. számút a generatív MI-hez végzett webes adatgyűjtésről – mindkettő nyilvános konzultáció alatt áll 2026. október 30-ig, tehát még változhat. A tervezetek iránya azonban már most tanulságos. A webes adatgyűjtésről szóló tervezet kimondja: az, hogy egy adat nyilvánosan elérhető, sem jogalapot, sem hozzájárulást nem pótol – a „kint van az interneten, tehát szabad” érvelés jogilag nem áll meg. Az anonimizálási tervezet pedig a valódi anonimitás mércéjét pontosítja, a friss uniós bírósági gyakorlatra is építve. Kkv-tanulság: aki kész modellt használ, annak a szolgáltatója adatgyakorlatát érdemes rákérdezéssel tisztáznia; aki saját adatgyűjtésre épít, annak a konzultáció zárásáig érdemes a kockázatos gyűjtéseket felfüggesztenie vagy jogi véleménnyel megtámogatnia.
Mit tudunk biztosan, és mit nem?
| Állítás | Állapot | Megbízhatóság |
|---|---|---|
| A 10. cikk minőségi követelményei és a torzításvizsgálat | a rendelet szövege | igazolt |
| A háromlépcsős jogos-érdek teszt MI-tanításnál | EDPB 28/2024 – elsődleges forrás + független jogi elemzések | igazolt |
| A nyilvános elérhetőség nem jogalap | EDPB 03/2026 – TERVEZET, konzultáció 2026.10.30-ig | közepes |
| Jogsértő tanításnál a modell újratanítása is elrendelhető | a vélemény alapján készült elemzések – másodkézből | közepes |
| Önálló magyar adatvédelmi hatósági MI-állásfoglalás | nem található – a hatóság az uniós anyagokra hivatkozik | közepes |
Hogyan épül fel a kkv-méretű adatkormányzás?
Adatleltár
Mely adatkészletek, milyen forrásból, milyen célra szolgálják az MI-t – tanításra, hangolásra vagy csak lekérdezésre. A leltár a 10. cikk és a GDPR közös kiindulópontja.
Jogalaptérkép
Minden személyesadat-felhasználáshoz rögzített jogalap – szerződés, jogos érdek a háromlépcsős teszttel, vagy hozzájárulás –, kelt dokumentumban.
Minőségi minimumok
Reprezentativitás-ellenőrzés a saját ügyfélkörre, hibaarány-mérés, torzításvizsgálat a védett csoportokra – arányos mélységben, de dokumentáltan.
Kilépési utak
Mi történik, ha a jogalap megdől vagy az érintett kifogásol: törlési rend, a modellre gyakorolt hatás felmérése, szállítói együttműködés a szerződésben.
Kulcs-megállapítások
- 01
A 10. cikk minőségi mércéje méretfüggetlen – a megvalósítás arányos lehet, az irány nem alku tárgya.
- 02
A GDPR és az MI-rendelet párhuzamosan él: a rendezett adatkezelés mindkét irányban bizonyíték.
- 03
Jogos érdeknél a háromlépcsős teszt írásos dokumentálása az első, amit egy vizsgálat kérne.
- 04
A nyilvános adat nem szabad préda – a webes adatgyűjtési tervezet ezt kifejezetten kimondja.
- 05
A jogsértően tanított modell ára a bírságon túl az újratanítás is lehet – az adatrendezés ezért előfeltétel, nem utómunka.
- 06
A négy pillér – leltár, jogalaptérkép, minőségi minimumok, kilépési utak – kkv-méretben is felépíthető.
Gyakori kérdések
Nem magas kockázatú rendszert használunk – ránk is vonatkozik mindez?
A 10. cikk teljes csomagja a magas kockázatú rendszerek követelménye. Két ok miatt mégsem érdemes legyinteni: egyrészt a GDPR minden személyesadat-kezelésre vonatkozik, kockázati besorolástól függetlenül – a háromlépcsős teszt és a jogalaptérkép tehát Önt is érinti, ha ügyfél- vagy munkavállalói adat kerül MI-rendszerbe. Másrészt az adatminőség üzleti kérdés is: a rossz adatokon működő MI rossz döntéseket támogat, besorolástól függetlenül. A négy pillérből ezért kettő – a leltár és a jogalaptérkép – minden MI-t használó vállalkozásnak ajánlott; a minőségi minimumok és a kilépési utak mélysége igazodhat a kockázathoz.
Használhatjuk-e az ügyfeleink adatait a saját MI-nk tanítására?
Használhatók, de nem automatikusan. Először a jogalap: a szerződés teljesítése ritkán fedi le a modelltanítást, ezért jellemzően jogos érdekre vagy hozzájárulásra van szükség – jogos érdeknél a háromlépcsős teszt írásos dokumentálásával. Másodszor az enyhítő intézkedések: a testület véleménye szerint az adatgyűjtés kezdetétől biztosított kifogásolási lehetőség, az álnevesítés és a többletátláthatóság érdemben javítja a mérleget – ezek tehát nem díszek, hanem a jogszerűség kellékei. Harmadszor a tájékoztatás: az adatkezelési tájékoztatóban a tanítási cél jelenjék meg érthetően. Ha mindez megvan és dokumentált, a tanítás védhető; ha bármelyik hiányzik, a kockázat a modellre magára is kiterjed.
Mit jelent a reprezentativitás egy magyar kkv gyakorlatában?
Azt, hogy az adatkészlet tükrözze azokat, akiken a rendszer működni fog. Ha a rendszer magyar ügyfeleken, magyar nyelven, egy adott régió vásárlóin dolgozik majd, akkor a tanító- és tesztadatoknak ezt a kört kell lefedniük – a máshol összeállított, más nyelvű vagy más demográfiájú adatkészlet önmagában kockázat. A gyakorlati ellenőrzés kkv-méretben is elvégezhető: vesse össze az adatkészlet fő jellemzőit – életkori, területi, nyelvi megoszlás, jellemző esettípusok – a valós ügyfélkörével, és a jelentős eltéréseket dokumentálja a kezelési tervvel együtt. Kész rendszer vásárlásánál ugyanez a kérdés a szállítónak szól: milyen adatokon tanult a rendszer, és tesztelték-e magyar környezetben – a szállítói nyilatkozatokról szóló elemzésünk ezt a kérdéslistát adja.
Kész modellt használunk – felel-e a mi cégünk annak tanítóadataiért?
A modell tanítóadataiért a modell szolgáltatója felel – az általános célú modellek szolgáltatóit kifejezetten terheli a tanítóadat-összefoglaló közzététele és a szerzői jogi politika. Az Ön felelőssége két ponton lép be: a saját hozzáadott adatnál – a finomhangolásra, keresés-kiegészítésre, példatárba bevitt ügyfél-adatok jogalapja és minősége az Öné –, valamint a kimenet felhasználásánál, ha az személyes adatot érint. Gyakorlati minimum: a szolgáltató adatgyakorlatának ellenőrzése a nyilvános dokumentációból, a saját bevitt adatok leltárba vétele, és annak tisztázása a szerződésben, hogy a szolgáltató felhasználja-e az Ön adatait a saját modelljei tanítására – és ha igen, hogyan kapcsolható ki.
Mi a teendő 2026. október 30-ig a webes adatgyűjtési tervezettel?
Három helyzet, három teendő. Ha az Ön vállalkozása nem gyűjt webes adatot MI-célra, elég a tudomásulvétel: a szolgáltatói nyilatkozatokban érdemes rákérdezni, hogy a modellgazda gyakorlata összhangban van-e a készülő iránymutatással. Ha kis léptékben gyűjt – például piackutatáshoz, árfigyeléshez –, most érdemes jogalap-vizsgálatot végezni és a személyes adatok kiszűrését beépíteni, mert a tervezet iránya egyértelmű: a nyilvános elérhetőség nem jogalap. Ha pedig az üzleti modell épül webes gyűjtésre, a konzultáció követése és jogi vélemény beszerzése indokolt még a véglegesítés előtt – a tervezet változhat, de szigorodásra több az esély, mint enyhülésre. A véglegesített iránymutatásról a Tudástár frissítést közöl.
Hogyan kezdjünk hozzá – mi az első harminc nap programja?
Az első hét az adatleltáré: mely rendszerek, milyen adatokkal, milyen céllal – a meglévő MI-leltár adatoszlopokkal bővítve. A második hét a jogalaptérképé: minden személyesadat-felhasználáshoz jogalap rendelése, a hiányok listázása. A harmadik hét a gyorsjavításoké: kifogásolási lehetőség beépítése, tájékoztatók kiegészítése a tanítási céllal, a nyilvánvalóan rendezetlen gyűjtések felfüggesztése. A negyedik hét a rendszeré: felelős kijelölése az adatkormányzásra – jellemzően az MI-felelős és az adatvédelmi felelős közös munkája –, valamint a negyedéves felülvizsgálat naptárba tétele. Ez a program kkv-méretben nagyságrendileg néhány embernapnyi munka – és a 2027-es határidőre készülő minden további lépés erre épül majd.
Kereszthálózat: a Tudástár kapcsolódó elemzései
Kockázati besorolás a gyakorlatban
Élő
Tudástár #51Szállítói nyilatkozat: mit kérjen a szerződésbe
Élő
Tudástár #50GPAI-modellek: mire figyeljen, aki rájuk épít
Élő
Tudástár #55A felelős kijelölése: a legolcsóbb intézkedés
Élő
Tudástár #58MI a toborzásban: a magas kockázatú határ
Élő
Tudástár #59Folyamatba épített megfelelés: rutin, nem kampány
Élő
Források és hivatkozási alap
- EU AI-rendelet, 10. cikk – Adat- és adatkormányzási követelmények magas kockázatú rendszereknél (artificialintelligenceact.eu/article/10) (2024–2026)
- EDPB 28/2024. vélemény – Személyes adatok MI-modellekhez – háromlépcsős jogos-érdek teszt, enyhítő intézkedések (edpb.europa.eu, 2024.12.18.) (2024.12.)
- EDPB 02/2026 és 03/2026 tervezet – Anonimizálás, illetve webes adatgyűjtés generatív MI-hez – nyilvános konzultáció 2026.10.30-ig (edpb.europa.eu) (2026.07.)
- Jogi elemzések – A 28/2024. vélemény gyakorlati következményei – CMS, IAPP és további független összefoglalók (2025–2026)
- Digital Omnibus on AI – (EU) 2026/1744 – az önálló magas kockázatú rendszerek határideje 2027.12.02. (eur-lex.europa.eu) (2026.07.)
A felnőttképzés, az informatika és a mesterséges intelligencia metszetében dolgozik – a gyakorlati tapasztalatot köti össze a friss kutatással. Gyöngyös, Baranya és a Dél-Dunántúl.