AI-adatbiztonság magyar KKV-knak: mit követel az EU AI Act és a GDPR 2026-ban

Az AI-bevezetés legtöbbet emlegetett kockázata az adatbiztonság — és jó okkal. Egy AI-rendszer annyit ér, amennyi adatot lát, de éppen ez teszi ki a szervezetet a legnagyobb veszélynek: érzékeny, személyes vagy üzleti adat kerülhet olyan helyre, ahová nem kellene. 2026-ban ehhez társul a szabályozási keret is: az uniós AI-rendelet (EU AI Act) és a már ismert GDPR együtt határozza meg, mit szabad és mit kell egy magyar KKV-nak megtennie.

Mit ír elő az EU AI Act, és mikortól?

Az EU AI Act a világ első átfogó AI-szabályozása, amely kockázatalapú logikát követ. A rendszereket négy szintbe sorolja: elfogadhatatlan (tiltott), magas, korlátozott és minimális kockázat. A legfontosabb dátumok:

• 2024. augusztus 1. — a rendelet hatályba lépett.
• 2025. február 2. — a tiltott gyakorlatok (pl. manipulatív rendszerek, social scoring) alkalmazandóvá váltak, és életbe lépett az AI-jártassági kötelezettség.
• 2025. augusztus 2. — az általános célú AI-modellekre (GPAI) vonatkozó szabályok kezdtek alkalmazandóvá válni.
• 2026–2027. — a magas kockázatú rendszerekre vonatkozó fő kötelezettségek lépcsőzetes hatálybalépése.

A legtöbb KKV nem magas kockázatú rendszert fejleszt, hanem meglévő eszközöket használ. Számukra a legrelevánsabb az átláthatósági kötelezettség: a felhasználókat tájékoztatni kell, ha AI-val érintkeznek, és az AI által generált tartalmat megfelelően jelölni kell.

Hol metszi egymást az AI Act és a GDPR?

A két szabályozás nem helyettesíti, hanem kiegészíti egymást. Az AI Act az AI-rendszer egészének biztonságáról és megbízhatóságáról szól, a GDPR pedig arról, hogyan bánhatunk személyes adatokkal. Amint egy AI-rendszer személyes adatot dolgoz fel, a GDPR összes alapelve érvényes rá: célhoz kötöttség, adatminimalizálás, jogalap, átláthatóság.

A gyakorlatban a legérzékenyebb pont az adatminimalizálás: sok AI-projekt azzal a reflexszel indul, hogy „töltsünk be minden adatot”. A GDPR ezt tiltja — csak az a személyes adat kezelhető, amely a célhoz feltétlenül szükséges. Magas kockázatú vagy kiterjedt profilalkotást végző rendszereknél emellett adatvédelmi hatásvizsgálat (DPIA) is szükségessé válhat.

Milyen konkrét kockázatok fenyegetik a KKV-kat?

A leggyakoribb hibák nem kifinomult támadások, hanem hétköznapi mulasztások:

• Adatkiszivárgás nyilvános eszközökön keresztül — érzékeny üzleti adat beillesztése olyan felhőszolgáltatásba, amelynek adatkezelését senki nem ellenőrizte.
• Tisztázatlan adatfeldolgozói lánc — nem ismert, hol és milyen jogalappal tárolják a beküldött adatokat.
• Jelöletlen AI-tartalom — átláthatósági kötelezettség megsértése.
• Hiányzó belső szabályzat — a munkatársak saját belátásuk szerint, ellenőrzés nélkül használnak AI-eszközöket.

Milyen gyakorlati lépéseket tehet egy magyar KKV 2026-ban?

A védekezés fegyelem kérdése, nem költségvetésé. Az alábbi lépések a legtöbb KKV-nál elérhetők:

• Adatleltár — tisztázni, milyen személyes és üzleti adat kerülhet egyáltalán AI-eszközbe.
• Belső AI-szabályzat — mit szabad beilleszteni, mit tilos, és melyik eszköz engedélyezett.
• Adatfeldolgozói szerződések — a használt szolgáltatókkal írásban rögzített, GDPR-konform keret.
• Munkatársi felkészítés — az AI-jártasság 2025 óta jogszabályi elvárás, nem csupán ajánlás.
• Átláthatóság — az ügyfeleknek szánt AI-tartalom megfelelő jelölése.

Ezek a lépések a Pécsett, Baranyában és a Dél-Dunántúlon működő kisebb szervezeteknél is reálisan végigvihetők, mert nem új infrastruktúrát, hanem tudatos folyamatot igényelnek. A szervezeti működés és a belső kontrollok áttekintésében nyújt támogatást a rendszerkontroll.hu, a munkatársi AI-jártasság fejlesztésében pedig a felnottkepzes.hu. A stratégiai keret kialakításában az AZAR AI-architektúra szemlélete ad kapaszkodót: a biztonságot nem utólag ráaggatott réteg, hanem a tervezés kiindulópontja adja.

Az adatbiztonság az AI-nál nem a rendszer egy funkciója, hanem a bizalom feltétele: amit egyszer rossz helyre engedünk ki, azt már nem hívhatjuk vissza.