Büszkén megosztottam egy esettanulmányt: az AI ügynököm reggel 8-kor magától átnéz 40 beszélgetést, és 5 emlékeztető piszkozatot tett elém. Jó poszt volt. Sokan olvasták.

Aztán jött egy komment. Egy GDPR-szakembertől. Négy kérdés, udvariasan, nyilvánosan.

És mire a végére értem, tudtam: igaza van.

Most megírom, mit rontottam el — mert szinte biztos vagyok benne, hogy nem én vagyok az egyetlen. Sőt, ha te is használsz AI-t ügyféladattal, jó eséllyel pont ugyanezt a hibát tudod elkövetni, csak még nem szólt érte senki.

A kérdés, amitől megfagytam

Egy minősített GDPR-szakember ezt kérdezte:

„Azzal a havi 20 dolláros előfizetéssel működő AI ügynök szolgáltatójával aláírtál adatfeldolgozási megállapodást, hogy a nála feldolgozott bizalmas adatokat nem fogja a saját vagy mások önös céljaira fölhasználni? Vagy van egyéb jogszerű és számonkérhető garancia erre?”

Ültem a képernyő előtt, és éreztem, ahogy elönt a forróság. Mert tudtam a választ. Nem. Nem írtam alá semmit.

És ami még rosszabb: azt hittem, nincs is rá szükség. Mert „ki van kapcsolva a tanításra használat”. Mert „van szerződésem az ügyféllel”. Mert „hát fizetek érte, akkor az üzleti, nem?”

Amit rosszul tudtam

Utánanéztem. És kiderült, hogy három dologban is tévedtem. Nézzük őket sorban, mert mindhárom klasszikus.

1. „Fizetek érte, tehát üzleti csomag.”

Hát nem. A Claude-nál (és a legtöbb AI-eszköznél hasonlóan) a Free, a Pro és a Max is fogyasztói csomag — akkor is, ha havi 100 dollárt fizetsz érte. Az „üzleti” kategória a Team, az Enterprise és az API.

És ez nem szőrszálhasogatás: a DPA — az adatfeldolgozási megállapodás — csak az üzleti csomagokhoz jár. A fogyasztóiakhoz nem. Semennyi pénzért.

2. „Ki van kapcsolva a tanítás, akkor rendben vagyok.”

Ez volt a legkényelmesebb tévedésem. Igen, kikapcsoltam. Igen, ez jó dolog. De a GDPR 28. cikkét nem egy kapcsoló elégíti ki, hanem egy szerződés.

Egy beállítás bármikor megváltozhat. Egy szerződés számonkérhető. A jog az utóbbit kéri.

3. „Van szerződésem az ügyféllel, az elég.”

Van. És fontos is. De ez a folyamat egyik része. A valóság így néz ki:

• az ügyfél az adatkezelő (az ő adatairól van szó),
• én vagyok az adatfeldolgozó (én dolgozom vele),
• és az AI-szolgáltató az al-adatfeldolgozó (ő pedig helyettem).

A szerződésem az első két pontot teljesíti. A harmadikat — köztem és az AI-szolgáltató között — a DPA kötné. Nah az hiányzott.

Amit most csinálok

Nem szépítem: ez most nincs kész. Folyamatban van, és megírom, mert szerintem a félkész igazság többet ér, mint a kész látszat.

• Átállok üzleti csomagra, aláírt DPA-val.
• Kiegészítem az ügyfelem tájékoztatóját az al-adatfeldolgozóval.
• Nyilvánosan javítottam a posztot, ahol a pontatlanság volt — nem csendben átírva, hanem vállalt UPDATE-tel.

És amit ebből tanultam

Az első reakcióm a szégyen volt. Aztán rájöttem, hogy ez a rossz reakció.

Mert nem támadott. Tanított! És igaza volt abban is, hogy a nyilvánosság előtt tette fel: így most te is tudod.

A másik tanulság kellemetlenebb, és magamnak címzem: az AI-t könnyű használni. Jogszerűen használni már nem az. Két kattintás összekötni a postafiókot egy AI-jal. Nulla kattintás átgondolni, hogy ezzel épp egy másik cég ügyféladatait adtad át egy harmadik félnek szerződés nélkül.

És ha én ebbe belesétáltam — akkor neked sem lett volna nehéz.

Szóval: köszönöm neki. 🙏

A lényeg

Nem attól leszel hiteles, hogy sosem hibázol. Hanem attól, hogy amikor szólnak, megnézed, és javítod — hangosan, ott, ahol a hibát is elkövetted.

Az AI-nál pedig van egy külön tanulság: a lelkesedés és a jogszerűség két külön zóna. Az elsőt könnyű megmozgatni. A másodikat gyakorolni kell — és néha kell hozzá valaki, aki felteszi a kellemetlen kérdést.

👉 Ha téged is érint az AI Act és a GDPR a vállalkozásodban, itt egy ingyenes AI Act csomag — kivonat, AI Policy sablon, checklist. Érthetően, magyarul.

Szeretettel: AI Lady ♡

AI-jelölés: Ez a cikk AI közreműködésével, emberi szerkesztői ellenőrzéssel készült. (ailady.hu)