GDPR-ellenőrzőlista: tíz pont, mielőtt AI-asszisztenst tesz a weboldalára

Miért most: a legtöbb pont csak szerződéskötés előtt rendezhető

Az általános adatvédelmi rendelet (EU 2016/679) és az EU AI-rendelet (2024/1689) együtt szabja meg, mire számíthat egy weboldalára helyezett AI-asszisztens. A magyar felügyeleti hatóság a NAIH. A legtöbb pont olyan, amit a szerződés aláírása előtt kell tisztázni: utólag már csak kiegészítő intézkedéssel pótolható.

A lista tíz pontja a szolgáltatóra vonatkozik, és Ön felel azért, hogy ellenőrizze őket. A mi asszisztensünk az adatot EU-s régióban kezeli, a megőrzés 90 nap, a jelölés pedig beépítve működik. A többi pont egy részét – az írástudást és a rendeltetésszerű használatot – mindig Önnek kell vállalnia.

A szóbeli ígéret nem bizonyítható, ezért a tíz pont mindegyikéhez kérjen írásbeli választ, és tartsa meg a szerződéssel együtt.

1. Hol tárolódnak az adatok?

Kérdezze meg, melyik országban vagy régióban tárolódnak a beszélgetések és a tudásbázis. EU-s régiós tárolás csökkenti a kockázatot. Harmadik országbeli tárolás esetén a GDPR 28. cikk szerinti adatfeldolgozási szerződésben vagy záradékban kell rögzíteni a feltételeket. Nálunk az adat az EU-ban marad, a modellhívásokat is beleértve.

2. Adatfeldolgozási szerződés

Kérje írásban az adatfeldolgozási szerződést szerződéskötés előtt. Az általános adatvédelmi rendelet 28. cikke kötelezi az adatkezelőt, hogy az adatfeldolgozóval írásbeli megállapodás legyen. Aki nem tud ilyet adni, annál a többi pont már nem számít.

3. Meddig őrzik meg az adatokat?

A megőrzés mértéke napoktól hónapokig terjedhet. Nálunk a beszélgetéseket 90 napig tároljuk, utána töröljük. Ha a szolgáltató határozatlan ideig vagy évekig őrizné az adatot, az kockázatot jelent.

4. Naplózás és nyomon követhetőség

Az egyes AI-interakciókat érdemes naplózni: időbélyeg, beérkező és kimenő üzenet, forráshivatkozás. Ez részben a 30. cikk szerinti adatkezelési napló miatt szükséges, részben azért, mert egy rossz válasz visszakereséséhez ez ad támpontot.

5. A további adatfeldolgozók listája

A szolgáltató az infrastruktúrához és a modellhíváshoz további alvállalkozókat is igénybe vesz. Kérje el a teljes listát és a hozzájuk tartozó szerződéseket. Aki bizalmasnak tekinti, és nem adja ki, azt nehéz ellenőrizni.

6. A látogató jogainak érvényesítése

A szolgáltatónak támogatnia kell, hogy a hozzáférési, törlési és adathordozhatósági kérelmek a 15–22. cikk szerint teljesüljenek. Kérdezze meg, van-e erre kijelölt elérhetőség és leírt folyamat. Nálunk a kérelmet a hello@smartaiassist.hu címen lehet benyújtani.

7. Az adat nem tanítja a modellt

Az üzleti beszélgetést nem szabad harmadik fél modelljének tanítására felhasználni. Kérdezze meg, hogy a modellszolgáltató szerződése kizárja-e a tanítási célú felhasználást. Ez szerződéses garancia kérdése.

8. Kockázati besorolás az AI-rendelet szerint

Az EU AI-rendelet szerint az ügyfélszolgálati asszisztens általában korlátozott kockázatú: itt a felhasználói átláthatóság a kötelező. Ha az asszisztens automatikus döntést hozna emberekről, az már magas kockázatú, és jóval nagyobb megfelelési terhet jelentene.

9. Adatkezelési tájékoztató

Az adatkezelési tájékoztatót az asszisztens bevezetésekor frissíteni kell: milyen adatot dolgoz fel az asszisztens, melyik szolgáltató kezeli, és hol tárolódik. Ahol a látogató az asszisztenssel találkozik, tegyen ki hivatkozást az adatkezelési oldalra.

A látogatói tájékoztatás és az AI-jelölés itt találkozik. A jelölés azt mondja meg, hogy mesterséges intelligencia válaszol; a tájékoztató azt, hogy milyen adatot kezel az asszisztens. A kettő együtt ad teljes képet a látogatónak.

10. Biztonsági alap

A minimum: a kommunikáció és a nyugvó adat titkosítása, valamint a kétlépcsős belépés az admin felülethez. Ha a szolgáltató ezt nem garantálja, a szerződés megkötése előtt érdemes elállni.

Értelmezés

Tíz pontból tíz: a szolgáltató megfelel. Hét és kilenc között kezelhető kockázat áll fenn, kiegészítő műszaki intézkedéssel. Hét pont alatt a szerződés megkötése nem javasolt. A mi asszisztensünk a fenti pontok nagy részét beépítve hozza; a részleteket az adatbiztonsági oldalon írjuk le.

A tíz pont áttekinthetően, egy táblázatban:

Pont	Mit ellenőrizzen	Piros zászló, ha
EU-s tárolás	régió, modellhívás	harmadik ország, a szerződésben nem rögzítve
Adatfeldolgozási szerződés	írásbeli, 28. cikk	nem adnak
Megőrzés	mérték	határozatlan idejű
Naplózás	interakciónként	nincs visszakereshető
További adatfeldolgozók	teljes lista	nem adják ki
Látogató jogai	kijelölt elérhetőség, leírt folyamat	nincs folyamat
Modell nem tanul	szerződéses kizárás	alapból tanít
Kockázati besorolás	átlátható	rejtett magas kockázat
Tájékoztató	frissítve, linkelve	nem frissült
Biztonság	titkosítás, kétlépcsős belépés	az alapszint hiányzik

Következő lépés

Az adatkezelés és a jelölés részleteit az adatbiztonsági oldalon találja. Kérjen demót a saját weboldaláról, vagy nézze meg az árakat. Kérdéssel írjon a hello@smartaiassist.hu címre.

Módszertan

Az ellenőrzőlista az általános adatvédelmi rendelet és az EU AI-rendelet előírásaiból, a saját adatkezelési beüzemeléseinkből és a 90 napos platformadatunkból állt össze. A jogi szövegek címe és elérése a forráslistában szerepel.

Változásnapló

• 2026-10-15: újraírva a smartaichat.hu GDPR-kompatibilis chatbot checklist cikkéből