AI Act és GDPR: mire figyeljünk egy céges chatbotnál?

A Mesterséges Intelligencia Központ Kft. budapesti szoftverfejlesztő cég. Egy céges chatbotnál két szabály a legfontosabb: az AI Act szerint jelezni kell, hogy AI válaszol, a GDPR szerint pedig jogszerűen kell kezelni a személyes adatokat.

Lényeg: Az AI Act 50. cikkének (1) bekezdése 2026. augusztus 2. óta alkalmazandó: a chatbotnak legkésőbb az első interakciókor, egyértelműen jeleznie kell, hogy mesterséges intelligenciával beszél a felhasználó, hacsak ez nem nyilvánvaló. Egy tipikus ügyfélszolgálati chatbot nem nagy kockázatú MI-rendszer, de ha személyes adatot kezel, a GDPR szabályai is vonatkoznak rá, többek között a jogalapról, a tájékoztatásról, az adattakarékosságról és az AI-szolgáltatóval kötendő adatfeldolgozói szerződésről. Ez tájékoztatás, nem jogi tanács (ellenőrizve: 2026. október 17.).

Melyik két jogszabályról van szó?

Az AI Act az Európai Unió mesterséges intelligenciáról szóló rendelete, hivatalos számán az (EU) 2024/1689 rendelet. Rendeletként minden tagállamban közvetlenül alkalmazandó. A magyar hivatalos szöveg az AI-rendszert MI-rendszernek nevezi; ebben a cikkben a köznyelvben elterjedt „AI” szót is használjuk.

A rendelet 3. cikke két szerepet különböztet meg. Szolgáltató az, aki MI-rendszert fejleszt vagy fejleszttet, és a saját neve vagy védjegye alatt forgalomba hozza vagy üzembe helyezi. Alkalmazó az, aki a felügyelete alá tartozó MI-rendszert használja, kivéve a személyes, nem szakmai célú használatot. Ha egy cég chatbotot fejleszttet, és azt a saját nevén üzemelteti a weboldalán, mindkét fogalom ráillhet, ezért a kötelezettségeket nem érdemes csak a fejlesztőre hagyni.

A GDPR (az általános adatvédelmi rendelet, hivatalos számán az (EU) 2016/679 rendelet) minden személyesadat-kezelésre vonatkozik, arra is, amit egy chatbot végez. Az AI Act 2. cikkének (7) bekezdése kimondja, hogy a rendelet, néhány szűk, a chatbotokat jellemzően nem érintő kivétellel, nem érinti a GDPR-t: a két szabálycsomag egymás mellett érvényes, egyik sem váltja ki a másikat.

Mit ír elő az AI Act 50. cikke?

Az 50. cikk bizonyos MI-rendszerek szolgáltatóira és alkalmazóira ír elő átláthatósági kötelezettségeket. Egy céges chatbotot elsősorban az (1) bekezdés érint, de a többit is érdemes ismerni, mert egy képet, hangot vagy közzétett szöveget is előállító asszisztens beléjük futhat.

Bekezdés	Kit kötelez	Mit ír elő	Mikor érint egy chatbotot
(1)	a szolgáltatót	az emberekkel közvetlenül kommunikáló rendszernél az érintettek tudják meg, hogy MI-rendszerrel állnak kapcsolatban, hacsak ez nem nyilvánvaló	szinte mindig: ez a chatbot alapesete
(2)	a szintetikus szöveget, képet, hangot vagy videót előállító rendszer szolgáltatóját	a kimenetet géppel olvasható formában kell megjelölni, hogy mesterségesen előállítottként észlelhető legyen	ha a rendszer tartalmat generál; a részleteket a Bizottság iránymutatása és gyakorlati kódexe pontosítja
(3)	az érzelemfelismerő vagy biometrikus kategorizáló rendszer alkalmazóját	tájékoztatni kell az érintetteket a rendszer működéséről	ha a rendszer biometrikus adatokból következtet érzelmekre vagy szándékokra
(4), első albekezdés	a deepfake-et előállító rendszer alkalmazóját	közölni kell, hogy a kép-, hang- vagy videotartalom mesterségesen készült	ha a bot valódi személyre megtévesztően hasonlító képet, hangot vagy videót állít elő
(4), második albekezdés	a közérdekű tájékoztatásra közzétett szöveget generáló rendszer alkalmazóját	közölni kell, hogy a szöveg mesterségesen készült, kivéve, ha ember átnézte, és valaki szerkesztői felelősséget visel érte	ritkán: egy chatbot egyéni válasza jellemzően nem ilyen közzétett szöveg
(5)	mindkettőt	a tájékoztatás egyértelmű, jól megkülönböztethető, legkésőbb az első interakciókor, és megfelel az akadálymentességi követelményeknek	mindig, az (1) bekezdés szerinti jelzéssel együtt

Mit jelent az (1) bekezdés a gyakorlatban?

A jelzésnek a beszélgetés elején, a felhasználó számára látható helyen kell megjelennie, nem az általános szerződési feltételek mélyén. Célszerű megoldás, hogy a chatablak fejléce és a bot első üzenete is kimondja: „AI-asszisztens válaszol”. Ha a botnak saját neve vagy avatárja van, ez különösen fontos, mert egy emberi név könnyen azt sugallja, hogy munkatárs ír.

A „nyilvánvaló” kivétel szűk. A rendelet szövege szerint egy észszerűen jól tájékozott, figyelmes és körültekintő ember szemszögéből kell megítélni, a körülmények és a használat összefüggései alapján. Az Európai Bizottság kérdés-válasz összefoglalója szerint a kivételt megszorítóan kell értelmezni, mert megfosztja az embereket az átláthatóságtól; a csevegőrobotokat, az MI-ügynököket és az avatárokat pedig kifejezetten a közvetlenül kommunikáló rendszerek példái között említi. Egy ügyfélszolgálati chatnél ezért célszerű mindig jelezni, hogy AI válaszol.

Mikortól alkalmazandók a szabályok?

Az AI Act 2024. augusztus 1-jén lépett hatályba, és a rendelkezései lépcsőzetesen váltak alkalmazandóvá (113. cikk). A Bizottság 2025. november 19-én javasolta a rendelet egyszerűsítését; ebből lett a 2026. július 8-án elfogadott (EU) 2026/1744 rendelet, magyar címe szerint „a mesterséges intelligenciáról szóló digitális omnibusz csomag”. A Hivatalos Lapban 2026. július 24-én jelent meg, és 2026. július 27-én lépett hatályba. Az 50. cikk (1) bekezdésének alkalmazási időpontját nem tolta el, de több más időpontot módosított (ellenőrizve: 2026. október 17.):

Szabály	Alkalmazandó	Hol rögzítik
Tiltott MI-gyakorlatok és MI-jártasság (I. és II. fejezet)	2025. február 2-től; a módosítás két új tilalma 2026. december 2-től	AI Act 113. cikk a) pont
Az MI-jártasság új, enyhébb szövege (4. cikk)	2026. július 27-től	az (EU) 2026/1744 rendelet hatálybalépése
Átláthatósági kötelezettségek, köztük az 50. cikk (1) bekezdése	2026. augusztus 2-től	AI Act 113. cikk, általános alkalmazási időpont
Gépi jelölés (50. cikk (2) bekezdés) a 2026. augusztus 2. előtt forgalomba hozott generatív rendszereknél	2026. december 2-ig kell megfelelni	AI Act 111. cikk (4) bekezdés, a módosítás iktatta be
Nagy kockázatú rendszerek a III. melléklet szerint	2027. december 2-től	AI Act 113. cikk c) pont, módosított szöveg
Termékbe épített nagy kockázatú rendszerek (I. melléklet)	2028. augusztus 2-től	AI Act 113. cikk c) pont, módosított szöveg

A Bizottság AI Act-oldala és az 50. cikkről szóló kérdés-válasz összefoglalója ugyanezeket a fő időpontokat közli. Ha a jövőben újabb módosítás jelenik meg, azt az EUR-Lexen, a rendelet adatlapján érdemes ellenőrizni.

MI-jártasság: mit kell tudnia a csapatnak?

A 4. cikk eredeti szövege azt írta elő, hogy a szolgáltatók és az alkalmazók a tőlük telhető legnagyobb mértékben biztosítsák a személyzetük megfelelő szintű MI-jártasságát. A 2026/1744-es módosítás óta a kötelezettség az, hogy intézkedésekkel támogassák a személyzet és a nevükben eljáró személyek MI-jártasságának fejlesztését; a szöveg kimondja, hogy ez nem kötelez egy konkrét jártassági szint garantálására. A Bizottság és a tagállamok feladata, hogy ebben különösen a kis- és középvállalkozásokat segítsék.

Egy chatbotot üzemeltető cégnél ez a gyakorlatban rövid, a szerephez igazított felkészítést jelent: mit tud és mit nem tud a bot, hogyan ismerhető fel a téves válasz, mikor és hogyan kell átvenni a beszélgetést, és milyen adatot nem szabad beírni egy AI-eszközbe. Ezt érdemes dokumentálni.

Nagy kockázatú-e egy ügyfélszolgálati chatbot?

A köznyelvben gyakran „magas kockázatúnak” mondott kategória a rendelet magyar szövegében „nagy kockázatú MI-rendszer”. A 6. cikk két úton sorol ide: ha a rendszer az I. mellékletben felsorolt uniós termékszabályok alá tartozó termék biztonsági alkotórésze (vagy maga ilyen termék), és a terméknek harmadik fél által végzett megfelelőségértékelésen kell átesnie; vagy ha a felhasználása a III. melléklet valamelyik területére esik. A III. melléklet területei: biometria, kritikus infrastruktúra, oktatás, foglalkoztatás, alapvető magán- és közszolgáltatásokhoz való hozzáférés, bűnüldözés, migráció és határellenőrzés, valamint az igazságszolgáltatás és a demokratikus folyamatok.

Egy chatbot, amely termékekről, szállításról, nyitvatartásról vagy rendelésállapotról válaszol, egyik területre sem esik, így nem nagy kockázatú; rá az 50. cikk átláthatósági szabályai vonatkoznak. Ugyanaz a technológia azonban nagy kockázatúvá válhat a felhasználási céltól függően, például ha:

álláspályázatokat szűr vagy jelölteket értékel (III. melléklet 4. pont a) alpont);
természetes személyek hitelképességét értékeli vagy hitelpontszámot állapít meg (5. pont b) alpont);
élet- vagy egészségbiztosításnál természetes személyek kockázatát értékeli vagy árazza (5. pont c) alpont);
hatóság nevében közszolgáltatásra vagy ellátásra való jogosultságot értékel (5. pont a) alpont).

A 6. cikk (3) bekezdése szerint egy III. mellékletbeli rendszer kivételesen nem nagy kockázatú, ha nem jelent jelentős kockázatot, például mert szűk eljárási feladatot lát el vagy csak előkészíti az emberi döntést; természetes személyek profilozásánál azonban mindig nagy kockázatú. Aki erre a kivételre hivatkozik, annak az értékelését dokumentálnia kell. A nagy kockázatú rendszerek részletes követelményei a III. melléklet szerinti esetekben 2027. december 2-től alkalmazandók. Ha egy chatbot ilyen döntés közelébe kerül, a besorolást még a fejlesztés előtt érdemes jogásszal tisztázni.

Egy chatbot-beszélgetésben gyakran van személyes adat: név, e-mail-cím, rendelésszám, egy panasz leírása. A chatbotot a saját ügyfélszolgálatán működtető cég ilyenkor jellemzően adatkezelő, a nyelvi modell szolgáltatója pedig jellemzően adatfeldolgozó. A Bizottság 2025. november 19-én a GDPR módosítását is javasolta (COM(2025) 837), de a GDPR-t módosító jogszabály még nem jelent meg a Hivatalos Lapban (ellenőrizve: 2026. október 17.): az alábbiak a hatályos szövegen alapulnak.

Jogalap (6. cikk)

Minden adatkezelési célhoz kell jogalap a 6. cikk (1) bekezdéséből. Chatbotnál a leggyakoribbak: a szerződés teljesítése (például egy megrendelés állapotáról szóló válasz), a jogos érdek (érdekmérlegeléssel) és a hozzájárulás (például hírlevélre feliratkozáskor). Ha a beszélgetéseket később más célra is felhasználnák, például elemzésre vagy fejlesztésre, azt külön meg kell vizsgálni, mert az eredeti céllal össze nem egyeztethető további kezeléshez nem elég az eredeti jogalap (6. cikk (4) bekezdés).

Tájékoztatás (13. cikk)

Az érintettet az adatok megszerzésekor tájékoztatni kell többek között az adatkezelő kilétéről, a célokról és a jogalapról, a címzettekről, az esetleges harmadik országba továbbításról, a megőrzési időről, a jogairól és arról, hogy panaszt tehet a felügyeleti hatóságnál, amely Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH). Az AI Act szerinti „AI válaszol” jelzés nem helyettesíti ezt: a chatablakban az adatkezelési tájékoztatót is elérhetővé kell tenni.

Adattakarékosság és korlátozott tárolhatóság (5. cikk)

Az 5. cikk szerint csak a cél szempontjából szükséges adat kezelhető, és csak addig, amíg a célhoz kell. Chatbotnál ez három konkrét döntés: a bot ne kérjen több adatot, mint amennyi a válaszhoz kell; a modellhez csak a feladathoz szükséges adat jusson el, ahol lehet, kitakarva vagy álnevesítve; a beszélgetésnaplóknak legyen megőrzési ideje és törlési rendje. Az adatok biztonsága (jogosultságkezelés, titkosítás, naplózás) ugyanennek a cikknek a része.

Adatfeldolgozói szerződés az AI-szolgáltatóval (28. cikk)

Ha a nyelvi modell szolgáltatója a cég nevében kezel személyes adatot, írásos adatfeldolgozói szerződés kell vele. A 28. cikk (3) bekezdése szerint ebben rögzíteni kell többek között, hogy az adatfeldolgozó csak az adatkezelő dokumentált utasításai szerint kezeli az adatot, gondoskodik a titoktartásról és a biztonságról, csak engedéllyel vesz igénybe további adatfeldolgozót, segít az érintetti kérelmek teljesítésében, a szolgáltatás végén törli vagy visszaadja az adatokat, és lehetővé teszi az ellenőrzést. A gyakorlatban ezért a szolgáltató üzleti (API-) feltételeit és adatfeldolgozási kiegészítését kell megnézni, nem a fogyasztói csevegőalkalmazásét: hol tárolják az adatot, meddig, és felhasználják-e modelltanításra.

Adattovábbítás az EU-n kívülre (V. fejezet)

Ha az adatot az EU-n kívüli, úgynevezett harmadik országban dolgozzák fel, a GDPR V. fejezete szerinti alap kell hozzá: megfelelőségi határozat (45. cikk) vagy megfelelő garancia, például általános adatvédelmi kikötések (46. cikk). Az Egyesült Államokra a Bizottság (EU) 2023/1795 végrehajtási határozata, az EU–USA adatvédelmi keret ad megfelelőségi határozatot, de csak azokra az amerikai szervezetekre, amelyek szerepelnek az adatvédelmi keret listáján. A határozat hatályos; a megsemmisítését kérő keresetet a Törvényszék 2025. szeptember 3-án elutasította, az ítélet ellen pedig fellebbezés van folyamatban a Bíróság előtt (C-703/25 P) (ellenőrizve: 2026. október 17.). Érdemes ezért azt is megnézni, kínál-e a szolgáltató uniós adattárolást vagy -feldolgozást.

Adatvédelmi hatásvizsgálat (35. cikk)

Hatásvizsgálat akkor kell, ha az adatkezelés, különösen új technológia használatával, valószínűsíthetően magas kockázattal jár az érintettek jogaira. A 35. cikk (3) bekezdése néhány esetben kifejezetten előírja, a NAIH pedig közzétette a saját hatásvizsgálati listáját, amelyen többek között a profilozás, a joghatással járó automatizált döntéshozatal, a gyermekek adatainak profilozásra vagy marketingre használása és a különböző forrásokból származó adatok összevonása is szerepel. Egy egyszerű, termékkérdésekre válaszoló botnál ritkán kell; ha viszont a bot a CRM-ből ügyféladatokat von össze, profiloz, vagy nagy számban kezel egészségügyi adatot, valószínű. A mérlegelést akkor is érdemes írásban rögzíteni, ha az eredménye „nem kell”.

Automatizált döntés (22. cikk)

Az érintettnek joga van ahhoz, hogy ne kizárólag automatizált döntés vonatkozzon rá, ha az joghatással jár vagy hasonlóan jelentősen érinti. Ha egy chatbot például maga utasítana el egy reklamációt, visszatérítést vagy kérelmet, ez a szabály is számít: ha az ilyen döntés a szerződés teljesítéséhez szükséges vagy kifejezett hozzájáruláson alapul, akkor is biztosítani kell legalább az emberi beavatkozás, az álláspont kifejtése és a döntés vitatásának lehetőségét. A legegyszerűbb, ha az ilyen döntést a bot csak előkészíti, és munkatárs hozza meg.

Gyakorlati ellenőrzőlista

Teendő	Miért	Jogforrás
Az első üzenetben és a chatablakban jelezni, hogy AI válaszol	átláthatóság	AI Act 50. cikk (1) és (5) bekezdés
Tisztázni, ki a szolgáltató, ki az alkalmazó, ki az adatkezelő és ki az adatfeldolgozó	a felelősség megosztása	AI Act 3. cikk, GDPR 28. cikk
Rögzíteni a bot felhasználási célját és a kockázati besorolást	a nagy kockázat kizárása vagy kezelése	AI Act 6. cikk, III. melléklet
Célonként meghatározni a jogalapot	jogszerű adatkezelés	GDPR 6. cikk
Elérhetővé tenni az adatkezelési tájékoztatót a chatablakban	tájékoztatás	GDPR 13. cikk
Csak a szükséges adatot kérni és továbbítani a modellnek	adattakarékosság	GDPR 5. cikk (1) bekezdés c) pont
Megőrzési időt adni a beszélgetésnaplóknak	korlátozott tárolhatóság	GDPR 5. cikk (1) bekezdés e) pont
Adatfeldolgozói szerződést kötni az AI-szolgáltatóval	adatfeldolgozó igénybevétele	GDPR 28. cikk
Ellenőrizni az EU-n kívüli adattovábbítás alapját	harmadik országba továbbítás	GDPR V. fejezet
Mérlegelni és dokumentálni a hatásvizsgálat szükségességét	magas kockázatú adatkezelés	GDPR 35. cikk, NAIH-lista
Jelentős hatású döntésnél embert bevonni, kérésre munkatársnak átadni	automatizált döntés	GDPR 22. cikk
Felkészíteni a botot kezelő munkatársakat	MI-jártasság	AI Act 4. cikk

Gyakori hibák

Rejtett jelzés: az „AI válaszol” csak a felhasználási feltételekben szerepel, a beszélgetésben nem.
Emberi persona jelzés nélkül: a bot emberi nevet és fotót kap, és semmi nem utal arra, hogy gép.
Teljes ügyfélrekord a promptban: a modell a CRM teljes adatlapját kapja meg, pedig a válaszhoz két mező elég lenne.
Fogyasztói eszköz céges adattal: a munkatársak ügyféladatot másolnak egy ingyenes csevegőalkalmazásba, adatfeldolgozói szerződés nélkül.
Örökre megőrzött naplók: a beszélgetések törlési szabály nélkül gyűlnek.
Gépi döntés emberi kontroll nélkül: a bot maga utasít el jelentős ügyeket, és nincs, aki felülvizsgálja.

Gyakori kérdések

Kell jeleznünk, hogy AI válaszol?

Általában igen. Az AI Act 50. cikkének (1) bekezdése szerint az emberekkel közvetlenül kommunikáló MI-rendszert úgy kell kialakítani, hogy az érintettek tudják: MI-rendszerrel állnak kapcsolatban, hacsak ez egy észszerűen tájékozott ember szemszögéből nem nyilvánvaló. Az (5) bekezdés szerint ezt legkésőbb az első interakciókor, egyértelműen és jól megkülönböztethetően kell közölni. Egy ügyfélszolgálati chatnél ezért a legbiztonságosabb az első üzenetben jelezni.

Mikortól kötelező?

Az 50. cikk 2026. augusztus 2. óta alkalmazandó, ezt az (EU) 2026/1744 módosító rendelet nem változtatta meg. A generatív rendszerek kimenetének gépi jelölésére (50. cikk (2) bekezdés) a 2026. augusztus 2. előtt forgalomba hozott rendszerek szolgáltatóinak 2026. december 2-ig kell felkészülniük. Az MI-jártasságra vonatkozó 4. cikk 2025. február 2. óta alkalmazandó, 2026. július 27. óta enyhébb szöveggel.

Nagy kockázatúnak számít egy ügyfélszolgálati chatbot?

Jellemzően nem. Egy termékekről, rendelésekről vagy szolgáltatásokról tájékoztató chatbot nem esik az AI Act III. mellékletének területeire, így rá az átláthatósági szabályok vonatkoznak. Nagy kockázatú lehet viszont, ha például álláspályázókat szűr, hitelképességet értékel, vagy élet- és egészségbiztosítási kockázatot áraz.

Átadhatunk személyes adatot egy AI-szolgáltatónak?

Igen, ha az adatkezelésnek van jogalapja, az érintettek tájékoztatást kapnak róla, a szolgáltatóval adatfeldolgozói szerződés van (GDPR 28. cikk), és ha az adat az EU-n kívülre kerül, a továbbításnak is megvan az alapja (V. fejezet). Csak annyi adatot érdemes átadni, amennyi a feladathoz kell, és ellenőrizni, hogy a szolgáltató felhasználja-e az adatot modelltanításra.

Kell adatvédelmi hatásvizsgálat?

Akkor kell, ha az adatkezelés valószínűsíthetően magas kockázattal jár az érintettek jogaira (GDPR 35. cikk). Egy egyszerű tájékoztató botnál ritkán; profilozásnál, joghatással járó automatizált döntésnél, gyermekek adatainak profilozásánál, nagy számban kezelt különleges adatoknál vagy több forrás adatainak összevonásánál valószínű, és ezeket a NAIH hatásvizsgálati listája is felsorolja. A döntést mindkét esetben érdemes írásban rögzíteni.

Hogyan segítünk?

AI-chatbotot és AI-ügynököt fejlesztünk, és az általunk fejlesztett chatbot már az első üzenetében jelzi, hogy AI-asszisztens válaszol. A nyelvi modellek bekötésekor (erről az AI-integráció oldalon írunk) arra figyelünk, hogy csak a feladathoz szükséges adat jusson el a modellhez, megnézzük a szolgáltató adatkezelési feltételeit, a modell csak azt lássa, amit a kérdező felhasználó is láthat, és a beszélgetések visszakereshetők legyenek. A technikai részletekről a Chatbot vagy AI-ügynök? és az AI a cég saját dokumentumain (RAG) cikkben olvashat.

Ez a cikk tájékoztatás, nem jogi tanács: a konkrét adatkezelés megfelelőségéről érdemes jogászt vagy adatvédelmi tisztviselőt is megkérdezni. Az első egyeztetés díjmentes; ha chatbotot tervez, írjon nekünk a Kapcsolat oldalon megadott elérhetőségeken.