# Céges adatok és AI: mit tilos bemásolni a ChatGPT-be?

URL: https://casterconsulting.hu/ceges-adatok-ai-biztonsag/
Published: 2026-10-15
Updated: 2026-10-15
Author: Caster Consulting

> A legnagyobb AI-kockázat egy kkv-nál nem maga az eszköz, hanem az árnyék-AI: a munkatársak saját, ingyenes fiókjába bemásolt ügyféladat. A megoldás nem a tiltás, hanem egy céges eszköz, egy rövid tiltólista és a jogosultságok rendbetétele.

**Rövid válasz: a legnagyobb AI-kockázat egy kkv-nál nem maga az eszköz, hanem az árnyék-AI.** Az, amikor a munkatárs a saját, ingyenes fiókjába másol be egy ügyféllevelet, egy szerződésrészletet vagy egy bértáblát, mert gyorsan kell egy összefoglaló. A vezetés erről nem tud, szabály nincs, és senki sem tudja, hová kerül az adat. A megoldás nem a tiltás. A megoldás egy céges eszköz, egy rövid tiltólista és a jogosultságok rendbetétele.

## Mekkora a jelenség?

A Microsoft 2024-es felmérése szerint a tudásmunkások 75%-a használ generatív AI-t a munkájához, és 78%-uk saját eszközt hoz magával. A kkv-knál ez az arány 80%. Vagyis ha a cégednél nincs céges AI-eszköz, az nem azt jelenti, hogy nem használnak AI-t. Azt jelenti, hogy ellenőrzés nélkül használják.

Az IBM 2025-ös adatincidens-jelentése szerint a szervezetek 13%-ánál volt már incidens, amely AI-modellt vagy -alkalmazást érintett, és ezek 97%-ánál hiányzott a megfelelő AI-hozzáférés-kezelés. Minden ötödik szervezet számolt be árnyék-AI-hoz köthető incidensről, és ahol sok volt az árnyék-AI, ott az incidens átlagosan kb. 670 ezer dollárral többe került. A megkérdezett szervezetek 63%-ának nem volt AI-irányítási szabályzata, vagy még csak készült.

Egy adatincidens átlagos költsége az IBM 2026-os jelentése szerint 4,99 millió dollár. Egy kkv-nál ez kisebb, de arányaiban sokszor fájdalmasabb, mert nincs mögötte jogi osztály és válságkommunikációs csapat.

Az Eurostat szerint az AI-t fontolgató uniós cégek közel felét (48,83%) éppen az adatvédelmi aggály tartja vissza. Ez jogos aggály, de a tiltás rossz válasz rá.

## Mi a baj az ingyenes, személyes fiókokkal?

Nem az, hogy rosszak. Hanem az, hogy nem neked szerződtek.

- **Tanítás:** az ingyenes, fogyasztói szolgáltatásoknál a beírt tartalom a szolgáltató feltételeitől függően felhasználható a modellek fejlesztésére. Az üzleti csomagoknál ezt a szolgáltatók jellemzően szerződésben zárják ki.
- **Megőrzés és átnézés:** a beszélgetések tárolásának ideje és az esetleges emberi átnézés is a feltételeken múlik.
- **Nincs adatfeldolgozói szerződés:** ha személyes adatot másolsz be, a GDPR szerint adatkezelés történik, és egy külső szolgáltató adatfeldolgozóként vesz részt benne. Ehhez szerződés kell, amely egy munkatárs személyes fiókjánál nincs.
- **Nincs rálátás:** ha a munkatárs kilép, a beszélgetései a fiókjával együtt mennek.

## Az intő példa: Samsung

2023 tavaszán a Samsung munkatársai belső, érzékeny adatokat másoltak a ChatGPT-be. A cég ezután korlátozta a generatív AI használatát a céges eszközökön, és arra kérte a munkatársakat, hogy ne adjanak meg céges vagy személyes adatot, mert a külső szerverekről nehéz törölni. A tanulság nem az, hogy tiltani kell, hanem az, hogy a szabálynak előbb kell megszületnie, mint az első incidensnek.

## Mit mond a jog?

**GDPR.** Ha egy AI-eszközbe személyes adatot írsz (ügyfél neve, e-mail-címe, egészségügyi adat, bér), az adatkezelés. Kell hozzá jogalap, a szolgáltatóval adatfeldolgozói szerződés, és tájékoztatni kell az érintetteket. Az Európai Adatvédelmi Testület (EDPB) 2024 decemberi véleménye szerint egy AI-modell anonimitását esetről esetre kell vizsgálni, a jogos érdek csak akkor lehet jogalap, ha az adatkezelés valóban szükséges, és ha egy modellt jogellenesen kezelt adatokon fejlesztettek, az a későbbi alkalmazására is kihathat.

**NAIH.** A magyar adatvédelmi hatóság a dél-koreai és a francia hatósággal közösen adott ki egy rövid, közérthető útmutatót a generatív AI adatvédelmi kérdéseiről. A javaslatai között szerepel, hogy hasonlítsd össze a szolgáltatásokat, és azt válaszd, ahol a legkisebb a kockázata annak, hogy a beírt szöveget más célra is felhasználják, valamint olvasd el az adatkezelési tájékoztatót, mielőtt használod.

**AI Act.** Az uniós AI-rendelet szerint a munkáltatónak intézkedéseket kell tennie a munkatársak AI-jártasságának támogatására. Egy adatkezelési szabály és egy rövid betanítás egyszerre teljesíti ezt és csökkenti az adatvédelmi kockázatot.

## Mit vállalnak az üzleti csomagok?

A nagy szolgáltatók üzleti csomagjai éppen ezekre a kérdésekre adnak választ.

**Microsoft Copilot (Microsoft 365).** A Microsoft szerint a promptokat, a válaszokat és a Microsoft Graphon keresztül elért céges adatokat nem használja az alapmodellek tanítására. A Copilot csak azt az adatot mutatja meg, amelyhez a felhasználónak legalább olvasási joga van. Az uniós ügyfeleknél az EU Data Boundary szolgáltatás része, egy kivétellel: a Copilotban elérhető Anthropic-modellekre ez jelenleg nem vonatkozik.

**Google Workspace (Gemini).** A Google szerint az ügyféladatokat előzetes engedély vagy utasítás nélkül nem használja modellek tanítására, és a Gemini-beszélgetéseket ember nem nézi át. A Geminire külön uniós adatrezidencia-vállalást viszont nem tesz.

**Anthropic Claude (Team, Enterprise).** Az Anthropic szerint az üzleti termékeiben (Claude for Work, API) alapértelmezésként nem használja a beviteleket és a válaszokat a modellek tanítására. Kivétel, ha a felhasználó kifejezetten visszajelzést vagy hibajelentést küld, vagy maga engedélyezi az adatok felhasználását. A Claude saját alkalmazásai és API-ja az Anthropic leírása szerint nem kínálnak uniós adattárolást. Ha ez szerződéses követelmény, a Claude az AWS Bedrockon és a Google Vertexen keresztül európai régióban is elérhető. Mi magunk elsősorban Claude-ot használunk.

Ez a lényeg: **a céges fiók nem drágább kényelem, hanem szerződéses védelem.**

## A tiltólista: mit ne másolj be soha

Egy rövid lista többet ér, mint egy hosszú szabályzat, amelyet senki nem olvas el. Még céges eszközbe se másolj be:

1. **jelszót, API-kulcsot, hozzáférési adatot;**
2. **különleges személyes adatot:** egészségügyi, bűnügyi, vallási, szakszervezeti adatot;
3. **bérjegyzéket, személyi aktát, teljesítményértékelést** névvel;
4. **más cég bizalmas anyagát,** amelyre titoktartási szerződés vonatkozik, ha az nem engedi;
5. **forráskódot, ha a cég szabályai ezt tiltják,** vagy ha ügyfél tulajdona.

A céges eszközbe, céges fiókkal, mehet:

- saját, nem bizalmas szöveg (ajánlattervezet, belső összefoglaló, marketingszöveg);
- nyilvános információ;
- ügyféladat, ha van rá jogalap, adatfeldolgozói szerződés a szolgáltatóval, és a feladathoz valóban szükséges. Ha lehet, név és azonosító nélkül.

A legegyszerűbb szabály: **ha nem küldenéd el e-mailben egy külső partnernek, ne másold be ingyenes fiókba sem.**

## Jogosultságok: a csendes kockázat

A céges AI-eszközöknek van egy kevésbé ismert veszélye. A Copilot és a hasonló eszközök mindent megtalálnak, amihez a felhasználónak joga van. Ha a jogosultságok rendetlenek (egy régi, mindenki számára megosztott mappában ott vannak a bérek, vagy egy kilépett vezető fájljai mindenkinek láthatók), az AI ezt nem hozza létre, de pillanatok alatt előkeresi.

Ezért egy céges AI-bevezetés előtt érdemes átnézni a megosztásokat. Ez nem AI-projekt, hanem egyszerű rendrakás, amely az AI nélkül is indokolt lenne. A leggyakoribb hibák: „mindenki” számára megosztott mappák, régi projektek nyitva hagyott linkjei és kilépett munkatársak le nem zárt anyagai.

## Technikai lépések, amelyek sokat segítenek

A szabály mellé néhány egyszerű technikai lépés is kell, különben a szabály csak papír marad:

- **céges bejelentkezés:** az AI-eszköz a céges fiókkal, egyszeri bejelentkezéssel (SSO) működjön, és a kilépő munkatárs hozzáférése a céges fiókkal együtt szűnjön meg;
- **többfaktoros hitelesítés:** egy feltört AI-fiók ugyanúgy hozzáfér a beszélgetésekhez és a céges dokumentumokhoz, mint egy feltört e-mail-fiók;
- **adminisztrátori beállítások:** az üzleti csomagokban ellenőrizd, hogy a tanítás ki van-e kapcsolva, mennyi ideig tárolódnak a beszélgetések, és ki láthatja őket;
- **naplózás:** a legtöbb üzleti csomag naplózza a használatot, ez incidens esetén aranyat ér.

## Mi a teendő, ha már megtörtént?

Ha kiderül, hogy valaki személyes adatot vagy bizalmas anyagot másolt be egy személyes AI-fiókba, ne pánikolj, de ne is söpörd le az asztalról.

1. **Mérd fel, mi került ki:** milyen adat, kié, mennyi, melyik szolgáltatóhoz.
2. **Töröltesd a beszélgetést,** és nézd meg a szolgáltató adatkezelési beállításait.
3. **Vizsgáld meg, adatvédelmi incidens-e.** A GDPR szerint a személyes adatokat érintő incidenst 72 órán belül be kell jelenteni a hatóságnak, ha az kockázattal jár az érintettekre. Ezt érdemes adatvédelmi szakemberrel eldönteni.
4. **Ne a munkatársat büntesd elsősorban,** hanem pótold a hiányzó szabályt és eszközt. Különben a következő esetről már nem fogsz tudni.

## Egyoldalas AI-szabályzat

Egy kkv-nak nem kell harmincoldalas dokumentum. Egy oldal elég, ha ezeket tartalmazza:

1. **Melyik eszközt használjuk,** céges fiókkal. Más eszköz céges adattal nem használható.
2. **Mire használható:** szövegvázlat, összefoglaló, fordítás, ötletelés, belső kérdések.
3. **A tiltólista** (lásd fent).
4. **Ki ellenőrzi az eredményt:** minden kifelé menő anyagot átnéz egy ember.
5. **Kihez lehet fordulni** kérdéssel vagy incidenssel.
6. **Mikor frissül** a szabály (évente, vagy ha új eszköz jön).

Ezt aláírni nem kell, de egy rövid betanításon érdemes végigmenni rajta, és dokumentálni, hogy megtörtént.

## Amit mi látunk

A cégeknél, ahol AI-ról beszélgetünk, szinte mindig kiderül, hogy több eszköz van használatban, mint amennyiről a vezetés tud. A probléma ritkán rosszindulat, sokkal inkább segítőkészség: a munkatárs gyorsabban akarja elvégezni a munkáját, és senki nem mondta meg neki, mit szabad. Ha ezt a kérdést egy céges eszközzel és egy egyszerű szabállyal megválaszolod, a használat láthatóvá válik, és onnantól kezelhető.

## Mit tegyél most?

1. **Kérdezd meg a csapatot,** milyen AI-eszközöket használnak, büntetés nélkül. A cél a leltár, nem a felelősségre vonás.
2. **Válassz egy céges eszközt,** céges fiókkal: a meglévő környezetedhez illőt (Microsoft 365 esetén Copilot, Google Workspace esetén Gemini), vagy egy önálló asszisztens üzleti csomagját (Claude Team, ChatGPT Business).
3. **Ellenőrizd a szerződést:** tanítás kizárva, adatfeldolgozói szerződés, adatok helye.
4. **Nézd át a megosztásokat és a jogosultságokat,** mielőtt bekapcsolod.
5. **Írd meg az egyoldalas szabályt** a tiltólistával.
6. **Tarts egy rövid betanítást,** és dokumentáld.
7. **Évente nézd át** a leltárt és a szabályt.

Ha szeretnéd, hogy egy céges AI-eszköz bevezetését a jogosultságok átnézésétől a szabályzatig valaki végigvigye veled, nézd meg az [AI-megoldásainkat](/ai-megoldasok/) és az [infrastruktúra és üzemeltetés](/infrastruktura/) szolgáltatásunkat.

## GYIK

### Szabad ügyféladatot beírni a ChatGPT-be?

Ingyenes, személyes fiókba nem. Céges, üzleti csomagba akkor, ha van rá jogalap, adatfeldolgozói szerződés a szolgáltatóval, és a feladathoz valóban szükséges. Ha lehet, név és azonosító nélkül.

### Tanítja-e a modellt a céges adatainkkal a Claude, a Copilot vagy a Gemini?

A szolgáltatók szerint az üzleti csomagokban nem: az Anthropic szerint az üzleti termékeiben alapértelmezésként nem tanít a beviteleken és a válaszokon, a Microsoft szerint a Copilot promptjait és a céges adatokat nem használja az alapmodellek tanítására, a Google szerint pedig a Workspace-ügyféladatokat engedély nélkül nem használja tanításra.

### Mi az árnyék-AI?

Az, amikor a munkatársak a cég tudta és szabályai nélkül, jellemzően saját ingyenes fiókkal használnak AI-eszközöket céges feladatokra. Az IBM szerint minden ötödik szervezetnél volt már ehhez köthető incidens.

### Elég, ha betiltjuk az AI-t?

Nem. A tiltás ritkán működik: a munkatársak a saját telefonjukon folytatják, csak ellenőrzés nélkül. Egy engedélyezett céges eszköz és egy rövid szabály sokkal jobban csökkenti a kockázatot.

### Kell-e erről tájékoztatni az ügyfeleket?

Ha személyes adatukat AI-eszközzel kezeled, az adatkezelési tájékoztatóban szerepelnie kell az adatfeldolgozónak és a célnak. Ezt érdemes adatvédelmi szakemberrel átnézni.

## Sources

- [EDPB – Opinion 28/2024 on AI models: GDPR principles support responsible AI](https://www.edpb.europa.eu/news/news/2024/edpb-opinion-ai-models-gdpr-principles-support-responsible-ai_en)
- [EDPB Support Pool of Experts – AI Privacy Risks & Mitigations: Large Language Models](https://www.edpb.europa.eu/our-work-tools/our-documents/support-pool-experts-projects/ai-privacy-risks-mitigations-large_en)
- [NAIH – Generatív MI és adatvédelem (közös plakát a dél-koreai és a francia adatvédelmi hatósággal)](https://www.naih.hu/files/ai_poster_pipc_cnil_naih_web.pdf)
- [IBM – 13% of organizations reported breaches of AI models or applications](https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls)
- [IBM – Cost of a Data Breach Report 2026](https://www.ibm.com/reports/data-breach)
- [Microsoft Work Trend Index 2024 – AI at Work Is Here. Now Comes the Hard Part](https://www.microsoft.com/en-us/worklab/work-trend-index/ai-at-work-is-here-now-comes-the-hard-part)
- [Microsoft Learn – Data, Privacy, and Security for Microsoft Copilot](https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-privacy)
- [Google – Generative AI in Google Workspace Privacy Hub](https://knowledge.workspace.google.com/admin/gemini/generative-ai-in-google-workspace-privacy-hub?hl=en)
- [Eurostat – Use of artificial intelligence in enterprises](https://ec.europa.eu/eurostat/statistics-explained/index.php?title=Use_of_artificial_intelligence_in_enterprises)
- [TechCrunch – Samsung bans use of generative AI tools like ChatGPT after April internal data leak](https://techcrunch.com/2023/05/02/samsung-bans-use-of-generative-ai-tools-like-chatgpt-after-april-internal-data-leak/)
- [Anthropic Privacy Center – Is my data used for model training?](https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training)
- [Anthropic – Regional compliance](https://claude.com/regional-compliance)