Bemásolsz egy ügyféllevelet a ChatGPT-be, hogy segítsen udvarias választ írni. Kényelmes, gyors, és közben észre sem veszed, hogy egy harmadik fél nevét, e-mail-címét és panaszát épp átadtad egy amerikai szolgáltatónak. A legtöbb szabadúszó, legyen virtuális asszisztens, röviden VA, szövegíró vagy marketinges, nem rossz szándékból hibázik itt, hanem mert senki nem mondta el neki, hol a határ.
Ebben a cikkben végigmegyünk az alapokon: mi számít személyes adatnak, ki kicsoda a GDPR szerint, mit mondanak a nagy AI-szolgáltatók arról, mi történik a beírt szöveggel, és hogyan tudsz úgy dolgozni AI-val, hogy az ügyfeled is nyugodtan aludjon. A végén kapsz egy mintát is az ügyféllel közös AI-használati szabályhoz.
Ebben a cikkben
Mielőtt belekezdesz
Ez a cikk általános tájékoztatás, nem jogi tanácsadás. Azt mutatja meg, milyen kérdéseket kell feltenned, és hol találod a hivatalos forrásokat. Konkrét szerződéshez, adatkezelési tájékoztatóhoz vagy kényes adatokhoz kérd adatvédelmi szakember vagy jogász segítségét.
Mi számít személyes adatnak?
A GDPR, vagyis az Európai Unió általános adatvédelmi rendelete, mindenre vonatkozik, ami egy élő embert azonosít vagy azonosíthatóvá tesz. A rendelet hivatalos magyar szövegét az EUR-Lex oldalán olvashatod, a magyar adatvédelmi hatóság, a NAIH pedig a saját oldalán is közzétette.
A lényeg: nem csak a név számít. Személyes adat az e-mail-cím, a telefonszám, a lakcím, a számlaszám, egy fénykép, egy hangfelvétel, de akár egy olyan leírás is, amiből kitalálható, kiről van szó. „A debreceni fogorvos, aki tavaly nyitotta a második rendelőjét” nem tartalmaz nevet, mégis könnyen azonosítható.
A rendelet külön kezeli a különleges adatokat (9. cikk). Ide tartozik többek közt az egészségi állapot, a vallási vagy politikai meggyőződés, a szakszervezeti tagság, a szexuális irányultság, valamint a genetikai és az azonosításra használt biometrikus adat. Ezekre szigorúbb szabályok vonatkoznak, és AI-eszközbe gyakorlatilag soha nem valók.
Szabadúszóként: hol van személyes adat a napodban?
- Az ügyfeled postafiókja: minden levél feladója, aláírása, a levélben említett emberek.
- A CRM, vagyis az ügyfélkezelő rendszer, vagy egy hírlevél- és hirdetési közönséglista: érdeklődők neve, cége, elérhetősége, jegyzetek róluk.
- A számlák és a bankszámlakivonatok: nevek, címek, adószámok, összegek.
- A naptár: kivel, mikor, milyen ügyben találkozik az ügyfeled.
- Egy HR-mappa: önéletrajzok, bérek, betegszabadságok.
Ha belegondolsz, a legtöbb szabadúszói munka, a levelezéstől a hírlevélen át a hirdetéskezelésig, személyes adatokkal jár. Ezért nem az a kérdés, hogy találkozol-e velük, hanem az, hogy mit kezdesz velük, amikor AI-t használsz.
Egy pillantásra: mit írhatsz be az AI-ba?
Mielőtt a részletekbe megyünk, itt egy gyors áttekintés. Ha sietsz, ez már elég ahhoz, hogy a mai munkádnál jó döntést hozz.
| Adattípus | Beírható-e? | Feltétel |
|---|---|---|
| Saját, általános szöveg vagy sablon | Igen | Nincs benne ügyfél- vagy személyes adat |
| Ügyfél nyilvános anyaga | Igen, óvatosan | Az ügyfél tud róla, hogy AI-t használsz |
| Ügyfél belső üzleti anyaga | Csak engedéllyel | Írásos engedély, kikapcsolt modelltanítás vagy üzleti csomag |
| Valóban anonimizált szöveg | Igen | A kontextusból sem azonosítható senki |
| Álnevesített adat | Csak engedéllyel | Továbbra is személyes adatnak számít |
| Nevek, e-mail-címek, telefonszámok | Csak engedéllyel | Szerződés, üzleti csomag, csak a szükséges adat |
| Számlák, bankszámlaszám, adóazonosító | Nem | Anonimizáld, vagy dolgozz AI nélkül |
| Egészségügyi és más különleges adat | Nem | Szakember bevonása nélkül soha |
| Jelszó, belépési kód, API-kulcs | Soha | Nincs olyan feltétel, ami indokolná |
A lényeg
Az alapszabály egyszerű: ami nem a tiéd, azt csak az ügyfeled tudtával és engedélyével adhatod tovább, egy AI-eszköznek is.
Adatkezelő, adatfeldolgozó: ki kicsoda?
A GDPR két szerepet különít el, és ezek megértése a legfontosabb lépés. Az adatkezelő az, aki eldönti, milyen célra és milyen eszközökkel használják az adatokat. Az adatfeldolgozó az, aki az adatkezelő nevében, az ő utasítására dolgozik velük.
A legtöbb szabadúszói megbízásban az ügyfeled az adatkezelő (hiszen az ő ügyfelei, az ő levelei, az ő számlái), te pedig az adatfeldolgozó. Ha te AI-eszközt használsz a munkához, az AI-szolgáltató egy újabb láncszem lesz: a rendelet ezt további adatfeldolgozónak hívja.
A rendelet 28. cikke szerint az adatfeldolgozó csak az adatkezelő előzetes, írásos engedélyével vonhat be további adatfeldolgozót. Egyszerűbben: ha az ügyfeled nem tudja, hogy a leveleit egy AI-eszköz is látja, akkor nem adtad meg neki a lehetőséget, hogy erről döntsön.
A két szerep részletes, példákkal teli magyarázatát az Európai Adatvédelmi Testület (EDPB) is összefoglalta; kezdőknek a testület kisvállalkozásoknak szóló adatvédelmi útmutatója a legbarátságosabb kiindulópont, magyarul is.
Mikor vagy te az adatkezelő?
Ha a saját vállalkozásod adataival dolgozol (a saját ügyfeleid listája, a saját számláid, a hírleveled feliratkozói), akkor te vagy az adatkezelő, és te döntesz arról, használsz-e hozzájuk AI-t. Ilyenkor a saját adatkezelési tájékoztatódban kell erről számot adnod.
Az ügyfél engedélye és a szerződés
A gyakorlatban két dolog kell ahhoz, hogy ügyféladattal AI-t használhass: egy adatfeldolgozási szerződés (vagy a megbízási szerződésed adatvédelmi melléklete) és az ügyfél kifejezett engedélye arra, hogy konkrét AI-eszközt bevonj.
Az adatfeldolgozási szerződés a GDPR szerint rögzíti, milyen adatokkal, milyen célra, mennyi ideig dolgozol, és milyen biztonsági intézkedéseket tartasz be. Sok szabadúszó ezt még AI nélkül sem kötötte meg az ügyfeleivel. Ha nálad is hiányzik, ez jó alkalom pótolni, mert az ügyfélnek is kötelessége, hogy csak megfelelő garanciákat nyújtó adatfeldolgozóval dolgozzon.
Az AI-ról szóló résznél legyél konkrét. Ne azt írd, hogy „mesterséges intelligenciát is használhatok”, hanem nevezd meg az eszközt, a csomagot és a feladatokat.
Így hangozhat egy engedélykérő levél
„Szia Katalin! A heti hírlevél vázlatát és a blogcikkek szerkesztését szeretném a Claude Team csomagjával gyorsítani. Ebben a csomagban a szolgáltató alapból nem tanítja a modelljeit a feltöltött tartalmon. Ügyfélneveket, e-mail-címeket és számlaadatot nem töltök fel, a többi anyagot pedig a beküldés előtt anonimizálom. Ha rendben van, beírom a szerződésünk mellékletébe.”
Kérdezd meg, van-e már szabályuk
Nagyobb ügyfeleknél gyakran létezik belső AI-szabályzat vagy jóváhagyott eszközlista. Ilyenkor nem neked kell kitalálnod a kereteket, csak alkalmazkodnod hozzájuk. Kérdezd meg már az első egyeztetésen, és ha az ügyfél saját céges fiókot ad egy AI-eszközhöz, azt használd a sajátod helyett.
Ingyenes vagy üzleti AI-csomag: mi történik az adattal?
A nagy szolgáltatók más szabályokat alkalmaznak az egyéni (ingyenes és belépő fizetős) és az üzleti csomagoknál. A legfontosabb kérdés az, hogy a beírt szöveget felhasználhatják-e a modelljeik fejlesztésére, vagyis modelltanításra.
ChatGPT
Egyéni csomagban a Beállítások, Adatvezérlők menüben kapcsolhatod ki az „Improve the model for everyone” opciót. Az OpenAI üzleti adatkezelési oldala szerint a Business és az Enterprise csomag adatain alapból nem tanítanak, és adatfeldolgozási kiegészítő is köthető.
Claude
A Claude adatvédelmi központja szerint a Free, Pro és Max csomagban a beszélgetés akkor kerülhet fejlesztésre, ha a beállításaidban ezt engedélyezted. Az inkognitó beszélgetések kimaradnak. A Team és az Enterprise csomagban a modelltanítás alapból nincs.
Gemini
A Gemini adatvédelmi központja szerint bekapcsolt tevékenységmentésnél a beszélgetések modelltanításra is felhasználhatók, egy részüket emberi ellenőrök is átnézhetik. A Google kéri, hogy ne írj be olyan bizalmas adatot, amit nem szeretnél, hogy ellenőr lásson.
A kikapcsolás nem varázsgomb
A modelltanítás kikapcsolása nem jelenti azt, hogy az adat el sem jut a szolgáltatóhoz. A Gemini oldala szerint például kikapcsolt tevékenységmentésnél is 72 óráig tárolják a beszélgetést, az OpenAI pedig az ideiglenes csevegéseket biztonsági okból legfeljebb 30 napig őrizheti meg. A szolgáltatók ráadásul többnyire az Unión kívül, jellemzően az Egyesült Államokban működnek, és az adattovábbítás kérdését az ügyfelednek, szükség esetén szakemberrel, kell megítélnie.
Gyakorlati következtetés: ha rendszeresen dolgozol ügyféladattal AI-eszközben, az egyéni csomag kikapcsolt modelltanítással csak a minimum. Az üzleti csomagok (ChatGPT Business, Claude Team, Google Workspace-be épített Gemini) szerződéses garanciákat is adnak, amelyeket az ügyfeled is megnézhet. A csomagok funkcióit és árait a ChatGPT, Claude és Gemini összehasonlításában részletesen végignéztük.
Delegria Insights
Nem minden feladatot kell AI-val csinálni
Adatvédelmi szempontból is az a legbiztonságosabb, ha a kényes feladatokat eleve nem adod oda a gépnek. Az AI és az ember munkamegosztásáról szóló cikkünk segít eldönteni, mit érdemes rábízni, és mit nem.
Anonimizálás lépésről lépésre
Az anonimizálás azt jelenti, hogy úgy alakítod át a szöveget, hogy abból senki ne legyen azonosítható, se közvetlenül, se a részletekből kikövetkeztetve. A GDPR szerint a valóban anonim adat már nem személyes adat. Az álnevesítés viszont más: ha a neveket kódra cseréled, de a kulcs nálad megvan, az adat továbbra is személyes adat marad.
Ez a hat lépés a legtöbb szabadúszói feladathoz elég:
- Gondold végig, kell-e egyáltalán a valódi adat. Egy levél hangnemének javításához nem kell a feladó neve. Egy táblázat képletének megírásához nem kellenek a valódi sorok, elég három kitalált.
- Cseréld le a közvetlen azonosítókat. Nevek helyett [Ügyfél A], [Kolléga B], cégnév helyett [Cég], e-mail-cím és telefonszám helyett [e-mail], [telefon].
- Keresd meg a közvetett azonosítókat. Település, pontos dátum, beosztás, ritka foglalkozás, egyedi esemény: ezekből együtt könnyen kitalálható valaki. Általánosíts: „egy vidéki városban”, „tavaly ősszel”.
- Kerekítsd vagy írd át a számokat. Pontos összeg, számlaszám, rendelésszám helyett kerek vagy kitalált érték, ha a feladathoz nem kell a valódi.
- Olvasd át még egyszer kívülállóként. Ha valaki, aki ismeri az ügyfeled környezetét, rájönne, kiről van szó, még nem vagy kész.
- Az eredményt te teszed vissza. Az AI válaszába a valódi adatokat a saját gépeden írd vissza, ne kérd meg erre a csevegőt.
Előtte és utána
Előtte: „Kovács Péter (kovacs.peter@pelda.hu) panaszt tett, mert a március 14-i, 86 450 Ft-os számláján kétszer szerepel a szállítási díj.”
Utána: „[Ügyfél A] panaszt tett, mert egy nemrégi számláján kétszer szerepel a szállítási díj. Írj udvarias, bocsánatkérő választ, amelyben jelezzük, hogy a javított számlát elküldjük.”
Mit soha ne írj be?
Vannak adatok, amelyeknél nincs olyan beállítás, csomag vagy engedély, ami miatt érdemes lenne kockáztatni. Ezeket a feladatokat végezd AI nélkül, vagy csak teljesen adatmentes vázlatnál használd a gépet.
- Jelszavak, belépési kódok, kétlépcsős azonosító kódok, API-kulcsok.
- Bankkártyaszám, bankszámlaszám, adóazonosító jel, személyi igazolvány vagy útlevél száma.
- Egészségügyi adatok: betegszabadság oka, diagnózis, orvosi lelet, terápiás jegyzet.
- Vallásra, politikai nézetre, szexuális irányultságra vagy szakszervezeti tagságra utaló információ.
- Önéletrajzok, bérlisták, munkavállalói értékelések egészben.
- Gyermekek adatai, például egy iskolai vagy tábori jelentkezési lista.
- Bármi, amire az ügyfeled titoktartást kért, vagy amit a szerződésetek bizalmasnak nevez.
Ökölszabály
Ha egy adatot nem küldenél el egy idegennek e-mailben, ne írd be egy AI-eszközbe sem.
Ha mégis megtörténik a baj, például véletlenül bemásoltál egy teljes ügyféllistát, ne próbáld eltüntetni. Töröld a beszélgetést, és azonnal szólj az ügyfelednek. A GDPR szerint adatvédelmi incidensnél az adatfeldolgozónak indokolatlan késedelem nélkül értesítenie kell az adatkezelőt. Az ügyfélnek pedig, ha az incidens kockázattal jár, főszabályként 72 órán belül be kell jelentenie a NAIH-nak, ezért minden óra számít.
AI-használati szabályzat az ügyféllel
A legtöbb félreértés megelőzhető egy egyoldalas, közösen elfogadott szabállyal. Nem kell hozzá jogi nyelvezet: az a cél, hogy mindketten ugyanazt értsétek „AI-használat” alatt. A végleges szöveget érdemes szakemberrel átnézetni, és a megbízási vagy adatfeldolgozási szerződés mellékleteként rögzíteni.
- Engedélyezett eszközök: pontosan melyik szolgáltatás, melyik csomag, kinek a fiókjával.
- Engedélyezett feladatok: például vázlatírás, szövegjavítás, összefoglalás, fordítás.
- Tiltott adatok: az előző fejezet listája, az ügyfél saját kiegészítéseivel.
- Beállítások: kikapcsolt modelltanítás, ideiglenes vagy inkognitó csevegés kényes anyagnál.
- Ellenőrzés: minden AI-val készült szöveget ember néz át, mielőtt kimegy.
- Átláthatóság: jelzed-e, és hogyan, ha egy anyag AI segítségével készült.
- Incidens: kinek és milyen gyorsan szólsz, ha valami rossz helyre került.
- Felülvizsgálat: például félévente, vagy amikor új eszközt vezetnél be.
Egy mondatos változat a szerződésbe
„A Megbízott a feladatokhoz kizárólag a mellékletben felsorolt AI-eszközöket használja, kikapcsolt modelltanítással, személyes adatot csak a Megbízó előzetes írásos engedélyével és a szükséges mértékben ad meg, és minden AI-val készült anyagot átadás előtt ellenőriz.”
Ezt a mondatot ne másold be változtatás nélkül. Kiindulópontnak jó, de a te szerződésedhez, a te vállalkozási formádhoz és az ügyfeled igényeihez igazítani kell, ebben egy adatvédelemben jártas jogász tud segíteni.
Előny, nem teher
Ha az első egyeztetésen te hozod fel az AI-szabályzatot, az ügyfél azt látja, hogy komolyan veszed az adatait. Sok vállalkozó éppen emiatt fél külsős segítőt bevonni, és egy átgondolt egyoldalas szabály többet mond rólad, mint bármilyen bemutatkozó szöveg. Ezzel nem csak a saját munkádat véded: segítesz az ügyfelednek rendet tenni egy olyan kérdésben, amit ő maga sem gondolt még végig.
Delegria Community
Legyél megtalálható szabadúszóként
A Delegria Community kereshető könyvtár szabadúszóknak és virtuális asszisztenseknek: a vállalkozók itt keresnek segítőt. Ingyen regisztrálhatsz, és a profilodban megírhatod, kinek miben segítesz és milyen eszközökkel dolgozol. A közösség most indul, ezért még kevés profillal.
Jogi kérdésekben
Ez a cikk általános tájékoztatás, nem jogi tanácsadás. A szerződéseidet, az adatkezelési tájékoztatódat és a különleges adatokat érintő munkát mindig adatvédelmi szakemberrel vagy jogásszal egyeztesd. A hatósági állásfoglalásokat a NAIH oldalán követheted.
