AI-t használsz adatfeldolgozóként? Ezt tedd a szerződésbe, mielőtt aláírsz

Az ügyfél átküldi a szerződéstervezetet, benne egy hosszú adatvédelmi melléklettel. Átfutod, aláírod, és másnap már az ő ügyfeleinek leveleit foglalod össze egy AI-eszközzel. Csakhogy a mellékletben egy szó sem esik az AI-ról, így papíron olyasmit csinálsz, amire nincs engedélyed.

Ebben a cikkben nem az alapokat ismételjük, hanem a szerződésre koncentrálunk: mit kell beleírni, ha ügyféladattal dolgozol és közben AI-t használsz, mi számít adatvédelmi incidensnek, kinek mi a dolga, ha baj van, és hogyan véded le magad. A végén kapsz egy aláírás előtti ellenőrzőlistát és egy minta AI-mellékletet is.

Miért más a szerződés, ha AI is van a láncban?

Ha egy ügyfeled megbíz, hogy kezeld a levelezését, a CRM-jét vagy a számláit, akkor az ő ügyfeleinek személyes adataival dolgozol. A GDPR, vagyis az uniós adatvédelmi rendelet szóhasználatában az ügyfeled az adatkezelő (ő dönti el, mi történjen az adattal), te pedig az adatfeldolgozó (az ő nevében, az ő utasítására dolgozol). Kettőtök között a rendelet 28. cikke szerint írásos szerződés kell: ezt hívjuk adatfeldolgozói szerződésnek.

Amikor AI-eszközt is bevonsz, a lánc egy szemmel hosszabb lesz. Az AI-szolgáltató a beírt szöveget a saját szerverein dolgozza fel, ezért a rendelet szerint jellemzően további adatfeldolgozónak (a gyakorlatban gyakran alvállalkozónak, angolul sub-processornak) minősül. A GDPR hivatalos magyar szövege 28. cikkének (2) bekezdése szerint ilyet csak az adatkezelő előzetes, írásos engedélyével vonhatsz be. Az engedély lehet egyedi (konkrétan erre az eszközre) vagy általános (egy listára, amelynek változásáról előre szólsz, és az ügyfél tiltakozhat).

Az Európai Bizottság adatkezelőt és adatfeldolgozót bemutató oldala ugyanezt mondja egyszerűbben: az adatfeldolgozó a feladata egy részét csak az adatkezelő előzetes írásos engedélyével adhatja tovább másnak.

Ezért nem elég, hogy „úgyis üzleti csomagot használok”. A szerződésben kell látszania, melyik eszközről van szó, milyen feltételekkel, és hogy az ügyfél ezt jóváhagyta.

A szerződés pontjai egy pillantásra

Mielőtt egyenként végigmegyünk rajtuk, itt van a teljes kép. Ha holnap írsz alá, már ebből látod, mit keress a tervezetben.

Szerződéses pont	Miért kell?	Mintamondat
AI-eszköz megnevezése	Enélkül nincs engedélyed további adatfeldolgozóra	„A Megbízott a [eszköz, csomag] szolgáltatást használja.”
Beállítások	Bizonyítja, hogy nem tanítanak az adaton	„A modelltanítás ki van kapcsolva.”
Tiltott adatok	Kizárja a legkockázatosabb hibákat	„Különleges adat AI-eszközbe nem kerül.”
Anonimizálás	Kevesebb személyes adat, kisebb kockázat	„Neveket bevitel előtt álnévre cseréli.”
Adatok helye	Harmadik országba továbbításról az ügyfél dönt	„A szolgáltató EU-n kívül is feldolgozhat.”
További adatfeldolgozók listája	A 28. cikk írásos engedélyt kér	„Új eszköz előtt 15 nappal értesít.”
Utasításhoz kötöttség	Csak az ügyfél céljára dolgozhatsz	„Kizárólag írásos utasítás alapján jár el.”
Titoktartás	Az adat nem kerülhet illetéktelenhez	„A szerződés megszűnése után is titoktartás.”
Biztonsági intézkedések	A 32. cikk ezt előírja	„Kétlépcsős azonosítás minden fiókon.”
Érintetti kérelmek	Az ügyfélnek határidőre válaszolnia kell	„Kérésre 5 munkanapon belül segít.”
Incidens-bejelentés	Az ügyfélnek 72 órája van a hatóság felé	„Tudomásszerzéstől 24 órán belül értesít.”
Törlés vagy visszaadás	A munka végén nem maradhat nálad adat	„Megszűnéskor 30 napon belül töröl.”
Auditjog	Az ügyfél ellenőrizheti, hogy betartod	„Évente egyszer dokumentumokkal igazol.”
Felelősségkorlátozás	A kártérítés ne legyen korlátlan	„Felelőssége a megbízási díj összegéig terjed.”

Mit tegyél a szerződésbe aláírás előtt?

A táblázat pontjait most kibontjuk. A határidők és számok a mintamondatokban szemléltető példák, a saját helyzetedhez és az ügyfél igényeihez kell igazítani őket.

Melyik eszköz, milyen csomag, milyen beállítás

Nevezd meg pontosan: melyik AI-eszközt, melyik csomagban és milyen beállítással használod. Az „AI-t is használhatok” túl tág, az ügyfél nem tud mit jóváhagyni. Írd le, hogy a modelltanítás ki van kapcsolva, üzleti csomagot használsz, és ha a szolgáltatónál beállítható, mennyi ideig őrzi az adatot.

A szolgáltatók az üzleti csomagjaikhoz saját adatfeldolgozási kiegészítőt, angol rövidítéssel DPA-t kínálnak. Az OpenAI adatfeldolgozási kiegészítője például rögzíti, hogy a szolgáltató listát vezet a saját további adatfeldolgozóiról, és a változásokról értesít. Az Anthropic adatfeldolgozási kiegészítője az üzleti feltételek része, és incidensnél 48 órás értesítést vállal. Ezek az üzleti szerződésekhez tartoznak, egy ingyenes magánfiókra nem ugyanez vonatkozik.

Hogy melyik eszközben hol találod a kapcsolókat, azt az AI-eszközök adatbiztonsági beállításairól szóló cikkünk lépésről lépésre mutatja.

Milyen adat soha, és hogyan csökkented a többit

Legyen a szerződésben egy rövid tiltólista: különleges adat (például egészségügyi adat), bankkártya- és bankszámlaadat, személyi igazolvány, jelszó soha nem kerül AI-eszközbe. A többinél írd le, hogyan csökkented az adatot. Az anonimizálás azt jelenti, hogy senki nem azonosítható többé. Az álnevesítés azt, hogy a nevet kódra cseréled, de a kulcs nálad van, így ez továbbra is személyes adat.

Hol tárolódik az adat?

A nagy AI-szolgáltatók többsége az Egyesült Államokban működik. Ha az adat az EU-n kívülre kerül, az harmadik országba továbbításnak számít, amire a rendelet külön szabályokat ír elő. Erről nem te döntesz, hanem az ügyfél: a te dolgod, hogy pontosan megmondd, hová kerülhet az adat. Nézd meg a szolgáltató DPA-ját, és írd be a szerződésbe, mit vállal az adatok helyéről.

Lista, változás, utasítás, titoktartás

A további adatfeldolgozók listája egy mellékletben legyen: minden eszköz, amely ügyféladatot lát (AI, felhőtárhely, jelszókezelő). Rögzítsd, hogy új eszköz bevonása előtt értesíted az ügyfelet, és ő tiltakozhat. Az utasításhoz kötöttség azt jelenti, hogy csak az ügyfél céljára és az ő utasítása szerint dolgozol az adattal, a sajátodra soha. A titoktartásról és a szerződés tágabb kereteiről az együttműködési megállapodásról szóló cikkünk ír részletesen.

Biztonság, érintetti kérelmek, incidens

A biztonsági intézkedéseknél elég konkrét, de rövid lista: kétlépcsős azonosítás, jelszókezelő, titkosított laptop, külön üzleti fiók. Az érintetti kérelmek azok, amikor valaki (például az ügyfeled vásárlója) megkérdezi, milyen adatot tárolnak róla, vagy kéri a törlését. Ha az adat nálad vagy az AI-eszközben van, segítened kell az ügyfélnek a válaszban. Az incidens-bejelentésnél legyen határidő (például 24 óra) és mód (például e-mail és telefon egy megnevezett kapcsolattartónak).

A vég és a felelősség

Rögzítsd, mi történik a szerződés végén: az ügyfél döntése szerint törlöd vagy visszaadod az adatokat, az AI-eszközben tárolt beszélgetéseket és fájlokat is. A gyakorlati teendőket a szerződés megszűnéséről szóló cikkünk sorolja fel. Az auditjog azt jelenti, hogy az ügyfél ellenőrizheti, betartod-e a vállalásaidat. Egy szabadúszónál ez rendszerint dokumentumok és képernyőképek bemutatása. A felelősségkorlátozás pedig azt rögzíti, legfeljebb mekkora összegig felelsz, ha hiba történik.

Hat kockázat, amire a szerződés is felel

A legtöbb baj nem rosszindulatból történik, hanem egy rossz kattintásból. Ez a hat helyzet a leggyakoribb, és mindegyikre van szerződéses és gyakorlati válasz.

Figyelj arra, hogy a kockázat nem csak a te fiókodban születhet meg. Ha az ügyfél ad hozzáférést a saját céges AI-fiókjához, ott az ő beállításai érvényesek, ezt is érdemes a mellékletben rögzíteni.

Mi az adatvédelmi incidens, és kinek mi a dolga?

A rendelet 4. cikkének 12. pontja szerint adatvédelmi incidens minden olyan biztonsági hiba, amely miatt személyes adat véletlenül vagy jogellenesen megsemmisül, elvész, megváltozik, illetéktelenhez kerül, vagy illetéktelen hozzáfér. Közérthetően: ha egy ügyféladat olyan helyre került vagy olyan ember látta, ahová vagy akinek nem lett volna szabad, vagy elveszett, az incidens.

Az EDPB, vagyis az Európai Adatvédelmi Testület kkv-knak szóló incidens-oldala hangsúlyozza, hogy nem kell hozzá hacker: a véletlen hibák is ide tartoznak. Szabadúszó-hétköznapokból ilyenek lehetnek:

• Rossz címzettnek küldöd el az ügyfél vevőlistáját.
• Egy megosztott meghajtómappa vagy AI-beszélgetés linkje nyilvános, és bárki eléri.
• Az ügyfél teljes ügyféllistáját egy ingyenes AI-fiókba másolod, ahol be van kapcsolva a modelltanítás.
• Elveszted a laptopodat, amelyen nincs titkosítás.
• Ugyanazt a jelszót használod több ügyfélfiókhoz, és az egyik kiszivárog.

Kinek mi a dolga?

A rendelet 33. cikke két szereplőnek ad feladatot. Te, az adatfeldolgozó, indokolatlan késedelem nélkül szólsz az ügyfélnek, amint tudomást szereztél az incidensről. Az ügyfél, az adatkezelő, a tudomásszerzéstől számított 72 órán belül bejelenti a hatóságnak, ha az incidens kockázatot jelent az érintettekre. A NAIH incidensekről szóló tájékoztatója szerint erre online incidensbejelentő rendszer is van, és az adatkezelőnek minden incidensről nyilvántartást kell vezetnie, akkor is, ha nem kell bejelenteni.

Mit okozhatsz az ügyfélnek?

Egy incidens az ügyfél számára több fronton is fájhat. A hatóság bírságot szabhat ki rá, ha kiderül, hogy nem gondoskodott megfelelő garanciákról. Sérülhet a hírneve, főleg ha az érintetteket értesítenie kell. Az értesítés maga is munka és költség. Ha valakinek kára keletkezik, kártérítést követelhet, és a rendelet szerint ilyenkor az adatfeldolgozó is felelhet, ha nem tartotta be a rá vonatkozó kötelezettségeket vagy az ügyfél utasításait.

Hogyan véded le magad?

A szerződés az első védvonal, de csak akkor ér valamit, ha a hétköznapokban is be tudod bizonyítani, hogy betartod. Ez a hat szokás segít ebben. Ha egyszer leírod őket saját ellenőrzőlistaként, minden új ügyfélnél ugyanazzal a módszerrel indulsz, nem nulláról.

A biztosítás típusairól és kizárásairól a szabadúszóknak szóló felelősségbiztosítási cikkünk ír részletesen. Egy fontos különbség: a felelősségkorlátozás azt szabja meg, mennyit követelhet tőled az ügyfél, a biztosítás pedig azt, mennyit fizet ki helyetted valaki más.

Aláírás előtti ellenőrzőlista

Mielőtt aláírod az adatfeldolgozói szerződést vagy a mellékletét, menj végig ezen a hét lépésen. Egy átlagos szerződésnél fél óra az egész.

1. Tisztázd a szerepeket. Ellenőrizd, hogy a szerződés kimondja: az ügyfél az adatkezelő, te az adatfeldolgozó, és milyen adatokkal, milyen célra dolgozol.
2. Nézd meg, szerepel-e az AI. Ha nem, kérd, hogy kerüljön bele egy melléklet a megnevezett eszközzel, csomaggal és beállításokkal.
3. Egyeztesd a beállításokat a valósággal. Nyisd meg az AI-fiókodat, és csak azt írd be, ami ténylegesen úgy van. Készíts róla képernyőképet.
4. Olvasd el a szolgáltató DPA-ját. Nézd meg, mit vállal a további adatfeldolgozókról, az adatok helyéről és az incidens-értesítésről.
5. Ellenőrizd a határidőket. Az incidens-értesítés, az érintetti kérelmekben nyújtott segítség és a törlés határideje legyen reális a te munkarendedben.
6. Keresd meg a felelősségi pontot. Ha nincs felső határ, javasolj egyet. Ha van, nézd meg, fedezi-e a biztosításod.
7. Kérdezz, ha valami homályos. Ha egy pontot nem értesz, kérj magyarázatot az ügyféltől vagy egy ügyvédtől aláírás előtt, nem utána.

• Az AI-eszköz, a csomag és a beállítás név szerint szerepel a szerződésben.
• Van lista a további adatfeldolgozókról, és szabály a változásra.
• Az incidens-értesítés határideje és módja le van írva.
• Tudod, mi a teendőd a szerződés végén az AI-ban tárolt adatokkal.
• Van felső határa a felelősségednek.