AI-használati szabályzat: mit tartalmazzon egy KKV-nál

Ha már megvan, hogy mit ne másolj be egy AI-chatbe, a következő kérdés az, hogyan mondod el ezt úgy a csapatnak, hogy meg is jegyezzék. Egy szóbeli figyelmeztetés két hét alatt elfelejtődik. Egy húszoldalas szabályzatot senki nem olvas el. Ami működik, az egy rövid, konkrét, leírt dokumentum — ez a cikk arról szól, mi kerüljön bele.

Miért nem elég a tiltás

A legtöbb cégnél az első ösztön az, hogy betiltják az AI-eszközök használatát. Ez nem működik, mert az AI valódi időt spórol, és aki eddig használta, ezután is fogja — csak nem szól róla. Egy tiltás így nem megszünteti a kockázatot, hanem eltünteti a rálátást rá. A cél nem a tiltás, hanem az, hogy legyen egy világos keret: mit szabad, mivel, és mit nem.

Mit tartalmazzon a szabályzat

1. Melyik eszköz melyik célra megy. Sorold fel név szerint, mely AI-eszközök engedélyezettek (pl. a cégnél előfizetett verzió), és melyekhez kell külön jóváhagyás. Ha van céges fiók egy szolgáltatásra, írd oda, hogy azt kell használni a személyes fiók helyett — a kettő között pont az a különbség, hogy a céges csomagnál a beírt szöveg szerződés szerint nem kerül be a modell tanítóanyagába, a legtöbb ingyenes csomagnál viszont igen.

2. Mit nem szabad bemásolni. Ez a rész ne legyen elvont. Konkrét lista: ügyféladat, jelszó és hozzáférési kód, bérezési adat, aláírt szerződés, nem publikus kód. Ha ehhez példát is mellékelsz ("ügyfélnév helyett írd: Ügyfél A"), sokkal nagyobb eséllyel be is tartják.

3. Ki a felelős, ha kérdés van. Legyen egy név vagy pozíció, akihez fordulni lehet, ha valaki nem biztos benne, hogy egy adat bemásolható-e. Ha ez a pont hiányzik, az emberek vagy megkérdezik a főnöküket minden apróságnál, vagy — gyakrabban — nem kérdeznek, és eldöntik maguk.

4. Mi történik hiba esetén. Ha valaki mégis bemásolt valamit, amit nem kellett volna, legyen egyértelmű, hogy ezt jelentenie kell, és nem lesz belőle retorzió. Egy szabályzat, ami csak büntet, azt éri el, hogy a következő hibáról már nem szólnak — és pont az számít, hogy tudj róla, mert a GDPR bizonyos esetekben határidőt szab az adatvédelmi incidens bejelentésére.

5. Az AI-literáció kötelezettsége. Az EU AI Act 4. cikke — ami 2025. február 2. óta hatályban van — előírja, hogy a munkáltató gondoskodjon arról, hogy az AI-rendszereket használó munkatársak megfelelő AI-jártassággal rendelkezzenek. Ez gyakorlatban azt jelenti, hogy nem elég kiküldeni egy dokumentumot: legyen egy rövid, akár félórás bemutató is, ahol el lehet mondani ugyanezt élőben. Erről bővebben: EU AI Act — mit jelent egy magyar KKV-nak.

Hogyan írd meg, hogy tényleg elolvassák

Egy oldal. Ha többre van szükséged, az azt jelenti, hogy túl sok mindent akarsz egyszerre szabályozni. A cél nem a teljesség, hanem hogy egy új kolléga öt perc alatt átlássa, mi a keret.

Ne jogi nyelven írd. "Tilos a személyes adat harmadik fél rendszerébe történő továbbítása" helyett írd azt: "Ne másolj be ügyfélnevet, telefonszámot vagy e-mail-címet egy chatbe." Ugyanazt mondja, de az egyiket megérti valaki, aki nem jogász.

Adj hozzá egy-két konkrét példát a saját mindennapjaidból. Ha a csapat marketinget ír AI-jal, mutasd meg, hogyan lehet ugyanazt megcsinálni anonimizált szöveggel. Egy elvont szabály mellé rakott valós példa többet ér, mint három bekezdés indoklás.

Hogyan vezesd be

A dokumentum kiküldése önmagában nem bevezetés. Ami működik:

1. Mondd el élőben, akár egy rövid csapatmegbeszélésen. Öt perc elég, ha a szabályzat is rövid.
2. Kérdezz vissza egy-két konkrét helyzetre: "Ha egy ügyfél e-mailjét be akarod illeszteni egy összefoglalóhoz, mit teszel előtte?" — ez megmutatja, hogy tényleg megértették-e, nem csak elolvasták.
3. Tedd elérhetővé, ne csak elküldd. Egy megosztott mappában vagy a belső wikin legyen mindig kereshető, ne csak egy régi e-mail mélyén.
4. Új belépőnél legyen az onboarding része, ne külön utólagos feladat, amit könnyű elfelejteni.

Mikor kell frissíteni

Akkor, ha új eszköz kerül be a céghez, vagy ha egy meglévő eszköznél változik az adatkezelési feltétel. Érdemes évente egyszer, egy fix időpontban (pl. év elején) újra átnézni, akkor is, ha semmi nem történt — ez az egyetlen módja annak, hogy a dokumentum ne évüljön el csendben.

Ha nem tudod, hol állsz most

Egy szabályzat annyit ér, amennyire lefedi a valós helyzetet. Ha nem tudod pontosan, milyen AI-eszközöket érnek el a céges gépekről és milyen adatot visznek be beléjük, a szabályzat találgatásra épül. Erre való egy AI-biztonsági felmérés: előbb megnézed, mi történik ténylegesen, utána írod meg a szabályt, ami erre válaszol — nem fordítva.