AI-használati szabályzat cégeknek — mintával

Miért érdemes most megírni?

Három ok miatt, és ebből kettő nem jogi.

Az első az adat. Amit valaki bemásol egy AI-eszközbe, az kikerül a cégből, egy külső szolgáltatóhoz. Hogy ott mi történik vele — tárolják-e, felhasználják-e a modell fejlesztésére —, az az eszköztől és a fióktípustól függ. Az egyéni, ingyenes fiókok és a céges csomagok ebben jellemzően eltérnek. Ha nincs szabály, a munkatárs ezt nem mérlegeli, egyszerűen bemásolja az ügyfél adatait, mert úgy gyorsabb.

A második az árnyék-AI. Ahol nincs szabály, ott vagy mindenki a saját szakállára kísérletezik, vagy — ha a vezetés csak annyit mond, hogy „ne használjátok” — titokban teszi. Mindkettő ugyanoda vezet: nem tudod, milyen eszközök futnak a működésedben, és ki mire használja őket.

A harmadik az EU AI Act. 2025. február 2. óta minden cégnek, amely AI-rendszert használ, intézkedéseket kell tennie a munkatársai MI-jártasságáért — azért, hogy értsék, mit csinál az eszköz, mire nem jó, és mikor kell embernek döntenie. A rendelet nem ír elő konkrét formát: nincs kötelező tanfolyam és nincs tanúsítvány. A mérce az, hogy a saját használatodhoz mérten arányos-e, amit teszel, és hogy dokumentálva van-e. Egy írott, a csapattal megismertetett szabályzat ennek az egyik legegyszerűbb, kézzelfogható formája — nem az egyetlen, de jó kiindulópont.

Részletesebben arról, mi vonatkozik egy magyar KKV-ra a rendeletből: EU AI Act magyar KKV-knak.

Mit old meg egy szabályzat, és mit nem?

Megoldja, hogy mindenki ugyanazokból a szabályokból dolgozzon: melyik eszköz használható, milyen adat mehet bele, mit kell ellenőrizni, mielőtt egy AI-val készült anyag kimegy a cégből.

Nem oldja meg viszont, ha nem tudod, hol használtok ma AI-t. A szabályzat a leltárra épül, nem helyettesíti azt. És nem helyettesíti a jogi tanácsot sem, ha egy konkrét rendszerről kell eldönteni, hogy például magas kockázatúnak számít-e.

Mi legyen benne?

Nyolc rész, ebből a legtöbb egy-két bekezdés.

1. Kire és mire vonatkozik

Minden munkatársra, alvállalkozóra és gyakornokra, aki a cég nevében dolgozik, és minden AI-eszközre — a hivatalosan bevezetettekre és azokra is, amiket valaki magától kezdett használni. Ez utóbbi a lényeg: a szabályzat attól működik, hogy az árnyék-AI is a hatálya alá esik.

2. Engedélyezett eszközök listája

Egy rövid, nevesített lista: melyik eszköz, melyik fióktípussal (céges vagy egyéni), mire használható. Ami nincs a listán, azt előbb jóvá kell hagyatni. A listát nem a szabályzat szövegébe érdemes beégetni, hanem mellékletként kezelni, mert gyakrabban változik, mint maga a szabályzat.

3. Milyen adat mehet be, és milyen nem

Ez a szabályzat legfontosabb része. Érdemes három kategóriában gondolkodni:

• —Szabadon használható: nyilvános információ, saját, nem bizalmas munkaanyag, általános kérdések.
• —Csak jóváhagyott, céges fiókkal: belső dokumentumok, ajánlatok, nem személyes üzleti adatok.
• —Tilos: személyes adat (ügyfél, munkatárs, jelölt), üzleti titok, jelszó, hozzáférési adat, és minden, amire titoktartási kötelezettség vonatkozik.

A személyes adatnál a GDPR amúgy is érvényes: ha egy külső szolgáltatónak adsz át ilyet, annak jogalapja és szerződéses háttere kell legyen. A szabályzat ezt nem oldja meg, csak megakadályozza, hogy valaki gondolkodás nélkül megtegye.

4. Emberi ellenőrzés

Ami AI-val készül és kimegy a cégből — ügyfélnek szóló levél, ajánlat, szerződéstervezet, publikált szöveg —, azt ember nézi át, mielőtt elküldik. Az AI magabiztosan tud tévedni: számot, nevet, jogszabályhelyet kitalálni. A felelősség annál marad, aki elküldi.

5. Átláthatóság az ügyfél felé

Ha nálatok egy AI-rendszer közvetlenül beszél ügyféllel vagy munkatárssal — például chatbot a weboldalon —, a másik félnek tudnia kell, hogy géppel beszél, hacsak ez amúgy is nyilvánvaló. Ez 2026. augusztus 2. óta kötelező, türelmi idő nélkül. Ugyanez igaz a valós személyt, helyet vagy eseményt ábrázoló, mesterségesen előállított tartalomra: ezt jelölni kell.

6. Amire nem használjuk

Érdemes kimondani, mire nem használ a cég AI-t. Egy KKV-nál jellemzően kettő a fontos:

• —Emberekről szóló döntések. Toborzás, önéletrajzok szűrése, teljesítményértékelés, munkavállalók megfigyelése: ezek az EU AI Act szerint magas kockázatú területek, a rájuk vonatkozó szabályok 2027. december 2-től alkalmazandók. Addig is jó elv, hogy ilyen döntést ember hoz, és az AI legfeljebb előkészít.
• —Érzelemfelismerés a munkahelyen. Ez 2025. február 2. óta tilos (orvosi vagy biztonsági célt kivéve). Egy cég jellemzően nem szándékosan fut bele, hanem egy megvásárolt eszköz funkcióján keresztül — érdemes rákérdezni a szállítónál.

7. Felelős és bejelentés

Egy nevesített ember, aki a listát vezeti, az új eszközöket jóváhagyja, és akinek szólni lehet, ha valami rosszul sült el — például valaki mégis bemásolt egy ügyféladatot. Kis cégnél ez lehet maga az ügyvezető. A lényeg, hogy legyen neve, ne csak szerepe.

8. Betanítás és felülvizsgálat

Mindenki megismeri a szabályzatot, és rövid bevezetést kap az engedélyezett eszközökhöz: mire jók, mire nem, hol hibáznak jellemzően. Az új belépők az első héten. Ez egyben a MI-jártassági kötelezettség dokumentációja is: érdemes feljegyezni, ki mikor kapta meg.

A szabályzatot pedig évente, vagy egy új eszköz bevezetésekor érdemes újranézni. Az AI-eszközök gyorsabban változnak, mint a legtöbb céges szabály.

Mit ne tegyél bele?

• —Általános tiltást. A „semmilyen AI nem használható” szabályt nem tartják be, csak eltüntetik a használatot a szemed elől.
• —Egy multi harmincoldalas szabályzatát. Amit egy 15 fős cég munkatársa nem olvas végig, az nem szabályoz semmit. Két-három oldal elég.
• —Eszköz-specifikus kattintási útmutatót. Az a betanítás része, nem a szabályzaté, és félévente elavul.

Hogyan vezesd be?

1. 01Előbb a leltár. Kérdezd meg a csapatot — ítélkezés nélkül —, ki milyen AI-eszközt használ és mire. Ebből lesz a melléklet első változata.
2. 02Szabd a mintát a cégedre. Húzd ki, ami nálatok nem releváns, és töltsd ki a zárójeles részeket.
3. 03Ismertesd meg egy rövid megbeszélésen. Egy félórás beszélgetés többet ér egy körlevélnél, és rögtön kiderül, mi nem egyértelmű.
4. 04Tedd elérhetővé. Ott legyen, ahol a csapat amúgy is dolgozik, ne egy mappa mélyén.