Jogi alapok nélkül az AI-bevezetés drága és kockázatos

Röviden

• A vendégek szerint sok AI-bevezetés alapozás nélkül indul, majd visszabontás lesz belőle.
• A tiltás helyett irányítás és oktatás kell, különben elszabadul az árnyék MI.
• A vezetésnek egy jól körülírt felhasználási esettel érdemes elindulnia, világos felelősségekkel.

„Tavaly a digitális vadnyugatról beszéltem, most meg már nálunk is” – hangzott el a DIG‑IT Podcast egyik friss adásában. A megfigyelés mögött hétköznapi döntések állnak: vezetők demók alapján vesznek eszközt, a kollégák pedig már használják a külső AI‑szolgáltatásokat a saját eszközeiken. Ilyenkor nem a technológia az első kérdés. Az üzleti cél, az adatkör és a felelősség a tét, mert ezek döntik el, hogy a bevezetés költsége beruházás lesz, vagy utólagos kármentés.

Az adás vendégei szerint a kudarcok ott kezdődnek, ahol kimarad a tervezés eleje. Sok szervezet fejest ugrik a fejlesztésbe, miközben nincs feltérképezve az adat útja és a cél, amit el akarnak érni. A „pecsét‑megfelelés” helyett – szabályzatok polcra, valóságban más – valódi tervezés kell. A vendégek azt mondták, hogy adatvédelmi és jogi szempontból a tervezésbe épített átláthatóság, az adattérkép és a korai egyeztetés olcsóbb, mint egy későbbi, fájdalmas visszabontás. A tiltás sem megoldás, mert az árnyék MI (Shadow AI) ettől még megjelenik, csak a kockázat rejtett marad.

Előbb a cél és az adatok, csak utána a technológia

A beszélgetésben többször elhangzott: az AI‑projekt nem lehet kizárólag IT‑projekt, mert az üzleti folyamatokat és a felelősséget is érinti. A vendégek szerint a tervezés első kérdése a felhasználási eset és az adatkör. Vannak‑e személyes adatok, különleges adatok, és mi az adat útja a rendszeren belül. A „privacy by design” elv gyakorlata itt kezdődik. A vezetésnek érdemes előre kijelölni a hozzáféréseket, a jogosultságokat és az irányítási keretet (governance). Így lesz értelmezhető az üzleti haszon és a kockázat, nem csak a demó szépsége.

A dobozos AI‑eszközök beszerzése sem puszta kattintás. Az adásban felidézték, hogy egy megvizsgált eszköz a felhasználó által betöltött tartalmakra rendkívül széles, gyakorlatilag korlátlan felhasználási jogot kért, és a háttérben más szolgáltatók rendszerét is használta. Ilyenkor három alapdokumentumot kell a helyén kezelni: a felhasználási feltételeket, az adatkezelési tájékoztatót és a biztonsági leírást. A vendégek szerint a „használati utasítás szerinti használat” elve sem papírízű részlet. Ha egy eszközt szándékával ellentétesen kezdenek használni, például rosszindulatú promptokkal, az nem csak műszaki, hanem jogi és felelősségi kérdés is lesz.

Szabályozás keret, nem utólagos akadály

Az európai jogi környezet – GDPR, NIS2, DORA, AI Act – a vendégek szerint bőven elég komplex, és nehéz benne eligazodni. Mégsem érdemes a végére hagyni. A tapasztalatuk az, hogy ahol a jogász, az informatikus és az információbiztonság együtt ül le a vezetéssel, ott a költség a tervezésbe épül, nem utólag jelentkezik. A felkészülés része, hogy a cég meg tudja mutatni, milyen adatokkal dolgozik, milyen célra használja a modellt, és miként teljesíti az átláthatósági és tájékoztatási kötelezettségeket. A „gombhoz varrjuk a kabátot” szemlélet itt drága zsákutca, ezt a vendégek több példával is érzékeltették.

Az egészségügy jó lakmuszpapír. Ott különösen érzékeny adatok mozognak, és a hibák ára magas. A beszélgetésben elhangzott, hogy a vendégek értelmezése szerint az Európai Adatvédelmi Testület jelenlegi álláspontja nem támogatja különleges adatok felhasználását modell‑tanításhoz. Ugyanakkor az anonimizálás lehet működő út, mert az anonim információkra nem terjed ki a GDPR, feltéve, hogy a személyes azonosítás ésszerűen elérhető eszközökkel nem állítható helyre. A vendégek azt is jelezték, hogy a felügyeleti hatóságok a jövőben vizsgálhatják, ténylegesen anonim marad‑e egy rendszer a működés során.

Tiltás helyett irányítás és oktatás

A valóság az, hogy az AI már a szervezetekben van. Az adás szerint az egyéni hatékonyság miatt a dolgozók akkor is használnak külső eszközöket, ha erre nincs hivatalos felhatalmazás. A tiltás ezért kevés. A vendégek szerint az irányítás (governance) és az oktatás ad kézben tartható keretet: egy rövid, gyakorlati belső szabályzat (policy) rögzítse, milyen eszközt mire lehet használni, milyen adatokkal nem dolgozhat a rendszer, és ki a felelős a felügyeletért. A vezetés feladata, hogy a döntési jogköröket ne a „ki telepítette” elv, hanem az üzleti célok és a kockázat alapján határozza meg. A „gap‑elemzés” és a keresztfunkcionális együttműködés – jog, IT, információbiztonság, üzlet – a beszélgetés szerint itt nem piperedísz, hanem a megvalósítás feltétele.

Kézzelfogható terep a HR. A vendégek felhívták a figyelmet arra, hogy ha egy modell autonóm módon dönt toborzásnál, az érintett kérheti a döntés felülvizsgálatát, az álláspontja meghallgatását és emberi beavatkozást. Ha a cég nem érti a rendszer működését, ezeket az igényeket nem tudja teljesíteni, és hatósági eljárás lehet a vége. A torzítás sem elméleti kérdés: ha a múlt mintái egyoldalúak, a modell azt másolja. Az adásban felidéztek egy, a Nemzeti Adatvédelmi és Információszabadság Hatóság által kiszabott bírságot is, ahol az AI‑alkalmazás melletti hiányos tájékoztatás súlyos következményekhez vezetett. A vendégek szerint ezek a példák ugyanarra mutatnak: a tájékoztatás legyen valós, az emberi felügyelet tényleges, a célhoz kötöttség pedig bizonyítható.

A DIG‑IT olvasata: irányítással lesz érték az MI‑ből

A DIG‑IT olvasata szerint ma nem az algoritmusok versenye dönt, hanem az adatfegyelem, a szerződéses éberség és az emberi felügyelet minősége. Aki tiltással próbál rendet vágni, az elveszíti az irányítást, és erősíti az árnyék MI kockázatát. Aki irányítást és gyakorlati szabályzatot épít, és egy jól körülírt folyamattal indít, az rövidebb úton jut el a megtérüléshez (ROI). A vendégek szerint érdemes ellenállni a „90 napos megtérülés” típusú ígéreteknek, mert ezekből lesznek a drága visszabontások. A kérdés most nem az, hogy kell‑e AI, hanem az, hogy miként lehet belőle felelősen és fenntartható módon üzleti értéket csinálni. A részletekről és a gyakorlati dilemmákról a DIG‑IT Podcast adásában hallható bővebb beszélgetés.

DIG-IT Podcast szerkesztőség - All rights Reserved.