Mi kerül az ügynökség AI-eszközeibe a cégadataidból: mit kérdezz

Scheo · 2026-11-14 · olvasási idő ~10 perc · Szerző: Schmidt Péter

Ha ügyféllistát, árlistát, belső anyagot vagy hirdetési fiók hozzáférést adsz át egy marketing szolgáltatónak, jó eséllyel ezek egy része AI-eszközbe is bekerül. Ilyen eszköz lehet egy chatbot, egy szövegíró program, egy riportkészítő vagy egy hirdetésoptimalizáló. Ezzel önmagában nincs baj. Akkor van gond, ha erről te nem tudsz, és így azt sem tudod eldönteni, hogy a saját és az ügyfeleid adatával ez rendben van-e. Ez a cikk végigveszi, mit kérdezz meg, mit rögzíts írásban, és mit ne adj át, ha nem muszáj.

A szövegben háromféle jelölést használunk. A Hivatalosan igazolt rész jogszabályon vagy a szolgáltatók saját dokumentációján alapul. A Saját tapasztalat azt jelzi, amit ügynökségi munkában rendszeresen látunk. A Szakmai feltételezés olyan következtetés, amit érdemes a saját helyzetedre ellenőrizni.

Bekerülnek-e a cégadataid az ügynökség AI-eszközeibe?

Ha a szolgáltató szöveget, riportot vagy hirdetést készít neked, valószínű, hogy legalább egy része AI-eszközön is átmegy. Hogy ez kockázatos-e, azon múlik, melyik eszközről, milyen fiókról és milyen adatról van szó.

Saját tapasztalat. A marketingmunkában az AI a leggyakrabban szövegvázlatnál, kulcsszócsoportosításnál, hirdetésszöveg-változatoknál, riport-összefoglalónál és táblázatok tisztításánál jön elő. Az utolsó kettő a kényesebb, mert ott sokszor teljes exportok kerülnek be, például egy CRM-lista vagy egy webshop rendelési táblája. Egy blogcikk vázlatához elég a témakör, egy ügyféllista elemzéséhez viszont maga a lista kell, nevekkel és e-mail-címekkel együtt.

Szakmai feltételezés. Sok kisebb ügynökségnél nincs leírt szabály arra, ki milyen eszközbe mit tölthet fel. Ilyenkor a döntés az adott munkatárson múlik, aki a saját, megszokott fiókját használja. Ez nem rosszindulat, egyszerűen senki nem gondolta végig. Ezért van értelme rákérdezni.

Hivatalosan igazolt. A hirdetési fiókok saját automatizált funkciói (például a Google Ads ajánlásai és automatikus ajánlattételi stratégiái, vagy a Meta Advantage+ megoldásai) a platform feltételei szerint működnek, amelyeket a fiók tulajdonosaként te fogadtál el. Ezek az adatok a platformon belül maradnak, és arról, hogyan kezelik őket, a Google és a Meta adatkezelési dokumentációja szól.

Szakmai feltételezés. Más a helyzet, ha az ügynökség a hirdetési fiókból vagy a webshopból adatot exportál, és azt egy külső chatbotba vagy elemzőprogramba tölti fel. Ilyenkor az adat elhagyja azt a rendszert, amelynek a feltételeit ismered, és egy új szolgáltatóhoz kerül. Ezt a lépést érdemes külön megkérdezni, mert a hétköznapi munkában könnyen átsiklanak felette.

Milyen kérdéseket tegyél fel a szolgáltatónak?

Négy kérdéskör számít igazán. Melyik eszközt használják, milyen fiókkal, tanul-e a modell az adatból, és ki fér hozzá. Ha ezekre világos választ kapsz, a kockázat nagy részét már látod.

1. Melyik AI-eszközt használjátok, és mire?

Kérj konkrét listát, termékszinten. A „ChatGPT-t is használunk” válasz kevés. Jó válasz ennél többet mond, például hogy a szövegvázlatokhoz egy üzleti csomagban futó chatbotot használnak, a riportokhoz egy beépített AI-funkciót a riportkészítő programban, és a hirdetési fiókban a platform saját automatizált ajánlásait. Kérdezd meg azt is, mely eszközökbe kerülhet a te adatod, és melyekbe nem.

2. Üzleti vagy ingyenes, magánfiókkal dolgoztok?

Ez a legfontosabb kérdés, mert a nagy szolgáltatóknál a két fióktípusra eltérő adatkezelési feltételek vonatkoznak.

Hivatalosan igazolt. Az OpenAI a saját dokumentációjában azt írja, hogy az API-n és az üzleti csomagokon (ChatGPT Team, Enterprise, Edu) beküldött adatot alapértelmezés szerint nem használja modelltanításra. A fogyasztói ChatGPT-nél a felhasználó maga állíthatja be az adatvezérlőkben, hogy a beszélgetései segítsék-e a modell fejlesztését. A Google a Workspace-be épített Gemini esetében azt írja, hogy az ügyfél adatát engedély nélkül nem használja modelltanításra. Az Anthropic kereskedelmi feltételei szerint az üzleti és API-ügyfelek adatán alapértelmezésben nem tanítanak, a fogyasztói Claude-fiókokban pedig a felhasználó dönt erről. Ezek a feltételek változhatnak, ezért mindig az aktuális szöveget érdemes megnézni.

A gyakorlati különbség tehát nagy. Ugyanaz a chatbot üzleti fiókkal egészen más szerződéses keretben fut, mint egy munkatárs saját, ingyenes fiókján. Kérdezd meg egyenesen, hogy a te adatod kerülhet-e magánfiókba, és ha igen, milyen beállítással.

3. Tanul-e a modell az adataimból?

Ezt két részre érdemes bontani. Az első, hogy a szolgáltató felhasználja-e a beküldött tartalmat a modell továbbfejlesztésére. A második, hogy meddig tárolja, és ki nézheti meg például visszaélés-ellenőrzés miatt.

Hivatalosan igazolt. A nagy szolgáltatók dokumentációja jellemzően külön kezeli a tanítást és a megőrzést. Az üzleti csomagoknál sokszor beállítható vagy szerződésben rögzített a megőrzési idő, a fogyasztói fiókoknál ez kevésbé rugalmas.

Saját tapasztalat. A „nem tanul belőle” válasz önmagában még nem jelenti, hogy az adat nem kerül tárolásra. Kérdezz rá mindkettőre külön.

4. Ki fér hozzá az adatokhoz?

Kérdezd meg, hány ember látja az anyagaidat az ügynökségen belül, dolgozik-e velük alvállalkozó vagy szabadúszó, és ők milyen fiókot használnak. Hirdetési fióknál ellenőrizd, kinek van hozzáférése a Meta Business Managerben vagy a Google Ads fiók hozzáférési listájában. Egy kilépett munkatárs vagy egy régi szabadúszó hozzáférése ugyanolyan kockázat, mint egy rosszul beállított AI-eszköz.

Szakmai feltételezés. Az AI-eszközök egy része harmadik féltől származó bővítményeket és integrációkat is használ. Ha a szolgáltató ilyet kapcsol a hirdetési fiókodhoz vagy a riportodhoz, az újabb szereplőt jelent, akinek hozzáférése lehet az adatokhoz.

Mit rögzíts írásban a szerződésben vagy az adatfeldolgozói megállapodásban?

Ha a szolgáltató személyes adatot kezel a megbízásodból, adatfeldolgozói szerződés kell. Ebbe érdemes beleírni az AI-eszközök használatát is, mert a szóbeli megnyugtatás később nem visszakereshető.

Hivatalosan igazolt. Az általános adatvédelmi rendelet (GDPR) 28. cikke szerint az adatkezelő csak olyan adatfeldolgozót vehet igénybe, amely megfelelő garanciákat nyújt, és a feldolgozást írásbeli szerződésnek kell szabályoznia. Ugyanez a cikk előírja, hogy további adatfeldolgozót (alvállalkozót) csak az adatkezelő előzetes írásbeli engedélyével lehet bevonni. Egy AI-szolgáltató, amelyhez az ügynökség a te ügyféladataidat küldi, jellemzően ilyen további adatfeldolgozónak számít. A rendelet V. fejezete az Európai Unión kívüli adattovábbításra külön feltételeket ír elő, ami több AI-szolgáltatónál releváns.

A szerződésben vagy a mellékletében ezeket a pontokat érdemes rögzíteni:

• az AI-eszközök listája (név, szolgáltató, fióktípus), és hogy új eszköz bevezetése előtt értesítenek;
• milyen adatkategória kerülhet AI-eszközbe, és mi nem (például ügyféllista, egészségügyi adat, béradat);
• hogy csak üzleti, tanításra fel nem használt beállítású fiók jöhet szóba, magánfiók nem;
• hol tárolják az adatot, és történik-e továbbítás az Európai Unión kívülre;
• ki fér hozzá az ügynökségen belül és az alvállalkozók közül;
• a szerződés megszűnésekor mi történik az adattal, és erről kapsz-e írásos visszaigazolást;
• adatvédelmi incidens esetén milyen gyorsan és milyen formában értesítenek.

Egy példamondat, amit a szakértőd a saját szerződésedhez igazíthat. „Az Adatfeldolgozó a Megbízó által átadott személyes adatot kizárólag a mellékletben felsorolt, üzleti csomagban használt mesterségesintelligencia-szolgáltatásban kezelheti, amelyben a modelltanításra való felhasználás ki van kapcsolva. Új szolgáltatás bevonásáról a Megbízót előzetesen írásban tájékoztatja.” Ez csak kiindulópont, jogi szövegnek nem elég.

Saját tapasztalat. A legtöbb sablonszerződésben van adatkezelési rész, de az AI-eszközökről külön nem szól. A legegyszerűbb, ha a meglévő szerződéshez egy rövid mellékletet kérsz, ami felsorolja az eszközöket, és amit évente vagy változáskor frissítenek.

Milyen adatot ne adj át szükség nélkül?

Csak azt add át, amire a konkrét munkához tényleg szükség van. Amit nem adtál át, azt nem kell később felkutatni, törölni vagy incidensként jelenteni.

Rövid ellenőrzőlista átadás előtt:

• Teljes ügyféllista nevekkel, e-mail-címmel, telefonszámmal. Közönségépítéshez sokszor elég a platform saját, titkosított feltöltési funkciója, amit te magad indítasz. Elemzéshez gyakran elég egy összesített tábla név nélkül.
• Vásárlási előzmények személyhez kötve. Kampánytervezéshez a termékszintű vagy kategóriaszintű összesítés jellemzően elegendő.
• Belső árkalkuláció, beszerzési ár, árrés. A hirdetéshez a fogyasztói ár kell, a belső számítás nem.
• Szerződések, ajánlatok más ügyfelekkel. Ha mintának adod, töröld ki belőlük a neveket és összegeket.
• Munkavállalói adatok (bér, értékelés, elérhetőség), ha a munkához nem kellenek.
• Különleges adat (egészségügyi, pénzügyi helyzet). Ilyen adat AI-eszközbe kerüléséhez külön, alapos megfontolás kell.
• Admin szintű jelszó, amikor elég lenne egy korlátozott szerepkör. A Meta Business Manager és a Google Ads is lehetővé teszi a részleges hozzáférést.
• Jelszavak e-mailben vagy chatben. Inkább adj saját felhasználót a szolgáltatónak, így a hozzáférés később visszavonható.

Hogyan ellenőrizd a gyakorlatban, mi történik az adataiddal?

Lépésről lépésre, kb. ebben a sorrendben érdemes haladni:

1. Kérd el írásban az eszközlistát. E-mailben is elég, ha utána a szerződés mellékletébe kerül.
2. Nézd meg a hozzáféréseket a saját fiókjaidban. A hirdetési fiókok, az Analytics és a Search Console felhasználói listáját te magad is látod. Vedd ki, akinek már nincs ott dolga.
3. Kérdezz rá egy konkrét munkára. Kérdezd meg például, hogy a múlt havi riport hogyan készült, és került-e bele adat AI-eszközbe. Egy konkrét kérdésre konkrétabb választ kapsz.
4. Kérd el az alvállalkozók és további adatfeldolgozók listáját. A GDPR szerint erről tudnod kell.
5. Egyeztessétek a szerződés megszűnésének menetét. Mi kerül törlésre, mi kerül vissza hozzád, és ki igazolja.
6. Évente egyszer kérdezz rá újra. Az AI-eszközök és a feltételeik gyorsan változnak.

Saját tapasztalat. A kérdésekre adott válasz minősége sokat elárul. Ha a szolgáltató gyorsan, konkrétan és írásban válaszol, jó eséllyel végiggondolta a folyamatot. Ha kitér, vagy azt mondja, hogy „mindenki így csinálja”, akkor ott még nincs kialakult szabály.

Baj, ha a szolgáltató AI-t használ?

Az AI használata önmagában nem baj. Gyorsabb vázlatot, több hirdetésváltozatot és rendezettebb riportot adhat. A gond akkor kezdődik, ha a megrendelő nem tud róla, mert ilyenkor nem tudja felmérni a kockázatot, és nem tud dönteni arról, mit enged.

Szakmai feltételezés. Ha egy szolgáltató kijelenti, hogy egyáltalán nem használ AI-t, azt is érdemes megkérdezni, hogy ez a munkatársaira, a szabadúszóira és a használt programok beépített funkcióira is igaz-e. A legtöbb irodai és marketingprogramban ma már van valamilyen AI-funkció, sokszor alapból bekapcsolva. A nyílt, dokumentált használat a megrendelő szempontjából többnyire kedvezőbb, mint a bizonytalan tagadás.

Hivatalosan igazolt. Az adatkezelő felelőssége a GDPR szerint akkor is megmarad, ha a feldolgozást másra bízza. Ha az ügynökségnél adatvédelmi incidens történik a te ügyfeleid adatával, a bejelentési kötelezettség és a felelősség egy része téged terhel. Ezért a te érdeked, hogy tudd, hová kerül az adat.

Mikor érdemes szakértővel átnézetni a szerződést?

Akkor, ha személyes adatot adsz át, ha a szolgáltató AI-eszközöket használ, vagy ha a meglévő szerződésed adatkezelési része nem említi ezeket. Kisebb vállalkozásnál is megéri egyszer rendesen átnézetni, mert utána csak a változásokat kell követni.

Egy adatvédelmi szakértő vagy adatvédelemben jártas ügyvéd megnézi, hogy az adatfeldolgozói szerződés megfelel-e a GDPR 28. cikkének, rendezett-e az Unión kívüli adattovábbítás, és szerepelnek-e benne az AI-eszközök mint további adatfeldolgozók. Ő tudja megmondani azt is, hogy a te tevékenységedben vannak-e olyan adatok, amelyekre szigorúbb szabály vonatkozik.

Saját tapasztalat. A legjobb időpont az átnézésre a szerződéskötés előtt van, mert akkor még könnyű módosítást kérni. Ha a szolgáltató már dolgozik neked, egy kiegészítő melléklettel utólag is rendezhető a kérdés. Ügynökségi oldalról mi azt látjuk, hogy a jó szolgáltató nem tekinti bizalmatlanságnak ezeket a kérdéseket, sőt, a világos keret neki is megkönnyíti a munkát.

Források és további olvasnivalók

• Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), különösen a 28., 32. és 33. cikk, valamint az V. fejezet
• Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) tájékoztatói és állásfoglalásai
• Európai Adatvédelmi Testület (EDPB) iránymutatásai az adatkezelő és az adatfeldolgozó fogalmáról
• OpenAI dokumentáció, Enterprise privacy és Data controls
• Google Workspace, Generative AI in Google Workspace Privacy Hub
• Anthropic, Commercial Terms of Service és Privacy Center
• Meta Business Help Center, a Business Manager hozzáférési szerepkörei
• Google Ads Súgó, a fiókhozzáférési szintek