Szabad ügyféladatot bemásolni a ChatGPT-be? GDPR-útmutató kisvállalkozóknak

A ChatGPT kényelmes és gyors, az ügyféladat viszont GDPR-kérdés. Megmutatom, mit szabad bemásolni, mit nem, és melyik beállítást kapcsold át még ma.

Ismerős a jelenet. Bejön egy dühös ügyféllevél, te pedig nem akarsz ugyanolyan dühösen visszaírni. Kijelölöd az egészet, bemásolod a ChatGPT-be, és alá írod: „Fogalmazz meg rá egy udvarias választ.” Tíz másodperc, és kész a tökéletes levél.

Csakhogy abban a levélben ott volt az ügyfél teljes neve, a telefonszáma, a rendelésszáma, és az is, hogy mi a baja. Ezek személyes adatok. És most egy amerikai cég szerverén vannak.

Ettől még nem kell kidobnod az AI-t – én is naponta használom. Csak tudni kell, mit szabad beleírni, és hogyan. Mi számít személyes adatnak? Hová kerül, amit beírsz? Melyik kapcsoló számít, és mit vár tőled 2026-ban az uniós szabályozás? Sorban végigmegyek rajtuk.

Mi számít személyes adatnak egy promptban?

Több minden, mint gondolnád. A GDPR 4. cikke szerint személyes adat minden, ami egy azonosított vagy azonosítható emberre vonatkozik. A név, a telefonszám és az e-mail-cím egyértelmű. De az is személyes adat, hogy „a Fő utcai sarokház tulajdonosa, akinek tavaly beázott a pincéje” – mert ebből könnyű kitalálni, kiről van szó.

Van egy külön, szigorúbban védett kör is: a GDPR 9. cikke szerinti különleges adatok, például az egészségügyi adat. Egy fodrásznál ilyen lehet egy vendég allergiája, egy fogorvosnál szinte minden. Ezeket semmilyen ingyenes AI-eszközbe ne másold be.

A gyors próba: rájönne a szövegből valaki, aki ismeri az ügyfeledet, hogy kiről van szó? Akkor az személyes adat.

Mi történik azzal, amit beírsz?

Attól függ, melyik szolgáltatót és melyik csomagot használod. A lényeg két kérdés: használják-e a beszélgetésedet a modell tanítására, és meddig tárolják.

A ChatGPT ingyenes, Plus és Pro csomagjában az OpenAI alapból felhasználhatja a beszélgetéseket a modell fejlesztésére, ezt a beállításoknál kapcsolhatod ki. Itt van egy csapda: ha egy válaszra rányomsz a felfelé vagy lefelé mutató hüvelykujjra, azt a beszélgetést kikapcsolt beállítás mellett is felhasználhatják. Az ideiglenes csevegést (Temporary Chat) nem használják tanításra, és az előzményeid között sem jelenik meg, biztonsági okból viszont legfeljebb 30 napig megőrizhetik.

A Claude-nál az Anthropic 2025 augusztusa óta a felhasználóra bízza a döntést az ingyenes, a Pro és a Max csomagban. Ha engedélyezed a tanítást, a beszélgetéseidet akár öt évig is megőrizhetik. Ha nem, akkor jellemzően 30 napig. A Google Gemini adatvédelmi tájékoztatója pedig kifejezetten arra kér, hogy ne írj bele bizalmas információt, mert a beszélgetések egy részét emberek is átnézik, az átnézett beszélgetéseket pedig akár három évig is megőrzik.

Eszköz	Egyéni csomag: tanítás alapból?	Hol kapcsolod ki?	Céges csomag
ChatGPT	Igen (Free, Plus, Pro)	Settings → Data controls → „Improve the model for everyone”	Business, Enterprise, API: alapból nincs tanítás, adatfeldolgozói szerződés köthető
Claude	Te döntöd el (2025 óta)	Privacy Settings → „Model Improvement”	Team, Enterprise, API: alapból nincs tanítás, az adatfeldolgozói szerződés a feltételek része
Gemini	A tevékenység mentése alapból be van kapcsolva, egy részét ember is átnézi	„Keep Activity” kikapcsolása	Google Workspace: engedély nélkül nincs emberi átnézés és tanítás

A táblázat a 2026. novemberi állapotot mutatja, de a szolgáltatók rendszeresen módosítják a feltételeiket. Mielőtt döntesz, nézd meg a hivatalos oldalukat is.

Ha kikapcsolom a tanítást, rendben vagyok?

Nem. Ez a leggyakoribb tévedés, és a legtöbb magyar cikk átsiklik fölötte.

Az ügyfeleid adataiért te felelsz: a GDPR nyelvén te vagy az adatkezelő (te döntöd el, mire használod az adatot). Ha egy külső szolgáltató a megbízásodból dolgozik vele, ő adatfeldolgozó, és a GDPR 28. cikke szerint ehhez írásbeli szerződés kell. Az OpenAI a saját oldala szerint ilyen adatfeldolgozói szerződést (angolul DPA) a Business, az Enterprise és az API mellé köt.

A fogyasztói csomagoknál – ingyenes, Plus, Pro – viszont nem a megbízásodból dolgozik. Ott az OpenAI az uniós adatvédelmi tájékoztatója szerint maga az adatkezelő. Vagyis ha oda ügyféladatot másolsz, azt egy másik cégnek adod át, szerződés nélkül. A kapcsoló tehát hasznos, de ezen nem segít.

Ráadásul az adatokat jellemzően az Unión kívül, az Egyesült Államokban dolgozzák fel. Ennek a jogi alapja jelenleg az EU–USA adatvédelmi keretrendszer, amelynek érvénytelenítését az uniós Törvényszék 2025 szeptemberében elutasította, a fellebbezés azonban még folyamatban van.

A kikapcsolt tanítás jó szokás, de nem szerződés. Ügyféladatot csak ott dolgoztass fel, ahol adatfeldolgozói szerződésed is van.

Jelzőlámpa: mit szabad bemásolni?

Ezt a szabályt öt perc alatt átbeszélheted a csapatoddal is:

• Zöld: mehet bármelyik eszközbe. Saját szövegeid, általános szakmai kérdések, egy hirdetés vagy blogcikk vázlata, és minden, amiből senki nem azonosítható.
• Sárga: csak anonimizálva. Vagyis úgy, hogy senki ne legyen felismerhető belőle. Ide tartoznak az ügyfélesetek, a panaszlevelek és az ajánlatkérések – név, elérhetőség, cím, rendelésszám és minden azonosító részlet nélkül.
• Piros: ingyenes vagy egyéni csomagba soha. Név és elérhetőség együtt, bankszámlaszám, személyi okmány, egészségügyi adat, jelszó, teljes ügyféllista vagy szerződés. Ezekhez céges csomag és adatfeldolgozói szerződés kell – vagy inkább maradjanak a saját rendszeredben.

Hogyan anonimizálj harminc másodperc alatt?

Ehhez nem kell jogásznak lenned. Mielőtt beilleszted a szöveget, cseréld a nevet szerepre („egy ügyfél”), a számokat helyőrzőre, a pontos helyet pedig általános leírásra.

Előtte: „Kovács Péter (+36 30 000 0000) azt írja, hogy a 4512-es rendelése nem érkezett meg a Szondi utcai címre.” Utána: „Egy ügyfél azt írja, hogy a rendelése nem érkezett meg a szállítási címre.” A ChatGPT mindkettőre ugyanolyan jó választ ír.

Az AI-nak nem a név kell, hanem a helyzet. A név csak kockázat.

Szakmánként ez így néz ki. A fodrász a vendég neve helyett azt írja, hogy „egy törzsvendég”. A könyvelő bérlistát egyáltalán nem másol be, legfeljebb egy kitalált számokkal felépített mintát. Az ingatlanos a hirdetésszöveget nyugodtan megírathatja AI-jal, a tulajdoni lapot viszont nem tölti fel. A webshopos kitörli a rendelésszámot, a villanyszerelő pedig a pontos cím helyett csak annyit ír, hogy „egy budapesti családi ház”.

Ennyi az egész. Harminc másodperc, és senkinek az adata nem kerül ki.

Mikor nem éri meg ChatGPT-vel dolgozni ügyféladatokon?

Ha a feladat lényege maga a személyes adat. Ha minden nap ügyféladatokat kell kiolvasnod, rendszerezned vagy kitöltened, a csevegőablakba másolgatás rossz megoldás: lassú, nehéz ellenőrizni, és előbb-utóbb valaki bemásol valamit, amit nem kellene.

Ilyenkor jobb, ha az AI a saját rendszeredbe épül be, a szolgáltató kereskedelmi API-ján keresztül. Az API az a „csatlakozó”, amelyen a programod közvetlenül szól az AI-hoz, csevegőablak nélkül. Egy biztosítási irodának épített CRM-ben, vagyis ügyfélnyilvántartó rendszerben például az ügyfél- és szerződésadatokat a feltöltött PDF-ből vagy fotóból a Claude API olvassa ki, a tanácsadó pedig jóváhagyja. Az API kereskedelmi szolgáltatás: ott alapból nincs tanítás, és az adatfeldolgozói szerződés a feltételek része. Az adat a kiolvasáshoz átmegy az API-hoz, de nem kerül senki csevegőablakába, utána pedig a CRM-ben, a jogosultságok mögött tárolódik.

Ha kíváncsi vagy, hogyan néz ki ez a gyakorlatban, nézz szét az élesben futó automatizálásaim között, vagy olvasd el az egyedi CRM fejlesztéséről szóló cikket.

Mit kér az AI Act egy háromfős cégtől?

Kevesebbet, mint amitől tartanál, de nem semmit. Az uniós AI-rendelet (angolul AI Act) 4. cikke 2025. február 2. óta előírja, hogy ha a cégedben AI-eszközt használtok, gondoskodj róla, hogy a munkatársaid ismerjék a kockázatait. A hatósági felügyelet 2026 augusztusában indult. Az Európai Bizottság kérdés-válasz oldala szerint ez arra a cégre is vonatkozik, amelyik „csak” ChatGPT-t használ. Tanúsítvány viszont nem kell hozzá: elég, ha belső nyilvántartásod van arról, hogyan készítetted fel a csapatot.

A gyakorlatban egy kis csapatnak bőven elég egy egyórás belső megbeszélés: mire jó az AI, mire nem, miért talál ki néha dolgokat, és mi a jelzőlámpa-szabály. Írd le egy oldalban, dátumozd, és kész.

Mit tegyél, ha már bemásoltál ügyféladatot?

Először is ne pánikolj, de ne is söpörd a szőnyeg alá. Töröld a beszélgetést (a ChatGPT a törölt csevegéseket a saját leírása szerint 30 napon belül véglegesen törli), és nézd meg, be volt-e kapcsolva a tanítás.

Utána írd fel, mi történt: mikor, milyen adat, kié. A GDPR szerint minden adatvédelmi incidenst dokumentálni kell, és ha az érintettekre nézve kockázatot jelent, attól számítva, hogy tudomást szereztél róla, 72 órán belül be kell jelenteni a NAIH-nak, vagyis a magyar adatvédelmi hatóságnak. Hogy a te eseted ilyen-e, azt beszéld át egy adatvédelmi szakemberrel. Egy rosszul megfogalmazott panaszlevél és egy teljes ügyféllista nem ugyanaz.

A NAIH 2025 decemberében a bankok AI-használatáról adott ki jelentést. Ebben arra figyelmeztet, hogy ha a munkatársak engedély nélkül használnak AI-t, sok személyes adat kerülhet ki az adatkezelő irányítása alól, és ez ellen oktatással, szervezeti és eljárási garanciákkal kell védekezni. Ez pedig nem csak a bankokra igaz.

És a dühös ügyféllevél? Ugyanúgy megírhatod vele a választ, csak a név helyett annyi kerül bele, hogy „egy ügyfél”. Ha szeretnéd, hogy a cégedben az AI a saját rendszereidben, biztonságosan dolgozzon, az ingyenes 30 perces auditon átnézzük, honnan indulj. A lehetőségekről az AI-automatizálási szolgáltatás oldalán is olvashatsz, azt pedig, hogy mely feladatokat bízhatod nyugodtan a gépre, a mit bízhatsz ma az AI-ra cikkben gyűjtöttem össze.

Ez a cikk általános tájékoztatás, nem jogi tanácsadás. Konkrét esetben fordulj adatvédelmi szakemberhez.

Gyakori kérdések

Szabad személyes adatot beírni a ChatGPT-be?

Ingyenes vagy egyéni csomagba ne írd be az ügyfeleid személyes adatait, mert ezekhez a csomagokhoz nem köthető adatfeldolgozói szerződés. Anonimizált szöveggel, vagyis név és elérhetőség nélkül, nyugodtan dolgozhatsz vele.

GDPR-konform a ChatGPT?

Önmagában se nem az, se nem az ellenkezője – azon múlik, hogyan használod. Ügyféladatokhoz céges csomag (Business, Enterprise vagy API) és adatfeldolgozói szerződés kell, és az is, hogy a csapat tudja, mit szabad bemásolni.

Hol kapcsolom ki, hogy a ChatGPT tanuljon a beszélgetéseimből?

A ChatGPT beállításaiban, a Data controls menüben, az „Improve the model for everyone” kapcsolóval. Ez csak az ezután induló beszélgetésekre vonatkozik, a hüvelykujjas visszajelzéseidre pedig nem.

Mi a különbség az ingyenes és a céges ChatGPT között adatvédelmi szempontból?

A céges csomagokban (Business, Enterprise) és az API-ban az OpenAI alapból nem használja tanításra az adatokat, és adatfeldolgozói szerződést köt. Az ingyenes, a Plus és a Pro csomagban a tanítás alapból be van kapcsolva, ilyen szerződés pedig nincs.

Kell szólnom az ügyfeleimnek, ha AI-t használok?

Ha az AI-szolgáltató a megbízásodból ügyféladatot dolgoz fel, az adatkezelési tájékoztatódban fel kell tüntetned a címzettek között. Ha csak anonimizált szöveggel dolgozol, senkinek az adatát nem adod át.

Mit ír elő az AI Act egy kisvállalkozásnak?

Ha a munkádban AI-t használsz, gondoskodnod kell róla, hogy te és a munkatársaid ismerjétek a kockázatait. Tanúsítvány nem kell, de érdemes írásban rögzíteni, mikor és miről beszéltetek.