GDPR + AI: tanítás felhasználói adaton 2026 · mit szabad

A legtöbb AI-vel induló SaaS-nak ugyanaz a kísértése: „a user-ek adatával tanítunk, mert így lesz jobb a termékünk”. Jogilag ez egyetlen pillanatra sem egyértelmű · 2026-ban a GDPR és az AI Act együtt vonatkozik rá.

Jogalapok · röviden

• Hozzájárulás (consent): legszélesebb, de visszavonható, az után nem maradhat a modellben.
• Jogos érdek (legitimate interest): szigorú balance-teszt, ritkán állja meg a helyét tréninghez.
• Szerződés teljesítése: csak ha a tréning direkt a service része. Nem általános célú.

A buktató, amit mindenki alábecsül

A GDPR szerint a felhasználónak joga van a törléshez. Ha a személyes adata bele van sütve a modellbe, azt elvileg törölni kellene. Gyakorlatban a modellből nem tudod kiolvasni · ez az ún. right to be forgotten és machine unlearning feszültség, amit az EU 2026-ban elkezdett komolyan venni.

Amit ma mi csinálunk

1. Anonimizálás már a pipeline elején · személyes adatot ne érjen el a tréning.
2. Consent log: ki, mikor, mire adott engedélyt (időbélyeg, verzió).
3. Opt-out nyomkövetés: ha visszavon, retraining / modell-kiadás előtt kiszűrjük.
4. Model card: mire tanítottunk, mikor, milyen verzióval. Auditálható.
5. Tenant-szintű izoláció multi-tenant embeddingseknél.

A 2026-os irány

Erősödő DPA-ellenőrzések, nagyobb bírságok, és a machine unlearning technológiai fejlődése. Javaslatunk: minden modell-pipeline-ba építs be consent-flag-et és opt-out-retraining cycle-t. Utólag rátenni extrém drága.

Összefoglaló

A user-adatos tréning nem tiltott, de a mulasztás drága. Ha segít, fél napban átvesszük veled a te konkrét pipeline-odat · compliance-risk map-pel és konkrét fix-listával.