Céges AI-használati szabályzat: így írd meg egy délután alatt

Ha ma megkérdeznéd a csapatodat, hányan használnak AI-t a munkájukhoz, a válasz szinte biztosan alacsonyabb lenne a valóságnál. Nem azért, mert hazudnának. Hanem mert a chatbotba bemásolt ügyféllevél vagy a megbeszélést összefoglaló böngészőbővítmény a fejükben már nem „AI-használat”, hanem egyszerűen a munka.

És itt van, amit a legtöbb cégvezető félreért: a szabályzat hiánya nem akadályozza meg az AI-használatot. Csak láthatatlanná teszi. Van rá szakkifejezés is — shadow AI —, és a kockázat nem az, hogy valaki AI-t használ. Hanem hogy nem tudod, ki, mire és milyen adattal.

A jó hír: ehhez nem kell hetekig tartó jogi projekt. Egy használható első verzió megírható egy délután alatt, ha tudod, milyen fejezetekből áll, és milyen kérdésekre kell választ adnia. Ez a cikk pontosan ezt adja meg — a leltártól a kész sablon-vázig.

Fontos: ez a cikk nem jogi tanácsadás. Az itt leírt szerkezet gyakorlati kiindulópont, nem jogi dokumentum — mielőtt élesíted, nézesd át jogásszal, különösen ha szabályozott iparágban dolgozol, vagy ha személyes adat is szóba kerül.

Miért kell, ha „csak pár ember ChatGPT-zik”?

Három konkrét dolog miatt, és egyik sem elméleti kockázat.

• Az adat kimegy a cégből. Egy ügyféllista, egy árajánlat vagy egy szerződéstervezet bemásolása egy ingyenes eszközbe azt jelenti, hogy az adat elhagyta a céget. Hogy mi történik vele utána, azt a szolgáltató feltételei döntik el, nem te.
• Az ellenőrizetlen kimenet kimegy az ügyfélhez. Az AI magabiztos hangon ír le hibás dolgokat is. Ha nincs kimondva, mit kötelező ellenőrizni, előbb-utóbb kimegy egy kitalált határidő vagy egy nem létező műszaki paraméter.
• Nincs felelős. Szabály nélkül egy hiba nem valakinek a hibája lesz, hanem a cégé — vagyis a tiéd.

Ha közben az uniós szabályozás is foglalkoztat, arról külön írtam: EU AI Act magyar KKV-knak. De a szabályzat megírásához nem kell megvárnod semmilyen jogszabályi határidőt — a fenti három kockázat ma is fennáll.

Ami előtte kell: a 30 perces AI-leltár

A leggyakoribb hiba, hogy a szabályzat egy internetről letöltött sablonból készül, és olyan eszközöket tilt, amiket nálatok senki nem használ — miközben azt a hármat, amit tényleg használnak, meg sem említi.

Mielőtt egy sort is írnál, csinálj leltárt. Négy kérdés, mindenkinek:

• Milyen AI-eszközt használsz a munkádhoz? Beleértve a böngészőbővítményeket és a már meglévő szoftvereitek beépített AI-funkcióit is.
• Mire használod pontosan? Nem általánosságban, hanem konkrét feladatra lebontva.
• Milyen adatot adsz meg neki? Ez a legfontosabb kérdés a négyből.
• Céges vagy magánfiókból használod?

Egy dolog kritikus: ezt hibáztatás nélkül kell kérdezni. Ha a csapat azt érzi, hogy ez számonkérés, a lista hiányos lesz — és pont a kockázatos használat marad rejtve. Mondd ki előre, hogy a válaszoknak nincs következménye, a cél kizárólag a szabály megírása.

A tapasztalatom szerint az eredmény szinte mindig meglepetés: hosszabb az eszközlista, mint amire a vezetés számít, és jellemzően van benne legalább egy olyan eszköz, amiről addig senki nem tudott.

A szabályzat hat kötelező fejezete

Egy működő szabályzat rövid. Ha tíz oldal lesz, nem fogják elolvasni. Ez a hat fejezet az a minimum, ami nélkül a dokumentum nem ad választ a valós helyzetekre:

• Engedélyezett eszközök. Nevesített lista, plusz az, hogy ki és hogyan engedélyez új eszközt. Nyitott lista nélkül a szabályzat első nap elavul.
• Feltölthető és tiltott adatok. Ez a legfontosabb fejezet — ide fognak visszalapozni. Adatkörönként fogalmazz, ne elvekben. Az alapszabályokat itt szedtem össze részletesen: AI-eszközök adatbiztonsága webshopoknál.
• Ellenőrzési kötelezettség. Mit kötelező emberi szemmel átnézni, mielőtt kimegy a cégből vagy döntés születik belőle.
• Jelölés. Mikor kell jelezni, hogy a tartalom AI segítségével készült — ügyfél felé és belső anyagban.
• Felelősség. Az AI kimenetéért az azt felhasználó ember felel, nem az eszköz. Ezt ki kell mondani, különben vita lesz belőle az első hibánál.
• Frissítés. Ki nézi át, milyen gyakran, és mi indít el egy soron kívüli felülvizsgálatot.

Ha az egész téma nálad most a láthatatlan, engedély nélküli eszközhasználat körül forog, arról itt olvashatsz bővebben: shadow AI és adatvédelem.

A sablon-váz

Az alábbi mondatok kiindulópontok — írd át a saját eszközeitekre és adatköreitekre. Fejezetenként két-három egyértelmű mondat elég ahhoz, hogy a szabályzat használható legyen.

1. Engedélyezett eszközök

• „A munkavégzés során a következő AI-eszközök használhatók: [eszköz 1], [eszköz 2], [eszköz 3].”
• „Új AI-eszköz munkahelyi használata előtt írásos jóváhagyást kell kérni [felelős neve vagy pozíciója]-tól.”
• „A listán nem szereplő eszközbe céges adat nem kerülhet.”

2. Feltölthető és tiltott adatok

• „AI-eszközbe nem tölthető fel: ügyfél személyes adata, szerződés vagy annak részlete, beszerzési és árazási adat, jelszó vagy bármilyen hozzáférés, munkatársi személyes adat.”
• „Feltölthető: nyilvánosan elérhető információ, saját marketingszöveg-tervezet, valamint általánosított, azonosításra alkalmatlanná tett példa.”
• „Ha bizonytalan vagy, hogy egy adat melyik kategóriába tartozik, kérdezz — az alapértelmezett válasz a nem.”

3. Ellenőrzési kötelezettség

• „Ügyfélnek küldött szöveg, ajánlat, számadat és jogi tartalom kizárólag emberi ellenőrzés után mehet ki.”
• „Az AI által megadott tényadatot — határidőt, árat, műszaki paramétert, hivatkozást — minden esetben ellenőrizni kell az eredeti forrásban.”

4. Jelölés

• „Ügyfélnek átadott dokumentumban jelezni kell az AI közreműködését ott, ahol ezt szerződés, ügyféligény vagy szakmai szabály megkívánja.”
• „Belső anyagban a szerző feltünteti, ha a vázlat AI-jal készült, hogy az ellenőrző kollégának legyen kontextusa.”

5. Felelősség

• „Az AI-eszközzel készült tartalomért az azt felhasználó munkatárs felel, ugyanúgy, mint bármely más, általa készített anyagért.”
• „Az eszköz hibája nem mentesít az ellenőrzés elmulasztása alól.”

6. Frissítés

• „A szabályzatot [felelős] félévente, illetve minden új eszköz bevezetésekor felülvizsgálja.”
• „A módosításról minden érintett munkatárs írásos tájékoztatást kap.”

Ha a második fejezethez adatkör-szintű, kipipálható listát szeretnél, ahhoz külön anyagot állítottam össze: AI adatbiztonsági checklist.

A bevezetés: miért nem elég egy e-mail?

Mert a csatolmányként kiküldött szabályzatot nem olvassák el. Nem rosszindulatból — hanem mert egy e-mailből nem derül ki, hogy ez most fontos-e, vagy csak egy újabb adminisztratív papír.

Ami működik: egy 20 perces csapat-átbeszélés. Forgatókönyv:

• 5 perc — miért csináljuk. Ne szabálykövetésről beszélj, hanem arról, mi történik akkor, ha egy ügyféladat kikerül a cégből.
• 5 perc — a leltár eredménye. Mutasd meg a listát: ezt használjuk ma. Ettől lesz a szabályzat a csapatról szóló dokumentum, nem egy felülről érkezett papír.
• 5 perc — a két szabály, ami tényleg számít. A tiltott adatkörök és az ellenőrzési kötelezettség. A többit majd elolvassák, ha kell.
• 5 perc — kérdések. Itt jönnek elő a valódi szürke zónák, amikre az első verzió nem gondolt. Ezekből lesz a második verzió.

És mondd ki azt is, hogy ami eddig történt, annak nincs következménye. Amnesztia nélkül a csapat egyszerűen nem fogja elmondani, mit használt eddig — a szabályzat pedig egy hiányos leltárra fog épülni.

Mikor frissítsd?

Ne csak naptár szerint, hanem esemény szerint — plusz legyen egy biztonsági időpont.

• Új eszköz kerül be. Ilyenkor nemcsak a listát bővíted: nézd meg, milyen adatot kér az új eszköz, és hol tárolja azt.
• Új adatkör kerül szóba. Ha eddig csak marketingszöveget írtatok AI-jal, és most ügyfélszolgálati levelezést dolgoznátok fel vele, az teljesen más helyzet.
• Incidens vagy majdnem-incidens. Ha valaki majdnem feltöltött valamit, amit nem lett volna szabad, az nem fegyelmi ügy, hanem input: a szabályzat nem volt elég egyértelmű azon a ponton.
• Félévente egyszer akkor is, ha semmi nem történt. Tedd be a naptárba. Húsz perc, és nem fordulhat elő, hogy egy évvel ezelőtti eszközlistára hivatkoztok.

Ha most azon gondolkodsz, hol kezdd: kezdd a leltárral, még ezen a héten. Fél óra, és utána a szabályzat megírása már csak kitöltés — nem üres lapról indulsz, hanem abból, amit a csapatod ténylegesen csinál.

A legnehezebb fejezethez — mit szabad és mit nem feltölteni — összeállítottam egy letölthető ellenőrzőlistát, ami adatkörönként végigvezet a döntésen: AI adatbiztonsági checklist letöltése.

Ez a cikk az AI audit átfogó útmutató kiegészítő anyaga: ha nemcsak a szabályokat akarod rendbe tenni, hanem a teljes AI-használatotok állapotát is fel akarod mérni, ott találod hozzá a keretet.