Az elmúlt két évben a hazai kis- és középvállalkozások többsége túllépett a kísérletezési fázison, és a mesterséges intelligenciát közvetlenül beépítette a mindennapi működésébe. Az algoritmusok ma már nemcsak általános szövegeket fogalmaznak meg, hanem ajánlatadásokat készítenek elő, belső szerződésmintákat elemeznek, pénzügyi kimutatásokat összesítenek, és a vállalat legértékesebb tudásbázisaihoz férnek hozzá. Amíg a korai időszakban egy modell kiválasztását szinte kizárólag a pontossági tesztek eredményei, a válaszadási sebesség és a tokenenkénti ár határozták meg, addig 2025-re világossá vált, hogy ez a megközelítés súlyos kockázatokat hordoz. Egy vállalatvezető vagy informatikai döntéshozó számára egy külső AI-szolgáltató integrálása alapvetően beszállítói lánckockázatot, adatvédelmi kitettséget és geopolitikai függőséget jelent. Amikor egy üzleti folyamat egyetlen API-végpont stabilitásán múlik, a technológiai paraméterek mögött azonnal felértékelődik a joghatóság és a tulajdonosi háttér szerepe.
A globális piacot megrázó DeepSeek-események tökéletesen rávilágítottak erre a kettősségre. A kínai fejlesztőcég 2025 januárjában tette közzé a DeepSeek-R1 modellcsaládot, amely a mérési eredmények alapján a piacvezető nyugati rendszerekkel vetekedő gondolkodási képességet mutatott fel, mindezt a megszokott költségek töredékéért. A szakmai lelkesedést azonban azonnal követte a hidegzuhany, amikor kiderült, hogy mekkora különbség van a technológiai bravúr és az üzemeltetési realitás között. A modell súlyait ugyan nyílt forráskódú, rendkívül megengedő MIT licenc alatt tették letölthetővé, ami elvileg lehetővé teszi a teljesen független, helyi infrastruktúrán történő futtatást, a felhasználók tömegei mégis a DeepSeek által üzemeltetett felhőszolgáltatást és webes felületet kezdték el használni. Ezzel párhuzamosan a vállalat saját adatvédelmi tájékoztatója egyértelművé tette, hogy a platformon gyűjtött személyes adatokat a Kínai Népköztársaság területén található szervereken tárolják.
A szabályozói reakció nem késett sokat, és jól illusztrálja, milyen sebességgel avatkozhatnak be az európai hatóságok a technológiai folyamatokba. Az olasz adatvédelmi hatóság, a Garante 2025. január 30-án azonnali hatállyal elrendelte a DeepSeek chatbot olaszországi adatkezelésének korlátozását, mivel a szolgáltatótól kapott válaszokat elégtelennek találta a személyes adatok gyűjtésére és kezelésére vonatkozó kérdésekben. Ez az eset nem elszigetelt fellépés, hanem az első markáns jele annak a szigorú felügyeleti környezetnek, amelyben az európai vállalatoknak mostantól működniük kell. Különösen igaz ez annak fényében, hogy az Európai Unió mesterséges intelligenciáról szóló rendelete, az AI Act közvetlenül alkalmazandó uniós jogként lépett életbe, és a tiltott AI-gyakorlatokra vonatkozó előírásai már 2025. február 2-től érvényesek. A hazai cégek tehát nem tehetik meg, hogy pusztán a kényelemre vagy a látszólag elenyésző számlákra hivatkozva figyelmen kívül hagyják a határokon átívelő jogi kockázatokat.
A felkészült cégvezető és az IT-döntéshozó első gyakorlati lépése a modellválasztás előtt a pontos tulajdonosi és adatáramlási lánc feltárása. Nem elegendő megnézni a számlázási felületet vagy a csillogó termékbemutatót, hanem alaposan meg kell vizsgálni a tényleges szerződő fél kilétét, a végső tulajdonosi struktúrát, valamint a technológia mögött álló alfeldolgozói kört. Tisztázni kell, hogy az adott szolgáltatóra mely államok joga vonatkozik, és az adott ország nemzetbiztonsági vagy rendvédelmi szervei milyen feltételekkel kötelezhetik a beszállítót titkos adatszolgáltatásra. Ezzel párhuzamosan tételesen számba kell venni, hogy a tervezett üzleti folyamat során pontosan milyen adatok jutnak el a külső rendszerbe. A beírt vagy programozottan beküldött promptok mellett a csatolt dokumentumok, a technikai metaadatok, a hibakeresési naplók és a felhasználói azonosítók mind kockázati tényezőt jelentenek, ezért pontosan dokumentálni kell, hogy ezeket hol, milyen jogalapon és mennyi ideig őrzi meg a külső fél.
A beszerzési folyamat második elengedhetetlen lépése az adatvédelmi és szerződéses garanciák alapos ellenőrzése, ahol a leggyakoribb és legveszélyesebb tévhit a szerverek fizikai elhelyezkedéséhez kapcsolódik. Sokan hajlamosak feltételezni, hogy ha egy AI-szolgáltató európai adatközpontot vagy uniós régiót hirdet, a GDPR szerinti megfelelés automatikusan garantált, ez azonban a gyakorlatban távolról sem igaz. A vizsgálat során fel kell tárni, hogy az európai szerverek felett mely vállalat gyakorol tényleges adminisztrátori ellenőrzést, és fennáll-e a veszélye annak, hogy egy harmadik országbeli anyavállalat mérnökei vagy hatóságai távolról hozzáférnek az adatokhoz, ami jogilag adattovábbításnak minősül. Alapvető elvárás a részletes adatfeldolgozói megállapodás megléte, a nemzetközi adattovábbítási mechanizmusok tételes rögzítése, valamint annak garantálása, hogy a szolgáltató az ügyfél adatait semmilyen formában nem használja fel modelljei továbbképzésére vagy a szolgáltatás fejlesztésére. Ezt nem elég egy felhasználói fiókban átkattintható beállításra bízni, hanem a szerződés szövegében kell feltétel nélkül kikötni, párhuzamosan a titkosításra, a naplózásra, az incidensértesítési határidőkre és a független biztonsági tanúsítványokra, például az ISO vagy SOC szabványokra vonatkozó vállalásokkal.
A harmadik megkerülhetetlen feladat az üzletmenet-folytonosság megtervezése a hirtelen geopolitikai fordulatok és technológiai embargók tükrében. A globális technológiai versenyben a szankciós listák, az exportkorlátozások és a váratlan hatósági tiltások ma már nem elméleti forgatókönyvek, hanem mindennapos üzleti tényezők. A vállalatnak pontosan fel kell mérnie, mi történik akkor, ha a kiválasztott szolgáltató API-hozzáférését egy új amerikai vagy európai korlátozás miatt egyik napról a másikra megszüntetik, vagy ha a szolgáltató saját döntése alapján zárja ki a hozzáférést bizonyos piacokról. Szisztematikusan át kell tekinteni, hogy mely belső üzleti folyamatok, ügyfélszolgálati rendszerek vagy döntéstámogató munkafolyamatok bénulnának meg egy azonnali leállás esetén. Ha egy vállalkozás kritikus folyamatait egyetlen külső technológiára utalja anélkül, hogy létezne mérhető, azonnal bevethető alternatívája, az nem pusztán informatikai kockázat, hanem a cég működőképességét fenyegető stratégiai hiba.
A kitettség tudatos csökkentésének kulcsa a technikai és szerződéses kivezetési terv, az úgynevezett exit-stratégia, amelyet már a bevezetés első pillanatában ki kell dolgozni. Itt válik alapvetővé a nyílt súlyú modellek és a szolgáltató által hosztolt felhőplatformok közötti stratégiai különbségtétel. Ha egy hazai vállalkozás a DeepSeek-R1-hez hasonló, nyílt súlyú modellt választ, de azt egy szigorúan ellenőrzött európai felhőszolgáltatónál vagy saját dedikált hardveren futtatja, teljes mértékben megakadályozhatja az adatok kiáramlását a külső joghatóságok felé. Ugyanakkor látni kell a modell sajátosságait is, hiszen a saját üzemeltetés esetén a biztonsági frissítések, a hozzáférés-kezelés, a hardveres kapacitástervezés és az incidenskezelés teljes felelőssége a vállalatra hárul. Emiatt a menekülési útvonalnak minden esetben magában kell foglalnia a felépített tudásbázisok és vektoros beágyazások exportálhatóságát, az alkalmazott promptok hordozhatóságát, valamint annak folyamatos tesztelését, hogy az üzleti logika minimális ráfordítással átállítható-e egy független, alternatív modellre.
A beszerzési és kockázatelemzési szempontok mérlegelésekor nem hagyható figyelmen kívül a tervezett felhasználási eset jellege sem, mivel az uniós szabályozás szigorúsága a kockázat nagyságával arányosan növekszik. Nem mindegy, hogy egy nyelvi modell pusztán a belső e-mailek stilisztikai javítását vagy marketingvázlatok írását támogatja, vagy közvetlenül beavatkozik az emberi döntéshozatalba. Az EU AI Act logikája szerint a toborzást és a munkavállalók értékelését célzó rendszerek, a hitelbírálati folyamatok vagy az érzékeny személyes adatokat kezelő munkafolyamatok a magas kockázatú kategóriába eshetnek, ahol az emberi felügyelet, az átláthatóság és a diszkriminációmentesség szigorúan kötelező. Ha egy magyar cég egy ilyen folyamatba von be egy tisztázatlan hátterű vagy nemzetközileg vitatott joghatóságú külső szolgáltatót, azzal nemcsak a felügyeleti bírságoknak teszi ki magát, hanem egy esetleges hatósági vizsgálat során saját üzleti hitelességét és jogi biztonságát is kockára teszi.
A gyakorlati tapasztalatok azt mutatják, hogy a legnagyobb fenyegetést a hazai cégeknél gyakran nem az átgondolt projektek, hanem a láthatatlanul beszivárgó árnyék-informatika jelenti. Amikor a munkatársak céges bankkártyával vagy ingyenes fiókokkal kezdenek el kényelmes, ám átvilágítatlan felületeket használni bizalmas szerződések vagy belső kalkulációk feldolgozására, a vezetés minden kontrollt elveszít az adatok felett. Ezt a problémát súlyosbítja az a gyakori vezetői tévedés, amely a gyorsaságot és az olcsó tokenárakat tekinti az egyetlen értékmérőnek, miközben a compliance és a biztonság kérdését felesleges tehernek minősíti. Külső jogi és kiberbiztonsági szakértőt különösen akkor indokolt bevonni, ha az AI-megoldás üzleti titkokat, ügyféladatokat vagy szabályozott döntési folyamatokat érint, illetve ha a cég saját infrastruktúrán kíván nyílt modelleket futtatni, de nem rendelkezik az ehhez szükséges belső biztonsági kompetenciával. Egy alapos beszerzési audit és egy szerződéses felülvizsgálat költsége eltörpül amellett a kár mellett, amelyet egy adatszivárgás, egy hatósági letiltás vagy az üzletmenet hirtelen leállása idézhet elő.
A mesterséges intelligencia által kínált versenyelőny túl értékes ahhoz, hogy a vállalatok félelemből lemondjanak róla, a felelőtlen adaptáció azonban túlságosan veszélyes ahhoz, hogy kockázatait félvállról lehessen venni. A kulcs nem az innováció elutasítása, hanem a megalapozott beszerzési és technológiai érettség kialakítása, amely elválasztja a marketingígéreteket a valós kockázatoktól. Azok a hazai vállalkozások építenek valóban időtálló rendszereket, amelyek nem bízzák a véletlenre adataik sorsát, független és cserélhető architektúrával védekeznek a nemzetközi kitettségek ellen, és a technológiai partnereket a teljesítményük mellett jogi integritásuk alapján választják ki. Ez a megközelítés teszi lehetővé, hogy a mesterséges intelligencia ne egy újabb sebezhetőségi ponttá, hanem a cég megbízható és fenntartható hajtóerejévé váljon.
