I. Bevezető gondolatok
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (továbbiakban: GDPR vagy Rendelet) és a mesterséges intelligenciára vonatkozó harmonizált szabályok megállapításáról, valamint a 300/2008/EK, a 167/2013/EU, a 168/2013/EU, az (EU) 2018/858, az (EU) 2018/1139 és az (EU) 2019/2144 rendelet, továbbá a 2014/90/EU, az (EU) 2016/797 és az (EU) 2020/1828 irányelv módosításáról szóló (EU) 2024/1689 rendelet (továbbiakban: AI Act) hatályba lépése óta nyilvánvalóvá válhatott valamennyi adatkezelő és érintett számára egyaránt, hogy jelentős átfedések jöttek létre e két terület között. Különösen említésre méltó az adatvédelmi tisztviselő (továbbiakban: adatvédelmi tisztviselő vagy DPO) és az AI-felelős (továbbiakban: AI-felelős vagy AI Officer) közötti átfedések kérdése. Egyre gyakoribbá vált ugyanis, hogy adatvédelmi tisztviselők egyszerre töltik be az AI-felelős szerepét is. Első ránézésre mindez indokolt és hatékony is lehet, hiszen a GDPR által támasztott követelmények (szakmai rátermettség, adatvédelmi jog és gyakorlat szakmai szintű ismerete) akár irányadóak is lehetnének az AI felelősre is a jogterületek közötti szoros kapcsolatra tekintettel.
I. 1. Mi jelenti a problémát?
Az előzőek után mégis adódik egy probléma, amelyet a következőképpen lehet vázolni: míg a GDPR létrehozza és szabályozza a DPO tisztségét, addig sem az AI Act, sem más jogszabály nem rendelkezik kifejezetten az AI-felelős tisztség létrehozásáról és jogállásáról. Létrejöttére pusztán a vállalati hatékonyság által motivált szerepkörként tekinthetünk, az AI Act 4. cikkének (AI-jártasság) való megfelelés érdekében. Ti. „az MI-rendszerek szolgáltatói és alkalmazói intézkedéseket hoznak annak érdekében, hogy a tőlük telhető legnagyobb mértékben biztosítsák személyzetük […] MI-jártasságát […].” Magyarul a gyakorlatban az ilyen szolgáltatói és alkalmazói intézkedések egyik „megoldása” az AI-felelős pozíció. Fontos hangsúlyozni tehát ezen a ponton, hogy a pozíció létrejötte nem jogi kötelezettség, hanem szervezeti-praktikai megoldás.
A GDPR 38. cikk (6) bekezdése pedig rögzíti, hogy „az adatvédelmi tisztviselő más feladatokat is elláthat. Az adatkezelő vagy az adatfeldolgozó biztosítja, hogy e feladatokból ne fakadjon összeférhetetlenség.” Azonban az összeférhetetlenség eseteire nem tér ki a Rendelet.
Mindezek alapján tehát jelen cikkünk célja, hogy választ találjon arra a kérdésre, hogy fennáll-e jogi összeférhetetlenség a DPO és az AI-felelős pozíciója között, illetve az adatvédelmi tisztviselő elláthatja-e az AI-felelős feladatait.
II. Az összeférhetetlenség logikájáról
Ahhoz, hogy az elkövetkezendőkben további következtetéseket vonhassunk le, elengedhetetlen, hogy az összeférhetetlenség céljáról, funkciójáról és ezek alapján a jogintézmény mögött meghúzódó jogalkotói akaratról szót ejtsünk. Alapvetően egyet lehet érteni Török Tamással, amikor azt írja, hogy nehéz általánosságban jogi definíciót adni az összeférhetetlenség fogalmára, mivel valamennyi jogterület különböző szemszögből tekint e fogalomra. Álláspontunk szerint azonban mindegyik jogterületen az összeférhetetlenség – mint jogintézmény – célja azonos: a függetlenség garanciájaként történő működés.
A GDPR 38. cikk (3) bekezdés akként rendelkezik, hogy „az adatkezelő és az adatfeldolgozó biztosítja, hogy az adatvédelmi tisztviselő a feladatai ellátásával kapcsolatban utasításokat senkitől ne fogadjon el.” – avagy, hogy feladatellátása során független legyen az adatkezelőtől. Ebből pedig adódik, hogy az összeférhetetlenséget garanciaként be kell emelni a DPO jogállásáról való gondolkodásba. „Az adatkezelő vagy az adatfeldolgozó az adatvédelmi tisztviselőt feladatai ellátásával összefüggésben nem bocsáthatja el és szankcióval nem sújthatja.” – ennek hátterében az az elképzelés áll, hogy a DPO azért élvez ilyen mentességet, mert így nem kell attól tartania, hogy az adatkezelő vagy adatfeldolgozó retorziókat alkalmaz vele szemben véleménye miatt. Követelmény, hogy szakmai alapokon álljon a vélemény.
Miért járjon el függetlenül a DPO? A GDPR (97) preambulumbekezdése alapján „az adatvédelmi tisztviselők – függetlenül attól, hogy az adatkezelő alkalmazásában állnak-e – módjában kell, hogy álljon kötelezettségeik és feladataik független ellátása.”
A Rendelet 39. cikke sorolja fel az adatvédelmi tisztviselő feladatköreit. Ezek közül talán a legfontosabb a szakmai tanácsadás és tájékoztatás. Általános meggyőződésnek kell lennie, hogy ezen feladatkörök teljesítése csak a jogszabályoktól való függés tekintetében értelmezendő hatékonyan. Értelemszerű tehát, hogy a gyakorlatban egy részrehajlással tett adatvédelmi kötelezettségekről szóló szakmai tájékoztatás kiüresítené a jogszabály célját (hitelesség, tájékozottság, átláthatóság). A pusztán szakmai tájékoztatás és tanácsadás csak így garantálható.
Végezetül a 29. cikk szerinti adatvédelmi munkacsoport 2016-os WP 243 rev.01 iránymutatása megemlítendő. A munkacsoport konkrétan meghatározta azt az esetkört, amikor abszolút összeférhetetlenség áll fenn a DPO vonatkozásában, „ez különösen azt jelenti, hogy az adatvédelmi tisztviselő nem tölthet be olyan pozíciót a szervezeten belül, amelynek keretében ő határozza meg a személyes adatok kezelésének céljait és eszközeit.” Tipikus eset erre a szervezeten belüli felsővezető pl. ügyvezető, igazgató, osztályvezető stb.
III. Az AI-felelős feladatairól
Említésre került már, hogy az AI-felelős jogállását egyetlen jogszabály sem határozza meg kifejezetten. Ebből adódik, hogy nincs egy tételes felsorolás arról, hogy az AI-felelőst milyen kötelezettségek és feladatok terhelik. A gyakorlatban azonban számos olyan tevékenységi kör előfordul, amelyek felelősségteljes ellátása egy ilyen szakemberre hárulhat. A teljesség igénye nélkül ilyenek lehetnek a következő feladatkörök.
- Elsőként kell említeni az AI Act 4. cikke szerinti AI-jártasságot. Ez azokat a készségeket, ismereteket és értelmezési képességeket öleli fel, amelyek megengedik az AI-rendszer szolgáltatói, alkalmazói és érintettjei számára, hogy megfelelő információk birtokában telepítsenek AI-rendszereket, illetve tudomást szerezzenek az AI lehetőségeiről, kockázatairól és a rendszer által okozható károkról. Az ezen a területen végzett szakmai oktatás meglátásunk szerint az AI-felelős feladat- és hatáskörébe tartozik.
- Ezzel szorosan összefügg az AI felhasználással és szolgáltatással kapcsolatos tudatosság növelése egy szervezeten belül.
- Szintén az AI-jártasságból vezethető le, hogy a szervezetek belső szabályzattal rendelkezzenek az AI alkalmazást illetően. Az ilyen belső szabályzatok megalkotása is az AI Officert terhelő feladatként értékelhető.
- Ugyan az átláthatóságot az AI Act 13. cikke alapján a szolgáltatónak és az alkalmazónak kell biztosítania, ennek hatékonyságában is fontos szerepe lehet az AI Officernek.
- Nem utolsó sorban etikai szempontok is érvényesülnek azon érdek mellett, hogy egy szakember a szervezet mellett állva tájékoztassa az alkalmazókat és a szolgáltatókat az etikus magatartásról.
- Különös figyelmet érdemel az AI Act 14. cikke, amely az emberi felügyeletről rendelkezik: „(1) A nagy kockázatú MI-rendszereket úgy kell megtervezni és fejleszteni – többek között megfelelő ember–gép interfész eszközökkel –, hogy azokat a használatuk időtartama alatt természetes személyek hatékonyan felügyelhessék.” Majd ugyanezen cikk (4) bekezdése pedig meghatározza azokat a kritériumokat, amelyekre képesnek kell lennie a felügyeletet ellátó természetes személynek. Ilyen például:
- a nagy kockázatú MI-rendszer képességeinek és korlátainak megfelelő megértése, működésének nyomon követése;
- „automatizálási torzítás” észben tartása (vagyis, hogy az AI-rendszer döntését, kimenetét kritikával kell kezelni);
- a nagy kockázatú MI-rendszer kimenetének helyes értelmezése, figyelemmel az értelmezési eszközökre és módszerekre;
- a nagy kockázatú MI-rendszer használatának mellőzéséről, felülírásáról, figyelmen kívül hagyásáról való döntés;
- a nagy kockázatú MI-rendszer működésébe történő beavatkozás, biztonságos körülmények közötti leállítás (pl.: „stop” gomb lenyomás).
Hangsúlyozzuk: itt sem az AI Act alapján látja el az emberi felügyeletet az AI Officer. Pusztán a gyakorlatban alkalmas egy szakember (AI-felelős) ezen kompetenciák birtokában e feladatok hatékony elvégzésére.
IV. A DPO és az AI Officer státusza közötti hasonlóságokról
A cikk ezen részére talán egyértelművé vált, hogy a két szerepkör között meglehetősen sok a hasonlóság. Ez legfőképp a két jogterületet átható olyan közös alapelvekből fakad, mint például a személyes adatok kezelésének jogszerűsége, tisztességessége, átláthatóság, célhoz kötöttség, pontosság és tárolás korlátozása (AI Act (94) preambulumbekezdés).
Megjegyzendő, hogy mindegyik tisztség governance jellegű. Ez azt az irányítási keretrendszert jelenti, amely megalapozza egy szervezeten belül, hogy milyen irányokat vesz az adatvédelmi és/vagy az AI-alkalmazási proaktív gondolkodás és gyakorlat – tulajdonképpen konkrét belső szabályzatokon keresztül. Ehhez pedig természetesen szükség van egy ezt koordináló, tanácsadó szakemberre, aki történetesen a DPO és/vagy lehetséges módon az AI-felelős.
Ezeken túlmenően közös kapcsolódási pont az oktatási-tudatosítási tevékenység: mindkét szerepkörhöz hozzátartozik az adott témakör legfontosabb részleteinek szakmai alapon történő átadása, a bevett gyakorlatról történő független és lelkiismeretes felvilágosítás.
A funkcionális megközelítést tovább folytatva megemlítendő, hogy mindkét tisztség szakmai hátteret és tudást kíván. Megjegyezzük, hogy az AI Act. 4. cikke szerinti AI-jártasságból pusztán logikailag, mögöttesen következik a szakmai kompetencia követelménye, hiszen hogyan tudná valaki olyan ellátni az MI-rendszer alkalmazóinak és szolgáltatóinak, érintettjeinek a felvilágosítását, aki maga sem rendelkezik tájékozottsággal…
Végsősoron pedig itt is az emberi minőségből fakadó felügyeleti, ellenőrzési szerepkör hangsúlyozandó. Az adatvédelmi tisztviselő és az AI-felelős egyaránt ellenőrzési-felügyeleti funkciót tölt be: előbbi a szervezeti működés és utóbbi az AI-rendszer kimenete, döntése felett.
V. Összefoglalás – van-e tehát összeférhetetlenség a két pozíció között?
Jogi értelemben vett abszolút összeférhetetlenség nincs, vagyis főszabály szerint elláthatja a DPO az AI-felelős számára rendelt feladatokat egy személyben. A GDPR 38. cikk (6) bekezdésének azon rendelkezése, miszerint „az adatvédelmi tisztviselő más feladatokat is elláthat” jogszerű bázist biztosít ahhoz, hogy főszabály szerint AI Officeri feladatokat is ellásson. Az összeférhetetlenség kérdése az AI-felelőshöz rendelt konkrét feladat- és döntési hatáskörök alapján ítélhető meg.
A főszabályokhoz ugyanakkor kivételek is tartoznak: ismét utalnánk a 29. cikk szerinti adatvédelmi munkacsoport iránymutatására, amely a DPO összeférhetetlenségét az adatkezelői funkciók betöltésében látja: nem határozhatja meg az adatkezelés eszközét és célját. Óvakodni kell azonban, mert az AI-felelős számára ilyen jogi korlátok egyáltalán nincsenek is. Elviekben tehát AI-felelős lehet az a természetes személy felsővezető, aki meghatározza egy szervezeten belül az adatkezelés eszközét és célját. Ebből következik, hogy amennyiben az AI-felelősi feladatok „felvétele” egyben az adatkezelés eszközeinek és céljainak a meghatározását és/vagy a felsővezetői feladatok ellátását is jelentené, úgy – a 29. cikk szerinti munkacsoport gondolatmenete alapján – összeférhetetlenséget kell megállapítani. Ilyen esetben viszont az adatvédelmi tisztviselői státusz betöltése kizárt.
Összefoglalva tehát jól látható, hogy a kérdésre adott válasz attól függ, hogy az AI-felelős milyen feladat- és hatáskörökkel lesz felruházva.
Javasoljuk valamennyi szervezetnek, hogy bizonyosodjanak meg az említett körülmények fennállásáról vagy fenn nem állásáról, vagy szakmai tanácsért keressenek bennünket bizalommal.
Dr. Miklós Péter – adatvédelmi jogász
Saly Attila
2026. 09. 08.