A digitális biztonság nem IT-téma. Üzleti felelősség.

A generatív mesterséges intelligencia használatának jogi és szervezeti kérdései 

Az esemény első részében Eva Gostisa és Nejc Setnikar a Jadek & Pensa ügyvédi irodától bemutatták az AI Act jogi keretét, a szerzői jogokat és a személyes adatok védelmét, és kiemelték, hogy az AI Act nem helyettesíti a meglévő jogszabályokat, hanem kiegészíti azokat. 

Az AI-eszköz használata önmagában még nem jelenti az adatok megfelelési szempontból helyes kezelését. A vállalatok gyakran nem tudják pontosan, milyen adatok kerülnek a modellekbe, hová tárolódnak, ki felel értük, és megjelenhetnek-e később a generált tartalom részeként. 

A generatív mesterséges intelligencia esetében gyorsan felmerülnek a felelősség, a tartalomtulajdon és az adatok vagy szerzői jogi védelem alatt álló művek reprodukálhatóságának kérdései. Megemlítették a GEMA kontra OpenAI ügyet Németországban, ahol jogvita folyik a szerzői joggal védett szövegek modellek tanításához történő felhasználásáról. 

Éppen itt mutatkozik meg a legnagyobb szakadék a vállalati elvárások és a technológia valósága között. A vállalatok egyértelmű válaszokat szeretnének az adathasználatról, a felelősségről és a tartalomtulajdonról, az AI azonban gyakran csak annyit válaszol: »attól függ«. 

A mesterséges intelligenciáról szóló vita ezért nagyon gyorsan a szabályozás területéről egy sokkal gyakorlatiasabb kérdésre terelődik: mennyi kontrolljuk van a vállalatoknak egyáltalán a saját digitális környezetük felett, és rendezettek-e az alapvető folyamatok, hozzáférések és biztonsági gyakorlatok. 

A legnagyobb kockázat nem az AI, hanem az átláthatatlan digitális környezet 

Az esemény második részében elsősorban arról beszéltem, mit jelent már ma a mesterséges intelligencia a vállalatok digitális és információbiztonsága szempontjából. 

Itt gyorsan megmutatkozik egy érdekes paradoxon. A cégek AI-stratégiákkal, szabályzatokkal és a produktivitással foglalkoznak, miközben sokuknál még az alapvető biztonsági folyamatok sincsenek rendben. 

A legtöbb problémát továbbra sem a fejlett technikai támadások okozzák, hanem a rossz gyakorlatok, az improvizáció és a saját digitális környezet feletti rálátás hiánya. 

A gyakorlatban ez átláthatatlan hozzáféréseket, a jelszavak megosztását a munkavállalók között, „csak működjön” elv alapján épülő infrastruktúrát, valamint hiányos felügyeletet jelent a domainek, a szerverek és a kulcsfontosságú rendszerek felett. Ilyen környezet nemcsak biztonsági, hanem üzleti felelősségi szempontból is problémás. Amikor egy cég elveszíti az áttekintést a hozzáférések, adatok és felelősségek felett, rendszerint a hatékony incidenskezelés képességét is elveszíti. 

Az AI gyorsabb és célzottabb támadásokat tesz lehetővé a támadók számára 

A mesterséges intelligencia többnyire nem hoz létre új támadástípusokat, hanem olcsóbbá, automatizáltabbá és gyorsabbá teszi a meglévőket. Az adathalász üzenetek már nem tele vannak nyelvtani hibákkal és rossz fordításokkal. A generatív modellek nagyon meggyőző, helyes szlovén nyelvű kommunikációt tesznek lehetővé, gyakran egy adott vállalat vagy kolléga hangvételében is. 

Hasonló a helyzet a cégekről szóló információgyűjtésnél. A vállalati weboldalakból, a LinkedInből, álláshirdetésekből, nyilvánosan elérhető bejegyzésekből és sajtóhírekből ma nagyon gyorsan összeállítható a munkavállalók, a szervezeti struktúra, a beszállítók és a vállalat által használt technológiák profilja. Amit egykor napokig tartó kutatás igényelt, azt ma az AI percek alatt elvégzi. 

Emellett fontos megérteni a digitális biztonság tágabb kontextusát is: 

• a támadások messze legnagyobb része továbbra is e-maillel kezdődik,  

• a kis- és középvállalkozások lényegesen gyakoribb célpontok,  

• az észlelésig eltelt átlagos idő gyakran több hónapot is meghalad. 
   
  (Forrás: Verizon Data Breach Investigations Report 2025 és IBM Cost of a Data Breach Report 2024.) 

Ezért a kérdés már nem az, hogy a vállalatok használnak-e AI-t. A többség már használja. A kulcskérdés inkább az, hogy a folyamatok elég rendezettek-e ahhoz, hogy a használatát egyáltalán biztonságosan kontrollálni tudják. 

A digitális biztonság leggyakrabban az alapoknál mond csődöt 

Amikor digitális biztonságról beszélünk, sokan még mindig elsősorban technikailag összetett támadásokat és komplex hekkertöréseket képzelnek el. A gyakorlatban azonban az incidensek többsége továbbra is alapvető biztonsági hiányosságokból és gyenge szervezeti gyakorlatokból ered. 

A támadások jelentős része továbbra is e-maillel kezdődik. Nem a fejlett technológia miatt, hanem egyetlen rossz kattintás, egy ellenőrizetlen melléklet vagy egy meggyőző, legitimnek tűnő üzenet miatt. Éppen ezért válik a levelezés védelme, a többfaktoros hitelesítés és a munkavállalók alapvető biztonságtudatossága minimális sztenderddé. 

A hozzáférések is komoly problémát jelentenek. A vállalatok gyakran pontosan tudják, hogyan adjanak valakinek hozzáférést egy rendszerhez, jóval kevesebbet gondolkodnak viszont azon, hogyan és mikor kell a hozzáférést megfelelően megszüntetni. Munkavállalók, ügynökségek vagy külső kivitelezők cseréjekor a rendszerekben így gyakran aktívak maradnak olyan fiókok, amelyekről már senki sem tudja, hogy léteznek. 

Hasonló a helyzet a domainek, szerverek és az infrastruktúra kezelésénél. Számos cégnek ma sincs világos képe arról, ki: 

• a domain bejegyzője,  

• ki kezeli a DNS-rekordokat, és  

• kinek vannak rendszergazdai jogosultságai a kulcsfontosságú rendszerek felett. 

Amíg minden működik, ez általában nem probléma. A gond csak incidensnél, szolgáltatóváltásnál vagy hozzáférés elvesztésénél jelentkezik. 

A biztonság terén ezért legtöbbször nem a technológia, hanem a szervezet jelenti a problémát. 

A biztonság nem technikai funkció, hanem szervezeti kultúra 

Az egyik legnagyobb tévhit a digitális biztonsággal kapcsolatban, hogy ez elsősorban technikai terület, amellyel az IT osztály foglalkozik. A gyakorlatban a legnagyobb különbségek a cégek között inkább a szervezetben, a folyamatokban és a felelősségi kultúrában mutatkoznak. 

Önmagában a technológia még nem garantálja a biztonságot. A legjobb rendszerek sem érnek sokat, ha a cégnek nincs rálátása a hozzáférésekre, ha a dolgozók ugyanazokat a jelszavakat használják több különböző szolgáltatáshoz, vagy ha a kulcsfolyamatok nem világos szabályok és felelősségek mentén zajlanak. 

Ahogyan a hegyekben sem elég a jó felszerelés, a digitális biztonságnál sem elegendő csak a jó eszközpark. Elsősorban az számít, hogyan gondolkodik a vállalat, hogyan hoz döntéseket, és mennyire felkészült a kiszámíthatatlan helyzetekre. 

A biztonsági mentések is nagy problémát jelentenek. Sok vállalat hiszi, hogy a backup rendben van, jóval kevesebben ellenőrzik azonban ténylegesen, hogy az adatok sikeresen vissza is állíthatók-e. Az a biztonsági mentés, amelyet a cég soha nem ellenőrzött vagy tesztből nem állított vissza, gyakran pont akkor mond csődöt, amikor a legnagyobb szükség lenne rá.  

Hasonló a helyzet a frissítésekkel és a sérülékenységkezeléssel. A támadók ma gyakran nem új rések után kutatnak, hanem régi, régóta ismert sérülékenységeket használnak ki, amelyeket a cégek nem orvosoltak időben. A rendszerek rendszeres frissítése ezért már nem technikai részlet, hanem alapvető digitális higiénia. 

Végül szinte mindig ugyanaz a minta rajzolódik ki. A legtöbb gondot nem a technológia hiánya okozza, hanem az átláthatóság, a felelősség és a világosan definiált folyamatok hiánya. 

Éppen ezért a digitális biztonság ma már nem pusztán IT-téma. Egyre inkább az egész szervezet üzleti felelősségének kérdésévé válik. 

Összegzés 

Az AI ma már nem csupán az innováció, a produktivitás vagy az új szolgáltatások fejlesztésének témája. Egyre inkább a felelősség kérdésévé válik. 

Jogi. Szervezeti. Biztonsági. 

A vállalatok többsége már használ mesterséges intelligenciát, gyakran sokkal inkább, mint gondolnák. Ezért ez már nem a jövő kérdése, hanem az adatok, a hozzáférések és az üzleti folyamatok felelős irányításának kérdése. 

A legnagyobb kockázat ma nem az, hogy a cégek nem fogják használni az AI-t. Hanem az, hogy gyorsabban fogják használni, mint ahogy megértik, miközben a támadók nagyon is jól ki tudják használni a benne rejlő lehetőségeket. 

A technológia nem fog lelassulni. A vállalatoknak viszont lényegesen gyorsabban kell egyértelmű szabályokat, felelősségi köröket és alapvető digitális higiéniát kialakítaniuk, ha a mesterséges intelligenciát biztonságosan, felelősen és hosszú távon fenntartható módon szeretnék használni. 

Éppen ezért a digitális biztonság ma már nem csupán IT-téma. Az üzleti irányítás, a szervezeti kultúra és az egész szervezet felelősségének részévé válik.