A generatív MI-modellek fejlesztése nagy mennyiségű, változatos adat felhasználását igényli. A fejlesztők ezek jelentős részét nyilvánosan hozzáférhető weboldalakról, közösségi platformokról, fórumokról, híroldalakról és adatbázisokból automatizált adatgyűjtési technikákkal szerzik meg.

Az Európai Adatvédelmi Testület 2026. július 7-én fogadta el a 3/2026. számú iránymutatását a generatív MI kontextusában végzett web scraping tevékenységhez fűződő adatkezelésekről.[2] Ez jelenleg a nyilvános konzultációra elfogadott, még nem végleges változat. A nyilvánosan hozzáférhető arcképek automatizált, nagy volumenű begyűjtése nem pusztán adatgyűjtési kérdés, hanem az arcfelismerő adatbázis létrehozásának módjára tekintettel önálló AI Act szerinti tilalmat is felvet.

Mit értünk web scraping alatt?

A web scraping olyan automatizált, de nem feltétlenül MI-alapú technika, amely webes forrásokból adatokat nyer ki és tárol. Alkalmazható például keresőmotorok indexelésére, ár-összehasonlításra, piaci megfigyelésre vagy kutatási adatgyűjtésre; a generatív MI fejlesztése ezek egyik, különösen adatigényes felhasználási területe.

A folyamat jellemzően magában foglalja: az adatforrások és a gyűjtési feltételek meghatározását, az adatok kinyerését, tisztítását, strukturálását és tárolását. Ha e műveletek személyes adatokat érintenek, a GDPR alkalmazandó.

A scraping nem azonos a nyilvánosan hozzáférhető weboldalak egyedi megtekintésével. Az automatizált adatgyűjtés ugyanis nagy mennyiségű információ gyors kinyerését, rendszerezését és összekapcsolását teszi lehetővé, ezért az érintettek magánszférájába való beavatkozás lényegesen intenzívebb lehet, mint a hétköznapi böngészés során.

A célzott és a nem célzott scraping közötti különbséget az adatgyűjtés specifikussága és korlátozottsága határozza meg. Célzott scraping esetén az adatgyűjtést előzetesen meghatározott kritériumok – például egy adott domain, a tartalom nyelve vagy témája – korlátozzák. Nem célzott scrapingnél a crawler érdemi gyűjtési feltételek nélkül követi a feltárt linkeket, így egy kezdetben szűk URL-lista idővel az internet jelentős részére kiterjedhet. Ez megnehezítheti annak áttekintését, hogy az adatkezelő pontosan milyen személyes adatokat gyűjtött össze, mely érintettekről, és milyen forrásokból. A megkülönböztetés az AI Act alkalmazása során is jelentős, ugyanakkor az AI Act és az EDPB iránymutatása eltérően közelíti meg a célzott és nem célzott scraping tevékenységet.

Az AI Act és a web scraping

Az AI Act 5. cikk (1) bekezdés e) pontja tiltja[3] az olyan MI-rendszerek forgalomba hozatalát, e célra történő üzembe helyezését vagy használatát, amelyek az internetről vagy zártláncú televíziós (CCTV-) felvételekből származó arcképmások nem célzott lekérdezésével arcfelismerő adatbázist hoznak létre vagy bővítenek. A web scraping ebben az összefüggésben az adatgyűjtés technikai eszköze lehet; a tilalom alkalmazhatóságát azonban az MI-rendszer rendeltetése, az adatgyűjtés módja, célja és az abból létrehozott adatbázis funkciója határozza meg.

A tilalom indoka, hogy az ilyen adatgyűjtés a tömeges megfigyelés érzetét keltheti, és súlyosan érintheti a magánélethez, a személyes adatok védelméhez és az anonimitáshoz fűződő jogokat.

Az ilyen kockázatokat szemlélteti a Clearview AI gyakorlata, amely közösségi platformokon hozzáférhető arcképeket gyűjtött össze arcfelismerő rendszer fejlesztéséhez, anélkül, hogy az érintettek erről tudtak volna, vagy ahhoz hozzájárultak volna.[4]

Az, hogy valaki saját arcképmását nyilvánosan közzétette, önmagában nem jelenti azt, hogy hozzájárult annak arcfelismerő adatbázisba történő felvételéhez vagy biometrikus azonosítási célú felhasználásához.

A tilalom feltételei

A tilalom alkalmazásához négy feltételnek kell együttesen teljesülnie:

1. Tiltott magatartás: a gyakorlat az MI-rendszer forgalomba hozatalának, e célra történő üzembe helyezésének vagy használatának minősül.
2. Arcfelismerő adatbázis: a cél az ilyen adatbázis létrehozása vagy bővítése.
3. Nem célzott lekérdezés: az adatbázist nem célzott, MI-alapú adatgyűjtéssel töltik fel.
4. Meghatározott adatforrás: az arcképmások az internetről vagy zártláncú televíziós felvételekről származnak.

A rendelkezés tehát általában nem tiltja a web scrapinget. Ha valamely feltétel hiányzik, ez a konkrét tilalom nem alkalmazható. Ettől azonban az adatkezelés a GDPR vagy más jogszabály alapján továbbra is jogellenes lehet. A tilalom az MI-rendszer szolgáltatójára és alkalmazójára egyaránt kiterjed. Ugyanakkor önmagában az, hogy egy általános rendeltetésű crawler vagy képfeldolgozó rendszer technikailag arcképek gyűjtésére is alkalmas, még nem alapozza meg automatikusan a tilalom alkalmazását. Vizsgálni kell a rendszer rendeltetését, konfigurációját és tényleges használatát.

Az arcfelismerő adatbázis fogalma

Arcfelismerő adatbázisnak tekinthető minden olyan adatgyűjtemény, amely lehetővé teszi, hogy egy képen vagy videón látható arcot a rendszer tárolt arcképekkel vagy azok matematikai reprezentációival összehasonlítson. Az adatbázis lehet ideiglenes vagy tartós, központosított vagy decentralizált, kizárólag arcfelismerési célú vagy többfunkciós. Az adatbázisnak nem kell kizárólag arcfelismerési célokat szolgálnia; elegendő, ha azt ténylegesen személyek arckép alapján történő felismerésére hozzák létre vagy bővítik.

A nem célzott lekérdezés az AI Act szerint

Az AI Act tiltott gyakorlatai körében nem célzott a scraping, ha a rendszer mintegy „digitális porszívóként”, válogatás nélkül a lehető legtöbb adat begyűjtésére törekszik, anélkül, hogy a gyűjtés konkrét személyre vagy személyek előre meghatározott csoportjára irányulna. A robots.txt vagy más opt-out mechanizmus tiszteletben tartása nem változtatja meg a lekérdezés nem célzott jellegét.

Célzott lehet viszont a lekérdezés, ha egy konkrét személy vagy előre kijelölt személycsoport arcképmásainak megtalálására irányul, például egy körözött személy vagy az emberkereskedelem áldozatainak felkutatására. Az ilyen adatgyűjtésre az AI Act vizsgált tilalma nem feltétlenül alkalmazható, de attól még meg kell felelnie a GDPR-nak és az egyéb alkalmazandó szabályoknak. A tilalom az adatgyűjtési folyamat mesterséges feldarabolásával sem kerülhető meg. Ha több, látszólag célzott részfolyamat összességében ugyanahhoz az eredményhez vezet, mint a nem célzott tömeges gyűjtés, a tilalom továbbra is alkalmazható lehet.

A tilalom nem terjed ki például:

• az arcképmásoktól eltérő biometrikus adatok, például hangminták gyűjtésére;
• azokra az esetekre, amikor nem alkalmaznak MI-rendszert;
• a személyek felismerésére nem használható képadatbázisokra;
• a valós személyek felismerésére nem alkalmas generatív képi modellek adatbázisaira.

Ez azonban csak az AI Act e rendelkezésének alkalmazhatóságát zárja ki, az MI-rendszer ettől még például nagy kockázatúnak minősülhet. A GDPR és más követelmények továbbra is fennállhatnak.[5]

A GDPR és a web scraping[6]

Ha a web scraping személyes adatok kezelésével jár, az adatkezelőnek már az adatgyűjtés előtt azonosítania kell a megfelelő jogalapot. A generatív MI fejlesztéséhez kapcsolódó scraping során gyakran a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdekre hivatkoznak. Ez azonban nem automatikus vagy általános jogalap: minden adatkezelést egyedileg kell értékelni.

A hozzájárulás korlátai

Nagy léptékű, közvetett internetes adatgyűjtésnél a hozzájárulás rendszerint nem reális jogalap, mivel az adatkezelőnek nincs közvetlen kapcsolata az érintettekkel, és gyakran azonosítani sem tudja őket. A nyilvános közzététel egyúttal nem jelenti az érintett hozzájárulását.

A jogos érdek feltételei

A jogos érdekre alapított adatkezeléshez három feltételnek kell teljesülnie:

Jogos érdek: az adatkezelő jogszerű, pontosan meghatározott, valós és aktuális érdeket követ.

Szükségesség: az adatkezelés alkalmas a cél elérésére, és nincs ugyanilyen hatékony, az érintettek jogait kevésbé korlátozó megoldás.

Érdekmérlegelés: az adatkezelő jogos érdekével szemben nem élveznek elsőbbséget az érintett érdekei, alapvető jogai és szabadságai.

Az „innováció” vagy az „MI-fejlesztés” túl általános megjelölés lehet. Pontosan meg kell határozni, hogy az adatkezelés milyen termék, szolgáltatás vagy funkció fejlesztését szolgálja.

Érdemes megemlíteni, hogy az Európai Unió Bírósága a C-621/22. számú ügyben kimondta: önmagában az érdek kereskedelmi jellege nem zárja ki, hogy az jogos érdek legyen. Ez azonban csak az első feltételt érinti; a szükségességet és az érdekmérlegelést továbbra is külön-külön kell igazolni.

A szükségesség vizsgálatánál értékelni kell, alkalmazható-e kevésbé korlátozó megoldás, például:

• pontosabb gyűjtési kritérium;
• pszeudonimizált adat;
• szintetikus adat;
• bizonyos források vagy adatkategóriák előzetes kizárása.

Az érdekmérlegelés során különösen fontos:

• az adatok jellege és érzékenysége;
• az adatgyűjtés terjedelme;
• az érintettek száma;
• az adatkezelés várható hatása;
• az érintettek észszerű elvárásai;
• gyermekek és más sérülékeny személyek érintettsége;
• az alkalmazott garanciák.

A nagy léptékű, megkülönböztetés nélküli adatgyűjtés megfigyeltségérzetet és dermesztő hatást (chilling effect) válthat ki, ami öncenzúrához és a véleménynyilvánítás szabadságának korlátozásához vezethet.[7]

Az Amnesty International 2026-os jelentése szerint a generatív MI alapjogi kockázatai nemcsak a kész rendszer működésében vagy kimeneteiben jelennek meg, hanem már az adatgyűjtés és a modellfejlesztés korábbi szakaszaiban is. A személyes adatok tömeges, az érintettek tudta nélkül történő begyűjtése súlyosan érintheti a magánélethez való jogot. A tanítóadatokban meglévő torzítások továbbörökítése pedig az egyenlőséghez és a megkülönböztetésmentességhez való jogot is veszélyeztetheti. A jelentés ezért a teljes adatellátási láncot vizsgálja: az adatforrások kiválasztásától és a scrapingen át a modell tanításáig és felhasználásáig. E megközelítés szerint a tömeges scraping nem a generatív MI elkerülhetetlen velejárója, hanem tervezési döntés, amely helyett szűkebb célú, kisebb adatigényű és pontosabban körülhatárolt megoldások is alkalmazhatók.[8]

A különböző forrásokból származó adatok összekapcsolása átfogó „digitális dossziét” hozhat létre az érintettről. A scrapingre épülő MI-rendszerek emellett ún. árnyékprofilokat is készíthetnek: az érintett tudta nélkül következtethetnek személyiségére, egészségi állapotára, viselkedésére vagy érdeklődésére.[9]

Az érintettek észszerű elvárásai

A nyilvános közzétételből nem következik, hogy az érintett minden későbbi adatkezelésre és felhasználási célra észszerűen számíthatott.

Vizsgálni kell többek között:

• a forráswebhely jellegét;
• a közzététel eredeti célját;
• az adat tényleges hozzáférhetőségét;
• a webhely technikai korlátozásait;
• az érintett és az adatkezelő kapcsolatát;
• azt, hogy az adatkezelés gyermekek személyes adatait vagy más sérülékeny személyeket érint-e.

A robots.txt, ai.txt, CAPTCHA vagy más hozzáférési korlátozás arra utalhat, hogy az érintettek nem számítottak adataik automatizált gyűjtésére. A technikai és szervezési garanciák csökkenthetik a kockázatokat, de önmagukban nem pótolják az adatkezelési jogalapot.

A célhoz kötöttség szempontjából különös kockázatot jelent a funkcióeltolódás (function creep), amikor az eredetileg meghatározott célra gyűjtött adatokat később eltérő, szélesebb vagy intenzívebb megfigyelést lehetővé tevő célokra használják fel.[10]

Adatminimalizálás

Az adatminimalizálás nem jelenti azt, hogy az MI-modellek csak kis adathalmazokon taníthatók. A követelmény lényege, hogy csak a célhoz szükséges, megfelelő és releváns személyes adatokat kezeljék.

A scraping előtt meg kell vizsgálni:

• szükséges-e személyes adat használata;
• alkalmazható-e szintetikus adat;
• milyen pontos gyűjtési feltételek szükségesek;
• mely adatkategóriákat és forrásokat kell kizárni;
• hogyan kerülhetők el a gyermekekre vagy sérülékeny személyekre vonatkozó adatok.

A gyűjtés során és azt követően szűrést, anonimizálást, pszeudonimizálást vagy szintetikus adatokkal történő helyettesítést lehet alkalmazni.

A nagy mennyiségű adat összekapcsolása azonban újraazonosítási kockázatot teremthet. Ha az érintett olyan módszerekkel újra azonosítható, amelyekről észszerűen feltételezhető, hogy az azonosítására felhasználják őket, az adat nem tekinthető anonimnak.[11]

A kizárólag utólagos szűrésre épülő „scrape first, filter later” megközelítés nehezen egyeztethető össze az adatminimalizálással.

Pontosság és átláthatóság

Az adatkezelőnek lehetőség szerint megbízható és karbantartott forrásokat kell használnia, dokumentálnia kell a scraping időpontját, és ellenőriznie kell az adatok minőségét. A pontosság követelménye a modell személyes adatot tartalmazó kimeneteire is kiterjedhet.

A GDPR szerinti adatpontosságot el kell különíteni az MI-rendszer technikai vagy statisztikai pontosságától. Míg az előbbi a kezelt személyes adatok helyességére, naprakészségére és szükség esetén helyesbíthetőségére vonatkozik, az utóbbi a rendszer kimeneteinek megbízhatóságát fejezi ki. Ettől elkülönül az AI Act 10. cikke szerinti adatminőség: a nagy kockázatú MI-rendszerek tanítási, validálási és tesztelési adatkészleteinek többek között relevánsnak, kellően reprezentatívnak, lehetőség szerint hibamentesnek és teljesnek kell lenniük.[12]

A web scraping rendszerint közvetett adatgyűjtés, ezért főszabály szerint a GDPR 14. cikke szerinti tájékoztatási kötelezettség alkalmazandó. Nagy adathalmazoknál az egyedi tájékoztatás lehetetlen vagy aránytalan erőfeszítést igényelhet, de e kivétel nem alkalmazható automatikusan. Az aránytalan erőfeszítés megítélésekor az adatkezelőnek többek között az érintettek számát, az adatok keletkezése vagy közzététele óta eltelt időt, valamint az alkalmazott garanciákat is figyelembe kell vennie. Ha az egyedi tájékoztatás lehetetlennek bizonyul vagy aránytalan erőfeszítést igényel, az adatkezelőnek megfelelő intézkedéseket kell tennie az érintettek jogainak és szabadságainak védelmére, ideértve az információk nyilvánosan hozzáférhetővé tételét is.

A tájékoztatásnak ki kell térnie különösen:

• az adatkezelés céljára és jogalapjára;
• a kezelt adatok kategóriáira;
• az adatforrásokra;
• a crawler főbb jellemzőire;
• az érintetti jogokra és azok gyakorlásának módjára.

Az átláthatóság hiánya információs aszimmetriát teremt: az adatkezelő ismeri a gyűjtés célját és módszerét, miközben az érintett gyakran még arról sem tud, hogy adatait begyűjtötték-e, vagy profilalkotásra használták-e.

Különleges személyes adatok

A nagy léptékű scraping során egészségügyi adatok, politikai vélemény, vallási meggyőződés, szexuális irányultság vagy más különleges személyes adatok is bekerülhetnek az adathalmazba.

A különleges adatok kezeléséhez egyszerre szükséges:

• a GDPR 6. cikke szerinti jogalap; és
• a GDPR 9. cikk (2) bekezdése szerinti kivétel.

A jogos érdek önmagában nem oldja fel a különleges adatok kezelésének főszabály szerinti tilalmát. A járulékos vagy véletlenszerű gyűjtés sem teremt általános mentességet. Az EDPB ugyanakkor hangsúlyozza, hogy a kizárólag járulékos és maradványjellegű különleges személyes adat kezelését esetről esetre, az adatkezelő tényleges feladataira, hatásköreire és lehetőségeire tekintettel kell értékelni; ez azonban nem jelent általános kivételt a GDPR 9. cikke alól.

Az MI-rendszer ráadásul hétköznapi bejegyzésekből, képekből és viselkedési mintázatokból is következtethet az egészségi állapotra, a szexuális irányultságra vagy más érzékeny jellemzőkre.

A különleges személyes adatok védelme érdekében indokolt lehet már a gyűjtés előtt szűrőket alkalmazni, egyes webhelyeket kizárni, a mégis begyűjtött ilyen adatokat pedig mielőbb törölni. Emellett meg kell akadályozni, hogy a modellből különleges személyes adatok legyenek kinyerhetők, védeni kell a modellt a magánszférát veszélyeztető támadásokkal szemben, és megfelelő teszteléssel, valamint kimeneti szűrőkkel is csökkenteni kell a kockázatokat.

A generatív MI célú web scraping értékelésekor két kérdést kell elkülöníteni.

Tiltott-e az AI Act alapján?

Vizsgálni kell, hogy a gyakorlat az AI Act 5. cikke szerinti tiltott MI-gyakorlatnak minősül-e. Ha igen, akkor a GDPR szerinti jogalap, az érdekmérlegelés vagy a technikai garancia sem teheti megengedhetővé.

Ha nem tiltott, megfelel-e a GDPR-nak?

Az, hogy valamely MI-gyakorlat nem esik az AI Act kifejezett tilalma alá, még nem jelenti azt, hogy adatvédelmi szempontból jogszerű. A GDPR és az AI Act nem egymás alternatívái: a személyes adatokat kezelő MI-rendszer fejlesztésében vagy alkalmazásában részt vevő szervezeteknek mindkét szabályozás rájuk vonatkozó követelményeit teljesíteniük kell. Egy scrapingre épülő adatgyűjtési gyakorlat ezért kívül eshet az AI Act kifejezett tilalmain, miközben nem felel meg a GDPR követelményeinek. Az AI Act által tiltott gyakorlat pedig magas szintű adatvédelmi garanciák mellett sem válik jogszerűvé.

Mit jelent mindez az MI-fejlesztők számára?

A scraping megkezdése előtt és annak során az adatkezelőnek különösen:

• meg kell határoznia az adatkezelés célját, jogalapját és pontos gyűjtési kritériumait;
• adatfeltérképezést és adatleltárt kell végeznie, valamint azonosítania kell a szükséges és kizárandó adatforrásokat;
• szűrőkkel kell korlátoznia a szükségtelen, különleges vagy sérülékeny személyeket érintő adatok gyűjtését, és figyelembe kell vennie a robots.txt, ai.txt, CAPTCHA vagy más technikai korlátozásokat;
• mérlegelnie kell a szintetikus adatok, az anonimizálás vagy a pszeudonimizálás alkalmazását, és törölnie kell a célhoz nem szükséges adatokat;
• lehetőség szerint megbízható és karbantartott forrásokat kell használnia, dokumentálnia kell a scraping időpontját, és ellenőriznie kell az adatok pontosságát;
• biztosítania kell az érintettek tájékoztatását és jogaik gyakorlását, valamint csökkentenie kell a memorizálásból, az adatreprodukcióból és az adatkivonásból eredő kockázatokat.

Ha a scrapingben több szervezet vesz részt, adatkezelői, közös adatkezelői vagy adatfeldolgozói minőségüket a tényleges körülmények alapján, esetről esetre kell megítélni. Ha a külső szolgáltató az MI-fejlesztő dokumentált utasításai alapján, annak nevében végzi a scrapinget, különösen az adatforrások és az adatkategóriák tekintetében, adatfeldolgozónak minősülhet. Adatfeldolgozói jogviszony esetén egyértelműen rendezni kell az adatok engedélyezett felhasználását, a hozzáférési jogosultságokat, valamint a szolgáltatás megszűnését követő törlés vagy visszaszolgáltatás szabályait; e kötelezettségek tényleges teljesítését is ellenőrizni kell.[13]

A scraping megítélése nem szűkíthető le arra, hogy az adatok technikailag hozzáférhetők-e. Az adatgyűjtés célját, terjedelmét és kontextusát, az érintettek észszerű elvárásait, valamint az adatok későbbi felhasználásának kockázatait egyaránt vizsgálni kell. A scraping terjedelmét a meghatározott célhoz szükséges adatokra kell korlátozni, az adatbiztonsági intézkedéseket, a hozzáférési jogosultságokat és a törlési szabályokat pedig előzetesen meg kell határozni és dokumentálni kell. A kockázatértékelésnek a teljes adatéletciklusra ki kell terjednie, beleértve az adatok továbbadását, újrafelhasználását és az eredeti céltól eltérő későbbi alkalmazását is.[14]

Összefoglalva: attól, hogy egy személyes adat hozzáférhető az online térben, még nem válik korlátozás nélkül gyűjthetővé, más adatokkal összekapcsolhatóvá vagy generatív MI fejlesztésére felhasználhatóvá.

___________________

[1] A kutatás a Magyar Tudományos Akadémia Bolyai János Kutatási Ösztöndíjának támogatásával valósult meg.

[2] EDPB: Guidelines 03/2026 on web scraping in the context of generative AI, 2026. https://www.edpb.europa.eu/system/files/2026-07/edpb_guidelines_2020603_webscraping_v1_en_0.pdf

[3] Lásd a tiltott MI-gyakorlatokról bővebben: European Commission: Guidelines on prohibited artificial intelligence practices established by Regulation (EU) 2024/1689 (AI Act), 2025. https://digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-prohibited-artificial-intelligence-ai-practices-defined-ai-act

[4] A Clearview AI közösségi platformokról és más online forrásokból tömegesen gyűjtött arcképeket arcfelismerő adatbázis fejlesztéséhez, hozzájárulás és megfelelő jogalap nélkül, ami több európai adatvédelmi hatóság (például az olasz Garante, a Hellén Adatvédelmi Hatóság, a francia CNIL, valamint a holland és osztrák hatóságok) eljárásához, és összességében több tízmillió eurós bírságok kiszabásához vezetett, továbbá a brit ICO több millió fontos bírságához is. A különböző eljárások összefoglalását lásd: Privacy International: Challenge against Clearview AI in Europe, https://privacyinternational.org/legal-action/challenge-against-clearview-ai-europe.

Lásd továbbá: Mezei, Kitti: Regulating Law Enforcement Facial Recognition and Safeguarding Against Misuse: European Union and Hungarian Perspectives. In: Burdziak, Konrad – Ambrus, István (eds.): The Use of Algorithms in Criminal Law: A Central European Perspective. Routledge, 2025.

[5] Lásd erről részletesen: Domokos Márton: Tiltott MI-gyakorlatok – Arcképek nem célzott lekérdezésére alkalmas MI-rendszerek. Wolters Kluwer Jogtár, 2026.

[6] Az adatvédelmi rész elemzésének alapját a már hivatkozott EDPB 3/2026. számú iránymutatása képezi.

[7] Lásd erről: Gosztonyi, Gergely – Lendvai, Gergely Ferenc (szerk.): Legal and Ethical Issues of Chilling Effect, Ius Gentium: Comparative Perspectives on Law and Justice, Springer, Cham, 2026.

[8] Amnesty International: Unlawful by design: Exposing the human rights costs of generative AI, 2026. https://www.amnesty.org/en/documents/pol40/0996/2026/en/

[9] Rohatgi, Akshita – Park, Tae Jung: Privacy in the public: Analysing the EU framework to outline approaches for regulating AI personal data scraping. Computer Law & Security Review, 57, 2025, valamint bővebben a profilalkotásról lásd: Eszteri Dániel: Az automatizált döntéshozatal és profilalkotás (nem csak) adatvédelmi kockázatai. Mezei Kitti (szerk.): Kockázatok és lehetőségek a mesterséges intelligencia jogi szabályozásában, Wolters Kluwer, 2025.

[10] Gültekin-Várkonyi, Gizem: Navigating Data Governance Risks: Facial Recognition in Law Enforcement under EU Legislation, Internet Policy Review, 13(3), 2024.

[11] Lásd ehhez bővebben: EDPB: Guidelines 02/2026 on anonymisation, 2026. https://www.edpb.europa.eu/system/files/2026-07/edpb_guidelines_202602_anonymisation_v1_en_0.pdf

[12] Mezei Kitti: Nagy kockázatú MI-rendszerek – Adatminőségi és adatkormányzási követelmények a nagy kockázatú MI-rendszerek esetén. Wolters Kluwer Jogtár, 2026., valamint Mezei Kitti: Az AI Act compliance kihívásai. Mezei Kitti (szerk.): Kockázatok és lehetőségek a mesterséges intelligencia jogi szabályozásában, Wolters Kluwer, 2025.

[13] Domokos Márton: Egy adatvédelmi incidens tanulságai: az adatfeldolgozók kötelezettségei az adatok bizalmas kezelése és törlése során, Jogi Fórum, 2026. https://jogiforum.hu/jogteruletek/adatvedelmi-jog/2026/01/14/egy-adatvedelmi-incidens-tanulsagai-az-adatfeldolgozok-kotelezettsegei-az-adatok-bizalmas-kezelese-es-torlese-soran/

[14] Brown, Megan A. et al.: Web scraping for research: Legal, ethical, institutional, and scientific considerations, Big Data & Society, 12(4), 2025.

_______________

Az írás a szerző véleményét tartalmazza, és nem értelmezhető a TK hivatalos állásfoglalásaként.