AI-bevezetési szerződés: nyolc klauzula, amely hiányzik az IT-szabványból

Útmutató jellegű anyag a kivitelező szemszögéből. Tipikus megoldásokat ismertet, nem dönt el egyedi eseteket. Az 50–250 fős cégeknél tartott bevezetés előtti egyeztetéseken rendszeresen felmerül egy tézis: az AI bevezetéséhez elegendő a szabványos IT-bevezetési szerződés és egy GDPR-kiegészítés. Ésszerűnek hangzik. A szabványos IT-szerződés szabályozza a határidőket, az átadás-átvételt, a kötbéreket, a forráskód tulajdonjogát és az adatfeldolgozást. Ha a chatbot vagy a dokumentum-automatizálás csupán egy újabb rendszer, miért kellene új rendelkezéseket kitalálni. Ráadásul maga az AI Act sem ír elő külön szerződéses formát az alacsony kockázatú rendszerekre.

A másik fél legerősebb érve

Ennek az érvelésnek szilárd alapja van. A szabványos IT-szerződés általában tartalmazza az átadás-átvételi ütemtervet, a kötbéreket, a forráskód vagyoni jogainak átruházását, a hibabejelentési eljárást, valamint a GDPR 28. cikke szerinti adatfeldolgozási megállapodást. Egy ERP vagy e-kereskedelmi platform bevezetésénél ez általában elegendő volt. Az AI-rendszerek szállítói szintén olyan sablonokat kínálnak, amelyekben általános biztonsági rendelkezések és az ügyfél adatain történő tanítás tilalma szerepel. A GDPR-bírságok elérik az éves forgalom 4%-át, így az adatfeldolgozási kiegészítés meglétét gyakran elegendő védelemnek tekintik. Ráadásul az AI Act szerinti bírságok, amelyek elérhetik a 15 000 000 EUR-t vagy a globális forgalom 3%-át, főként a magas kockázatú rendszerek szolgáltatóira vonatkoznak, nem pedig a megrendelések kezelésére chatbotot bevezető cégre.

AIKép mesterséges intelligencia által generált.

Amire ez az érv nem tér ki

A standard IT-szerződés négy olyan kérdést nem rendez, amelyek az AI esetében meghatározzák a kockázatot. Először is, a prompt és a konfiguráció: az, hogy a szerzői jogi törvény értelmében műnek minősülnek-e, kreatív jellegüktől függ, de a sablon általában hallgat arról, kit illetnek a vagyoni szerzői jogok. Ennek eredményeként a szerződés lezárása után a szállító ugyanazt a prompt-réteget felhasználhatja a versenytársaknál. Másodszor, a modell verziókezelése: az OpenAI és az Anthropic néhány hetes vagy néhány hónapos előzetes értesítéssel vonja ki a modelleket, amint az a kivezetési dokumentációban látható, a standard szerződés pedig nem biztosít jogot az ügyfélnek az automatikus frissítés blokkolására az átvételi tesztek előtt. Harmadszor, az adatexport: a beszélgetési naplók és a vektormegfeleltetések (embeddings) nem hagyományos SQL-táblák, így az a kitétel, hogy „a szállító visszaszolgáltatja az adatokat”, gyakran fedezet nélküli. Negyedszer, a hallucinációk: a „hibás eredményért” való felelősségvállaláshoz küszöbérték szükséges, különben minden helytelen válasz minőségi vitává válik. Ehhez társul az AI Act szerinti szerepek megkülönböztetése: az AI-rendszer szállítójának és a bevezető szervezetnek eltérő kötelezettségei vannak, amit a standard IT-szerződés általában nem különít el; 2026.08.02-tól a chatbotoknak tájékoztatniuk kell az AI-interakcióról, és jelölniük kell a generált tartalmakat.

Álláspontunk

Gyakorlatunkban az éles AI-bevezetésre vonatkozó szerződés nyolc olyan záradékot tartalmaz, amely a standard IT-szerződésben nem szerepel: a promptokhoz és a konfigurációhoz fűződő jogok (vagyoni szerzői jogok átruházása vagy visszavonhatatlan, örökös licenc módosítási és allicencbe adási joggal), 60 napos értesítés a modell kivezetéséről és az automatikus frissítés tiltása átvételi tesztek nélkül, adatexport 30 napon belül JSON/CSV/JSONL formátumban, a biztonsági másolatok törlése 60 napon belül, hallucinációs küszöbérték ≤5% a tesztkészleten, a szállító felelősségének korlátozása 12 havi díj összegében, a promptok és a kód letétbe helyezése közjegyzőnél vagy escrow-ban, valamint kilépési segítségnyújtás 3 hónapig standard áron. Nálunk ez úgy zajlik, hogy a levelezési asszisztens 500 üzenetes mintán történő bevezetésekor először egy mérőszámokat tartalmazó modellkártyát kaptunk, és az ezen a mintán végzett átvételi tesztek döntöttek a verzióról. E kikötések nélkül az ügyfél egy működő rendszerrel marad, de kilépési út és a rendszer által adott válaszokra vonatkozó felelősségi küszöb nélkül.

AIKép mesterséges intelligencia által generált.

Mit érdemes megtenni ebben a negyedévben

Ebben a negyedévben, még az aláírás előtt érdemes ellenőrizni, hogy a szállító egyáltalán hajlandó-e tárgyalni a 30 napon belüli adatexportról és a ≤5% hallucinációs tesztről. Ha mindkettőt elutasítja, az nem jelenti a projekt végét, de egyértelművé teszi, mely kockázatok maradnak az ügyfélnél. Egyetlen feltétellel változtatnánk az álláspontunkon: ha a szállító egy nyílt forráskódú modell helyi példányát biztosítaná auditált modellkártyával és a súlyokhoz való teljes hozzáféréssel, a külső API kivezetésére vonatkozó záradékok elveszítenék jelentőségüket. Addig az AI-bevezetési szerződést külön dokumentumként kezeljük, nem pedig az IT-sablon mellékleteként.