A mesterséges intelligencia kétségtelenül hatékony segítséget nyújthat a társasházkezelés mindennapjaiban. Pillanatok alatt összegezhet több száz oldalas dokumentumokat, elemezhet pénzügyi adatokat, megfogalmazhat leveleket, vagy akár kimutathatja a közösköltség-hátralékok alakulását. A technológia használatának azonban van egy olyan oldala, amelyről lényegesen kevesebb szó esik: vajon jogosult-e a közös képviselő a társasház tulajdonosainak adatait, szerződéseit vagy pénzügyi nyilvántartásait egy külső AI-szolgáltatásba feltölteni? A válasz korántsem olyan egyszerű, mint azt sokan gondolják.
A társasház adatai nem a közös képviselő magánadatai
Képzeljünk el egy mindennapos helyzetet! A közös képviselő szeretné áttekinteni egy 80 lakásos társasház közösköltség-hátralékait. Letölti a társasházkezelő szoftverből az Excel-kimutatást, majd feltölti egy mesterségesintelligencia-alapú chatbotba, és megkéri, hogy készítsen belőle összefoglalót, valamint fizetési felszólításokat. A táblázatban azonban szerepelnek a tulajdonosok nevei, lakásszámai, befizetései, tartozásai, esetleg bankszámlaszámai és elérhetőségei is.
A közös képviselő számára mindez egyszerű munkafolyamatnak tűnhet. Adatvédelmi szempontból viszont egészen más történik: a társasház nyilvántartásában szereplő személyes adatok egy külső szolgáltató rendszerébe kerülnek. A GDPR szempontjából ez akkor is adatkezelés, ha az információk nem válnak nyilvánossá, és a közös képviselőnek esze ágában sem volt visszaélni velük. Az adatok továbbításának és feldolgozásának jogszerűségét ugyanis önmagában nem igazolja, hogy a közös képviselő jóhiszeműen, a munkája megkönnyítése érdekében használta az AI-t.
A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) egy korábbi, társasházi kamerarendszerekkel foglalkozó állásfoglalásában rögzítette, hogy adatvédelmi szempontból a társasház adatkezelőnek minősülhet, a közös képviselő pedig az adatkezelő képviseletét látja el. Egyes helyzetekben a közös képviselet önálló adatkezelői szerepe is felmerülhet. Ez alapvető jelentőségű kérdés.
A közös képviselő ugyanis nem rendelkezik korlátlan felhatalmazással a társasház adatainak felhasználására. Attól, hogy munkája során hozzáfér a tulajdonosok személyes adataihoz, még nem feltétlenül jogosult azokat tetszőleges harmadik félnek továbbítani. A GDPR többek között előírja az adatkezelés jogszerűségét, célhoz kötöttségét, az adattakarékosságot és az adatok megfelelő biztonságát. Egy külső AI-szolgáltatás alkalmazásakor ezért tisztázni kell, hogy ki kezeli az adatokat, milyen célból, milyen jogalapon, meddig őrzi meg azokat, és milyen garanciák akadályozzák meg a jogosulatlan hozzáférést. Ha a szolgáltató adatfeldolgozóként jár el, a GDPR 28. cikke szerinti megfelelő szerződéses háttérre is szükség van. Ilyen szerződést jellemzően csak az AI-szolgáltatók üzleti konstrukciói tesznek lehetővé.
Mely dokumentumok feltöltése lehet különösen veszélyes?
A társasházkezelésben számos olyan dokumentum keletkezik, amely személyes adatokat tartalmazhat.
Különös óvatosságot igényelhetnek például:
- A tulajdonosi névjegyzékek, lakásnyilvántartások és elérhetőségi listák.
- A közösköltség-befizetéseket és hátralékokat tartalmazó kimutatások.
- A fizetési felszólítások, követeléskezelési és végrehajtási dokumentumok.
- A közgyűlési jegyzőkönyvek, jelenléti ívek és egyes tulajdonosi beadványok.
- A természetes személyek adatait tartalmazó szerződések, számlák és banki bizonylatok.
- A lakókkal folytatott levelezések és panaszkezelési dokumentumok.
Fontos ugyanakkor, hogy nem minden társasházi irat tartozik automatikusan a GDPR hatálya alá. Egy kizárólag gazdasági társaságokra vonatkozó, személyes adatot nem tartalmazó szerződés vagy pénzügyi kimutatás esetében más lehet a jogi helyzet. Az üzleti titok és a szerződéses titoktartási kötelezettség azonban ilyenkor is korlátozhatja a dokumentum továbbítását.
Az sem feltétlenül elegendő, ha a közös képviselő egyszerűen kitörli a neveket a táblázatból. Ha a lakásszám, az összeg vagy más adatok alapján a tulajdonos továbbra is azonosítható, a dokumentum változatlanul személyes adatokat tartalmazhat.
Sokan azt sem tudják, mi történhet a feltöltött adatokkal
A mesterségesintelligencia-szolgáltatások adatkezelési feltételei jelentősen különbözhetnek egymástól, sőt, ugyanazon szolgáltató személyes és vállalati konstrukciói között is lényeges eltérések lehetnek. A ChatGPT esetében például az egyéni (fogyasztói) előfizetésekben, így a Free, Plus és Pro csomagokban a felhasználói tartalmak modellfejlesztési célú felhasználása alapértelmezetten engedélyezett, bár ez a beállítás kikapcsolható. Az OpenAI üzleti konstrukcióiban és API-szolgáltatásánál ezzel szemben alapértelmezés szerint nem használják a bevitt adatokat a modellek tanítására. Ebből azonban nem következik, hogy bármely fizetős AI-előfizetés automatikusan GDPR-kompatibilissé tenné a társasházi dokumentumok feltöltését. A modell tanításának letiltása önmagában még nem jelenti azt, hogy a személyes adatok továbbítása jogszerű. Vizsgálni kell többek között az adattárolás feltételeit, az adatokhoz hozzáférő szolgáltatókat, az esetleges Európai Gazdasági Térségen kívüli adattovábbítást és a megfelelő adatfeldolgozói garanciák meglétét.
Fontos különbséget tenni a nyilvánosan elérhető chatbotokba történő, ellenőrizetlen dokumentumfeltöltés és a társasházkezelő szoftverekbe szakszerűen integrált mesterségesintelligencia-megoldások között. Egy megfelelően kialakított rendszerben szabályozható, hogy az AI milyen adatokhoz férhet hozzá, milyen műveleteket végezhet, hová kerülhetnek az információk, és mennyi ideig tárolhatók. Megoldható a hozzáférések naplózása, az adatfeldolgozók szerződéses ellenőrzése és a modellfejlesztési célú felhasználás kizárása is. Az ilyen integrációk sem mentesülnek a GDPR követelményei alól, de megfelelő jogi, szervezési és technikai feltételek mellett jogszerűen működtethetők. Különösen kockázatos lehet viszont, ha egy külső AI-ügynök korlátlan hozzáférést kap a társasházkezelő rendszer teljes adatállományához. Ilyenkor nemcsak a személyes adatok megismerése, hanem azok jogosulatlan módosítása, törlése vagy továbbítása is felmerülhet.
Amennyiben a társasház személyes adatai jogosulatlanul kerülnek egy külső szolgáltatóhoz, az adott körülményektől függően adatvédelmi incidensnek is minősülhet. A GDPR értelmében a bejelentendő incidensekről az adatkezelőnek indokolatlan késedelem nélkül, lehetőség szerint a tudomásszerzéstől számított 72 órán belül tájékoztatnia kell az illetékes adatvédelmi hatóságot. Nem minden szabálytalan adatkezelés jelent automatikusan bejelentendő incidenst. A történteket azonban megfelelően értékelni kell, és ha a jogsértés megállapítható, hatósági intézkedés, bírság vagy akár kártérítési igény is felmerülhet. A felelősség megállapításánál lényeges lehet az is, hogy a közös képviselő a társasház megbízásának keretei között, megfelelő felhatalmazással járt-e el, vagy saját döntéséből, ellenőrizetlenül adott át személyes adatokat.
Mit tegyen a közös képviselő, mielőtt AI-t használ?
A mesterséges intelligencia alkalmazásáról nem feltétlenül kell lemondani. Néhány alapvető szabályt azonban célszerű betartani. Elsőként mindig azt kell megvizsgálni, hogy a feladat elvégezhető-e személyes adatok átadása nélkül. Ha igen, az anonim adatokkal történő feldolgozás lényegesen kisebb adatvédelmi kockázatot jelenthet. Személyes adatokat tartalmazó dokumentum feltöltése előtt pedig ellenőrizni kell az adott szolgáltatás adatkezelési feltételeit, a jogalapot, a szükséges szerződéses garanciákat, valamint a társasház adatkezelési tájékoztatójának megfelelőségét. A társasházkezelő rendszerek külső AI-szolgáltatásokkal történő összekapcsolása előtt különösen indokolt az adatvédelmi és informatikai kockázatok felmérése. Ha az adatkezelés valószínűsíthetően magas kockázattal jár, előzetes adatvédelmi hatásvizsgálatot kell végezni. Ha pedig korábban már történt ellenőrizetlen adatfeltöltés, indokolt annak dokumentálása és kivizsgálása, hogy pontosan milyen adatok, milyen szolgáltatóhoz és milyen feltételekkel kerültek.
A mesterséges intelligencia kétségtelenül a társasházkezelés egyik meghatározó technológiai eszközévé válhat. Automatizálhatja az adminisztrációt, segítheti a könyvelést, gyorsíthatja az ügyintézést, és értékes időt szabadíthat fel a közös képviselők számára. A hatékonyság azonban nem írhatja felül az adatvédelmi kötelezettségeket. A közös képviselőnek nemcsak az a feladata, hogy a társasház pénzével, szerződéseivel és dokumentumaival felelősen gazdálkodjon, hanem az is, hogy a rábízott személyes adatok megfelelő védelemben részesüljenek. A jövő társasházkezelésének tehát nem az a kérdése, hogy használunk-e mesterséges intelligenciát, hanem az, hogy képesek vagyunk-e azt úgy használni, hogy közben megőrizzük a lakók bizalmát és adataik biztonságát. Mert a digitalizáció valódi értékét nem pusztán az adja, hogy mire képes a technológia, hanem az is, hogy mennyire felelősen alkalmazzuk.
