Miért fizetünk nyugati AI-ért, ha a kínai ingyen van?
A válasz nem világnézeti, hanem kemény beszállítói kockázatkezelés: mi történik az ügyfeled adatával, ki fizeti a GDPR-bírságot, és miért kerül több tízmillió forintba a „helyben futtatható ingyenes modell” illúziója egy magyar KKV-nál.
„Miért fizetek elő amerikai AI-cégeknek, amikor a kínai modell ingyen van, és állítólag ugyanazt tudja?” – ez a kérdés ma minden szakmai közösségben előkerül. És lássuk be, teljesen jogosan: a DeepSeek és az Alibaba Qwen modelljei valóban felzárkóztak, valóban olcsóbbak, a nyílt súlyú (open-weight) változataik pedig letölthetők. Amikor azonban egy cégvezető vagy IT-szolgáltató dönt, nem azt kell néznie, ki a szimpatikusabb, hanem ugyanazt, mint amikor hosting-szolgáltatót választ az ügyfél éles rendszerének: mi történik akkor, ha baj van, és ki marad egyedül a felelősséggel?
A kérdés, amit rosszul teszünk fel: miért nem elég azt nézni, „melyik modell okosabb”?
Amikor AI-szolgáltatót választunk, a legtöbben kizárólag a motorháztető feletti csillogást nézik: melyik modell ír szebb szöveget, melyik old meg több kódolási feladatot, és mennyi a havidíja. Csakhogy ez a felelős üzleti döntésnek alig a kisebbik fele.
A döntés nagyobbik – és céges túlélés szempontjából kritikus – fele az, amit a szolgáltató mögött találsz. Van-e egyáltalán olyan jogi személy, akivel érvényesen szerződhetsz? Van-e kit felelősségre vonni, ha incidens történik? Kiszámítható-e, hogy fél év múlva is elérhető lesz az API, amire a cég munkafolyamatait rákötötted? És mindenekelőtt: mi történik azzal az üzleti vagy személyes adattal, amit a kollégád bemásolt a promptba?
Ez valójában egyáltalán nem AI-specifikus kérdés. Pontosan ugyanezeket a szempontokat mérlegeljük minden egyes IT-beszállítónknál: amikor felhőtárhelyet, számlázóprogramot, könyvelőt vagy adatközponti szerverhosztingot választunk. Senki nem tenne fel egy magyar könyvelőiroda vagy ügyvédi praxis teljes adatbázisát egy olyan ismeretlen tengerentúli tárhelyre, amelynek nincs európai képviselete, nincs adatfeldolgozói szerződése, és nem vállal semmilyen jogi felelősséget – még akkor sem, ha az a tárhely történetesen ingyen van.
Az AI-nál viszont a cégek többsége mégis elfelejti feltenni ezeket a kérdéseket. Miért? Mert a belépés csak két kattintás egy böngészőben, és pszichológiailag nem érzik beszállítói szerződéskötésnek. Pedig abban a pillanatban, hogy egy munkatárs ügyféladatot, szerződést vagy forráskódot küld be egy külső modellbe, a cég de facto adatfeldolgozót vont be.
Amit a jog mond – és amit a gyakorlat mutat: nem a makulátlanság a különbség, hanem az elérhetőség
Kezdjük a legkeményebb korláttal, mert ez nem politikai szimpátia vagy vélemény kérdése, hanem hatályos európai jogszabály.
1. Nincs megfelelőségi határozat (GDPR V. fejezet)
Ha bármilyen személyes adat (egy ügyfél neve, e-mail-címe, telefonszáma, munkavállalói adata vagy egy szerződésben szereplő természetes személy azonosítója) bekerül a promptba, és ez az adat elhagyja az Európai Gazdasági Térséget (EGT), azonnal életbe lépnek a GDPR harmadik országba történő adattovábbításról szóló szigorú szabályai (44–49. cikk).
Míg az Egyesült Államokkal létezik az EU–US Data Privacy Framework (DPF), illetve az amerikai nagyvállalatok európai leányvállalatokkal (pl. Írországban bejegyzett entitásokkal) és szabványos szerződéses feltételekkel (SCC) szerződnek, addig Kínára nézve nincs uniós megfelelőségi határozat. Ez azt jelenti, hogy a magyar adatkezelőnek (a te cégednek) kellene jogi garanciákat felmutatnia, és elvégeznie az adattovábbítási hatásvizsgálatot (Transfer Impact Assessment – TIA). Ezt egy KKV egyszerűen képtelen megtenni, mert a kínai szolgáltató nem ad hozzá sem dokumentációt, sem kikényszeríthető garanciát arról, hogy a kínai nemzetbiztonsági törvények alapján az állami szervek nem férnek hozzá a szervereken tárolt adatokhoz.
2. A hatóságok már léptek – Keleten és Nyugaton egyaránt
Ez nem elméleti jogászkodás. Az olasz adatvédelmi hatóság, a Garante 2025 januárjában azonnali hatállyal blokkolta a DeepSeeket Olaszországban, miután a cég válaszait teljesen elégtelennek találta – ez volt az első ilyen sürgősségi végrehajtási intézkedés egy AI-chatbottal szemben a GDPR alapján. 2025 júniusában a berlini adatvédelmi biztos hivatalosan is jogellenesnek nyilvánította a DeepSeek adattovábbítási gyakorlatát, és felszólította az Apple-t, valamint a Google-t az alkalmazás eltávolítására az európai áruházakból, mivel a DeepSeeknek nincs uniós jogi képviselete (GDPR 27. cikk megsértése), a felhasználói adatokat pedig közvetlenül Kínában tárolják.
De legyünk teljesen tárgyilagosak: ugyanez az olasz Garante 2023-ban egy hónapra betiltotta a ChatGPT-t is, majd a vizsgálat lezárásaként 15 millió eurós bírságot szabott ki az OpenAI-ra. Tehát szó sincs arról, hogy a nyugati szolgáltató eleve makulátlan lenne, a keleti pedig gyanús!
Az OpenAI-nak, az Anthropicnak, a Google-nek és a Microsoftnak van európai jogi személye (pl. Dublinban), van kivel hivatalosan levelezni, van kit beperelni, és van, aki a 15 millió eurós bírságot kifizeti, majd módosítja a szolgáltatást az EU-s elvárások szerint. Ezzel szemben, ha az adatoddal baj történik egy olyan szolgáltatónál, amelynek nincs uniós jelenléte, a NAIH vagy az ügyfeled nem Pekingbe fog levelet írni, hanem téged, a magyar adatkezelőt és szolgáltatót fog elővenni. Üzleti szolgáltatóként ez a szempont visz mindent.
1. Infografika: Mi történik adatvédelmi incidens vagy hatósági vizsgálat esetén? (A felelősségi fal)
GDPR 28. és 44. cikk„De hiszen helyben is futtatható!” – A VRAM-csapda, a rövid emlékezet és a párhuzamos terhelés
Ez a legerősebb ellenérv, amit kapni szoktam, és szakmailag tisztességtelen lenne megkerülni. Valóban igaz: a nyílt súlyú modellek letölthetők, saját vason futtathatók, és ilyenkor az adat tényleg nem hagyja el a céget. Csakhogy három kemény műszaki tényt ritkán mondanak el mellé.
671 milliárd paraméter = ~640 GB VRAM
Amikor valaki azt mondja, hogy a DeepSeek csúcsmodellje „ugyanazt tudja, mint a GPT vagy a Claude”, akkor a 671 milliárd paraméteres (671B) teljes modellről beszél. Ennek a futtatásához (még 8-bites kvantálás mellett is, a KV-cache memóriával együtt) nagyságrendileg 640 GB videómemória (VRAM) kell.
Ez a gyakorlatban 8 darab 80 GB-os adatközponti GPU-t (pl. NVIDIA H100 / A100 szervert) jelent. Ez nem a szerverszekrény alsó polca, hanem egy 35–60 millió forintos beruházás, plusz ipari áramellátás, klimatizálás és üzemeltetés. Egy magyar KKV számára ez teljesen irreális.
A 2 millió Ft-os AI PC és a 8–16k tokenes korlát
Ha lejjebb adjuk, egy 24 GB VRAM-os kártyával (pl. RTX 4090 / 5090 vagy munkaállomás GPU) szerelt komplett AI PC nagyjából 2 millió Ft-nál indul. Ezen már elfér egy 32 milliárd paraméteres (32B) desztillált modell erős, 4-bites kvantálással.
Csakhogy a modellsúlyokra azonnal elmegy ~16–18 GB VRAM, a maradék 6–8 GB-ból pedig mindössze 8 000 – 16 000 tokenes kontextusablak jön ki! Miközben a felhős modellek 200 000 – 1 000 000 tokennel dolgoznak. A helyi kis modellnek tehát nemcsak a logikai képessége csonkolt, hanem az emlékezete is: egy hosszabb szerződést vagy nagyobb kódbázist már be sem tudsz tölteni neki.
Terhelés alatt szétesik (64 kérésnél 3+ perc várakozás)
Az olyan népszerű asztali futtatókörnyezetek, mint az alapértelmezett Ollama vagy LM Studio, egyetlen felhasználóra vannak méretezve. Amint egy 20 fős irodában egyszerre többen küldenek be kérést, a rendszer sorba állítja (queue-olja) őket, vagy kifut a VRAM-ból.
Mérések szerint 64 párhuzamos kérésnél a produkciós adatközponti kiszolgálók (vLLM / TensorRT-LLM continuous batchinggel) több tízszeres áteresztőképességet tudnak, míg az egyszerű irodai futtatókörnyezetben az első válaszra (Time-to-First-Token) három percen túl is várni kell.
Nyugati (európai és amerikai) nyílt súlyú modell is van bőven: a francia Mistral (Mistral Small/Large, Codestral), a Google Gemma családja, az NVIDIA Nemotron, a Meta Llama vagy az OpenAI nyílt súlyú modelljei mind szabadon letölthetők és saját szerveren futtathatók. Ha tehát valóban az adatszuverenitás a cél, azt egyáltalán nem kell kínai modellel megvenni. A két érv – „ne menjen ki az adat a cégből” és „használjunk kínai modellt” – szakmailag nem ugyanaz az érv, és nem is következik egyik a másikból!
Helyi (On-Premise) AI Kalkulátor: Mit kapsz a pénzedért, ha saját vason futtatsz?
Válaszd ki a futtatni kívánt nyílt súlyú modellméretet és az irodai csapat létszámát, hogy lásd a valós VRAM-igényt, a maximális kontextusablakot és a megtérülési korlátokat!
Öt kockázat, amit szerződésben kell rendezni, mielőtt éles ügyfélmunkára engeded az AI-t
Teljesen mindegy, melyik szolgáltatót választod: ezt az öt kérdést kötelező feltenned és írásban lefedned. Ezek a szempontok világpolitikától függetlenül védik a cégedet.
Van-e uniós jogi személy és kikényszeríthető joghatóság?
Pontosan kivel kötsz szerződést, melyik európai ország joghatósága alá tartozik a számlázó és adatfeldolgozó entitás, és melyik bírósághoz vagy hatósághoz fordulhatsz, ha jogvita vagy adatvédelmi incidens van? Ha erre a kérdésre nincs egyértelmű, EU-n belüli válasz, minden további műszaki kérdés pusztán akadémikus.
Van-e aláírható Adatfeldolgozói Szerződés (DPA), és mi szerepel benne?
Kifejezetten kérd írásban: mennyi ideig őrzik meg a beküldött promptokat és csatolmányokat (abuse monitoring logok), felhasználják-e azokat a modell tanítására (model training), és van-e nulla adatmegőrzést (Zero Data Retention – ZDR) biztosító opció? Vigyázat: a lakossági (Free / Plus / Pro) és a vállalati (Team / Enterprise / API) csomagok feltételei ebben ég és föld – a lakossági csomag ÁSZF-jét nem tudod az ügyfeled felé védelemként felmutatni!
Pontosan hova megy az adat fizikailag? (EU Adatrezidencia)
Hol található az adatközpont, ahol a következtetés (inference) és a tárolás zajlik? Milyen adattovábbítási garanciák (SCC, DPF) vannak érvényben? Ma már több vezető nyugati szolgáltató (OpenAI, Anthropic Vertex/Bedrockon keresztül, Google Cloud, Microsoft Azure OpenAI) kínál garantált EU-n belüli adatfeldolgozást (EU Data Residency).
Mi történik, ha elzárják a csapot? (Ellátásbiztonság és Geopolitikai Lock-in)
Ez nem elméleti kérdés, és nem is csak Kínára vonatkozik: 2026 nyarán amerikai exportkontroll-intézkedések és régiós korlátozások miatt nyugati modellcsaládok elérése körül is alakultak ki fennakadások, ahogy az európai hatóságok is bármikor blokkolhatnak egy nem megfelelő szolgáltatót. A tanulság: egyetlen AI-szolgáltatóra sem szabad úgy felépíteni a céged alapfolyamatait, hogy nincs azonnali „B-terved” (fallback API / másik modellcsalád).
Mi lesz a modellel fél év múlva? (Modell-kivezetés és Prompt-drift)
A felhős modelleket folyamatosan frissítik és kivezetik (deprecation). Verzióváltáskor a modell belső viselkedése megváltozik, a rájuk finomhangolt vállalati promptjaid pedig egyik napról a másikra romlani kezdenek. Rögzítsd pontosan, melyik dátumozott modellverzión (snapshoton) futtatod az üzleti folyamatokat, és tartsd fenn a saját 3–5 feladatból álló etalon tesztkörödet, amiről a sorozat 1. részében írtam!
Ne szolgáltatót válassz először – hanem adatot osztályozz!
Ahelyett, hogy hitvitát folytatnál a csapatban arról, szabad-e DeepSeeket, Qwent vagy ChatGPT-t használni, vezess be egy egyszerű, háromsávos adatosztályozást! A napi feladatok 80%-a ugyanis az első két sávba esik.
Amit amúgy is kitennél a cég honlapjára
Példák: Marketingposztok, blogcikk-vázlatok, publikus termékdokumentációk fordítása, nyilvános jogszabályok vagy szabványok összefoglalása.
Üzletileg érzékeny, de NEM személyes adat
Példák: Belső folyamatleírások, általános árkalkulációs képletek, név nélküli ajánlatvázlatok, anonimizált szerver-hibanaplók, általános kódrészletek.
Ügyféladat, GDPR, NDA és éles titkok
Példák: Azonosítható ügyféladatok, szerződések nevekkel és összegekkel, pénzügyi/egészségügyi adatok, jelszavak, API-kulcsok, egyedi ügyfél-forráskód.
2) Ha nem lehet: EU-s adatkezelésű üzleti csomag aláírt DPA-val.
3) Ha az NDA tiltja a felhőt: Helyben futtatott (nyugati/nyílt) modell.
2. Infografika: A Költségoptimalizált Adatvédelmi Döntési Fa és Kilépési Terv (Exit Strategy)
Gyakorlati munkafolyamatÉs igen, van ennek egy tágabb, értékrendi olvasata is
Nem hallgatom el: engem szakemberként és cégvezetőként ezen túl az is foglalkoztat, hogy hova kerül a pénz, amit európai vállalkozókként AI-ra költünk, és hogy Európa hol tart ebben a technológiai versenyben. Az én személyes meggyőződésem, hogy hosszú távon egyáltalán nem mindegy, milyen jogi, társadalmi és értékrendi környezetben fejlesztett eszközökre épül a gyerekeink és a cégeink munkája.
De ezt a szempontot szándékosan hagytam a cikk legvégére, és szándékosan nem ebből vezettem le a szakmai döntést. Mert ha az érvem csak addig állna meg, amíg az olvasóval egyetértünk a világpolitikáról, akkor az rossz szakmai érv lenne. A fenti öt szerződéses kérdés, a GDPR-felelősség és a 640 GB VRAM matematikája attól függetlenül is kőkemény tény marad, hogy ki mit gondol a nagyhatalmakról.
Miért csalódnak a cégek az új AI modellekben?
Munkamódszer, prompt-architektúra (CLAUDE.md), kontextushigiénia, Prompt Hardening és etalon mérés.
Miért fizetünk nyugati AI-ért, ha a kínai ingyen van?
Beszállítói kockázat, GDPR és Garante-precedensek, helyi VRAM-matematika és 3 sávos adatosztályozás.
Melyik AI-előfizetés éri meg a gyakorlatban?
Kinek melyik csomag éri meg valójában, és mit tud (vagy nem tud) a legkisebb előfizetés a napi munkában.
Kapcsolódó cikkek
Nincs kegyelem – ~36 milliárd Ft büntetés GDPR alapján
A Merriott Hotellánc is megtanulja egy életre: SOKKAL OLCSÓBB ELŐTTE hívni az etikus hackereket. 2018 őszén pattant ki a botrány, hogy a hotellánc foglalási…
Brutális GDPR büntetést kapott egy vállalat – ~66.300.000.000,- Ft
A cég éves árbevételének jelentős részét elviheti a büntetés Minden cégvezető társamnak szeretnék jó napot kívánni! Olyan jót, amikor nem történik vele semmi…
Miért omlott össze a hagyományos KKV-védelem 2026 őszén?
Az AI-alapú támadások és a PHP2Shell-válság után a régi recept már nem véd. Mit építs meg, és mit vásárolj meg a cég védelméhez?
Következő lépés
Tudd meg, hol vannak a céges IT valódi kockázatai.
Egy kockázatfelmérés során átvizsgáljuk a rendszered legfontosabb pontjait, majd világos, fontossági sorrendbe rendezett javaslatokat adunk a javításhoz.