Mit kockáztatsz, ha kizárólag az AI-ra hagyatkozva vagy szaktudás nélkül készül a weboldalad?

Egy weboldal ma néhány óra alatt elkészül AI-jal. Érthető, ha ez csábító: gyors, jól mutat, és elsőre olcsónak is tűnik. A kockázat abban van, amit senki nem ellenőriz. Megérti-e a Google, miről szól az oldal, és el tudják-e olvasni az AI-keresők? Nem drágítja-e meg a hirdetést, és elkészültek-e a kötelező jogi elemek? Az AI weboldal készítés és a hozzá nem értő ismerős munkája ugyanott szokott elcsúszni: a felszínen minden rendben van, a felszín alatt viszont hiányzik a szaktudás.

Ez a cikk annak szól, aki most készíttetne weboldalt vagy webshopot, és azon gondolkodik, hogy egy AI-eszközzel maga készítse el, vagy egy ismerőst kér meg rá. És annak is, akinek az oldala már így készült el, és most azt mérlegeli, továbbmenjen-e vele, vagy átnézesse egy szakemberrel. Az átnézés most költségnek tűnhet, de egy hatósági bírság, amely a lenti esetekben 200 000 és 15 000 000 Ft között volt, utólag sokkal jobban fáj.

Én is AI-jal dolgozom: segít abban, hogy nagyon nagy mennyiségű információt tudjak feldolgozni. 2016 óta készítek weboldalakat, és szerintem a döntő különbség abban van, hogy aki az eszközt használja, jól tudja-e használni, arra használja-e, amire való, és tudja-e, mit kell utána ellenőrizni. Azt, hogy miért hoz kevesebb ügyfelet egy ilyen oldal, a másik cikkemben írtam meg.

Te a designt, a képeket és a gombokat látod; a Google, az AI-keresők és a hatóságok a felszín alatti réteget. Egy AI-eszköz vagy egy kezdő készítő a látható részt jól megoldja, mert azt mindenki látja, és arra kér visszajelzést. A láthatatlan részt, például a forráskódot, a mérést vagy a jogi oldalakat, viszont csak az készíti el, aki tudja, hogy kellenek, mert ránézésre semmi nem jelzi, hogy hiányoznak. Ez a táblázat azt mutatja meg, mi áll a látható elemek mögött, és mire van hatással, ha hiányzik.

A következő szakaszokban sorra veszem, melyik sor mögött mi a mechanizmus, és mi a forrása.

A NAIH 2026 első felében négy webshopot bírságolt meg az adatkezelési tájékoztatója miatt, 200 000 Ft-tól 15 000 000 Ft-ig terjedő összegben. Az ügyekről szóló ügyvédi elemzés szerint több határozatban az volt a hiba oka, hogy a tájékoztatót egy digitális rendszer generálta, sablonszerűen és rendezetlen szerkezetben (dr. Miklós-Kugli Péter és Saly Attila elemzése, dmp.hu). Mind a négy eljárás hivatalból indult: a NAIH előzetes értesítés nélkül nézte meg a webshopok honlapját, és mentéseket készített róla. Mind a négy ügyben ugyanaz a két hiba szerepelt: a tájékoztató nem határozta meg pontosan az adatkezelések célját és jogalapját, és hiányzott belőle vagy pontatlan volt, meddig őrzik az adatokat (gdpr.blog.hu).

Az egyik ügyben (NAIH-11443-3/2026.) a hatóság kimondta, hogy a GDPR alapfogalmainak és alapelveinek bemásolása „csupán a törvényi rendelkezések megismétlései”, nem tájékoztatás a vállalkozás adatkezeléséről.

Egy AI-jal írt tájékoztató pontosan ebbe a hibába eshet, ha nem a te valódi adatkezelésedről szól: milyen adatot kérsz, mire használod, meddig őrzöd, kinek adod tovább.

A sütikre külön szabály vonatkozik. Az elektronikus hírközlési törvény szerint a látogató eszközén adatot tárolni csak „világos és teljes körű – az adatkezelés céljára is kiterjedő – tájékoztatását követő hozzájárulása alapján” lehet (Eht. 155. § (4)). Az uniós ePrivacy-irányelv 5. cikk (3) bekezdése és a hatósági gyakorlat szerint kivétel a működéshez feltétlenül szükséges süti, például a kosáré. A mérő- és hirdetési kód viszont nem ilyen: ezt csak elfogadás után szabad elindítani.

Az impresszum a legegyszerűbb pont, mégis gyakran hiányos. Az elektronikus kereskedelmi törvény szerint a szolgáltatónak közvetlenül és folyamatosan elérhetővé kell tennie többek között a nevét, a székhelyét, az e-mail-címét, a nyilvántartást vezető hatóságot és a nyilvántartási számot, az adószámát (ha a szolgáltató áfaalany), és a tárhelyszolgáltató székhelyét és elérhetőségét (Ektv. 4. §). A cégjegyzékszám önmagában nem elég, a cégbíróság neve is kell mellé.

Egy webshopnál a hiányzó jogi elem közvetlenül pénzbe kerül: hosszabb elállási időbe, hatósági kötelezésbe, és ha a számlázás nincs rendben, NAV-bírságba. A legdrágább hiba az elállási tájékoztatásé. Ha a webshop nem tájékoztatja a vásárlót az elállási jogáról, a rendelet szerint „az elállási határidő tizenkét hónappal meghosszabbodik” (45/2014. Korm. rendelet 21. § (1)). A vevő tehát nem 14 napig, hanem bő egy évig küldheti vissza a terméket, és kérheti vissza az árát.

Egy új kötelezettség is él 2026. június 19. óta: minden webshopban folyamatosan, jól láthatóan elérhető „elállás a szerződéstől” funkciót kell elérhetővé tenni. Ennek a végén egy „elállás megerősítése” feliratú gomb áll (NKFH, 2026-07-15; 45/2014. 22. § (1a)–(1c)). Egy letölthető nyilatkozatminta vagy egy e-mail-cím ezt nem váltja ki. A beérkezést tartós adathordozón, például e-mailben haladéktalanul vissza is kell igazolni. Egy WordPress-alapú webshopban ez egy külön oldallal, egy űrlappal és egy automatikus visszaigazoló levéllel megoldható, egy egyedileg kódolt boltban viszont valakinek meg kell írnia.

A hatóság ezt nem panaszra várva nézi meg.

A hatósági vizsgálatok egyik fókusza a hamis fogyasztói értékelések kiszűrése volt. Ez azért fontos, mert egy AI-eszköz valódi vélemények híján kitalált, ötcsillagos szöveggel is kitöltheti a véleményblokkot. A tisztességtelen kereskedelmi gyakorlatokról szóló törvény feketelistája szerint a „valótlan fogyasztói értékelések vagy ajánlások” benyújtása vagy valótlan bemutatása minden körülmények között tisztességtelen (Fttv. melléklet 35. pont).

A megrendelés gombjának felirata is számít. A rendelet szerint a gombot „fizetési kötelezettséggel járó megrendelés vagy ennek megfelelő, egyértelműen megfogalmazott felirattal” kell ellátni (45/2014. Korm. rendelet 15. § (2)). Szerintem az „Elküldöm” vagy a „Rendelés feladása” felirat ezt nem mondja ki egyértelműen.

Egy kész webshop-rendszerben a számlázó program bővítménnyel kapcsolódik, egy egyedi kódban ezt is külön kell megírni és tesztelni.

Az akadálymentességi követelményekről szóló törvény 2025. június 28. óta él, és sokan úgy hiszik, minden webshopra vonatkozik. A törvény szerint viszont a szolgáltatást nyújtó mikrovállalkozás mentes. Mikrovállalkozás az, amelyik 10 főnél kevesebb embert foglalkoztat, és az éves nettó árbevétele vagy mérlegfőösszege legfeljebb 2 millió eurónak felel meg (2022. évi XVII. törvény 2. § és 3. § (3)). Ha a webshopod mikrovállalkozás, ez tehát ma nem kötelező rá. Az akadálymentes oldal ettől még minden látogatónak könnyebben használható, ezért szerintem érdemes rá figyelni.

Ellenőrzés nélkül nem az: egy 2025-ös vizsgálatban a nyelvi modellek az esetek 45%-ában a nem biztonságos megoldást választották, amikor választhattak. A Veracode több mint 100 nyelvi modellt tesztelt 80 olyan programozási feladaton, amelyben ismert biztonsági rés keletkezhet.

A mérés szerint a modellek „chose the insecure option 45 percent of the time” (Veracode, 2025).

A kód működhet, és közben mégis sebezhető. Az ETH Zürich kutatóinak BaxBench-tesztjében a nyelvi modellek által írt, hibátlanul működő webes háttérprogramok nagyjából felét sikerült feltörni (BaxBench, 2025). Egy működési teszt ezt nem mutatja ki: az oldal betölt, az űrlap elküldi az adatot, a kosár számol, és közben a vásárlói adatok kívülről is elérhetők. Az Escape.tech biztonsági cég 5 600 nyilvános, AI-eszközzel készült alkalmazást vizsgált meg, és több mint 2 000 sérülékenységet, 400-nál több kiszivárgott hozzáférési kulcsot és 175 esetben kiszivárgott személyes adatot talált, köztük egészségügyi adatot és bankszámlaszámot (Escape.tech).

Az AI-eszközök egy része ma már ellenőriz is: a Lovable például minden közzétételkor automatikus gyorsvizsgálatot futtat az adatbázis-jogosultságokra. A gyártó viszont maga írja, hogy ezek az eszközök „do not replace a thorough security review”, és az alkalmazás biztonságáért a felhasználó felel (Lovable: Security). Szerintem itt van a nagy különbség: egy szakember a kódot az élesítés előtt leteszteli és átnézi, és amit hibásnak talál, kijavítja. Aki AI-jal egyedül készít oldalt, és nem ért a webfejlesztéshez, gyakran azt sem tudja, mit kellene keresnie. Webshopnál, ahol vásárlói adatok és rendelések vannak az adatbázisban, ez nem technikai részlet, hanem adatvédelmi felelősség. Ez a felelősség pedig a webshop üzemeltetőjét terheli, nem azt, aki az oldalt elkészítette: a hatóság felé az felel, aki az adatokat kezeli, és a NAIH a 2026-os ügyekben is a webshopokat kötelezte a bírság megfizetésére (dmp.hu).

Ez nem azt jelenti, hogy egy hagyományos weboldal magától biztonságos. Egy WordPress-oldalt is rendszeresen frissíteni és menteni kell, erről a weboldal karbantartásáról szóló oldalamon írtam. A különbség az, hogy ott a frissítések készen jönnek, egy egyedi, AI-jal generált kódot viszont valakinek át kell néznie.

Négy kérdés, amelyre egy elkészült oldalnál igennel kell tudnod felelni. Ha valamelyiknél bizonytalan vagy, annak a pontnak érdemes utánanézni, mielőtt hirdetésre költesz, vagy elindítod a webshopot.

1. Sütik: a látogató el tudja utasítani a sütiket, és a mérőkód csak elfogadás után indul?
2. Impresszum: benne van a név, a székhely, az e-mail-cím, a nyilvántartó hatóság és a szám, az adószám és a tárhelyszolgáltató adatai?
3. Adatkezelési tájékoztató: célonként leírja, milyen adatot kérsz, mire, meddig őrzöd és kinek adod tovább?
4. Webshop: van elállási tájékoztatás, „elállás a szerződéstől” funkció, egyértelmű rendelésgomb, és a számla automatikusan elkészül?

Jól használva az AI rövidebb idő alatt jobb oldalt ad, mint nélküle. A kérdés az, hogy aki az oldalt elkészíti, érti-e, mit kell utána átnézni: a főcímet, a forráskódot, a sütiket, a jogi oldalakat és a webshop pénztárát. Ha a fenti négy pontból bármelyikre nem tudsz biztos igent mondani, az oldal nagy valószínűséggel nem az, aminek látszik. Ilyenkor érdemes valakivel átnézetni, mielőtt pénzt költesz a forgalmára.