NAIH Ungarn: KI-Governance und DPA-Regeln
Ungarns Datenschutzbehörde ist NAIH — Nemzeti Adatvédelmi és Információszabadság Hatóság. Die Behörde hat die detaillierteste KI-Leitlinie aller mitteleuropäischen Datenschutzbehörden herausgegeben. Im Jahr 2024 erließ sie 38 Durchsetzungsentscheidungen. Sie veröffentlichte auch Regeln, die für jedes KI-System, das personenbezogene Daten verarbeitet, eine Datenschutz-Folgenabschätzung vorschreiben. Diese Regeln gehen über die DSGVO-Grundlage hinaus.
NAIH's KI-Durchsetzungsregeln
Die meisten EU-Datenschutzbehörden veröffentlichen allgemeine KI-Leitlinien. Ungarns Behörde ging weiter. Ihre Leitlinie von 2024 ist operativ konkret.
DSFA für alle KI-Systeme erforderlich: Jedes KI-System, das personenbezogene Daten berührt, braucht zuerst eine DSFA. Die Behörde verlangt dies vor der Bereitstellung. Dies gilt auch, wenn die Verarbeitung nach Art. 35 DSGVO nicht „hohes Risiko" darstellt. Das ist strenger als der risikobasierte Ansatz der DSGVO.
Was eine NAIH-DSFA enthalten muss:
- Eine technische Beschreibung der Dateneingaben und -ausgaben des KI-Modells
- Nachweis, dass Trainingsdaten anonymisiert wurden oder eine gültige Rechtsgrundlage hatten
- Eine Bewertung des Risikos algorithmischer Diskriminierung
- Einen menschlichen Prüfschritt für automatisierte Entscheidungen
- Einen Aufbewahrungs- und Löschungsplan für KI-verarbeitete Daten
Jährliche Überprüfung: Die Behörde verlangt, dass DSFAs jedes Jahr aktualisiert werden. Dies gilt, wenn ein KI-System neu trainiert oder wesentlich verändert wird.
Ungarn bearbeitete 2024 über 890.000 DSGVO-Betroffenenanfragen. Das ist ein großes Volumen für ein Land mit 10 Millionen Einwohnern. Es zeigt aktive Rechtswahrnehmung und echten Druck auf Compliance-Teams.
Die NER-Genauigkeitslücke
Die Überprüfung der Behörde von 2024 testete NER-Modelle auf ungarischen Texten. Sie erreichten nur 67 % Genauigkeit. Der EU-Durchschnitt liegt bei 82 %. Diese Lücke von 15 Prozentpunkten hat reale Compliance-Kosten.
Ungarisch ist eine agglutinierende Sprache. Sie bildet Wörter durch viele Suffixe. Namen, Adressen und IDs in ungarischen Texten sehen sehr anders aus als Daten auf Englisch oder Deutsch. Werkzeuge, die für diese Sprachen trainiert wurden, verfehlen einen großen Anteil personenbezogener Daten auf Ungarisch. Siehe unseren mehrsprachigen PII-Erkennungsleitfaden für Auswirkungen auf die DSGVO-Compliance.
Die Behörde stellte fest, dass generische NLP-Tools die TAJ-szám in 61 % der Dokumente verpassen. Formatvariationen und fehlende Prüfsummenunterstützung sind die Hauptursachen.
Ungarische Nationalidentifikatoren
Teams, die Dokumente in Ungarn verarbeiten, müssen diese ID-Typen genau erkennen. Siehe unseren EU-Steuer-ID-Erkennungsleitfaden für vollständigen EU-Kontext.
TAJ-szám (Társadalombiztosítási Azonosító Jel): Eine 9-stellige Sozialversicherungsnummer. Sie erscheint in Gesundheits-, Leistungs- und Rentenakten. Die Validierung verwendet eine gewichtete Prüfsumme der Sozialversicherungsbehörde.
Adóazonosító jel: Eine 10-stellige persönliche Steuer-ID. Das Format ist ein 8-stelliger Kern plus 2 Prüfziffern. Sie erscheint in Gehaltsabrechnungen, Steuererklärungen und Arbeitsverträgen.
Személyi igazolvány-Nummer: Die Personalausweisnummer. Format und Prüfziffernregeln folgen der ausstellenden Behörde.
Útlevél szám: Die Passnummer. Format und Prüfziffer folgen ebenfalls den Regeln der ausstellenden Behörde.
Der Ügyfélkapu-Kontext
Ungarn betreibt die meisten öffentlichen Dienste über eine einzige Plattform — Ügyfélkapu (Client Gateway). Über 4 Millionen Bürger nutzen sie für Steuern, Leistungen, Gesundheit und Genehmigungen. Private Unternehmen verbinden sich für Gehaltsabrechnung, Leistungen oder Identitätsprüfungen mit Ügyfélkapu. Diese Unternehmen verarbeiten dieselben Identifikatoren in einem regulierten Kontext.
Die Behörde stellte fest, dass diese Unternehmen häufig internationale PII-Tools einsetzen. Den meisten dieser Tools fehlt die Unterstützung für die oben genannten Identifikatoren. Das führt zu verpassten Daten und direktem Compliance-Risiko.
Überschneidung mit dem EU AI Act
Ungarn war früh dabei, AI-Act-Regeln in DPA-Leitlinien einzubeziehen. Der Standpunkt der Behörde ist klar.
Hochrisiko-KI-Systeme sind in Anhang III des AI Acts aufgeführt. Diese umfassen Beschäftigung, Kreditwürdigkeitsprüfung und wesentliche Dienste. Sie erfordern sowohl eine AI-Act-Konformitätsbewertung als auch eine NAIH-DSFA.
Allgemeine KI-Modelle, die Daten von Personen in Ungarn verarbeiten, benötigen ebenfalls eine NAIH-DSFA. Dies gilt auch, wenn das Modell nach dem AI Act nicht als hochriskant eingestuft ist.
Für Teams, die KI in Ungarn einsetzen, umfasst die Kern-Checkliste drei Punkte. Erstellen Sie vor dem Launch eine NAIH-DSFA. Überprüfen Sie, ob Ihr NER-Tool die obigen Entitäten in ungarischen Texten erkennt. Bestätigen Sie die TAJ-szám- und Adóazonosító-jel-Erkennung mit Prüfsummenvalidierung.