匈牙利NAIH：人工智能治理与GDPR合规规则
匈牙利数据保护机构为NAIH（Nemzeti Adatvédelmi és Információszabadság Hatóság，国家数据保护与信息自由局）。在中欧各国数据保护机构中，NAIH发布了最为详细的人工智能治理指导意见。2024年，NAIH共作出38项执法决定，并颁布规定，要求所有处理个人数据的AI系统在部署前必须完成DPIA。这一要求超越了GDPR的基准门槛。
NAIH的AI执法规则
大多数欧盟数据保护机构发布的AI指导意见较为宏观，而匈牙利的做法更进一步——其2024年指导意见在操作层面具体、可落地。
所有AI系统均须完成DPIA： 任何涉及个人数据的AI系统，在部署前必须完成DPIA，即便该处理操作在GDPR第35条下并不属于「高风险」。这比GDPR自身的基于风险的判断方式更为严格。
NAIH的DPIA须包含以下内容：
- 对AI模型数据输入与输出的技术说明
- 证明训练数据已匿名化或具有合法处理依据的证据
- 对算法歧视风险的评估
- 自动化决策中的人工审核环节
- AI处理数据的保留与删除计划
年度复审： 当AI系统经历重新训练或重大变更时，NAIH要求每年更新DPIA。
2024年，匈牙利共处理逾89万条GDPR数据请求——对于一个1000万人口的国家而言，这是相当庞大的数量，反映出数据权利的高度活跃以及合规团队所面临的切实压力。
命名实体识别（NER）的准确率差距
NAIH的2024年审查对匈牙利语文本上的NER模型进行了测试，结果准确率仅为67%，而欧盟平均水平为82%。这15个百分点的差距带来了真实的合规成本。
匈牙利语是一种黏着语，通过大量后缀构词。匈牙利语中的姓名、地址和身份证件号码，与英语或德语数据的外观差异显著。以这些语言训练的工具会漏掉大量匈牙利语个人数据。关于这一差距如何影响跨语言GDPR合规，请参阅我们的多语言PII检测指南。
NAIH发现，通用NLP工具在61%的文件中无法识别TAJ-szám（社保号），主要原因在于格式变体多样且缺乏校验和支持。
匈牙利国家身份标识符
处理匈牙利语文件的团队，必须准确识别以下ID类型。关于欧盟全范围覆盖的背景，请参阅我们的欧盟国家税号PII检测指南。
TAJ-szám（社会保险识别号）： 9位社会保障号码，出现于医疗、福利和养老记录中。验证方式采用社保局规定的加权校验和算法。
Adóazonosító jel（个人税号）： 10位个人税务识别号，格式为8位核心号加2位校验位，出现于工资单、纳税申报和劳动合同中。
Személyi igazolvány号（身份证号）： 全国身份证号码，格式和校验规则遵循签发机构的规定。
Útlevél szám（护照号）： 格式和校验规则同样遵循签发机构的规定。
Ügyfélkapu平台的背景
匈牙利通过统一平台Ügyfélkapu（「客户门户」）提供大多数政府服务，逾400万公民通过该平台办理税务、福利、医疗和许可证事务。私营企业也会接入Ügyfélkapu进行工资核算、福利发放或身份验证，这些企业在受监管的场景下处理上述相同的标识符。
NAIH发现，此类企业通常使用国际化PII工具，而这些工具大多不支持上述标识符，由此导致数据漏检并直接引发合规风险。
与欧盟《人工智能法案》的交叉要求
匈牙利较早将《人工智能法案》规则纳入数据保护机构指导意见，NAIH的立场明确清晰。
高风险AI系统载于《人工智能法案》附件三，涵盖就业、信用评分和基本公共服务领域。此类系统既须完成《人工智能法案》的合规评估，也须通过NAIH的DPIA审查。
处理匈牙利境内人员数据的通用AI模型同样需要完成NAIH DPIA，即便该模型未被《人工智能法案》列为高风险系统。
在匈牙利部署AI的团队，核心合规清单包含三项：在上线前完成NAIH DPIA；验证NER工具对上述实体在匈牙利语文本中的覆盖能力；确认TAJ-szám和adóazonosító jel的检测包含校验和验证。