GDPR Violations by Google’s AI Overview
Google’s documentation states that the AI Overview is automatic, built‑in, and cannot be turned off:
“The AI Overviews are a core part of Google Search. The feature cannot be turned off.”
The documentation also states that the results are “not personalized”, meaning the same AI‑generated personal data about me is shown to anyone who searches my nickname.
This violates multiple GDPR articles:
GDPR Article 4(1) – Personal Data
Personal data is any information that identifies a person.
My nickname, forum posts, and photos of my car identify me.
If the AI collects or displays these, it is personal data processing.
GDPR Article 4(4) – Profiling
Profiling is automated processing of personal data to analyze or evaluate personal aspects.
The AI automatically collects, summarizes, interprets, and generates statements about me.
This is profiling.
GDPR Article 5 – Principles of Processing
Processing must be lawful, fair, and transparent.
The AI writes about me without consent, without transparency, and cannot be disabled.
This is unlawful, unfair, and non‑transparent.
GDPR Article 6 – Lawful Basis
Google does not ask for consent.
If Google claims “Legitimate Interest”, GDPR requires that users must have the Right to Object.
Google states the AI “cannot be turned off”.
If the Right to Object cannot be exercised, the profiling has no lawful basis.
GDPR Articles 12–14 – Transparency
Users must be informed about what data is processed, for what purpose, and based on what logic.
The AI discloses none of this.
This violates transparency obligations.
GDPR Article 17 – Right to Erasure
If an organisation publicly discloses personal data, it must take all reasonable steps to remove copies, links, and reproductions.
Since the AI Overview publicly displays AI‑generated personal data about me, Google is responsible for removing it.
GDPR Article 21 – Right to Object
Users have the right to object at any time to the processing of their personal data, including profiling.
Google states the AI “cannot be turned off”.
If a profiling AI cannot be disabled, the Right to Object cannot be exercised.
This is a direct violation of Article 21.
GDPR Recital 26 – Anonymization Standard
Anonymization must be irreversible, and no person should be identifiable by any means.
Modern language models can reconstruct identity from patterns, topics, and nicknames.
Therefore, the AI’s processing does not qualify as anonymization.
Corporate Loopholes
Anonymization
Companies claim that AI training data is anonymized or pseudonymized.
Under GDPR Recital 26, anonymization must be irreversible.
Language models can reconstruct identity from patterns.
This argument fails.
Function vs. Model
Companies claim the model is trained separately, the AI feature is core functionality, and users can disable future data collection.
This does not satisfy GDPR because the AI still processes personal data, still displays it publicly, still performs profiling, and still cannot be turned off.
The Right to Object cannot be exercised.
The system architecture violates GDPR.
KO PARAGRAPH
Google’s AI Overview automatically processes and publicly displays my personal data without consent, without transparency, and without any possibility to object. The system performs profiling under Article 4(4), uses personal data under Article 4(1), lacks a lawful basis under Article 6, violates the transparency obligations of Articles 12–14, prevents the exercise of the Right to Object under Article 21 because the feature “cannot be turned off”, and fails to meet the requirements of Recital 26 regarding anonymization. Since the results are “not personalized”, the same AI‑generated personal data about me is shown to anyone, which constitutes unlawful public disclosure of personal data and triggers the obligations of Article 17 regarding erasure of publicly disclosed data.
Google cannot argue that the personal data is collected by the Search engine and not by the AI, because Google’s own documentation states that the AI Overview is an integral part of Google Search. Under the GDPR, liability applies to the data controller as a whole, not to individual technical modules. Therefore, any collection, analysis, combination, or public display of my personal data performed by the Search or by the AI constitutes data processing by Google.
Google cannot claim that the personal data is processed by Search and not by the AI, because Google’s own documentation states that the AI Overview is an integral part of Google Search and cannot be turned off. Under the GDPR, the data controller is responsible for all processing operations within its service, regardless of internal technical modules. Even if the AI feature were technically switchable, it would still be unlawful, because the GDPR does not protect what I see about myself, but what others can see about me. Since the AI Overview collects, analyses, combines, and publicly displays personal data about me to any user who searches my nickname, Google is performing unlawful data processing, unlawful profiling, and unlawful public disclosure of personal data without any possibility to object or request erasure.
A Google AI‑áttekintése GDPR‑sértéseket követ el
A Google dokumentációja kimondja, hogy az AI‑áttekintés automatikus, beépített, és nem lehet kikapcsolni:
„Az AI‑alapú áttekintések a Google Kereső alapvető funkciói közé tartoznak. A funkciókat nem lehet kikapcsolni."
Ugyanitt az is szerepel, hogy „a találatok nincsenek személyre szabva", vagyis a rólam generált AI‑szöveg bárkinek ugyanúgy megjelenik, aki beírja a nicknevemet.
Ez több GDPR‑cikket sért:
GDPR 4. cikk (1) – Személyes adat
Személyes adat minden, ami egy személyt azonosít.
A nicknevem, a fórumposztjaim és a kocsim képei mind engem azonosítanak.
Ha az AI ezeket összegyűjti vagy megjeleníti, az személyes adatkezelés.
GDPR 4. cikk (4) – Profilalkotás
Profilalkotás a személyes adatok automatizált elemzése vagy értékelése.
Az AI automatikusan összegyűjti, összefoglalja, értelmezi és állításokat generál rólam.
Ez profilozás.
GDPR 5. cikk – Adatkezelési alapelvek
Az adatkezelésnek jogszerűnek, tisztességesnek és átláthatónak kell lennie.
Az AI rólam ír, hozzájárulás nélkül, átláthatóság nélkül, és nem kapcsolható ki.
Ez nem jogszerű, nem tisztességes, nem átlátható.
GDPR 6. cikk – Jogszerű adatkezelés jogalapja
A Google nem kér hozzájárulást.
Ha „jogos érdek" jogalapra hivatkozik, akkor köteles lenne biztosítani a tiltakozás jogát.
A dokumentációjuk szerint az AI „nem kikapcsolható".
Ha a tiltakozás joga nem gyakorolható, a profilozásnak nincs jogalapja.
GDPR 12–14. cikk – Átláthatóság
A felhasználót tájékoztatni kell arról, milyen adatot kezelnek, milyen célból és milyen logika alapján.
Az AI erről semmit nem közöl.
Ez az átláthatósági kötelezettség megsértése.
GDPR 17. cikk – Törléshez való jog
Ha az adatkezelő személyes adatot hoz nyilvánosságra, köteles minden ésszerű lépést megtenni a másolatok, linkek és reprodukciók eltávolításáért.
Mivel az AI‑áttekintés nyilvánosan jelenít meg rólam generált személyes adatot, a Google felelős annak eltávolításáért.
GDPR 21. cikk – A tiltakozáshoz való jog
A felhasználó bármikor tiltakozhat személyes adatainak kezelése és a profilalkotás ellen.
A Google szerint az AI „nem kikapcsolható".
Ha egy profilozó AI‑t nem lehet kikapcsolni, akkor a tiltakozás joga nem gyakorolható.
Ez közvetlen jogsértés.
GDPR 26. preambulumbekezdés – Anonimizálás követelménye
Az anonimizálásnak visszafordíthatatlannak kell lennie, és senki nem azonosíthatja vissza az érintettet.
A modern nyelvi modellek képesek visszakövetkeztetni az egyedi mintázatokra, ezért ez nem minősül anonimizálásnak.
A tech cégek kiskapui
Anonimizálás
A cégek azt állítják, hogy az MI‑hez használt adatokat anonimizálják vagy álnevesítik.
A GDPR 26. preambuluma szerint az anonimizálásnak visszafordíthatatlannak kell lennie.
A nyelvi modellek képesek visszakövetkeztetni az egyedi mintázatokra.
Ezért ez az érv nem áll meg.
Funkció vs. modell szétválasztása
A cégek azt mondják, hogy a modellt külön tanítják, a kereső AI‑funkció alapfunkció, és a felhasználó letilthatja a jövőbeli adatgyűjtést.
Ez nem felel meg a GDPR‑nak, mert az AI továbbra is személyes adatot dolgoz fel, továbbra is nyilvánosan megjeleníti, továbbra is profiloz, és továbbra sem kapcsolható ki.
A tiltakozás joga nem gyakorolható.
A rendszer architektúrája jogsértő.
KO BEKEZDÉS
A Google AI‑áttekintése automatikusan, hozzájárulás nélkül, átláthatóság nélkül dolgozza fel és nyilvánosan jeleníti meg a személyes adataimat. A rendszer profilozást végez a 4. cikk (4) szerint, személyes adatot használ a 4. cikk (1) alapján, nem rendelkezik jogalappal a 6. cikk szerint, megsérti a 12–14. cikk szerinti átláthatósági kötelezettséget, lehetetlenné teszi a 21. cikk szerinti tiltakozási jog gyakorlását, nem felel meg a 26. preambulumbekezdés szerinti anonimizálási követelménynek, és a 17. cikk alapján köteles lenne eltávolítani a rólam generált nyilvános személyes adatot. Mivel a találatok „nem személyre szabottak", a rólam generált személyes adatot a Google bárkinek megjeleníti, ami jogellenes személyesadat‑nyilvánosságra hozatal.
A Google nem hivatkozhat arra, hogy a személyes adatot nem az AI, hanem a kereső gyűjti, mert a Google saját dokumentációja szerint az AI a kereső szerves része. A GDPR az adatkezelőt teszi felelőssé, nem az egyes technikai modulokat, ezért a kereső és az AI által végzett adatgyűjtés és profilalkotás egyaránt a Google adatkezelésének minősül.
A Google nem hivatkozhat arra, hogy a személyes adatot nem az AI, hanem a Kereső kezeli, mert a Google saját dokumentációja szerint az AI‑áttekintés a Google Kereső szerves része, és nem kapcsolható ki. A GDPR az adatkezelőt teszi felelőssé a szolgáltatáson belül végzett minden adatkezelési műveletért, függetlenül az egyes technikai moduloktól. Még ha az AI‑funkció kikapcsolható lenne, akkor is jogsértés maradna, mert a GDPR nem azt védi, hogy én mit látok magamról, hanem azt, hogy mások milyen személyes adatot láthatnak rólam. Mivel az AI‑áttekintés összegyűjti, elemzi, összekapcsolja és nyilvánosan megjeleníti a rólam szóló személyes adatokat bárki számára, aki rákeres a nicknevemre, a Google jogellenes adatkezelést, jogellenes profilalkotást és jogellenes személyesadat‑nyilvánosságra hozatalt végez, tiltakozási és törlési lehetőség biztosítása nélkül.