Egy átlagos, legfeljebb 200 főt foglalkoztató magyar cégnél a munkatársak nem hivatalosan legalább egy tucatnyi különféle AI-eszközt használnak. A vezetőség ezek közül általában mindössze háromról tud. Az információáramlás ellenőrzésének hiánya veszélyes jogi kiskaput teremt. Bár a 2026 júniusában elfogadott AI Omnibus szabályozási csomag elhalasztotta az AI Act bevezetésének egyes határidőit, a főbb követelmények és a szigorú pénzügyi szankciók már most is kivétel nélkül érvényben vannak.
Ez a cikk áttekintést ad a legfontosabb határidőkről, feltárja a nem vizsgált szoftverek jelentette kockázatokat, és konkrét lépéseket kínál arra, miként óvhatja meg cégét az akár 35 millió eurós bírságoktól.
Mi az az AI Act?
Az AI Act az Európai Parlament és az Európai Unió Tanácsa által kidolgozott és elfogadott átfogó szabályozási keretrendszer a mesterséges intelligenciára vonatkozóan. A rendszereket az általuk jelentett kockázat mértéke alapján kategorizálja. A rendelet szigorú biztonsági és átláthatósági szabályokat vezet be, és konkrét kötelezettségeket ró minden olyan szervezetre, amely az Európai Unió piacán AI-algoritmusokat tervez, szolgáltat vagy használ. De mit jelent mindez a gyakorlatban egy átlagos lengyel cég számára?
A rendelet középpontjában az AI-eszközök alkalmazási kontextusáért és módjáért vállalt teljes felelősség áll. Az új szabályozás egyik kulcspillére, hogy folyamatos felügyeletet kell biztosítani azok felett a folyamatok felett, amelyekben mesterségesintelligencia-megoldásokat használunk. A vállalkozásoknak nemcsak a tiltott eszközök használata miatt kell súlyos bírságtól tartaniuk, hanem elsősorban a megfelelő belső eljárások hiányáért, valamint azért is, ha a munkatársak nem rendelkeznek igazolható tudással az általuk kezelt rendszerekről.
Az AI Act négy kockázati szintje – hová tartozik az Ön cége?
A rendelet nem magát a technológiát értékeli, hanem annak alkalmazási környezetét, valamint az emberi jogokra és a biztonságra gyakorolt hatását. Ennek alapján az AI Act négy kategóriába sorolja az eszközöket:
| Kockázati szint | Példák a vállalati alkalmazásra | Főbb jogi és szervezeti kötelezettségekcyjne |
| 1. Elfogadhatatlan | Munkavállalók érzelemelemzése, társadalmi pontozás, tudatalatti manipuláció | Teljes alkalmazási tilalom 2025. február 2-től. |
| 2. Magas | AI a toborzásban és a teljesítményértékelésben, hitelbírálati pontozás, egészségbiztosítási árazás | Regisztráció az EU-s adatbázisban, auditok, adatkezelés, kötelező emberi felügyelet. |
| 3. Mérsékelt | Értékesítési chatbotok, marketing- és grafikageneráló eszközök | Tájékoztatási kötelezettség (a felhasználót értesíteni kell, hogy AI-val kommunikál), valamint a tartalomjelölési kötelezettség (50. cikk) |
| 4. Minimális | Helyesírás-ellenőrző asszisztensek, spamszűrők, belső folyamat. | Nincsenek közvetlen AI Act kötelezettségek (kivéve a 4. cikk szerinti általános képzési kötelezettséget és az általános GDPR-szabályokat). |
Az AI Act új bevezetési menetrendje – mit jelent a gyakorlatban az AI Omnibus csomag?
Az Európai Unió teljes üzleti szektora hónapokon át 2026. augusztus 2-át tekintette annak a kulcsfontosságú időpontnak, amikortól a magas kockázatú mesterségesintelligencia-rendszerekre teljeskörűen vonatkoznak a szabályozások. Ez az ütemterv azonban gyökeresen megváltozott. 2026 közepén az Európai Parlament és az EU Tanácsa elfogadta a Digital Omnibus on AI néven ismert módosító csomagot.
Az AI Act felülvizsgált bevezetési menetrendje
| Hatálybalépés dátuma | Jogi kötelezettség vagy előírás | Formális státusz |
| 2024. augusztus 1. | Az EU AI Act rendeletének eredeti hatálybalépése | Érvényben van |
| 2025. február 2. | A tiltott gyakorlatok alkalmazásának tilalma (5. cikk) és a munkatársak képzésének kötelezettsége (4. cikk) | Érvényben van |
| 2025. augusztus 2. | Az általános célú AI-modellek (GPAI) szolgáltatóira vonatkozó szabályok és kötelezettségek | Érvényben van |
| 2026. augusztus | A nemzeti felügyeleti hatóságok elindítása, a közvetlen ellenőrzések és a jogszabály-ellenőrzés kezdete | Jelenlegi szakasz |
| 2026. december 2. | Az AI által generált tartalmak digitális jelölésének kötelezettsége és az átláthatósági szabályok (50. cikk) | Bevezetés alatt |
| 2027. december 2. | A III. melléklet szerinti önálló, magas kockázatú rendszerekre vonatkozó kötelezettségek (pl. hitelbírálat, biztosítási kockázatértékelés, toborzási és teljesítményértékelési rendszerek) | Elhalasztva (AI Omnibus) |
| 2028. augusztus 2. | A termékbiztonsági elemként működő AI-rendszerekre vonatkozó kötelezettségek | Elhalasztva (AI Omnibus) |
Kivétel nélkül érvényes kötelezettségek – itt és most
Az Omnibus csomag keretében történt halasztások nem érintik a rendelet teljes tartalmát. A szabályozás két kulcspillére már 2025. február 2-a óta jogilag alkalmazandó, így a vállalkozásoknak elsősorban ezekre kell összpontosítaniuk a figyelmüket.
A munkatársak kompetenciafejlesztése (4. cikk)
Ez az előírás elvárja a munkáltatóktól, hogy megfelelő tudást biztosítsanak a mesterségesintelligencia-eszközöket kezelő személyzet számára. A munkavállalóknak érteniük kell az algoritmusok működését, az adatbeviteli szabályokat, valamint a gépi döntéshozatalból eredő kockázatokat. Az uniós jogalkotó ezt a követelményt nem egyetlen, egyszeri képzésként kezeli: a kompetenciafejlesztésnek a belső vállalati eljárások állandó részét kell képeznie.
2026 augusztusától a felállított felügyeleti hatóságok megkezdik a hivatalos ellenőrzéseket. A 4. cikk által előírt képzések és eljárások igazolható hiányát súlyosbító körülményként veszik figyelembe a pénzbírságok kiszabásakor.
A tiltott gyakorlatok szigorú tilalma (5. cikk)
2025 eleje óta az Európai Unió teljes területén tilos a társadalmilag káros tevékenységekre szánt AI-rendszerek bevezetése és használata. A tilalom kiterjed a tudatalatti manipulációt, az emberi viselkedés tudattalan befolyásolását alkalmazó megoldásokra, valamint az úgynevezett társadalmi pontozásra (social scoring), vagyis az emberek megbízhatóságának értékelésére a mindennapi viselkedésük alapján. A szabályozás tiltja továbbá a munkavállalók munkahelyi érzelelemzésére szolgáló eszközök, valamint a nyilvános terekben használt, valós idejű távoli biometrikus azonosítás alkalmazását is.
Nem hivatalos szoftverhasználat és a jogi szerepkörök megoszlása
Óriási működési kockázatot jelent, ha a munkavállalók az IT-részleg tudta nélkül használnak ingyenes, nyilvánosan elérhető tartalomgyártó szoftvereket vagy bővítményeket (ez az úgynevezett Shadow AI). Bizalmas pénzügyi dokumentumok, ügyfél-adatbázisok vagy kereskedelmi szerződések nem engedélyezett asszisztensekbe történő feltöltése azonnali információszivárgási veszélyt, GDPR-sértést és üzleti titoksértést von maga után.
A jogi felügyelet szempontjából teljesen mindegy, hogy egy adott technológiát a vezetőség hivatalosan vásárolt-e meg, vagy azt az egyik munkavállaló önállóan kezdte el használni.
Ezzel párhuzamosan az AI Act pontosan különbséget tesz a jogi felelősség tekintetében aszerint, hogy az adott szereplő milyen feladatot tölt be a technológiai ökoszisztémában. A szabályozás az alábbi két fő szerepkört különbözteti meg:
- Alkalmazó (deployer): Az a szervezet, amely saját működése során külső cég által biztosított, kész AI-eszközt használ (például egy automatikus hitelképesség-számító programot vagy egy toborzást támogató rendszert).
- Szolgáltató (provider): Az a szereplő, amely az AI-rendszert tervezi, fejleszti, majd saját nevén vagy védjegyével a piacra dobja.
Itt azonban rejtőzik egy jogi csapda: ha egy szervezet vásárol egy kész szoftvert egy külső cégtől, de azon jelentős módosításokat hajt végre, vagy megváltoztatja annak eredeti rendeltetését, a rendelet értelmében már nem számít puszta alkalmazónak. Ilyenkor automatikusan átvállalja a szolgáltatóra vonatkozó teljes jogi és pénzügyi felelősséget.
Az alábbi két nagyon konkrét példa jól szemlélteti, mikor válik egy szervezet alkalmazóból (deployer) szolgáltatóvá (provider):
1. példa – Az eszköz rendeltetésének megváltoztatása (pl. a HR osztályon)
Egy vállalat, amely licencet vásárolt egy általános célú LLM modellre / szöveges asszisztensre – amelyet egyszerű irodai feladatokra (pl. munkaköri leírások írására vagy e-mailek szerkesztésére) fejlesztettek ki és szántak –, a rendszeralkalmazó (deployer) szerepét tölti be.
Ha azonban a vállalaton belüli HR osztály ezt a modellt integrálja a saját adatbázisaival, és úgy módosítja, hogy az a toborzási folyamat során automatikusan elemzést végezzen, pontozzon és rangsorolja a jelöltek önéletrajzait, a szervezet megváltoztatja a technológia eredeti rendeltetését. Mindez azért történik, mert az AI Act (mesterséges intelligenciáról szóló uniós rendelet) értelmében a munkavállalók toborzása és kiválasztása nagy kockázatú területnek minősül. A törvény értelmében ez a vállalat így egy nagy kockázatú rendszer szolgáltatójává válik.
2. példa – Mélyreható műszaki módosítás (finomhangolás) a pénzügyi szektorban
Egy bank vagy hitelintézet egy külső IT-cégtől vásárol egy kész analitikai szoftvert. Ezt követően a belső IT-csapat jelentős módosítást (finomhangolást) hajt végre rajta: a modellt saját, egyedi történeti adatbázisain tanítja be, és megváltoztatja a hitelbírálati algoritmusokat.
Ezen módosítás eredményeként a rendszer önállóan kezdi meghozni vagy közvetlenül meghatározni a hitelminősítési döntéseket. Az algoritmusa működésébe való mélyreható beavatkozás miatt a szoftver eredeti szállítója a továbbiakban már nem felel a végső eredményért – a szolgáltatót terhelő teljes jogi és pénzügyi felelősséget a bank veszi át.
Mit jelent egy ilyen szerepváltozás a gyakorlatban a vállalat számára?
A szolgáltatói szerep átvétele azt jelenti, hogy a szervezet nem korlátozódhat csupán a használati útmutató követésére. A saját költségén köteles többek között létrehozni és fenntartani a teljes műszaki dokumentációt, valamint egy kockázatkezelési rendszert, le kell folytatnia a formális megfelelőségértékelést, továbbá az AI Act 49. cikkével összhangban regisztrálnia kell a rendszert az EU központi adatbázisában.
A tájékozatlanság ára, avagy a valós pénzügyi kockázatok
Az Európai Unió mesterséges intelligenciáról szóló rendeletében (AI Act) foglalt követelmények megsértése többek között súlyos bírságokat von maga után. Ezek mértéke közvetlenül a jogsértés súlyától, valamint a vállalkozás előző évi üzleti árbevételétől függ:
- Téves vagy megtévesztő információk átadása a felügyeleti hatóságoknak – a bírságok elérhetik a 7,5 millió eurót vagy az előző üzleti év árbevételének 1%-át.
- A rendszeralkalmazók vagy szolgáltatók kötelezettségeinek megszegése nagy kockázatú rendszereknél, valamint az átláthatóság hiánya – a bírságok elérhetik a 15 millió eurót vagy a globális árbevétel 3%-át.
- Tiltott mesterségesintelligencia-gyakorlatok alkalmazása (5. cikk) – a bírság összege elérheti a 35 millió eurót, vagy a vállalkozás teljes, előző üzleti évi globális árbevételének 7%-át.
A vállalkozásoknak figyelembe kell venniük, hogy a megadott összegek a felső határt jelzik, és nem automatikusan kiszabott tételeket jelentenek. A felügyeleti hatóságok a jogsértés értékelésekor figyelembe veszik mulasztás mértékét, a szabályszegés időtartamát, az eddigi együttműködési készséget, valamint azt, hogy a vállalat tett-e jóhiszemű kísérletet a megfelelőségi eljárások dokumentálására.
A pénzbírságokon túl a piacfelügyeleti hatóságok jogosultak az adott eszköz használatának azonnali felfüggesztését is elrendelni a szervezeten belül. Ezt egészítik ki a reputációs veszteségek, valamint a munkavállalók vagy ügyfelek által polgári úton érvényesíthető egyéni kártérítési igények.
Hogyan vezessük be biztonságosan a mesterséges intelligenciát a vállalatnál?
A nem hivatalos szoftverekből eredő problémákra nem az új technológiák szigorú tilalma jelenti a megoldást, hanem egy biztonságos, auditált munkakörnyezet kialakítása.
A strukturált megközelítés jó példája a Gemini asszisztenssel kiegészített Google Workspace megoldás bevezetése. A munkavállalók által a rendszerbe bevitt adatokat nem használják fel a nyilvános mesterségesintelligencia-modell képzésére, és harmadik fél számára sem teszik hozzáférhetővé. Az adatfeldolgozás az európai adatvédelmi szabványoknak megfelelően történik, a szervezeten belüli hozzáférési jogosultságok átlátható megosztásával.
Ezzel párhuzamosan elengedhetetlen az szervezeti felügyeleti struktúra létrehozása is. A jogi, IT, pénzügyi és HR-osztályok képviselőinek közösen kell kidolgozniuk az új eszközök jóváhagyási szabályait.
Az embereket érintő folyamatok esetében kulcsfontosságú az emberi felügyelet (human in the loop) biztosítása. A gép által generált javaslatokat – például a álláskerékelők értékelését vagy a szolgáltatások árazását – minden esetben egy kijelölt munkavállalónak kell felülvizsgálnia, és ő hozza meg a végleges döntést.
A szervezet AI Act-re történő felkészülésének folyamata 2026-ra
A vállalat eredményes felkészítése az AI Act követelményeire több szervezeti lépés megtételét igényli, meghatározott sorrendben.
- Végezze el a szoftverek teljes körű leltározását. Írja össze az összes üzleti egységben használt, MI-algoritmussal működő eszközt – különös tekintettel a munkavállalók által önhatalmúan bevezetett alkalmazásokra (úgynevezett Shadow AI).
- Ellenőrizze az alkalmazott folyamatokat. Vizsgálja felül a vállalat működését az 5. cikkben szereplő tiltott gyakorlatok szempontjából (pl. munkahelyi érzelemjelző rendszerek, tudatalatti befolyásolás).
- Indítson kompetenciafejlesztő programot (4. cikk). Szervezzen meg és dokumentáljon egy folyamatos képzési ciklust a teljes személyzet számára a biztonságos AI-használatról.
- Értékelje a vállalat szerepét és a modellmódosítások mértékét. Határozza meg, hogy a szervezet csupán rendszeralkalmazóként (deployer) van-e jelen, vagy – az általános célú modellek mélyreható módosítása vagy finomhangolása (fine-tuning) révén – átveszi-e a szolgáltató (provider) kötelezettségeit.
- Tekintse át a beszállítói szerződéseket. Vizsgálja felül és frissítse a megállapodásokat a felelősségi záradékok, a bemeneti adatok minősége, a műszaki dokumentáció, valamint az incidensbejelentési eljárások tekintetében.
- Vezesse be a belső AI-szabályzatot és az emberi felügyeleti eljárásokat. Dolgozza ki az algoritmikus döntések munkatársak általi felülvizsgálatára (Human in the Loop), a bizalmas információk védelmére, valamint a szintetikus tartalmak digitális megjelölésére (50. cikk) vonatkozó szabályokat.
- Regisztrálja a rendszereket és tervezze meg az éves auditokat. Jelentse be a nagy kockázatú rendszereket az EU hivatalos adatbázisába (a 49. cikknek megfelelően), és állítson össze egy ütemtervet a rendszeres megfelelőségi vizsgálatokhoz.
A mesterséges intelligencia biztonságos bevezetése az FOTC-vel
A vállalat felkészítése a jogszabályi követelményekre nem jelenti azt, hogy le kell mondani az innovációról. Az FOTC szakértői csapata a biztonságos technológiai adaptáció minden szakaszában támogatást nyújt a szervezeteknek.
- Bevezetjük és konfiguráljuk a zárt Google Workspace ökoszisztémát a Gemini asszisztenssel, garantálva a feldolgozott információk teljes körű bizalmasságát.
- Segítünk a szoftverek felmérésében, azonosítjuk a biztonsági hiányosságokat, és megszüntetjük a nem engedélyezett eszközök jelentette fenyegetéseket..
- Felkészítjük a munkatársakat a digitális asszisztensek biztonságos használatára, így segítve a 4. cikkely szerinti, készségfejlesztésre vonatkozó hivatali követelmények teljesítését.
Töltse ki a weboldalunkon található kapcsolatfelvételi űrlapot, és egyeztessen ingyenes konzultációt a FOTC tanácsadójával!
Gyakran Ismételt Kérdések (GYIK)
Vonatkoznak az AI Act előírásai a kis- és középvállalkozásokra is?
Igen. A rendelet hatályát a mesterséges intelligencia-rendszer használati célja és az emberekre gyakorolt hatása határozza meg, nem pedig a szervezet mérete vagy tőkéjének nagysága. Egy algoritmusokat használó, jelölteket értékelő kis rekrutációs cégre ugyanolyan mértékben vonatkoznak a követelmények, mint egy nagyvállalatra.
Miben különbözik az AI Act a GDPR-tól ?
A GDPR a személyes adatok és a magánszemélyek magánéletének védelmére összpontosít. Az AI Act ezzel szemben maguknak a mesterséges intelligencia-rendszereknek a biztonságos tervezését, bevezetését és használatát szabályozza, különös tekintettel a műszaki kockázatok minimálisra csökkentésére és az alapvető jogok védelmére.
Mikor köteles egy cég tájékoztatni az ügyfelet arról, hogy bottal beszélget?
A 50. cikk szerinti tájékoztatási kötelezettség azonnal, az első interakció során keletkezik. Egy webáruházat kiszolgáló virtuális tanácsadónak vagy chatbotnak már a beszélgetés legelején, egyértelműen kommunikálnia kell az ügyféllel a mesterséges (szintetikus) jellegét. Az ÁSZF-ben vagy szabályzatban elrejtett információ nem elegendő.