Mit jelent a gyakorlatban az AI Act
Mire kell számítani a szervizköltségek terén
- AI az üzletben
Nem kell MI-t fejlesztened ahhoz, hogy az AI Act rád vonatkozzon. Elég, ha használsz olyan MI-t, aminek a kimenete elér egy személyt az Európai Unióban, akkor is, ha a céged székhelye Budapesten, Bécsben vagy az EU-n kívül van. Az AI Act, az Európai Unió mesterséges intelligenciáról szóló rendelete a világ első átfogó MI-szabályozása, és messzebbre nyúlik, mint a legtöbb vezető gondolná.
Egy tiltott rendszer működtetése akár 35 millió euróba vagy a globális éves árbevétel hét százalékába is kerülhet, ez a GDPR négyszázalékos plafonja fölé nyúlik.
Kockázati szintekre épülő szabályozás
Az AI Act a felhasználási cél és annak lehetséges ártalma szerint rendezi az MI-rendszereket: minél nagyobb a kockázat, annál több kötelezettség társul hozzá. A teljes képet négy szint írja le.
- Minimális kockázat: itt kezdődik a skála, és a mindennapi üzleti MI túlnyomó része ide esik, a levélszemétszűrőtől a legtöbb irodai eszközig. Ezekhez a rendelet nem fűz új kötelezettséget.
- Korlátozott kockázat (átláthatóság): eggyel feljebb azok a rendszerek állnak, amelyekkel az emberek közvetlenül érintkeznek, például a chatbotok és a szintetikus tartalmat előállító eszközök. Itt a kötelezettség a tájékoztatás: jelezni kell, hogy a felhasználó MI-vel áll szemben, és címkézni kell az MI által generált tartalmat.
- Magas kockázat: innentől komolyodik a megfelelés. Ide tartoznak az információérzékeny területek, a toborzás és a munkavállalók értékelése, a hitelbírálat és az alapvető szolgáltatások, a biometria, a kritikus infrastruktúra, az oktatás, a bűnüldözés, a migráció és az igazságszolgáltatás. A megfelelési teher zöme itt jelentkezik.
- Elfogadhatatlan kockázat (teljes tiltás): a skála teteje, amit a rendelet egyszerűen betilt. Ide tartozik a társadalmi pontozás, a tudatalatti vagy manipulatív, kárt okozó technikák, a sérülékeny csoportok kihasználása, az arcképek válogatás nélküli gyűjtése arcfelismerő adatbázisokhoz, az érzelemfelismerés a munkahelyen és az oktatásban, valamint a valós idejű biometrikus azonosítás bizonyos esetei. Ezek 2025 februárja óta tiltottak.
A besorolás a gyakorlatban ritkán magától értetődő. Két úton lehet egy rendszer nagy kockázatú: önállóan működő rendszerként a III. melléklet felsorolása alapján, vagy egy szabályozott termékbe, például gépbe vagy orvostechnikai eszközbe épített biztonsági alkotórészként az I. melléklet szerint. A döntés a rendeltetési célon, a funkción és a tényleges használati környezeten múlik, ezért ugyanaz a technológia két cégnél két különböző kategóriába eshet.
Ebből fakad a leggyakoribb hiba: a besorolás szóban dől el. Az „ez csak egy chatbot” megállapítás önmagában nem jogi elemzés. Egy általános kérdésekre válaszoló belső asszisztens más megítélés alá esik, mint egy önéletrajzokat rangsoroló, kárigényeket besoroló vagy hitelképességet értékelő rendszer. Ha nincs írásba foglalt, jóváhagyott indoklás arról, miért marad egy rendszer a nagy kockázatú kategórián kívül, a döntés egy hatósági kérdésnél nehezen védhető.
Egy dolgot érdemes külön észben tartani: az 50. cikk átláthatósági kötelezettségei a kockázati szinttől függetlenül érvényesek bizonyos rendszerekre. Ha érzelemfelismerő vagy biometrikus kategorizáló rendszert használsz, vagy deepfake jellegű szintetikus tartalmat állítasz elő, a tájékoztatási kötelezettség akkor is fennáll, ha a rendszer egyébként a skála alsó felén helyezkedik el.
A kötelezettségeid a szerepedtől függenek
A rendelet a lánc minden résztvevőjét gazdasági szereplőnek tekinti. A szolgáltató fejleszti vagy lényegesen módosítja az MI-rendszert; a felhasználó a saját tevékenységeiben veti be; az importőrök és a forgalmazók az uniós piacra hozzák a megoldásokat. A legtöbb középvállalat felhasználó: licencel egy modellt vagy egy eszközt, és egy üzleti folyamatra állítja.
Kezdjük a leggyakoribb esettel: a felhasználóéval. Emberi felügyeletet kell biztosítania: olyan embernek kell a döntési folyamatban lennie, aki egy adott kimenetet a helyén felül tud bírálni vagy le tud állítani, mielőtt az érvénybe lép. Ez az egyes esetek szintjén működő kontroll.
Felügyelni kell a rendszert éles működés közben is. Itt már nem egy-egy döntést, hanem a rendszer egészének viselkedését kell valós időben figyelni: keresni kell a szisztematikus hibákat, a torzításokat vagy a pontosság romlását, és jelezni kell a szállító felé, ha baj van. Végül de nem utolsó sorban nyilvántartást is kell vezetni: a rendszer által automatikusan generált naplókat meg kell őrizni, hogy utólag rekonstruálható és auditálható legyen, mi és miért történt.
A naplózásnak konkrét mércéje van. A rendszer által automatikusan generált naplókat a felhasználónak legalább hat hónapig meg kell őriznie, amennyiben azok az ő ellenőrzése alatt állnak, és ennél tovább, ha más uniós vagy tagállami jogszabály így kívánja. Érdemes még a szerződéskötés előtt tisztázni, hogy a szállító rendszere egyáltalán generál-e naplót, hozzáférsz-e, és beállítható-e a hat hónapos megőrzés.
A bemeneti adatokért is te felelsz. Amennyiben a bemeneti adat a te kezedben van, gondoskodnod kell arról, hogy az illeszkedjen a rendeltetési célhoz, és kellően reprezentatív legyen. Ha a rendszer működés közben kockázatot mutat, a használatot fel kell függesztened, és késedelem nélkül értesítened kell a szolgáltatót, valamint a piacfelügyeleti hatóságot. Súlyos incidens esetén a bejelentés azonnali.
Két tájékoztatási kötelezettséget szokás elfelejteni. Ha a munkahelyen vezetsz be nagy kockázatú rendszert, a munkavállalók képviselőit és az érintett munkavállalókat előzetesen tájékoztatnod kell. Ha pedig a rendszer a III. melléklet szerinti, természetes személyeket érintő döntést hoz vagy készít elő, magukat az érintetteket is tájékoztatni kell arról, hogy ilyen rendszer hatálya alá tartoznak.
Bizonyos felhasználóknak alapjogi hatásvizsgálatot is le kell folytatniuk az első használat előtt. Ez a kör a közjogi szerveket, a közszolgáltatást nyújtó magánszervezeteket, valamint a hitelképesség-értékelést, illetve az élet- és egészségbiztosítási kockázatértékelést és árazást végző rendszerek felhasználóit érinti. Ahol adatvédelmi hatásvizsgálat már készült, az alapjogi hatásvizsgálat kiegészíti azt.
És egy mondat, ami a pénzügyi vezetőnek szól: ezek a kötelezettségek szerződéssel nem háríthatók át. Az operatív feladatok kioszthatók a szállító felé, a rendeletbeli felelősség a felhasználónál marad. A szállító tanúsítványa vagy auditjelentése a saját bizonyítékaidat kiegészíti, a helyükbe azonban nem lép.
A másik véglet a szolgáltatói szerep, a legsúlyosabb kötelezettségekkel. Ide akkor kerülsz, ha magad fejlesztesz egy MI-rendszert, vagy egy meglévőt lényegesen átalakítasz. Ekkor kockázatkezelési rendszert kell működtetned, teljes műszaki dokumentációt kell összeállítanod, megfelelőségértékelést kell elvégezned, és a nagy kockázatú rendszert még a piacra lépés előtt regisztrálnod kell az uniós adatbázisban. A felhasználói és a szolgáltatói teher között jelentős a különbség, és egyáltalán nem mindegy, melyik oldalra kerülsz.
Egy buktatóra érdemes külön figyelni: egy modell alapos finomhangolása vagy jelentős módosítása átbillentheti a céget a felhasználói szerepből a szolgáltatóiba, a hozzá tartozó jóval nehezebb kötelezettségekkel együtt. Ha egy alapmodellt veszel, és egy szabályozott célra alakítod át, érdemes megvizsgálni, a határ melyik oldalára kerülsz.
Ehhez kapcsolódik egy elterjedt félreértés. Ha egy nagy nyelvi modellt alkalmazásprogramozási felületen (API) keresztül használsz, a modell szolgáltatójának kötelezettségei a modell szolgáltatójánál maradnak. A te felelősséged az a rendszer, amit fölé építettél, és aszerint minősülsz felhasználónak vagy szolgáltatónak, hogy mit csináltál vele.
Az AI használata és saját AI-rendszer fejlesztése között egyre nagyobb a különbség. Erről részletesebben is írtunk az A nyílttól a zárt platformokig: Megismétli az AI az internet történetét? → cikkünkben
Az MI-jártasság: a kötelezettség, ami már él
Miközben a figyelem a 2026-os és 2027-es dátumokra irányul, egy kötelezettség 2025. február 2. óta hatályban van. A 4. cikk szerint a szolgáltatóknak és a felhasználóknak gondoskodniuk kell arról, hogy a rendszereket kezelő munkatársaik megfelelő MI-jártassággal rendelkezzenek. A kötelezettség a nevükben eljáró külső közreműködőkre is kiterjed, és a leltárban szereplő minden eszközre vonatkozik, a más szoftverekbe beépített MI-funkciókat is beleértve.
Az MI-jártassági kötelezettség 2025. február 2. óta él, a felügyelete pedig 2026. augusztus 2-án indul.
A Digital Omnibus ezen a ponton enyhít: a szöveg a jártasság támogatására és fejlesztésére irányuló, arányos intézkedések felé mozdul el, vagyis gondossági kötelemmé alakul. A felügyelet és a végrehajtás ugyanakkor 2026. augusztus 2-án indul a nemzeti piacfelügyeleti hatóságoknál. A nagy kockázatú rendszerek felhasználóinál pedig változatlanul megmarad az a kötelezettség, hogy az emberi felügyeletet ellátó munkatársakat felkészítsék a feladatra.
A gyakorlatban ez szerep szerinti felkészítést jelent. Más tudásra van szüksége egy vezetőnek, aki döntéselőkészítő anyagot írat MI-vel, másra egy ügyfélszolgálati kollégának, aki hívásokat kezel vele, és megint másra egy fejlesztőnek, aki MI-funkciót épít a termékbe. Egy általános „mi az az MI” tréning egyik igényt sem elégíti ki. A dokumentálás itt is számít: ki, mikor, milyen felkészítést kapott.
A határidők a 2026-os változások után
A rendelet 2024. augusztus 1-jén lépett hatályba, és fokozatosan válik alkalmazandóvá. A tiltott gyakorlatok és az MI-jártassági kötelezettség 2025. február 2-án, az általános célú MI-modellek szabályai 2025. augusztus 2-án indultak. A következő nagy dátum 2026. augusztus 2.: ekkor válik alkalmazandóvá az 50. cikk átláthatósági kötelezettsége, az általános célú MI végrehajtási jogköre és a piacfelügyeleti hatáskör.
A bevezetési naptár 2026 közepén átrendeződött a Digital Omnibus érkezésével. Ez egy célzott módosítás-csomag. Az Európai Parlament 2026. június 16-án, az Európai Unió Tanácsa 2026. június 29-én hagyta jóvá; az utolsó lépés a Hivatalos Lapban való közzététel (2026 júliusára várható), és a szabályok az azt követő harmadik napon lépnek életbe. A csomag érintetlenül hagyja a kockázatalapú felépítést, és kitolja a legsúlyosabb határidőket:
- Az önállóan működő, nagy kockázatú rendszerekre (III. melléklet), például a toborzási vagy hitelbírálati eszközökre, 2027. december 2-től vonatkoznak a szabályok.
- A szabályozott termékekbe épített nagy kockázatú MI-re (I. melléklet), gépekbe, orvostechnikai eszközökbe, 2028. augusztus 2-től.
- A hozzájárulás nélküli intim képeket és a gyermekek szexuális bántalmazását ábrázoló anyagot előállító MI tilalma 2026. december 2-án lép életbe.
- Az MI által generált tartalom vízjelezési kötelezettsége szintén 2026. december 2-re tolódik.
- Az MI szabályozói tesztkörnyezetek tagállami felállításának határideje 2027. augusztus 2-re csúszik, és uniós szinten is indul egy tesztkörnyezet, amelyet az MI Hivatal (AI Office) működtet kkv-knak és induló vállalkozásoknak.
A gyakorlati olvasat egyszerű: a nagy kockázatú rendszerekkel dolgozó csapatok nagyjából tizenhat hónap plusz mozgásteret kaptak. Az átláthatósági kötelezettségek, az általános célú MI szabályai és a végrehajtási gépezet így is 2026 augusztusában érkeznek. A haladék arra jó, hogy rendesen felépítsd az irányítási keretet, aki jól használja ki, jóval a határidő előtt kész lesz.
Két pontosítás segít elkerülni a leggyakoribb félreértést. Az 50. cikk átláthatósági kötelezettségei a helyükön maradnak, és 2026. augusztus 2-án válnak alkalmazandóvá. A vízjelezésnél a négy hónapos haladék azokra a rendszerekre vonatkozik, amelyeket 2026. augusztus 2. előtt már forgalomba hoztak; nekik 2026. december 2-ig kell megfelelniük.
A halasztás oka gyakorlatias. A harmonizált szabványok nem készültek el, a bejelentett szervezetek nincsenek a helyükön, és a tagállamok egy része a hatóságok kijelölésével is elmaradt. A megfelelést támogató infrastruktúra hiányában a jogalkotó időt adott.
Egy fontos kikötés: amíg a csomag meg nem jelenik a Hivatalos Lapban, jogilag a rendelet eredeti szövege az irányadó. A tervezésnél tehát érdemes az eredeti dátumokra készülni, és a haladékot előnyszerzésre használni.
Mibe kerül a meg nem felelés
A bírságok fájdalmasok, és a jogsértés súlyához igazodnak. Egy tiltott rendszer működtetése akár 35 millió euróba vagy a globális éves árbevétel hét százalékába is kerülhet, amelyik a magasabb. A nagy kockázatú kötelezettségek megszegése elérheti a 15 millió eurót vagy a három százalékot. A hatóságoknak nyújtott téves vagy félrevezető információ pedig a 7,5 millió eurót vagy az egy százalékot. A legfelső sáv a GDPR négyszázalékos plafonja fölé nyúlik. A rendelet a kkv-kra és az induló vállalkozásokra arányos mértéket alkalmaz, így a kisebb cégek kisebb összegekkel számolhatnak.
A bírságokat a nemzeti piacfelügyeleti hatóságok szabják ki, a végrehajtási jogkörük 2026. augusztus 2-án éled fel. A felhasználói mulasztás önállóan is szankcionálható, a szolgáltatói jogsértéstől függetlenül. Ahol személyes adat is érintett, a GDPR szerinti eljárás ezzel párhuzamosan futhat, így ugyanaz az eset két hatóság előtt is végigmehet.
Magyarországon a keretet a 2025. évi LXXV. törvény és a 344/2025. (X. 31.) Korm. rendelet rakta le. Az MI piacfelügyeleti hatósági feladatokat és az egyedüli kapcsolattartó pont működtetését a vállalkozásfejlesztésért felelős miniszter látja el, a bejelentő hatóság a Nemzeti Akkreditáló Hatóság, a pénzügyi szektorban forgalomba hozott vagy használt nagy kockázatú rendszereket pedig a Magyar Nemzeti Bank felügyeli. A jogalkalmazás egységességét a Magyar Mesterséges Intelligencia Tanács segíti.
A hazai végrehajtási rendelet a bírságok felső határát rögzített forintösszegben adja meg, a rendeletben szereplő eurós értékeknek megfelelően. A tiltott gyakorlatokra vonatkozó plafon így 13,3 milliárd forint.
Ahol az AI Act adatkérdéssé válik
Ha végigolvasod a nagy kockázatú kötelezettségeket, kirajzolódik egy minta. A kockázatkezelés, az adatkormányzás, a műszaki dokumentáció, a naplózás és az emberi felügyelet mind egyetlen alapra épül: elég jól kell ismerned a saját adataidat és folyamataidat ahhoz, hogy le tudd írni, meg tudd védeni és auditálni tudd őket. Az a cég, amelyik nem tudja biztosan megmondani, honnan származik egy szám, nehezen fogja bizonyítani, hogy az arra épülő MI-rendszer korrekt, pontos és kézben tartott.
Ezt a helyzetet gyakran látjuk. A törzsadat egyszerre több rendszerben él, ugyanaz az ügyfél vagy termék három, kissé eltérő rekord alatt szerepel, és az ezekre épülő riportok ellentmondanak egymásnak. Ha erre ültetsz rá egy MI-rendszert, magabiztos válaszokat fog adni összefüggéstelen adatokból, és éppen ezt a hibát próbálják megelőzni a rendelet adatkormányzási szabályai.
A rendelet a nagy kockázatú rendszereknél nevesíti is az elvárást: a tanító, a validáló és a tesztadatoknak relevánsnak, kellően reprezentatívnak és a lehetőségekhez mérten hibamentesnek kell lenniük, a torzításokat pedig vizsgálni kell. Felhasználóként ennek a párja a bemeneti adat minősége, ami a te oldaladon dől el.
A megfelelési követelmény és az üzemeltetési javítás így ugyanaz a feladat: egyetlen, tiszta, jól kezelt igazságforrás az MI alatt. Aki a törzsadatot rendbe teszi, egyszerre old meg egy szabályozási és egy működési problémát, és a befektetés a riportok minőségében is megtérül.
A gyenge adatirányítás gyakran a valódi akadálya az AI-megfelelőségnek. Erről részletesebben is írtunk a Melyik a hiteles ügyfélrekord? → cikkünkben
Első lépések egy középvállalatnak
A munka rövid sorozatra bontható, amit bármelyik vezetői csapat elkezdhet már most:
- Vedd leltárba az összes használatban lévő vagy beszerzés alatt álló MI-rendszert, beleértve a licencelt szoftverekbe épített eszközöket is.
- Sorold be mindegyiket kockázati szint és a saját szereped (szolgáltató vagy felhasználó) szerint az adott rendszernél.
- A nagy kockázatú eseteknél mérd fel a rést a rendelet követelményeihez képest, és rendelj hozzá felelőst.
- A chatbotokhoz és a generatív eszközökhöz készítsd elő a 2026-ban esedékes átláthatósági és címkézési tájékoztatást.
- Fektesd le írásban az MI-irányítási kereteidet, adatkormányzás, emberi felügyelet, dokumentáció, hogy egy hatósági kérdésnél igazolni tudd a munkátokat.
- Készíts írásos besorolási indoklást minden rendszerhez, és fogadtasd el a döntést. Egy hatósági kérdésnél ez a dokumentum lesz az első, amit elkérnek.
- Nézd át a szállítói szerződéseket és a használati útmutatókat.
- Ellenőrizd a naplózási képességet, a naplókhoz való hozzáférést és a legalább hat hónapos megőrzést.
Indíts szerep szerinti MI-jártassági programot, és dokumentáld, ki mikor milyen felkészítést kapott. - Rendelj incidenskezelési útvonalat a nagy kockázatú rendszerekhez: ki függeszti fel a használatot, ki értesíti a szolgáltatót és a hatóságot, és milyen határidővel.
A beszerzés külön figyelmet érdemel. A nagyvállalati vevők már most beleírják a szerződéseikbe az AI Act-megfelelést, úgyhogy a tiszta megfelelés egyre inkább feltétele az uniós üzletek megnyerésének.
A beszerzési oldalon két kérdés viszi előre a tárgyalást. Az első: melyik szerepben vagyunk ennél a rendszernél, és mi történik, ha finomhangoljuk. A második: milyen bizonyítékot ad a szállító a saját megfeleléséhez, és mit kell nekünk magunknak előállítanunk. Aki ezt a két kérdést időben felteszi, később megspórolja a hiányzó dokumentáció utólagos pótlását.
A tanulság
Az AI Act szakaszokban érkezik, jutalmazza a felkészülést, és bünteti a sodródást. A friss határidő-változások időt adtak a legsúlyosabb kötelezettségekre, az irány pedig rögzített: minden cégnek, amely az EU-ban vagy az EU számára használ MI-t, dokumentált, védhető irányítási keretre lesz szüksége. Aki üzemeltetési és adatprojektként kezeli mindezt, és korán belefog, annak a megfelelés jórészt egy jól szervezett működés természetes velejárója lesz.
A gyakorlati sorrend ettől függetlenül egyszerű. Előbb tudd meg, mid van, aztán azt, milyen szerepben vagy, és csak ezután kezdj kötelezettségeket teljesíteni. A leltár és a besorolás nélkül minden további lépés találgatás. A kettő megléte után pedig a feladat java már ismerős vállalatirányítási munka: felelősök, folyamatok, dokumentáció, adatminőség.
Hol érdemes kezdeni
Ha az AI Act az Önök napirendjére került, és még nem világos a következő lépés, a leggyorsabb kiindulópont egy strukturált felmérés. Az AI Compass Audit négyhetes, fix díjas folyamat, amely feltérképezi a cégük MI-használatát, kockázati kitettségét és rendszerkörnyezetét, és a végén világos képet ad arról, mely kezdeményezéseket érdemes vinni, milyen feltételekkel és milyen biztosítékokkal. Ha előbb a kérdéseit szeretné tisztázni, egy ingyenes 30 perces konzultációval is kezdhet.
Források
- Az Európai Unió Tanácsa. (2026. június 29.). Artificial intelligence: Council adopts the Digital Omnibus package. Az Európai Unió Tanácsa. Cikk megnyitása →
- Európai Bizottság. (é. n.). AI Act Service Desk: Article 26 – Responsibilities of deployers. Európai Bizottság. Cikk megnyitása →
- Európai Bizottság. (é. n.). AI Act Service Desk: Article 99 – Penalties. Európai Bizottság. Cikk megnyitása →
- Európai Bizottság. (é. n.). AI Act Service Desk: Implementation Timeline. Európai Bizottság. Cikk megnyitása →
- Európai Bizottság. (é. n.). AI literacy: Questions and answers. Európai Bizottság. Cikk megnyitása →
- Grant Thornton Hungary. (2025). AI Act: Institutional implementation. Grant Thornton Hungary. Cikk megnyitása →
- Magyarország. (2025). 2025. évi LXXV. törvény és 344/2025. (X. 31.) Korm. rendelet. Nemzeti Jogszabálytár. Cikk megnyitása →
Fekszi Csaba
Fekszi Csaba informatikai szakértő, több mint két évtizedes tapasztalattal az adatmérnökség, a rendszerarchitektúra és az Mesterséges Intelligencia alapú folyamatoptimalizálás területén. Munkájának középpontjában olyan skálázható megoldások tervezése áll, amelyek mérhető üzleti értéket teremtenek.
Kapcsolódó cikkek
A felszín alatti 70%, amit a legtöbb ajánlat nem mutat meg
A vállalati mesterséges intelligencia valódi akadályai, és hogy mit csinálnak másképp a sikeres cégek
Biztos benne, hogy az AI a megfelelő következő lépés?
Segítünk feltárni a valódi lehetőségeket, korlátokat és a reális következő lépéseket.