AI Act kockázati besorolás: mi vonatkozik rád?
Az AI Act az Európai Unió mesterséges intelligenciáról szóló rendelete, és nem csak az MI-fejlesztőket érinti: a magyar kkv-t is, ha MI-rendszert használ. Ebből az útmutatóból megtudod, milyen kockázati szintek vannak, mikortól mi érvényes, és hogyan sorold be a saját rendszereidet.
Mi az AI Act,
és kire vonatkozik?
Az AI Act hivatalosan az Európai Unió (EU) 2024/1689 rendelete, magyarul MI-rendelet. Ez a világ első átfogó mesterségesintelligencia-szabályozása. A lényege: minél nagyobb kárt okozhat egy MI-rendszer, annál szigorúbb szabályt kell betartani.
A rendelet közvetlenül hatályos minden tagállamban, így az AI Act magyar cégekre is vonatkozik. A szabályok a szereped szerint térnek el:
- Szolgáltató (provider): aki MI-rendszert fejleszt vagy fejlesztet, és a saját nevén forgalmazza.
- Alkalmazó (deployer): aki MI-rendszert a saját tevékenységében használ. A legtöbb magyar kkv ide tartozik.
- Importőr és forgalmazó: aki uniós piacra hoz be vagy továbbad harmadik országbeli MI-rendszert.
Figyelj erre: ha egy kész MI-eszközt a saját neveden kínálsz, vagy lényegesen átalakítasz, szolgáltatónak minősülhetsz. A szerep az első kérdés, mert a kötelezettségek ahhoz igazodnak.
Ez az útmutató általános tájékoztatás. Egy konkrét rendszer besorolását mindig az adott használati cél határozza meg, és jogász bevonását is érdemes fontolóra venni.
Az AI Act hatálybalépése
és ütemezése
Az AI Act hatálybalépése fokozatos. A rendelet 2024. augusztus 1-jén lépett hatályba, de az egyes részeket később kell alkalmazni:
| Időpont | Mi válik alkalmazandóvá? |
|---|---|
| 2025. február 2. | A tiltott gyakorlatok és az MI-jártasságra vonatkozó elvárás |
| 2025. augusztus 2. | Az általános célú MI-modellek (GPAI) szabályai |
| 2026. augusztus 2. | A rendelet általános alkalmazása, benne az átláthatósági kötelezettségek |
| 2027. december 2. | A III. melléklet szerinti, önállóan működő nagy kockázatú rendszerek |
| 2028. augusztus 2. | Termékekbe épített, nagy kockázatú rendszerek (például orvostechnikai eszközök) |
A „digitális omnibusz” miatt a nagy kockázatú rendszerek határideje eltolódott: az eredeti, 2026. augusztusi dátum helyett a fenti időpontok érvényesek. Ezt az (EU) 2026/1744 rendelet rögzíti, amelyet 2026. július 24-én hirdettek ki. A jelenlegi állás szerint tehát nem 2026. augusztus 2-án, hanem később kell teljesíteni a nagy kockázatú kötelezettségeket. A tiltott gyakorlatok és a GPAI-szabályok viszont már élnek.
Van magyar végrehajtási jogszabály?
Van. A 2025. évi LXXV. törvény az MI-rendelet magyarországi végrehajtásáról szól, a hatóságok kijelölését pedig a 344/2025. (X. 31.) Korm. rendelet tartalmazza. A hazai piacfelügyeleti feladatokat az MI Piacfelügyeleti Hatóság látja el, amely a Tudományos és Technológiai Minisztérium szervezeti egysége. A hatáskörök változhatnak, ezért a hatóság oldalán és a Nemzeti Jogszabálytárban érdemes ellenőrizni az aktuális állapotot.
A négy kockázati szint
és az általános célú modellek
Az AI Act kockázati besorolás a rendszer használati céljából indul ki, nem a mögötte lévő technológiából.
| Szint | Példák | Mit jelent? |
|---|---|---|
| Elfogadhatatlan (tiltott) | Társadalmi pontozás, kiszolgáltatott helyzetet kihasználó manipuláció, érzelemfelismerés a munkahelyen és az oktatásban | Tilos használni és forgalmazni. |
| Nagy kockázatú | Toborzási és teljesítményértékelő rendszer, hitelképesség-értékelés, oktatási felvétel, kritikus infrastruktúra, bűnüldözés | Szigorú kötelezettségek: kockázatkezelés, emberi felügyelet, naplózás, dokumentáció. |
| Korlátozott | Chatbot, mélyhamisítás (deepfake), MI-generált kép és szöveg | Átláthatósági kötelezettség: jelezni kell, hogy MI-vel van dolga a felhasználónak. |
| Minimális | Spamszűrő, játékokban használt MI, készletelőrejelzés | Nincs külön kötelezettség, önkéntes magatartási kódex ajánlott. |
A nagy kockázatú területeket a rendelet III. melléklete sorolja fel: biometria, kritikus infrastruktúra, oktatás, foglalkoztatás, alapvető szolgáltatások (például hitelbírálat), bűnüldözés, migráció és igazságszolgáltatás.
Az általános célú MI-modellek (GPAI), például a nagy nyelvi modellek, külön szabályt kapnak. Ezek főként a modell szolgáltatóját terhelik. Alkalmazóként is érdemes tudnod, hogy a beszállítód teljesíti-e őket.
Hogyan sorold be a saját
MI-használatodat?
Öt lépés, amelyet bármelyik cégnél végig lehet járni. A végén tudni fogod, mire kell figyelned.
Leltár
Gyűjtsd össze, milyen MI-eszközt használ a cég: chatbotot, szövegíró és fordító eszközt, toborzási szoftvert, ügyfélszolgálati rendszert. Az „árnyék-MI” is számít, vagyis amit a kollégák maguk használnak.
Szerep meghatározása
Rendszerenként döntsd el, milyen szerepben vagy: szolgáltató, alkalmazó, importőr vagy forgalmazó. A legtöbb cég alkalmazó, de egy saját fejlesztésű MI-funkciónál szolgáltató is lehet.
Tiltott-e?
Ellenőrizd, hogy a használat nem esik-e a tiltott gyakorlatok közé, például a dolgozók érzelmeinek felismerése vagy manipulatív technikák. Ha igen, le kell állítani.
III. melléklet
Nézd meg, hogy a használati cél a nagy kockázatú területek közé tartozik-e. Egy önéletrajz-szűrő MI például foglalkoztatási terület, tehát nagy kockázatú lehet.
Átláthatóság
Végül nézd meg, érint-e az átláthatósági kötelezettség: beszélget-e az ügyféllel chatbot, készül-e MI-generált tartalom vagy mélyhamisítás. Ezeket jelölni kell.
Nagy kockázatú rendszer alkalmazóként: mit kell tenned?
- Használat az útmutató szerint — a szolgáltató utasításai szerint használd a rendszert, és csak a használati célhoz illő adatot add be neki.
- Emberi felügyelet — rendelj hozzá megfelelő képzettségű, döntési jogkörű embert, aki felülbírálhatja a rendszert.
- Naplózás — őrizd meg a rendszer által generált naplókat, legalább hat hónapig.
- Tájékoztatás — a munkahelyi használatról előre tájékoztasd a dolgozókat, az érintetteket pedig arról, hogy MI-rendszer hoz róluk döntést.
- Alapjogi hatásvizsgálat — ahol a rendelet előírja (például közszolgáltatást nyújtóknál, hitelbírálatnál), első használat előtt el kell végezni.
- Súlyos incidens bejelentése — jelezd a szolgáltatónak és a hatóságnak.
A legtöbb cég nem tudja, hány MI-eszközt használ. Egy egyszerű táblázat — eszköz, felelős, adatok, használati cél — már fél munka. A besorolás ebből egy délután alatt elkészül.
ISO 42001 és GDPR:
mi a kapcsolat?
ISO 42001
Az ISO 42001 az MI-irányítási rendszer nemzetközi szabványa. Nem helyettesíti az AI Actet, de ugyanazokat a folyamatokat építi fel: kockázatkezelés, felelősségi körök, dokumentáció, folyamatos ellenőrzés. Aki a szabvány szerint működik, az AI Act-megfeleléshez is jó alapot kap.
GDPR
Ha az MI személyes adatot dolgoz fel, a GDPR is érvényes, az AI Act mellett. A két szabályozás kiegészíti egymást: az adatkezelési nyilvántartás, az adatvédelmi hatásvizsgálat és a döntések magyarázhatósága mindkettőnél számít.
Teendők 2026-ban,
és hogyan segít az ABSEC
A nagy kockázatú határidők tolódtak, a felkészülésnek viszont most van értelme. A tiltott gyakorlatok és a GPAI-szabályok már érvényesek, az átláthatósági kötelezettségek 2026. augusztus 2-től kötelezőek, a legtöbb generatív rendszernél a jelölési türelmi idő 2026. december 2-ig tart. Ebben segítünk:
- MI-leltár — feltérképezzük, mit használ a cég, kik a felelősök, milyen adat érintett.
- Besorolás — rendszerenként meghatározzuk a szerepet és a kockázati szintet, indoklással.
- Kockázatértékelés — megnézzük, hol kell emberi felügyelet, naplózás, tájékoztatás.
- Szabályzat — megírjuk az MI-használati szabályzatot és a felelősségi köröket.
- ISO 42001-felkészítés — ha a tanúsítás is cél, a szabvány követelményei szerint építjük fel a rendszert.
A részleteket az AI Act-megfelelés oldalon találod.
Olvass tovább
Mi az AI Act, és mikor lép hatályba?
Az AI Act az EU 2024/1689 rendelete, vagyis az MI-rendelet. 2024. augusztus 1-jén lépett hatályba, de fokozatosan kell alkalmazni: a tiltott gyakorlatokat 2025. február 2-től, az általános célú modellek szabályait 2025. augusztus 2-től. A nagy kockázatú rendszerek határideje a digitális omnibusz miatt 2027. december 2-ra, illetve 2028. augusztus 2-ra tolódott.
Érinti az AI Act a magyar kkv-kat?
Igen, ha használsz MI-rendszert, például chatbotot, toborzási szoftvert vagy MI-alapú ügyfélszolgálatot. Alkalmazóként is vannak kötelezettségeid: átláthatóság, emberi felügyelet, és nagy kockázatú rendszernél naplózás és tájékoztatás.
Hogyan sorolom be a saját MI-rendszeremet?
Először készíts leltárt, majd határozd meg a szerepedet. Ezután ellenőrizd, hogy a használat tiltott-e, a III. melléklet nagy kockázatú területei közé tartozik-e, és érint-e átláthatósági kötelezettséget. A besorolás mindig a használati célon múlik.
Van magyar AI Act-végrehajtási törvény és hatóság?
Van: a 2025. évi LXXV. törvény az MI-rendelet hazai végrehajtásáról szól, a hatóságokat a 344/2025. (X. 31.) Korm. rendelet jelölte ki. A piacfelügyeleti feladatokat az MI Piacfelügyeleti Hatóság látja el. A hatáskörök változhatnak, ezért érdemes a hatóság oldalán ellenőrizni az aktuális állapotot.
Szükségem van ISO 42001-tanúsítványra az AI Act miatt?
Nem, az AI Act nem írja elő. Az ISO 42001 viszont rendszerbe foglalja azokat a folyamatokat, amelyeket a rendelet is elvár, ezért a megfelelésnek jó alapja, és bizonyíték is lehet a partnereid felé.
Nem tudod, melyik
MI-rendszered érintett?
Átnézzük a használt eszközöket, és megmondjuk, melyikre milyen szabály vonatkozik. Az első beszélgetés után lesz egy világos teendőlistád.