A mesterséges intelligencia már nem kizárólag a technológiai vállalatok belügye. Egyre több magyar vállalkozás használ ChatGPT-t, Microsoft Copilotot, Geminit, Canvát, automatikus ügyfélszolgálati rendszereket, szöveg- és képgenerátorokat vagy mesterséges intelligenciával támogatott toborzási, értékesítési és ügyviteli megoldásokat.
Az eszközök használata gyorsan terjed, a szabályozás pedig most kezdi utolérni a gyakorlatot. Az Európai Unió mesterséges intelligenciáról szóló rendelete, közismert nevén az AI Act, több lépcsőben válik alkalmazandóvá. A következő jelentős határnap 2026. augusztus 2., amikor a rendelet szabályainak újabb, széles vállalkozói kört érintő részei lépnek működésbe.
Ez nem jelenti azt, hogy minden olyan vállalkozásra ugyanazok a követelmények vonatkoznak, amelynek valamelyik munkatársa megnyitja a ChatGPT-t. A kötelezettségeket az határozza meg, hogy a cég milyen mesterségesintelligencia-rendszert, milyen célra és milyen szerepkörben használ.
A felkészülést azonban már nem érdemes tovább halogatni. Az első feladat nem egy százoldalas szabályzat elkészítése, hanem annak feltérképezése, hogy hol és hogyan használ mesterséges intelligenciát a vállalkozás.
Mi az AI Act?
Az AI Act az Európai Unió mesterséges intelligenciára vonatkozó átfogó rendelete. Célja, hogy egységes szabályokat állapítson meg az MI-rendszerek fejlesztésére, forgalomba hozatalára és használatára, miközben védi az emberek biztonságát, alapvető jogait és személyes adatait.
A rendelet 2024. augusztus 1-jén lépett hatályba, de rendelkezései fokozatosan válnak alkalmazandóvá. A tiltott mesterségesintelligencia-gyakorlatokra és az MI-műveltségre vonatkozó egyes előírások már korábban életbe léptek, a rendelet szabályainak jelentős része pedig 2026. augusztus 2-től alkalmazandó.
A szabályozás alapvetően kockázatalapú. Nem minden mesterségesintelligencia-rendszert kezel ugyanolyan szigorúan. Más szabályok vonatkoznak egy egyszerű szövegjavító alkalmazásra, és mások egy olyan rendszerre, amely állásra jelentkezőket értékel, hitelképességet vizsgál vagy biometrikus adatokat elemez.
Mi változik 2026. augusztus 2-től?
A rendelet általános alkalmazási időpontja 2026. augusztus 2. Ettől kezdve többek között az AI-rendszerek átlátható használatához kapcsolódó rendelkezések is közvetlenebb gyakorlati jelentőséget kapnak.
A szabályok egyik lényeges eleme, hogy bizonyos esetekben az érintett személyt tájékoztatni kell arról, hogy mesterséges intelligenciával lép kapcsolatba.
Ez különösen akkor lehet fontos, ha egy vállalkozás:
- automatikus ügyfélszolgálati chatbotot működtet;
- MI-alapú telefonos vagy hangalapú asszisztenst használ;
- mesterséges intelligenciával generált képet, videót vagy hangfelvételt tesz közzé;
- úgynevezett deepfake-tartalmat használ;
- közérdekű témáról mesterséges intelligenciával létrehozott vagy manipulált tartalmat publikál;
- érzelemfelismerő vagy biometrikus kategorizálást végző rendszert alkalmaz.
A rendelet az MI-rendszerek szolgáltatói és egyes alkalmazói számára eltérő kötelezettségeket állapít meg. Emiatt minden vállalkozásnak először azt kell tisztáznia, hogy pusztán felhasználója egy külső szolgáltatásnak, saját nevében alkalmaz MI-rendszert, vagy maga fejleszt, alakít át, illetve kínál ilyen rendszert mások számára.
Nem minden ChatGPT-használat jelent magas jogi kockázatot
Sok vállalkozás ma elsősorban szövegek vázlatolására, ötletelésre, fordításra, összefoglalásra vagy adminisztratív feladatok gyorsítására használ generatív mesterséges intelligenciát.
Az ilyen használat önmagában általában nem teszi a vállalkozást magas kockázatú MI-rendszer szolgáltatójává. Ettől még szükség van belső szabályokra, mert az alkalmazottak üzleti titkot, személyes adatot, ügyféladatot vagy bizalmas szerződéses információt is bemásolhatnak a rendszerbe.
A valódi kérdés tehát nem csak az, hogy használ-e a cég mesterséges intelligenciát, hanem az is, hogy:
- milyen adat kerül a rendszerbe;
- milyen eredményt állít elő;
- ki ellenőrzi az eredményt;
- születik-e az eredmény alapján személyeket érintő döntés;
- tudják-e az ügyfelek, hogy MI-rendszerrel kommunikálnak;
- megmarad-e az emberi kontroll.
Egy marketingötlet összeállítása és egy állásra jelentkező automatikus rangsorolása jogilag egészen más ligában játszik. Ugyanaz a technológiai címke kerül rájuk, de a kockázati térképük nem ugyanaz.
Az MI-műveltség már most is vállalati feladat
Az AI Act előírja, hogy az MI-rendszerek szolgáltatói és alkalmazói tegyenek intézkedéseket annak érdekében, hogy a rendszereket használó munkatársaik megfelelő szintű MI-műveltséggel rendelkezzenek.
Ez nem feltétlenül jelent kötelező, hatóság által előírt tanfolyamot vagy vizsgát. A szükséges tudásszintet a munkatárs tapasztalata, feladata, az alkalmazott rendszer és annak kockázata alapján kell meghatározni.
Egy olyan kollégának, aki mesterséges intelligenciával közösségimédia-posztokat készít, más ismeretekre van szüksége, mint annak, aki a rendszer segítségével munkavállalókat értékel vagy ügyfelek pénzügyi adatait elemzi.
A vállalkozásnak célszerű dokumentálnia:
- milyen MI-eszközöket használ;
- kik férnek hozzá ezekhez;
- milyen célból alkalmazzák őket;
- milyen oktatást vagy belső tájékoztatást kaptak a munkatársak;
- milyen feladatoknál kötelező az emberi ellenőrzés;
- milyen adatokat tilos az MI-rendszerbe feltölteni.
A dokumentálás azért is fontos, mert egy későbbi ellenőrzés vagy jogvita során nem elég azt állítani, hogy a munkatársakat szóban figyelmeztették. Egy rövid képzési jegyzőkönyv, belső útmutató vagy oktatási napló sokkal erősebb bizonyíték.
Különösen érzékeny terület a munkaügy és a toborzás
Az AI Act magas kockázatúnak minősíthet bizonyos, foglalkoztatással kapcsolatos MI-rendszereket. Ide tartozhatnak azok a megoldások, amelyek például:
- önéletrajzokat rangsorolnak;
- álláspályázókat szűrnek;
- interjúk vagy tesztek alapján értékelik a jelentkezőket;
- munkavállalók teljesítményét figyelik vagy értékelik;
- előléptetésről, feladatkiosztásról vagy munkaviszony megszüntetéséről szóló döntéseket támogatnak.
Az ilyen rendszerek használatánál nem elég arra hagyatkozni, hogy a szolgáltató „AI-alapú HR-szoftverként” értékesíti a terméket. A munkáltatónak meg kell vizsgálnia a rendszer rendeltetését, működését, dokumentációját és azt is, hogy az eredmény mennyiben befolyásolja a munkavállaló vagy jelentkező helyzetét.
Külön kockázatot jelenthet, ha a rendszer korábbi vállalati adatokból tanul, amelyek eleve tartalmaznak valamilyen torzítást. Az automatizálás ilyenkor nem feltétlenül szünteti meg az emberi előítéleteket, hanem digitális betonba öntheti őket.
A végső döntést ezért nem célszerű ellenőrzés nélkül egy algoritmusra bízni.
Chatbot esetén egyértelmű tájékoztatásra lehet szükség
Ha egy vállalkozás honlapján vagy ügyfélszolgálatán olyan chatbot működik, amely közvetlenül emberekkel kommunikál, az ügyfél számára főszabály szerint egyértelművé kell tenni, hogy mesterséges intelligenciával lép kapcsolatba, kivéve, ha ez a körülményekből nyilvánvaló.
A tájékoztatásnak könnyen észrevehetőnek és érthetőnek kell lennie. Nem jó megoldás, ha az erre vonatkozó információ kizárólag egy hosszú általános szerződési feltétel huszonhetedik bekezdésében bújik el.
A gyakorlatban megfelelő lehet például egy rövid üzenet:
„Ön jelenleg mesterséges intelligenciával működő virtuális asszisztenssel beszélget.”
Érdemes azt is feltüntetni, hogyan kérhető emberi segítség, különösen akkor, ha a chatbot panaszkezelésben, szerződéskötésben, pénzügyi tájékoztatásban vagy más lényeges ügyben vesz részt.
Mi a helyzet az MI-vel készült képekkel és szövegekkel?
Az AI Act külön átláthatósági szabályokat állapít meg az MI által létrehozott vagy manipulált tartalmakra.
A technológiai szolgáltatóknak bizonyos esetekben géppel olvasható módon is lehetővé kell tenniük az MI-tartalom felismerését. A tartalmat közzétevő vállalkozás oldalán pedig különösen deepfake, valamint közérdekű kérdésekről szóló, mesterséges intelligenciával létrehozott vagy manipulált szövegek esetén merülhet fel tájékoztatási kötelezettség.
Egy egyszerű termékfotó hátterének MI-alapú javítása nem feltétlenül esik ugyanabba a kategóriába, mint egy valós személy hangjának vagy arcának élethű utánzása.
A vállalkozásoknak ezért célszerű különbséget tenniük:
- technikai képszerkesztés;
- teljes egészében generált illusztráció;
- valós személyt ábrázoló manipulált tartalom;
- deepfake;
- közérdekű témáról készített MI-tartalom között.
Marketingkampány esetén nemcsak az AI Act, hanem a fogyasztóvédelmi, reklámjogi, adatvédelmi és szerzői jogi szabályok is szerepet kaphatnak.
A személyes adatokra továbbra is vonatkozik a GDPR
Az AI Act nem váltja fel az általános adatvédelmi rendeletet. Ha egy mesterségesintelligencia-rendszer személyes adatot kezel, a GDPR követelményeit továbbra is teljesíteni kell.
Ilyen kérdés lehet például:
- van-e megfelelő jogalap az adatkezelésre;
- kapott-e az érintett megfelelő tájékoztatást;
- csak a szükséges adatokat használja-e a rendszer;
- meddig őrzik meg az adatokat;
- kerülnek-e adatok az Európai Gazdasági Térségen kívülre;
- történik-e automatizált döntéshozatal;
- biztosított-e az érintetti jogok gyakorlása.
Különösen kockázatos, ha egy munkatárs nyilvános MI-szolgáltatásba ügyféllistát, szerződésszöveget, egészségügyi adatot, személyazonosító okmányt vagy más bizalmas információt másol be.
A „csak kipróbáltam” nem adatvédelmi jogalap. Az MI-rendszer gyorsasága nem teszi láthatatlanná az adatkezelést.
Milyen vállalkozás lehet érintett?
Az AI Act nemcsak a nagy technológiai cégeket érinti. Magyar kis- és középvállalkozások is a rendelet hatálya alá kerülhetnek, ha MI-rendszert fejlesztenek, értékesítenek, saját nevük alatt kínálnak vagy üzleti működésükben alkalmaznak.
Érintett lehet például:
- webáruház, amely MI-chatbotot használ;
- marketingügynökség, amely generált reklámokat készít;
- munkaerő-közvetítő, amely automatizált jelentkezőszűrést alkalmaz;
- pénzügyi szolgáltató, amely ügyfeleket profiloz;
- egészségügyi szolgáltató, amely MI-alapú döntéstámogatást használ;
- szoftverfejlesztő, amely más cégek számára MI-megoldást készít;
- ügyfélszolgálat, amely automatikus hangasszisztenst működtet;
- vállalkozás, amely munkavállalói teljesítményt elemez algoritmussal.
A kötelezettség mértéke minden esetben a konkrét alkalmazástól függ.
Mit tegyen most egy magyar vállalkozás?
1. Készítsen MI-eszközleltárt
Elsőként össze kell írni minden olyan programot és szolgáltatást, amely mesterséges intelligenciát használ. Nemcsak a központilag beszerzett szoftvereket kell figyelembe venni, hanem azokat az ingyenes vagy egyéni előfizetéses eszközöket is, amelyeket a munkatársak saját döntésük alapján használnak.
Az úgynevezett árnyék-MI gyakran nagyobb kockázat, mint a hivatalosan bevezetett rendszerek, mert a vezetés sokszor azt sem tudja, milyen adatok kerülnek beléjük.
2. Határozza meg a vállalkozás szerepét
Tisztázni kell, hogy a cég:
- MI-rendszert fejleszt;
- saját neve alatt forgalmaz;
- más rendszerébe épít be;
- importál vagy forgalmaz;
- üzleti célra alkalmaz;
- vagy kizárólag végfelhasználóként vesz igénybe egy általános szolgáltatást.
Egy vállalkozás több szerepben is megjelenhet.
3. Osztályozza a felhasználási módokat
Nem minden alkalmazás jelent azonos kockázatot. Külön kell kezelni az egyszerű szövegalkotást, az ügyfélkommunikációt, a személyes adatok elemzését, a toborzást és az automatizált döntéstámogatást.
4. Készítsen rövid belső MI-szabályzatot
A szabályzatban érdemes rögzíteni:
- mely eszközök használhatók;
- milyen adatok nem tölthetők fel;
- mikor kötelező az emberi ellenőrzés;
- hogyan kell jelölni az MI-vel készült tartalmat;
- ki engedélyezhet új rendszert;
- kinek kell jelenteni az esetleges hibát vagy adatvédelmi incidenst.
Egy tízfős cégnél nem feltétlenül van szükség jogi labirintusra. Egy világos, néhány oldalas szabályzat többet érhet, mint egy olyan vaskos dokumentum, amelyet senki nem olvas el.
5. Oktassa a munkatársakat
A képzésnek igazodnia kell a tényleges munkakörökhöz. Minimumként érdemes bemutatni:
- az MI-rendszerek korlátait;
- a téves válaszok és „hallucinációk” veszélyét;
- az adatvédelmi és titoktartási szabályokat;
- az emberi ellenőrzés fontosságát;
- a szerzői jogi kockázatokat;
- az ügyfelek tájékoztatásának szabályait.
6. Vizsgálja felül a szolgáltatói szerződéseket
Nem elég megnézni a szoftver árát és funkcióit. Fontos kérdés, hogy:
- hol tárolják az adatokat;
- felhasználják-e azokat a modell továbbfejlesztésére;
- milyen biztonsági intézkedések működnek;
- rendelkezésre áll-e megfelelő dokumentáció;
- hogyan kezeli a szolgáltató az incidenseket;
- milyen támogatást nyújt az AI Act szerinti megfeleléshez.
7. Dokumentálja a döntéseket
Érdemes rögzíteni, ki, mikor és milyen szempontok alapján engedélyezte egy MI-eszköz használatát. A dokumentáció később bizonyíthatja, hogy a vállalkozás nem kontroll nélkül vezette be a rendszert.
Mekkora bírságot kockáztathat egy vállalkozás?
Az AI Act súlyos jogsértések esetére jelentős közigazgatási bírságokat tesz lehetővé. A maximális összeg a jogsértés típusától és a vállalkozás méretétől függ, a szabályozás pedig a vállalkozás világpiaci éves árbevételéhez igazodó százalékos korlátokat is használ.
A bírság azonban csak az egyik kockázat. Egy szabálytalan MI-rendszer adatvédelmi eljárást, fogyasztóvédelmi problémát, munkaügyi vitát, szerződéses felelősséget vagy hírnévkárosodást is okozhat.
Egy ügyfél valószínűleg nem az AI Act cikkszámára fog emlékezni. Arra viszont igen, ha egy chatbot félrevezette, egy generált reklám megtévesztette, vagy egy automatizált rendszer indokolatlanul hátrányos döntést hozott róla.
Nem az MI használatát kell megtiltani, hanem ellenőrzötté kell tenni
A mesterséges intelligencia jelentős versenyelőnyt adhat a vállalkozásoknak. Gyorsíthatja az adminisztrációt, javíthatja az ügyfélkiszolgálást, támogathatja az értékesítést és tehermentesítheti a munkatársakat.
A teljes tiltás ezért a legtöbb cégnél nem reális és nem is célszerű. A megfelelő megoldás az ellenőrzött használat:
- jóváhagyott eszközökkel;
- egyértelmű adatkezelési korlátokkal;
- képzett munkatársakkal;
- dokumentált emberi felügyelettel;
- átlátható ügyfélkommunikációval.
A rendeletnek nem az a célja, hogy megállítsa az innovációt, hanem hogy a kockázatos MI-használat ne működhessen láthatatlan fekete dobozként.
Az AI Act következő fontos alkalmazási időpontja 2026. augusztus 2. A változás nem jelenti azt, hogy minden vállalkozásnak ugyanazokat a kötelezettségeket kell teljesítenie, de az MI-t használó cégeknek már most át kell tekinteniük saját gyakorlatukat.
A legfontosabb első lépések:
- az MI-eszközök felmérése;
- a vállalkozás jogi szerepének meghatározása;
- az adatkezelési és döntési kockázatok értékelése;
- a munkatársak oktatása;
- egy belső MI-használati szabályzat kialakítása;
- a chatbotok és generált tartalmak átlátható jelölése;
- a szolgáltatói szerződések felülvizsgálata.
Az a vállalkozás kerül jobb helyzetbe, amely nem augusztus első napjaiban kezd kapkodni, hanem még a határidő előtt rendet tesz az MI-használatában. A mesterséges intelligencia remek munkatárs lehet, csak munkaköri leírás nélkül hajlamos saját forgatókönyvet írni.
