EU AI Act — 100 kérdés, magyar jogállapot
Az (EU) 2024/1689 rendelet gyakorlati kérdései magyarul, minden válasz mellett az elsődleges jogforrással. A cél nem a riogatás: ahol a jog egyértelmű, kimondjuk, ahol bizonytalan, azt is.
Rövid válasz — mi él ma
Az EU AI Act általános alkalmazása és az 50. cikk átláthatósági szabályai 2026. augusztus 2. óta élnek. A Digital Omnibus — (EU) 2026/1744, kihirdetve 2026. július 24-én — a 4. cikk AI-jártassági kötelezettségét törekvési kötelemmé lágyította, a magas kockázatú kötelezettségeket pedig 2027. december 2-re, illetve 2028. augusztus 2-ra tolta. A legközelebbi kemény határidő az 50. cikk (2) szerinti tartalomjelölés: 2026. december 2.
Kire vonatkozik az EU AI Act
Az AI Act nem cégméret vagy ágazat szerint válogat, hanem szerepkör és felhasználás szerint. A legtöbb magyar KKV alkalmazó (deployer): kész AI-eszközt használ a saját felügyelete alatt. Szolgáltatóvá (provider) az válik, aki saját neve vagy védjegye alatt hoz forgalomba AI-rendszert, lényegesen módosít egyet, vagy a rendeltetés megváltoztatásával magas kockázatúvá teszi. A két szerep kötelezettségterhe nagyságrendekkel eltér egymástól, ezért a besorolást minden megfelelési munka elején rögzíteni kell, írásban.
- Mi számít AI-rendszernek az EU AI Act szerint, és mi marad egyszerű szoftver?AI-rendszer az a gépi rendszer, amely változó autonómiával működik, és a bemenetből következtetés útján előrejelzést, tartalmat, ajánlást vagy döntést generál. A döntő ismérv a következtetési képesség. Egy determinisztikus, ember által megírt if-then szabályhalmaz, számviteli motor vagy adatbázis-lekérdezés nem AI-rendszer, akkor sem, ha automatizál. A fogalmat a 3. cikk (1) bekezdése adja.
- Szolgáltató vagy alkalmazó a cégem az AI Act szerint, és miért számít ez?Szolgáltató az, aki AI-rendszert fejleszt vagy fejlesztet, és azt saját neve vagy védjegye alatt hozza forgalomba. Alkalmazó az, aki saját felügyelete alatt használ egy rendszert szakmai tevékenységben. A puszta használat, bármilyen intenzív, nem tesz szolgáltatóvá. A szolgáltatóra a 8–22. cikk teljes csomagja hárul, az alkalmazóra a jóval szűkebb 26. cikk.
- Mikor válik egy AI-t használó cégből szolgáltató az AI Act szerint?A 25. cikk (1) bekezdése három esetben telepíti át a szolgáltatói státuszt: ha a cég saját nevét vagy védjegyét helyezi el egy már forgalomban lévő magas kockázatú rendszeren, ha lényegesen módosítja azt, vagy ha a rendeltetés megváltoztatásával tesz magas kockázatúvá egy addig nem annak minősülő rendszert. Szerződéses kikötés ezen nem változtat.
- Érinti-e az EU AI Act a könyvelőirodámat vagy a kis tanácsadó cégemet?Igen, alkalmazói minőségben. Ha a cég szakmai tevékenységben AI-eszközt használ a saját felügyelete alatt, a 3. cikk (4) szerinti alkalmazó. A rendelet nem cégméret szerint válogat. A tisztán személyes, nem szakmai felhasználásra vonatkozó kivétel csak természetes személyre áll, cégre nem. A teher viszont jóval kisebb, mint amit sokan feltételeznek.
- Kötelező a Bizottság iránymutatása arról, mi számít AI-rendszernek?Nem kötelező. A Bizottság 2025. február 6-i iránymutatása (C(2025) 924 final, később C(2025) 5053 final számon újraközölve) a 3. cikk (1) bekezdésének definícióját bontja hét elemre, és négy szoftvertípust helyez jellemzően a fogalmon kívülre. Értelmezési segédlet, nem jogforrás: a kötelező értelmezés fóruma az Európai Unió Bírósága.
- Vonatkozik az EU AI Act egy Európán kívüli cégre?Igen, két önálló kapcsolóelv alapján. A 2. cikk (1) bekezdés a) pontja az uniós piacra hozatalt köti a hatályhoz, a székhelytől függetlenül. A c) pont ennél tovább megy: a harmadik országbeli szolgáltatóra és alkalmazóra is kiterjed, ha az AI-rendszer kimenetét az Unióban használják.
- Mi a különbség az importőr, a forgalmazó és a meghatalmazott képviselő között az AI Act-ben?Mindhárom ellenőrzési szerep, nem fejlesztői. Az importőr harmadik országbeli védjegyű rendszert hoz be az Unióba, és forgalomba hozatal előtt ellenőriz (23. cikk). A forgalmazó az ellátási lánc további szereplője, szűkebb ellenőrzéssel (24. cikk). A meghatalmazott képviselő a szolgáltató írásbeli megbízottja az Unióban (22. cikk).
- Mi számít lényeges módosításnak egy AI-rendszeren?A 3. cikk 23. pontja szerint az a forgalomba hozatal utáni változás, amelyet az eredeti megfelelőségértékelés nem irányzott elő, és amely érinti a III. fejezet 2. szakasza szerinti követelményeknek való megfelelést, vagy megváltoztatja az értékelt rendeltetést. Aki ilyet végez, a 25. cikk alapján szolgáltatóvá válik.
- Milyen esetekben nem kell alkalmazni az EU AI Act-et?A 2. cikk több önálló kizárást ad: a kizárólag katonai, védelmi vagy nemzetbiztonsági célú rendszerek, a kizárólag tudományos kutatás-fejlesztés céljára fejlesztett rendszerek, a forgalomba hozatal előtti kutatás és tesztelés, valamint a természetes személy tisztán személyes, nem szakmai használata. Mindegyiket szűken, célhoz kötötten kell értelmezni.
- Mentesül-e a nyílt forráskódú AI az EU AI Act alól?Csak részben. A 2. cikk (12) bekezdése mentesíti a szabad és nyílt forráskódú licenc alatt közzétett AI-rendszereket, de kiveszi a mentesség alól a magas kockázatúként forgalomba hozott, valamint az 5. és az 50. cikk hatálya alá eső rendszereket. GPAI-modelleknél az 53. cikk (2) szűkebb mentességet ad.
- Hogyan viszonyul az AI Act a meglévő termékbiztonsági és ágazati szabályokhoz?Nem váltja fel őket, hanem rájuk épül. Az AI Act az uniós termékbiztonsági keret (New Legislative Framework) logikáját követi: az I. melléklet A szakasza alá eső termékeknél a megfelelőségértékelést az ágazati eljárásban kell lefolytatni, egyetlen műszaki dokumentációba és egyetlen EU-megfelelőségi nyilatkozatba integrálva.
- Mit jelent pontosan a forgalomba hozatal és az üzembe helyezés az AI Act-ben?A forgalomba hozatal az AI-rendszer vagy GPAI-modell első hozzáférhetővé tétele az uniós piacon. A piaci hozzáférhetővé tétel ennél tágabb, ismétlődő cselekmény. Az üzembe helyezés az első használatra történő szállítás közvetlenül az alkalmazónak vagy saját használatra — ez fogja meg a belső fejlesztésű rendszereket is.
Határidők — mi él ma, mi jön még
Az AI Act 2024. augusztus 1-jén lépett hatályba, de lépcsőzetesen alkalmazandó. 2025. február 2. óta élnek a tiltott gyakorlatok és a 4. cikk, 2025. augusztus 2. óta a GPAI-fejezet és a szankciórendszer, 2026. augusztus 2. óta a rendelet törzse és az 50. cikk átláthatósági szabályai. A magas kockázatú blokk 2027. december 2-re, illetve 2028. augusztus 2-re csúszott, a régebbi rendszerek tartalomjelölése pedig 2026. december 2-ig kapott haladékot.
- Mi hatályos ma az EU AI Actből, és mi lép még életbe?2026. augusztus 4-én alkalmazandó a tiltott gyakorlatok köre, a 4. cikk AI-jártassági kötelezettség, a GPAI-fejezet, az irányítási és szankciórendszer, és 2026. augusztus 2. óta a rendelet törzse, benne az 50. cikk átláthatósági szabályaival. A magas kockázatú rendszerek kötelezettségei viszont még nem: azok 2027. december 2-től élnek.
- Mi a Digital Omnibus on AI, és mikortól hatályos?A Digital Omnibus on AI az AI Actet módosító egyszerűsítési rendelet, amelyet 2026. július 24-én hirdettek ki a Hivatalos Lapban (EU) 2026/1744 számon, és 2026. július 27-én lépett hatályba. Az általa hozott haladékok és szövegmódosítások tehát ma hatályos jog, nem tervezet és nem feltételes állapot.
- Melyik AI Act-határidő csúszott a Digital Omnibusszal, és melyik nem?Csúszott a magas kockázatú blokk (III. melléklet: 2027. december 2., I. melléklet: 2028. augusztus 2.), a szabályozói sandboxok felállítása 2027. augusztus 2-re, és a régebbi generatív rendszerek tartalomjelölése 2026. december 2-re. Nem csúszott a tiltott gyakorlatok, a 4. cikk, az 50. cikk többi bekezdése, a GPAI-rezsim és a szankciórendszer dátuma.
- Mit jelent a 2027. december 2-i és 2028. augusztus 2-i határidő egy fejlesztő cégnek?Nem szünetet jelent, hanem eltolt kapudátumot. A megfelelőségértékelést nem lehet utólag ráilleszteni egy kész rendszerre, ezért a tervezési döntéseket most kell meghozni. Az önálló, III. melléklet szerinti magas kockázatú rendszerekre 2027. december 2., a szabályozott termékbe ágyazottakra 2028. augusztus 2. a határidő.
- Van-e türelmi idő az AI Act tilalmaira és az AI-jártassági kötelezettségre?Nincs. Az 5. cikk tilalmai és a 4. cikk 2025. február 2. óta türelmi idő nélkül alkalmazandók, és a 111. cikk grandfathering-szabályai kifejezetten nem terjednek ki az 5. cikkre. Egy 2024-ben piacra dobott, munkahelyi érzelemfelismerést végző rendszer 2025. február 2. óta jogellenes, függetlenül attól, hogy örökölt.
- Szabtak már ki AI Act-bírságot, és mire lehet számítani 2026–2027-ben?Publikált, kiszabott AI Act-bírság 2026 augusztusáig nincs, és formális 5. cikkes eljárásindítás sem igazolható vissza elsődleges forrásból. A tagállamok többségében a piacfelügyeleti intézményrendszer még épül: 2026 áprilisában mindössze 8 tagállam jelentett be formálisan egyablakos kapcsolattartó pontot. Rövid távon a reálisabb kockázat nem a bírság, hanem a piacfelügyeleti intézkedés.
- Hogyan kezelje egy cég megfelelési programja az AI Act körüli jogi bizonytalanságot?A legnagyobb bizonytalanság megszűnt: a Digital Omnibus 2026. július 24-én kihirdetésre került (EU) 2026/1744 számon, és 2026. július 27-én hatályba lépett, tehát a haladékok hatályos jogon alapulnak. Ami nyitva maradt: a harmonizált szabványok hiánya, a felhatalmazáson alapuló aktusok késése és a hatósági gyakorlat kiforratlansága.
- Miért csúsztak el a magas kockázatú AI-kötelezettségek határidői?A közvetlen ok a harmonizált szabványok elmaradása: az M/593 szabványosítási kérelem szállítási határidejét 2025. április 30-ról 2025. augusztus 31-re tolták, és a szabványok akkor sem készültek el. A halasztás azonban a hatályos szövegben feltétlen — nem függ attól, megjelennek-e időben a szabványok.
- Milyen kötelezettségek élnek a GPAI-modellekre, és mi a helyzet a régebbi modellekkel?Az általános célú AI-modellekre vonatkozó V. fejezet 2025. augusztus 2. óta alkalmazandó: műszaki dokumentáció, a továbbfejlesztőknek adandó információk, szerzői jogi megfelelési politika és nyilvános tanítóadat-összefoglaló. A 2025. augusztus 2. előtt piacra dobott modelleknek a 111. cikk (3) bekezdése 2027. augusztus 2-ig ad haladékot.
- Vonatkozik az AI Act a már korábban bevezetett AI-rendszereinkre?Nem automatikusan. A 111. cikk (2) bekezdése szerint a magas kockázatú blokk alkalmazási dátuma előtt forgalomba hozott rendszerekre a rendelet csak akkor alkalmazandó, ha azok tervezésüket érintő lényeges változáson mennek keresztül. A tilalmakra viszont ez a védelem nem terjed ki.
- Hogyan bizonyítható a megfelelés, ha nincsenek harmonizált AI-szabványok?A kötelezettségek harmonizált szabvány nélkül is teljes mértékben kötelezőek. A 40. cikk szerinti megfelelőségi vélelem hiánya nem magát a kötelezettséget érinti, hanem a bizonyítás módját: a bizonyítási teher a szolgáltatóra száll vissza, akinek a műszaki dokumentációban kell igazolnia, hogy eléri a 9–15. cikk követelményszintjét.
Tiltott AI-gyakorlatok (5. cikk)
Az 5. cikk nyolc gyakorlatot tilt teljesen — ezekre nincs megfelelési útvonal, dokumentációval vagy emberi felügyelettel sem menthetők. 2025. február 2. óta alkalmazandók, a szankció 35 millió euró vagy az éves világszintű árbevétel 7%-a, amelyik magasabb. Egy átlagos cégnél a reális kitettség szinte kizárólag a munkahelyi érzelemfelismerés köré csoportosul, jellemzően egy beszerzett eszköz bekapcsolt funkciójaként; két új tilalom 2026. december 2-től él.
- Milyen AI-gyakorlatokat tilt teljesen az EU AI Act?Az 5. cikk (1) bekezdése nyolc gyakorlatot tilt: tudatalatti vagy megtévesztő manipuláció, sérülékenység kihasználása, társadalmi pontozás, bűnelkövetés egyéni előrejelzése profilalkotásból, arcképadatbázisok célzatlan lekaparása, munkahelyi és oktatási érzelemfelismerés, védett tulajdonságokra irányuló biometrikus kategorizálás, és valós idejű távoli biometrikus azonosítás nyilvános térben.
- Tilos-e az érzelemfelismerés a munkahelyen az EU AI Act szerint?Igen. Tilos a biometrikus adaton alapuló érzelem- vagy szándékkövetkeztetés a munkahelyen és az oktatási intézményekben, kizárólag orvosi vagy biztonsági célú használat kivételével. A „munkahely” fogalma kiterjed a kiválasztási és felvételi folyamatra, sőt a próbaidőre is, ezért az érzelemelemző videóinterjú tiltott. Ez a leggyakoribb valós vállalati kitettség.
- Hol merül fel valóban tiltott AI-gyakorlat kockázata egy szolgáltató cégnél?A reális kitettség szinte teljes egészében a munkahelyi érzelemfelismerés köré csoportosul, alkalmazói minőségben. Másodsorban a munkavállalói vagy jelölti pontozás releváns, ha nem kapcsolódó kontextusból származó adatot aggregál. Az arcképlekaparás tanácsadói környezetben jellemzően nem AI Act-, hanem GDPR-kockázat. A tilalmak 2025. február 2. óta élnek, a felső szankciósáv 35 millió euró vagy 7%.
- Milyen új tilalmat vezetett be az AI Act az intim képmásokra és a CSAM-ra?A Digital Omnibus két új pontot illesztett az 5. cikk (1) bekezdésébe: tilos az olyan AI-rendszer, amely nem-konszenzusos intim vagy szexuálisan explicit tartalmat, illetve gyermekek szexuális bántalmazását ábrázoló anyagot generál vagy manipulál. A tilalom 2026. december 2-től alkalmazandó, és a használatra is kiterjed.
- Hol a határ a tiltott AI-manipuláció és a jogszerű marketing között?A tilalomhoz négy elem kell együtt: tudatalatti vagy szándékosan manipulatív, megtévesztő technika; a magatartás lényeges torzítása a tájékozott döntéshozatal érzékelhető rontásával; ebből eredő olyan döntés, amelyet a személy egyébként nem hozott volna; és tényleges vagy ésszerűen valószínű jelentős kár. Bármelyik hiánya kizárja a tilalmat.
- Mit tilt az AI Act a sérülékeny csoportok kihasználásáról?Az 5. cikk (1) bekezdés b) pontja tiltja azt az AI-rendszert, amely egy személy vagy csoport korból, fogyatékosságból vagy sajátos szociális-gazdasági helyzetből eredő sérülékenységét használja ki, ezzel a céllal vagy hatással lényegesen torzítva a magatartását, jelentős kárt okozó vagy ésszerűen valószínűen okozó módon.
- Vonatkozik a társadalmi pontozás tilalma a magáncégekre is?Igen. Az 5. cikk (1) bekezdés c) pontja kifejezetten független attól, hogy a rendszert vagy a pontszámot köz- vagy magánszereplő nyújtja, illetve használja. A tilalom akkor áll fenn, ha a szociális magatartás vagy személyiségjellemzők alapján végzett értékelés kontextusból kiszakított vagy aránytalan hátrányos bánásmódhoz vezet.
- Mit tilt az AI Act a bűnelkövetés előrejelzéséről?Az 5. cikk (1) bekezdés d) pontja tiltja azt az AI-rendszert, amely természetes személyekre vonatkozó kockázatértékelést végez annak megítélésére vagy előrejelzésére, hogy az adott személy bűncselekményt fog-e elkövetni, ha ez kizárólag profilalkotáson vagy a személyiségjegyek és -jellemzők értékelésén alapul. A „kizárólag” fordulat a tényállás sarokköve.
- Tiltja az AI Act az arcképek internetes lekaparását?Igen, szűk körben. Az 5. cikk (1) bekezdés e) pontja tiltja azt az AI-rendszert, amely arcfelismerő adatbázisokat hoz létre vagy bővít az internetről vagy zártláncú kamerafelvételekből történő célzatlan arcképlekaparás útján. A tilalom a létrehozásra és a bővítésre irányul, nem magára az azonosításra.
- Mit tilt az AI Act a biometrikus kategorizálásról?Az 5. cikk (1) bekezdés g) pontja tiltja azt a biometrikus kategorizálási rendszert, amely természetes személyeket egyénileg sorol be a biometrikus adataik alapján azért, hogy faji hovatartozásukra, politikai véleményükre, szakszervezeti tagságukra, vallási vagy világnézeti meggyőződésükre, szexuális életükre vagy irányultságukra következtessen.
- Hogyan működik a valós idejű arcfelismerés tilalma nyilvános tereken?A valós idejű távoli biometrikus azonosítás nyilvánosan hozzáférhető terekben, bűnüldözési célból főszabály szerint tilos. Három taxatív cél esetén engedhető meg, de csak akkor, ha a tagállam erről nemzeti törvényt alkotott, és ügyenként bírói vagy független közigazgatási hatóság előzetes engedélyt adott.
- Kire vonatkozik az AI Act új NCII- és CSAM-tilalma: a szolgáltatóra vagy a felhasználóra?Mindkettőre, de eltérő mércével. A szolgáltatónál a tilalom akkor is beáll, ha az ilyen tartalom előállítása ésszerűen előrelátható és reprodukálható eredmény, és nincsenek megfelelő technikai biztosítékok. Az alkalmazónál szűkebb: akkor sérül, ha kifejezetten ilyen tartalom előállítása céljából használja a rendszert.
- Mennyire kötelező a Bizottság iránymutatása a tiltott AI-gyakorlatokról?Nem kötelező erejű. A 96. cikk (1) bekezdés b) pontján alapuló bizottsági közlemény, amely a Bizottság 5. cikkre vonatkozó értelmezését rögzíti; hiteles értelmezést csak az Európai Unió Bírósága adhat. A gyakorlati súlya mégis nagy, mert a nemzeti hatóságok deklaráltan ebből dolgoznak.
Magas kockázat és besorolás
A magas kockázatú besorolás a rendeltetéshez tapad, nem a technológiához. Egy általános AI-asszisztens önmagában nem magas kockázatú, de ha önéletrajz-szűrésre vagy jelöltértékelésre állítják be, a III. melléklet 4. pontja alá kerül, és a cég akár szolgáltatóvá is átminősülhet. A 6. cikk (3) bekezdése szűk kiutat ad, ha a rendszer nem befolyásolja érdemben a döntést — profilalkotásnál viszont ez a kiút zárva van.
- Magas kockázatú AI-nak számít az önéletrajz-szűrő vagy a HR-értékelő rendszer?Igen. A III. melléklet 4. pontja a toborzástól a munkaviszony megszűnéséig terjedő teljes életciklust lefedi: célzott álláshirdetés-megjelenítés, jelentkezésszűrés, jelöltértékelés, előléptetés, elbocsátás, viselkedés- vagy személyiségalapú feladatkiosztás, valamint a munkavégzés megfigyelése és értékelése. Ez a legtipikusabb vállalati magas kockázatú eset. A megfelelési határidő 2027. december 2., a besorolási döntést viszont már most érdemes írásba foglalni.
- Mikor nem magas kockázatú egy olyan AI-rendszer, amely a III. melléklet alá esne?Akkor, ha nem jelent jelentős kockázatot az egészségre, a biztonságra vagy az alapvető jogokra, és teljesül a 6. cikk (3) négy esete közül legalább egy: szűk eljárási feladat, befejezett emberi tevékenység eredményének javítása, döntési minták észlelése emberi felülvizsgálat mellett, vagy előkészítő feladat. Profilalkotásnál viszont ez a kiút zárva van.
- Magas kockázatúvá teszi-e a ChatGPT vagy a Copilot vállalati használata a cégünket?Önmagában nem. Ha a munkatársak az általános asszisztenst szövegírásra, összefoglalásra vagy kódolásra használják, a rendszer nem lesz magas kockázatú. A felhasználás módja viszont átbillentheti: ha a HR-osztály önéletrajz-rangsoroló folyamatba építi, a rendeltetés a III. melléklet 4. pontja alá kerül, és a cég szolgáltatóvá is átminősülhet.
- Milyen kötelezettségei vannak az alkalmazónak magas kockázatú AI-rendszernél?A 26. cikk tizenkét bekezdést tartalmaz, de nem mind kötelezettség és nem mind mindenkire szól. Egy vásárló magáncégre a mag: a használati útmutató szerinti használat, kompetens emberi felügyelet, a bemeneti adatok relevanciája, a működés monitorozása, a naplók legalább hat hónapos megőrzése, és a hatósággal való együttműködés.
- Hogyan épül fel az EU AI Act kockázatalapú piramisa, és mi a leggyakoribb félreértés?Négy szint van: tiltott gyakorlat (5. cikk), magas kockázatú rendszer (6. cikk és I/III. melléklet), átláthatósági kötelezettség alá eső rendszer (50. cikk), és minden más. A leggyakoribb félreértés, hogy ez négy egymást kizáró doboz. A rétegek halmozódnak: egy magas kockázatú chatbot egyszerre esik a III. fejezet és az 50. cikk hatálya alá.
- Hogyan soroljuk be az AI-rendszerünket lépésről lépésre úgy, hogy a hatóság előtt is védhető legyen?Hét lépéses, dokumentált döntési fa vezet védhető eredményre: hatály, AI-rendszer-e, szerepkör, tiltott-e, I. melléklet, III. melléklet, végül a 6. cikk (3) szűrő és az 50. cikk átfedése. A védhetőséget nem a következtetés adja, hanem hogy minden csomóponthoz van datált, aláírt indokolás és verziókövetés. A hatóság a folyamatot kéri, nem a végeredményt.
- Mely uniós termékjogok tartoznak az AI Act I. mellékletébe?Az I. melléklet 20 uniós termékjogi aktust sorol fel két szekcióban: gépek, játékbiztonság, felvonók, ATEX, rádióberendezések, nyomástartó berendezések, egyéni védőeszközök, orvostechnikai és in vitro diagnosztikai eszközök, illetve a légiközlekedési, jármű- és vasúti jog. A beágyazott AI akkor magas kockázatú, ha biztonsági alkatrész vagy maga a termék, és az ágazati jog harmadik fél általi megfelelőségértékelést követel.
- Mi az AI Act III. mellékletének teljes tartalma — mind a nyolc terület?Nyolc terület: biometria; kritikus infrastruktúra; oktatás és szakképzés; foglalkoztatás és munkavállalók irányítása; alapvető magán- és közszolgáltatásokhoz való hozzáférés; bűnüldözés; migráció, menekültügy és határigazgatás; végül igazságszolgáltatás és demokratikus folyamatok. Összesen 24 betűjelzett felhasználási eset, plusz a betűjelzés nélküli kritikus infrastruktúra. Vállalati szempontból a 4. pont a leggyakoribb.
- Mikor magas kockázatú egy oktatási vagy képzési AI-rendszer?Akkor, ha az AI a bejutásról, a tanulási eredmény értékeléséről vagy a megfelelő oktatási szintről dönt, illetve azt érdemben befolyásolja, vagy ha vizsgán proctoringot végez. A tananyagot előállító, gyakoroltató vagy adminisztratív eszköz nem az. A III. melléklet 3. pontja alá eső rendszerekre a kötelezettségek 2027. december 2-től állnak be.
- Ki dönt arról, hogy egy rendszer a 6. cikk (3) alapján nem magas kockázatú, és mi a bizonyítási teher?A szolgáltató dönt, saját felelősségére, önértékeléssel — nincs előzetes hatósági jóváhagyás és nincs bejelentett szervezet. A bizonyítási teher teljes egészében rajta van. A piacfelügyeleti hatóság a 80. cikk alapján utólag felülbírálhatja a besorolást, határidőt tűzhet a megfelelés helyreállítására, és a mulasztás a 99. cikk szerinti bírsághoz vezet.
- Mennyire kötelező a Bizottság iránymutatása a magas kockázatú besorolásról?Jogilag nem kötelező: értelmezési segédlet, a végső szó a Bíróságé. A 6. cikk (5) alapján a Bizottságnak ki kellett volna adnia 2026. február 2-ig, de a határidőt elmulasztotta; a tervezetet 2026. május 19-én tette közzé konzultációra, a végleges változat 2026 végére várható. Belső dokumentációban hivatkozható, de tervezetként, dátummal.
- Mit örököl a cég, ha az AI Act szerint szolgáltatóvá válik?A teljes 16. cikkes kötelezettségcsomagot, nem részlegesen: kockázatkezelés, adatkormányzás, műszaki dokumentáció, naplózás, alkalmazói tájékoztatás, emberi felügyelet tervezése, pontosság és kiberbiztonság, minőségirányítási rendszer, megfelelőségértékelés, EU-megfelelőségi nyilatkozat, CE-jelölés, regisztráció, forgalomba hozatal utáni nyomon követés és incidensbejelentés. Az eredeti szolgáltató ilyenkor megszűnik az adott rendszer szolgáltatója lenni.
- Milyen dokumentáció bizonyítja utólag, hogy az AI-rendszerünk nem magas kockázatú?A 6. cikk (4) szerinti, a piacra helyezés előtt keletkezett besorolási értékelés, a 49. cikk (2) szerinti EU-adatbázis-regisztráció, és az ezeket alátámasztó, nyomon követhető bizonyítékok. A kulcs a datáltság és az előzetesség: az utólag gyártott indokolást a hatóság nem fogadja el. Egyetlen aláírt döntés helyett folyamatot kell tudni felmutatni.
- Hogyan kell besorolni több AI-rendszer láncolatát és a beszállítói AI-t?A besorolás rendszerenként és rendeltetésenként történik, nem megoldásonként. Ha viszont a komponensek együtt olyan funkciót adnak ki, amely a III. melléklet alá esik, az integrátor a 25. cikk (1) c) alapján az integrált rendszer szolgáltatójává válhat. A beszállítói oldalt a 25. cikk (4) szerinti írásbeli megállapodással kell rendezni.
Átláthatóság és tartalomjelölés (50. cikk)
Az 50. cikk a legszélesebb alanyi körű kötelezettségcsomag: 2026. augusztus 2. óta minden ügyfélszolgálati chatbotot üzemeltető és minden AI-generált tartalmat publikáló szervezetre vonatkozik, a kockázati besorolástól teljesen függetlenül. Négy külön kötelezettség tartozik ide: interakció-közlés, gépi olvasható tartalomjelölés, érzelemfelismerésről szóló tájékoztatás és deepfake-címkézés. A gépi jelölésre a 2026. augusztus 2. előtti rendszerek 2026. december 2-ig kaptak haladékot, a többi kötelezettségre nincs átmenet.
- Mit ír elő az AI Act 50. cikke az átláthatóságról, és kire vonatkozik?Négy önálló kötelezettséget: a szolgáltatónak közölnie kell, ha a felhasználó AI-val lép interakcióba, és gépi olvashatóan meg kell jelölnie a generált tartalmat. Az alkalmazónak tájékoztatnia kell az érzelemfelismerésről, és jeleznie kell a deepfake mesterséges eredetét. Mind a négy 2026. augusztus 2. óta alkalmazandó, a kockázati besorolástól függetlenül.
- Kell-e jelezni a weboldalon, hogy a chatbottal és nem emberrel beszél az ügyfél?Igen, 2026. augusztus 2. óta. A közlés csak akkor mellőzhető, ha a gépi jelleg egy észszerűen tájékozott, figyelmes és körültekintő személy számára a körülmények alapján nyilvánvaló. Ez szűk, objektív mérce, és a bizonyítási teher gyakorlatilag a szolgáltatón van, ezért erre a kivételre nem érdemes építeni.
- Mit jelent az AI-tartalom gépi olvasható jelölése, és mi a 2026. december 2-i határidő?A szolgáltatónak a generatív kimenetet gépi olvasható formátumban kell megjelölnie és mesterségesen előállítottként detektálhatóvá tennie. A megoldásnak hatékonynak, interoperábilisnak, robusztusnak és megbízhatónak kell lennie a technikai megvalósíthatóság határáig. A 2026. augusztus 2. előtt piacra dobott rendszereknek 2026. december 2-ig kell megfelelniük.
- Meg kell jelölni az AI-val készült képeket és szövegeket a cégünk marketingjében?A deepfake-nek minősülő kép, hang vagy videó közzétételekor igen: az alkalmazónak ember által észlelhető módon közölnie kell a mesterséges eredetet. Az AI-generált szövegnél a kötelezettség szűkebb — csak a nyilvánosság közérdekű tájékoztatására szánt szövegre vonatkozik. A szokásos vállalati marketingszöveg és a belső dokumentum nem tartozik ide.
- Mennyi a bírság, ha nem jelöljük az AI-tartalmat vagy a chatbotot?Legfeljebb 15 millió euró vagy az előző üzleti év teljes világszintű árbevételének 3%-a, amelyik magasabb. KKV-nál és startupnál a kettő közül az alacsonyabb az irányadó. Ez a 99. cikk (4) g) pontja alá eső, „egyéb kötelezettségszegés” kategória, nem a tiltott gyakorlatokra fenntartott 7%-os felső sáv.
- Mit kell tennie annak a cégnek, amely csak használ ChatGPT-t vagy Copilotot?GPAI-modellszolgáltatói kötelezettség nem keletkezik — az a modell mögötti vállalatnál marad. Alkalmazóként viszont közvetlenül terheli a 4. cikk AI-jártassági kötelezettség, a deepfake- és közérdekű AI-szöveg címkézése, és ha ilyet használ, az érzelemfelismerésről szóló tájékoztatás. Saját, kifelé nyitott rendszer építésekor szolgáltatóvá válik.
- Melyik átláthatósági kötelezettségre vonatkozik a 2026. december 2-i türelmi idő?Kizárólag az 50. cikk (2) bekezdése szerinti gépi olvasható tartalomjelölésre, és azon belül is csak a 2026. augusztus 2. előtt forgalomba hozott rendszerekre. Az 50. cikk (1), (3) és (4) bekezdése — chatbot-közlés, érzelemfelismerésről szóló tájékoztatás, deepfake-címkézés — 2026. augusztus 2. óta halasztás nélkül alkalmazandó.
- Mit kell közölni, ha érzelemfelismerő vagy biometrikus kategorizáló rendszert használunk?Az alkalmazónak tájékoztatnia kell a rendszernek kitett természetes személyeket annak működéséről, és az adatkezelést a GDPR-ral összhangban kell végeznie. A kötelezettség 2026. augusztus 2. óta él, a kockázati besorolástól függetlenül. Ha a rendszer a munkahelyen vagy oktatásban ismer fel érzelmet, az 5. cikk szerint tiltott, és az 50. cikk (3) fel sem merül.
- Mi számít általános célú AI-modellnek (GPAI), és mi a különbség modell és rendszer között?Általános célú AI-modell az, amely jelentős általánosságot mutat, sokféle különálló feladatot lát el kompetensen, és sokféle későbbi rendszerbe integrálható. Ezt a 3. cikk (63) bekezdése rögzíti. A modell önmagában komponens: felhasználói felülettel kiegészítve válik AI-rendszerré. A modellre az 51-56. cikk vonatkozik, a rendszerre az 50. cikk.
- Milyen kötelezettségei vannak egy általános célú AI-modell szolgáltatójának?Négy kötelezettség az 53. cikkből: műszaki dokumentáció fenntartása és hatósági kérésre átadása, tájékoztatás a modellt integráló rendszerszolgáltatóknak, uniós szerzői jogi megfelelési szabályzat a jogfenntartások tiszteletben tartásával, és a tanítótartalom nyilvános összefoglalója az AI-Hivatal sablonja szerint. 2025. augusztus 2. óta alkalmazandók. Magyar KKV-t ez a kör ritkán érint.
- Mit jelent a rendszerszintű kockázatú AI-modell, és mi a 10^25 FLOP küszöb?Az 51. cikk (2) bekezdése szerint rendszerszintű kockázatot kell vélelmezni, ha a modell tanítására fordított halmozott számításigény meghaladja a 10^25 FLOP-ot. A szolgáltatónak két héten belül értesítenie kell a Bizottságot, és teljesítenie az 55. cikk négy többletkötelezettségét. A vélelem megalapozott érveléssel megdönthető, a Bizottság viszont elutasíthatja.
- Mit jelent a GPAI Code of Practice aláírása, és kötelező-e csatlakozni?A gyakorlati kódex jogilag nem kötelező soft law. Aláírása a megfelelés önkéntes bizonyítási eszköze az 53. cikk (4) és az 55. cikk (2) alapján, a harmonizált szabvány megjelenéséig. A nem-aláírás önmagában nem jogsértés, de a szolgáltatónak alternatív, egyenértékű bizonyítást kell felmutatnia, egyedi hatósági értékelés mellett.
- Hogyan áll a szerzői jog és az AI-tanítás? Mit jelent a szövegbányászati opt-out?A DSM-irányelv 4. cikke általános szövegbányászati kivételt ad a jogszerűen hozzáférhető művekre, de a (3) bekezdés szerint csak akkor, ha a jogosult nem tartotta fenn kifejezetten a jogait — online tartalomnál gépi olvasható módon. A GPAI-szolgáltatónak szabályzattal kell biztosítania e jogfenntartások tiszteletben tartását. A joggyakorlat kialakulóban van.
- Mentesül-e egy nyílt forráskódú AI-modell az AI Act kötelezettségei alól?Csak részben. Az 53. cikk (2) a szabad és nyílt forráskódú modelleket a műszaki dokumentáció és a downstream tájékoztatás alól mentesíti, az 54. cikk (6) a meghatalmazott képviselő kijelölése alól. A szerzői jogi szabályzat és a nyilvános tanítóadat-összefoglaló marad, rendszerszintű kockázatnál pedig a mentesség egésze elesik.
AI-jártasság — a 4. cikk
A 4. cikk 2025. február 2. óta minden szolgáltatóra és alkalmazóra vonatkozik, kockázati kategóriától függetlenül. A Digital Omnibus 2026 nyarán törekvési kötelemmé lágyította: a cégnek támogatnia kell a személyzet AI-jártasságának fejlesztését, de egyetlen ember konkrét szintjét sem kell garantálnia. Óraszám, tananyag, vizsga és tanúsítvány nincs előírva, és önálló uniós bírságtétel sem tartozik hozzá — a „semmit nem tettünk” helyzet viszont törekvési kötelem mellett is jogsértő.
- Mit ír elő pontosan az EU AI Act 4. cikke az AI-jártasságról?A hatályos 4. cikk szerint a szolgáltatók és az alkalmazók intézkedéseket hoznak a személyzetük és a nevükben eljáró más személyek AI-jártasságának fejlesztése támogatása érdekében. A rendelkezés kifejezetten kimondja, hogy nem kell egyetlen ember meghatározott jártassági szintjét sem garantálni. Kockázati kategóriától függetlenül mindenkire vonatkozik.
- Hogyan változtatta meg a Digital Omnibus az AI Act 4. cikkét?A normatív magot „a kellő szint biztosítása” helyett „az AI-jártasság fejlesztésének támogatása” fordulatra cserélte, és kifejezetten kimondta, hogy a rendelkezés nem kötelez senkit egyetlen egyén meghatározott jártassági szintjének garantálására. A kötelezettség maga megmaradt, az alkalmazási dátum változatlanul 2025. február 2.
- Van-e kötelező AI-képzés, óraszám vagy tanúsítvány az EU AI Act szerint?Nincs. A rendelet nem ír elő óraszámot, kötelező tananyagot, akkreditált képzést, vizsgát, tanúsítványt vagy külső auditot, és nincs olyan tanúsítvány sem, amely megfelelőségi vélelmet keletkeztetne. A Bizottság AI-jártassági Q&A-ja ezt kifejezetten rögzíti. Belső, saját erőforrásból megvalósított felkészítés ugyanúgy alkalmas a teljesítésre.
- Bírságolható-e az AI Act 4. cikkének, az AI-jártassági kötelezettségnek a megsértése?Önmagában nem. A 99. cikk (4) bekezdésének zárt felsorolása nem tartalmazza a 4. cikket, ezért uniós bírságtétel nem tartozik hozzá, és Magyarországon sincs hozzá rendelt forintösszeg. Aki 15 millió eurós fenyegetést kapcsol a 4. cikkhez, a jogszabály szövegével kerül szembe. Ami marad: nem pénzbeli piacfelügyeleti intézkedések és bizonyítási hátrány.
- Hogyan dokumentálható és bizonyítható az AI-jártassági megfelelés egy hatósági vizsgálatnál?Előírt dokumentációs forma nincs, ezért a bizonyítás szabad. A gyakorlatban az bizonyít, ami a mérlegelés folyamatát és annak végrehajtását együtt mutatja, nem a puszta jelenléti ív. Négy réteg együttese ad érdemi választ: AI-rendszerleltár, szerepkör-kockázat leképezés, a végrehajtás bizonyítéka, és a karbantartás nyoma.
- Kire vonatkozik az AI-jártassági kötelezettség — alvállalkozóra, kölcsönzött munkaerőre is?A 4. cikk címzettje a szolgáltató és az alkalmazó, kockázati osztálytól függetlenül. A kötelezettség nem áll meg a munkavállalóknál: kiterjed a nevükben eljáró más személyekre is, tehát alvállalkozóra, megbízottra és kölcsönzött munkaerőre. Külső szereplőknél ezt szerződéses úton kell rendezni, mert nincs munkáltatói utasítási jog.
- Mit jelent pontosan az AI-jártasság az EU AI Act szerint?A 3. cikk (56) bekezdése szerint az AI-jártasság olyan készség, tudás és értés, amely lehetővé teszi, hogy valaki tájékozottan alkalmazza az AI-rendszereket, és tudatában legyen az AI lehetőségeinek, kockázatainak és a lehetséges kárnak. A definíció képességet ír le, nem tananyagot — a mérce tehát nem óraszám.
- Milyen szintű AI-jártasság elég? Mitől függ a megfelelő szint?A 4. cikk maga sorolja fel a szempontokat: az érintett személyek műszaki tudása, tapasztalata, végzettsége és képzése; az a kontextus, amelyben a rendszert használják; és az a személyi kör, akikkel szemben alkalmazzák. Abszolút küszöb nincs — a szint szerepkörönként differenciált, és a szervezet erőforrásaihoz mért.
- Milyen következménye lehet annak, ha egy cég nem tesz semmit az AI-jártasságért?A 4. cikkhez nem tartozik önálló uniós bírságtétel, a jelentősége máshol van. Hiánya ténybeli bizonyítéka lehet a 26. cikk (2) megsértésének magas kockázatú rendszernél — az már bírságolható. Súlyosbító körülmény lehet más jogsértés szankciójánál, és beépül a polgári jogi elvárhatóság mércéjébe is.
- Mi a jogi státusza az AI-Hivatal gyakorlatgyűjteményének és a bizottsági kérdés-válasz anyagnak?Mindkettő nem kötelező erejű soft law: értelmezési támpont, nem jogforrás. A living repository lapja kifejezetten kimondja, hogy az ott gyűjtött gyakorlatok másolása nem keletkeztet megfelelőségi vélelmet a 4. cikkhez. A hatóságok mégis ezekhez igazodnak, ezért a gyakorlati súlyuk jelentős — érdemes ismerni őket.
- Hogyan viszonyul az AI-jártasság az emberi felügyelethez (14. és 26. cikk)?A három norma koncentrikus. A 4. cikk általános alapszint minden AI-rendszerre és minden érintett munkatársra. A 26. cikk (2) ezen felül, magas kockázatú rendszernél, a felügyeletet ellátó konkrét személytől követel kompetenciát, képzést és felhatalmazást — és ez már bírságolható. A 14. cikk mögötte a szolgáltatói tervezési kötelezettség.
- Hogyan kapcsolódik az AI-jártassági kötelezettség a GDPR-hoz és a munkajoghoz?Párhuzamosan, önállóan alkalmazandók. A GDPR 29. és 32. cikk (4) szerinti utasításkötöttség és a 39. cikk szerinti tudatosságnövelés tárgyilag átfed a 4. cikkel, de a védett érdek más. A két képzés összevonható egy programba, viszont a dokumentációban külön kell tudni kimutatni, melyik minek felelt meg.
Bírságok és magyar hatóságok
Három uniós bírságsáv van: 35 millió euró vagy 7% a tiltott gyakorlatokra, 15 millió euró vagy 3% a szolgáltatói, alkalmazói és átláthatósági kötelezettségekre, 7,5 millió euró vagy 1% a hatóság félrevezetéséért. KKV-nál és startupnál mindig az alacsonyabb érték az irányadó. Magyarországon a piacfelügyeleti hatóság a gazdasági és energetikai miniszter, a pénzügyi szektor magas kockázatú rendszereinél pedig az MNB jár el.
- Mekkora bírságot lehet kiszabni az EU AI Act alapján?Három sáv van: tiltott gyakorlatnál 35 millió euró vagy a világszintű éves árbevétel 7%-a; szolgáltatói, alkalmazói és átláthatósági kötelezettségszegésnél 15 millió euró vagy 3%; a hatóságnak adott hamis vagy félrevezető információért 7,5 millió euró vagy 1%. Mindig a magasabb érték irányadó, KKV-nál viszont az alacsonyabb.
- Melyik magyar hatóság ellenőrzi az EU AI Act betartását?A piacfelügyeleti hatóság és az egyablakos kapcsolattartó pont a gazdasági és energetikai miniszter, a bejelentő hatóság a Nemzeti Akkreditáló Hatóság. A pénzügyi szektor magas kockázatú rendszereinél az MNB jár el. A NAIH nem az AI Act alapján, hanem változatlanul a GDPR alapján marad játékban.
- Kihez fordul egy vállalat AI Act ügyben — az AI-Hivatalhoz vagy a nemzeti hatósághoz?Egy átlagos vállalat a nemzeti piacfelügyeleti hatósághoz és az egyablakos kapcsolattartó ponthoz fordul, nem Brüsszelhez. Magyarországon ez a gazdasági és energetikai miniszter szervezete. Az AI-Hivatal kizárólag az általános célú AI-modellek szolgáltatóinak közvetlen felügyelője; az AI-testület koordinál, egyedi ügyben nem dönt.
- Hova lehet panaszt tenni AI Act ügyben, és lehet-e kártérítést követelni?Az AI Act három közjogi csatornát nyit: bárki panaszt tehet a piacfelügyeleti hatóságnál (85. cikk), az érintett magyarázatot kérhet a magas kockázatú döntésről (86. cikk), a bejelentőt pedig a visszaélés-bejelentési irányelv védi (87. cikk). Önálló magánjogi kártérítési igényt viszont nem teremt.
Magas kockázatú rendszerek kötelezettségei
A magas kockázatú besorolás konkrét kötelezettségeket hoz: kockázatkezelési rendszer, adatminőség, műszaki dokumentáció, naplózás, emberi felügyelet, megfelelőségértékelés és CE-jelölés. A kötelezettségek nagy része 2027. december 2-től, az I. melléklet alá tartozó termékeknél 2028. augusztus 2-től alkalmazandó. Az alkalmazói oldal kötelezettségei ettől külön, a 26. cikkben szerepelnek.
- Mi a szolgáltató kötelezettségeinek teljes listája magas kockázatú AI-rendszernél?A 16. cikk tizenkét pontban sorolja fel őket, két rétegben. A termék-réteg a 8–15. cikk: kockázatkezelés, adatkormányzás, műszaki dokumentáció, naplózás, átláthatóság, emberi felügyelet, pontosság és kiberbiztonság. A szervezeti réteg a 17–21., 43. és 47–49. cikk: minőségirányítás, dokumentumőrzés tíz évig, megfelelőségértékelés, EU-megfelelőségi nyilatkozat, CE-jelölés és regisztráció.
- Mit követel az AI Act kockázatkezelési rendszere, és miben más, mint az ISO 42001?A 9. cikk nem szervezeti kockázatot kezel, hanem azt, amit a rendszer harmadik személyek egészségére, biztonságára és alapjogaira jelent — folyamatos, a teljes életciklusra kiterjedő, dokumentált és tesztelésre alapozott folyamatban. Az ISO 31000 és az ISO/IEC 42001 más alanyt véd, és egyik sem harmonizált szabvány, így megfelelőségi vélelmet nem keletkeztet.
- Milyen adatkormányzási és adatminőségi követelmények élnek a magas kockázatú AI tanítóadatára?A 10. cikk (2) nyolc adatkormányzási gyakorlatot ír elő a tanító, validációs és teszt adathalmazokra, a (3) bekezdés pedig az anyagi mércét: relevánsak, kellően reprezentatívak, a lehető legnagyobb mértékben hibamentesek és teljesek legyenek. Hibátlan adathalmazt a jogalkotó nem követel, hanem a rendeltetéshez mért, dokumentált gondosságot.
- Mit kell tartalmaznia a magas kockázatú AI műszaki dokumentációjának és naplózásának?A műszaki dokumentációt a piacra hozatal előtt kell elkészíteni és naprakészen tartani, és a IV. melléklet kilenc pontját kell lefednie. A dokumentációt tíz évig, a szolgáltató kezelésében lévő automatikus naplókat legalább hat hónapig kell megőrizni; az alkalmazói oldalon ugyanez a hat hónap él a 26. cikk (6) alapján.
- Mit kell átadni az AI-rendszer alkalmazójának a 13. cikk alapján?A 13. cikk kettős: egyrészt tervezési követelmény, hogy a rendszer működése kellően átlátható legyen a kimenet értelmezéséhez, másrészt tartalmi minimumlista a használati útmutatóra. Az útmutatónak tömörnek, teljesnek, helyesnek és világosnak kell lennie, és hat témakört kell lefednie a rendeltetéstől a pontossági mérőszámokon át a naplókezelésig.
- Mit jelent jogilag az emberi felügyelet az AI Act 14. cikke szerint?A 14. cikk nem azt követeli, hogy legyen ember a folyamatban, hanem hogy a rendszer tervezésileg tegye lehetővé a tényleges felügyeletet. A felügyelő személynek értenie kell a rendszer korlátait, tudatában kell lennie az automatizálási elfogultságnak, és valós joga kell legyen a kimenet felülbírálására, figyelmen kívül hagyására vagy a rendszer leállítására.
- Hogyan mérhető és dokumentálható az AI pontossága, robusztussága és kiberbiztonsága szabvány nélkül?A 15. cikk célkötelmet fogalmaz meg — megfelelő szintű pontosság, robusztusság és kiberbiztonság —, mérőszámot nem ír elő. Harmonizált szabvány ma nincs, ezért a szolgáltatónak magának kell megindokolnia és dokumentálnia a választott mérőszámokat, a IV. melléklet 4. és 7. pontja alapján. A bizonyítás terhe teljes egészében rajta van.
- Kötelező-e tanúsított minőségirányítási rendszer, és elég-e az ISO/IEC 42001?Tanúsított rendszer nem kötelező: a 17. cikk dokumentált minőségirányítási rendszert követel, nem akkreditált tanúsítványt. Az ISO/IEC 42001 hasznos váz, de nem harmonizált szabvány, így a 40. cikk szerinti megfelelőségi vélelmet nem keletkezteti, és önmagában nem fedi le a 17. cikk (1) valamennyi pontját.
- Mikor elég a belső kontroll, és mikor kell bejelentett szervezet a magas kockázatú AI-nál?A III. melléklet 2–8. pontja szerinti rendszereknél — HR, oktatás, hitelbírálat, alapvető szolgáltatások — mindig elég a VI. melléklet szerinti belső kontroll, bejelentett szervezet nélkül. A szolgáltató maga nyilatkozik. Bejelentett szervezet gyakorlatilag csak a biometrikus rendszereknél kerül szóba, és ott is csak akkor kötelező, ha harmonizált szabvány nem áll rendelkezésre vagy nem alkalmazták.
- Ki, mit és mikor regisztrál az EU AI-adatbázisában?A III. melléklet szerinti magas kockázatú rendszereknél a szolgáltató a piacra hozatal előtt regisztrálja magát és a rendszert az uniós adatbázisban. A 6. cikk (3) alapján önmentesítő szolgáltatónak is regisztrálnia kell — ez a rendelet egyik legkevésbé ismert csapdája. A közhatalmi alkalmazók saját magukat és a használatot is regisztrálják.
AI Act és GDPR — hol találkoznak
Az AI Act és a GDPR párhuzamosan alkalmazandó: az AI Act a rendszer megfelelőségét szabályozza, a GDPR a személyes adatok kezelését. Ugyanaz a művelet mindkettő alá eshet, és a hatásvizsgálatok sem helyettesítik egymást — az alapjogi hatásvizsgálat (FRIA) és az adatvédelmi hatásvizsgálat (DPIA) külön jogintézmény, eltérő alannyal és tartalommal.
- Kire vonatkozik az alapjogi hatásvizsgálat (FRIA), és mi a viszonya a GDPR szerinti DPIA-hoz?Zárt, szűk alanyi kör: közjog által szabályozott szervek, közszolgáltatást nyújtó magánszervezetek, valamint a hitelképesség-értékelő és az élet- vagy egészségbiztosítási kockázatértékelő rendszerek alkalmazói. Egy átlagos magáncég HR-célú AI-használata nem esik ide — ott viszont a GDPR 35. cikk szerinti adatvédelmi hatásvizsgálat jellemzően kötelező.
- Mit követelhet a munkavállaló és az érintett személy, ha AI-rendszer dönt róla?Három, eltérő erősségű jogosultság. A munkavállalói tájékoztatás előzetes és kollektív: a munkáltató a használat előtt tájékoztatja a képviselőket és az érintett munkavállalókat. Az érintetti tájékoztatás egyszerű használati közlés. A 86. cikk szerinti magyarázati jog viszont valódi, kérelemre teljesítendő igény — de csak hátrányos, jelentős hatású döntéseknél.
- Hogyan viszonyul egymáshoz az EU AI Act és a GDPR?Párhuzamosan, egymás mellett alkalmazandók — egyik sem váltja ki a másikat. Az AI Act termékbiztonsági logikájú, a GDPR jogalap-logikájú. Egy rendszer lehet AI Act-konform és mégis GDPR-sértő, és fordítva is. A 2. cikk (7) bekezdés kimondja, hogy a rendelet nem érinti az uniós adatvédelmi jogot.
- Milyen jogalapon lehet személyes adatot használni AI-tanításhoz?A gyakorlatban a GDPR 6. cikk (1) f) pontja szerinti jogos érdek az egyetlen skálázható jogalap. Az EDPB 28/2024. véleménye ezt nem zárja ki, de dokumentált, háromlépcsős érdekmérlegeléshez köti. A hozzájárulás nagy volumenű adatgyűjtésnél nem működőképes. Az „a modell definíció szerint anonim” állítás nem tartható.
- Mikor kezelhető különleges személyes adat AI-torzítás vizsgálatához?A 10. cikk (5) bekezdése szűk, feltételekhez kötött kivétel: kizárólag torzításdetektálás és -korrekció céljából engedi különleges kategóriájú adat kezelését, hat kumulatív garanciával. A Digital Omnibus 2026. július 27-i hatálybalépése óta a felhatalmazás minden AI-rendszerre és általános célú modellre kiterjed, szükségességi teszt mellett.
- Mi a különbség a DPIA és a FRIA között, és összevonható-e a kettő?Más a védett érdek, a kötelezett és a kiváltó ok. A DPIA az adatkezelőt terheli, tárgya a személyesadat-kezelés; a FRIA az alkalmazót, tárgya az alapjogi hatás. Egyik sem váltja ki a másikat, de a 27. cikk (4) kiegészítő viszonyt ír elő, így egyetlen, kétfejezetes dokumentumban elvégezhetők.
- Mit jelent a GDPR 22. cikke és a SCHUFA-ítélet a HR- és hitelezési AI-ra?A 22. cikk önállóan él tovább az AI Act mellett. A SCHUFA-ítélet (C-634/21) szerint már a pontszám előállítása is automatizált döntéshozatalnak minősül, ha a harmadik fél meghatározó mértékben erre támaszkodik. A megfelelési teher tehát a scoring-szolgáltatót is terheli, nem tolható át kizárólag a felhasználóra.
- Előírja-e az AI Act, hogy az adat vagy a modell az EU-ban maradjon?Nem. Az AI Act semmilyen adat- vagy modelllokalizációs kötelezettséget nem tartalmaz. A valódi korlátot a GDPR V. fejezete jelenti a személyes adat harmadik országba továbbítására — ez feltételrendszer, nem tiltás. Minden ezen túli „EU-ban kell maradnia” elvárás szerződéses, közbeszerzési vagy piaci követelmény.
- Használhat-e egy magyar cég amerikai AI-szolgáltatót? Mi a helyzet az adatvédelmi kerettel?Igen. Az EU–USA Adatvédelmi Keret (DPF) megfelelőségi határozata hatályos, a Törvényszék 2025 szeptemberében elutasította az ellene indított keresetet. Fellebbezés viszont folyamatban van a Bíróság előtt, és 2026-ban két új sebezhetőség jelent meg. Alkalmazható, de nem tekinthető stabilnak: érdemes fallback szerződéses klauzulákat és adattovábbítási hatásvizsgálatot fenntartani mellette.
- Adatkezelő vagy adatfeldolgozó az AI-modell szolgáltatója?Funkciótól függ, és jellemzően fázisonként eltér. A modell tanításakor a szolgáltató rendszerint önálló adatkezelő; az API-n keresztüli, ügyfél-utasításra történő használatnál adatfeldolgozó. Ha az ügyféladatot saját modelljavításra használja, e körben ismét adatkezelővé válik. A minősítést a tényleges befolyás dönti el, nem a szerződés címkéje.
Nem biztos benne, hogy melyik kötelezettség vonatkozik Önökre?
Két perc, tizenkét kérdés, regisztráció nélkül — a végén megkapja, hogy a cége mely kötelezettségek alá esik, és mely határidők élnek Önöknél.
AI Act ellenőrzés indításaEz az oldal általános tájékoztatás, nem jogi tanácsadás. Nem helyettesíti a konkrét tényálláson alapuló jogi értékelést, és nem hoz létre megbízási vagy ügyvéd-ügyfél viszonyt. A jogállapotot 2026. augusztus 4-én ellenőriztük elsődleges forrásból; ahol a jog vagy a hatósági gyakorlat bizonytalan, azt a válaszban külön jelezzük.