EU AI Act Omnibus 2026 — mit jelent a megállapodás a magyar KKV-knak?

Az Európai Unió 2024-ben fogadta el a világ első átfogó mesterségesintelligencia-szabályozását, az AI Actet (EU 2024/1689). Másfél év üzemeltetési tapasztalat, ipari visszajelzések és politikai nyomás után azonban a Bizottság már 2025 novemberében elismerte: a szabályozás túl komplex és túl gyorsan indul — különösen a kis- és középvállalkozások (KKV) szempontjából. A Digital Omnibus on AI néven futó módosító csomagra 2026. május 7-én született politikai megállapodás a Parlament és a Tanács között. A Taylor Wessing elemzése szerint a megállapodást május 6-án zárták le a háromoldalú tárgyaláson, és május 7-én jelentették be hivatalosan.

Ebben a cikkben átfogóan végigvesszük: mit változtat a megállapodás, melyek a magyar KKV-kra vonatkozó konkrét határidők, hogyan értelmezzük a Bizottság május 22-én közzétett high-risk osztályozási iránymutatásait, és milyen lépéseket érdemes most megtenni a felkészüléshez. Állapot: a végleges rendelet-szöveg megjelent az EU Hivatalos Lapjában, és a módosítás 2026. július 27-én hatályba lépett — a cikkben szereplő határidők így már véglegesek.

1. A Digital Omnibus on AI politikai megállapodás — mit jelent pontosan?

Az AI Act elfogadása óta a Bizottság, a tagállamok és az ipar egyetértettek abban, hogy a 2024-es szöveg túl szigorú dokumentációs és időzítési követelményeket támaszt — különösen olyan szektoroknál, ahol már létezik átfogó termékbiztonsági szabályozás (orvostechnika, gépgyártás). A Bizottság ezért 2025. november 19-én terjesztette elő a Digital Omnibus on AI módosító rendeletjavaslatot.

A 2026. május 7-i politikai kompromisszum — a Mishcon de Reya jogi elemzése szerint — az alábbi főbb területeken hozott áttörést:

• Halasztott high-risk kötelezettségek: 2027. december 2. (Annex III) és 2028. augusztus 2. (Annex I)
• Új tilalmak: AI által generált, beleegyezés nélküli intim képek és gyermekek szexuális kizsákmányolásával kapcsolatos anyagok — 2026. december 2-tól.
• Megerősített AI Office: bővített vizsgálati és kötelező intézkedési jogkör.
• KKV-könnyítések: formális KKV-definíció, arányos dokumentáció, kedvezményes bírság-keret, prioritásos sandbox-hozzáférés.
• Enyhített AI literacy: a "megfelelő szint biztosítása" helyett "a fejlesztés támogatása" elegendő.
• Gépgyártás kikerült az AI Act közvetlen hatálya alól: szektorális termékjog (Machinery Regulation) szabályozza, delegált aktusok későbbi finomhangolással.

A megállapodást azóta mindkét társjogalkotó formálisan jóváhagyta — az Európai Parlament 2026. június 16-án, a Tanács 2026. június 29-én —, a rendelet pedig az EU Hivatalos Lapjában való kihirdetés után 2026. július 27-én hatályba lépett.

2. Idővonal — mire mikor kell felkészülnie egy magyar KKV-nak?

A legfontosabb gyakorlati kérdés: milyen sorrendben lépnek hatályba a kötelezettségek, és milyen dátumokat érdemes beírni a határidő-naptárba?

Már most hatályos elemek (2025-ből)

• 2025. február 2. — Az AI Act 5. cikke szerinti tiltott AI-gyakorlatok (pl. tömeges biometrikus megfigyelés bizonyos esetei, manipulatív rendszerek) és az MI-jártasság (4. cikk) támogatásának kötelezettsége (2026. július 27. óta „támogatás”).
• 2025. augusztus 2. — A General-Purpose AI (GPAI) modellek szolgáltatóira vonatkozó kötelezettségek, intézményi felügyeleti struktúrák, szankciós keret hatályba lépett.

2026: a transparency-év

• 2026. augusztus 2. — Az AI Act 50. cikke (transparency obligations) általános alkalmazása: chatbot-, voicebot- és deepfake-jelölési kötelezettségek (szerepkör szerint megosztva), valamint a hatósági végrehajtás (AI Office + tagállami hatóságok) indulása. Az Európai Bizottság 2026. július 20-án iránymutatást és hivatalos jelölő ikonkészletet is publikált.
• 2026. december 2. — Az 50. cikk (2) szerinti gépi jelölés (watermarking, metaadat) türelmi ideje ér véget azoknál a generatív rendszereknél, amelyeket 2026. augusztus 2. előtt hoztak forgalomba (111. cikk (4)); az újabb rendszerekre a jelölés 2026. augusztus 2. óta alkalmazandó. A Euronews összefoglalója szerint ezzel együtt lép hatályba a beleegyezés nélküli intim képek tilalma is.

2027–2028: high-risk hullám

• 2027. december 2. — Minden tagállamnak operatív, működő AI sandboxot kell biztosítania (a magyar hatóságok felelőssége) — az Omnibus végleges szövege az eredeti határidőt erre tolta ki.
• 2027. december 2. — Az Annex III szerinti high-risk AI rendszerekre (HR-szűrés, oktatási értékelés, kredit scoring, biometrikus azonosítás, kritikus infrastruktúra) vonatkozó teljes követelményrendszer.
• 2028. augusztus 2. — Az Annex I szerinti high-risk AI (azaz uniós termékjog alá tartozó AI-funkciók, pl. orvostechnikai eszközben, járműben, ipari gépben) követelményeinek alkalmazási határideje.

A Bizottság ugyanakkor — a Taylor Wessing részletes leírása szerint — fenntartja a "feltételes kezdés" jogát: ha a harmonizált szabványok, közös specifikációk és iránymutatások korábban elkészülnek, a high-risk kötelezettségek a fenti dátumoknál akár 6-12 hónappal hamarabb is beindulhatnak.

Ha a magyar AI-stratégiád tágabb keretrendszerét építed, ajánljuk MI-stratégia vállalkozásoknak 2026 cikkünket, amely a teljes felkészülési ütemtervet ismerteti.

3. High-risk besorolás — a Bizottság 2026. május 22-i iránymutatása

A Bizottság 2026. május 22-én tette közzé a high-risk AI rendszerek osztályozási iránymutatásainak tervezetét (a nyilvános konzultáció 2026. június 23-ig tart). A Wilson Sonsini elemzése a következő kulcsmegállapításokat emeli ki:

A "szándékolt cél" elve dominál

"The intended purpose of an AI system is fundamental in assessing whether it qualifies as high-risk."
("Egy AI rendszer szándékolt célja alapvető fontosságú annak megítélésében, hogy magas kockázatúnak minősül-e." — Európai Bizottság, iránymutatás-tervezet, 2026.)

Ez azt jelenti: nem lehet kibújni a high-risk besorolás alól általános "felelősséget kizáró" nyilatkozatokkal. Ha az AI rendszer ténylegesen HR-szűrésre, oktatási értékelésre vagy kredit-pontozásra használható, az besorolás szempontjából döntő, nem pedig a használati feltételekben elhelyezett kizáró klauzula.

Az emberi felügyelet önmagában nem elég

A Data Protection Report összefoglalója szerint az iránymutatás egyértelműsíti: az AI rendszerbe épített emberi felügyelet (human-in-the-loop) nem csökkenti a rendszer high-risk besorolását. Egy AI HR-eszköz akkor is high-risk marad, ha a végső döntést egy HR-vezető hozza meg az AI ajánlása alapján.

A négy szűk derogáció

Az iránymutatás négy szűken értelmezett esetkört határoz meg, amikor egy alapvetően Annex III alá eső AI rendszer mégis kikerülhet a high-risk kategóriából:

1. Szűk eljárási feladatok (pl. dokumentum-kategorizálás)
2. Befejezett emberi munka javítása (pl. helyesírás-ellenőrzés)
3. Döntési minták felismerése emberi értékelés helyettesítése nélkül
4. Előkészítő értékelések (pl. CV-előszűrés alapadatok strukturált kinyerésére)

Általános példák (tájékoztató jelleggel; az egyedi besorolás jogi kérdés)

4. Transparency-kötelezettségek — 2026. augusztus 2-tól élesben

Az AI Act 50. cikke alapján a transparency-kötelezettségek a high-risk besorolástól függetlenül vonatkoznak minden olyan AI-használatra, ahol végfelhasználói interakció történik. A Bizottság 2026. május 8-án tette közzé a részletes transparency-iránymutatások tervezetét — a Bizottság 2026. július 20-án közzétette az iránymutatást, a főbb kötelezettségek:

Chatbot- és voicebot-jelölés

Minden olyan AI rendszernél, amely természetes személyekkel közvetlenül interakcióba lép, egyértelműen, jól láthatóan és az interakció elején közölni kell, hogy az ügyfél AI-jal kommunikál. Például:

• Chat widget első üzenete: "Üdvözlöm! Az alábbi válaszokat egy AI asszisztens generálja."
• Voicebot bevezető: "A hívást egy AI hangasszisztens fogadja..."
• Email-automatizáció: AI által generált válasz jelzése a tárgysorban vagy aláírásban.

A SocialPro voice agent megoldásaiba beépítjük a hívás eleji MI-jelzést — érdemes átnézni a meglévő automatizációkat is, hogy van-e bennük ilyen jelzés.

Generatív AI tartalmak megjelölése (2026. december 2-tól)

Ha egy vállalkozás generatív AI-t használ marketinganyag, blog-poszt, termékleírás vagy reklám létrehozására, a jelölési kötelezettség szerepkör szerint oszlik meg: a gépi jelölés a rendszer szolgáltatójának dolga (50. cikk (2)); az alkalmazónak a deepfake-et és a közérdekű, emberi szerkesztés nélkül közzétett szöveget kell jelölnie (50. cikk (4)):

• Deepfake-nél és a közérdekű, emberi szerkesztői ellenőrzés nélkül közzétett szövegnél felismerhetően jelezni kell (pl. „AI által generált”); egyéb marketingszövegnél a jelölés jó gyakorlat, de az AI Act nem írja elő általánosan
• A generatív rendszerből származó tartalomnak technikai metaadatban (C2PA, watermarking) is hordoznia kell az AI-eredetet — ez a rendszer szolgáltatóinak (OpenAI, Anthropic, Google, Midjourney) feladata (50. cikk (2)); a gépi jelölés 2026. augusztus 2. óta alkalmazandó, a korábban forgalomba hozott rendszereknél 2026. december 2-ig türelmi idővel (111. cikk (4)). Érdemes olyan szolgáltatót választani, amely ezt támogatja.

Deepfake-tilalom és -jelölés

Ha a KKV olyan kép-, hang- vagy videótartalmat tesz közzé, amely AI segítségével valós személyt imitál vagy valósnak tűnik:

• Tilos a beleegyezés nélküli intim deepfake előállítása (2026. december 2-tól; az AI Act tiltott gyakorlatai közé tartozik, bírságsávja a 99. cikk (3) szerinti).
• Egyéb deepfake-eknél a jelzés kötelező (50. cikk (4)); művészi, szatirikus vagy fikciós tartalomnál a jelzés módja enyhébb lehet, pl. „Mesterségesen generált tartalom”.

5. Sandbox és KKV-könnyítések — milyen segítségre számíthat egy magyar vállalkozás?

A Digital Omnibus on AI egyik fő üzenete a KKV-knak: a Bizottság komolyan veszi az innováció-támogatást. A Regulatory Review elemzése szerint a sandboxok az alábbi előnyöket nyújtják:

• Ellenőrzött tesztkörnyezet — high-risk AI rendszereket valós piaci bevezetés előtt lehet tesztelni hatósági felügyelet alatt.
• Bizottsági guidance és sablonok — risk management plan, technikai dokumentáció, DPIA minták.
• Prioritásos hozzáférés KKV-knak és "small mid-caps" cégeknek — az új formális KKV-definíció megerősíti ezt az elsőbbséget.
• Valós környezetben történő tesztelés — a sandbox keretein belül és — ellenőrzött feltételekkel — azon kívül is.

Magyar szempontból fontos, hogy a Ht. 10. §-a szabályozói tesztkörnyezetet (sandbox) ír elő; a hatóságok kijelölése: bejelentő hatóság a Nemzeti Akkreditáló Hatóság, piacfelügyeleti hatóság az MI Piacfelügyeleti Hatóság.

A jelenleg elérhető fejlesztési forrásokról és pályázatokról a DIMOP-C-26 magyar KKV pályázat áttekintőnk ad részletes képet — a sandboxhoz kapcsolódó támogatások valószínűleg ezeken a csatornákon érhetők majd el.

6. Szankciók — mekkora büntetésekre kell számítani?

Az AI Act bírságolási rendszere a GDPR-hoz hasonló többszintű logikát követ. A Digital Omnibus on AI a szankciókereten — a jelenlegi információk alapján — nem változtat radikálisan, de KKV-knál arányosított büntetés-keretet vezet be. A Mishcon de Reya megerősíti, hogy a non-consensual deepfake tilalom megszegése akár 35 millió EUR vagy a globális éves árbevétel 7%-ának megfelelő bírsággal sújtható — attól függően, melyik a magasabb.

Az AI Act általános (másodlagos forrásokból ismert) szankciószintjei — a bírságsávok a konszolidált AI Act 99. cikkében: (3) 35 M EUR / 7%; (4) 15 M EUR / 3% (köztük az 50. cikk); (5) 7,5 M EUR / 1%; (6) KKV-nál az alacsonyabb érték:

Magyar KKV-szempontból: egy 200 millió forint éves árbevételű cégnél a hatósági együttműködés megsértésének elméleti maximuma kb. 2 millió forint (1%) lehet, de a tényleges büntetés mértéke az eljáró hatóság (az MI Piacfelügyeleti Hatóság) gyakorlatától függ.

Jogi értékelést nem végzünk; jogi kérdésben fordulj ügyvédhez. Az MI-eszközeid műszaki feltérképezéséről az AI governance — műszaki felkészítés oldalunkon olvashatsz.

A kapcsolódó kiberbiztonsági kockázatokról és NIS2-kötelezettségekről bővebben AI kibertámadás és KKV-védekezés 2026 cikkünkben olvashatsz.

7. Felkészülési ellenőrzőlista magyar KKV-knak — 2026-2028

Az alábbi táblázat összefoglalja a legfontosabb teendőket. A checklist nem helyettesít egy egyedi jogi auditot — a saját AI use case-ed konkrét besorolásához kérj szakmai tanácsadást.

8. Szakértői álláspontok — mit mondanak a jogi és politikai szereplők?

A megállapodás politikai fogadtatása vegyes. A Euronews riportjában Sergey Lagodinsky Zöld EP-képviselő óvatos kritikát fogalmazott meg:

"By having excluded machinery, we're making a first step into fragmenting AI regulation."
("Azzal, hogy a gépgyártást kivettük az AI Act hatálya alól, megtesszük az első lépést az AI-szabályozás fragmentálása felé." — Sergey Lagodinsky EP-képviselő, Zöldek)

Az ipari oldalon — az Osborne Clarke összefoglalója szerint — a megállapodást alapvetően pragmatikus kompromisszumként értékelték, amely "a szabályozó ütemtervet a technológiai realitásokhoz igazítja". Európai AI-fejlesztők (Cohere, Aleph Alpha) korábban nyíltan azt sürgették, hogy a Bizottság a high-risk küszöböt KKV-szempontból racionalizálja — erről részletesen írtunk a Cohere–Aleph Alpha lobbi 2026-os cikkünkben.

A Wilson Sonsini Goodrich & Rosati elemzése szerint az iránymutatások egyik leglényegesebb gyakorlati üzenete a vállalatok számára:

"Broad disclaimers cannot avoid high-risk classification."
("Általános felelősség-kizáró nyilatkozatokkal nem lehet a high-risk besorolás alól kibújni." — Wilson Sonsini, 2026. május 22.)

9. A magyar hatósági kontextus — a kijelölt AI-hatóságok

Az AI Act megköveteli a tagállamoktól, hogy nemzeti felügyeleti hatóságot jelöljenek ki. Magyarországon a 2025. évi LXXV. törvény és a 344/2025. (X. 31.) Korm. rendelet szerint a bejelentő hatóság a Nemzeti Akkreditáló Hatóság, a piacfelügyeleti hatóság pedig az MI Piacfelügyeleti Hatóság; a NAIH a GDPR oldaláról van jelen.

Az alábbi általános felkészülési lépéseket érdemes mérlegelni (jogi kérdésekben ügyvéddel egyeztetve):

1. Belső AI-felelős kijelölése — nem feltétlenül új pozíció, hanem meglévő DPO vagy compliance-felelős kibővített hatáskörrel.
2. MI-leltár készítése — minden használt MI-rendszer (saját fejlesztés, SaaS, beágyazott modul) listája, használati céllal; a kockázati besorolás jogi kérdés, ügyvéddel érdemes elvégezni.
3. Beszállítói szerződések audita — különös tekintettel a transparency- és watermark-szolgáltatásokra (OpenAI Enterprise, Anthropic, Microsoft Copilot).
4. DPIA-sablon adaptáció — az EDPB 2026. április 14-én publikált egységes DPIA-sablonja jó kiindulópont, integrálni érdemes az AI-specifikus kockázatértékeléssel.
5. Workforce-képzés indítása — alapszintű AI literacy minden alkalmazottnak, mélyebb képzés AI-fejlesztőknek és HR-eseknek.

Ha az AI-stratégiád keretrendszerét most építed, ajánljuk az EU AI Act magyar KKV alapcikkünket a korai bevezetésről, és az AI ügynök működése KKV-knak cikkünket, amely az operatív bevezetési mintázatokat ismerteti.

10. Gyakorlati felkészülési ütemterv — a következő 18 hónap

2026. június–augusztus (most–transparency-deadline)

• MI-leltár készítése; a use case-ek jogi besorolása ügyvéddel
• Chatbot, voicebot, AI ügyfélszolgálat AI-jelölésének bevezetése
• Beszállítói (SaaS, modell-provider) szerződések átvizsgálása
• Alapszintű AI literacy képzés indítása

2026. szeptember–december (watermark-deadline)

• Generatív AI workflow-k átvizsgálása (marketing, content, design)
• Watermark / C2PA metaadat-támogató szolgáltatók kiválasztása
• Deepfake-audit: minden AI-generált tartalom megjelölése
• DPIA-sablon adaptáció AI-specifikus kockázatokra

2027. első félév (high-risk pre-deadline)

• Ha high-risk AI fejlesztésén/bevezetésén dolgozol: Magyar sandbox-pályázat (várhatóan 2027 közepétől)
• Risk management plan, technikai dokumentáció előkészítése
• Emberi felügyeleti folyamatok formalizálása
• Post-market monitoring rendszer tervezése

2027. július–december (high-risk go-live)

• Annex III high-risk rendszereknél a követelmények alkalmazásának ellenőrzése (ügyvéddel)
• Külső jogi audit (ajánlott)
• EU-adatbázis regisztráció
• Belső incidenskezelési rendszer beüzemelése

Gyakori kérdések (FAQ)

Mikor lép hatályba az új, módosított AI Act?

Már hatályba lépett: a Parlament 2026. június 16-án, a Tanács június 29-én hagyta jóvá a végleges szöveget, amely az EU Hivatalos Lapjában való kihirdetés után 2026. július 27-én lépett hatályba.

Magyar KKV vagyok, ChatGPT-vel írok blog-posztokat — kell-e jelölnöm az AI-eredetet?

Az AI Act nem írja elő általánosan, hogy minden ChatGPT-vel írt szöveget jelölni kell. A gépi jelölés (watermark, metaadat) a generatív rendszer szolgáltatójának feladata (50. cikk (2)); az alkalmazónak a deepfake-et és a közérdekű, emberi szerkesztés nélkül közzétett szöveget kell jelölnie (50. cikk (4)). A gépi jelölés türelmi ideje a korábban forgalomba hozott rendszereknél 2026. december 2-ig tart. Érdemes ellenőrizni, hogy a CMS (WordPress, Astro stb.) megőrzi-e a C2PA metaadatokat.

HR-szűrő AI-t használunk — mikor kell megfelelni a high-risk követelményeknek?

Az Annex III szerinti high-risk rendszerekre a követelmények 2027. december 2-től alkalmazandók; a felkészüléshez érdemes időben elkezdeni a kockázatkezelés, a műszaki dokumentáció és az emberi felügyelet megtervezését. A szabályozói tesztkörnyezet (sandbox) a Ht. 10. §-a szerint működhet.

Mi a különbség a "high-risk" és a "limited risk" AI rendszer között?

High-risk: az Annex I (uniós termékjog alá tartozó) vagy Annex III (önálló érzékeny területeken működő — HR, oktatás, biometria, kredit, kritikus infrastruktúra) listán szereplő AI rendszer. A teljes követelményrendszer (kockázatkezelés, dokumentáció, emberi felügyelet, EU-regisztráció) vonatkozik rá. Limited risk: chatbot, voicebot, deepfake — főként átláthatósági (jelölési) kötelezettség (50. cikk), 2026. augusztus 2-tól.

Kik felelnek Magyarországon az AI Act érvényesítéséért?

Magyarországon a bejelentő hatóság a Nemzeti Akkreditáló Hatóság, a piacfelügyeleti hatóság az MI Piacfelügyeleti Hatóság (2025. évi LXXV. törvény, 344/2025. Korm. rendelet); a GDPR-t a NAIH felügyeli.

Mekkora bírságra számíthatok, ha nem felelek meg a transparency-szabályoknak 2026. augusztus 2-tól?

Az 50. cikk megsértése a 99. cikk (4) bekezdése szerint legfeljebb 15 millió euróval vagy a globális éves árbevétel 3%-ával, forintban legfeljebb 5,7 milliárd forinttal sújtható (344/2025. Korm. rendelet 4. §); KKV-nál a két érték közül az alacsonyabb az irányadó.

Összegzés — mit tegyen egy magyar KKV most?

A 2026. július 27-én hatályba lépett Digital Omnibus on AI időt adott, de nem mentett fel. A legfontosabb gyakorlati üzenetek:

1. 2026. augusztus 2. — A transparency-szabályok élesedtek, a hatósági végrehajtás elindult. Chatbot, voicebot, generatív AI használatánál azonnal kell intézkedni.
2. 2026. december 2. — a korábban forgalomba hozott generatív rendszerek gépi jelölési türelmi idejének vége és az új deepfake-tilalom (beleegyezés nélküli intim tartalom) hatálybalépése.
3. 2027. december 2. — Annex III high-risk AI (HR, kredit, oktatás, biometria) teljes követelményrendszere.
4. 2028. augusztus 2. — Annex I high-risk AI (orvostechnika, gépgyártás, jármű) követelményei.

A KKV-knak a legjobb stratégia: most kezdeni. Egy MI-leltár, alapszintű MI-oktatás és átláthatósági jelzés bevezetése nem feltétlenül költséges; az 50. cikk szerinti jelzés 2026. augusztus 2. óta alkalmazandó, ahol a szerepköröd miatt vonatkozik rád.

Frissítve: 2026. augusztus 5. — a végleges Digital Omnibus on AI rendelet megjelent az EU Hivatalos Lapjában, és 2026. július 27-én hatályba lépett.

Az írás általános, műszaki jellegű tájékoztatás. Nem jogi tanácsadás, nem jogszabályi megfelelőségi értékelés, és nem helyettesíti az ügyvédi véleményt. A te konkrét helyzetedre vonatkozó jogi kérdésekben fordulj ügyvédhez; mi a műszaki tényeket és a rendszer technikai megvalósítását adjuk.