EU AI Act megfelelőség magyar cégeknek — érthetően, határidőre

2024.08.01. hatályba lépés EU-szinten. 2025.02.02. — tiltott AI gyakorlatok + AI literacy kötelezettség. 2025.08.02. — GPAI (általános célú AI modellek) szabályok. 2026.08.02. — átláthatósági kötelezettségek (50. cikk) + a végrehajtás és bírságolás megkezdése. Az AI Omnibus módosító rendelet (hatályos: 2026.07.27.) a magas kockázatú rendszerek határidejét 2027.12.02-re (Annex III), a termékbe ágyazott rendszerekét 2028.08.02-re (Annex I) halasztotta. Magyar végrehajtás: a 2025. évi LXXV. törvény és a 344/2025. (X. 31.) Korm. rendelet 2025.12.01-től alkalmazandó.

Az AI Act 50. cikke szerint: (1) a chatbotoknál és voicebotoknál jelezni kell, hogy a felhasználó géppel kommunikál; (2) az AI-generált vagy jelentősen módosított tartalmat (kép, hang, videó, szöveg) géppel olvasható módon meg kell jelölni; (3) a deepfake tartalmakat láthatóan címkézni kell. Az Európai Bizottság 2026 júliusában iránymutatást és átláthatósági gyakorlati kódexet (Code of Practice on Transparency of AI-generated Content) adott ki. A már piacon lévő generatív AI rendszerekre 2026. december 2-ig tart a technikai átmeneti időszak.

Igen, minden vállalkozásra mérettől függetlenül. Ha ChatGPT-t, Copilot-ot, chatbotot vagy bármilyen AI eszközt használ a mindennapi munkában, érintett. A rendelet extraterritoriális hatályú: EU-n kívüli cégekre is vonatkozik, ha rendszerük outputját az EU-ban használják. KKV-knak és startupoknak alacsonyabb bírság-plafon jár (a két összeg közül az alacsonyabb). A pontos KKV-specifikus teendők lépésről lépésre az EU AI Act magyar KKV útmutatónkban.

Az EU AI Act Annex III-ban felsorolt területeken működő AI: hitelbírálat, munkaerő-felvétel (CV szűrés, teljesítményértékelés), biometrikus azonosítás, oktatási értékelés (vizsga, felvételi), kritikus infrastruktúra, bűnüldözés, határellenőrzés, igazságszolgáltatás, egészségügyi diagnosztika. Az AI Omnibus halasztása után 2027.12.02-től ezekre teljes körű compliance kötelező: kockázatkezelés, műszaki dokumentáció, emberi felügyelet, CE megjelölés.

2025.02.02 óta minden cégnek biztosítania kell, hogy az AI-rendszert fejlesztő, integráló vagy használó munkavállalóik megfelelő AI-ismerettel rendelkezzenek (EU AI Act 4. cikk). Érinti: fejlesztők, integrátorok, adattudósok, end-user-ek (HR, marketing, ügyfélszolgálat). A képzésnek ki kell térnie a technológia működésére, kockázataira és a felelős használatra. Dokumentáció kötelező — ellenőrzéskor be kell mutatni.

Három szint: 35M EUR vagy 7% árbevétel (tiltott gyakorlatok); 15M EUR vagy 3% (egyéb kötelezettség); 7,5M EUR vagy 1,5% (hiányos információ). Magyarországon a jogszabály a felső határt 13,3 milliárd HUF-ban rögzíti. KKV és mikrovállalkozás esetén a két összeg közül az alacsonyabb alkalmazandó. Fizetési határidő: 30 nap a hatóság felé.

Nemzeti Akkreditáló Hatóság (AI Notification Authority — megfelelőségi értékelők kijelölése) és a Nemzetgazdasági Minisztérium (AI Market Surveillance Authority — ellenőrzés, bírságolás, regulatory sandbox). Tanácsadó szerv: Magyar Mesterséges Intelligencia Tanács. Adatvédelmi területen a NAIH jár el (átfedés: biometrikus adatok, automatizált döntéshozatal). Magyar kormánybiztos: Dr. Palkovics László.

Igen, de általában korlátozott kockázatú kategóriába esik (transzparencia kötelezettség: jelölni kell, hogy AI). Ha viszont személyes adatokat (ügyfélnév, TAJ szám, HR adatok) másol be a ChatGPT-be, az GDPR-kérdést is felvet. Ha ChatGPT-vel toborzási döntéseket támogat vagy hitelelbírálást végez, az már magas kockázatú kategória — teljes compliance kötelező. Szükséges: AI policy, literacy tréning, használati dokumentáció.

Ha a cége AI-rendszert fejleszt, vagy saját neve, márkája alatt hoz forgalomba, akkor szolgáltató (provider) — övé a teljes műszaki dokumentáció, a megfelelőségértékelés és a CE-jelölés. Ha más cég AI-eszközét használja a működésében (ChatGPT, Copilot, bérelt chatbot), akkor alkalmazó (deployer) — fő kötelezettségei: emberi felügyelet, naplómegőrzés, átláthatóság, AI literacy. Fontos: ha egy megvásárolt rendszert jelentősen átalakít vagy saját márkanéven kínál tovább, a cég deployerből providerré válhat. A legtöbb magyar KKV alkalmazó (deployer).

A Digitális Omnibus 2026. július 27-én lépett hatályba, és módosította az AI Act menetrendjét: a magas kockázatú (Annex III) rendszerek megfelelési határidejét 2027. december 2-re halasztotta, a termékbe ágyazott (Annex I) rendszerekét 2028. augusztus 2-ben rögzítette. Az átláthatósági kötelezettségek nem tolódtak — azok 2026. augusztus 2. óta élnek. A tiltott gyakorlatok tilalma és a bírságkeretek változatlanok maradtak, a módosítás célja az adminisztratív egyszerűsítés volt, nem a szabályok enyhítése.

Három szinten: (1) géppel olvasható jelölés — a nagy generatív AI-eszközök többsége már beépítve tartalmazza (pl. C2PA-metaadat, vízjel), ezt nem szabad eltávolítani; (2) látható címke — deepfake-nél és valósnak tűnő tartalomnál kötelező felirat; (3) közzétételi gyakorlat — weboldalon, blogban jelezhető, hogy a tartalom AI közreműködésével készült. Az Európai Bizottság átláthatósági gyakorlati kódexet (Code of Practice on Transparency of AI-generated Content) is kiadott a jelölés módjáról. Példa a gyakorlati megvalósításra: a SocialPro AI-átláthatósági nyilatkozata.

A GDPR a személyes adatok védelmét szabályozza, az AI Act az AI rendszerek biztonságos és etikus működését. A kettő egymást kiegészíti — egy személyes adatokat feldolgozó AI rendszerre mindkét szabályozás vonatkozik egyidejűleg. Átfedés: biometrikus adatok, automatizált döntéshozatal. A bírságok is összeadódhatnak: egyetlen incidens mindkét törvény alapján szankcionálható.

Az AI audit az AI-rendszerek kockázati besorolásának, adatminőségének, modell-torzításának, naplózásának és megfelelőségének független vizsgálata. Ajánlott: high-risk AI piacra vitele előtt, új AI-eszköz bevezetésekor, incidens után, és évente legalább egyszer. Eszközök: MLflow, Weights & Biases, evidently AI. A SocialPro AI auditja 2 hét alatt elkészül, és tartalmaz kockázati besorolást, gap-elemzést, és cselekvési tervet.

5 lépés 90 nap alatt: (1) AI inventory készítés — minden használt AI rendszer feltérképezése; (2) kockázati besorolás (tiltott / magas / korlátozott / minimális); (3) AI policy kialakítás + AI literacy tréning a munkavállalóknak; (4) high-risk AI esetén műszaki dokumentáció (Annex IV) + emberi felügyeleti folyamatok; (5) folyamatos monitoring és 15 napos incidens jelentési protokoll. Hosszú táv: ISO/IEC 42001 + EU megfelelőségi nyilatkozat. Kérj ingyenes 2 perces felmérést.