Az AI-rendelet külön szerepet és külön kötelezettségeket ad annak a szervezetnek, amely egy kész AI-rendszert a saját működésében használ, akkor is, ha a modellt nem ő fejlesztette. Egy könyvelőiroda, amely chatbotot tesz a honlapjára, vagy egy gyártó cég, amely AI-alapú eszközzel szűri az önéletrajzokat, már a rendelet hatálya alá tartozik, csak más kötelezettségekkel.
Mit szabályoz az (EU) 2024/1689 rendelet
A teljes cím: az Európai Parlament és a Tanács (EU) 2024/1689 rendelete a mesterséges intelligenciára vonatkozó harmonizált szabályok megállapításáról. A rendeletet 2024 júliusában hirdették ki az Európai Unió Hivatalos Lapjában, és 2024. augusztus 1-jén lépett hatályba. Rendeletként minden tagállamban közvetlenül alkalmazandó, nem kell hozzá nemzeti átültető törvény, ahogy a NIS2 irányelvhez kellett. A tagállamok feladata a felügyeleti hatóságok kijelölése és a szankciók részletszabályai.
A szabályozás tárgya az AI-rendszer. A rendelet szerint ez olyan gépi alapú rendszer, amely változó mértékű önállósággal működik, a telepítés után alkalmazkodhat, és a kapott bemenetből következtet arra, hogyan állítson elő kimenetet: előrejelzést, tartalmat, ajánlást vagy döntést, amely fizikai vagy virtuális környezetet befolyásolhat. A meghatározás szándékosan tág. Egy szabályalapú, előre rögzített logikával működő program jellemzően kívül esik rajta, egy gépi tanulással készült osztályozó vagy egy nyelvi modellre épülő asszisztens viszont belül van. Az Európai Bizottság 2025 februárjában iránymutatást adott ki a fogalom értelmezéséhez.
A rendelet kiterjed az unióban letelepedett alkalmazókra, vagyis az itt működő, AI-t használó szervezetekre, valamint azokra a szolgáltatókra, amelyek az unióban hoznak forgalomba vagy helyeznek üzembe AI-rendszert, akár unión kívül vannak, akár nem. Akkor is alkalmazandó, ha egy unión kívüli szolgáltató vagy alkalmazó rendszerének kimenetét az unióban használják fel. Nem vonatkozik a katonai, védelmi és nemzetbiztonsági célú rendszerekre, a kizárólag tudományos kutatásra fejlesztett rendszerekre, és arra, aki magáncélra, nem szakmai tevékenységhez használ AI-t. Az adatvédelmi szabályok mellette változatlanul érvényesek: ha egy AI-rendszer személyes adatot kezel, a GDPR ugyanúgy alkalmazandó rá.
Kockázati kategóriák: tiltott, magas kockázatú, átláthatósági, minimális
A rendelet a felhasználási célt sorolja be. Ugyanaz a nyelvi modell egy belső tudásbázis keresőjeként a legenyhébb csoportba esik, a munkavállalók teljesítményének értékelésére használva viszont magas kockázatú lehet.
Tiltott gyakorlatok
Az 5. cikk felsorolja azokat a felhasználásokat, amelyeket az unióban egyáltalán nem szabad alkalmazni. Ide tartozik a tudatosság alatti vagy szándékosan manipulatív technika, amely torzítja az emberek döntését és kárt okoz, a kor, fogyatékosság vagy társadalmi helyzet miatti kiszolgáltatottság kihasználása, és a társadalmi pontozás. Tilos az arcképek célzás nélküli begyűjtése internetről vagy kamerafelvételekből arcfelismerő adatbázis építéséhez, a munkahelyi és oktatási érzelemfelismerés (orvosi és biztonsági célú kivétellel), valamint a biometrikus adatokon alapuló kategorizálás, amely például vallásra, politikai véleményre vagy szexuális irányultságra következtet. A bűnüldözési célú, valós idejű távoli biometrikus azonosítás nyilvános helyen szűk kivételekkel szintén tiltott. A 2026-os módosítás két tétellel bővítette a listát: tilos az olyan rendszer, amely azonosítható személyről a beleegyezése nélkül készít valósághű intim vagy szexuális tartalmú képet, videót vagy hangot, és az is, amely gyermekek szexuális bántalmazását ábrázoló anyagot állít elő. Ez a két tilalom 2026. december 2-tól alkalmazandó. A tiltott gyakorlatok megsértéséért a bírság legfeljebb 35 millió euró vagy a teljes éves világpiaci forgalom 7%-a lehet. Nagyvállalatnál a kettő közül a magasabb számít, kkv-nál és induló vállalkozásnál az alacsonyabb.
Magas kockázatú rendszerek
Két úton lehet egy rendszer magas kockázatú. Az egyik, ha egy uniós termékbiztonsági jogszabály hatálya alá tartozó termék biztonsági eleme vagy maga a termék, például gép, orvostechnikai eszköz vagy felvonó esetén (I. melléklet). A másik, ha a III. mellékletben felsorolt alkalmazási területek egyikén használják. Ezek közül egy átlagos szervezetnél leggyakrabban ezek kerülnek elő:
- munkaerő-felvétel és munkahelyi döntések: álláshirdetések célzása, jelentkezések szűrése, jelöltek értékelése, előléptetésről vagy megszüntetésről szóló döntés, feladatkiosztás, teljesítményfigyelés;
- kritikus infrastruktúra: biztonsági elemként működő rendszer a kritikus digitális infrastruktúra, a közúti forgalom, illetve a víz-, gáz-, hő- és villamosenergia-ellátás irányításában;
- alapvető szolgáltatásokhoz való hozzáférés: természetes személyek hitelképességének értékelése, élet- és egészségbiztosítási kockázatértékelés és árazás;
- oktatás és szakképzés: felvételi döntés, vizsgaeredmények értékelése, vizsgák alatti viselkedés figyelése.
A listán szereplő terület önmagában még nem dönt. A 6. cikk (3) bekezdése szerint a rendszer kikerülhet a magas kockázatú körből, ha nem jelent jelentős kockázatot az egészségre, a biztonságra vagy az alapvető jogokra, és a négy eset valamelyike fennáll: szűk, eljárási feladatot lát el; egy korábban elvégzett emberi tevékenység eredményét javítja; döntési mintázatokat vagy azoktól való eltérést észlel, de megfelelő emberi felülvizsgálat nélkül nem váltja fel és nem befolyásolja a korábbi emberi értékelést; vagy egy értékelés előkészítő feladatát végzi. Az értékelést a szolgáltatónak a forgalomba hozatal előtt dokumentálnia kell, kérésre be kell mutatnia a hatóságnak, és a rendszert ilyenkor is regisztrálnia kell az uniós adatbázisban. Ha a rendszer természetes személyekről profilt alkot, mindig magas kockázatú marad.
Átláthatósági kötelezettséggel járó rendszerek
Az 50. cikk olyan rendszerekről szól, amelyeknél a fő kockázat az, hogy az ember nem tudja, gépi tartalommal vagy géppel van dolga. Ha egy chatbot emberekkel beszélget, közölni kell velük, hogy AI-rendszerrel kommunikálnak, kivéve ha ez a körülményekből nyilvánvaló. A generatív rendszer szolgáltatójának a kimenetet géppel olvasható módon jelölnie kell. Az alkalmazónak fel kell tüntetnie, ha deepfake-et, azaz valós személyt vagy eseményt hitelesnek látszó módon utánzó képet, hangot vagy videót tesz közzé, és ha közérdekű ügyről tájékoztató szöveget AI-val állított elő, hacsak azt ember nem nézte át szerkesztői felelősséggel.
Minimális kockázat
A legtöbb vállalati AI-felhasználás ide esik: levélszemétszűrő, fordítóeszköz, kódkiegészítő, belső dokumentumok összefoglalása. Ezekre a rendelet új kötelezettséget nem ír elő, önkéntes magatartási kódexek követését ajánlja.
A kategóriák mellett külön fejezet szól az általános célú AI-modellekről, vagyis a sokféle feladatra használható alapmodellekről, mint a nagy nyelvi modellek vagy a kép- és hanggeneráló modellek. Az ezekre vonatkozó műszaki dokumentációs, szerzői jogi és tájékoztatási kötelezettség a modell szolgáltatóját terheli. Aki egy ilyen modellt API-n keresztül vagy kész szolgáltatásként használ, attól még nem lesz modellszolgáltató.
Szolgáltató és alkalmazó: melyik szerep kié
A rendelet több szereplőt nevez meg (importőr, forgalmazó, meghatalmazott képviselő), egy AI-t használó szervezet szempontjából azonban két szerep számít igazán.
A szolgáltató az, aki egy AI-rendszert fejleszt vagy fejlesztet, és saját neve vagy védjegye alatt forgalomba hozza vagy használatba veszi, akár ingyen is. Az alkalmazó az, aki egy AI-rendszert a saját irányítása alatt, szakmai tevékenysége keretében használ. Egy szervezet a legtöbb AI-eszközénél alkalmazó: megvásárol vagy előfizet egy szolgáltatást, és a munkatársai dolgoznak vele.
Mit kell tennie az alkalmazónak
Minimális kockázatú rendszernél az AI-jártasságon túl alig van teendő, átláthatósági kötelezettségű rendszernél a fenti jelölések. A magas kockázatú rendszer alkalmazójára a 26. cikk több feladatot ró:
- a rendszert a szolgáltató használati utasítása szerint kell üzemeltetni;
- az emberi felügyeletet olyan személyre kell bízni, akinek megvan hozzá a szakértelme, a képzése és a jogköre;
- ha a bemeneti adatok az alkalmazó ellenőrzése alatt állnak, azoknak relevánsnak és a rendeltetéshez képest kellően reprezentatívnak kell lenniük;
- a működést figyelni kell, a kockázatot vagy súlyos eseményt jelezni kell a szolgáltatónak és a hatóságnak;
- a rendszer által automatikusan készített naplókat, amennyiben az alkalmazónál vannak, legalább hat hónapig meg kell őrizni;
- munkahelyi bevezetés előtt tájékoztatni kell a munkavállalókat és képviselőiket, az érintett személyeket pedig arról, hogy róluk magas kockázatú rendszer segítségével döntenek.
A közjogi szervezeteknek és a közszolgáltatást nyújtó magánszervezeteknek, valamint a hitelképességet vagy élet- és egészségbiztosítási kockázatot értékelő alkalmazóknak a használatba vétel előtt alapvető jogi hatásvizsgálatot is el kell végezniük. A kritikus infrastruktúrában használt magas kockázatú rendszerekre ez nem vonatkozik. Akiről egy ilyen rendszer kimenete alapján jelentős hatású döntést hoztak, magyarázatot kérhet arról, mi volt az AI-rendszer szerepe a döntésben.
Mikor válik szolgáltatóvá az alkalmazó
A szerepet a tényleges tevékenység dönti el. A 25. cikk szerint az alkalmazó szolgáltatóvá válik, ha egy magas kockázatú rendszert saját nevével vagy védjegyével lát el, ha lényegesen módosítja, vagy ha egy eredetileg nem magas kockázatú rendszert olyan célra kezd használni, amely magas kockázatúvá teszi. Ha például egy általános csevegőasszisztenst a HR-osztály jelöltek rangsorolására állít be, a szervezet könnyen a szolgáltatói kötelezettségek közé kerül: kockázatkezelési rendszer, műszaki dokumentáció, naplózás, emberi felügyelet tervezése, pontossági és kiberbiztonsági követelmények, megfelelőségértékelés, regisztráció az uniós adatbázisban. Ez sokkal nagyobb teher, mint az alkalmazóé, ezért érdemes tudatosan dönteni róla.
AI-jártasság: a munkatársak felkészítése
A 4. cikk szerint a szolgáltatóknak és az alkalmazóknak intézkedéseket kell tenniük a munkatársaik és a nevükben AI-rendszert kezelő más személyek AI-jártasságának támogatására. Az eredeti szöveg még azt írta elő, hogy a tőlük telhető módon biztosítsák a megfelelő szintet. A 2026-os módosítás óta a cikk kimondja, hogy a szolgáltatónak és az alkalmazónak nem kell egyetlen személy meghatározott jártassági szintjét sem garantálnia, a Bizottság pedig gyakorlati példákat tesz közzé. A kötelezettség kockázati kategóriától független, tehát egy cégnél, ahol a munkatársak csak egy általános szövegíró asszisztenst használnak, szintén érvényes. A magas kockázatú rendszer alkalmazójánál ezen felül a 26. cikk is előírja, hogy az emberi felügyeletet ellátó személy megfelelő képzést kapjon.
Az AI-jártasság a rendelet meghatározása szerint az a tudás, készség és megértés, amellyel valaki tájékozott döntéssel tud AI-rendszert használni, és tisztában van a lehetőségeivel, a kockázataival és a lehetséges kárral. A rendelet nem ír elő vizsgát, tanúsítványt vagy óraszámot. Az elvárt szint a munkatárs műszaki ismereteitől, tapasztalatától és a használat körülményeitől függ, és attól is, kikre hat a rendszer kimenete.
A gyakorlatban ez szerepkörönként eltérő tartalmat jelent:
- minden felhasználónak: mit tud és mit nem tud a használt eszköz, miért hihető a magabiztos, de hibás válasz, milyen adat nem kerülhet bele, és hol a határ a saját döntés és a gépi javaslat között;
- azoknak, akik AI-kimenet alapján emberekről döntenek: a torzítás forrásai, az emberi felügyelet tényleges tartalma, a döntés dokumentálása;
- az informatikának és a beszerzésnek: a szerepek (szolgáltató vagy alkalmazó) felismerése, a szolgáltatói dokumentáció értékelése, a naplózás és a hozzáférések kezelése.
Az Európai Bizottság AI-hivatala kérdés-válasz összeállítást tett közzé a 4. cikk értelmezéséről, és gyűjti a szervezetek képzési gyakorlatait. A képzés tartalmát, a résztvevőket és az időpontokat érdemes írásban rögzíteni, mert egy hatósági vagy belső vizsgálatnál ebből látszik, mit tett a szervezet.
Ütemezés: mikor mi lép alkalmazásba
A rendelet rendelkezései lépcsőzetesen válnak alkalmazandóvá. Az első három időpont már elmúlt, a magas kockázatú rendszerekre vonatkozó két határidő még hátravan:
- 2025. február 2. Az általános rendelkezések, köztük az AI-jártasság, és a tiltott gyakorlatok.
- 2025. augusztus 2. Az általános célú AI-modellek szolgáltatóira vonatkozó szabályok, a felügyeleti rendszer és a szankciók.
- 2026. augusztus 2. A rendelet nagy része, köztük az átláthatósági kötelezettségek. A generált tartalom géppel olvasható jelölésére az ezen időpont előtt forgalomba hozott generatív rendszerek 2026. december 2-ig kaptak haladékot.
- 2027. december 2. A III. melléklet szerinti magas kockázatú rendszerek követelményei.
- 2028. augusztus 2. Az I. mellékletben felsorolt termékjogszabályokhoz kötődő magas kockázatú rendszerek szabályai.
Az utolsó két dátumot az (EU) 2026/1744 rendelet, az úgynevezett digitális omnibusz az AI-ról tolta ki. A Bizottság 2025 novemberében javasolta, a Parlament és a Tanács 2026 júniusában fogadta el, és 2026. július 27-én lépett hatályba. Eredetileg a III. melléklet szerinti rendszerekre 2026. augusztus 2., az I. melléklet szerintiekre 2027. augusztus 2. volt a határidő, ezért régebbi anyagokban még ezek a dátumok szerepelnek. A tervezésnél az EUR-Lexen elérhető egységes szerkezetű szöveget érdemes alapul venni.
Belső AI-leltár és használati szabályzat
A rendelet egyik kötelezettsége sem teljesíthető anélkül, hogy a szervezet tudná, milyen AI-rendszereket használ. A legtöbb helyen ez nem egyezik a hivatalosan beszerzett eszközök listájával. A munkatársak saját fiókkal használt csevegőasszisztensei, a böngészőbővítmények és a meglévő szoftverekbe frissítéssel bekerült AI-funkciók is a képbe tartoznak. Hogyan lehet ezt a rejtett használatot feltárni, arról a shadow AI-ról szóló cikk részletesebben ír.
Mi kerüljön a leltárba
Egy táblázat is elég, ha eszközönként ezek szerepelnek benne:
- a rendszer neve, a szolgáltatója és a használt verzió vagy előfizetés típusa (vállalati vagy személyes fiók);
- ki használja, milyen feladatra, és milyen adat kerül bele (személyes adat, üzleti titok, ügyféladat);
- a szervezet szerepe: alkalmazó vagy szolgáltató, és ha a használat módja ezt megváltoztathatja, annak indoklása;
- a kockázati besorolás a rendelet szerint, a döntés rövid indoklásával;
- a felelős személy, a szerződés és az adatkezelési feltételek helye, a felülvizsgálat időpontja.
A besorolás indoklása legalább annyira fontos, mint maga a kategória. Ha egy eszköz azért nem magas kockázatú, mert a kimenetét egy ember mindig átnézi, és csak javaslatként szolgál, ezt le kell írni, és a gyakorlatnak is ennek kell megfelelnie.
Mit rendezzen a használati szabályzat
A leltárból derül ki, mit kell szabályozni. Egy AI-használati szabályzat tipikusan ezeket a kérdéseket dönti el:
- mely eszközök engedélyezettek, melyek csak vállalati fiókkal, és melyik tilos;
- milyen adatkategória nem kerülhet AI-eszközbe, és milyen anonimizálás után kerülhet;
- mikor kötelező az AI-kimenet emberi ellenőrzése, és ki felel érte;
- hogyan kell jelölni az AI-val készült, kifelé közzétett tartalmat;
- tilos-e AI-t használni emberekről szóló döntéshez (felvétel, értékelés), vagy csak külön jóváhagyással lehet;
- hogyan jelezheti egy munkatárs, ha új eszközt szeretne használni, és ki dönt róla.
A szabályzat akkor működik, ha a munkatársak ismerik, és a képzésük is erre épül. A leltárt és a szabályzatot évente, valamint minden új AI-eszköz vagy jelentős funkcióbővítés bevezetésekor érdemes felülvizsgálni.
Kapcsolódó szolgáltatás: Shadow AI felmérés AI használati szabályzattal →
