EU AI Act felkészülés magyar KKV-knak: mit kell tenned és mikor

Az EU AI Act kockázat szerint sorolja be az AI-rendszereket, és a kötelezettségek a kategóriából következnek. A felkészülés ezért egy kérdéssel indul: melyik kategóriába esnek a nálad működő és tervezett rendszerek. Ebben a cikkben végigmegyünk a négy kategórián, a szolgáltatói és alkalmazói szerepen, a magas kockázatú kötelezettségek gyakorlati jelentésén, és adunk egy reális felkészülési sorrendet.

A kötelezettségek szakaszosan válnak alkalmazandóvá 2025 és 2027 között. Van idő felkészülni, de a sorrend számít: besorolás nélkül azt sem tudod, mely kötelezettségek vonatkoznak rád, és mikortól.

Melyik kategóriába esik a rendszered?

A rendelet négy kockázati kategóriát használ: elfogadhatatlan, magas, korlátozott (átláthatósági) és minimális kockázat. Minél magasabb a kategória, annál több kötelezettség tartozik hozzá.

A cégeknél működő AI-alkalmazások nagy része — dokumentumfeldolgozás, ügyfélszolgálati asszisztens, belső tudásbázis — korlátozott vagy minimális kockázatú. Itt jellemzően átláthatósági kötelezettségek merülnek fel, például az, hogy a felhasználó tudja, AI-val beszél. Magas kockázatú kategóriába jellemzően azok a rendszerek kerülnek, amelyek emberekről hoznak vagy készítenek elő döntést.

A besorolást rendszerenként, írásos indoklással érdemes elvégezni. Az indoklás kétszer is hasznos: a jogi tanácsadód át tudja nézni, és egy későbbi ellenőrzésnél elő tudod venni.

Mit jelentenek a magas kockázatú kötelezettségek a gyakorlatban?

A magas kockázatú rendszerekhez tartozó kötelezettség-osztályok mérnöki szemmel így néznek ki:

• Kockázatkezelés. Írásban megvan, mi romolhat el, kit érint, és mit építettél be ellene. Élő dokumentum: a rendszer változásakor frissül.
• Adatminőség. Tudod, milyen adatokat használ a rendszer, honnan jönnek, és ki felel a minőségükért. A rossz forrásadat a kimenetben is megjelenik, ezért az ellenőrzése a folyamat része.
• Naplózás. A rendszer döntései visszakereshetők: mi volt a bemenet, mi lett a kimenet, és ki hagyta jóvá.
• Emberi felügyelet. A folyamatba épített ellenőrzési pontok: ki nézi meg a döntést, mit lát a kolléga, és hol tud beavatkozni.
• Műszaki dokumentáció. Írásban megvan, hogyan működik a rendszer, milyen adatokat használ, és milyen kockázatkezelési lépések tartoznak hozzá.

Ezek nagy része rendszertervezési kérdés. Utólag beépíteni drágább és fájdalmasabb, ezért nálunk az ellenőrzési pontok és a naplózás a rendszer részeként készülnek el, a dokumentáció pedig a fejlesztéssel együtt.

Szolgáltató vagy alkalmazó a szereped?

A rendelet külön kötelezettségeket ad a rendszer szolgáltatójának (provider) és alkalmazójának (deployer). Hogy a te szereped melyik, azt a besorolással együtt érdemes tisztázni, mert egyedi fejlesztésnél a kettő el is térhet — és a kötelezettségek köre a szereptől is függ. A szerepet írd le a besorolási indoklásban, rendszerenként: később ez dönti el, melyik dokumentáció kinek a dolga.

Milyen sorrendben érdemes felkészülni?

Öt lépés, ebben a sorrendben:

• Leltár. Összeírod, milyen AI-rendszerek működnek és milyenek készülnek nálad — a kész termékként vásárolt eszközöket is beleértve.
• Besorolás. Rendszerenként megvan a kockázati kategória és a szereped, írásos indoklással.
• Hiánylista. A kategóriához tartozó kötelezettségekből mi van meg ma, és mi hiányzik — dokumentációban, naplózásban, ellenőrzési pontokban.
• Dokumentáció és naplózás megtervezése. A hiánylistából ütemezett terv lesz: melyik dokumentum készül el, melyik rendszeren mit kell módosítani. Amit a meglévő anyagaidból át lehet venni, azt átveszed.
• Felügyeleti folyamat. Írásban megvan, ki engedélyezi egy AI-rendszer élesítését, ki a felelős érte, mit mérsz rajta, és mikor kell újra besorolni.

Az első két lépést nálunk az AI felmérés fedi le, 500 000 Ft + ÁFA-tól; az eredmény egy írásos terv, amivel akkor is tudsz dolgozni, ha nem velünk folytatod. A teljes menetrendet az EU AI Act megfelelési felkészítés oldalán találod.

Mikortól kell megfelelni?

A kötelezettségek szakaszosan válnak alkalmazandóvá 2025 és 2027 között, és az, hogy melyik mikortól, a rendszer kockázati kategóriájától függ. A rád vonatkozó időpontokat ezért a besorolás után lehet megmondani, a hatályos szöveg alapján. A rendeletet az EUR-Lexen éred el, a kapcsolódó anyagokat az Európai Bizottság szabályozási oldala gyűjti; mindkettőt megtalálod a cikk végén a források között.

A besorolás egyszeri munkának tűnik, de a rendszer változásakor újra el kell végezni. Ezért kerül a felügyeleti folyamatba: ott van leírva, mikor kell újra besorolni, és ki felel érte.

Hol a határ a mérnöki és a jogi munka között?

A műszaki és szervezési felkészítés a mi munkánk: besorolás írásos indoklással, megfelelési dokumentáció, emberi ellenőrzési pontok, naplózás, governance. A jogi értékelés és a jogi felelősség kérdése a jogi tanácsadódnál marad; a dokumentációt úgy adjuk át, hogy ő át tudja nézni. A kettő együtt működik jól: mi a rendszerbe építjük, amit a kategória megkíván, ő pedig a hatályos szöveggel veti össze.

Csapatunk 2013 óta épít éles vállalati rendszereket, eddig 46+ projektet zárt le, és magas kockázatú AI-rendszerek bevezetésében is van tapasztalatunk. Ha az AI bevezetés még előtted áll, a KKV-knak szóló AI bevezetési útmutatónk a felméréstől az éles üzemig végigviszi a lépéseket; a kockázati besorolás ott is a projekt elején történik. Elmondod, milyen AI-rendszerek működnek vagy készülnek nálad, mi pedig megmondjuk, mit érint az EU AI Act, és mi tartozik a felkészüléshez.