Az EU AI Act gyakorlati útmutató magyar cégeknek (2026)

Az EU AI Act a világ első átfogó MI-törvénye, és 2026 folyamán a kötelezettségei fokozatosan lépnek hatályba. A jó hír a legtöbb cégnek: ha az AI-t support-automatizálásra, RAG keresésre vagy belső copilótokra használod, szinte biztosan az alacsony kockázatú kategóriában vagy, könnyű kötelezettségekkel. A munka annak megállapítása, melyik szintbe esel — és ennek dokumentálása.

A négy kockázati szint

• Tiltott — kis halmaz: social scoring, manipulatív rendszerek, célzatlan arcfelismerő-scraping. Egy normál cég nincs itt.
• Magas kockázatú — AI a munkaerő-felvételben, hitelbírálatban, oktatásban, alapvető szolgáltatásokban, orvostechnikai eszközökben, kritikus infrastruktúrában. Szigorú kötelezettségek: kockázatkezelés, adat-governance, dokumentáció, emberi felügyelet, pontosság, logging.
• Korlátozott kockázatú — AI, ami emberrel lép interakcióba (chatbot) vagy tartalmat generál. A kötelezettség az átláthatóság: szólj a felhasználónak, hogy AI-val van dolga, és címkézd az AI-generált tartalmat.
• Minimális kockázatú — minden más: spam-szűrők, ajánlórendszerek, a legtöbb belső produktivitási AI. Nincs konkrét kötelezettség.

Melyik szintbe esik az AI-d?

A legtöbb vállalati AI a korlátozott vagy minimális kockázatú szintre esik. Egy ügyfélszolgálati chatbot korlátozott kockázatú: közölnöd kell, hogy AI. Egy belső RAG kereső jellemzően minimális kockázatú. Akkor kerülsz magas kockázatba, ha az AI érdemben befolyásol egy személyről szóló döntést szabályozott területen — álláspályázók szűrése, hitelképesség pontozása, betegek triage-e. A teszt nem a technológia, hanem a kimenet következménye az egyénre nézve.

A 2026-os ütemterv

• A tiltott használatokra és az AI-műveltségre vonatkozó szabályok már 2025 elejétől érvényesek.
• Az általános célú AI modellekre (maguk az alapmodellek) vonatkozó szabályok 2025 közepétől — a modell-szolgáltatókat érinti, nem a legtöbb felhasználót.
• A magas kockázatú kötelezettségek 2026 folyamán és 2027-be átnyúlva lépnek be fokozatosan, a legnehezebb követelmények a későbbi időpontokra.
• A gyakorlati következmény: ha az AI-d nem magas kockázatú, a 2026-os kötelezettségeid szerények. Ha az, akkor van egy meghatározott felkészülési idő — de a dokumentációt most érdemes kezdeni.

Mit kell a cégeknek ténylegesen tenniük?

• Sorold be minden bevezetett AI rendszered egy szintbe, és írd le az indoklást. Ez az egy lépés az alacsony kockázatú rendszereknél a compliance munka java.
• Korlátozott kockázatúnál: tegyél egyértelmű közlést, hogy a felhasználó AI-val lép interakcióba, és címkézd az AI-generált tartalmat.
• Magas kockázatúnál: kockázatkezelési folyamat, adat-governance, műszaki dokumentáció, emberi felügyelet, logging és megfelelőség-értékelés. Ez jelentős — tervezz rá.
• Biztosítsd, hogy az AI-t használó munkatársaknak legyen alap AI-műveltsége — könnyű, de valós kötelezettség, ami már érvényes.
• Tartsd naprakészen a besorolást: ha egy rendszer használata változik, a szintje is változhat.

Hogyan kapcsolódik az AI Act a GDPR-hoz és a DORA-hoz?

Három külön rezsim, amelyek átfednek. A GDPR a személyes adatot szabályozza — akkor érvényes, amikor az AI személyes adatot érint, az AI Act szinttől függetlenül. A DORA a pénzügyi szervezetek működési ellenálló képességét szabályozza — banki és biztosítói AI rendszerekre érvényes, az AI Act tetején. Az AI Act adja az AI-specifikus réteget. A gyakorlati tanulság: egy magas kockázatú AI rendszer egy pénzügyi cégnél mindhármat ki kell elégítse — a dokumentációt egyszer építsd meg, úgy strukturálva, hogy mindhárom review-t kiszolgálja.

“A legtöbb cégnek az EU AI Act nem fal, hanem iktatási feladat. Sorold be minden rendszert, dokumentáld az indoklást, tegyél közlést ahol kell. Azok a cégek küzdenek, amelyek soha nem sorolták be a rendszereiket.”

A lényeg

Ne hagyd, hogy az EU AI Act megállítson egy valóban alacsony kockázatú AI projektet — ez a leggyakoribb és legdrágább hiba. Helyette: sorold be minden AI rendszered, írj rövid indoklást a szinthez, tegyél felhasználói közlést minden ügyfél-érintő felületre, és csak akkor fektess a nehéz compliance gépezetbe, ha egy rendszer valóban magas kockázatú. Építsd be a besorolást és a dokumentációt a projektbe az első naptól, úgy strukturálva, hogy a GDPR-t és (pénzügyi cégeknél) a DORA-t is kiszolgálja — így az AI Act megfelelés a jó mérnöki munka mellékterméke lesz, nem külön, fájdalmas projekt.