Az MI-felelős első száz napja: feladatlista
Az alábbiakban közérthető útmutatót kap arról, hogyan oszthatja be az MI-felelős munkáját az első hétre, az első hónapra és az első száz napra.
A probléma
Miért nem elég a jó szándék
Négy szakasz
A munka négy szakasza tételesen, mindegyik önálló
A folyamat
A folyamat, amiből a dokumentum vagy az eredmény lesz.
Megfogalmazás
Hibás és helyes megfogalmazás párban
Egy közepes méretű pénzügyi szolgáltatónál kinevezett MI-felelős első száz napja jól strukturált feladatsor: a héten a meglévő MI-megoldások feltérképezése és a belső mandátum tisztázása történik, a hónapban a hatáskörök és beszámolási útvonalak rögzítése, a századik napig pedig az átláthatóság és az elszámoltathatóság vezetőség felé történő egyértelműsítése. Az (EU) 2024/1689 rendelet 4. cikkében foglalt alapelvek és a 26. cikk szerinti kötelezettségek adják a keretet, amelyhez a saját feladatkörét igazítja. A gyakorlatban ez azt jelenti, hogy az új szereplő nem elméleti szabályzatot ír, hanem élő működési rendet alakít ki: azonosítja a kulcsbelső partnereket, láthatóvá teszi a MI-vel kapcsolatos kérdések fogadó pontját, és világos felelősségi határokat húz. Az összefoglaló lényege: az első száz nap nem tervezés, hanem tudatos rendrakás – a szervezet már futó MI-használatához igazított felelősségi struktúra kiépítése.
Miért nem elég a jó szándék?
A felelős pozíció betöltése a szervezeteken belül gyakran gesztusértékű lépésként jelenik meg, a mögöttes szabályozási környezet és a belső elvárások rendszere azonban ennél lényegesen többet követel. Aki ilyen megbízatást vállal, annak nemcsak a technológiai folyamatok átlátását kell biztosítania, hanem a döntési jogkör világos rögzítését, a beszámolási útvonalak kialakítását és az ütemterv számonkérhetőségét is. Aki ezeket a feladatokat halogatja, az a századik napra jellemzően abban a helyzetben találja magát, hogy a felelőssége dokumentálatlan, a hatásköre tisztázatlan, a szervezeten belüli partnerei pedig nem tudják, milyen kérdésekben kell hozzá fordulniuk.
A szabályozási háttér egyre kevésbé tűri az önkényes értelmezést, ami a hazai szervezeteket is egyre pontosabb belső szabályrendszerek kialakítására kényszeríti. Az (EU) 2024/1689 rendelet 4. cikke a kockázatkezelés és az alapelvek szintjén jelöli ki azokat a keretfeltételeket, amelyeket a felelősnek a saját szervezetében is érvényre kell juttatnia. Ez a kötelezettség nem helyettesíthető lelkesedéssel vagy szóbeli ígéretekkel, és nem halasztható a projektek kézbevételét követő hónapokra. A felelős feladata lényegében az, hogy a külső elvárásokat a belső működés fordított nyelvére lefordítsa, és ehhez konkrét lépéseket tegyen.
A probléma
Ugyanezen jogszabály 26. cikke a nyilvánvalóan túlzott kockázatú rendszerek kezelésének kereteit rögzíti, ami a gyakorlatban azt jelenti, hogy a felelősnek előre fel kell készülnie a beavatkozási pontokra és az eszkalációs útvonalakra. Aki ezt a területet először utólag, egy konkrét incidens kapcsán próbálja rendezni, az rendszerint kommunikáci és jogi felelősségi helyzetbe sodorja a szervezetét. A felkészültség ez esetben nem elméleti feladat, hanem a mindennapi döntések szintjén is tetten érhető gyakorlat.
A legtöbb esetben a probléma nem az MI-rendszerek technológiai bonyolultságából fakad, hanem abból, hogy a szervezet nem tesz különbséget a szándék és a felelősségvállalás között. A hatáskör dokumentálatlan marad, a beszámolás rendje kialakulatlan, az ütemterv pedig a napi tűzoltás közben feledésbe merül. A felelős első száz napja éppen ezért nem kampányidőszak, hanem a belső rend megteremtésének nyitánya, amelyben minden egyes lépés a későbbi elszámoltathatóság alapját jelenti.
Amit a gyakorlat mutat
Az első szakasz a felelős kijelöléséről és felhatalmazásáról szól, és önálló kimenete a hatáskör írásbeli rögzítése. Ebben a szakaszban tisztázni kell, hogy a felelős milyen döntéseket hozhat önállóan, melyekben csak javaslattevő, és mikor kell eszkalálnia a vezetői fórum felé. A hatásköri mátrixot érdemes a szervezeti szabályzat mellékleteként kezelni, hogy később bármely visszamenőleges kérdésnél legyen hivatkozási alap. Az (EU) 2024/1689 rendelet 4. cikke ehhez a szakaszhoz ad jogi keretet, mert a felelős pozíciójával szemben alapkövetelmény a dokumentált felhatalmazás.
A második szakasz az állapotfelmérés, amely önálló kimenetként egy rangsorolt kockázati listát állít elő. A felelős az első száz nap során rendszerint a meglévő MI-megoldásokat, az adatkezelési gyakorlatot és a beszállítói szerződéseket tekinti át, és azonosítja a legsürgősebb beavatkozási pontokat. Az átvizsgálás nem öncél: minden feltárt hiányossághoz intézkedést és felelőst kell rendelni, hogy a lista ne csupán diagnózis, hanem cselekvési terv legyen. Az (EU) 2024/1689 rendelet 26. cikke ehhez a szakaszhoz ad támpontot, mert a megfelelőség értékeléséhez módszertani alapelvárásokat fogalmaz meg.
A négy szakasz, tételesen
1. szakasz
A harmadik szakasz a rövid távú ütemterv, amely önálló kimenetként egy nyolc-tizenkét hétre szóló, mérföldkövekkel tagolt terv. A felelős ebben a szakaszban a legsürgősebb kockázatokra szabályozási és szervezeti válaszokat tervez, gondoskodik a szükséges erőforrásokról, és kijelöli a résztvevőket. Az ütemterv nemcsak a technikai feladatokat tartalmazza, hanem a kommunikáció és a képzés lépéseit is, mert a szabályozás csak akkor hatékony, ha a működési oldal is érti. A mérföldkövekhez dátumot és beszámolási pontot kell kötni.
2. szakasz
A negyedik szakasz a beszámolási és visszacsatolási rend kialakítása, amely önálló kimenetként a vezetői fórum és az üzemi partnerek felé szóló jelentési struktúrát adja. A felelősnek meg kell határoznia, hogy milyen gyakorisággal, milyen formában és milyen mutatók mentén számol be, és hogy a visszajelzések hogyan épülnek vissza a következő tervezési ciklusba. A beszámolás nemcsak az elvégzett feladatokról szól, hanem a feltárt kockázatokról és a nyitott kérdésekről is, mert a vezetői döntéshozatal csak így megalapozott. A jelentési rendet érdemes a századik napig véglegesíteni.
3. szakasz
Fontos hangsúlyozni, hogy a négy szakasz nem egymást váltja, hanem részben átfed: az állapotfelmérés párhuzamosan haladhat a hatáskör pontosításával, és a beszámolási rend már az ütemtervvel együtt formálódik. A felelős feladata, hogy a párhuzamosságokat kezelje, és ne hagyja, hogy az átfedésből káosz legyen. A századik napra a szervezetnek rendelkeznie kell hatáskörrel, kockázati listával, ütemtervvel és beszámolási rendre vonatkozó megállapodással, ezek együttesen adják a működési alapokat. A szakaszok kimenetei dokumentumként csatolhatók a belső szabályzathoz.
4. szakasz
A felelős munkája a századik nap után sem zárul, de az addig elvégzett négy szakaszi feladat teremti meg a további lépések feltételeit. A hatáskör tisztázása nélkül nincs érdemi döntés, a kockázati lista nélkül nincs fókusz, az ütemterv nélkül nincs ütemezés, a beszámolási rend nélkül nincs elszámoltathatóság. A szakaszok sorrendje és kimenetei egyben a felelős első beszámolójának vázát is adják, mert a vezetői fórum ezek mentén tud érdemi visszajelzést adni. Az (EU) 2024/1689 rendelet 4. és 26. cikke ehhez a beszámolási struktúrához is hivatkozási alapot nyújt.
A folyamat, amiből az eredmény lesz
A felelős első tíz munkanapjának középpontjában a hatáskör tisztázása áll. Érdemes az (EU) 2024/1689 rendelet 4. cikke alapján áttekinteni, milyen döntési jogköröket kell a pozícióhoz rendelni, és ezt írásban, a szervezeti szabályzatban is rögzíteni. Az első hét szolgál a gyors tájékozódásra: a kulcsfontosságú belső dokumentumok átolvasása, a meglévő MI-használati esetek feltérképezése, valamint a releváns kapcsolattartók személyes megismerése. A cél nem a teljes rendszer azonnali átalakítása, hanem a kiindulási állapot pontos rögzítése.
A menet
A második és harmadik hétre tevődik az ütemterv első vázlatának összeállítása. Ez az ütemterv a felelős hatáskörébe tartozó feladatokat és a beszámolási pontokat tartalmazza, az (EU) 2024/1689 rendelet 26. cikkében foglalt nyilvántartási és dokumentációs kötelezettségek figyelembevételével. A feladatlista nem kizárólag a jogszabályi megfelelésről szól, hanem a belső folyamatok karbantartásáról is: ki felel egy-egy MI-rendszerért, milyen gyakorisággal készül belső audit, és mikor esedékes a felső vezetés felé történő beszámolás.
A harmincadik nap tájékoztató jellegű mérföldkövet jelent a szervezet számára. Ekkorra a felelős jellemzően elkészíti az első szintézist a feltárt állapotról, amelyben a hiányosságok és a sürgős beavatkozási pontok egyaránt megjelennek. A beszámoló a szervezet vezetői testülete elé kerül, és egyben alapjául szolgál a századik napig szóló cselekvési tervnek. Ilyenkor szokás egyeztetni a szükséges erőforrásokról, a szervezeti egységek együttműködéséről, valamint a külső szakértők bevonásának lehetőségéről is.
A második hónap az alapok letételének időszaka. A felelős felállítja vagy finomítja a belső nyilvántartási rendet, amely összhangban van az (EU) 2024/1689 rendelet 26. cikkének előírásaival, és illeszkedik a szervezet adatkezelési gyakorlatához. Ezzel párhuzamosan megtörténik az első kockázatelemzési ciklus lezárása, amely a jelenleg működő MI-rendszereket veszi górcső alá, és rangsorolja a beavatkozási igényeket. A hangsúly a fokozatosságon van: nem egyszerre kell mindent megváltoztatni, hanem sorrendet kell felállítani, és az erőforrásokat a legnagyobb kockázatú területekre kell összpontosítani.
A századik napra a felelősnek átfogó képpel kell rendelkeznie a szervezet MI-érintettségéről, és képesnek kell lennie rendszeres beszámolásra. Ez az a pont, ahol az ütemterv a napi működés részévé válik: a dokumentáció karbantartása, a belső auditok ütemezése és a vezetői fórumok tájékoztatása mind beépülnek a szervezeti rutinba. A felelős ezzel egyidejűleg előkészíti a következő negyedéves ciklus feladatait, és jelzi, ha külső egyeztetés, képzés vagy szabályzat-módosítás indokolt. A folyamat így zárul vissza a kiinduláshoz: a hatáskör, az ütemterv és a beszámolás hármasa ismétlődő, fenntartható rendszert alkot.
Hibás és helyes megfogalmazás
A kijelölt MI-felelős hatásköre nem azonosítható pusztán a felelősség címkéjével, mert a hatáskör jogszabályi felhatalmazást, döntési jogot és erőforrást jelent. Az (EU) 2024/1689 rendelet 4. cikke rögzíti, hogy a szolgáltatók miként kötelesek azonosítani és kezelni a kockázatokat, a 26. cikk pedig a belső irányítási és dokumentációs kötelezettségeket. Amíg ez a kettő nincs összekötve a szervezeten belüli döntési joggal, a felelős csupán dokumentumokat ír alá, tényleges befolyás nélkül.
Hibás
Sokan a felelősséget a feladatlistával azonosítják, pedig a kettő nem ugyanaz. A feladatlista a hatáskör egyik megnyilvánulása, amely megmutatja, hogy a felelős mit tehet meg önállóan, miben kell egyeztetnie, és meddig terjed az aláírási joga. Az (EU) 2024/1689 rendelet 26. cikke szerinti dokumentációs kötelezettség csak akkor teljesíthető, ha a felelős ezt a hatáskört ténylegesen gyakorolni is tudja a szervezeti döntéshozatalban.
Helyes
Az ütemterv és a feladatlista között gyakran összemosódik a különbség, pedig a fegyelmezett szétválasítás a felelősség egyik alapfeltétele. Az ütemterv megadja, hogy az első száz napon belül mikor, milyen mérföldkövekhez kell érni, a feladatlista pedig azt, hogy az adott mérföldkő eléréséhez konkrétan milyen lépések szükségesek. Az (EU) 2024/1689 rendelet 4. cikke szerinti kockázatkezelési lépések csak akkor ültethetők át a szervezetbe, ha az ütemterv és a feladatlista összhangban van egymással.
Hibás
A beszámolás gyakorisága önmagában nem helyettesíti a beszámolás minőségét, ezért a kettőt külön kell választani. A MI-felelősnek nem elegendő rendszeres jelentést írnia, hanem azt is biztosítania kell, hogy a beszámoló a kockázatokról, a döntésekről és a nyitott kérdésekről szóljon. Az (EU) 2024/1689 rendelet 26. cikke megköveteli a dokumentáció pontos vezetését, de a vezetői fórum felé történő beszámolás formáját és tartalmát a szervezet maga alakítja ki a saját működéséhez.
Helyes
Gyakori hiba, hogy a felelőst kizárólag a szabályozási nyilatkozatok elkészítésével terhelik, miközben a hatáskör nélküli szakértői szerep felhalmozza a felelősséget anélkül, hogy eszközt adna hozzá. A helyes megközelítés a felelős hatáskörének írásos rögzítése, a feladatlista és az ütemterv összehangolása, valamint a beszámolási útvonalak egyértelmű kijelölése. Az (EU) 2024/1689 rendelet 4. cikke és 26. cikke együttesen csak akkor tartható be, ha a szervezet ezt a belső struktúrát is kiépíti.
Mennyi időt visz el valójában?
| Szakasz | Ki végzi | Mennyi idő |
|---|---|---|
| A felelős első hete rendszerint a keretek kijelöléséről szól, nem a用量ly munkáról. | Az ütemterv ekkor még nem végleges, inkább a hatáskör tisztázása és az érintettek térképezése a cél. | Reálisan számoljon azzal, hogy ez a szakasz a kezdeti időkeretnek csak kisebb hányadát viszi el, hiszen itt még nincs miről beszámolni. |
| Az első hónap a tényleges felépítés időszaka, ahol az ütemterv a felelős napi munkájának gerince lesz. | A 4. | cikk szerinti követelmények átültetése, a belső eljárásrendek áttekintése és a kockázatalapú priorizálás tartozik ide. |
| A második és a harmadik hónap a századik napig az, amikor a felelős a felépített kereteket élesben is próbára teszi. | A 26. | cikk szerinti nyilvántartási és együttműködési kötelezettségek teljesítése, valamint az első belső auditok lefolytatása tartozik ebbe az időszakba. |
| A három szakasz együtt a száz nap teljes idejét lefedi, és az időráfordítás súlyozása jól tükrözi a felelősség jellegét. | Az első hét az arányokhoz képest kevesebb, az első hónap a legtöbb, míg a fennmaradó időszak a rendszeres üzemeltetésről szól. | A felelős számára a legfontosabb, hogy ezt az eloszlást tudatosan kezelje, és ne a századik napra halmozza fel a feladatokat. |
Hogyan lesz belőle működő gyakorlat?
A meghonosítás
A felelős első száz napjának sikere azon múlik, hogy a tervezetből mérhető napi rutin lesz. Ehhez az kell, hogy a hatáskör írásban rögzített legyen, mert különben az MI-felelős pozíciója formálissá válik, és a döntések visszasodródnak a korábbi csatornákba. A hatáskör leírása tartalmazza, hogy a felelős mely kérdésekben mond önállóan véleményt, és mely ügyekben kezdeményez döntést. Enélkül a legjobb szándékú terv is csak polcra kerülő papír marad, amelyet senki nem vesz elő a projekt lezárása után.
A napi gyakorlat második feltétele az ütemterv, amelyet nem elég egyszer megírni, hanem hetente felül kell vizsgálni. Az ütemterv a felelős munkájának gerince, mert ebből látszik, hogy a feladatok nem torlódnak-e fel, és hogy a függőségek időben rendeződnek-e. A felelős az ütemterv módosításairól rendszerint a heti státusztalálkozón számol be, ahol a csapat közösen értékeli az eltéréseket. Ez a rendszeres korrekció biztosítja, hogy az MI-felelős ne csak adminisztráljon, hanem valóban formálja a fejlesztés irányát.
A harmadik feltétel a beszámolás rendje, amely a (EU) 2024/1689 rendelet 4. cikkében megfogalmazott kockázatkezelési kötelezettségekre épül. A felelős beszámolási kötelezettsége nem merül ki a havi jelentésben, hanem kiterjed a bevezetett rendszerek folyamatos felügyeletére is. A beszámolás során a felelős ismerteti a feltárt kockázatokat, a megtett intézkedéseket, valamint azokat az eseteket, ahol a kockázatkezelés nem volt elégséges. Ez a dokumentált visszacsatolás ad jogi védelmet a szervezetnek, és egyben visszajelzést a felelős munkájáról.
Végül a napi gyakorlatot a (EU) 2024/1689 rendelet 26. cikke szerinti alapelvek átültetése zárja le, amely a felügyeleti rendszer emberi közreműködéséről szól. A felelős gondoskodik arról, hogy a bevezetett megoldásoknál legyen emberi beavatkozási pont, és ez a pont a szervezeti hierarchiában is egyértelműen meg legyen jelölve. A mindennapi munkában ez azt jelenti, hogy az automatikus döntés nem végleges döntés, hanem javaslat, amelyet a felelős vagy az általa kijelölt szakember felülvizsgál. Ez a kettős védelem biztosítja, hogy a rendszer nemcsak hatékony, hanem elszámoltatható is maradjon.
Egy gyakorlati eset
Egy közepes méretű pénzügyi szolgáltatónál a megbízott MI-felelős első intézkedése az volt, hogy
Az első hét végére a MI-felelős összeállított egy ütemtervet, amelyben pontosan rögzítette, milyen kockázatértékelési lépések következnek, és mely szervezeti egységeket érintenek. A második héten munkacsoportot hozott létre az adatvédelmi, az informatikai és a jogi területek bevonásával, hogy a rendszerint több szakterületet érintő kérdéseket közösen kezeljék. A felelős hatáskörébe tartozott a fejlesztési igények priorizálása, a külső partnerek MI-vel kapcsolatos teljesítményének értékelése, valamint a belső tudásmegosztás megszervezése is. A beszámolás rendjét úgy alakította ki, hogy a felső vezetőség rendszeres, a legtöbb esetben írásos összefoglalót kapjon a folyamatban lévő feladatokról és a felmerült kockázatokról. Így a döntéshozók nemcsak az eredményeket, hanem a mögöttes döntési helyzeteket is látták.
| Szakasz | Mi történt | Szám |
|---|---|---|
| Kiindulás | Az első hónapban a MI-felelős a (EU) 2024/1689 rendelet 26. cikkére támaszkodva felülvizsgálta a szervezeten belüli irányítási gyakorlatokat, és azonosította azokat a pontokat, ahol a dokumentáció hiányos volt. Ezt követően egységes nyilvántartást vezetett be az MI-rendszerekről, amelyben a felhasználási cél, az adatforrások és a felelős szervezeti egység is rögzítésre került. Az ütemterv alapján a hónap végére minden érintett terület kapott egy-egy konkrét feladatlistát, amelyben a határidők és a várt eredmények is szerepeltek. A felelős emellett belső tájékoztató anyagokat készített, hogy a kollégák megértsék az új eljárásrend lényegét és a saját szerepüket benne. A beszámolás ezen a ponton már havi rendszerességűvé vált, és a vezetőség így folyamatosan nyomon követhette a haladást. | 1. |
| Lépések | A századik napra a szervezetnél a MI-vel kapcsolatos döntéshozatali rend egyértelművé vált, és a korábban szétszórt gyakorlatok egységes keretbe rendeződtek. A felelős hatáskörébe tartozott a kockázatkezelési intézkedések jóváhagyása, a belső képzések tematikájának meghatározása, valamint az auditokkal kapcsolatos együttműködés koordinálása is. Az ütemtervnek megfelelően a MI-felelős ekkorra minden érintett szakterületen bevezetett egy-egy kapcsolattartót, akik a napi kérdésekben gyorsan tudtak egyeztetni. A beszámolási struktúra kialakítása révén a felső vezetés rendszeres áttekintést kapott a kockázatokról és a szükséges beavatkozásokról. A századik napra a szervezetnél a MI-felelős tevékenysége a (EU) 2024/1689 rendelet 4. cikkében foglaltakon túl a 26. cikkben meghatározott gyakorlati lépésekre is kiterjedt. | 2. |
| Eredmény | Az eset eredményeként a szervezetnél a MI-felelős szerepe a kezdeti bizonytalanságból egy jól körülhatárolt, operatív pozícióvá vált. A hatáskörök, az ütemterv és a beszámolás együttesen biztosították, hogy a mesterséges intelligenciával összefüggő döntések nyomon követhetők legyenek. A legtöbb esetben a felmerülő kérdések az új eljárásrend alapján gyorsan tisztázódtak, és a felelős bevonása nélkül korábban elhúzódó egyeztetések rövidebbé váltak. A tapasztalatok azt mutatták, hogy a felelős nemcsak a megfelelőségi kérdésekre összpontosított, hanem a belső felhasználók támogatására is. Az eset tanulsága szerint a századik napra kialakított struktúra hosszabb távon is alkalmas arra, hogy a szervezet az MI-vel kapcsolatos kihívásokat átlátható módon kezelje. | 3. |
Eredmény. Az eset anonimizált: az azonosító adatok megváltoztatva, a döntési út és a végeredmény változatlan.
Az ellenérv
Az állítás: Sokan vitatják, hogy egyetlen felelős személy képes-e érdemben lefedni a mesterséges intelligencia használatából fakadó teljes felelősségi teret. Azzal érvelnek, hogy a szervezeteknél rendszerint több párhuzamos MI-projekt fut, amelyek eltérő kockázati besorolású rendszereket érintenek, és egyetlen ember szakértelme nem terjedhet ki minden technikai, jogi és üzleti dimenzióra. Ez az ellenérv rávilágít, hogy a felelős nemcsak operatív végrehajtó, hanem koordinátor is, aki mögött működőképes szakértői hálózat kell hogy álljon.
Ami ellene szól: A méltányos válasz az, hogy a felelős hatásköre nem korlátlan szakértői tudást, hanem döntési és beszámolási jogosítványokat jelent. Az (EU) 2024/1689 rendelet 4. cikke a kockázatkezelési rendszer kialakításáról szóló kötelezettséget a szolgáltatóra és a forgalmazóra telepíti, nem egy magánszemélyre, vagyis a felelős ezt a szervezeti kötelezettséget testesíti meg és hangolja össze. A felelős feladata ennek megfelelően nem a szakértői tudás egyedülálló birtoklása, hanem a megfelelő csapatok összefogása, a döntések nyomon követése, valamint a szervezeti beszámolási lánc működtetése.
Amit erre mondani lehet: A másik ellenérv szerint az első száz nap túl rövid ahhoz, hogy a felelős tényleges hatáskört építsen ki, különösen nagyobb szervezeteknél. Erre az a válasz, hogy az (EU) 2024/1689 rendelet 26. cikke alapján a szolgáltató köteles gondoskodni a megfelelő szintű mesterségesintelligencia-irányításról, és ennek a rendszernek a kiépítése nem várhat a felelős kinevezéséig. Az első hét a helyzet feltárásáról, az első hónap az ütemterv és hatáskör rögzítéséről, a századik napig pedig a működő beszámolási rend és a dokumentált döntési nyomvonal kialakításáról szól, ami rendszerint elegendő egy hiteles kiindulópont megteremtéséhez.
A dokumentum és a napi működés kapcsolata
| Napi helyzet | Mit mond a dokumentum | Ki dönt |
|---|---|---|
| Az MI-felelős munkája nem önálló sziget, hanem a szervezet napi folyamataiba ágyazott támogatás. | Az (EU) 2024/1689 rendelet 4. | cikke jelöli ki a felelős pozícióját, a 26. |
| Az első héten a felelős nem új szabályzatot ír, hanem meglévő anyagokat gyűjt össze és rendszerez, hogy lássa, mi áll már készen és mi hiányzik. | Ez a feltáró szakasz adja meg a későbbi ütemterv alapját. | A napi működéssel itt még csak áttekintés szintjén találkozik,ám a kapcsolat ezzel megalapozódik. |
| Az első hónapban a felelős a szervezeti egységekkel közösen leírja a felelősségi köröket és a döntési pontokat, így a dokumentum a működés részévé válik. | Az (EU) 2024/1689 rendelet 26. | cikke szerinti belső szabályzatok, értékelési és jelentéstételi eljárások ekkor kapcsolódnak a beszerzéshez, a fejlesztéshez és az üzemeltetéshez. |
| A századik napig a felelős ütemtervet készít, amelyben a dokumentum felülvizsgálata és a beszámolási kötelezettségek rendszeres időpontokhoz kötődnek. | A beszámolás itt már nem eseti riport, hanem a vezetés felé irányuló, rendszerint negyedéves gyakoriságú visszajelzés, amelyet a 26. | cikk szerinti tájékoztatási és nyilvántartási kötelezettségek egészítenek ki. |
Három szervezeti minta
A szervezeti minták nem elméleti kategóriák, hanem a felelős mindennapi munkáját formáló keretek. Az első száz nap egyik legfontosabb feladata felismerni, hogy a választott modell mennyire illeszkedik a szervezet érettségéhez és a döntéshozatali kultúrához. A minta meghatározza, hogy a felelős tanácsadóként, jóváhagyóként vagy közvetítőként vesz részt a folyamatokban. Ezt a besorolást érdemes a századik nap előtt írásban rögzíteni.
Ami működik
Az egyik minta a tanácsadó felállás, ahol a felelős véleményez, de a végső döntés a szakmai területé. Ez a modell gyorsan bevezethető, mert kevés hatásköri vita keletkezik, ugyanakkor a felelős csak akkor tud érdemben hatni, ha a területek kérik a bevonását. A másik minta a jóváhagyó modell, ahol a felelős a (EU) 2024/1689 rendelet 4. cikke alapján kötelezően részt vesz bizonyos döntésekben. Ebben az esetben a hatáskör és az ütemterv összehangolása jelenti a fő feladatot.
A harmadik minta a közvetítő felállás, amelyben a felelős összekötő kapocs a jogi, az informatikai és az üzleti oldal között. Ez a modell rendszerint a legkevésbé formalizált, ezért a beszámolás rendjét itt kell a legerősebben megteremteni. A minta kiválasztása nem végleges, az első száz nap tapasztalatai alapján indokolt lehet a váltás. A lényeg, hogy a felelős hatásköre, ütemterve és beszámolási kötelezettsége összhangban legyen a választott modellel.
Ami nem
A három minta közös jellemzője, hogy egyik sem működik világos felelősségi körök és írásos megállapodás nélkül. A felelős feladata, hogy a századik napig bemutassa, melyik minta illik a szervezethez, és milyen feltételekkel működtethető. A (EU) 2024/1689 rendelet 26. cikke szerinti beszámolási kötelezettség teljesítése szempontjából mindegy, hogy melyik modell mellett döntenek, a lényeg a nyomon követhetőség és a döntések dokumentáltsága.
Az első év, hónapról hónapra
| Időszak | Mi esedékes | Kimenet |
|---|---|---|
| Az MI-felelős bevezető hete a megismerésé: áttekinti a szervezet meglévő MI-használati térképét, azonosítja a kulcsbelső partnereket, és egyértelműsíti saját hatáskörét a vezetőséggel. | Ekkor érdemes írásban rögzíteni, hogy ki felé tartozik beszámolási kötelezettséggel, és milyen döntési jogköröket kapott. | Ez a hivatalos mandátum lesz a későbbi egyeztetések alapja. |
| A második-harmadik hét a szabályozói környezet feldolgozásáról szól. | A felelős rendszerzi a (EU) 2024/1689 rendelet 4. | cikk és 26. |
| Az első hónap végére esedékes egy rövid, írásos ütemterv közzététele, amely hónapokra bontva jelzi a tervezett feladatokat. | Ebben rögzíteni kell a kockázatértékelési ciklusok ütemét, a képzési alkalmak tervét, valamint a belső auditok és a vezetői beszámolók időpontjait. | Az ütemterv nemcsak a végrehajtást segíti, hanem a vezetőség felé is láthatóvá teszi az előrehaladást. |
| A századik napra a felelősnek addigra rendelkeznie kell egy működő belső MI-kockázatkezelési keretrendszerrel, dokumentált incidenskezelési eljárással, és egy első, a vezetőségnek szóló részletes beszámolóval. | Ez a beszámoló tartalmazza a feltárt hiányosságokat, a megtett intézkedéseket, valamint a következő negyedéves ciklus legfontosabb feladatait, ezzel lezárva az első száz napot. | – |
Mit tegyen holnap reggel?
Első lépésként a felelős szervezzen egy félórás megbeszélést a közvetlen felettesével és a jogi, adatvédelmi és informatikai szakterületek képviselőivel. Ezen az egyeztetésen világosítsa meg a saját döntési hatáskörét, valamint azt, hogy milyen ügyekben kell előzetes jóváhagyást kérnie. A cél az, hogy írásban rögzített mandátum szülessen, amelyet a vezetői aláírásukkal hitelesítenek. Ez a dokumentum lesz a későbbi mérések és beszámolások alapja.
- 01
Ezt követően készítsen átfogó leltárt a szervezetnél már működő vagy tervezett mesterségesintelligencia-megoldásokról. A leltár terjedjen ki a fejlesztés alatt álló, a tesztelési fázisban lévő és a már élesben futó rendszerekre egyaránt, és jelölje meg minden egyes rendszernél a felelős üzleti területet. A listát érdemes összevetni a (EU) 2024/1689 rendelet 4. cikkében foglalt kockázati kategóriákkal, hogy azonnal láthatóvá váljon a magas kockázatú felhasználások köre.
- 02
A harmadik napon indítson el egy belső tájékoztató kampányt, amely a szervezet valamennyi szintjét eléri. A tájékoztatás célja, hogy a kollégák megértsék a felelős szerepét, elérhetőségét és a bejelentési csatornákat. Különösen fontos, hogy a felhasználói oldalon dolgozó munkatársak tudják, milyen esetekben kell értesíteniük a felelőst, és milyen egyszerű lépésekben tehetik ezt meg. A tájékoztató anyagok legyenek rövidek, lényegretörőek és könnyen továbbíthatók.
- 03
A hét végén a felelős üljön össze a megbízó vezetővel egy rövid visszatekintő megbeszélésre. Ennek keretében számoljon be a mandátum véglegesítéséről, a leltár előzetes eredményeiről és a belső kommunikáció fogadtatásáról. A megbeszélésen rögzítsék a következő, egy hónapos szakasz fő feladatait is, gondoskodva a felelősségi körök egyértelmű elosztásáról a (EU) 2024/1689 rendelet 26. cikkének megfelelően.
A módszerről
- 01
A cikk szerkezete rögzített váz szerint készült; a jogszabályi hivatkozások előzetesen ellenőrzött listáról származnak.
- 02
Ahol a gyakorlat még formálódik, azt a szöveg kimondja, és nem közöl számot.
- 03
A cikk nem nevez meg szoftverterméket és nem tesz szállítói összehasonlítást.
Fogalomtár
Kulcs-megállapítások
- 01
A felelős pozíció betöltése a szervezeteken belül gyakran gesztusértékű lépésként jelenik meg, a mögöttes szabályozási környezet és a belső elvárások rendszere azonban ennél lényegesen többet követel. Aki ilyen megbízatást vállal, annak nemcsak a technológiai folyamatok átlátását kell biztosítania, hanem a döntési jogkör világos rögzítését, a beszámolási útvonalak kialakítását és az ütemterv számonkérhetőségét is. Aki ezeket a feladatokat halogatja, az a századik napra jellemzően abban a helyzetben találja magát, hogy a felelőssége dokumentálatlan, a hatásköre tisztázatlan, a szervezeten belüli partnerei pedig nem tudják, milyen kérdésekben kell hozzá fordulniuk.
- 02
A szabályozási háttér egyre kevésbé tűri az önkényes értelmezést, ami a hazai szervezeteket is egyre pontosabb belső szabályrendszerek kialakítására kényszeríti. Az (EU) 2024/1689 rendelet 4. cikke a kockázatkezelés és az alapelvek szintjén jelöli ki azokat a keretfeltételeket, amelyeket a felelősnek a saját szervezetében is érvényre kell juttatnia. Ez a kötelezettség nem helyettesíthető lelkesedéssel vagy szóbeli ígéretekkel, és nem halasztható a projektek kézbevételét követő hónapokra. A felelős feladata lényegében az, hogy a külső elvárásokat a belső működés fordított nyelvére lefordítsa, és ehhez konkrét lépéseket tegyen.
- 03
Egy közepes méretű pénzügyi szolgáltatónál a megbízott MI-felelős első intézkedése az volt, hogy feltérképezze a szervezetnél már futó mesterségesintelligencia-alapú megoldásokat, és azonosítsa a felelősségi határokat. A kiindulási állapot szerint sem a hatáskörök, sem a beszámolási útvonalak nem voltak egyértelműen meghatározva, ezért az új szereplő első dolga a belső mandátum tisztázása volt. Ennek során a (EU) 2024/1689 rendelet 4. cikkében foglalt, a szervezetre vonatkozó alapelveket vette alapul, és ezekhez igazította a saját feladatkörét. Az átláthatóságot és az elszámoltathatóságot a felső vezetés felé is egyértelműsítette, így a kollégák látták, kihez fordulhatnak MI-vel kapcsolatos kérdésekben.
- 04
Az első hét végére a MI-felelős összeállított egy ütemtervet, amelyben pontosan rögzítette, milyen kockázatértékelési lépések következnek, és mely szervezeti egységeket érintenek. A második héten munkacsoportot hozott létre az adatvédelmi, az informatikai és a jogi területek bevonásával, hogy a rendszerint több szakterületet érintő kérdéseket közösen kezeljék. A felelős hatáskörébe tartozott a fejlesztési igények priorizálása, a külső partnerek MI-vel kapcsolatos teljesítményének értékelése, valamint a belső tudásmegosztás megszervezése is. A beszámolás rendjét úgy alakította ki, hogy a felső vezetőség rendszeres, a legtöbb esetben írásos összefoglalót kapjon a folyamatban lévő feladatokról és a felmerült kockázatokról. Így a döntéshozók nemcsak az eredményeket, hanem a mögöttes döntési helyzeteket is látták.
- 05
Első lépésként a felelős szervezzen egy félórás megbeszélést a közvetlen felettesével és a jogi, adatvédelmi és informatikai szakterületek képviselőivel. Ezen az egyeztetésen világosítsa meg a saját döntési hatáskörét, valamint azt, hogy milyen ügyekben kell előzetes jóváhagyást kérnie. A cél az, hogy írásban rögzített mandátum szülessen, amelyet a vezetői aláírásukkal hitelesítenek. Ez a dokumentum lesz a későbbi mérések és beszámolások alapja.
- 06
Ezt követően készítsen átfogó leltárt a szervezetnél már működő vagy tervezett mesterségesintelligencia-megoldásokról. A leltár terjedjen ki a fejlesztés alatt álló, a tesztelési fázisban lévő és a már élesben futó rendszerekre egyaránt, és jelölje meg minden egyes rendszernél a felelős üzleti területet. A listát érdemes összevetni a (EU) 2024/1689 rendelet 4. cikkében foglalt kockázati kategóriákkal, hogy azonnal láthatóvá váljon a magas kockázatú felhasználások köre.
Gyakori kérdések
Mikor érdemes először átnézni a szervezet meglévő MI-stratégiáját?
Az első héten érdemes áttekinteni a hatályos MI-stratégiát vagy annak hiányát, összegyűjteni a kapcsolódó belső szabályokat és azonosítani a döntéshozókat. Ez ad alapot ahhoz, hogy a felelős tudja, mihez viszonyítva tervezzen a következő hetekre.
Milyen gyors helyzetképet készítsen az első napokban?
Az első napokban készítsen gyors helyzetképet a futó MI-projektekről, az adatkezelési és beszállítói nyilatkozatokról, valamint a folyamatban lévő ajánlattételekről. A cél nem mélység, hanem átláthatóság: tudja, mi fut, kié, és hol tart.
Kikkel üljön le a felelős az első héten?
Az első héten üljön le az adatvédelmi, IT-biztonsági, jogi és üzleti oldal kulcsszereplőivel. Ezekkel a partnerekkel tud egyeztetni a kockázatokról, a folyamatokról és az elvárásokról, mielőtt bármilyen új tervet véglegesítene.
Hogyan építse ki a kapcsolatot a menedzsmenttel?
Az első hónapban érdemes rövid, rendszeres találkozókat kérni a menedzsmenttel, ahol az MI-felelős ismerteti a kockázatokat, a döntési pontokat és az erőforrásigényt. Fontos, hogy az elvárások és a hatáskörök már ekkor letisztuljanak.
Mely területeket érdemes rangsorolni a századik napig?
A századik napig érdemes rangsorolni a magas kockázatú felhasználásokat, az adatkezelési és átláthatósági kérdéseket, valamint a munkatársak tájékoztatását. Az alacsony kockázatú, belső kísérletek ezzel párhuzamosban haladhatnak.
Milyen dokumentumokat kell először rendbe tenni?
Elsőként az MI-használati szabályzatot, az adatkezelési tájékoztatókat és a beszállítói értékelési listát érdemes naprakészre hozni. Ezek képezik az alapját minden későbbi jóváhagyásnak és belső egyeztetésnek.
Hogyan vonja be a munkatársakat a felelős az első hónapban?
Az első hónapban érdemes rövid belső tájékoztatót és kérdés-felelet blokkot tartani, valamint egy egyszerű csatornát megnyitni a felhasználók visszajelzéseinek. Így a felelős valós képet kap a tényleges gyakorlatokról.
Mire figyeljen a felelős a külső partnereknél a századik napig?
A századik napig ellenőrizze, hogy a külső MI-szolgáltatók szerződésében rögzítve vannak-e az átláthatósági, adatkezelési és emberi felügyeleti feltételek. A hiányosságokat jelölje, és kezdeményezze a szerződés-módosítást.
Milyen konkrét lépéseket tegyen az MI-felelős az első héten?
Az első héten jelöljön ki egyértelmű átvételi pontot, kérjen teljes hozzáférést a releváns rendszerekhez, és készítsen egy hét napos tervet a legfontosabb egyeztetésekre. Ezzel megalapozza a későbbi ütemezést.
Hogyan mérje a felelős a saját haladását az első száz napban?
Érdemes hétről hétre rövid státuszt vezetni a lezárt egyeztetésekről, a felmerült kockázatokról és a nyitott kérdésekről. A századik napra ez ad alapot egy átfogó összefoglalóhoz a menedzsment felé.
Források
- (EU) 2024/1689 rendelet, 4. cikk – Előzetesen ellenőrzött hivatkozás. (2026)
- (EU) 2024/1689 rendelet, 26. cikk – Előzetesen ellenőrzött hivatkozás. (2026)
A felnőttképzés, az informatika és a mesterséges intelligencia metszetében dolgozik – a gyakorlati tapasztalatot köti össze a friss kutatással. Gyöngyös, Baranya és a Dél-Dunántúl.