Folyamatba épített megfelelés: rutin, nem kampány
Az MI-megfelelés legdrágább változata a kampány: évente egyszer nagytakarítás, két audit között csend. Az EU AI-rendelet 17. cikke élettartam-alapú minőségirányítást vár el, arányosan a szervezet méretével – és a meglévő ISO-rendszerekre építve. Gyakorlati útmutató arról, hogyan épül be az MI-megfelelés a beszerzési, HR- és fejlesztési rutinba, mi a naplózás és a bizonyítékképzés minimuma – primer forrásokkal, a 2026 nyári állapot szerint.
A cikk lényegeAz MI-megfelelés legdrágább változata a kampány: évente egyszer nagytakarítás, két audit között csend. Az EU AI-rendelet 17. cikke élettartam-alapú minőségirányítást vár el, arányosan a szervezet méretével – és a meglévő ISO-rendszerekre építve. Gyakorlati útmutató arról, hogyan épül be az MI-megfelelés a beszerzési, HR- és fejlesztési rutinba, mi a naplózás és a bizonyítékképzés minimuma – primer forrásokkal, a 2026 nyári állapot szerint.
Rövid válasz. A fenntartható MI-megfelelés nem külön projekt, hanem a meglévő folyamatok kiegészítése. A rendelet 17. cikke a magas kockázatú rendszerek szolgáltatóitól írásban dokumentált minőségirányítási rendszert követel – a stratégiától a tesztelésen és adatkezelésen át az incidens-bejelentésig –, de kifejezetten kimondja, hogy a megvalósítás a szervezet méretével arányos lehet. Az üzemeltetői oldal gerince a naplók legalább hat hónapos megőrzése és a folyamatba épített ellenőrzés. A leggazdaságosabb út a meglévő rendszerek bővítése: aki ISO 9001 vagy ISO 27001 szerint működik, annak a dokumentálás, a kockázatkezelés és a vezetőségi átvizsgálás keretei már állnak – iparági becslések szerint a meglévő irányítási rendszer a bevezetési munka jelentős részét kiváltja. A kampányszerű megfelelés kétszer drága: egyszer a roham, egyszer a két roham közötti kockázat. A rutinba épített ellenőrzés olcsóbb, és a hatóság előtt is ez a hiteles.
Miért bukik meg a kampányszerű megfelelés?
A kampány-logika – határidő előtt nagytakarítás, utána csend – három ponton bukik. Először: az MI-rendszerek változnak; a modellfrissítés, az új funkció, az új felhasználási cél a besorolást és a kötelezettségeket is módosíthatja, a tavalyi audit tehát semmit nem mond a mai állapotról. Másodszor: a rendelet maga élettartam-alapú – a 17. cikk a piacra vitel utáni nyomon követést és a súlyos incidensek bejelentését is a minőségirányítási rendszer részévé teszi, ami definíció szerint folyamatos működést kíván. Harmadszor: a bizonyíték. Hatósági vizsgálatnál vagy jogvitában nem az számít, mit gondolt a cég, hanem mit tud dokumentumokkal igazolni – és a visszadátumozott kampánydokumentáció a leggyengébb műfaj. A folyamatba épített megfelelés ezzel szemben melléktermékként termeli a bizonyítékot: a beszerzési ellenőrzőlista kitöltött sora, a naplóarchívum, a negyedéves átvizsgálás jegyzőkönyve mind kelt, hiteles nyom.
Mit követel a 17. cikk – és hol az arányosság?
A magas kockázatú rendszerek szolgáltatóinak írásban dokumentált minőségirányítási rendszert kell működtetniük, amelynek a rendelet tizenhárom elemét sorolja fel: megfelelési stratégia; tervezési és fejlesztési eljárások; tesztelés és validálás; az adatkezelés rendszerei; a 9. cikk szerinti kockázatkezelés; a piacra vitel utáni nyomon követés; a súlyos incidensek bejelentése; a hatóságokkal való kommunikáció; a nyilvántartások; az erőforrás-gazdálkodás; és az elszámoltathatósági keret. A kkv számára a kulcsmondat az arányosság: a megvalósításnak a szolgáltató szervezetének méretéhez kell igazodnia. Ez nem a kötelezettség alóli mentesség, hanem a mélység szabadsága – egy ötfős fejlesztőcégnél a tizenhárom elem elfér egy jól szerkesztett, húszoldalas kézikönyvben. Két kiegészítés: a pénzügyi szektor szereplői a meglévő uniós felügyeleti belső irányítási szabályaik teljesítésével részben kiválthatják a rendszert; az üzemeltetőket pedig nem a 17. cikk, hanem a 26. cikk terheli – az ő gerincük a használati utasítás szerinti működtetés, az emberi felügyelet és a naplómegőrzés.
Hogyan épül be a megfelelés a meglévő folyamatokba?
Ellenőrzőlista-sor
Minden szoftverbeszerzésnél két kérdés: van-e benne MI, és ha igen, mi a besorolása? A szállítói nyilatkozat bekérése a beszerzési folyamat kötelező lépése legyen.
Bevezetési kapu
Új HR-eszköz csak a tiltás-ellenőrzés és a munkavállalói tájékoztatás után indulhat – a folyamatba épített kapu olcsóbb, mint az utólagos leállítás.
Változáskezelés
Modellfrissítés és új funkció a változáskezelésen fut át: besorolás-ellenőrzés, tesztjegyzőkönyv, dokumentáció-frissítés – mielőtt élesbe megy.
Napló és incidens
A naplók automatikus, legalább hat hónapos megőrzése és az incidens-eszkaláció beépítése a meglévő üzemeltetési rendbe – nem külön MI-folyamatként.
Mit ér a meglévő ISO-rendszer?
Az MI-irányítási követelmények szerkezete szándékosan rímel a bevett irányítási szabványokra: a dokumentumkezelés, a kockázatkezelés, a belső audit és a vezetőségi átvizsgálás logikája az ISO 9001 és az ISO 27001 világából ismerős. Aki ilyen rendszert működtet, annak nem nulláról kell építkeznie: a meglévő eljárásrendek MI-kiegészítése – új kockázati kategória, új ellenőrzőlista-sorok, a naplózási szabályzat bővítése – a munka nagy részét lefedi. Az iparági tanácsadói becslések a megtakarítást harminc-ötven százalékra teszik; ezt a számot becslésként kezeljük, mert módszertanilag ellenőrzött, független mérés nem áll mögötte – az irány azonban logikus és a gyakorlatban visszaigazolt. A szabványos tanúsításról – az MI-irányítási rendszerek nemzetközi szabványáról és annak korlátairól – a Tudástár külön elemzése szól: a tanúsítvány hasznos lehet, de a folyamatba épített működést nem pótolja.
Mit tudunk biztosan, és mit nem?
| Állítás | Állapot | Megbízhatóság |
|---|---|---|
| A 17. cikk tizenhárom eleme és az arányossági fordulat | a rendelet szövege | igazolt |
| A naplók hat hónapos megőrzése az üzemeltetőnél | 26. cikk (6) | igazolt |
| A pénzügyi szektor részleges beszámítási lehetősége | a rendelet kifejezetten a pénzügyi szektorra mondja ki | igazolt |
| 30–50% megtakarítás meglévő ISO-rendszernél | tanácsadói becslés – független mérés nem támasztja alá | közepes |
| Számszerű magyar megfelelési költségadat kkv-ra | nem található megbízható forrás – becslést nem közlünk | közepes |
Kulcs-megállapítások
- 01
A megfelelés élettartam-alapú: a rendelet a piacra vitel utáni nyomon követést is a rendszer részévé teszi.
- 02
Az arányosság a mélység szabadsága, nem mentesség – kkv-méretben a tizenhárom elem karcsú kézikönyvben elfér.
- 03
A négy beépítési pont: beszerzési ellenőrzőlista, HR-kapu, változáskezelés, üzemeltetési napló- és incidensrend.
- 04
A meglévő ISO-rendszer a leggyorsabb út – bővíteni kell, nem párhuzamos rendszert építeni.
- 05
A folyamatba épített működés melléktermékként termeli a bizonyítékot – ez a leghitelesebb védelem.
- 06
A dokumentált arányossági döntés maga is védelem: írja le, miért ekkora a rendszer, amekkora.
Gyakori kérdések
Üzemeltetők vagyunk, nem fejlesztünk – ránk is vonatkozik a 17. cikk?
A 17. cikk minőségirányítási rendszere a magas kockázatú rendszerek szolgáltatóinak kötelezettsége. Üzemeltetőként az Ön gerince a 26. cikk: működtetés a használati utasítás szerint, kompetens emberi felügyelet, a naplók legalább hat hónapos megőrzése, kockázat észlelésekor felfüggesztés és jelzés, valamint a munkavállalói tájékoztatás. A folyamatba építés elve azonban ugyanúgy Önre is áll: ezek a kötelezettségek akkor olcsók, ha a meglévő üzemeltetési, HR- és beszerzési rutinba simulnak. És van egy határhelyzet: ha a rendszert lényegesen módosítja vagy saját néven viszi tovább, a szolgáltatói szerep – és vele a 17. cikk – átszállhat Önre; erről a szállítói nyilatkozatokról szóló elemzésünk ad részletes képet.
Mekkora dokumentáció elég egy tízfős cégnél?
A jó mérce a használhatóság: az a dokumentáció elég, amelyből egy új munkatárs megérti a rendet, és amelyből egy vizsgálatnál percek alatt elő tudja venni a bizonyítékot. Kkv-méretben ez tipikusan egy MI-kézikönyv – a tizenhárom elem egy-két oldalas fejezetekben –, a hozzá tartozó élő nyilvántartások – leltár, besorolások, szállítói nyilatkozatok –, valamint a folyamatokba épített ellenőrzőlisták kitöltött példányai. Az arányossági döntést magát is írja le: fél oldal arról, hogy a cég mérete és kockázati profilja alapján miért ez a mélység – ez a fél oldal vizsgálatnál többet ér, mint száz oldal sablonszöveg. A kampány-vastagságú, olvasatlan dokumentáció nem erény, hanem kockázat: senki nem tartja be, és ez látszik.
Hogyan kezeljük a modellfrissítéseket a változáskezelésben?
A modellfrissítés a leggyakoribb rejtett kockázat: a szállító frissít, a rendszer viselkedése változik, a dokumentáció elavul. A folyamatba épített válasz háromlépcsős. Először a szerződés: a szállító előzetesen jelezze a modellváltást és az új funkciókat – ez a szállítói minimumlista része. Másodszor a kapu: a frissítés élesítése előtt rövid ellenőrzés – változott-e a besorolás, az átláthatósági helyzet, a teljesítmény a saját teszteseteken. Harmadszor a nyom: a frissítés ténye, dátuma és az ellenőrzés eredménye kerüljön a nyilvántartásba. Ez rendszerenként negyedóra – szemben azzal a helyzettel, amikor egy incidens után senki nem tudja megmondani, melyik modellváltozat mit csinált mikor.
Mit naplózzunk, ha a rendszer a szállító felhőjében fut?
A kötelezettség a rendszer által automatikusan generált naplókra vonatkozik, amennyiben azok az Ön ellenőrzése alatt állnak – felhőszolgáltatásnál ezért a szerződés dönt. Három kérdést rendezzen a szállítóval: milyen naplókat generál a rendszer és mi a tartalmuk; biztosított-e a legalább hat hónapos megőrzés és az exportlehetőség; és ki fér hozzá a naplókhoz incidens esetén. Ha a szállító nem ad naplóhozzáférést, azt a kockázatot dokumentálja, és fontolja meg a saját oldali naplózást – a kérések, válaszok és döntések rögzítését a saját rendszerében. A naplók nem adminisztratív teher: panasz, jogvita vagy hatósági kérdés esetén ez az egyetlen tárgyszerű emléke annak, mi történt valójában.
Lemaradtunk a kampánnyal – hogyan váltsunk rutinra?
Három hónapos átmenet reális. Az első hónap az állapotfelvételé: leltár, besorolások, szállítói nyilatkozatok bekérése – ez még kampányelem, de az utolsó. A második hónapban épülnek a kapuk: a beszerzési ellenőrzőlista-sor, a HR-bevezetési kapu, a változáskezelési lépés és a naplózási beállítások – mindegyik a meglévő folyamat kiegészítése, nem új folyamat. A harmadik hónapban indul a ritmus: negyedéves félórás átvizsgálás – mi változott, mi jár le, mi hiányzik –, éves mélyebb felülvizsgálat, és a felelős naptárába rögzített időpontok. Innentől a megfelelés nem projekt, hanem üzemmenet – a 2027. decemberi határidő pedig nem roham lesz, hanem egy negyedéves átvizsgálás napirendi pontja.
Ki tartsa kézben mindezt a szervezetben?
A kijelölt MI-felelős – akinek szerepéről a Tudástár külön elemzése szól. A folyamatba épített modellben az ő dolga nem a végrehajtás, hanem a karmesteri munka: a kapuk működésének ellenőrzése, a negyedéves átvizsgálás levezetése, a nyilvántartások épsége és a határidők követése. A végrehajtás a folyamatgazdáknál marad: a beszerzésnél a beszerző, a HR-kapunál a HR, a változáskezelésnél a fejlesztés vagy az üzemeltetés. Ez a felosztás azért is fontos, mert vizsgálatnál hitelesebb: azt mutatja, hogy a megfelelés a szervezet működésébe épült, nem egyetlen ember fiókjába. A vezetés szerepe pedig a keret: az arányossági döntés jóváhagyása és az éves átvizsgálás – a rendelet elszámoltathatósági eleme pontosan ezt a vezetői felelősséget nevesíti.
Kereszthálózat: a Tudástár kapcsolódó elemzései
A felelős kijelölése: a legolcsóbb intézkedés
Élő
Tudástár #51Szállítói nyilatkozat: mit kérjen a szerződésbe
Élő
Tudástár #52Adatkormányzás kkv-méretben
Élő
Tudástár #53Emberi felügyelet: mit jelent a rendeletben
Élő
Tudástár #60ISO/IEC 42001 tanúsítás: mikor éri meg egy kkv-nak
Élő
Tudástár #48Kockázati besorolás a gyakorlatban
Élő
Források és hivatkozási alap
- EU AI-rendelet, 17. cikk – Minőségirányítási rendszer – a tizenhárom elem és az arányossági fordulat (artificialintelligenceact.eu/article/17) (2024–2026)
- EU AI-rendelet, 26. cikk – Üzemeltetői kötelezettségek és a naplómegőrzés (artificialintelligenceact.eu/article/26) (2024–2026)
- Iparági elemzések – Az ISO 27001/9001 és az MI-irányítás szinergiái – tanácsadói becslések, becslésként jelölve (Modulos és további források) (2025–2026)
- Digital Omnibus on AI – (EU) 2026/1744 – a magas kockázatú kötelezettségek határideje 2027.12.02. (eur-lex.europa.eu) (2026.07.)
- Magyar végrehajtás – 2025. évi LXXV. törvény és 344/2025. (X. 31.) Korm. rendelet (njt.jog.gov.hu) (2025–2026)
A felnőttképzés, az informatika és a mesterséges intelligencia metszetében dolgozik – a gyakorlati tapasztalatot köti össze a friss kutatással. Gyöngyös, Baranya és a Dél-Dunántúl.