MI-használati szabályzat kkv-nak: szakaszról szakaszra

Miért nem elég a jó szándék és a józan ész?

A legtöbb cégnél az MI-használat nem döntés eredményeként indult el, hanem beszivárgott. Valaki kipróbálta egy ajánlat megfogalmazására, mert gyorsabb volt. Valaki más beillesztett egy ügyféllevelet, hogy udvariasabbra írassa. A harmadik egy szerződéstervezetet töltött fel, hogy összefoglalót kapjon róla. Egyik lépés sem tűnt kockázatosnak külön-külön, és a vezetőség jellemzően nem is tudott róluk. Amikor aztán felmerül a kérdés, hogy a cég használ-e mesterséges intelligenciát, a válasz általában bizonytalan: hivatalosan nem, gyakorlatilag igen, dokumentáltan sehogy.

Ez az állapot két okból tarthatatlan. Az első jogi: a rendelet kötelezettségei az alkalmazóra akkor is vonatkoznak, ha a használat spontán alakult ki, és a gondossági kötelezettségnél éppen az a kérdés, tett-e a szervezet arányos lépéseket. A dokumentálatlan semmittevés erre nem válasz. A második ok üzleti: a bevitt adat elhagyja a céget. Egy ügyféllista, egy árazási tábla vagy egy szerződéstervezet olyan információ, amelynek a kikerülése önmagában is kár, függetlenül attól, hogy ezért bírságol-e valaki.

A józan ész azért nem elég, mert nem egységes. Ami az egyik munkatársnak nyilvánvalóan bizalmas, a másiknak rutinadat. Ami az egyiknek ellenőrzendő gépi válasz, a másiknak kész szöveg. A szabályzat nem azért készül, mert a munkatársak felelőtlenek, hanem mert a határokat valakinek ki kell mondania. Amíg nincs kimondva, mindenki a saját mércéjét használja, és a cég a leggyengébb ponton sérül.

Van egy harmadik, ritkábban emlegetett ok is: a szabályzat felszabadít. Ahol nincs iránymutatás, ott az óvatosabb munkatársak inkább nem használják az eszközt, a merészebbek pedig korlátok nélkül. A világos keret mindkét szélsőséget megszünteti: kiderül, mire szabad használni, és ettől azok is elkezdik, akik eddig tartottak tőle. A megfelelés így nem fékez, hanem éppen kiszámíthatóvá teszi a bevezetést.

Mi a szabályzat jogi horgonya?

Két rendelkezés adja a gerincet. A 4. cikk az MI-ismeretségről szól: a szolgáltatóknak és az alkalmazóknak intézkedéseket kell hozniuk annak érdekében, hogy támogassák a személyzet és a nevükben eljárók MI-ismeretségének fejlesztését, figyelembe véve azok meglévő ismereteit, tapasztalatát, képzettségét, a használat kontextusát, valamint azt, hogy kikre hat a rendszer. Az eredeti, 2025. február 2-a óta élő szöveg még azt írta elő, hogy a szervezet biztosítsa az elegendő szintet; a Digital Omnibus ezt 2026. július 27-i hatállyal gondossági kötelezettséggé alakította, és kifejezetten rögzíti, hogy nem kell garantálni egyetlen személy meghatározott tudásszintjét sem.

Az 50. cikk az átláthatóságról rendelkezik, és a szabályai 2026. augusztus 2-án élesedtek. A kötelezettségek megoszlanak a szolgáltató és az alkalmazó között. A szolgáltatóé a tervezési oldal: a közvetlenül emberrel érintkező rendszernek közölnie kell magáról, hogy mesterséges intelligencia, a generatív kimenetet pedig gépileg olvasható, megbízható és együttműködésre képes jelöléssel kell ellátni. Az alkalmazóé a közlési oldal: tájékoztatni kell azokat, akik érzelemfelismerő vagy biometrikus kategorizáló rendszerrel kerülnek kapcsolatba, és jelölni kell a mesterségesen előállított vagy manipulált kép-, hang- és videótartalmat, valamint a közérdekű kérdésekben közzétett MI-generált szöveget.

A hazai keretet a 2025. évi LXXV. törvény és a 344/2025. Korm. rendelet adja, a szakpolitikai irányt pedig a Mesterséges Intelligencia Stratégia 2025-2030, az 1324/2025. Korm. határozat. A szabályzat szempontjából ezek elsősorban azt határozzák meg, melyik hatóság jár el és milyen eljárásban; a belső dokumentum tartalmát a rendelet két hivatkozott cikke alakítja. közepes A hatósági gyakorlat 2026 nyarán még formálódik, ezért a szabályzatot úgy érdemes megírni, hogy a szigorodás ne igényelje az egész dokumentum újraírását.

Hatály: kire és mire vonatkozzon a szabályzat?

A hatály rossz meghatározása a leggyakoribb hiba. Ha túl szűk, kimarad az a kör, amelyik a legnagyobb kockázatot hordozza; ha túl tág, a dokumentum életszerűtlen lesz, és a munkatársak nem tartják be. A személyi hatály minimuma: minden munkavállaló, aki a munkájához MI-eszközt használ, plusz minden szerződéses partner és bedolgozó, aki a cég nevében kezel ilyen rendszert. Ez utóbbi csoportot a legtöbb szabályzat kihagyja, pedig a rendelet a nevünkben eljárókra is kiterjed.

A tárgyi hatálynál érdemes tudatosan tágan indulni. Nem csak a nyilvánvaló szövegeszközök tartoznak ide, hanem a fordítóprogramok, az összefoglalót készítő kiegészítők, a levelezőprogram javaslatai, a felvételkezelő és jegyzetelő eszközök gépi átirata, a képgeneráló megoldások, és minden olyan beépített funkció, amely mesterséges intelligenciával működik egy egyébként régóta használt szoftverben. Az utóbbi a legalattomosabb: a cég nem vezetett be semmit, de a meglévő eszközei frissítés útján MI-funkciót kaptak.

• 01

  Minden munkavállaló, aki bármilyen MI-eszközt használ munkavégzésre, függetlenül attól, hogy a cég szerezte be vagy ő maga kezdte használni.

• 02

  Szerződéses partnerek és bedolgozók, akik a cég nevében kezelnek MI-rendszert – rájuk a szerződés hivatkozzon vissza a szabályzatra.

• 03

  Beszerzett, előfizetett MI-szolgáltatások, beleértve a meglévő szoftverek utólag kapott MI-funkcióit is.

• 04

  Saját fejlesztésű vagy testre szabott megoldások – ezeknél külön vizsgálandó, hogy a cég nem válik-e maga is szolgáltatóvá.

• 05

  Ügyfél felé irányuló felhasználások: chatbot, automatikus válasz, generált marketingtartalom, kép- és videóanyag.

• 06

  Belső döntés-előkészítés: elemzés, összefoglaló, kockázatértékelés, előszűrés – itt a legnagyobb a téves döntés kockázata.

• 07

  Kifejezetten kizárt felhasználások, amelyeket a cég nem enged: ezt is a hatálynál kell kimondani, nemcsak a tiltások között.

Szerepek: ki dönt, ki felel, ki használ?

Egy kkv-nál nem kell háromszintű irányítási struktúra, de három szerepnek léteznie kell, akkor is, ha közülük kettőt ugyanaz a személy visz. A felelős az, aki a szabályzatot karbantartja, az új eszközök bevezetéséről dönt, és akihez kérdéssel lehet fordulni. A használó az, aki napi szinten dolgozik az eszközzel, és akinek a döntései a kockázatot hordozzák. A jóváhagyó az, aki az üzletileg vagy jogilag érzékeny felhasználásokat engedélyezi – ez tipikusan az ügyvezető.

A szerepeket névvel kell rögzíteni, nem beosztással. A beosztás cserélődik, a dokumentum pedig elavul vele. A név mellé kerüljön dátum is, hogy a felülvizsgálatnál látszódjon, mikor került utoljára hozzárendelésre. A felelős kijelölése egyébként az egyik legolcsóbb megfelelési intézkedés: nem kerül semmibe, mégis ez teszi a szabályzatot élővé, mert lesz, aki magáénak érzi.

Mit szabad és mit tilos bevinni?

Ez a szabályzat legfontosabb szakasza, és ez az, amit a munkatársak ténylegesen elolvasnak. A jó megoldás nem hosszú elvi fejtegetés, hanem egy rövid, konkrét lista arról, mi nem kerülhet MI-rendszerbe. A tapasztalat szerint az öt-hat tételes tiltólista működik; a húsz pontos felsorolást senki nem tartja fejben.

Ugyanide tartozik a kiváltás megadása. A tiltás önmagában frusztráló; a tiltás plusz alternatíva működik. Ha a szerződéstervezet nem vihető be, akkor mondjuk meg, hogy a szerkezetéről lehet kérdezni, a konkrét feltételekről nem. Ha az ügyfélnév nem mehet, akkor kérjük, hogy cseréljék ki egy általános megjelölésre. Ez a néhány mondat többet ér, mint a szabályzat elején álló alapelv-felsorolás.

Hol kell embernek felülbírálnia?

A rendelet a magas kockázatú rendszerekhez köti az emberi felügyelet részletes követelményeit, de a szabályzat szempontjából érdemesebb a döntés súlyából kiindulni, nem a besorolásból. A gyakorlati kérdés az, hogy a gépi kimenet nyomán születik-e olyan döntés, amely valakire hatással van. Ha igen, ott embernek kell felülbírálnia, függetlenül attól, hogy a rendszer formálisan magas kockázatú-e.

Három szint elég. Az elsőnél a gépi kimenet nyersanyag, amelyet a munkatárs úgyis átdolgoz: itt nem kell külön felülbírálati szabály. A másodiknál a kimenet ügyfélhez jut, tehát valakinek el kell olvasnia, mielőtt kimegy. A harmadiknál a kimenet döntést alapoz meg – kit hívunk vissza, kinek adunk kedvezményt, melyik pályázatot adjuk be –, és itt nemcsak elolvasás kell, hanem az is, hogy a döntést hozó személy indokolni tudja a saját szavaival, miért fogadta el vagy vetette el a javaslatot. A három szintet érdemes a szabályzatban a cég saját példáival illusztrálni, mert az elvont megfogalmazás nem segít a besorolásban. Ha leírjuk, hogy az ajánlatszöveg fogalmazása első szint, az ügyfélnek kimenő levél második, a beszállító-választás előkészítése pedig harmadik, akkor a munkatárs a következő helyzetben analógiával tud dönteni.

Mit közlünk az ügyféllel?

Az 50. cikk 2026. augusztus 2-a óta élő szabályai három tipikus kkv-helyzetet érintenek. Az első a chatbot: ha a látogató közvetlenül a rendszerrel beszélget, a rendszernek közölnie kell, hogy gép. Ez a szolgáltató tervezési kötelezettsége, de a felhasználó cégnek ellenőriznie kell, hogy a beépített megoldás valóban közli-e, mert az ügyfél felé mi jelenünk meg. A második a mesterségesen előállított vagy manipulált kép-, hang- és videótartalom, amelynél a mesterséges eredetet közölni kell. A harmadik a közérdekű kérdésekben közzétett, MI-vel generált szöveg.

A gyakorlati kérdés, hogy hol húzzuk meg a határt a hétköznapi felhasználásnál. Egy MI-vel megfogalmazott, majd ember által átdolgozott ügyfélválasz nem tartozik a jelölési kötelezettség alá; egy teljes egészében géppel írt, közügyi témájú blogbejegyzés igen. A szabályzatban ezt nem jogszabályi idézettel érdemes rendezni, hanem néhány konkrét példával a cég saját tevékenységéből – azokat a munkatársak fel tudják ismerni.

Érdemes egy szabványos közlési mondatot is beírni a szabályzatba, hogy ne mindenki kitalálja a sajátját. Egy rövid, tisztességes megfogalmazás, amely megmondja, hogy a tartalom mesterséges intelligencia közreműködésével készült, és hogy ki felel érte, elegendő. A túlbonyolított jogi nyilatkozat elriaszt, a hiányzó közlés viszont kockázat.

Mi történik, ha baj van?

Az incidenskezelési szakasz rövid lehet, de nem hagyható ki. Négy dolgot kell rögzítenie: mit tekintünk incidensnek, kinek kell jelenteni, milyen határidővel, és mi történik utána. Incidens jellemzően három esemény: bizalmas adat került MI-rendszerbe, hibás gépi kimenet alapján született ügyfelet érintő döntés, vagy a rendszer szokatlanul, a megszokottól eltérően viselkedett.

A jelentés címzettje a felelős, a határidő pedig legyen rövid és emberi: ugyanazon a munkanapon. A leggyakoribb hiba, hogy a szabályzat szankciót helyez kilátásba a hibázó munkatárssal szemben. Ennek az a következménye, hogy az incidensek nem kerülnek jelentésre, és a cég vakon marad. Sokkal hasznosabb kimondani, hogy a jóhiszemű jelentésnek nincs következménye, az elhallgatásnak viszont van.

Az utókövetés két lépés: a konkrét eset kezelése – például a szolgáltató megkeresése az adat törléséért, az ügyfél tájékoztatása, a döntés felülvizsgálata –, és a tanulság beépítése. Ha ugyanaz a hiba kétszer megtörténik, az nem a munkatárs figyelmetlensége, hanem a szabályzat vagy a képzés hiányossága.

Milyen gyakran és hogyan vizsgáljuk felül?

Jogszabályi periódus nincs, de a szabályzat elavulása gyors. Az MI-eszközök féléves ütemben változnak, a szolgáltatói feltételek egyoldalúan módosulnak, és a szabályozási határidők is mozognak – a magas kockázatú rendszerek megfelelési határideje például 2027. december 2-re tolódott. Egy évente egyszeri felülvizsgálat plusz minden új eszköz bevezetésekor egy célzott kiegészítés fenntartható ütem egy kkv-nál.

A felülvizsgálat négy kérdésre keres választ. Változott-e az eszközpark? Változtak-e a szolgáltatói feltételek? Volt-e incidens, és tanultunk-e belőle? Változott-e a jogi környezet? A válaszokat rögzíteni kell akkor is, ha mind a négy nem – éppen ez a feljegyzés bizonyítja, hogy a szervezet gondosan járt el.

A verziókövetés is fontos, és nem bonyolult: dátum, verziószám, mi változott, ki hagyta jóvá. A munkatársaknak mindig az aktuális verziót kell elérniük, a régieket viszont meg kell őrizni, mert egy utólagos kérdésnél az számít, mi volt érvényben az adott időpontban.

A szabályzat váza: tizenkét szakasz

Az alábbi váz kkv-méretre készült. A teljes dokumentum három-négy oldal, nem harminc. Aki hosszabbra írja, azt kockáztatja, hogy senki nem olvassa el, és akkor a megfelelés éppen azon a ponton bukik el, ahol keletkeznie kellene: a munkatárs napi döntésénél.

• 01

  Cél és jogi háttér – két bekezdés, a 4. és az 50. cikk megnevezésével. Nem jogszabály-másolás.

• 02

  Hatály – személyi és tárgyi, a szerződéses partnerekre kiterjesztve.

• 03

  Fogalmak – csak azok, amelyeket a dokumentum ténylegesen használ, legfeljebb öt tétel.

• 04

  Szerepek és felelősségek – névvel és dátummal, három szerep.

• 05

  Engedélyezett eszközök listája – melyik eszköz, mire, ki használhatja.

• 06

  Adatbeviteli szabályok – a tiltólista indoklással és kiváltással.

• 07

  Emberi felülbírálat – a három szint, konkrét példákkal a cég tevékenységéből.

• 08

  Átláthatóság az ügyfél felé – mikor és hogyan közöljük, szabványos mondattal.

• 09

  Képzés – ki milyen szintű felkészítést kap, milyen gyakorisággal, mi a bizonyíték.

• 10

  Incidenskezelés – mi az incidens, kinek, mikor, mi történik utána.

• 11

  Felülvizsgálat – gyakoriság, a négy kérdés, a rögzítés módja.

• 12

  Verziókövetés és hatálybalépés – dátum, verzió, jóváhagyó, a régi verziók megőrzése.

Hogyan lesz belőle működő gyakorlat?

A megírt szabályzat önmagában nem véd. Három lépés választja el a papírtól a gyakorlattól. Az első a megismertetés: nem körlevélben, hanem egy rövid, közös alkalmon, ahol a munkatársak a saját munkájukból hozott példákon nézik meg, mi tartozik a tiltólistára. Ez az alkalom egyben a 4. cikk szerinti intézkedés bizonyítéka is, ha jelenléti ívvel és dátummal rögzítjük.

A második a hozzáférhetőség. A szabályzat legyen ott, ahol a munkatárs dolgozik, ne egy mappa mélyén. Egy oldalas kivonat a tiltólistával és a felelős nevével többet ér, mint a teljes dokumentum, amit senki nem nyit meg. A teljes verzió természetesen elérhető marad.

A harmadik a vezetői példa. Ha az ügyvezető a szabályzat ellenére visz be bizalmas anyagot, a dokumentum egy hét alatt elveszíti az érvényét. Ez nem jogi kérdés, hanem szervezeti: a szabály annyit ér, amennyit a legmagasabb beosztású ember betart belőle.

A leggyakoribb hibák

• 01

  A szabályzat jogszabály-másolat: húsz oldal idézet, nulla konkrét utasítás. Senki nem olvassa el, és a megfelelés éppen ott bukik el, ahol keletkeznie kellene.

• 02

  A tiltólista indoklás nélküli. A munkatárs nem érti, miért nem viheti be az adatot, ezért megkerüli.

• 03

  A szerződéses partnerek kimaradnak a hatályból, pedig a nevünkben kezelik a rendszert.

• 04

  Nincs kijelölt felelős, csak egy osztály neve. Amiért mindenki felel, azért senki nem felel.

• 05

  A dokumentum megvan, de a megismertetésről nincs nyom – így a 4. cikk szerinti intézkedés nem igazolható.

• 06

  Az incidensjelentés szankcióval fenyeget, ezért nem érkezik jelentés, és a cég vakon marad.

• 07

  A szabályzat nem tér ki a meglévő szoftverek utólag kapott MI-funkcióira, pedig ma ez a leggyakoribb belépési pont.

• 08

  Nincs felülvizsgálati ritmus: a dokumentum egy év múlva olyan eszközökről szól, amelyeket már nem használnak, és hallgat azokról, amelyeket igen.

Gyakori kérdések

Kötelező-e jogszabály szerint MI-használati szabályzatot készíteni?

Önmagában nem: a rendelet nem nevesít belső szabályzatot mint kötelező dokumentumot. Két olyan kötelezettség létezik viszont, amelynek a teljesítése gyakorlatilag e nélkül nem igazolható. A 4. cikk szerint a szervezetnek intézkedéseket kell hoznia az MI-ismeretség fejlesztésének támogatására, és mivel ez 2026. július 27. óta gondossági kötelezettség, éppen a megtett lépések dokumentálása a bizonyíték. Az 50. cikk átláthatósági szabályai pedig 2026. augusztus 2-a óta élnek, és olyan közléseket írnak elő az ügyfél felé, amelyeket a munkatársak napi döntései teljesítenek vagy mulasztanak el. A szabályzat tehát nem öncélú papír, hanem az a forma, amelyben a két kötelezettség teljesítése kimutathatóvá válik. Aki e nélkül dolgozik, nem feltétlenül szeg meg szabályt, de egy kérdésnél nem tud mit felmutatni. Érdemes hozzátenni, hogy a dokumentum nemcsak hatósági szempontból hasznos. A gyakorlatban sokkal gyakoribb, hogy egy nagyobb ügyfél vagy egy pályázati kiírás kéri számon, van-e a cégnek MI-használati rendje; ilyenkor a meglévő szabályzat néhány perc alatt csatolható, a hiánya viszont hetek késedelmét okozza. A harmadik ok belső: a megírás maga is feltárja, hogy a cégnél ki mit használ. Ez az információ a legtöbb vezetőnek önmagában is újdonság, és sokszor kiderül belőle, hogy a legérzékenyebb adatokat éppen az az eszköz látja, amelyre senki nem gondolt MI-rendszerként.

Mennyire legyen hosszú egy kkv-szabályzat?

Három-négy oldal, tizenkét rövid szakasszal. Ez elegendő ahhoz, hogy minden lényeges kérdésre választ adjon, és elég rövid ahhoz, hogy a munkatársak végig is olvassák. A hosszabb dokumentum nem biztonságosabb, csak olvasatlanabb. A terjedelmet jellemzően a jogszabály-idézetek és az általános alapelvek duzzasztják fel, holott egyik sem befolyásolja a napi döntést. Ha egy szakasz nem ad cselekvési utasítást, akkor vagy át kell írni, vagy ki kell hagyni. Külön érdemes készíteni egy egyoldalas kivonatot a tiltólistával és a felelős nevével, mert a gyakorlatban ezt fogják használni; a teljes verzió pedig elérhető marad annak, aki a részletekre kíváncsi, és egy külső ellenőrzésnél is ezt kell felmutatni. A terjedelem megítéléséhez van egy egyszerű próba: adjuk oda a dokumentumot egy olyan munkatársnak, aki nem vett részt az írásában, és kérdezzük meg tíz perc múlva, mit nem vihet be az MI-rendszerbe. Ha nem tudja megmondani, a szabályzat túl hosszú vagy rosszul tagolt, függetlenül attól, hány oldal. Ez a próba többet ér minden formai előírásnál, mert azt méri, ami számít: eljutott-e az információ oda, ahol a döntés születik.

Mi legyen a tiltólistán, ha csak öt tételre van hely?

Személyes adat, szerződéses és árazási információ, harmadik fél dokumentuma, munkavállalói teljesítményadat, valamint minden különleges adatkategória, például egészségügyi vagy pénzügyi információ. Ez az öt lefedi a valós kockázat túlnyomó részét egy tipikus kkv-nál. Mindegyik mellé egy mondat indoklás kell, mert az indoklás nélküli tiltást a munkatársak megkerülik, és mindegyik mellé egy kiváltás, hogy a tiltás ne bénítson. A szerződéstervezetnél például a szerkezetről szabad kérdezni, a konkrét feltételekről nem; az ügyfélnevet pedig általános megjelölésre lehet cserélni. A lista rövidsége önmagában érték: az öt tételt fejben lehet tartani, a húszat nem. Egy dolgot érdemes külön kiemelni: a lista nem a technológiáról szól, hanem az adatról. Nem az a kérdés, melyik eszközt használjuk, hanem az, hogy mi kerül bele. Ez azért fontos, mert az eszközpark hat hónap alatt kicserélődik, az adatkategóriák viszont ugyanazok maradnak. Aki eszközönként szabályoz, annak félévente újra kell írnia a dokumentumot; aki adatkategóriánként, annak nem.

Kell-e a szabályzatba a chatbot-jelölés, ha nincs chatbotunk?

Igen, érdemes benne hagyni egy rövid szakaszban. Két okból. Egyrészt az 50. cikk nemcsak a chatbotról szól: az alkalmazói oldalon a mesterségesen előállított vagy manipulált kép-, hang- és videótartalom, valamint a közérdekű kérdésekben közzétett MI-generált szöveg jelölése is ide tartozik, és ezek marketing- vagy kommunikációs anyagoknál egy chatbot nélküli cégnél is előfordulnak. Másrészt a chatbot bevezetése jellemzően gyorsan történik, sokszor egy meglévő szolgáltatás funkciójaként; ha a szabályzat már tartalmazza a szabályt, nem kell utólag módosítani. A szakasz elején elég egy mondat arról, hogy a cég jelenleg nem üzemeltet ilyet, és a szabály a bevezetés napjától alkalmazandó. Harmadrészt van egy közvetett haszna is. Ha a szabályzat tartalmazza a jelölési szabályt, akkor a kommunikációs munkatárs a tartalom készítésekor találkozik vele, nem utólag, amikor már kint van az anyag. A visszamenőleges jelölés mindig kínosabb és drágább, mint az előzetes: egy megjelent kampányanyag módosítása több csatornát érint, és a partnerek felé is magyarázatot igényel.

Hogyan igazoljuk, hogy a munkatársak megismerték a szabályzatot?

A legegyszerűbb és legmegbízhatóbb bizonyíték a jelenléti ív egy rövid, közös alkalomról, dátummal, a résztvevők nevével és a bemutatott dokumentum verziószámával. Ez egyszerre teljesíti a megismertetést és szolgál a 4. cikk szerinti intézkedés bizonyítékául. Az elektronikus visszaigazolás – például egy belső rendszerben rögzített elfogadás – szintén megfelelő, ha időbélyeget és verziót tartalmaz. Amit kerülni kell: a körlevél, amelyre nincs visszajelzés, mert abból nem derül ki, ki olvasta el. Új belépőnél a szabályzat megismertetése kerüljön be a beléptetési folyamatba, mert a legtöbb hiányosság éppen az időközben érkezett munkatársaknál keletkezik. Érdemes a megismertetést nem egyszeri eseményként kezelni. A leghatékonyabb forma, ha az éves felülvizsgálat után tartunk egy rövid, húszperces frissítő alkalmat, amelyen csak a változásokat vesszük át. Ez keveset visz el az időből, viszont folyamatos bizonyítékláncot hoz létre, és a munkatársak számára is jelzi, hogy a téma nem egyszeri adminisztráció, hanem a működés része.

Mi a teendő, ha kiderül, hogy valaki bizalmas adatot vitt be?

Először a tényeket kell rögzíteni: mit, mikor, melyik rendszerbe, és milyen feltételek mellett. Ezután a szolgáltató feltételeit kell megnézni, mert ez határozza meg, mi történt az adattal – betanításra használják-e, mennyi ideig őrzik, van-e törlési lehetőség. Ha van, éljünk vele, és a kérést rögzítsük. Személyes adat esetén értékelni kell, keletkezett-e adatvédelmi incidens, mert annak külön eljárási szabályai vannak. Végül a tanulságot kell beépíteni: ha a tiltólista nem volt egyértelmű, azt kell javítani, nem a munkatársat szankcionálni. A jóhiszemű jelentésnek nem lehet következménye, mert különben legközelebb nem fogják jelenteni, és a cég vakon marad. Ha az adat harmadik felet érint – például egy partner dokumentuma került be –, mérlegelni kell a tájékoztatását is. Ez kellemetlen beszélgetés, de a titoktartási megállapodások jellemzően előírják, és a partner jóval rosszabbul reagál, ha máshonnan szerez róla tudomást. Az eset lezárásaként rögzítsük egy-két mondatban, mi történt és mi változik ettől – ez lesz a következő felülvizsgálat bemenete.

Hogyan kezeljük a meglévő szoftverek utólag kapott MI-funkcióit?

Ez ma a leggyakoribb belépési pont, és a legtöbb szabályzat pont ezt hagyja ki. A megoldás egy mondat a hatálynál, amely kimondja, hogy a szabályzat a meglévő eszközök MI-funkcióira is vonatkozik, plusz egy rendszeres, egyszerű ellenőrzés. A felelős évente egyszer nézze át a használt szoftverek listáját abból a szempontból, kapott-e valamelyik MI-funkciót, és ha igen, az milyen adatot lát. Külön figyelmet érdemelnek a levelezőprogramok javaslatai, az összefoglalót készítő kiegészítők és a megbeszélés-rögzítők gépi átiratai, mert ezek jellemzően a legérzékenyebb tartalomhoz férnek hozzá, miközben senki nem tekint rájuk MI-rendszerként. Az ellenőrzés nem igényel technikai tudást: elég végigmenni a használt szolgáltatások listáján, és mindegyiknél megnézni, jelentett-e be a szolgáltató új, mesterséges intelligenciára épülő funkciót. A szolgáltatók ezt jellemzően hírlevélben vagy a terméken belüli értesítésben közlik. Ha egy funkció alapértelmezetten bekapcsolt állapotba került, azt külön érdemes rögzíteni, mert ilyenkor a cég anélkül kezdett MI-t használni, hogy bárki döntött volna róla.

Változtat-e a szabályzaton, hogy a magas kockázatú határidő 2027-re tolódott?

A vázon nem, a hangsúlyokon igen. A Digital Omnibus, azaz az (EU) 2026/1744 rendelet a III. melléklet szerinti önálló magas kockázatú rendszerek megfelelési határidejét 2027. december 2-re tolta, a termékbe épített rendszerekét pedig 2028. augusztus 2-re. Ez nem általános haladék: a 4. cikk és az 50. cikk kötelezettségei élnek, a tiltott gyakorlatok listája pedig bővült. A gyakorlati következmény az, hogy egy kkv-nak most nem a magas kockázatú megfelelési rendszer felépítésével kell foglalkoznia, hanem a használat rendbetételével: hatály, tiltólista, felülbírálat, átláthatóság, képzés. Aki ezt most megcsinálja, annak a szigorodás később csak kiegészítés lesz, nem újrakezdés. Van egy gyakorlati előnye is annak, ha most készül el a dokumentum. A halasztás miatt jelenleg nincs időnyomás, tehát a szabályzat nyugodt tempóban, a saját folyamatokhoz igazítva írható meg. Aki 2027 őszén kezd hozzá, az már határidő elé dolgozik, és jellemzően sablont vásárol a saját gyakorlat feltérképezése helyett – abból pedig olyan dokumentum lesz, amelyik formálisan megvan, de a napi működéshez nem kapcsolódik.

Források és hivatkozási alap

• (EU) 2024/1689 rendelet – EU AI Act, 4. és 50. cikk – Az MI-ismeretségi kötelezettség eredeti szövege (alkalmazandó 2025. február 2-tól), valamint az átláthatósági kötelezettségek a szolgáltatói és alkalmazói szerepek szerinti bontásban. (2024)
• (EU) 2026/1744 rendelet – Digital Omnibus on AI – A 4. cikk újraírása eredménykötelezettségből gondossági kötelezettséggé; a magas kockázatú rendszerek határidejének kitolása. Hatályos 2026. július 27-től. (2026)
• Európai Bizottság – iránymutatás az átláthatósági kötelezettségekről – Az 50. cikk alkalmazása: chatbot-közlés, gépileg olvasható jelölés, a 2026. december 2-ig tartó türelmi idő a korábban forgalomba hozott rendszerekre. (2026)
• 2025. évi LXXV. törvény és 344/2025. Korm. rendelet – Az AI Act magyar végrehajtási kerete: hatósági kijelölések és eljárási szabályok. (2025)
• 1324/2025. Korm. határozat – Mesterséges Intelligencia Stratégia 2025-2030 – A hazai szakpolitikai irány, benne a készségfejlesztési pillér. (2025)

Kapcsolódó elemzések