Az EU mesterséges intelligenciáról szóló törvénye – az (EU) 2024/1689 rendelet – jogilag kötelező érvényű szabályokat határoz meg minden olyan MI-rendszerre vonatkozóan, amelyet az európai piacon helyeznek el, vagy amelynek kimenete eléri az uniós felhasználókat, így ez az első horizontális, kockázatalapú MI-törvény a világon. Akár modelleket épít, akár harmadik féltől származó eszközöket integrál, akár egyszerűen chatbotokat telepít az ügyfelek kiszolgálására, a törvény új kötelezettségeket hoz létre, és jogsértésenként a globális forgalom akár 7%-áig terjedő, szemet gyönyörködtető bírságoknak teszi ki Önt. A törvény 1. augusztus 2024-jén lépett hatályba; a megfelelési kötelezettségek 2025 februárjától 2027 augusztusáig fokozatosan lépnek életbe, ami azt jelenti, hogy a felkészülési idő korlátozott.

Ez a gyakorlati útmutató áttekinti a jogi zsargont, és pontosan elmagyarázza, amit tudnia kell: a törvény hatályát és főbb definícióit, négyszintű kockázati besorolását, az ütemtervet és a végrehajtási mechanizmusokat, a szolgáltatók, felhasználók, importőrök és forgalmazók konkrét kötelezettségeit, valamint a szabályok be nem tartása esetén kiszabható büntetéseket. A szabályozást a GDPR, a NIS2, a termékbiztonsági szabályok és az ágazatspecifikus követelményekhez is viszonyítjuk, mielőtt lépésről lépésre bemutatnánk a megfelelőségi ellenőrzőlistát, amely alapján a mérnöki, jogi és vezetői csapatok azonnal cselekedhetnek. Készüljünk fel – jóval az auditorok előtt.

Röviden: Mi is valójában az EU mesterséges intelligencia törvénye?

Az (EU) 2024/1689 rendelet – ismertebb nevén az EU mesterséges intelligenciáról szóló törvénye – egy közvetlenül alkalmazandó uniós rendelet, nem pedig irányelv. Ez azt jelenti, hogy a cikkei automatikusan érvényesek minden tagállamban anélkül, hogy nemzeti jogba kellene átültetni őket, hasonlóan a ...-hoz. GDPR tette 2018-ban. A cél kettős: az alapvető jogok és a biztonság védelme, miközben jogbiztonságot nyújt a vállalatoknak a mesterséges intelligenciával való felelősségteljes innovációhoz. Ennek elérése érdekében a törvény egy horizontális, kockázatalapú eszköztárat vezet be, amely a pénzügyektől az egészségügyig minden ágazatot lefed, a „minimális” kockázattól az „elfogadhatatlan” kockázatig terjedő rendszereket osztályozva, a megfelelő jogi kötelezettségekkel együtt.

Hatály és a tudnod kell definíciók

A megfelelőségi terv elkészítése előtt sajátítsa el az alapvető szókincset:

• MI-rendszer: „egy gépalapú rendszer, amelyet úgy terveztek, hogy különböző szintű autonómiával működjön, és amely explicit vagy implicit célok elérése érdekében a bemeneti adatokból következtet arra, hogyan generáljon kimeneteket – például előrejelzéseket, tartalmakat, ajánlásokat vagy döntéseket –, amelyek befolyásolhatják a fizikai vagy virtuális környezetet.”
• Általános célú mesterséges intelligencia (MI, GPAI): olyan MI-rendszer, amely képes számos különféle feladat ellátására, függetlenül attól, hogy azt később hogyan finomhangolják vagy telepítik.
• Szolgáltató: bármely természetes vagy jogi személy, aki mesterséges intelligenciarendszert fejleszt – vagy fejlesztett – azzal a céllal, hogy azt a saját neve vagy védjegye alatt forgalomba hozza vagy üzembe helyezze.
• Felhasználó (gyakran „telepítőnek” is nevezik): olyan személy vagy szervezet, amely a saját felügyelete alatt álló MI-rendszert használ, kivéve a magáncélú, nem professzionális felhasználást.
• Importőr: Az Unióban letelepedett fél, amely az uniós piacon egy, az Unión kívüli szervezet nevét vagy védjegyét viselő mesterséges intelligenciarendszert hoz forgalomba.
• Forgalmazó: az ellátási lánc azon szereplője – a szolgáltatótól vagy importőrtől eltérő –, aki módosítás nélkül bocsát rendelkezésre egy mesterséges intelligenciarendszert.

A területi hatály széles: minden olyan rendszer, amelyet az EU piacán helyeznek el, vagy amelynek termékét az EU-ban használják fel, a törvény hatálya alá tartozik, függetlenül attól, hogy a fejlesztő hol található. Léteznek kivételek a tisztán katonai vagy nemzetbiztonsági alkalmazások, a még nem forgalomba hozott K+F prototípusok és a személyes hobbiprojektek esetében.

A törvénybe ágyazott főbb elvek

A szabályozás a régóta fennálló etikai koncepciókat végrehajtható törvényekké formálja:

• Emberi ügynökség és felügyelet
• Műszaki megbízhatóság és biztonság
• Adatvédelem és az adatkezelés
• Átláthatóság és magyarázhatóság
• Sokszínűség, megkülönböztetésmentesség és méltányosság
• Társadalmi és környezeti jólét

Ezek tükrözik az OECD mesterséges intelligencia alapelveit és az EU korábbi „Etikai irányelveit a mesterséges intelligenciára vonatkozóan”. Megbízható AI„”, de most már szabályozó fogakat hordoznak.

Szabályozás vs. meglévő puha jogi irányelvek

2024-ig az európai mesterséges intelligencia irányítása olyan önkéntes keretrendszerekre támaszkodott, mint az EU MI Paktum vagy a vállalati etikai kódexek. A MI-törvény megváltoztatja a játékszabályokat: a megfelelés kötelező, auditálható és... akár 35 millió eurós bírságok vagy a globális bevétel 7%-át. Más szóval, az „etikus mesterséges intelligencia” deklarációi már nem elegendőek – a szervezeteknek megfelelőségi értékeléseket, CE-jelöléseket és ellenőrizhető naplókat kell bemutatniuk, különben fennáll a veszélye annak, hogy kitiltják őket az uniós piacról.

Idővonal, jogi státusz és végrehajtási fázisok

Az EU Mesterséges Intelligencia Törvénye alig több mint három év alatt jutott el a javaslattól a kötelező érvényű jogszabályig – brüsszeli mércével mérve fénysebességgel. Mivel rendeletről van szó, a legtöbb cikk automatikusan, nemzeti átültetés nélkül alkalmazandó az egész blokkban. Ami idővel változik, az az, hogy mely kötelezettségek lépnek életbe először. Az alábbi ütemterv bemutatja azokat a politikai mérföldköveket, amelyek idáig eljutottak, és előkészíti a fokozatos megfelelési kötelezettségek bevezetését, amelyeket a szervezetének mostantól be kell tartania.

A hatálybalépés dátuma három évre elosztott, lépcsőzetes alkalmazási dátumokat indít el. Ez a kialakítás mozgásteret biztosít a szolgáltatóknak, felhasználóknak, importőröknek és forgalmazóknak a megfelelőségi folyamatok kidolgozására, a modellek korszerűsítésére és a személyzet képzésére – ugyanakkor azt is jelenti, hogy az auditorok már jóval 2027 előtt kimutatható előrelépésre számíthatnak.

Végrehajtási ütemterv: Mi érvényes, amikor

• 6 hónap | 1. február 2025.
  • A tiltott mesterséges intelligencia gyakorlatokat (5. cikk) ki kell vonni a piacról – nincs mentség.
• 12 hónap | 1. augusztus 2025.
  • Átláthatósági kötelezettségek lépnek életbe a deepfake-ek, chatbotok és érzelemfelismerés esetében.
  • Általános célú mesterséges intelligenciára (GPAI) vonatkozó gyakorlati kódexek várhatóak; önkéntes, de erősen ajánlott.
• 24 hónap | 1. augusztus 2026.
  • A magas kockázatú rendszerkövetelmények megkezdése: kockázatkezelés, adatkezelés, műszaki dokumentáció, emberi felügyelet és CE-jelölés előkészítése.
  • A szolgáltatóknak regisztrálniuk kell a magas kockázatú rendszereket az új uniós adatbázisban.
• 36 hónap | 1. augusztus 2027.
  • A teljes rendszer vonatkozik, beleértve a biometrikus azonosító rendszereket, a bejelentett szervezetek általi megfelelőségértékeléseket és a kötelező uniós megfelelőségi nyilatkozatot minden magas kockázatú mesterséges intelligencia esetében.
  • Piacfelügyeleti hatóságok felhatalmazást kap a nem megfelelő termékek visszahívásának vagy forgalomból való kivonásának elrendelésére.

Az átmeneti záradékok lehetővé teszik, hogy a 2026 augusztusa előtt már jogszerűen használt, magas kockázatú rendszerek a piacon maradhassanak, amíg „jelentős módosításon” át nem esnek. A frissítéseket gondosan tervezze meg, hogy elkerülje a megfelelési óra véletlen visszaállítását.

Intézmények és felügyeleti szervek

Az EU mesterséges intelligenciáról szóló törvényét három szintű felügyelet hajtja végre:

1. EU MI Hivatal (Európai Bizottság) – Koordinálja az iránymutatásokat, karbantartja a GPAI nyilvántartást, és bírságot szabhat ki a rendszerszintű modell szolgáltatóira.
2. Nemzeti illetékes hatóságok – Tagállamonként egy; kezeli az ellenőrzéseket, a panaszokat és a napi piacfelügyeletet.
3. Bejelentett szervezetek – Független megfelelőségértékelési szervezetek, amelyek a CE-jelölés előtt auditálják a magas kockázatú rendszereket.

Ezek a szereplők együttműködnek a Európai Mesterséges Intelligencia Testület (EAIB), amely harmonizált értelmező megjegyzéseket ad ki – tekintsünk rá úgy, mint az Általános Adatvédelmi Testület (EDPB) mesterséges intelligenciával megfelelőjére. Figyeljünk az útmutatásaikra; ezek fogják meghatározni, hogyan ítélik meg a technikai dokumentációkat és a kockázatértékeléseket a gyakorlatban.

A négyszintű kockázatbesorolási keretrendszer

Az EU Mesterséges Intelligencia Törvényének (MI Törvény) középpontjában egy közlekedési lámpa modell áll, amely meghatározza, hogy mennyire szigorúak a szabályok: minél nagyobb a kockázat az emberek jogaira és biztonságára nézve, annál nagyobb a megfelelési teher. Minden MI-rendszert négy osztály egyikébe kell sorolni – elfogadhatatlan, magas, korlátozott vagy minimális. Ez az osztályozás határoz meg mindent: a dokumentáció mélységét, a tesztelés szigorúságát, a felügyeletet és végső soron a piacra jutást.

* A 1. augusztus 2024-jei hatálybalépés dátumától számítva.

A keretrendszer dinamikus: ha új funkciókat adsz hozzá, vagy megváltoztatod a célfelhasználókat, a rendszered egy szintet ugorhat, új feladatokat indítva el.

Elfogadhatatlan kockázat: Tiltott mesterséges intelligencia gyakorlatok

Az 5. cikk vörös vonalat húz azokra a felhasználási módokra, amelyeket az EU eredendően összeegyeztethetetlennek tart az alapvető jogokkal. Ezek a következők:

• Szubliminális technikák, amelyek lényegesen torzítják a viselkedést
• Kiskorúak vagy fogyatékkal élők sebezhetőségének kihasználása
• Válogatás nélküli valós idejű biometrikus azonosítás nyilvánosan hozzáférhető helyeken (szűk körű bűnüldözési kivételek érvényesek)
• A hatóságok által végzett társadalmi pontszámítás
• Kizárólag profilalkotáson vagy helyadatokon alapuló prediktív rendfenntartás

Az ilyen rendszerek soha nem kerülhetnek be az EU piacára. A nemzeti hatóságok azonnali visszahívást rendelhetnek el, a bírságok listáját pedig büntetések egészítik ki.

Magas kockázatú mesterséges intelligenciarendszerek: III. melléklet kategóriái

Egy rendszer a magas kockázatú kategóriába kerül, ha:

1. Egy már szabályozott termék biztonsági alkatrésze (pl. a gépekre vagy orvostechnikai eszközökre vonatkozó rendeletek alapján), vagy
2. A III. melléklet nyolc érzékeny területén – biometria, kritikus infrastruktúra, oktatás, foglalkoztatás, alapvető szolgáltatások, bűnüldözési, a migráció és az igazságszolgáltatás.

Miután a szolgáltatókat magas kockázatúként osztályozták, minőségirányítási rendszert kell működtetniük, kockázatkezelési ciklust kell végrehajtaniuk, és megfelelőségértékelést kell végeztetniük – néha egy külső bejelentett szervezeten keresztül. A felhasználók (telepítők) öröklik a naplózási, felügyeleti és incidensjelentési feladatokat.

Korlátozott kockázat: Átláthatósági kötelezettségek

A korlátozott kockázatú eszközök nem ártalmatlanok, de az EU úgy véli, hogy a felhasználói tudatosság a legtöbb veszélyt enyhíti. A chatbotok, a generatív mesterséges intelligencián alapuló művészeti motorok vagy a szintetikus hangszolgáltatások készítőinek a következőket kell tenniük:

• Tájékoztasd a felhasználókat, hogy mesterséges intelligenciával lépnek interakcióba („Ez a kép mesterséges intelligencia által generált”)
• A deepfake tartalom géppel olvasható vízjelben való közzététele
• Tartózkodjon a személyes adatok titkos gyűjtésétől, amely túlmutat a feltétlenül szükséges mértéken

A figyelmeztetés elmulasztása a rendszert közvetlenül nem megfelelő kategóriába sorolja, és közigazgatási bírságot von maga után.

Minimális/elhanyagolható kockázat: Nincsenek kötelező szabályok

A spamszűrők, az e-mailekben megjelenő prediktív szövegbevitel vagy a HVAC energiafelhasználását optimalizáló mesterséges intelligencia általában ide tartozik. Az EU mesterséges intelligenciáról szóló törvénye (MI-törvény) nem ír elő szigorú kötelezettségeket, de aktívan ösztönzi az önkéntes kódexeket, a szabályozási teszteket és a nemzetközi szabványok, például az ISO/IEC 42001 szabvány betartását. A könnyű dokumentáció és az alapvető elfogultsági tesztek megtartása továbbra is okos lépés – a szabályozók átsorolhatják a határeseteket, ha bizonyítékok merülnek fel a kárra.

A szolgáltatók, telepítők és más szereplők alapvető kötelezettségei

Az EU mesterséges intelligenciáról szóló törvénye a megfelelési kötelezettségeket a teljes ellátási láncra kiterjeszti. Mivel a felelősség a funkciót, nem pedig a vállalat méretét követi, először meg kell határozni, hogy melyik szerepet tölti be – szolgáltató, felhasználó (bevezető), importőr vagy forgalmazó –, majd a kockázatspecifikus követelményeket is alkalmazni kell. A megfelelő besorolás elmulasztása gyakori ellenőrzési megállapítás, ezért a feltérképezést a program nulladik lépéseként kell kezelni.

Nagy kockázatú rendszerek szolgáltatói

A szolgáltatók viselik a legnehezebb terhet, mivel ők irányítják a tervezési döntéseket. Főbb feladatok:

• Hozzon létre egy dokumentált minőségirányítási rendszert (QMS), amely lefedi az adatkezelést, a kockázatkezelést, a változáskezelést és a kiberbiztonságot.
• Végezzen előzetes megfelelőségértékelést. A legtöbb III. melléklet szerinti rendszer képes önellenőrzésre, de a biometrikus azonosításhoz, az orvostechnikai eszközökhöz és más biztonságkritikus felhasználási esetekhez bejelentett szervezetre van szükség.
• Műszaki dokumentáció összeállítása: modellarchitektúra, betanítási adatsorok, értékelési metrikák, robusztussági tesztek, emberi felügyeleti mechanizmusok és forgalomba hozatal utáni felügyeleti terv.
• Készítsen EU-megfelelőségi nyilatkozatot, helyezze el a CE-jelölést, és regisztrálja a rendszert a nyilvános mesterséges intelligencia adatbázisban az első telepítés előtt.
• Folyamatos forgalomba hozatal utáni felügyelet kialakítása: a súlyos incidensek naplózása, átképzés az eltérési küszöbértékek átlépése esetén, és az illetékes hatóságok 15 napon belüli értesítése.

Ezen lépések bármelyikének elmulasztása akár 15 millió eurós vagy a globális forgalom 3%-át kitevő bírságot is vonhat maga után – még akkor is, ha nem történik kár.

Nagy kockázatú rendszerek felhasználói / telepítői

A telepítők a kódot valós hatásokká alakítják, így a törvény saját ellenőrzőlistát ad nekik:

• A rendszert szigorúan a szolgáltató utasításainak és a dokumentált használati esetnek megfelelően üzemeltesse.
• Alapvető jogokra vonatkozó hatásvizsgálatot (FRIA) kell végezni, ha a felhasználó egy hatóság, vagy ha a mesterséges intelligencia befolyásolja az alapvető szolgáltatásokhoz, például a lakhatáshoz vagy a hitelhez való hozzáférést.
• Biztosítsa a képzett emberi felügyeletet: a személyzetnek képzettnek kell lennie, fel kell hatalmaznia őket a kimenetek felülbírálására, és képesnek kell lennie a döntések elmagyarázására az érintett személyek számára.
• A naplókat legalább hat évig őrizze meg, beleértve a bemeneti adatokat, a kimenetet, az emberi beavatkozásokat és a teljesítménybeli rendellenességeket.
• A súlyos incidenseket „indokolatlan késedelem” nélkül, jellemzően 72 órán belül kell jelenteni mind a szolgáltatónak, mind a nemzeti hatóságnak.

Importőrök és forgalmazók

Azoknak a szereplőknek, akik mesterséges intelligenciarendszereket vezetnek be vagy továbbítanak az EU-ban, kapuőri feladataik vannak:

• Ellenőrizze, hogy a CE-jelölés, az EU-megfelelőségi nyilatkozat és az utasítások megvannak-e, és megfelelnek-e a forgalmazott funkcióknak.
• Tartózkodjanak a termék szállításától, ha tudják – vagy tudniuk kellene –, hogy az nem megfelelő; ehelyett tájékoztassák a szolgáltatót és az illetékes hatóságot.
• Vezessen nyilvántartást a panaszokról és a visszahívásokról, és kérésre tegye azt a hatóságok rendelkezésére.
• Működjön együtt a korrekciós intézkedésekben, beleértve a termékkivonásokat vagy a szoftverjavításokat.

Általános célú mesterséges intelligencia (alapmodellek) kötelezettségei

A törvény egyedi szabályokat vezet be a GPAI vagy alapmodellek létrehozói számára, amelyek bárhová beágyazhatók:

• Átfogó műszaki dokumentációt és a felhasznált adatkészletek összefoglalását kell biztosítani, beleértve a licenc állapotát és a földrajzi eredetet.
• Nyilatkozat közzététele szerzői jogi megfelelés és ahol lehetséges, vezessenek be kizárási mechanizmusokat a védett művek esetében.
• Rendszerszintű kockázati tesztelés elvégzése és dokumentálása, ha a modell meghaladja a XI. mellékletben szereplő számítási küszöbértéket (gondoljunk 10^25 FLOP-ra). A „rendszerszintű GPAI” esetében extra feladatok lépnek életbe, például referencia implementációk biztosítása és együttműködés az EU MI Hivatalával.
• A nyílt forráskódú modellekre enyhébb követelmények vonatkoznak, de továbbra is vízjellel kell ellátni a létrehozott tartalmat, és használati utasításokat kell megadni, amelyek részletezik az előre látható korlátozásokat.

A belső ellenőrzések fenti szerepkör-specifikus ellenőrzőlistákkal való összehangolásával a legszembetűnőbb megfelelőségi hiányosságokat jóval a 2026. és 2027. augusztusi végrehajtási határidők előtt megszüntetheti.

A megfelelőség eléréséhez szükséges technikai és szervezeti követelmények

Az EU mesterséges intelligenciáról szóló törvénye nem ír elő univerzális terveket. Ehelyett eredményorientált „alapvető követelményeket” határoz meg, és szabadon választhatja ki azokat az ellenőrzéseket, amelyek ezeket bizonyítják. A trükk az, hogy a mérnöki jó gyakorlatokat a szabályozási higiéniával ötvözzük, így minden modellfrissítés vagy adatfrissítés automatikusan bekerül egy megismételhető megfelelőségi folyamatba. Az alábbi öt építőelem a törvény jogi cikkeit konkrét feladatokká alakítja, amelyeket a termék-, adat- és jogi csapatai maguknak vállalhatnak.

Adatkezelés és adatkezelés

A rossz adat szabályozási kriptonitot jelent. A 10. cikk arra kötelezi a magas kockázatú mesterséges intelligencia szolgáltatóit, hogy dokumentáljanak és igazoljanak minden egyes bájtot, amely belép a folyamatba.

• Kurált adathalmazok, amelyek releváns, reprezentatív, hibamentes és naprakész a célzott populáció számára.
• Minden egyes korpuszhoz „adatlapot” kell vezetni: forrás, gyűjtés dátuma, licencfeltételek, előfeldolgozási lépések, torzításellenőrzések és megőrzési időszak.
• Kövesse nyomon a leszármazást egy verzióvezérelt adattárban, hogy visszaállíthassa a korábbi verziókat, ha egy hatóság javításokat kér.
• Végezzen el torzítás- és egyensúlyhiány-tesztelést statisztikailag megbízható módszerekkel (χ², KS-test, vagy modellfüggetlen méltányossági metrikák) és naplózási mérséklési intézkedések.

Tartsa a teljes nyomkövetést – nyers adatokat, szkripteket, teszteredményeket – elérhetően a 10 év; a törvény visszatekintési ablaka hosszú.

Kockázatkezelési keretrendszer

A 9. cikk előírja a folyamatos és dokumentált folyamat amely tükrözi az ISO 31000 szabványt és az ISO/IEC 23894 tervezetet.

1. Veszélyek azonosítása: visszaélési forgatókönyvek, ellenséges támadások, adateltolódás.
2. Elemezze a hatást és a valószínűséget; pontozza őket egy közös skálán (pl. risk = probability × severity).
3. Döntsön az ellenőrzésekről: technikai biztosítékok, emberi felügyelet, szerződéses korlátok.
4. Minden nagyobb frissítés után ellenőrizze a kontrollokat; az eredményeket építse be a következő sprintbe.

Mindent tároljon egy élő kockázati nyilvántartásban; a szabályozók időbélyegeket, tulajdonosokat és lezárási bizonyítékokat várnak el.

Emberi felügyelet és átláthatóság a tervezés által

A 14. és 52. cikk a „humán kommunikációt” kötelező tervezési feladattá alakítja.

• Határozza meg a felügyeleti módot: folyamatban lévő (manuális jóváhagyás), folyamatos (valós idejű riasztások), vagy hurkon keresztül (utólagos ellenőrzések).
• Magyarázhatósági rétegek beágyazása: kiemelkedő térképek, kontrafaktuális példák, egyszerűsített döntési szabályok.
• Biztosítson felülbírálási és tartalék opciókat, amelyek mindkettő technikailag megvalósítható és a szervezetileg felhatalmazott.
• Kínáljon közérthető nyelvű felhasználói értesítéseket („Ön egy mesterséges intelligenciarendszerrel kommunikál”), és ahol lehetséges, tegye közzé a megbízhatósági pontszámokat.

Robusztusság, pontosság és kiberbiztonság

A 15. cikk értelmében a modelleknek a megadott hibaszázalékokon belül kell maradniuk, és ellen kell állniuk a rosszindulatú beavatkozásoknak.

• Minimális teljesítményküszöbök meghatározása; a pontosság, a precizitás, a visszahívás és a kalibrációs eltérés monitorozása a gyártás során.
• Minden kiadás előtt futtassunk ellenségeskedés elleni ellenálló képességi teszteket (FGSM, PGD, adatmérgezés).
• Az infrastruktúra megerősítése a NIS2 és az ETSI EN 303 645 szabványoknak megfelelően: biztonságos API-k, szerepköralapú hozzáférés, titkosított modell-ellenőrzőpontok.
• Tartalékterveket kell készíteni – biztonságos módú alapértelmezett beállítások, emberi felülvizsgálat eszkalációja – arra az esetre, ha a teljesítmény a tűréshatár alá esik.

Nyilvántartás, naplózás és CE-dokumentáció

Ha nincs leírva, akkor soha nem történt meg – ez a mantra a 11. és 19. cikkben törvénnyé válik.

Ahol lehetséges, automatizálja a naplórögzítést; használjon megváltoztathatatlan tárolót vagy csak hozzáfűzésre alkalmas főkönyveket, hogy a bizonyítékok kibírják a kriminalisztikai vizsgálatot. Amint a dokumentáció elkészült, csatolja a CE-jelölés és be kell küldeni a rendszert az EU adatbázisába – csak ezután kerülhet piacra.

Azzal, hogy ezeket a technikai és szervezeti ellenőrzéseket beépítetted a fejlesztési életciklusodba, a megfelelőséget az utolsó pillanatban felmerülő kapkodásból egy folyamatosan működő képességgé alakíthatod, amelyet az auditorok felismernek – és jutalmaznak.

Büntetések, jogorvoslatok és peres eljárásoknak való kitettség

Az EU mesterséges intelligenciáról szóló törvénye nem udvarias lökésekre támaszkodik; egy olyan nagy botot vet be, amelytől a vezetők összerándulnak. A pénzügyi szankciók tükrözik a GDPR mértékét, de a törvény felhatalmazza a hatóságokat arra is, hogy... levenni a termékeket a polcokról, törölni a megrendelések adatait, vagy kényszeríteni a modell újratanítását ha a kockázatokat nem csökkentik. A bírságok felső határa a magasabb összeg – abszolút euróösszeg vagy az előző évi világméretű forgalom százaléka –, így még a korai stádiumú induló vállalkozások sem dőlhetnek el az önelégültségnek. Az alábbi táblázat összefoglalja a szankcionált szinteket:

A felügyeleti hatóságok napi büntetéseket szabhatnak ki a korrekció felgyorsítása érdekében. A továbbra is „komoly kockázatot” jelentő termékekre kötelező érvényű beszámítás vonatkozik. visszahívás vagy forgalomból való kivonás–egy olyan hírnévrontás, amelyet semmilyen PR-terv nem tud elfedni.

Közigazgatási szankciók vs. polgári jogi felelősség

A szabályozási bírságok nem a történet végét jelentik. A közelgő mesterséges intelligencia felelősségi irányelve (AILD) és az átdolgozott termékfelelősségi irányelv (PLD) párhuzamos utakat nyit a... magánszemélyek kártérítési igényeiA mesterséges intelligencia által hozott döntés által megsérült áldozatok a következőket élvezhetik:

• A megcáfolható oksági vélelem amikor a szolgáltatók megszegik a mesterséges intelligencia törvényben foglalt kötelezettségeiket, enyhítve a bizonyítási terhet.
• Kiterjesztett közzétételi jogok, lehetővé téve a felperesek számára, hogy olyan naplókat és kockázatértékeléseket kérjenek, amelyek általában házon belül maradnának.
• Harmonizált szabályok a tagállamokban, mégis a nemzeti kártérítési jog szigorúbb szabványokat írhat elő (pl. a holland jogellenes cselekmény doktrínája).

A vállalatok ezért kétszeres csapással nézhetnek szembe: több millió eurós közigazgatási bírsággal, amelyet polgári peres eljárások követhetnek, különösen olyan területeken, mint a hitelképesség megtagadása vagy a diszkriminatív felvétel.

Jogorvoslati mechanizmusok és a visszaélést bejelentő személyek védelme

Magánszemélyek és nem kormányzati szervezetek közvetlenül is benyújthatnak panaszt a... nemzeti illetékes hatóság vagy az EU MI Hivatala. A hatóságoknak „észszerű időn belül” ki kell vizsgálniuk az ügyet, és ideiglenes intézkedéseket hozhatnak, beleértve a felfüggesztő határozatokat is. Az érintett személyeknek jogorvoslati lehetőségük is megmarad – bírósági végzések, kártérítési perek és fellebbezések a felügyeleti határozatok ellen.

Az alkalmazottak akik észreveszik a visszaéléseket, az EU védelme alatt állnak Visszaélés-bejelentési irányelv:

• A bizalmas bejelentési csatornák kötelezőek az 50+ alkalmazottat foglalkoztató cégek számára.
• A megtorlás – elbocsátás, lefokozás, megfélemlítés – kifejezetten tilos.
• A visszaélést bejelentők külső szabályozó hatóságokhoz vagy a sajtóhoz jelenthetik, ha a belső útvonalak kudarcot vallanak.

Egy jól ismert, anonim bejelentési vonal létrehozása ezért egyszerre jogi követelmény és egy korai figyelmeztető rendszer, amely megkímélheti Önt a későbbi költségesebb végrehajtástól.

A mesterséges intelligencia törvényének megfeleltetése a GDPR-nak, a NIS2-nek, a termékbiztonságnak és az ágazati szabályoknak

Az EU Mesterséges Intelligencia Törvénye (MI-törvény) nem egy önálló sziget. Egy zsúfolt megfelelőségi óceánba illeszkedik, amely már magában foglalja az adatvédelmi, kiberbiztonsági és vertikális biztonsági keretrendszereket. Ezen kölcsönhatások figyelmen kívül hagyása kockázatos: egy olyan MI-rendszer, amely minden MI-törvényben szereplő kritériumnak megfelel, továbbra is sértheti a GDPR-t vagy a NIS2-t, és fordítva. Az alábbiakban kiemeljük a legfontosabb kapcsolódási pontokat, hogy jogi, biztonsági és termékcsapatai egyetlen, integrált ellenőrzési térképet építhessenek ki ahelyett, hogy négy különálló ellenőrzőlistával zsonglőrködnének.

Átfedés a GDPR-ral és az ePrivacy-val

• Jogalap és célhoz kötöttség: a személyes adatok magas kockázatú modellen belüli kezelésének legalább egy GDPR-alapot meg kell felelnie (gyakran jogos érdek vagy hozzájárulás).
• Automatizált döntéshozatal korlátai: Az általános adatvédelmi rendelet 22. cikke korlátozza a jogi vagy jelentős hatással járó, teljesen automatizált döntéseket; az MI-törvény emberi felügyeletre vonatkozó követelménye gyakran technikai biztosítékként szolgál, amely feloldja a 22. cikk (2) bekezdésének b) vagy c) pontja szerinti kivételeket.
• Közös adatkezelői forgatókönyvek: amikor egy telepítő finomhangolja a szállító által biztosított GPAI-t, mindkettő válhat közös adatkezelőa GDPR értelmében – az adatfeldolgozási megállapodásokat ennek megfelelően tervezze meg.
• Átláthatósági kötelezettség dupla érintéssel: a mesterséges intelligencia törvény előírja a felhasználók számára a közzétételeket („mesterséges intelligencia által generált”), míg a GDPR 12-14. cikkelye adatvédelmi tájékoztatókat ír elő az adatáramlásokról, a megőrzésről és a jogokról. Készítsen egyetlen rétegű tájékoztatót, amely mindkettőt lefedi.

Kiberbiztonság és NIS2 szinergiák

A NIS2 kockázatértékelést, incidensekre való reagálást és ellátási lánc biztonságot ír elő az „alapvető” és „fontos” szervezetek számára. Az AI törvény ezt tükrözi azzal, hogy 15 napon belül előírja a robusztussági tesztelést, a sebezhetőségek monitorozását és a behatolásjelentést. Használja ki az egyetlen SOC munkafolyamatot:

1. Futtasson kontradiktórius robusztussági teszteket az AI Act megfelelőségi értékelése során.
2. Az eredményeket töltse be a NIS2 kockázati regiszterbe.
3. Mindkét rendszer esetében ugyanazt a 72 órás incidensjelentési kézikönyvet kell használni.

Integráció a meglévő termékjogszabályokkal

Ha a mesterséges intelligencia egy szabályozott termék (orvostechnikai eszköz, gép, játék, emelő, autóipari rendszer) biztonsági alkatrésze, akkor el kell végeznie egy egyetlen megfelelőségértékelés, amely a következőket fedi le:

• Általános biztonsági vagy teljesítménykövetelmények az ágazati jogszabályok értelmében; és
• A mesterséges intelligenciáról szóló törvény lényege (kockázatkezelés, adatkezelés, emberi felügyelet).

Az új jogalkotási keret szerinti harmonizált szabványok hamarosan mindkét követelményrendszerre hivatkozni fognak, lehetővé téve egy műszaki dokumentáció és egy CE-jelölés használatát.

Szektorspecifikus példák

• Pénzügyi szolgáltatások: a mesterséges intelligenciáról szóló törvény szerinti naplózást az EBA pénzmosás elleni irányelveivel kell kombinálni a modellek tisztességességének és magyarázhatóságának bizonyítása érdekében.
• Energiahálózat-irányítás: a mesh AI Act kockázatkezelése az ENTSO-E SCADA rendszerekre vonatkozó kiberbiztonsági követelményeivel együtt.
• Autóipar: Az ENSZ-EGB WP.29 előírja a szoftverfrissítések kezelését; integrálja ezeket a frissítési naplókat a mesterséges intelligenciáról szóló törvény forgalomba hozatal utáni nyomon követésébe.
• Egészségügy: párosítsa az ISO 13485 QMS szabvány szerinti elemeket az AI Act adatkészlet-dokumentációjával a redundáns auditok elkerülése érdekében.

Nemzetközi összehasonlítások

A globális vállalatoknak össze kell hangolniuk az EU mesterséges intelligenciáról szóló törvényét (MI törvény) a másutt kialakulóban lévő szabályokkal:

Az átfedések korai feltérképezésével a multinacionális csapatok olyan ellenőrzési keretrendszereket tervezhetnek, amelyek először a legszigorúbb szabályoknak felelnek meg, majd azokon a területeken, ahol a helyi törvények enyhébbek, finomhangolhatják azokat.

Gyakorlati megfelelőségi ellenőrzőlista és bevált gyakorlatok

Az EU Mesterséges Intelligencia Törvényének (MI-törvény) cikkeinek és preambulumbekezdéseinek a mindennapi gyakorlatba való átültetése ijesztőnek tűnhet. A trükk az, hogy a folyamatot apró, apró lépésekre bontjuk, amelyeket a jogi, termék- és biztonsági csapatok magukénak érezhetnek. Használjuk az alábbi 12 lépéses ütemtervet élő projekttervként – tekintsük át minden sprint demón és igazgatósági ülésen 2027 augusztusáig.

1. Készítsen leltárt minden mesterséges intelligenciáról vagy algoritmikus komponensről, amely a termelésben és a kutatás-fejlesztésben szerepel.
2. Osztályozza az egyes rendszerek kockázati szintjét és a szereplői szerepkörét (szolgáltató, felhasználó, importőr, forgalmazó).
3. A vonatkozó jogszabályok (GDPR, NIS2, ágazati szabályok) feltérképezése és az átfedések azonosítása.
4. Végezzen hiányelemzést a mesterséges intelligencia törvény alapvető követelményeivel szemben.
5. Tervezze meg vagy frissítse minőségirányítási rendszerét (QMS).
6. Állítson fel egy multidiszciplináris irányítási struktúrát.
7. Műszaki dokumentációs sablonok tervezeteinek elkészítése és feltöltése.
8. Adatkezelési és elfogultsági tesztelési folyamatok kiépítése.
9. Végezzen kezdeti megfelelőségértékeléseket vagy próbaellenőrzéseket.
10. Személyzet – mérnökök, kockázatfelelősök és ügyfélszolgálat – képzése.
11. Forgalomba hozatal utáni monitoring és incidensjelentési munkafolyamatok indítása.
12. Ütemezzen be időszakos felülvizsgálatokat és folyamatos fejlesztési ciklusokat.

Készenléti értékelés és hiányelemzés

Kezdje egy táblázattal vagy hibajegy-táblával, amely felsorolja a rendszer nevét, célját, a betanítási adatforrásokat, a kockázati szintet, a meglévő ellenőrzéseket és a nyitott rések listáját. Minden réshez rendeljen tulajdonost és határidőt. Minden lezárás után pontozza újra a fennmaradó kockázatot; a szabályozó hatóságok szeretik látni ezt az iteratív fejlesztési folyamatot.

A megfelelő irányítási struktúra kiépítése

Ne csak a politikát, hanem az embereket is bízzuk a felelősségre:

• MI megfelelőségi tisztviselő: egyetlen torok a fulladáshoz.
• Funkcionális etikai bizottság: termék, jogi, biztonsági, HR.
• Külső felülvizsgáló vagy a bejelentett szervezet kapcsolattartója.
• Szoros kapcsolat az adatvédelmi tisztviselővel és az információbiztonsági vezetővel a döntéshozatal elszigeteltségének elkerülése érdekében.

Dokumentálja a megbeszélések ütemét, a döntési jogokat és az eszkalációs útvonalakat.

Dokumentáció és eszközök

Szabványosítsuk a műtárgyakat, hogy a mérnököknek ne kelljen újra feltalálniuk a spanyolviaszt:

Nyílt forráskódú segítség: EU AI Toolkit, ISO/IEC 42001 ellenőrzőlisták tervezete és GitHub repók az elfogultsági mutatókhoz.

Beszállítói és ellátási lánc menedzsment

A Flow AI törvény szerinti feladatok a következő területeken:

• Megfelelőségértékelési garanciák és auditjogok hozzáadása szerződések.
• Kötelesd meg a beszállítókat, hogy osszák meg a modellkártyákat, a robusztussági tesztek eredményeit és az incidensnaplókat.
• Állíts be egy megosztott Slacket vagy jegykezelési sort a sebezhetőségek gyors felfedéséhez.

Folyamatos monitorozás és modell életciklus-frissítések

A telepítés előtti, használat közbeni és telepítés utáni monitorozásnak ugyanazon a telemetriai veremen kell futnia. Újraértékelést kell végezni, ha:

• Bemeneti adatok eloszlásának eltolódásai (KL divergence > előre beállított küszöbérték).
• A pontosság a megadott minimum alá esik.
• Súlyos balesetet vagy majdnem balesetet rögzítettek.

Zárja le a ciklust negyedéves irányítási felülvizsgálatokkal és éves külső audittal – ez bizonyítja, hogy a megfelelés nem egyszeri projekt, hanem állandó képesség.

GYIK: Gyors válaszok a gyakori kérdésekre

Már hatályban van az EU mesterséges intelligencia törvénye?
Igen. Az (EU) 2024/1689 rendelet 1. augusztus 2024-jén lépett hatályba. A legtöbb konkrét kötelezettség azonban csak később lép életbe: a tiltott gyakorlatok 2025 februárjára megszűnnek, az átláthatósági szabályok 2025 augusztusában lépnek életbe, a magas kockázatú vámok 2026 augusztusában lépnek életbe (biometrikus adatok 2027 augusztusában). Tehát az idő ketyeg, annak ellenére, hogy a teljes körű alkalmazás még folyamatban van.

Melyek a négy kockázati szint?
Az EU mesterséges intelligenciáról szóló törvénye a rendszereket a következő csoportokba sorolja: (1) Elfogadhatatlan kockázat – teljesen tiltott; (2) Magas kockázat – csak megfelelőségértékelés és CE-jelölés után engedélyezett; (3) Korlátozott kockázat – főként átláthatósági kötelezettségek (pl. chatbotok, deepfake-ek); és (4) Minimális kockázat – nincsenek szigorú szabályok, de önkéntes kódexeket ösztönöznek. Az első feladat az, hogy minden modellt e szintek egyikéhez rendeljünk.

A törvény felváltotta-e a nemzeti mesterséges intelligencia stratégiákat?
Nem. A tagállamok fenntarthatnak vagy létrehozhatnak nemzeti stratégiákat, tesztkörnyezeteket és finanszírozási rendszereket. A törvény csupán harmonizálja a szabályozók követelményeket, hogy a vállalkozásoknak egyetlen szabálykönyvvel kelljen szembenézniük az egész EU-ban. A helyi kezdeményezések nem mondhatnak ellent a rendelet kockázatkezelési keretrendszerének, és nem áshatják alá annak végrehajtási mechanizmusait.

Vannak-e mentességek a startup vállalkozások számára?
Nem igazán. A szabályok a vállalat méretétől függetlenül érvényesek, mivel a kockázat, nem pedig a bevétel határozza meg a kötelezettségeket. Ennek ellenére a tesztkörnyezetek, egyes GPAI-modellek könnyebb dokumentációja és a Bizottság által finanszírozott útmutatók célja a kkv-k adminisztratív súrlódásának csökkentése. Veszélyes tévhit, ha valaki csak azért figyelmen kívül hagyja a megfelelést, mert „kicsi”.

Hogyan kezeli a mesterséges intelligencia törvény a nyílt forráskódú modelleket?
A modellsúlyok nyilvános közzététele nem mentesít. Továbbra is biztosítania kell a betanítási adatok összefoglalását, a vízjellel generált tartalmat és közzé kell tennie a használati utasításokat. A kötelezettségek könnyebbek, mint a zárt kereskedelmi modellek esetében, de ha a nyílt forráskódú rendszere „rendszerszintű GPAI”-vá válik, akkor további tesztelési és jelentéskészítési kötelezettségek lépnek életbe.

Irányelvnek minősül a törvény?
Nem. Ez egy rendelet – közvetlenül alkalmazandó minden tagállamban, nemzeti átültetés nélkül. Gondoljon rá úgy, mint a GDPR-ra: hatálybalépése után a jogi kötelezettségek EU-szerte léteztek, és csak a gyakorlati végrehajtási útmutató változhat helyben.

Mi történik, ha a szolgáltatóm az EU-n kívül van?
Területi kiterjedés következik teljesítmény, nem a központ. Ha egy külföldi szállító rendszerét az EU-ban forgalmazzák, vagy annak eredményeit itt használják, a szolgáltatónak meg kell felelnie az EU MI-törvényének követelményeinek, és ki kell jelölnie egy EU-ban székelő jogi képviselőt. Az Unión belüli telepítőkre továbbra is vonatkoznak felhasználói kötelezettségek, ezért gondosan válassza ki a beszállítókat.

Főbb pontok

Még mindig átfutod az információkat? Íme a puskalap:

• Az EU mesterséges intelligenciáról szóló törvénye (MI-törvény) már nem tervezet, hanem… 1. augusztus 2024-jétől hatályos és elhozza az első horizontális, kockázatalapú mesterséges intelligencia törvényt bárhová.
• A kockázati szintek mindent meghatároznak: elfogadhatatlan rendszereket tiltanak, a magas kockázatú rendszerek CE-jelölést és regisztrációt igényelnek, míg a korlátozott és minimális kockázatú eszközökre könnyebb – de nem nulla – kötelezettségek vonatkoznak.
• A be nem tartás költséges: akár 35 millió euró, vagy a globális forgalom 7%-a tiltott gyakorlatokért, valamint a közelgő uniós irányelvek szerinti esetleges polgári jogi felelősségért.
• A kötelezettségek az egész ellátási láncban megtalálhatók: a szolgáltatóknak, felhasználóknak, importőröknek és forgalmazóknak mind külön ellenőrzőlistáik vannak, az általános célú modellekre pedig mostantól egyedi szabályok vonatkoznak.
• A törvény nem helyettesíti a GDPR-t, a NIS2-t vagy a termékbiztonsági törvényeket; minden keretrendszert egyetlen integrált irányítási programba kell összefogni.

Segítségre van szüksége a jogi szövegek működő kódexsé, szabályzatokká és szerződésekké alakításához? A technológiai és adatvédelmi jogászok a következő cégnél: Law & More gyors AI Act-felmérést tud végezni, elkészíti a szükséges dokumentációt, és végigvezeti Önt a megfelelőségértékelésen – mielőtt az auditorok kopogtatnának.