Mesterséges intelligencia a cégben: AI Act kötelezettségek a felhasználóknak

Az uniós MI-rendelet (AI Act) nem csak a mesterséges intelligenciát fejlesztő techcégekre vonatkozik. Minden cég, amely munkájában MI-rendszert használ, a rendelet szerint „alkalmazó”, és ehhez saját kötelezettségek tartoznak. Néhány már 2025 februárja óta él, a HR-szűrésre és más magas kockázatú felhasználásra vonatkozó szabályok viszont a 2026 nyarán elfogadott módosítás szerint csak 2027 decemberétől.

Szolgáltató vagy alkalmazó: hol áll a cég?

Az (EU) 2024/1689 rendelet szereplőket különböztet meg. A szolgáltató (provider) fejleszti vagy saját néven forgalomba hozza az MI-rendszert, például az OpenAI, a Microsoft vagy egy HR-szoftvergyártó. Az alkalmazó (deployer) az, aki a rendszert a saját felelősségére, szakmai célra használja. Egy könyvelőiroda, amely chatbotot tesz a weboldalára, vagy egy gyártócég, amely MI-alapú toborzószoftverrel szűri a jelentkezőket, alkalmazó.

A határ nem mindig éles. Ha a cég egy kész rendszert saját néven ad tovább, vagy lényegesen átalakítja, illetve a rendeltetési célját úgy módosítja, hogy magas kockázatúvá válik, a szolgáltatói kötelezettségek is ráeshetnek. A cikk a tipikus helyzetet nézi: a cég megvásárolt vagy előfizetett MI-eszközt használ.

Magyarországon a végrehajtásról a 2025. évi LXXV. törvény szól. A 344/2025. (X. 31.) Korm. rendelet 1. §-a szerint az MI piacfelügyeleti hatóság és az egyedüli kapcsolattartó pont a vállalkozásfejlesztésért felelős miniszter, a bejelentő hatóság a Nemzeti Akkreditáló Hatóság; emellett működik a Magyar Mesterséges Intelligencia Tanács, amely iránymutatásokat dolgoz ki a tagállami hatáskörbe tartozó kérdésekben.

Ütemezés 2026 novemberében

A rendelet 2024 augusztusában lépett hatályba, a kötelezettségek lépcsőzetesen indulnak. A 2026. július 24-én kihirdetett, 2026. július 27-én hatályba lépett (EU) 2026/1744 rendelet (Digital Omnibus on AI) több határidőt elhalasztott (a módosított 113. cikk szerint).

A halasztás nem jelenti, hogy addig nincs teendő. A HR- vagy hitelbírálati MI-t használó cégnek most érdemes felmérnie, mit használ, mert 2027 decemberére a szerződéseket, a felügyeleti rendet és a munkavállalói tájékoztatást is rendbe kell tenni.

MI-jártasság: mit jelent a 4. cikk?

A 4. cikk eredetileg azt írta elő, hogy a szolgáltatók és alkalmazók a lehető legnagyobb mértékben biztosítsák az MI-rendszereket kezelő munkatársaik megfelelő szintű MI-jártasságát. A 2026/1744-es módosítás után a kötelezettség megmaradt, de enyhült: a cégnek intézkedéseket kell tennie a jártasság támogatására, a rendelet viszont kifejezetten nem követeli meg, hogy bármely munkatárs konkrét szintet érjen el. A Bizottság és a tagállamok támogató szerepet kapnak, a Bizottság gyakorlati példákat tesz közzé.

A gyakorlatban ez egy belső MI-szabályzatot és arányos képzést jelent: mely eszközök engedélyezettek, milyen adatot nem szabad beírni, ki ellenőrzi a kimenetet, mire kell figyelni a hibás vagy kitalált válaszoknál. Érdemes dokumentálni, ki milyen képzést kapott, mert egy hatósági vizsgálatnál vagy egy ügyféligénynél ez a legegyszerűbb bizonyíték. A kommunikációs csapatoknál felmerülő speciális kérdéseket, például a szerzői jogot és a hitelességet, a mesterséges intelligencia a PR-ben című cikkünk tárgyalja.

Tiltott gyakorlatok: mit nem szabad 2025 februárja óta?

Az 5. cikk szerinti tilalmak az alkalmazóra is vonatkoznak: tilos az ilyen rendszer használata is, nem csak a forgalmazása. Cégeknél a leginkább releváns esetek:

• Érzelemfelismerés a munkahelyen (5. cikk (1) f) pont): tilos MI-vel következtetni a munkavállalók érzelmeire, például hívásközponti hangelemzéssel vagy videós interjún arckifejezés-elemzéssel. Kivétel az orvosi vagy biztonsági cél.
• Manipuláció és kiszolgáltatottság kihasználása: tilos olyan MI, amely tudatalatti vagy megtévesztő technikával, illetve életkor, fogyatékosság vagy szociális helyzet kihasználásával jelentősen torzítja a döntést és kárt okoz.
• Társadalmi pontozás: az emberek viselkedés alapján történő pontozása, ha ez a kontextustól független hátrányos bánásmódhoz vezet.
• Biometrikus kategorizálás érzékeny jellemzők (például politikai vélemény, szexuális irányultság) kikövetkeztetésére, és arcképek célzatlan gyűjtése adatbázis építéséhez.

A 2026/1744-es módosítás két új tilalmat vett fel: a beleegyezés nélküli, szexuálisan explicit hamisított kép, videó vagy hang előállítását egy azonosítható személyről, illetve a gyermekbántalmazást ábrázoló anyagok generálását. Ezek a módosított 113. cikk szerint 2026. december 2-ától alkalmazandók. Az alkalmazónál a tilalom akkor áll fenn, ha a rendszert kifejezetten ilyen tartalom előállítására használja.

Magas kockázatú rendszerek: HR, hitel, biztosítás

A III. melléklet szerint magas kockázatú többek között a foglalkoztatásban használt MI (toborzás, jelentkezők szűrése és értékelése, előléptetési és elbocsátási döntések, teljesítményfigyelés), a magánszemélyek hitelképességének vizsgálata és az élet- és egészségbiztosítási kockázatbecslés. 2027. december 2-ától az alkalmazónak a 26. cikk szerint:

1. a szolgáltató használati útmutatója szerint kell használnia a rendszert;
2. emberi felügyeletet kell rendelnie hozzá olyan személlyel, akinek megvan a hozzáértése, felhatalmazása és támogatása;
3. ha ő adja a bemeneti adatot, gondoskodnia kell arról, hogy az releváns és kellően reprezentatív legyen;
4. figyelemmel kell kísérnie a működést, kockázat esetén értesítenie kell a szolgáltatót és a hatóságot, és fel kell függesztenie a használatot;
5. legalább hat hónapig meg kell őriznie a rendszer naplóit, ha azok az ő ellenőrzése alatt vannak;
6. munkáltatóként a bevezetés előtt tájékoztatnia kell a munkavállalói képviselőket és az érintett munkavállalókat;
7. tájékoztatnia kell azokat a személyeket, akikről a rendszer döntést hoz vagy ilyen döntést segít.

A 27. cikk szerint alapjogi hatásvizsgálatot kell végeznie a közfeladatot ellátó szervezeteknek, valamint a hitelbírálatra és az élet- és egészségbiztosítási árazásra MI-t használó cégeknek. A HR-szoftver beszerzésekor tehát már most érdemes szerződésben kérni a szolgáltatótól a megfelelőségi dokumentációt és a használati útmutatót. A HR-folyamatok egyéb jogi kérdéseiről a Munka és HR rovatban olvashatsz.

Átláthatóság: chatbot, deepfake, MI-vel írt szöveg

Az 50. cikk 2026. augusztus 2-a óta alkalmazandó. Az alkalmazót érintő kötelezettségek:

• Érzelemfelismerő vagy biometrikus kategorizáló rendszer (ahol nem tiltott): az érintetteket tájékoztatni kell a működéséről (50. cikk (3)).
• Deepfake: a cég által létrehozott vagy manipulált, valósághű kép-, hang- vagy videótartalomnál fel kell tüntetni, hogy mesterségesen készült (50. cikk (4)). Művészi, szatirikus vagy fikciós műnél elég olyan jelölés, amely nem zavarja a mű élvezetét.
• MI-vel generált szöveg közérdekű ügyben: ha a nyilvánosság tájékoztatására teszik közzé, jelölni kell, kivéve, ha emberi szerkesztői ellenőrzésen ment át, és valaki szerkesztői felelősséget vállal érte.

Az ügyfelekkel beszélgető chatbotnál a szolgáltatónak kell úgy terveznie a rendszert, hogy a felhasználó tudja: géppel beszél. Ha a cég maga építi össze a chatbotot, ez a kötelezettség rá is vonatkozhat.

Bírságok és teendők

A 99. cikk szerint a tiltott gyakorlat bírsága legfeljebb 35 millió euró vagy az előző évi világszintű árbevétel 7 százaléka, a magasabb összeg. Az alkalmazói (26. cikk) és átláthatósági (50. cikk) kötelezettségek megsértéséért legfeljebb 15 millió euró vagy 3 százalék, a hatóság félrevezetéséért legfeljebb 7,5 millió euró vagy 1 százalék szabható ki. Kis- és középvállalkozásnál a két érték közül az alacsonyabb a felső határ. A 2026/1744-es módosítás óta ez a kis közepes vállalkozásokra (small mid-cap, SMC) is vonatkozik, de csak a 15 millió és a 7,5 millió eurós bírságkategóriában. Magyarországon a bírságot a 2025. évi LXXV. törvény szerinti hatósági eljárásban szabják ki.

1. Készíts MI-leltárt: milyen eszközöket használnak a munkatársak, hivatalosan és „csendben”.
2. Sorold be őket: tiltott, magas kockázatú, átláthatósági kötelezettséggel járó vagy egyéb.
3. Állítsd le azonnal, ami tiltott (például munkahelyi érzelemfelismerés).
4. Írj belső MI-szabályzatot, és dokumentáld a képzéseket.
5. Vezess be jelölési szabályt az MI-vel készült képekre, videókra és közérdekű szövegekre.
6. A HR- és hitelbírálati eszközöknél kérj dokumentációt a szolgáltatótól, és készülj a 2027. decemberi határidőre.
7. Az MI-rendszert érintő incidensnél gondolj a kiberbiztonsági kötelezettségekre is (lásd: NIS2).

A szabályok 2026 novemberi állapotot tükröznek; konkrét ügyben kérd jogász véleményét.