Szabályozás és a vezetői ellenőrzőlista

EU AI Act, a kockázatalapú rendelet

Az európai AI rendelet a fejlesztőre, az üzemeltetőre, a forgalmazóra és az importálóra is vonatkozik. A hatálya akkor is kiterjed egy cégre, ha nem az EU-ban működik, de a szolgáltatása elérhető uniós felhasználóknak. Egy magyar cég tehát biztosan érintett, legfeljebb a szerepe változik attól függően, hogy fejleszt vagy használ.

A rendelet kockázatalapú. A követelmény a felhasználás érzékenységéhez igazodik, egy marketing szöveget író asszisztensre alig vonatkozik, egy hitelbírálatot támogató rendszerre sok. A bírság felső határa 35 millió euró vagy a globális éves árbevétel 7 százaléka. Ez a nagyságrend a felsővezetés napirendjére tartozik, nem csak a jogi osztályéra.

Egy magyar középvállalat számára a legfontosabb lépés a saját szerep tisztázása. Aki más gyártó modelljét építi be a saját folyamatába, az üzemeltető, és az ő kötelezettségei a használat módjára vonatkoznak. Ha pedig saját modellt tanít vagy AI terméket ad el, fejlesztőnek számít, és rá a szigorúbb dokumentációs és átláthatósági szabályok is érvényesek. A kettő között a határ gyakran egy döntésen múlik, például azon, hogy a cég tovább finomhangolja-e a vásárolt modellt.

Az FTC négy kérdése

Az amerikai Szövetségi Kereskedelmi Bizottság, az FTC, nem külön AI törvénnyel, hanem a megtévesztő reklám tilalmával lép fel. Négy kérdést tett fel a cégeknek az AI állításaikról. Túlzol-e abban, amit a terméked tud. Azt ígéred-e, hogy az AI jobb, mint a nem AI megoldás. Tényleg AI van-e benne. Ismered-e a kockázatokat, és tettél-e ellenük dokumentáltan.

Az első három a marketingről szól, és a legtöbb cég könnyen átmegy rajta. A negyedik a nehéz. Ami nincs dokumentálva, az a hatóság szemében nem történt meg. És a dokumentációnak a kiadás előtt kell elkészülnie, mert az utólag írt kockázatelemzés nem bizonyítja, hogy a döntés idején ismertük a kockázatot.

Az FTC logikája azért hasznos egy magyar vezetőnek is, mert a négy kérdés bármilyen hatóság és bármilyen ügyfél előtt megállja a helyét. Ha egy AI termékről vagy belső rendszerről ezekre a kérdésekre őszinte és dokumentált válasz van, a megfelelés nagy része már megvan, függetlenül attól, melyik jogrend vizsgálja.

Amerikai államok, Colorado és Kalifornia

Colorado diszkrimináció elleni AI törvénye 2026 júniusától hatályos. Magas kockázatú területekre vonatkozik, oktatásra, foglalkoztatásra, hitelezésre. A tipikus eset a toborzó rendszer, ami a tanítóadatból torzítást tanul, és a múltbeli felvételi döntéseket ismétli akkor is, ha azok diszkriminatívak voltak. Ugyanez bárhol előfordulhat, ahol a HR szoftver múltbeli adaton tanul. A torzítás a tanítóadatban ül, ezért a rendszer bevezetése előtt kell megnézni, milyen adaton tanult, nem akkor, amikor az első panasz megérkezik.

Kalifornia három törvénnyel lép. Az AB 2013 a tanítóadat átláthatóságát írja elő. Az SB 53 a nagy számítási igényű modellekhez biztonsági keretrendszert és incidensbejelentést kér. Az SB 942 az AI által generált tartalom vízjelezését írja elő 2026 augusztusától, és a vízjelet felismerő eszközt is adni kell mellé. A kaliforniai szabályozáshoz bejelentővédelem is tartozik, aki a cégen belül jelzi a szabálysértést, azt a törvény védi.

Ezek a törvények amerikaiak, mégis minket is érintenek. A nagy modellszolgáltatók kaliforniai cégek, a megfelelésük beépül a termékbe, és a vízjel, a modellkártya, az incidensbejelentés így a magyar felhasználóhoz is eljut. Aki ma AI-t vezet be, annak a beszállítói már ezekhez igazodnak.

A német autópálya

A szabályozásról szóló beszélgetés gyakran úgy indul, hogy a szabály fékez. A német autópálya mást mutat. Ott azért lehet gyorsan menni, mert van néhány jól megtervezett szabály, amit mindenki ismer és betart.

Kevés, jól megválasztott szabály gyorsabb haladást enged, mint a szabálynélküliség. Ahol nincs szabály, ott mindenki óvatosan tapogat, és a végén bele kell taposni a fékbe, mert valaki keresztbe állt. Egy cég AI bevezetésénél ugyanez a logika. A leltár, a jogosultsági lista és a jóváhagyási pont nem lassít, hanem lehetővé teszi, hogy a csapat bátran használja az eszközt, mert tudja, hol vannak a határok.

A szabály tehát a bátorság feltétele. A cégek, amelyek első lépésként tiltanak, lassabban haladnak, mert a munkatársak bizonytalanok, és a vezetés nem tudja, mi történik. Azok, amelyek kevés, világos szabállyal indulnak, gyorsabban találják meg az értéket, mert a kísérletezés biztonságos keretben megy.

Tíz pont a vezető asztalára

Az eddigi leckék tanulságait tíz pontba sűrítem. Mindegyik egy mondat, és mindegyikre igen vagy nem a válasz. Ahol nem, ott van a következő feladat.

1. Van naprakész AI leltárunk, amiben minden használt modell, szolgáltató és folyamat szerepel.

2. Tudjuk, hol használnak a munkatársak nem hivatalos AI eszközt, és a hivatalos út gyorsabb, mint a megkerülés.

3. Minden AI ügynöknek írott jogosultsági listája van, és csak azt éri el, ami a feladatához kell.

4. A visszafordíthatatlan lépések, utalás, törlés, kiküldés előtt emberi jóváhagyás áll, és a pénzmozgást független második csatornán is megerősítjük.

5. A külső forrásból érkező tartalmat a rendszer megjelöli, és nem kezeli utasításként.

6. Minden AI döntés és ügynöki lépés naplózva van, és a napló utólag visszakereshető.

7. A beszállítótól modellkártyát, tanítóadat leírást és verziókövetést kérünk, és ezt a szerződés rögzíti.

8. A modellváltás nálunk felülvizsgálati kiváltó esemény, nem egyszerű frissítés.

9. Tudjuk, melyik szabályozás alá esünk, az EU AI Act szerinti szerepünkkel és az amerikai szabályokkal, amik a beszállítóinkon át érnek el minket.

10. A kockázatelemzés és a kontrollok dokumentációja a kiadás előtt készül el, nem utána.