A döntés
Ami júliusban csendben hatályba lépett
Az Európai Unió 2026 júliusában elfogadta és kihirdette az AI Act módosítását, amit a szakma AI Omnibus néven emleget. A jogszabály július végén lépett hatályba, néhány nappal azelőtt, hogy a magas kockázatú rendszerekre vonatkozó eredeti augusztus 2-i határidő beköszöntött volna. A csúszás mértéke jelentős.
A III. melléklet szerinti önálló magas kockázatú rendszerekre 2027. december 2-ig van idő. Ide tartozik a toborzás és a munkaerő kiválasztás, a hitelbírálat és a biztosítási kockázatértékelés, az oktatási felvételi és értékelés, a kritikus infrastruktúra irányítása. Az I. melléklet szerinti eset, amikor az AI egy már szabályozott termékbe van beépítve, 2028. augusztus 2-ig kapott haladékot. Ilyen az orvostechnikai eszköz, a gép, a játék, a felvonó.
Ami ebben a leglényegesebb, és amit a legtöbb magyar cégnél nem vettek észre. Ez a két dátum nem feltételes. Nem függ újabb bizottsági döntéstől, nem kell hozzá további jogi aktus. Aki eddig arra várt, hogy majd kiderül, mikortól kell megfelelni, most megkapta a végleges választ.
Az egyik ügyfelemnél, egy 600 fős pénzügyi szolgáltatónál, tavasszal készült egy megfelelési projektterv, ami az augusztusi dátumra volt kihegyezve. Amikor a haladék kiderült, az első reakció az volt, hogy a projektet leállítják és jövőre újranyitják. Két hét vitába került meggyőzni a vezetést, hogy pont ez a legrosszabb lépés.
Ami nem csúszott
Négy kötelezettség, ami már most köt
A haladék kizárólag a magas kockázatú rendszerekre vonatkozik. Az AI Act többi rétege változatlanul él, és ezt a különbséget a cégek felénél nem tisztázta senki.
A tiltott gyakorlatok 2025 februárja óta hatályosak. Ide tartozik a munkahelyi érzelemfelismerés, a manipulatív rendszerek, a szociális pontozás. Ha egy cég ilyet üzemeltet, arra nincs haladék, arra tilalom van. Az általános célú modellek szolgáltatóira vonatkozó szabályok 2025 augusztusa óta élnek, és ezek érintik azokat is, akik saját modellt finomhangolnak és továbbadnak.
Az átláthatósági kötelezettség 2026. augusztus 2-án a tervezett menetrend szerint életbe lépett. Ez azt jelenti, hogy ha a rendszered emberrel beszélget, azt jelezni kell. Ha AI-jal generált tartalmat állítasz elő, azt gépi úton felismerhetővé kell tenni. A már piacon lévő megoldásoknál a jelölés kialakítására 2026. december 2-ig van türelmi idő, ami mostantól számolva alig három hónap.
Az AI jártassági követelmény szintén megmaradt, bár enyhébb megfogalmazásban. A cégnek gondoskodnia kell arról, hogy aki AI rendszert kezel, értse, mit csinál. Egy 35 fős kreatív ügynökségnél, ahol a teljes szövegírás és képgenerálás AI-ra épült, ezt a pontot úgy oldottuk meg, hogy a jelölési kötelezettség bekerült a leadási sablonba. Nem szabályzatot írtunk, hanem a munkafolyamatba tettük bele.
A félreértés
A haladék nem szünet, hanem olcsóbb felkészülés
Azt tapasztaltam, hogy a megfelelés akkor kerül a legtöbbe, amikor kész, éles rendszerre kell visszamenőleg ráhúzni. Egy toborzási előszűrőnél, ami már fél éve fut és havi kétezer jelentkezőt dolgoz fel, a naplózás utólagos beépítése hónapokat és több millió forintos fejlesztést jelent. Ugyanez a naplózás a tervezési fázisban két nap.
Ez a tizenhat hónap tehát nem arról szól, hogy később kell elkezdeni. Arról szól, hogy azok a rendszerek, amiket most építesz, olcsón megfelelővé tehetők. Amiket 2027 őszén építesz majd rohanva, azok nem.
Van egy másik ok is, amit ritkán mondanak ki. A haladék alatt jelennek meg a harmonizált szabványok és a hatósági útmutatók. Aki most kezd, annak lesz ideje a saját megoldását ezekhez igazítani. Aki 2027 szeptemberében kezd, az kap egy kész szabványt, amihez már nem tud hozzáépíteni, csak átépíteni.
És van egy harmadik szempont, ami nem jogi. A nagyvállalati beszerzések már ma kérdeznek. Ha egy magyar beszállító nagyobb európai ügyfélnek dolgozik, előbb kap egy AI vonatkozású kérdőívet a vevőjétől, mint hatósági megkeresést. Az egyik ügyfelemnél pontosan ez történt, egy német partner tenderdokumentációjában szerepelt az AI rendszerek listája és a felügyeleti eljárás leírása. A haladék erre a kérdésre semmilyen választ nem ad, mert a vevő nem az uniós határidőhöz igazodik, hanem a saját belső szabályaihoz.
Egy Cloud Security Alliance elemzés is megerősítette, amit én is látok a piacon. A vállalatok többségénél a megfelelési program még mindig a szándéknál és néhány dokumentumnál tart, tényleges rendszerszintű munkánál nem.
Leltár
Az első lépés nem a szabályzat, hanem a lista
A legtöbb cég azzal kezdi, hogy megíratja az AI szabályzatot. Ez rossz sorrend, mert olyan rendszerekre írsz szabályt, amikről nem tudod, hogy léteznek-e.
Egy 400 fős logisztikai cégnél, ahol tavaly ilyen leltárt csináltunk, a vezetés három AI megoldást tartott számon. A felmérés végén hatvan fölött volt azoknak a pontoknak a száma, ahol a mindennapi munka valamilyen AI-ra támaszkodott. Ebből a hatvanból pontosan három esett a szabályozott körbe. A többi teljesen legális, hétköznapi eszközhasználat volt.
Ez a szám a lényeg. A leltár nem azért készül, hogy megijedj, hanem azért, hogy a szűk kört meg tudd különböztetni a nagy tömegtől, és a következő tizenhat hónap energiáját arra a háromra fordítsd.
Egy használható leltárban hat oszlop van. Mi a rendszer neve, kit érint, milyen döntést támogat vagy hoz meg, ki a szállítója, milyen adat megy bele, és ki a felelőse a cégen belül. A hatodik oszlop kitöltése a legnehezebb, mert kiderül, hogy a legtöbb AI megoldásnak nincs gazdája.
Ebből a projektből tanultam, hogy a leltár nem informatikai feladat. Az IT csak azt látja, ami a céges infrastruktúrán fut. A HR-es, aki a saját előfizetésén szűri az önéletrajzokat, nem jelenik meg semmilyen rendszernaplóban. A leltárt osztályonként, beszélgetéssel kell felvenni.
Besorolás
Honnan tudod, hogy magas kockázatú rendszered van
A besorolás két kérdésen múlik, és mindkettőt gyakran elrontják.
Az első, hogy a rendszer beleesik-e a III. melléklet felsorolt területeibe. Biometrikus azonosítás, kritikus infrastruktúra, oktatás, foglalkoztatás és munkaerő kezelés, alapvető szolgáltatásokhoz való hozzáférés, bűnüldözés, migráció, igazságszolgáltatás. A magyar középvállalatoknál a foglalkoztatási és a hitelezési pont az, ami valóban felmerül. A többi ritka.
A második kérdés, hogy a cég szolgáltató-e vagy üzembehelyező. A legtöbb magyar vállalat üzembehelyező, vagyis megvásárol egy kész megoldást és használja. Az ő kötelezettségei lényegesen könnyebbek. Emberi felügyelet biztosítása, a használati útmutató betartása, a bemeneti adatok relevanciájának ellenőrzése, naplók megőrzése, az érintettek tájékoztatása.
Itt van viszont egy csapda, amibe többször láttam belesétálni céget. Ha a saját nevedet vagy védjegyedet teszed a rendszerre, vagy ha lényegesen módosítod a működését, akkor szolgáltatóvá válsz, és rád a teljes, nehéz kötelezettségcsomag vonatkozik. Egy 900 fős gyártó cégnél a HR csapat egy vásárolt előszűrőt saját pontozási logikával egészített ki, és saját belső márkanéven vezette be. Amikor ezt átnéztük, kiderült, hogy ezzel jogi értelemben átlépték a határt.
Az üzembehelyezői kör egy részének ezen felül alapjogi hatásvizsgálatot is készítenie kell, jellemzően a közszolgáltatóknak és a hitelezéssel, biztosítással foglalkozó szereplőknek. Ez nem hosszú dokumentum, de átgondolást kíván, mert arról szól, kit érhet hátrány a rendszer működéséből, és mi történik akkor, ha a gép téved.
A besorolást írásban kell rögzíteni, és nem elég egyszer megcsinálni. Ha a rendszer funkciója változik, a besorolás is változhat.
Szerződések
A beszállítói papírok, amiket most kell újranyitni
Az üzembehelyezői kötelezettségek nagy részét nem tudod teljesíteni a szállítód nélkül. Naplókat kell megőrizned, de a naplót a szállító rendszere állítja elő. Tájékoztatnod kell az érintetteket a rendszer működéséről, de a működés leírása a szállítónál van.
Négy dolgot javaslok beletenni minden AI vonatkozású szerződésbe. Hozzáférés a műszaki dokumentációhoz és a rendeltetésszerű használat leírásához. A naplók kiadása és megőrzési ideje. Értesítési kötelezettség, ha a modell vagy a működés lényegesen változik. Kilépési feltételek, adatkinyeréssel együtt.
Az egyik ügyfelemnél a beszerzési vezető azt kérdezte, hogy nem lesz-e ez kellemetlen a szállítók felé. A válaszom az volt, hogy ne külön tárgyalást nyisson, hanem tegye be ezt a négy pontot a következő megújítási körbe. A legtöbb szoftverszerződés évente vagy kétévente újul, tehát 2027 decemberéig szinte minden szerződés természetes úton egyszer megnyílik. Aki ezt a ritmust használja ki, annak nem lesz külön szerződésmódosítási projektje.
Amikor ezt egy holding hat leányvállalatánál végigcsináltuk, a hat cégnél összesen tizenegy különböző AI szállító volt, és négyen ugyanazt a terméket vásárolták külön szerződéssel, eltérő feltételekkel. A konszolidáció önmagában többet hozott, mint amennyibe a jogi átnézés került.
Ütemterv
Hogyan oszd be a tizenhat hónapot
A gyakorlatban négy szakaszra bontom ezt az időt, és a legtöbb középvállalatnál ez a beosztás tartható.
Az első három hónap a leltár, a besorolás és a felelős kijelölése. Egy név kell, aki a cégen belül számon tartja az AI rendszereket. Nem külön munkakör, hanem kijelölt feladat egy meglévő ember mellé.
A negyediktől a kilencedik hónapig a szabályozott körbe eső rendszereken dolgozol. Emberi felügyelet, vagyis konkrétan ki és hogyan tud felülbírálni egy AI által javasolt döntést. Naplózás, hogy visszakereshető legyen, mi alapján született egy javaslat. Az érintettek tájékoztatása, ami a toborzásnál például egy mondat a pályázati felületen.
A kilencedik és a tizenötödik hónap között jönnek a szerződések és a tesztelés. Itt szokott kiderülni, hogy az emberi felügyelet papíron létezik, a gyakorlatban viszont senki nem nyúl hozzá, mert a rendszer javaslatát mindenki elfogadja. Ezt csak méréssel lehet kimutatni, azzal, hogy megnézed, hány esetben tért el az ember a géptől.
Az utolsó szakasz a belső átvizsgálás, jóval a hivatalos dátum előtt. Ha 2027 nyarán már végigfut egy próbaellenőrzés, akkor decemberre marad idő javítani.
Ami ebből a tizenhat hónapból a legtöbbet hozza, az nem a jogi megfelelés. Az a néhány hét, amíg a cég először végignézi, hol dönt helyette gép, és ki áll jót azért a döntésért. Ezt a kérdést a szabályozás csak kikényszeríti, megválaszolni a cégnek magának kell.
kdconsulting.hu · [email protected]