A keret
Két jogszabály, amely minden céget érint
A vállalati AI használatát Magyarországon két alapvető szabályozói keret határozza meg. Az egyik a GDPR, amelyet a legtöbb vállalat ismer, legalább felszínesen. A másik az EU AI Act, az Európai Unió mesterséges intelligenciára vonatkozó rendelet, amely 2024-ben lépett hatályba, és kötelezettségei fokozatosan élesednek.
A két szabályozás egymásra épül. A GDPR meghatározza, hogyan lehet személyes adatokat kezelni, és ez az AI betanítástól az élő döntéstámogatásig mindenre vonatkozik. Az EU AI Act az AI rendszerek kockázatát osztályozza, és a kockázati szinttől függő kötelezettségeket ír elő. A kettőt egyszerre kell érteni, mert a kettő együtt rajzolja ki a valódi mozgásteret.
Az EU AI Act alapjai
Kockázat alapú megközelítés, avagy melyik kategóriába esik a rendszered
Az EU AI Act nem tiltja az AI-t, hanem kockázat alapján osztályozza. Négy szint van, és ezek meghatározzák, milyen kötelezettségeket kell teljesíteni.
Elfogadhatatlan kockázat. Ezek tiltottak. Ide tartozik a valós idejű biometrikus azonosítás nyilvános terekben, a szublimális manipuláció, a szociális pontozási rendszerek. Egy átlagos vállalat normális működése során ezekkel nem találkozik.
Magas kockázat. Ezek használhatók, de szigorú kötelezettségekkel. Ide tartoznak a foglalkoztatási döntéseket befolyásoló AI rendszerek (önéletrajz-szűrés, teljesítményértékelés), a hitelbírálati AI, az oktatási értékelés, és sok más, emberek életét érintő döntéstámogatási rendszer. Ha a céged ilyet vezet be, dokumentációs, átláthatósági és emberi felügyeleti kötelezettségek vonatkoznak rá.
Korlátozott kockázat. Átláthatóság szükséges. Ha chatbotot használsz, az ügyfélnek tudnia kell, hogy AI-jal kommunikál. Ha AI által generált tartalmat kommunikálsz, azt jelölni kell.
Minimális kockázat. Szabadon használható. A legtöbb általános célú AI eszköz (szöveggeneráló, fordító, képelemző a belső folyamatokban) ide esik.
A legtöbb vállalati AI eszköz minimális kockázatú. A ChatGPT, Claude, Copilot napi munkára (szövegírás, összefoglalás, fordítás, elemzés) nem esik magas kockázatú kategóriába. A figyelem akkor szükséges, ha a rendszer emberek felvételéről, elbocsátásáról, hitelről vagy egészségügyi döntésről hoz ajánlást.
GDPR és AI
Ahol a két szabályozás összeér
A GDPR-ban az AI leggyakoribb kérdése az automatizált döntéshozatal. Ha egy AI rendszer emberi beavatkozás nélkül hoz döntést, amely jogi vagy hasonlóan jelentős hatással van egy személyre, az érintettnek joga van emberi felülvizsgálatot kérni. Ez vonatkozik például az automatikus hitelminősítőre, az önéletrajz-szűrő AI-ra, vagy egy AI által generált munkateljesítmény-értékelésre.
A másik kritikus pont az adatok forrása. Ha a cég AI modellt tanít saját adatokon, az adatokban lévő személyes adatokat is ugyanolyan GDPR-kötelezettség terheli, mint bármely más adatkezelést. Explicit jogalap, adatmegőrzési korlát, törlési jog.
Az AI eszközszolgáltatók (Microsoft, Google, Anthropic) saját adatvédelmi feltételei is relevánsak. Ha a munkatárs egy külső AI eszközbe üzleti adatot másol, az az adatkezelési feltételektől függően kockázatot hordoz. Az AI policy egyik feladata pontosan ennek a kérdésnek a rendezése.
Ami most kötelező
A négy teendő, amelyet minden cégnek el kell végeznie
1. AI leltár
Listázd, milyen AI eszközöket használ a cég jelenleg, ki engedélyezte, és milyen adatokhoz fér hozzá. A legtöbb vállalatnál az IT-nek nincs teljes képe, mert a dolgozók saját eszközöket használnak saját döntés alapján.
2. Kockázati osztályozás
Az EU AI Act alapján nézd meg, melyik eszköz esik magas kockázatú kategóriába. Ha igen, meg kell vizsgálni a dokumentációs és emberi felügyeleti kötelezettségeket.
3. AI policy
Írj le egy belső szabályzatot arról, mit szabad az AI-jal a cég adataival csinálni, mit nem, milyen adatot nem szabad AI eszközbe másolni, és mit kell jelölni AI által generált tartalomként. Ez nem bürokratikus formalitás, hanem felelősségi kérdés.
4. Átláthatóság az ügyfelek felé
Ha az ügyfél AI-val kommunikál, tudnia kell róla. Ha AI által generált ajánlatot kap, érdemes ezt feltüntetni. Ez nem csak jogi kötelezettség, hanem bizalmi kérdés is.
A valódi kockázat
Nem a bírság, hanem a bizalom
Az EU AI Act bírságai valósak és nagyok. De a legtöbb vállalat esetén a szabályozói kockázatnál nagyobb a reputációs kockázat. Ha kiderül, hogy a cég AI-jal hozott döntéseket emberekről átláthatóság nélkül, vagy hogy ügyféladatok kerültek külső AI rendszerbe engedély nélkül, az ügyfelek és a munkavállalók bizalmát is érinti.
A szabályozási megfelelés és az etikus AI használat nem ellentétei az üzleti hatékonyságnak. Azok a vállalatok, amelyek korán tisztázzák ezeket a kérdéseket, gyorsabban tudnak bevezetni, mert nem kell megállni egy-egy aggodalomnál, és a csapat is nagyobb bizalommal használja az eszközöket.
Workshop
AI Transformation Day
Egésznapos, vezetőknek szóló program. Feltérképezzük, hol tart a szervezet, mi az első reális lépés, és milyen belső feltételek szükségesek a sikerhez. A nap végén konkrét, prioritizált cselekvési lista.
Érdekel a program →