EU AI Act: augusztus 2. óta élesben. Mi vonatkozik rád ténylegesen és mi tolódott 2027-re?

Ha a weboldaladon chatbot válaszol a vásárlók kérdéseire, 2026. augusztus 2-a óta jogszabály írja elő, hogy ezt ne titkold el előlük: ezen a napon vált ugyanis alkalmazandóvá az EU AI Act néven ismert uniós mesterségesintelligencia-rendelet 50. cikke az AI-rendszerek átláthatóságáról és a felhasználók tájékoztatásáról. Közben a szigorúbb, sok cégvezetőt megrémítő szabályok egy része mégsem indult el, mert a Digital Omnibus néven ismert módosítás a magas kockázatú AI-rendszerek határidejét 2027 decemberére, illetve 2028 augusztusára tolta. Az eredmény egy meglehetősen zavaros kép: a hírek egyszerre szólnak arról, hogy „élesedett az AI Act” és arról, hogy „elhalasztották”, a cégvezető pedig joggal kérdezi, hogy akkor most neki pontosan mit kell tennie hétfő reggel.

A jó hír az, hogy egy 5 és 50 fő közötti magyar cégre a 113 cikkből és 13 mellékletből álló rendeletnek jóval kisebb része vonatkozik, mint amennyitől a konferenciák előadásai alapján tartani lehetne. A kevésbé jó hír, hogy ez a kisebb rész már most érvényes, néhány eleme ráadásul 2025 februárja óta kötelező, csak kevesen vették észre. Az alábbiakban sorra vesszük, mi él ténylegesen és mi tolódott el a 2026. szeptember 22-i állapot szerint, ki ellenőriz Magyarországon és mekkora bírsággal kell számolni, a végén pedig egy kinyomtatható ellenőrzőlistát is kapsz. A cikk tájékoztató jellegű és nem minősül jogi tanácsadásnak, konkrét helyzetben érdemes a cég jogászával is egyeztetni.

Röviden

• 2026. augusztus 2. óta alkalmazandó az EU AI Act 50. cikke, amely szerint az embereket tájékoztatni kell arról, ha AI-rendszerrel, például weboldalas chatbottal vagy telefonos AI-asszisztenssel lépnek kapcsolatba, kivéve ha ez a körülményekből egyértelmű.
• A Digital Omnibus néven ismert, (EU) 2026/1744 számú módosító rendelet 2026. július 24-én jelent meg az Európai Unió Hivatalos Lapjában. Ez a módosítás a magas kockázatú önálló AI-rendszerek (például az AI-alapú önéletrajz-szűrés) kötelezettségeit 2027. december 2-ra, a termékekbe épített rendszerekét 2028. augusztus 2-ra halasztotta.
• A generatív AI-rendszerek kimeneteinek gépileg olvasható jelölésére (vízjelezésére) a 2026. augusztus 2. előtt piacra került rendszerek szolgáltatói 2026. december 2-ig kaptak türelmi időt, ez a szabály azonban elsősorban az AI-eszközök fejlesztőit terheli, nem az azokat használó cégeket.
• Egy tipikus magyar KKV az AI Act szóhasználatában alkalmazó (deployer), akinek a fő teendői az ügyfélkapcsolati AI-rendszerek jelzése, a megtévesztően valósághű AI-tartalmak címkézése, a munkatársak AI-jártasságának támogatása és a 2025. február 2. óta tiltott gyakorlatok elkerülése.
• Az átláthatósági szabályok megsértéséért legfeljebb 15 millió euró vagy a világszintű éves árbevétel 3%-a szabható ki, de KKV-knál mindig a kettő közül az alacsonyabb összeg a felső határ, a hazai piacfelügyeletet pedig a Tudományos és Technológiai Minisztérium erre kijelölt főosztálya látja el.

Mi az EU AI Act és hol tart most a menetrend?

Az EU AI Act, hivatalos nevén az (EU) 2024/1689 rendelet, az Európai Unió mesterségesintelligencia-rendelete, amely kockázati szintek szerint szabályozza az AI-rendszerek fejlesztését és használatát. Hatályba már 2024 nyarán lépett, de lépcsőzetesen válik alkalmazandóvá: a tilalmak 2025 februárjától, az átláthatósági szabályok 2026. augusztus 2-tól, a magas kockázatú rendszerekre vonatkozó előírások 2027 decemberétől élnek.

A zavar egyik forrása a „hatályba lépett” és az „alkalmazandó” kifejezés keveredése: az előbbi azt jelenti, hogy a rendelet jogilag létezik, az utóbbi azt, hogy a benne foglalt kötelezettségeket ténylegesen be is kell tartani. Az AI Act kötelezettségei több hullámban érkeznek, a Digital Omnibus pedig ezek közül a legnehezebbet tolta későbbre, ezért igaz egyszerre, hogy „élesedett” és hogy „elhalasztották”, csak a két állítás a rendelet más-más részére vonatkozik.

A rendelet logikája a kockázatra épül, ebből következik minden más. A legfelső szint a tiltott gyakorlatok köre, például a társadalmi pontozás, ezeket egyszerűen nem szabad alkalmazni. Alatta állnak a magas kockázatú rendszerek, amelyek emberek megélhetésére vagy alapvető jogaira lehetnek hatással (ilyen a toborzásban használt AI vagy a hitelbírálat), rájuk szigorú dokumentációs és felügyeleti szabályok vonatkoznak. A harmadik szint az átláthatósági kockázat, ide tartoznak a chatbotok és a tartalomgeneráló rendszerek, a legalsó szintre pedig a mindennapi AI-eszközök döntő többsége esik a spamszűrőtől a helyesírás-ellenőrzőig, külön kötelezettség nélkül. Az általános célú AI-modellekre (GPAI), például az OpenAI vagy a Google nagy nyelvi modelljeire saját szabályrendszer vonatkozik, de ez a modellek gyártóinak feladata, nem a felhasználó cégeké.

A Digital Omnibus az Európai Bizottság digitális szabályozást egyszerűsítő csomagjának mesterséges intelligenciára vonatkozó része. A Gibson Dunn ügyvédi iroda összefoglalója szerint a Tanács és az Európai Parlament 2026. május 6-án jutott politikai megállapodásra, amelyet a tagállamok május 13-án erősítettek meg. A Cuatrecasas elemzése szerint a módosítás (EU) 2026/1744 számon 2026. július 24-én jelent meg a Hivatalos Lapban és három nappal később, július 27-én lépett hatályba, vagyis még az augusztus 2-i fordulónap előtt.

A táblázatból jól látszik, hogy egy magyar kis- vagy középvállalat számára három dátum számít igazán: 2025 februárja, amikor a tilalmak és az AI-jártasság élesedett, 2026 augusztusa, amikor az átláthatósági szabályok következtek, végül 2027 decembere, amikor a magas kockázatú alkalmazások szabályai lépnek életbe, ha a cég például AI-t használ a toborzásban. Minden más vagy a nagy modellek gyártóit, vagy a termékgyártókat, vagy a hatóságokat érinti.

Szolgáltató vagy alkalmazó: melyik szerepben vagy te?

Az EU AI Act szerint szolgáltató (provider) az, aki egy AI-rendszert fejleszt vagy fejlesztet és saját neve vagy védjegye alatt hoz forgalomba vagy helyez üzembe, alkalmazó (deployer) pedig az, aki a saját tevékenysége során használja. Egy átlagos KKV többnyire alkalmazó, de egy saját márkanév alatt futó, egyedileg fejlesztett chatbot szolgáltatói kötelezettségeket is hozhat.

A szerep azért döntő, mert az átláthatósági kötelezettségek az 50. cikkben megoszlanak a szolgáltató és az alkalmazó között. A rendelet a szolgáltatóra bízza, hogy az emberekkel közvetlenül kommunikáló rendszert eleve úgy tervezze meg, hogy az AI-jelleg kiderüljön, illetve hogy a generált tartalmakat gépileg olvasható jelöléssel lássa el. Az alkalmazóra pedig azt, hogy jelezze a közönségnek, ha deepfake-tartalmat tesz közzé vagy közérdekű témában AI-val írt szöveget publikál, továbbá tájékoztassa az érintetteket, ha érzelemfelismerő vagy biometrikus kategorizáló rendszert használ velük szemben.

Vegyünk három képzeletbeli, de nagyon is hétköznapi helyzetet. Tegyük fel, hogy egy 8 fős budapesti könyvelőiroda a ChatGPT Business előfizetését használja ügyféllevelek megfogalmazására és jogszabályok összefoglalására. Az iroda ebben az esetben egyértelműen alkalmazó, így rá elsősorban az AI-jártasság támogatása és (a személyes adatok miatt) a GDPR vonatkozik. Ha viszont egy 25 fős debreceni webshop egy ügynökséggel építtet magának chatbotot, amely a webshop saját arculatával és nevével köszön a látogatóknak, a helyzet már árnyaltabb. A rendelet definíciója szerint szolgáltató az is, aki fejleszteti a rendszert és saját neve alatt helyezi üzembe, így a webshop jó eséllyel szolgáltatónak számít a chatbot átláthatósága szempontjából, akkor is, ha a háttérben az OpenAI vagy a Google modellje dolgozik. A harmadik példában egy kecskeméti asztalosüzem AI-val készít látványképeket az Instagramra, itt ismét alkalmazói szerepben van, a kérdés pedig az lesz, hogy a képek megtévesztően valósághűek-e.

Ha kész, dobozos chatbotszolgáltatást használsz, formálisan a szolgáltató dolga a jelzés beépítése, a látogató viszont a te weboldaladon találkozik vele, így a panasz és a bizalomvesztés is téged ér. Tapasztalatunk szerint ezért az a legolcsóbb, ha a jelzésről attól függetlenül gondoskodsz, hogy jogilag kire hárul: egy üdvözlő üzenet átírása néhány perces munka, egy hatósági eljárás vagy egy felháborodott ügyfél posztja viszont jóval drágább.

Átláthatósági kötelezettség: kell-e szólni a chatbotnál, hogy AI válaszol?

Igen, 2026 augusztusa óta kötelező jelezni: az EU AI Act 50. cikkének (1) bekezdése előírja, hogy az emberekkel közvetlenül kommunikáló AI-rendszert úgy kell kialakítani, hogy a felhasználó legkésőbb az első interakciókor megtudja, gépi rendszerrel beszél. Kivétel csak akkor van, ha ez egy észszerűen tájékozott, figyelmes és körültekintő ember számára a körülményekből nyilvánvaló.

A szabály nem csak a klasszikus weboldalas csevegőablakra vonatkozik. Ide tartozik a Messengeren vagy WhatsAppon válaszoló bot, a telefonos AI-asszisztens, amely időpontot foglal vagy rendelést vesz fel, sőt egyre gyakrabban az az AI-ügynök is, amely a céged nevében önállóan ír e-mailt egy beszállítónak vagy hív fel egy éttermet asztalt foglalni. A rendelet szerint a tájékoztatásnak világosnak és jól megkülönböztethetőnek kell lennie, meg kell felelnie az akadálymentességi követelményeknek, továbbá legkésőbb az első interakció pillanatában meg kell történnie. Ebből az is következik, hogy az ÁSZF 14. pontjába rejtett mondat vagy a lábléc apró betűs szövege nem elég.

A Faegre Drinker ügyvédi iroda összefoglalója szerint az Európai Bizottság 2026. július 20-án tette közzé az átláthatósági kötelezettségekről szóló végleges iránymutatását, amely több gyakorlati kérdést is tisztáz. Eszerint egy általános „asszisztens” címke sem elegendő, az AI-ügynöknek pedig nemcsak azt kell jeleznie, hogy mesterséges intelligencia, hanem azt is, hogy kinek a nevében jár el, mégpedig a kapcsolatfelvételkor és a fontosabb műveleti lépéseknél is. Ha tehát a céged AI-ügynöke felhív egy partnert, már az első mondatban ki kell derülnie, hogy egy AI-asszisztens telefonál, valamint az is, hogy melyik cég megbízásából.

A „nyilvánvalóság” kivételére ugyanakkor nem érdemes túl sokat építeni. Az artificialintelligenceact.eu gyakorlati útmutatója szerint az iránymutatás kétlépcsős vizsgálatot vár el: először azt kell meghatározni, ki a célközönség, utána pedig azt, hogy egy átlagos tagja hogyan érzékelné az interakciót. Egy fejlesztőknek szóló, „AI kódasszisztens” nevű eszköznél a gépi jelleg valóban magától értetődő lehet, egy nyugdíjasoknak szóló gyógyszertári webshop fotóval megjelenő „Kati” nevű csevegőjénél viszont biztosan nem az. Ügyfélkapcsolati helyzetben ezért egyszerűbb és olcsóbb mindig jelezni, mint utólag vitatkozni arról, hogy mi volt nyilvánvaló.

Tegyük fel például, hogy egy képzeletbeli balatoni panzió foglalási chatbotot futtat a weboldalán. Egy jó nyitóüzenet így szólhat: „Szia, a panzió AI-asszisztense vagyok, egy mesterséges intelligencia. Segítek a szabad szobákban és az árakban, ha pedig inkább a recepcióval beszélnél, írd be: ember.” Ez a mondat egyszerre teljesíti a jogszabályt, kezeli a látogató elvárásait és kijelöli a kiutat is, ami az ügyfélélmény szempontjából legalább olyan fontos. Az emberi átkapcsolást az AI Act nem írja elő, a vásárlók viszont jellemzően sokkal elnézőbbek egy tévedő géppel, ha tudják, hogy bármikor kérhetnek embert.

• Jó gyakorlat: az első üzenetben vagy a hívás első mondatában kimondod, hogy AI válaszol, lehetőleg azzal együtt, hogyan lehet emberhez fordulni.
• Kerülendő: emberi névvel és stockfotós arccal megjelenő bot, amely sehol nem jelzi a gépi jelleget.
• Kerülendő: a telefonos AI csak a hívás végén, kérdésre vallja be, hogy nem ember.

Az e-mailes AI-ügynököknél is érdemes rendet tenni, mert ott a legkevésbé egyértelmű a helyzet. Ha az ügynök emberi jóváhagyás nélkül, önállóan válaszol az ügyfeleknek, a biztonságos gyakorlat az, hogy az aláírásban vagy a levél elején jelzi az AI-jelleget és a céget, amelynek nevében ír. Ha viszont az AI csak piszkozatot készít, amelyet egy kolléga átnéz, átír és a saját nevében küld el, az inkább emberi kommunikációnak tekinthető, bár ennek a határesetnek a pontos megítélése végső soron jogi értelmezés kérdése.

Deepfake, AI-kép és AI-szöveg: mit kell jelölnöd a marketingben?

Ha deepfake-tartalmat teszel közzé, az EU AI Act 50. cikke szerint jelezned kell, hogy AI-val készült vagy módosított: ide tartozik minden olyan kép, hang vagy videó, amely valós személyre, tárgyra, helyre vagy eseményre hasonlít és hamisan hitelesnek tűnhet. A közérdekű ügyekről tájékoztató AI-szöveget is jelölni kell, kivéve ha érdemi emberi szerkesztésen ment át és valaki szerkesztői felelősséget vállal érte.

A deepfake szó hallatán a legtöbben politikusokról készült hamis videókra gondolnak, a rendelet definíciója viszont ennél jóval tágabb, ezért a marketingeseknek is szól. Az artificialintelligenceact.eu összefoglalója szerint a Bizottság iránymutatásának tervezete kivette a fogalom alól a nyilvánvalóan fantasztikus vagy fizikailag lehetetlen tartalmat (a példa szerint a sárkányokat vagy a segítség nélkül repülő embereket). A kérdés tehát mindig az, hogy a néző joggal hiheti-e valóságnak, amit lát vagy hall.

A KKV-marketingben is könnyű ilyen helyzetbe kerülni. Ha a korábbi példában szereplő kecskeméti asztalosüzem AI-val generált egy fotórealisztikus képet egy soha el nem készült konyhabútorról egy nem létező lakásban és ezt referenciamunkaként mutatja be, az már közel áll a megtévesztéshez, ezért jelölni kell, sőt referenciaként egyáltalán nem szerencsés használni. Ha ugyanez a kép egyértelműen „tervezési látványterv” felirattal jelenik meg, a néző pontosan tudja, mit lát. Egy AI-val generált „elégedett vásárló” arca egy vélemény mellett pedig kétszeresen is kockázatos, mert a kitalált vásárlói véleményeket a fogyasztóvédelmi szabályok a mesterséges intelligenciától függetlenül is tiltják.

A hangalapú tartalmaknál ugyanez a logika érvényes: egy ismert színész vagy más valós személy hangjára hasonlító AI-hang egy hirdetésben deepfake-nek minősülhet (és a személyiségi jogok miatt az AI Act nélkül is jogi aknamező), egy senkire sem hasonlító szintetikus narrátorhangnál viszont a kérdés fel sem merül. A márkavédelem és a hamis hirdetések elleni fellépés külön téma, amellyel egy másik cikkünk foglalkozik.

A Faegre Drinker összefoglalója szerint a Bizottság végleges iránymutatása egyértelmű, jól látható címkét vár el az első megjelenés pillanatában. Az Európai Bizottság egységes ikonkészletet is kiadott, amelyet az alkalmazók a jelöléshez szabadon használhatnak, de más megoldás is megfelel, ha teljesíti a magatartási kódex feltételeit. Videónál a gyakorlatban nyitó felirat vagy tartós képi jelzés, a csak hangból álló tartalomnál pedig kimondott vagy írott figyelmeztetés a megoldás. A művészi, kreatív, szatirikus vagy fikciós alkotásoknál enyhébb a követelmény: ilyenkor elég úgy jelezni a generált tartalmat, hogy az ne zavarja a mű élvezetét.

A szövegeknél sokkal szűkebb a kötelezettség, mint amitől sokan tartanak. A rendelet nem írja elő, hogy minden AI-val írt céges szöveget meg kell jelölni: a jelölés a közérdekű ügyekről tájékoztató publikációkra vonatkozik, de ott is kivétel, ha a szöveg emberi felülvizsgálaton vagy szerkesztői ellenőrzésen ment át, egy természetes vagy jogi személy pedig szerkesztői felelősséget visel érte. Az artificialintelligenceact.eu összefoglalója kiemeli, hogy a felülvizsgálatnak érdeminek kell lennie, a felületes átfutás vagy a formális jóváhagyás nem elég. Egy budapesti könyvelőiroda AI-val előkészített hírlevele a novemberi adóváltozásokról tehát akkor mentesül, ha egy szakember ténylegesen átnézi, javítja és a nevét adja hozzá.

Egy ritkábban emlegetett szabály az érzelemfelismerő és a biometrikus kategorizáló rendszerekre vonatkozik: aki ilyet használ, köteles tájékoztatni az érintetteket. Egy KKV-nál ez leginkább olyan ügyfélszolgálati szoftvernél kerülhet elő, amely a hívó hangjából próbálja kiolvasni az elégedettségét, a munkatársakra alkalmazva azonban az érzelemfelismerés 2025 februárja óta tiltott.

Vízjelezés: türelmi idő 2026. december 2-ig

A vízjelezés szabálya a generatív AI-rendszerek szolgáltatóit terheli az 50. cikk (2) bekezdése alapján: a kimeneteket gépileg olvasható módon, mesterséges intelligencia által generáltként felismerhetővé kell tenniük. Az augusztus 2-a előtt piacra került rendszereknek december 2-ig van türelmi idejük, az azóta indult rendszereknek viszont már most meg kell felelniük.

A türelmi idő a Digital Omnibus egyik kompromisszuma, a Gibson Dunn összefoglalója szerint négy hónapnyi haladékot jelent a már forgalomban lévő rendszereknek. A cél az, hogy a platformok és a tényellenőrzők gépi úton is felismerhessék az AI-tartalmat. Kivételt a rendelet a pusztán segítő jellegű, szokásos szerkesztési funkcióknak ad, illetve azoknak a rendszereknek, amelyek a bemeneti adatot vagy annak jelentését érdemben nem változtatják meg. Egy helyesírás-javító vagy egy fotó fényerejét állító funkció így jellemzően nem esik a szabály alá.

A gyakorlati részleteket a mesterséges intelligenciával generált tartalmak átláthatóságáról szóló magatartási kódex tölti ki. Az Európai Bizottság oldala szerint az első tervezet 2025. december 17-én jelent meg, amelyet 2026. március 3-án követett a második, a végleges változatot pedig június 10-én tették közzé. A Bizottság és az AI Testület (AI Board) megfelelő, önkéntes eszköznek minősítette a kódexet a megfelelés igazolására, 2026. július végéig pedig körülbelül 190 cég és szervezet írta alá. A Faegre Drinker összefoglalója szerint a kódex rétegzett megközelítést vár: az aláírók főszabályként digitálisan aláírt metaadatot és láthatatlan vízjelet is alkalmaznak, a folyó szövegre és a zárt környezetekre egyszerűsített követelmények vonatkoznak. Ugyanezen összefoglaló szerint a kódexet aláíró cégeknek legkésőbb 2027. február 2-ig kell működő, egymással együttműködő vízjel-felismerő megoldást biztosítaniuk.

Egy magyar KKV számára mindebből leginkább az a fontos, hogy a vízjelezés elsősorban nem az ő feladata. Ha a céged a ChatGPT-vel, a Geminivel, a Claude-dal vagy egy képgenerátorral készít tartalmat, a jelölést a szolgáltatónak kell megoldania. A tartalomhitelesítésben terjedő C2PA-szabvány, amely kriptográfiailag aláírt metaadatként rögzíti a tartalom eredetét, pontosan ilyen megoldás: az Anthropic például 2026. szeptember 2-án ingyenes, böngészőben futó Content Checker eszközt indított, amely a Claude által készített fájlok C2PA-tanúsítványát ellenőrzi. A C2PA és a vízjelek működése külön cikket érdemel, itt elég annyit megjegyezni, hogy ezeket a jelöléseket ne távolítsd el szándékosan a fájlokból, mert azzal éppen a szabályozás célját üresítenéd ki.

Van azonban egy fontos kivétel, amely több KKV-t érinthet, mint gondolnád. Ha a céged maga kínál generatív funkciót az ügyfeleinek, például egy webshop AI-alapú „próbáld fel virtuálisan” szolgáltatást, egy lakberendező cég a látogatók fotóiból látványtervet generáló eszközt vagy egy nyomda AI-s pólómintatervezőt, akkor a céged ebben a funkcióban szolgáltatóként is megjelenhet. Ha a funkció még augusztus 2-a előtt indult, december 2-ig kell biztosítanod a gépileg olvasható jelölést, ha azóta, akkor már most. A gyakorlatban ez többnyire azt jelenti, hogy meg kell kérdezni a mögöttes AI-szolgáltatót (az API gazdáját), beágyaz-e C2PA-metaadatot vagy vízjelet a kimenetbe, illetve hogy a saját rendszered nem törli-e ezt ki útközben, például képtömörítésnél vagy átméretezésnél.

Ami eltolódott: magas kockázatú rendszerek 2027. december 2-ig és 2028. augusztus 2-ig

A Digital Omnibus a magas kockázatú AI-rendszerek kötelezettségeit halasztotta el: az önálló, a rendelet harmadik mellékletébe tartozó rendszerekre (például toborzás, hitelbírálat, oktatás) 2027. december 2-tól, a termékekbe épített, első melléklet szerinti rendszerekre (például orvostechnikai eszközök, gépek, járművek) 2028. augusztus 2-tól kell alkalmazni a szabályokat, ami halasztás és nem eltörlés.

Az eredeti menetrend szerint a harmadik mellékletbe tartozó rendszerekre már 2026. augusztus 2-tól, a termékekbe építettekre pedig 2027. augusztus 2-tól kellett volna alkalmazni a szigorú előírásokat. A halasztást az Európai Bizottság elsősorban azzal indokolta, hogy a megfelelést segítő harmonizált szabványok és támogató eszközök nem készültek el időben. Ugyanez a módosító csomag egy teljes évvel, 2027. augusztus 2-ig tolta ki a nemzeti szabályozói tesztkörnyezetek (sandboxok) felállításának határidejét is.

A harmadik melléklet listája első olvasásra távolinak tűnhet egy kis cégtől, pedig több pontja kifejezetten hétköznapi. Ide tartoznak a biometrikus rendszerek, a kritikus infrastruktúra, az oktatás és szakképzés (például felvételi döntés vagy vizsgaértékelés), a foglalkoztatás, a létfontosságú magán- és közszolgáltatásokhoz való hozzáférés (például hitelképesség-vizsgálat, élet- és egészségbiztosítási árazás), továbbá a bűnüldözés, a migráció és az igazságszolgáltatás. Egy KKV számára messze a foglalkoztatási pont a legfontosabb: magas kockázatúnak számít az az AI, amelyet álláshirdetések célzására, jelentkezők szűrésére és értékelésére, előléptetési vagy elbocsátási döntésekre, feladatkiosztásra, illetve a munkavállalók teljesítményének megfigyelésére és értékelésére használnak.

Tegyük fel, hogy egy 40 fős győri gépipari beszállító a HR-szoftverébe épített AI-modullal rangsorolja a beérkező önéletrajzokat. A módosított menetrend szerint 2027 decemberétől ez a cég egy magas kockázatú rendszer alkalmazója lesz, a rendelet 26. cikke szerint pedig ilyenkor több konkrét kötelezettség terheli. A rendszert a szolgáltató használati útmutatója szerint kell működtetni, az emberi felügyeletet pedig olyan kollégára kell bízni, akinek megvan hozzá a megfelelő hozzáértése és jogköre. Ha a bemeneti adatok felett a cég rendelkezik, azoknak relevánsnak kell lenniük, a rendszer által generált naplókat pedig legalább hat hónapig meg kell őrizni. Munkahelyi bevezetés előtt tájékoztatni kell a munkavállalói képviselőket és az érintett munkavállalókat, az AI támogatásával meghozott döntések alanyait pedig arról, hogy ilyen rendszer vesz részt a döntésben.

A termékekbe épített rendszereknél a Digital Omnibus nemcsak halasztott, hanem szűkített is. A Gibson Dunn összefoglalója szerint a gépekről szóló rendelet hatálya alá tartozó termékekbe épített AI nagyrészt kikerült az AI Act alól, a „biztonsági alkotóelem” fogalmából pedig kikerültek például a csak teljesítményoptimalizálást, kényelmi funkciót vagy minőség-ellenőrzést szolgáló rendszerek. Egy magyar gépgyártó KKV-nak ez komoly könnyítés, de a besorolás termékenként eltérhet, ezért itt érdemes szakértőt bevonni.

A halasztásból ugyanakkor nem az következik, hogy 2027 végéig hátradőlhetsz. A HR- és pénzügyi szoftvereket általában évekre választja ki az ember, így ha most írsz alá egy hároméves szerződést egy AI-alapú toborzórendszerre, érdemes már ma megkérdezni a szállítót, hogyan készül a 2027. decemberi megfelelésre, valamint ki viseli a költségét, ha a rendszert át kell alakítani. A szerződésbe tehát kerüljön be egy AI Act-megfelelési pont, mert egy ilyen kérdésre két év múlva már sokkal nehezebb jó választ kapni.

Mi kötelező már 2025 óta? Tiltott gyakorlatok és AI-jártasság

A tiltott gyakorlatok listája, amelyen például a manipulatív technikák, a társadalmi pontozás és a munkahelyi érzelemfelismerés szerepel, 2025 februárja óta érvényes, ugyanettől az időponttól pedig az AI-jártassági kötelezettség is él. Utóbbit a Digital Omnibus enyhítette: a cégnek támogatnia kell munkatársai AI-jártasságát, konkrét tudásszintet azonban nem kell garantálnia.

A tiltólista a rendelet legszigorúbb része, a megsértése a legmagasabb bírsággal jár. A teljes felsorolásból egy KKV szempontjából a következők érdemelnek figyelmet:

• Tilos az olyan manipulatív vagy tudatalatti technika, amely érdemben torzítja az emberek döntését és jelentős kárt okoz vagy okozhat nekik.
• Tilos kihasználni valakinek az életkorából, fogyatékosságából vagy szociális, gazdasági helyzetéből adódó kiszolgáltatottságát, például egy eladósodott ügyfélkör célzott, manipulatív megdolgozásával.
• Tilos a társadalmi pontozás, vagyis az emberek viselkedés vagy személyes jellemzők alapján történő értékelése, ha ez indokolatlan vagy aránytalan hátrányos bánásmódhoz vezet.
• Tilos az érzelemfelismerés a munkahelyen és az oktatásban, kivéve ha orvosi vagy biztonsági okból történik.
• Tilos a biometrikus kategorizálás, amely az arcképből vagy más biometrikus adatból például faji származásra, politikai véleményre, szakszervezeti tagságra, vallásra vagy szexuális irányultságra következtet.
• Tilos az arcképek célzatlan gyűjtése az internetről vagy térfigyelő kamerák felvételeiből arcfelismerő adatbázis építéséhez.

A listán szereplő tilalmak egy része (például a bűnüldözési célú valós idejű távoli biometrikus azonosítás) kívül esik egy átlagos cég mozgásterén, a munkahelyi érzelemfelismerés viszont nagyon is valós kockázat. Egyes ügyfélszolgálati és teljesítménymérő szoftverek hirdetik, hogy a munkatársak hangjából vagy arckifejezéséből mérik a stresszt, az elkötelezettséget vagy a hangulatot. Ha ilyen funkció van valamelyik rendszeretekben, orvosi vagy biztonsági indok hiányában ki kell kapcsolni. A Digital Omnibus ráadásul új tilalmat is hozott: a Gibson Dunn összefoglalója szerint tilos lesz az olyan AI-rendszer, amely nem konszenzuális intim képeket vagy gyermekekről szexuális visszaélést ábrázoló anyagot generál, ennek átmeneti ideje ugyanúgy december 2-án jár le, mint a vízjelezési türelmi idő. Ez elsősorban a képgenerátorok fejlesztőit érinti, de a felhasználóknak képgeneráló funkciót kínáló cégeknek is érdemes átnézniük a szűrést.

Az AI-jártasság (AI literacy) a rendelet fogalommeghatározása szerint azt a tudást és készséget jelenti, amellyel a munkatársak megalapozottan használják az AI-rendszereket, miközben tisztában vannak a lehetőségeikkel és a kockázataikkal. Az eredeti szöveg szerint a cégeknek a lehetőségeikhez mérten biztosítaniuk kellett, hogy a személyzetük megfelelő szintű AI-jártassággal rendelkezzen. A Cuatrecasas elemzése szerint a Digital Omnibus után a kötelezettség megmaradt, de már csak a jártasságot támogató intézkedéseket vár el, konkrét szintet nem.

Egy 15 fős cégnél ez a gyakorlatban nem jelent drága tanfolyamot. Elég lehet egy egyórás belső képzés arról, milyen AI-eszközöket használhattok, milyen adatot szabad beléjük írni és melyiket nem, hogyan kell ellenőrizni a kimenetet, valamint ki a felelős, ha valami félremegy. Ehhez tartozik egy egy- vagy kétoldalas belső AI-szabályzat, továbbá egy egyszerű nyilvántartás arról, ki mikor vett részt a képzésen. Utóbbi azért hasznos, mert egy esetleges hatósági kérdésnél így dokumentálni tudod, hogy a cég megtette a tőle elvárható lépéseket.

Mekkora a bírság és ki ellenőriz Magyarországon?

Az EU AI Act szerint a tiltott gyakorlatokért legfeljebb 35 millió euró vagy a világszintű éves árbevétel 7%-a, az átláthatósági és a legtöbb egyéb kötelezettség megsértéséért legfeljebb 15 millió euró vagy 3% szabható ki, de KKV-knál mindig a kettő közül az alacsonyabb összeg a plafon. Magyarországon a piacfelügyeletet a Tudományos és Technológiai Minisztérium kijelölt főosztálya végzi.

A rendelet bírságokról szóló cikke három sávot határoz meg. A legmagasabb a tiltott gyakorlatokra vonatkozik, a középső a szolgáltatók, az alkalmazók és más szereplők kötelezettségeire (ide tartozik az 50. cikk is), a legalacsonyabb pedig arra az esetre, ha valaki téves, hiányos vagy félrevezető tájékoztatást ad a hatóságnak. Nagyvállalatoknál a két érték közül a magasabb a felső határ, a KKV-knál és az induló vállalkozásoknál viszont a rendelet kifejezett könnyítése szerint mindig az alacsonyabb érték a mérvadó. A Digital Omnibus ezt az arányos bírságolást a KKV-knál valamivel nagyobb, úgynevezett small mid-cap cégekre is kiterjesztette.

A forintos értékeknél a szeptember 21-i, körülbelül 364 forintos euróárfolyammal számoltunk. A példában egy képzeletbeli, 30 fős magyar cég szerepel, amelynek előző évi árbevétele 600 millió forint volt. Ez szemléltető számítás, nem a várható bírság becslése.

A táblázatból két, első ránézésre ellentmondó tanulság is kiolvasható: a sajtóban felröppenő milliárdos összegek egy magyar KKV-ra a gyakorlatban nem vonatkoznak, a 18 millió forintos plafon viszont egy 600 milliós árbevételű cégnek is fájdalmas lenne egy néhány perces szövegmódosítással orvosolható hiba miatt. Ezek ráadásul felső határok, nem tarifák: a rendelet szerint a hatóságnak mérlegelnie kell a jogsértés jellegét, súlyát és időtartamát, az érintettek számát, a cég méretét, az együttműködést és azt is, hogy szándékos vagy gondatlan volt-e a mulasztás.

A magyar végrehajtás kereteit az Országgyűlés által elfogadott 2025. évi LXXV. törvény adja, a részletszabályokat pedig a 344/2025. számú kormányrendelet tartalmazza, amelyet 2025 októberének utolsó napján hirdettek ki. A kormányzati eGov Hírlevél augusztus 9-i összefoglalója szerint a piacfelügyeleti feladatokat a Tudományos és Technológiai Minisztérium Mesterséges Intelligencia Piacfelügyeleti Hatósági Főosztálya látja el. A főosztály a mihivatal.gov.hu oldalon érhető el, a hírlevél pedig külön bejelentési e-mail-címet is közöl, így egy elégedetlen ügyfél vagy egy versenytárs könnyen jelezheti, ha szerinte egy chatbot elhallgatja a gépi mivoltát.

A Digital Omnibus egy fontos munkamegosztást is rögzített: a Gibson Dunn összefoglalója szerint az Európai Bizottság AI Hivatala (AI Office) kizárólagos hatáskört kapott azoknál az AI-rendszereknél, amelyeket ugyanaz a cég fejlesztett, mint a mögöttük álló általános célú modellt, illetve azoknál, amelyek a nagyon nagy online platformokba vannak építve. Leegyszerűsítve: hogy maga a ChatGPT vagy a Gemini megfelel-e az AI Actnek, az Brüsszel és a gyártó ügye, a te felelősséged a saját weboldaladon, a saját marketingedben és a saját folyamataidban kezdődik. A személyes adatokkal kapcsolatos kérdésekben pedig továbbra is a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) az illetékes.

Hogyan viszonyul az EU AI Act a GDPR-hoz?

Az EU AI Act nem váltja ki a GDPR-t, hanem mellé lép: ha egy AI-rendszer személyes adatot kezel, például ügyfélnevet, e-mail-címet, foglalási adatot vagy önéletrajzot, a GDPR minden szabálya változatlanul érvényes, amelynek betartását Magyarországon a NAIH felügyeli. A két rendeletnek tehát egyszerre, párhuzamosan kell megfelelni.

Egy nevet, telefonszámot és érkezési dátumot kérő foglalási chatbot személyes adatot kezel, ezért az adatkezelési tájékoztatóban szerepelnie kell az adatkezelés céljának, a jogalapnak és annak is, hogy a feldolgozásban egy AI-szolgáltató (adatfeldolgozó) vesz részt. Az AI-szolgáltatóval emellett adatfeldolgozói szerződést (DPA) is kell kötni. Ha az adatok az Európai Gazdasági Térségen kívülre kerülnek, a továbbítás jogalapját is rendezni kell. A nagy szolgáltatók üzleti előfizetéseinél ezek a dokumentumok jellemzően elérhetők, az ingyenes fogyasztói csomagoknál viszont sokszor nem.

Az ingyenes és az üzleti csomag közti különbség nem elméleti kérdés: a 2026 szeptemberi hírek szerint például a Mistral Vibe ingyenes szintjén a felhasználói promptokat alapértelmezetten a modellek tanítására használják (ez kikapcsolható), a vállalati és az API-hozzáférés viszont kivétel. Ha tehát egy kolléga a saját ingyenes fiókjába másolja be egy ügyfél szerződését, abból egyszerre lesz GDPR-probléma és az üzleti titok kiszivárgásának kockázata, függetlenül attól, hogy az AI Act mit mond. Ezért kell a belső AI-szabályzatnak kimondania, melyik eszközt és melyik előfizetést lehet céges adatokkal használni.

A két szabályrendszer a HR-területen fonódik össze a legszorosabban. A kizárólag automatizált, joghatással vagy hasonlóan jelentős hatással járó döntéseket a GDPR 22. cikke már most korlátozza, így egy olyan toborzási folyamat, amelyben az AI emberi mérlegelés nélkül szórja ki a jelentkezőket, a 2027. decemberi AI Act-határidőtől függetlenül is aggályos lehet, nagy kockázatú adatkezelésnél pedig adatvédelmi hatásvizsgálatra is szükség lehet. A jó hír, hogy a két rendelet sok ponton ugyanabba az irányba mutat, így az AI-leltár és a GDPR-nyilvántartás egy menetben is elkészíthető.

Hogyan készülj fel lépésről lépésre?

Egy 5 és 50 fő közötti cég néhány munkanap alatt rendbe teheti az EU AI Act mostani kötelezettségeit: el kell készíteni az AI-leltárt, meg kell határozni a szerepeket és a kockázati szinteket, jelezni kell az ügyfélkapcsolati AI-t, szabályozni kell a marketingtartalmakat, végül AI-szabályzatot és képzést kell bevezetni. Saját becslésünk szerint egy 15 fős cégnél ez nagyjából két-három nap belső munka.

• Készíts AI-leltárt. Írd össze egy táblázatba, milyen AI-eszközt ki és mire használ a cégben. Ne feledkezz meg a más szoftverekbe épített AI-funkciókról sem, a CRM-ed, a könyvelőprogramod, a leveleződ vagy a grafikai eszközöd is tartalmazhat ilyet.
• Határozd meg a szerepedet eszközönként. Minden sornál jelöld, hogy a cég alkalmazó vagy szolgáltató, különösen a saját márkás chatbotoknál és az ügyfeleknek kínált generatív funkcióknál.
• Sorold be a kockázati szinteket. Nézd végig, van-e bármi a tiltólistán (például munkahelyi érzelemfelismerés), van-e HR-, hitelezési vagy oktatási célú AI, amely 2027 decemberétől magas kockázatú lesz, végül azt is, melyik eszköz érinti az átláthatósági szabályokat.
• Javítsd ki az ügyfélkapcsolati pontokat. Ez a legsürgősebb lépés, mert 2026. augusztus 2-a óta kötelező: a chatbot, a Messenger-bot, a telefonos AI és az önállóan levelező AI-ügynök már az első üzenetben jelezze, hogy mesterséges intelligencia, lehetőleg emberi elérhetőséggel együtt.
• Írj marketing-címkézési szabályt. Rögzítsd egy rövid belső útmutatóban, mikor kell „AI-val készült” jelölés egy képre, videóra vagy hangra, milyen formában, illetve ki a felelős szerkesztő azoknál a szövegeknél, amelyeket AI készít elő.
• Kérdezd meg a szállítóidat. Minden fontosabb AI-szállítótól kérdezd meg, hogyan jelölik a generált tartalmat, hol kezelik az adataidat és tanítanak-e rajtuk, a HR- és pénzügyi eszközöknél pedig azt is, hogyan készülnek a 2027. decemberi szabályokra.
• Vezess be AI-szabályzatot és képzést. Egy-két oldalas szabályzat és egy egyórás belső képzés már teljesítheti az AI-jártasság támogatására vonatkozó elvárást, ha dokumentálod, ki és mikor vett részt rajta.
• Jelölj ki felelőst és tarts negyedéves felülvizsgálatot. Az AI-eszközök gyorsan cserélődnek, ezért a leltár csak akkor ér valamit, ha valaki negyedévente frissíti, új eszköz bevezetése előtt pedig végigmegy ezen a listán.

Ellenőrzőlista 5–50 fős cégeknek

Az alábbi lista a cikk egészét sűríti egy kinyomtatható formába. A „Mióta vagy meddig” oszlop mutatja, melyik tétel már most kötelező és melyiknél van még idő, a pipát pedig érdemes a felelős kolléga nevével együtt kitölteni.

Ha a lista első négy sora rendben van és nincs ügyfélkapcsolati AI-d, a céged a mostani kötelezettségek nagyobb részét teljesíti. Ha van chatbotod vagy AI-val készült képeket publikálsz, a középső blokk a legsürgősebb, mert ezek a szabályok már hetek óta élnek.

Miben segít a Convergo?

A Convergo abban segít, hogy az EU AI Act kötelezettségei ne jogi szövegként, hanem elvégzett feladatként jelenjenek meg a cégedben. Az AI-felmérés, stratégia és oktatás keretében közösen elkészítjük az AI-leltárt és tisztázzuk az eszközönkénti szerepeket, képzés és tanácsadás formájában pedig a munkatársak AI-jártasságát is támogatjuk. Ha tudásbázis-alapú chatbotot építünk neked, az AI-jelleg jelzése és az emberi átkapcsolás már az első verzióban benne van, a meglévő rendszereidnél pedig IT audit keretében nézzük át, hol kezel AI személyes adatot és hol hiányzik a jelölés. A jogi értelmezést nem helyettesítjük, de szívesen dolgozunk együtt a céged jogászával. Az első lépés egy ingyenes egyeztetés, ahol átnézzük, hol tart ma a céged.