AI Act: mit ír elő, és mely kötelezettségek érvényesek már a vállalatokra
A tilalmak, a jártasság és az átláthatóság már hatályban van, a Digital Omnibus pedig elhalasztotta a magas kockázatú rendszerekre vonatkozó kötelezettségeket. Mit kell ma tennie egy AI-t használó vállalatnak, az olasz törvényt is figyelembe véve.
Az AI Act, vagyis az (EU) 2024/1689 rendelet kockázat alapján sorolja be a mesterséges intelligencia rendszereket, és nemcsak a fejlesztőket érinti, hanem azokat a vállalatokat is, amelyek használják őket. 2026 októberében már alkalmazandók a tilalmak, az AI-jártassági intézkedések és az átláthatósági kötelezettségek. A magas kockázatú rendszerek határidőit viszont a Digital Omnibus 2027. december 2-ra és 2028. augusztus 2-ra tolta ki.
Mit ír elő röviden az AI Act
Az AI Act európai rendelet, ezért átültetés nélkül, közvetlenül alkalmazandó minden tagállamban. Nem magát a technológiát szabályozza, hanem a felhasználási módokat: minél jobban befolyásolhat egy rendszer egészséget, biztonságot és személyiségi jogokat, annál több kötelezettséggel jár. Ez ugyanaz a kockázatalapú megközelítés, amelyet a vállalatok a kockázatkezelésből ismernek.
Négy szint van, továbbá külön szabályozás vonatkozik a nagy, általános célú modellekre:
- Elfogadhatatlan kockázat: tiltott gyakorlatok, például az emberek sebezhetőségét kihasználó manipuláció, a társadalmi pontozás vagy az érzelemfelismerés a munkahelyen (kivéve orvosi vagy biztonsági okokból).
- Magas kockázat: érzékeny területeken használt rendszerek, például munkaerő-kiválasztás, hitelképesség-értékelés, oktatás, kritikus infrastruktúrák, vagy szabályozott termékekbe, például gépekbe és orvostechnikai eszközökbe épített rendszerek.
- Átláthatósági kockázat: chatbotok, generált vagy manipulált tartalmak (deepfake), emberekkel interakcióba lépő rendszerek.
- Minimális kockázat: a vállalati felhasználások túlnyomó része, például spamszűrők, fordítás, adatkinyerés dokumentumokból. A jártasságon túl nincs külön kötelezettség.
- Általános célú AI-modellek (a generatív asszisztensek alapjául szolgáló modellek): a kötelezettségek a fejlesztőket és a forgalomba hozókat terhelik, nem a felhasználókat.
Kire vonatkozik: szolgáltató vagy alkalmazó
A rendelet megkülönbözteti a szerepeket. A szolgáltató AI-rendszert fejleszt vagy fejlesztet, és saját nevén hozza forgalomba. Az alkalmazó (deployer) az, aki egy AI-rendszert saját felelősségére használ szakmai tevékenysége keretében. Emellett vannak importőrök és forgalmazók is.
Az a kkv, amely generatív asszisztenst, önéletrajz-szűrő funkciós HR-szoftvert vagy előrejelző modulokkal rendelkező vállalatirányítási rendszert használ, szinte mindig alkalmazó. Vigyázz azonban: ha a saját márkádat teszed egy magas kockázatú rendszerre, vagy lényegesen módosítod, te magad is szolgáltatóvá válhatsz, sokkal súlyosabb kötelezettségekkel. Az AI Act az EU-n kívüli szolgáltatókra is vonatkozik, ha a rendszer eredményeit Európában használják.
Az ütemterv 2026 októberi állapot szerint
Az AI Act 2024. augusztus 1-jén lépett hatályba, és fokozatosan válik alkalmazandóvá. Ezek a fontos dátumok a 2026-os módosítások után:
| Dátum | Mi válik alkalmazandóvá | Állapot 2026 októberében |
|---|---|---|
| 2025. február 2. | Az elfogadhatatlan kockázatú gyakorlatok tilalma és AI-jártasság | Hatályban |
| 2025. augusztus 2. | Az általános célú modellekre vonatkozó kötelezettségek, irányítás, szankciók | Hatályban |
| 2026. július 27. | A Digital Omnibus módosításai, köztük a jártasságról szóló új szöveg | Hatályban |
| 2026. augusztus 2. | Általános alkalmazás, beleértve az átláthatósági kötelezettségeket | Hatályban |
| 2026. december 2. | Új tilalom a beleegyezés nélküli intim deepfake-ekre; a generált tartalmak jelölése a már forgalomban lévő rendszereknél | Küszöbön áll |
| 2027. december 2. | A III. melléklet szerinti magas kockázatú rendszerekre vonatkozó kötelezettségek (munka, hitel, oktatás, biometria) | Elhalasztva |
| 2028. augusztus 2. | A szabályozott termékekbe épített magas kockázatú AI-ra vonatkozó kötelezettségek (I. melléklet) | Elhalasztva |
Mit változtatott a Digital Omnibus
A Bizottság által 2025 novemberében javasolt egyszerűsítési csomagból az (EU) 2026/1744 rendelet lett, amely 2026. július 24-én jelent meg az EU Hivatalos Lapjában, és július 27-én lépett hatályba, néhány nappal a magas kockázatú rendszerekre vonatkozó eredeti, 2026. augusztus 2-i határidő előtt.
A fő változások:
- A magas kockázat halasztása: 2027. december 2. a III. melléklet szerinti rendszereknél, 2028. augusztus 2. a termékekbe épített rendszereknél. Ez halasztás, nem eltörlés: a követelmények és kötelezettségek változatlanok.
- Újrahangolt jártasság: a szolgáltatóknak és alkalmazóknak már nem kell „biztosítaniuk” a megfelelő szintű ismereteket, hanem intézkedéseket kell hozniuk azok fejlesztésére a munkatársak körében. A Bizottságnak és a tagállamoknak támogatniuk kell a vállalatokat, különösen a kkv-kat.
- Új tilalom 2026. december 2-től azokra a rendszerekre, amelyek felismerhető személyekről beleegyezésük nélkül intim vagy szexuálisan explicit képeket állítanak elő.
- Egyszerűsítések a dokumentációban és a minőségirányítási rendszerben a kkv-k és a kis közepes piaci kapitalizációjú vállalatok (small mid-cap) számára.
Az átláthatósági kötelezettségeket nem halasztották el: 2026. augusztus 2-től alkalmazandók. Kivételt képez a generált tartalmak géppel olvasható jelölése, amely az e dátum előtt forgalomba hozott rendszereknél 2026. december 2-ra csúszik.
A már ma érvényes kötelezettségek
Tiltott gyakorlatok
Ellenőrizd, hogy egyik használt eszköz sem tartozik a tiltott gyakorlatok közé. A vállalatokhoz legközelebb eső eset a munkavállalók érzelmeinek felismerése, például ügyfélszolgálati központokban vagy állásinterjúkon: ez tilos, kivéve orvosi vagy biztonsági okokból.
AI-jártasság
Aki AI-rendszereket használ, annak intézkedéseket kell hoznia, hogy a rendszereket kezelő munkatársak megfelelő ismereteket szerezzenek, szerepükhöz és a körülményekhez igazodva. Nincs szükség tanúsítványra vagy minimális óraszámra: elég a célzott képzés, a világos használati útmutató és annak nyoma, hogy mit tettél.
Átláthatóság
2026. augusztus 2-től, ha a weboldaladon egy chatbot válaszol az ügyfeleknek, az embereknek tudniuk kell, hogy géppel beszélnek. Ha AI-val generált vagy manipulált valósághű képeket, hanganyagot vagy videót teszel közzé, ezt jelezned kell. Ugyanez vonatkozik a közérdekű kérdésekről a nyilvánosság tájékoztatására közzétett generált szövegekre is, kivéve, ha azokat szerkesztői felelősséggel emberi ellenőrzés alá vetik.
A 99. cikk szerinti bírságok a tiltott gyakorlatok esetén elérhetik a 35 millió eurót vagy a világszintű árbevétel 7%-át, a többi kötelezettség esetén a 15 millió eurót vagy a 3%-ot. A kkv-kra a kettő közül az alacsonyabb összeg vonatkozik.
Az olasz AI-törvény (132/2025. sz. törvény)
Olaszország az AI Act mellé nemzeti kerettörvényt is elfogadott: a 2025. szeptember 23-i 132. sz. törvényt, amely 2025. október 10. óta hatályos. Nem ismétli meg az európai rendeletet, hanem egyes területeken elveket és szabályokat tesz hozzá. A vállalatok számára főleg ezek a pontok fontosak:
- Munka (11. cikk): a munkáltatónak tájékoztatnia kell a munkavállalókat az AI használatáról, az automatizált döntéshozatali vagy megfigyelő rendszerekre már előírt esetekben és módon.
- Szellemi szabadfoglalkozások (13. cikk): az AI csak eszköz jellegű és támogató tevékenységet végezhet, a szakembernek pedig világosan és egyszerűen közölnie kell az ügyféllel, milyen rendszereket használ.
- Hatóságok (20. cikk): az AgID és az ACN a nemzeti AI-hatóság, míg a Banca d’Italia, a CONSOB és az IVASS a saját ágazatában gyakorol felügyeletet.
- Kiskorúak (4. cikk): 14 éves kor alatt az AI-rendszerekhez való hozzáféréshez a szülői felügyeletet gyakorló személy hozzájárulása szükséges.
- Bűncselekmények (26. cikk): új minősítő körülmény az AI-val elkövetett bűncselekményekre, és új bűncselekmény a generált vagy módosított tartalmak (deepfake) jogellenes terjesztésére.
A törvény felhatalmazza a kormányt, hogy tizenkét hónapon belül fogadja el a jogrendnek az AI Acthez igazításáról szóló rendeleteket, különösen a felügyeleti jogkörök és a szankciók tekintetében. A Minisztertanács 2026-ban dolgozott ezeken: mielőtt belső eljárásokat alakítasz ki, ellenőrizd az olasz Hivatalos Lapban (Gazzetta Ufficiale), mely rendeletek jelentek meg és mikortól alkalmazandók.
Mi a teendő a vállalatnál: gyakorlati ellenőrzőlista
- Készíts leltárt a használt AI-eszközökről, beleértve a már használt szoftverekbe épített eszközöket is (CRM, HR, könyvelés, ügyfélszolgálat).
- Sorold be az egyes felhasználásokat kockázati szint szerint, és tisztázd a szerepedet: alkalmazó vagy szolgáltató.
- Írj belső szabályzatot arról, mely eszközök használhatók, milyen adatokkal és milyen emberi felügyelettel.
- Szervezz képzést szerepkörönként, és őrizd meg az elvégzett tevékenységek nyomát.
- Tájékoztasd a munkavállalókat, ha az AI befolyásolja a kiválasztást, az irányítást vagy a megfigyelést, ahogy az olasz törvény előírja.
- Ellenőrizd az átláthatóságot a chatbotoknál és a külső közönségnek közzétett generált tartalmaknál.
- Kérj a szállítóktól dokumentációt, használati útmutatót és szerződéses vállalásokat, különösen ha a rendszerek 2027-től a magas kockázatú kategóriába eshetnek.
Ugyanez érvényes azokra a szoftverekre is, amelyek AI-val olvasnak dokumentumokat és készítenek elő fenntarthatósági adatokat, mint az Envify: ezek alacsony hatású felhasználások, de érdemes tudni, milyen adatokat dolgoznak fel, és ki ellenőrzi az eredményeket. Az AI-irányítás az ügyfelek és bankok ESG-kérdőíveibe is bekerül (erről a bankok ESG-kérdőíveiről szóló cikkben írunk), és az ESG-adatok jó kezelése ugyanazokból az elvekből indul ki: tudni kell, honnan származnak az információk, és ki ellenőrzi őket. Az AI jelentéstételi felhasználásáról az AI és fenntarthatósági jelentéstétel című cikket is elolvashatod.
A legtöbb vállalat számára, amely használja, de nem fejleszti az AI-t, három kötelezettség van már hatályban: kerülni a tiltott gyakorlatokat, képezni az AI-t használó munkatársakat, és biztosítani az átláthatóságot az ügyfelek és a nyilvánosság felé. A magas kockázatú rendszerekre vonatkozó szabályokat 2027-re és 2028-ra halasztották, de az eszközök leltárát és besorolását érdemes már most elkészíteni.
