Érint-e engem az EU AI Act, és mi változott 2026 nyarán?
Ha a céged bármilyen MI-rendszert használ vagy kínál az Unióban, a rendelet érint. A legtöbb magyar cégvezető viszont rossz dátumot ismer: a magas kockázatú rendszerekre vonatkozó 2026. augusztus 2-i határidő 2027. december 2-re csúszott. Augusztus 2-án valójában az Art. 50 átláthatósági kötelezettségek léptek életbe.
A halasztást az (EU) 2026/1744 rendelet hozta, amit a sajtó Digital Omnibus on AI néven emleget. A javaslat 2025 novemberében született, a trilógus 2026. május 7-én zárult, az Európai Parlament június 16-án, a Tanács június 29-én fogadta el, a kihirdetés július 24-én történt, a hatálybalépés pedig 2026. július 27. Hat nappal az eredeti határidő előtt.
2026-08-02
Art. 50 átláthatóság, már alkalmazandó
2027-12-02
Annex III magas kockázatú rendszerek, új dátum
2028-08-02
Annex I termékbe ágyazott rendszerek
A halasztás nem ajándék, hanem levegővétel. Tizenhat hónap egy Annex III alá eső rendszer kockázatkezelési rendszeréhez, adatkormányzásához és műszaki dokumentációjához nem sok, főleg úgy, hogy a legtöbb cég az eredeti határidő előtt sem kezdte el a leltárt. Aki most a „majd 2027-ben” logikára áll rá, ugyanoda fog érkezni, csak másfél évvel később.
Mikor mi lép életbe? Az idővonal az omnibus előtt és után
Az omnibus három dolgot mozdított: a magas kockázatú rendszerek megfelelési csomagját, a szabályozói tesztkörnyezetek felállítási határidejét, és az Annex I szerinti, termékbe ágyazott rendszereket. A tiltásokhoz, a GPAI-szabályokhoz és a szankciórendszerhez nem nyúlt. Az alábbi táblázat a két dátumot egymás mellett mutatja.
| Kötelezettségi kör | Eredeti dátum | Omnibus utáni dátum | Státusz 2026 augusztusában |
|---|---|---|---|
| Art. 5 tiltott gyakorlatok | 2025-02-02 | változatlan | alkalmazandó |
| Art. 4 MI-jártasság | 2025-02-02 | változatlan dátum, enyhített szöveg | alkalmazandó |
| GPAI-modellek (Art. 53–55), irányítás, Art. 99 szankciók | 2025-08-02 | változatlan | alkalmazandó |
| Art. 50 átláthatósági kötelezettségek | 2026-08-02 | változatlan | alkalmazandó |
| Art. 50(2) jelölés a korábban piacon lévő rendszereken | nem volt külön dátum | 2026-12-02 | türelmi idő fut |
| Új Art. 5 tilalom: NCII és CSAM generálása | nem létezett | 2026-12-02 | átmeneti idő fut |
| Szabályozói tesztkörnyezetek (Art. 57) tagállami felállítása | 2026-08-02 | 2027-08-02 | elhalasztva |
| 2025-08-02 előtt piacon lévő GPAI-modellek megfelelése | 2027-08-02 | változatlan | előttünk |
| Annex III önálló magas kockázatú rendszerek (Art. 8–27) | 2026-08-02 | 2027-12-02 | elhalasztva, 16 hónap |
| Annex I termékbe ágyazott magas kockázatú rendszerek | 2027-08-02 | 2028-08-02 | elhalasztva, 12 hónap |
Érdemes pontosan látni, mi került át a jövőbe és mi maradt itt. A III. fejezet 1–3. szakasza ment 2027. december 2-re, és ebben benne van az Art. 27 szerinti alapjogi hatásvizsgálat is, mert az Art. 26 és 27 a 3. szakaszban ül.
| Ma alkalmazandó | 2027-12-02-re halasztva |
|---|---|
| Art. 5 tiltott gyakorlatok és az Art. 99 szankciók | Art. 8–15: kockázatkezelés, adatkormányzás, műszaki dokumentáció, naplózás, átláthatóság, emberi felügyelet, pontosság |
| Art. 50 átláthatóság: chatbot-jelzés, szintetikus tartalom jelölése, deepfake-címkézés | Art. 16–25: szolgáltatói, importőri, forgalmazói kötelezettségek, Art. 17 minőségirányítás, Art. 43 megfelelőségértékelés, Art. 47 nyilatkozat, Art. 48 CE-jelölés, Art. 49 regisztráció |
| GPAI: Art. 53–55, és a Bizottság végrehajtási jogosítványai 2026-08-02 óta | Art. 26 alkalmazói kötelezettségek és Art. 27 FRIA |
Szolgáltató vagy alkalmazó vagy? Ez dönti el a kötelezettségeidet
A rendelet szinte minden kötelezettséget szerephez köt, nem cégmérethez. Szolgáltató (provider) az Art. 3(3) szerint az, aki MI-rendszert fejleszt vagy fejlesztet, és azt a saját neve vagy védjegye alatt hozza forgalomba. Alkalmazó (deployer) az Art. 3(4) szerint az, aki más rendszerét használja a saját felelősségi körében. A határ tehát nem a kódolásnál, hanem a névnél húzódik.
| Amit a cégedben csinálsz | A szereped | Mi vonatkozik rád most |
|---|---|---|
| ChatGPT-t vagy Claude-ot használtok belső levelezésre, jegyzetelésre, kódolásra | Alkalmazó. A szolgáltató az OpenAI vagy az Anthropic. | Art. 4 MI-jártasság támogatása, GDPR külön. Magas kockázatú kötelezettség nincs. |
| Vettél egy magyar fejlesztőtől chatbotot, és a saját weboldaladon, a saját neved alatt fut | Nagy eséllyel te vagy a szolgáltató az Art. 3(3) szerint, a fejlesztő beszállító. | Art. 50(1) chatbot-jelzés 2026-08-02 óta. Generatív kimenetnél Art. 50(2) gépi olvasható jelölés. |
| Saját MI-terméket fejlesztesz és a saját védjegyed alatt értékesíted | Szolgáltató, minden esetben. | Art. 50 most. Ha a rendeltetés Annex III alá esik, a teljes III. fejezet 2027-12-02-től. |
| Integrátorként más modelljét építed be az ügyfeled rendszerébe | Attól függ, kinek a neve alatt kerül üzembe. Általában az ügyfél a szolgáltató, te beszállító. | Szerződésben rendezd a szerepet és a dokumentációs kötelezettséget. Az Art. 25 átbillentheti. |
| Általános célú modellt használtok önéletrajz-szűrésre vagy előléptetési javaslatra | Alkalmazó egy Annex III 4. pont alá eső felhasználásban, és az Art. 25(1)(c) alapján szolgáltatóvá is válhatsz. | Art. 26 kötelezettségek 2027-12-02-től. A besorolást és a döntést viszont most kell meghozni. |
Az Art. 25 három esetben tolja át az alkalmazót szolgáltatói szerepbe. Ha a saját nevét vagy védjegyét teszi rá egy már forgalomban lévő magas kockázatú rendszerre. Ha lényeges módosítást hajt végre rajta, és az magas kockázatú marad. Ha pedig egy nem magas kockázatúként besorolt rendszer, akár egy általános célú modell rendeltetését úgy változtatja meg, hogy az magas kockázatúvá válik. Ilyenkor az eredeti szolgáltató mentesül, de köteles együttműködni és műszaki hozzáférést adni.
A magyar fejlesztési szerződésekben ez a pont ma jellemzően szabályozatlan. A tapasztalatunk az, hogy a megrendelő abban a hitben van, hogy a megfelelés a fejlesztőé, a fejlesztő pedig abban, hogy a megrendelőé. Egy bekezdés a szerződésben olcsóbb, mint egy utólagos vita a piacfelügyeleti eljárás közepén.
1. lépés: hogyan készíts MI-rendszerleltárt?
A leltár az egyetlen munkatermék, amit szerepétől és kockázati kategóriától függetlenül minden cégnek érdemes elkészítenie. Egy táblázat, amiben minden MI-t tartalmazó eszköz szerepel, a beépített asszisztensekkel együtt. Enélkül a besorolás vakon történik, és az első hatósági kérdésnél nincs mit letenni az asztalra.
A keresést ne az IT-nál kezdd, hanem a pénzügynél. A kártyakivonaton és a SaaS-számlákon látszik a legtöbb olyan eszköz, amiről az IT-vezető nem tud: fordítóbővítmények, jegyzetelő asszisztensek, önéletrajz-rangsoroló modulok az ATS-ben, a CRM-be épített lead-pontozás, a support-szoftver hangulatelemzése. Ezek mind MI-rendszerek a rendelet fogalmai szerint.
| Rendszer | Hol használjuk | Szerep | Modell és szállító | Kezelt adatkör | Születik-e döntés emberi jóváhagyás nélkül? | Besorolás |
|---|---|---|---|---|---|---|
| Ügyfélszolgálati chatbot a weboldalon | Marketing, ügyfélszolgálat | Szolgáltató | GPT API, OpenAI | Név, e-mail, rendelésszám | Nem, élő kollégához eszkalál | Art. 50(1) átláthatósági kötelezettség |
| Önéletrajz-előszűrő az ATS-ben | HR, toborzás | Alkalmazó, esetleg szolgáltató | A szállító beépített modellje | Pályázói önéletrajz, elérhetőség | Igen, rangsorol és kiszűr | Annex III 4. pont, magas kockázatú |
| Számlaadat-kinyerés a könyvelésben | Pénzügy | Alkalmazó | Dokumentumfeldolgozó felhőszolgáltatás | Számlaadatok, partneradatok | Nem, a könyvelő minden tételt jóváhagy | Minimális kockázat |
2. lépés: melyik kockázati kategóriába esik a rendszered?
Négy kategória létezik. Tiltott az Art. 5 szerint, magas kockázatú az Art. 6(1) és Annex I, illetve az Art. 6(2) és Annex III alapján, átláthatósági kockázatú az Art. 50 alapján, minden más pedig minimális kockázatú, ahol nincs külön kötelezettség. A besorolás rendszerenként és rendeltetésenként történik, nem cégszinten.
Az Annex III nyolc területet sorol fel: biometria, kritikus infrastruktúra, oktatás, foglalkoztatás és munkavállaló-menedzsment, alapvető szolgáltatásokhoz való hozzáférés (ide tartozik a hitelképesség-értékelés és az élet- vagy egészségbiztosítási kockázatértékelés), bűnüldözés, migráció és határellenőrzés, igazságszolgáltatás és demokratikus folyamatok. A magyar KKV-k döntő többsége csak a negyedik és az ötödik ponttal találkozik.
Az Art. 6(3) derogáció mentőöv: egy Annex III alá tartozó rendszer mégsem magas kockázatú, ha nem jelent jelentős kockázatot, és a négy feltétel egyike áll. Szűk eljárási feladatot lát el. Korábbi emberi tevékenység eredményét javítja. Döntési minták eltéréseit észleli anélkül, hogy az emberi értékelést helyettesítené. Vagy előkészítő feladatot végez. Profilalkotás esetén viszont a rendszer mindig magas kockázatú, kivétel nincs. A derogációt a szolgáltatónak dokumentálnia kell a piacra lépés előtt, és az Art. 49(2) szerint akkor is regisztrálnia kell, ha a végeredmény nem magas kockázatú. Az omnibus ezt a regisztrációt könnyítette, de nem törölte.
A besorolás lépésenkénti végigvezetését külön cikkben írtuk meg: döntési fa a magas kockázatú AI rendszerekhez. Ha a végeredmény magas kockázatú lett, az Annex III megfelelési csomag mutatja, milyen munkatermékek tartoznak hozzá.
3. lépés: mi kötelező ma, 2026 augusztusában?
Három dolog. Az Art. 5 tiltott gyakorlatok 2025. február 2. óta, az Art. 4 MI-jártasság ugyanattól a naptól, az Art. 50 átláthatósági kötelezettségek pedig 2026. augusztus 2. óta. Ez a három érvényes minden cégre, mérettől és kockázati besorolástól függetlenül. A szankciórendszer 2025. augusztus 2. óta alkalmazandó, tehát ezek ma bírságolható kötelezettségek.
Art. 5: amit egyáltalán nem szabad
A nyolc tiltott gyakorlatból kettő az, amivel egy átlagos magyar cég véletlenül összefuthat. Az egyik az érzelemfelismerés munkahelyen és oktatási intézményben, az 5(1)(f) pont alapján, orvosi és biztonsági célon kívül. Ide tartozik a call-center hívásainak hangulatelemzése is, ha az a munkavállalóra irányul. A másik a biometrikus kategorizálás az 5(1)(g) szerint, ha védett tulajdonságra következtet. Emellett tilos a manipulatív technika, a sérülékenység kihasználása, a társadalmi pontozás, a kizárólag profilalkotáson alapuló bűnelkövetési előrejelzés és az arcképadatbázis célzatlan építése.
Az omnibus egy új tilalmat is behozott: a nem konszenzusos intim képek és a gyermekek szexuális bántalmazását ábrázoló anyag generálására vagy manipulálására szolgáló MI. Aki generatív rendszert üzemeltet, ennek a szűrését 2026. december 2-ig kell megoldania.
Art. 50: amit ki kell írni
Ez az a szabálycsomag, ami tizenkét napja él, és amit a legtöbb magyar weboldal ma nem teljesít. Négy bekezdése négy különböző helyzetet fed le.
| Helyzet | Mit ír elő | Jogalap | Mikortól |
|---|---|---|---|
| A felhasználó közvetlenül MI-rendszerrel kommunikál | Tájékoztatni kell, hogy MI-vel beszél, kivéve ha ez nyilvánvaló | Art. 50(1) | 2026-08-02 |
| A rendszer szintetikus szöveget, képet, hangot vagy videót állít elő | A kimenetet gépi olvasható formában jelölni kell mesterségesen előállítottként | Art. 50(2) | 2026-08-02, a korábban piacon lévő rendszereknél 2026-12-02 |
| Érzelemfelismerő vagy biometrikus kategorizáló rendszert üzemeltetsz | Az érintett személyeket tájékoztatni kell a rendszer működéséről | Art. 50(3) | 2026-08-02 |
| Deepfake, vagy közérdekű témában publikált MI-generált szöveg | Láthatóan közölni kell, hogy a tartalom mesterségesen előállított vagy manipulált | Art. 50(4) | 2026-08-02, türelmi idő nélkül |
A gyakorlati megvalósításhoz a Bizottság 2026. június 10-én véglegesítette a Code of Practice on Transparency of AI-Generated Content dokumentumot. Önkéntes, de a megfelelés vélelmét adja, és konkrét technikai megoldásokat nevesít a jelölésre.
Art. 4: MI-jártasság, immár puhábban
Az eredeti szöveg azt írta, hogy a szolgáltatóknak és alkalmazóknak biztosítaniuk kell a személyzet megfelelő szintű MI-jártasságát. Az omnibus ezt átfogalmazta: támogatniuk kell a MI-jártasság fejlesztését. Eredménykötelemből törekvési kötelem lett. Ez a gyakorlatban azt jelenti, hogy egy dokumentált belső képzés és egy használati szabályzat elég, nem kell vizsgáztatni a kollégákat.
Nem tanácsolom, hogy ezt letudott feladatnak vedd. Az Art. 4 az egyetlen olyan pont, ami minden cégre vonatkozik, és a hatóság számára a legolcsóbban ellenőrizhető. Egy háromoldalas MI-használati szabályzat, dátumozott képzési jelenléti ívvel, néhány óra munka.
4. lépés: mire kell felkészülni 2027. december 2-ig?
Ha a besorolás magas kockázatú lett, a III. fejezet teljes csomagja vonatkozik rád 2027. december 2-től, Annex I szerinti, termékbe ágyazott rendszernél 2028. augusztus 2-től. A csomag nem nyilatkozatokból, hanem működő folyamatokból és dokumentált bizonyítékokból áll. A szolgáltatói és az alkalmazói lista különbözik.
| Cikk | Mit kell felépíteni | Milyen munkatermék bizonyítja |
|---|---|---|
| Art. 9 | Folyamatos kockázatkezelési rendszer a teljes életciklusra | Kockázati nyilvántartás, mérséklési intézkedések, tesztjegyzőkönyvek |
| Art. 10 | Adatkormányzás a tanító, validációs és teszt adathalmazokra | Adateredet-leírás, reprezentativitási és torzításvizsgálat |
| Art. 11 és Annex IV | Műszaki dokumentáció, piacra lépés előtt kész, utána naprakészen tartva | Annex IV szerinti fejezetstruktúra, verziózva |
| Art. 12 | Automatikus eseménynaplózás a rendszer élettartamára | Naplózási terv, megőrzési szabály, technikai megvalósítás |
| Art. 13 | Átláthatóság az alkalmazó felé | Használati utasítás, ami lehetővé teszi az alkalmazó saját megfelelését |
| Art. 14 | Emberi felügyelet tervezési szinten | Felügyeleti pontok leírása, beavatkozási és leállítási lehetőség |
| Art. 15 | Pontosság, robusztusság, kiberbiztonság | Metrikák, hibatűrési tesztek, adversarial és adatmérgezés elleni védelem |
| Art. 17 | Minőségirányítási rendszer | Dokumentált szabályzatok, eljárások, felelősségi mátrix |
| Art. 43 | Megfelelőségértékelés | Annex III esetén jellemzően belső kontroll, Annex I esetén bejelentett szervezet |
| Art. 47, 48, 49 | EU megfelelőségi nyilatkozat, CE-jelölés, EU-adatbázis regisztráció | Aláírt nyilatkozat, jelölés a terméken, regisztrációs bejegyzés |
| Art. 73 | Súlyos incidens bejelentése | Bejelentési eljárás, 15 nap, széles körű jogsértésnél 2 nap |
Alkalmazóként az Art. 26 rövidebb listát ad, de nem triviálisat. Az emberi felügyeletet kompetens, képzett és felhatalmazott személyre kell bízni. A saját kontroll alatti bemeneti adatnak relevánsnak kell lennie. A működést monitorozni kell, incidens esetén a szolgáltatót haladéktalanul tájékoztatni. A naplókat legalább hat hónapig meg kell őrizni. Munkahelyi bevezetés előtt a munkavállalói képviselőket és az érintett munkavállalókat tájékoztatni kell. És az érintett természetes személyeket értesíteni kell, ha a rendszer róluk hoz vagy támogat döntést.
Az Art. 27 szerinti alapjogi hatásvizsgálat, a FRIA, közjogi szerveket, közszolgáltatást nyújtó magánszervezeteket, valamint az Annex III 5(b) és 5(c) pont, tehát a hitelképesség-értékelés és az élet- vagy egészségbiztosítási kockázatértékelés alkalmazóit köti. A kitöltött sablont be kell nyújtani a piacfelügyeleti hatósághoz. Ez a kötelezettség szintén 2027. december 2-től él, hiába ír több forrás még 2026. augusztus 2-t.
A munkatermékek fejezetenkénti bontását, a felelősökkel és a frissítési ritmussal együtt külön cikkben szedtük szét: AI Act megfelelési dokumentáció. Ha az adatszuverenitás is szempont, a lokális AI futtatás megnyitja azt az opciót, hogy a tanító és a naplóadat el se hagyja a céget.
Mekkora bírságot lehet kiszabni?
Az Art. 99 három tételt ismer, mindegyiknél a fix összeg és az árbevétel-arányos érték közül a magasabb a plafon. A tiltott gyakorlatoknál 35 millió euró vagy 7%, a legtöbb egyéb jogsértésnél 15 millió euró vagy 3%, a hatóság félrevezető tájékoztatásánál 7,5 millió euró vagy 1%. KKV-knál a logika megfordul. Az omnibus a bírságösszegeket nem módosította.
| Jogsértés | Általános plafon | KKV és startup | Small mid-cap |
|---|---|---|---|
| Art. 5 tiltott gyakorlat | 35 M EUR vagy a világméretű éves árbevétel 7%-a, a magasabb | a kettő közül az alacsonyabb | nincs külön kedvezmény |
| Art. 16, 22–26 és Art. 50 megsértése | 15 M EUR vagy 3%, a magasabb | a kettő közül az alacsonyabb | alacsonyabb plafon |
| Hiányos vagy félrevezető információ a hatóságnak | 7,5 M EUR vagy 1%, a magasabb | a kettő közül az alacsonyabb | alacsonyabb plafon |
| GPAI-modell szolgáltatója (Art. 101) | 15 M EUR vagy 3%, a Bizottság szabja ki | nem releváns | nem releváns |
A small mid-cap az omnibusszal bevezetett új kategória: 750 fő alatti létszám és legfeljebb 150 millió euró árbevétel. Egyszerűsített dokumentáció, minőségirányítási mentességek, tesztkörnyezeti prioritás és alacsonyabb bírságplafon jár vele a második és a harmadik tételnél. Sok közepes magyar cég ebbe a sávba esik, érdemes ellenőrizni.
Magyar eljárásban a bírságot forintban állapítják meg, a 344/2025. (X. 31.) Korm. rendelet szerint az uniós rendelet 99. és 100. cikkében meghatározott felső határig. A megfizetési határidő 30 nap. Sommás eljárás kizárt, és a piacfelügyeleti hatóság érdemi döntés helyett hatósági szerződést is köthet az ügyféllel. A Grant Thornton Hungary 2026 februári becslése szerint a tiltott gyakorlatokra kiszabható maximum nagyságrendje 13,3 milliárd forint, ez viszont árfolyamfüggő becslés, nem jogszabályi fix összeg.
Melyik magyar hatóság ellenőriz, és mi hiányzik még?
A piacfelügyeleti hatóság és az Art. 70(2) szerinti egyedüli kapcsolattartó pont a Mesterséges Intelligencia Hivatal. A jogalapot a 2025. évi LXXV. törvény adja, ami 2025. november 21-én lépett hatályba, a részletszabályokat pedig a 344/2025. (X. 31.) Korm. rendelet, ami 2025. december 1. óta alkalmazandó. Az intézményi keret tehát megvan, a gyakorlat viszont még alig.
| Szerep az AI Act szerint | Magyar szerv | Mi a helyzet |
|---|---|---|
| Piacfelügyelet és kapcsolattartó pont (Art. 70) | Mesterséges Intelligencia Hivatal | Működik, de nem önálló államigazgatási szerv, hanem minisztériumi szervezeti egység. Honlap: mihivatal.gov.hu |
| Bejelentő hatóság (Art. 28) | Nemzeti Akkreditáló Hatóság | Megfelelőségértékelő szervezeteket jelöl ki akkreditált státusz alapján |
| Ágazati piacfelügyelet a pénzügyi szektorban | Magyar Nemzeti Bank | Hitelbírálati és biztosítási MI esetén ez a releváns hatóság |
| Adatvédelem | NAIH | Nem MI-piacfelügyeleti hatóság. A GDPR-hatáskörében párhuzamosan eljár, a két rendelet egyszerre alkalmazandó. |
| Koordináció, iránymutatás | Magyar Mesterséges Intelligencia Tanács | Iránymutatásokat és állásfoglalásokat adhat ki a végrehajtásról |
Amit őszintén meg kell mondani: több ponton nincs kialakult magyar gyakorlat, és ezt egyetlen tanácsadó sem tudja elfedni. Nem találtunk publikus magyar bírságolási esetet az AI Act alapján. Nem találtunk NAIH-állásfoglalást kifejezetten a rendeletről. És nem találtunk arra utaló publikus forrást, hogy a magyar jogalkotó az omnibus 2026. július 27-i hatálybalépése után hozzáigazította volna a 2025. évi LXXV. törvényt vagy a 344/2025. Korm. rendeletet a megcsúszott uniós határidőkhöz. A magyar szabályok jelenleg a 2026. augusztus 2-i alkalmazási logikára épülnek, miközben az uniós rendelet már nem.
Ez az ellentmondás a gyakorlatban valószínűleg úgy oldódik fel, hogy az uniós rendelet közvetlenül alkalmazandó, tehát a 2027. december 2-i dátum az irányadó. Feltételezés viszont, nem hatósági álláspont. Ha a cégednél ez érdemi kockázatot jelent, kérdezz rá közvetlenül az MI Hivatalnál, és kérd írásban a választ.
Mit csinálj a következő 30 napban?
Egy hónap alatt nem lesz kész a megfelelés, de a három ma is bírságolható kötelezettség lezárható, és a magas kockázatú szál elindítható. A sorrend számít: előbb a leltár, mert enélkül nem tudod, mire kell szabályt írni. A becsült ráfordítás egy 50–500 fős cégnél összesen két-három embernap, plusz a jogi átnézés.
- Első hét. Kérd el a pénzügytől a SaaS-számlákat és a kártyakivonatot, és állítsd össze a rendszerleltár első verzióját a fenti hét oszloppal. Kérdezz rá a HR-nél és a marketingnél, milyen eszközöket használnak.
- Első hét. Nézd végig az Art. 5 tiltott gyakorlatokat, különösen a munkahelyi érzelemfelismerést. Ha bármelyik rendszer ilyet csinál, azonnal állítsd le, ez nem határidős kötelezettség.
- Második hét. Rakd ki az Art. 50(1) chatbot-jelzést minden ügyfélinterfészre. Egy mondat a beszélgetőablak tetején, amit a felhasználó az első üzenet előtt lát.
- Második hét. Nézd meg, hol állítotok elő generatív tartalmat, és hogyan oldható meg az Art. 50(2) gépi olvasható jelölés. A korábban piacon lévő rendszerekre 2026. december 2-ig van idő.
- Harmadik hét. Írj egy háromoldalas MI-használati szabályzatot, és tarts egy egyórás belső tájékoztatót. Ez az Art. 4 dokumentált teljesítése. A jelenléti ívet tedd el.
- Harmadik hét. Sorold be a leltár minden sorát a négy kategória valamelyikébe. Ahol Annex III jön ki, jelöld meg, és nézd meg, szóba jöhet-e az Art. 6(3) kivétel.
- Negyedik hét. A magas kockázatúra jelölt rendszerekhez rendelj felelőst és ütemtervet 2027. december 2-ig visszaszámolva. Az Annex IV műszaki dokumentáció nem két hét.
- Negyedik hét. Nézd át a fejlesztői és szállítói szerződéseket, hogy ki a szolgáltató és ki az alkalmazó. Ahol nincs kimondva, egészítsd ki egy bekezdéssel.
Ha a NIS2 is érint, a két programot érdemes összehangolni, mert a kockázatkezelés, a naplózás és az incidenskezelés jelentős részben újrahasznosítható. A NIS2 alapokhoz a hatály, határidők, bírságok cikk ad kiindulást, a GDPR-metszethez pedig az EU AI Act, GDPR és AI biztonság írás.
Mit kérdeznek leggyakrabban az AI Act-ről?
Tényleg elhalasztották a 2026. augusztus 2-i AI Act határidőt?
Igen. Az (EU) 2026/1744 rendelet, a Digital Omnibus on AI, 2026. július 27-én lépett hatályba, hat nappal az eredeti dátum előtt. A magas kockázatú rendszerekre vonatkozó III. fejezet 1–3. szakasza, vagyis az Art. 8–27 (benne az Art. 27 szerinti FRIA is), 2027. december 2-re csúszott. Az Annex I szerinti, termékbe ágyazott rendszerek határideje 2028. augusztus 2.
Akkor 2027-ig nem kell csinálnom semmit?
De igen. A tiltott gyakorlatok (Art. 5) 2025. február 2. óta, a GPAI-szabályok (Art. 53–55) és a szankciórendszer (Art. 99) 2025. augusztus 2. óta alkalmazandók. Az Art. 50 átláthatósági kötelezettségek 2026. augusztus 2-án léptek életbe, ezeket az omnibus nem mozdította. Ami elhalasztódott, az kizárólag a magas kockázatú rendszerek megfelelési csomagja.
Honnan tudom, hogy szolgáltató vagy alkalmazó vagyok?
A határ nem a fejlesztésnél, hanem a piacra vitel nevénél húzódik. Ha az MI-rendszer a te neved vagy védjegyed alatt kerül forgalomba vagy üzembe, szolgáltató (provider) vagy az Art. 3(3) szerint. Ha valaki más rendszerét használod a saját felelősségi körödben, alkalmazó (deployer) vagy az Art. 3(4) szerint. Az Art. 25 három esetben átbillenti az alkalmazót szolgáltatói szerepbe.
Ha csak ChatGPT-t használunk belső munkára, kell bármit tennünk?
Keveset. Ilyenkor alkalmazó vagy, a szolgáltató az OpenAI. Magas kockázatú kötelezettség nem keletkezik, az Art. 4 szerinti MI-jártasság támogatása viszont igen, és a GDPR külön él. Ha a kimenetet közérdekű témában publikáljátok, az Art. 50(4) címkézés vonatkozik rá. A kockázat inkább ott van, ha valaki HR- vagy hitelbírálati döntésbe kezdi bevonni.
Mit kell kiírni a weboldalunkon futó chatbot mellé?
Az Art. 50(1) szerint 2026. augusztus 2. óta a felhasználóval közölni kell, hogy MI-rendszerrel beszél, kivéve ha ez az adott helyzetben nyilvánvaló. Egy sor a beszélgetőablak tetején elég, feltéve hogy a felhasználó az első üzenet előtt látja. Ha a bot generatív tartalmat állít elő, az Art. 50(2) gépi olvasható jelölést is előír a kimeneten.
Mekkora bírságot kockáztat egy közepes magyar cég?
Az Art. 99 két releváns tétele 15 millió euró vagy a világméretű éves árbevétel 3%-a, illetve 7,5 millió euró vagy 1%, mindig a magasabb érték. KKV-knál és startupoknál az Art. 99(6) megfordítja a logikát: ott a kettő közül az alacsonyabb a plafon, tehát egy 800 millió forintos árbevételű cégnél a 3%-os tétel nagyságrendje néhány tízmillió forint.
Melyik magyar hatóság ellenőrzi az AI Act betartását?
A Mesterséges Intelligencia Hivatal (mihivatal.gov.hu) a piacfelügyeleti hatóság és az egyedüli kapcsolattartó pont, a 2025. évi LXXV. törvény és a 344/2025. (X. 31.) Korm. rendelet alapján. A bejelentő hatóság a Nemzeti Akkreditáló Hatóság, a pénzügyi szektorban az MNB jár el. A NAIH nem MI-piacfelügyeleti hatóság, a GDPR-hatáskörében viszont párhuzamosan eljárhat.
Elég-e az AI Act-hez, ha a GDPR-megfelelésünk rendben van?
Nem, de sokat számít. A két rendelet párhuzamosan alkalmazandó, és a GDPR 35. cikk szerinti adatvédelmi hatásvizsgálat, az adatnyilvántartás és a jogalap-elemzés újrahasznosítható. Az AI Act viszont olyan munkatermékeket kér, amelyek a GDPR alatt nem léteznek: kockázatkezelési rendszer, Annex IV műszaki dokumentáció, emberi felügyeleti terv, megfelelőségértékelés, CE-jelölés.
Ez a cikk tájékoztatás, nem jogi tanács, és nem helyettesíti az egyedi jogi véleményt. A besorolás és a szerepallokáció minden cégnél a konkrét rendeltetéstől és szerződéses konstrukciótól függ. Ha a megfelelést projektként kezelnéd, az EU AI Act megfelelési szolgáltatásunk fix áras, négy-nyolc hetes átfutással dolgozik.
Elsődleges források: (EU) 2026/1744 rendelet, Európai Bizottság, regulatory framework for AI, AI Act Service Desk, Art. 99, 2025. évi LXXV. törvény, 344/2025. (X. 31.) Korm. rendelet, Mesterséges Intelligencia Hivatal. Elemzések: FPF idővonal (2026-07-28), Freshfields (2026-07-10), Gibson Dunn (2026-05-27), Grant Thornton Hungary (2026-02-12). Cikkszintű hivatkozások: Art. 5, Art. 25, Art. 26, Art. 27, Art. 50, Annex III. Az utóbbi oldalak konszolidált szöveget adnak, de az idővonaluk elavult.
