Miért a besorolás az AI Act legfontosabb döntése?
Mert a besorolás dönti el, hogy egy oldal vagy száz oldal dokumentációt kell összeraknod. Egy minimális kockázatú rendszernél a teljes megfelelési teher egyetlen indokolt besorolási feljegyzés. Egy magas kockázatú rendszernél kockázatkezelési rendszer, adatkormányzás, műszaki dokumentáció, naplózás, emberi felügyelet, megfelelőségértékelés és CE-jelölés jár együtt.
A gyakorlatban ezért minden AI Act projekt ugyanott bukik el vagy indul jól: a besorolásnál. Aki mindent magas kockázatúnak nyilvánít, feleslegesen éget több tízmillió forintot. Aki mindent minimálisnak nyilvánít, a piacfelügyeleti eljárásig nem tud róla, hogy tévedett. A jó válasz szinte mindig valahol középen van, és rendszerenként különbözik.
Ez a cikk egy hét kérdéses döntési fát ad, cikkszámokkal és dátumokkal, majd nyolc tipikus magyar rendszert végigvezet rajta. A végén ott van az is, amit a legtöbb magyar összefoglaló kihagy: mit kell dokumentálni akkor, ha a rendszered nem magas kockázatú.
Mikortól kell megfelelni, ha magas kockázatú a rendszer?
Az Annex III szerinti önálló magas kockázatú rendszerekre 2027. december 2-től alkalmazandók a szabályok, az Annex I termékbe ágyazott rendszerekre 2028. augusztus 2-től. Ez nem az eredeti menetrend. A Digital Omnibus on AI, vagyis az (EU) 2026/1744 rendelet 2026. július 27-én hatályba lépett, hat nappal a korábbi határidő előtt, és 16 hónappal elhalasztotta a III. fejezet 1–3. szakaszát.
2027-12-02
Annex III magas kockázatú rendszerek, III. fejezet 1–3. szakasz (Art. 8–27)
(EU) 2026/1744
2028-08-02
Annex I termékbe ágyazott magas kockázatú rendszerek
(EU) 2026/1744
2026-08-02
Art. 50 átláthatósági kötelezettségek, ez tényleg életbe lépett
AI Act 113. cikk
A halasztás nem általános amnesztia. Négy dolog változatlanul él, és ezek közül kettő ma is szankcionálható.
| Dátum | Mi alkalmazandó | Mozdította az omnibus? |
|---|---|---|
| 2025-02-02 | Art. 5 tiltott gyakorlatok, Art. 4 MI-jártasság | Nem (az Art. 4 szövege enyhült) |
| 2025-08-02 | GPAI kötelezettségek (Art. 53–55), Art. 99 szankciók, hatóságkijelölés | Nem |
| 2026-08-02 | Art. 50 átláthatóság, a Bizottság GPAI-végrehajtási jogosítványai | Nem |
| 2026-12-02 | Art. 50(2) jelölés a korábban piacon lévő rendszerekre, CSAM/NCII tilalom átmenetének vége | Új dátum |
| 2027-12-02 | Annex III magas kockázat: Art. 8–27, benne az Art. 27 FRIA | Igen, 16 hónap halasztás |
| 2028-08-02 | Annex I termékbe ágyazott magas kockázatú rendszerek | Igen, 12 hónap halasztás |
Van itt egy kellemetlen mellékhatás is. A Bizottság Art. 6 szerinti besorolási iránymutatásai szintén 2027. augusztus 2-re kerültek. Vagyis a besorolást most kell elvégezned, a hivatalos értelmezési segédlet pedig négy hónappal a megfelelési határidő előtt érkezik. Ez a jogbizonytalanság valós, és nem érdemes róla hallgatni.
Hogyan dönthető el hét kérdésben a besorolás?
A fa sorrendje nem tetszőleges. Először azt kell kizárni, ami tiltott, utána azt, ami termékbiztonsági úton magas kockázatú, csak ezután jön az Annex III, majd a szűkítő kivételek. A hetedik kérdésre eljutva derül ki, hogy marad-e bármilyen kötelezettség. Egyetlen rendszert vigyél végig egyszerre, ne a teljes MI-portfóliódat.
1. kérdés: tiltott gyakorlatot valósít meg a rendszer?
Az Art. 5 nyolc tilalmat sorol fel, és az omnibus egy kilencediket tett hozzá. Ezek 2025. február 2. óta alkalmazandók, tehát itt nincs felkészülési idő, csak jogsértés vagy annak hiánya.
| Jogalap | Tiltott gyakorlat |
|---|---|
| Art. 5(1)(a) | Tudatalatti, manipulatív vagy megtévesztő technikák, amelyek torzítják a viselkedést és rontják a tájékozott döntést |
| Art. 5(1)(b) | Sérülékenység kihasználása életkor, fogyatékosság vagy szociális, illetve gazdasági helyzet alapján |
| Art. 5(1)(c) | Társadalmi pontozás, ha aránytalan vagy a gyűjtés kontextusán kívüli hátrányos bánásmódhoz vezet |
| Art. 5(1)(d) | Bűnelkövetési kockázat előrejelzése kizárólag profilalkotás alapján |
| Art. 5(1)(e) | Arcfelismerő adatbázis építése internetről vagy CCTV-ből, célzatlan lehalászással |
| Art. 5(1)(f) | Érzelemfelismerés munkahelyen és oktatási intézményben, orvosi vagy biztonsági cél kivételével |
| Art. 5(1)(g) | Biometrikus kategorizálás faj, politikai vélemény, szakszervezeti tagság, vallás vagy szexuális irányultság kikövetkeztetésére |
| Art. 5(1)(h) | Valós idejű távoli biometrikus azonosítás nyilvános térben, bűnüldözési célra, három szűk kivétellel |
| Art. 5, omnibusszal beépítve | Nem konszenzusos intim képek (NCII) és gyermekek szexuális bántalmazását ábrázoló anyag (CSAM) generálása vagy manipulálása. Átmeneti idő 2026. december 2-ig |
Ha bármelyik sor illeszkedik a rendszeredre, a fa itt véget ér. A teendő nem dokumentáció, hanem leállítás vagy áttervezés. A magyar cégeknél két pont szokott váratlanul aktiválódni: az 5(1)(f) a videointerjús vagy webkamerás hangulatelemzésnél, és az 5(1)(c) a dolgozói vagy ügyfél-pontozó rendszereknél, ha a pontszám a gyűjtés eredeti céljától távoli hátrányt okoz.
2. kérdés: termék biztonsági alkatrésze Annex I harmonizációs jog alatt?
Az Art. 6(1) két együttes feltételt szab. A rendszer olyan termék biztonsági alkatrésze vagy maga a termék, amelyre az Annex I felsorolt uniós harmonizációs jogszabálya vonatkozik, és a termékre harmadik fél általi megfelelőségértékelés kötelező. Ide tartoznak például a gépek, az orvostechnikai eszközök, a liftek, a játékbiztonság és a jármű-típusjóváhagyás.
Ha itt megállsz, a rendszered magas kockázatú, de a határidőd 2028. augusztus 2. Az omnibus egy fontos kivételt is bevezetett: a gépi termékekbe épített MI kikerül a magas kockázatú szabályok alól, a részleteket a Bizottság delegált aktusban rendezi. Ez a delegált aktus 2026 augusztusában még nem érhető el, tehát a gyártóiparban ma nem lehet végleges választ adni erre a kérdésre.
3. kérdés: beleesik valamelyik Annex III területbe?
Nyolc terület van. A legtöbb magyar cégnél a harmadik, a negyedik és az ötödik számít, a többi közszférás vagy bűnüldözési kontextus.
| # | Annex III terület | Magyar példa |
|---|---|---|
| 1 | Biometria | Beléptető arcfelismerés, hangalapú ügyfélazonosítás a call centerben, érzelemfelismerés |
| 2 | Kritikus infrastruktúra | Távhő- vagy villamosenergia-hálózat biztonsági alkatrésze, közúti forgalomirányítás, kritikus digitális infrastruktúra |
| 3 | Oktatás és szakképzés | Felvételi rangsorolás, vizsgadolgozat automatikus értékelése, online vizsgán a magatartás figyelése |
| 4 | Foglalkoztatás és munkavállaló-menedzsment | Önéletrajz-előszűrés, álláshirdetés célzása, teljesítménymonitoring, előléptetési vagy elbocsátási javaslat |
| 5 | Alapvető szolgáltatásokhoz való hozzáférés | Hitelképesség-értékelés a csalásfelderítés kivételével, élet- és egészségbiztosítási árazás, szociális ellátás jogosultsága, segélyhívás-osztályozás |
| 6 | Bűnüldözés | Visszaesési kockázat becslése, bizonyíték-megbízhatóság értékelése, nyomozási profilalkotás |
| 7 | Migráció, menekültügy, határellenőrzés | Belépési kockázatértékelés, menedékkérelem-feldolgozás támogatása, határigazgatási biometrikus azonosítás |
| 8 | Igazságszolgáltatás és demokratikus folyamatok | Bírói döntéstámogatás, választási eredmény befolyásolására szánt rendszer |
Ha egyik területbe sem esik bele, ugorj a hatodik kérdésre. Ha beleesik, még nem dőlt el semmi: jön a derogáció.
4. kérdés: alkalmazható az Art. 6(3) derogáció?
Két feltételnek egyszerre kell teljesülnie. A rendszer nem jelenthet jelentős kockázatot a természetes személyek egészségére, biztonságára vagy alapvető jogaira, ideértve azt is, hogy nem befolyásolja érdemben a döntéshozatal kimenetelét. Emellett teljesülnie kell az alábbi négy feltétel egyikének.
- A rendszer szűk eljárási feladatot lát el, például dokumentumokat rendez kategóriákba vagy duplikátumokat szűr.
- A rendszer egy korábban elvégzett emberi tevékenység eredményét javítja, például átfogalmaz egy már megírt döntési indokolást.
- A rendszer döntési minták eltéréseit észleli, és nem helyettesíti vagy befolyásolja a korábban lezárt emberi értékelést megfelelő emberi felülvizsgálat nélkül.
- A rendszer előkészítő feladatot végez az Annex III-ban felsorolt értékeléshez, például adatot gyűjt össze a döntéshozó számára.
A tapasztalat az, hogy ezt a derogációt sokkal többen szeretnék alkalmazni, mint ahányan alkalmazhatják. A kulcskérdés nem az, hogy a végső döntést ember hozza-e meg, hanem az, hogy a rendszer kimenete érdemben befolyásolja-e a döntést. Egy pontszám, egy rangsor vagy egy zöld-piros javaslat befolyásol, még akkor is, ha ember kattint az Elfogad gombra.
Ha itt megállsz, a rendszered nem magas kockázatú, de nem is kötelezettségmentes. Ugorj az ötödik kérdésre, mert ott kiderülhet, hogy a derogáció eleve kizárt.
5. kérdés: végez a rendszer profilalkotást?
Ha az Annex III alá tartozó rendszer természetes személyek profilalkotását végzi, mindig magas kockázatú. Az Art. 6(3) utolsó fordulata ezt kivétel nélkül mondja ki: nincs mérlegelés, és a négy feltétel egyike sem menti meg.
Profilalkotás alatt a GDPR 4. cikk 4. pontja szerinti fogalom értendő: személyes adatok automatizált kezelése természetes személyhez fűződő jellemzők értékelésére, előrejelzésére. Egy jelöltet a korábbi sikeres munkavállalók mintázatához hasonlító önéletrajz-szűrő ilyen. Egy ügyfelet fizetési viselkedés alapján kategorizáló scoring is ilyen. Egy számlaadatokat kinyerő OCR nem az.
6. kérdés: van Art. 50 átláthatósági kötelezettség?
Ide azok a rendszerek jutnak el, amelyek nem tiltottak és nem magas kockázatúak, továbbá azok a magas kockázatúak is, amelyekre az Art. 50 párhuzamosan vonatkozik. Négy tényállás számít, mind 2026. augusztus 2. óta alkalmazandó.
- Az Art. 50(1) szerint a természetes személlyel közvetlenül interakcióba lépő rendszernél jelezni kell, hogy a felhasználó MI-vel beszél, hacsak ez a körülményekből nem nyilvánvaló.
- Az Art. 50(2) szerint a szintetikus hang-, kép-, videó- vagy szöveges tartalmat gépi olvasható formában jelölni kell. A 2026. augusztus 2. előtt piacon lévő rendszerekre 2026. december 2-ig van türelmi idő.
- Az Art. 50(3) szerint az érzelemfelismerő és a biometrikus kategorizáló rendszer működéséről tájékoztatni kell az érintetteket.
- Az Art. 50(4) szerint a deepfake tartalmat és a közérdekű ügyben a nyilvánosság tájékoztatására közzétett, MI által generált szöveget címkézni kell.
Ez a lépés a magyar cégek nagy részénél az egyetlen ma is fennálló kötelezettség. Olcsó megcsinálni, és az Art. 99 második bírságtételébe esik, ha kimarad.
7. kérdés: marad bármi?
Ha idáig eljutottál nemleges válaszokkal, a rendszered minimális kockázatú, és az AI Act nem ír elő rá külön kötelezettséget. Ez nem jelenti azt, hogy nincs dolgod. Az Art. 4 szerint támogatnod kell a munkatársak MI-jártasságának fejlődését, az omnibus ezt törekvési kötelezettségre enyhítette. A GDPR pedig teljesen külön jogcímen fut tovább, és a legtöbb vitát ma is az okozza.
Egy dolgot viszont ilyenkor is meg kell tenni: le kell írni, miért jutottál erre az eredményre. Erről szól a cikk vége felé az AI Act dokumentációs csomagról szóló cikkünk is részletesebben.
Hova esik nyolc tipikus magyar rendszer a fán?
A besorolás akkor válik érthetővé, amikor konkrét rendszereken látod működni. Az alábbi nyolc eset a magyar 50 és 500 fő közötti cégeknél a leggyakoribb. Mindegyiknél az számít, hol áll meg a fa, és hogy mi billentené át egy másik kategóriába.
1. Ügyfélszolgálati chatbot a webshopon
Rendelési státusz, szállítási idő, méret-tanácsadás. Nem tiltott, nem termékbiztonsági alkatrész, és nem esik Annex III alá, mert egyik nyolc terület sem fedi le a kereskedelmi ügyfélszolgálatot. A hatodik kérdésnél áll meg: Art. 50(1) jelzés kell, hogy a felhasználó MI-vel beszél, és ha a bot szöveget generál, az Art. 50(2) gépi olvasható jelölés is. Besorolás: átláthatósági kockázat, kötelezettség 2026. augusztus 2. óta.
Mi billentené át? Ha a bot hitelt vagy részletfizetést bírálna el, az Annex III 5(b) miatt magas kockázatúvá válna. Ha érzelmet elemezne a hangfelvételből, az Art. 50(3) tájékoztatási kötelezettség is bejönne.
2. Önéletrajz-előszűrő
A harmadik kérdésnél belép: Annex III 4. pont, toborzás és önéletrajz-szűrés. A negyedik kérdés derogációja elvileg felmerülhet, ha a rendszer csak formai szűrést végez, például jogosultsági feltételeket ellenőriz. Amint pontoz vagy rangsorol, az ötödik kérdés lezárja a vitát: profilalkotás, tehát magas kockázatú. Besorolás: magas kockázatú, 2027. december 2-től.
Egy nagyon fontos figyelmeztetés: ha az eszköz videointerjún elemzi a jelölt arckifejezését vagy hangját érzelmi következtetés céljából, az Art. 5(1)(f) miatt már ma tiltott gyakorlat. A rendelet a munkahelyi kontextusra tiltja az érzelemfelismerést, és a toborzás ide sorolása szakmailag védhető álláspont. Magyar hatósági állásfoglalást erről 2026 augusztusáig nem találtunk, tehát ez az egyik pont, ahol az óvatosság indokolt.
3. Hitelbírálati asszisztens
Annex III 5(b), hitelképesség-értékelés természetes személyekre, a csalásfelderítés kivételével. Derogáció nincs, mert a pontszám érdemben befolyásolja a döntést, és mert profilalkotást végez. Besorolás: magas kockázatú, 2027. december 2-től, és az alkalmazónak az Art. 27 szerinti alapjogi hatásvizsgálatot is el kell végeznie, mert az 5(b) pont a magánszektorra is kiterjed.
Egy hasznos határvonal: az Annex III 5(b) természetes személyekről beszél. A kizárólag jogi személyek hitelképességét pontozó céges scoring nem esik ide. Ha viszont az ügyvezetőt mint kezest is pontozza, visszakerül. A pénzügyi szektor magas kockázatú MI-rendszereinél a Magyar Nemzeti Bank az ágazati piacfelügyelet, erről bővebben a banki szektorra írt oldalunkon írtunk.
4. Gyártósori minőség-ellenőrző látórendszer
Kamerás rendszer, amely hibás alkatrészt szelektál ki a szalagról. Nem tiltott. A második kérdés a döntő: ha a látórendszer a gép biztonsági alkatrésze a Gépek rendelete alatt, akkor Annex I úton magas kockázatú lenne, határidő 2028. augusztus 2. Ha viszont csak minőségi szelektálást végez, és a gép biztonságát nem befolyásolja, kiesik. Annex III alá nem tartozik, mert nem természetes személyekről dönt. Besorolás: jellemzően minimális kockázatú.
Két csavar. Az omnibus szerint a gépi termékekbe épített MI kikerül a magas kockázatú szabályok alól, a részleteket delegált aktus rendezi, ami még nem jelent meg. Ha pedig a kamerarendszer a dolgozók munkavégzését is figyeli, az Annex III 4. pont miatt átbillenhet magas kockázatúba.
5. Számlafeldolgozó rendszer
Beérkező PDF-számla, adatkinyerés, könyvelési rendszerbe írás. Nem tiltott, nem termékbiztonsági alkatrész, és nem esik az Annex III egyik területébe sem. Profilalkotást nem végez, mert a szállító adószámát nem természetes személyhez fűződő jellemző előrejelzésére használja. Art. 50 sem alkalmazandó, mert nincs interakció és nincs nyilvánosságra hozott szintetikus tartalom. Besorolás: minimális kockázatú.
Ez a legtisztább eset a nyolcból, és jó hír a magyar folyamatautomatizálási projektek többségének. A dokumentumfeldolgozás, az adatmigráció és a rendszerintegráció túlnyomó része ugyanide esik.
6. Dolgozói teljesítményértékelő
Annex III 4. pont, teljesítménymonitoring és a munkaviszonyt érintő döntések támogatása. A derogáció itt izgalmas: egy riport, amely összeszámolja a már rögzített kimeneti adatokat, védhetően szűk eljárási feladat. Egy rendszer, amely a kollégákat egymáshoz rangsorolja vagy kockázati pontszámot ad rájuk, profilalkotást végez, tehát magas kockázatú. Besorolás: a rendszer működésétől függ, és a határ a riportálás meg az értékelés között húzódik.
Az alkalmazói oldalon az Art. 26 külön szabálya, hogy a munkahelyi bevezetés előtt tájékoztatni kell a munkavállalói képviselőket és az érintett munkavállalókat. Ezt a magyar cégek hajlamosak elfelejteni, pedig üzemi tanácsos környezetben ez az első, ami elő fog kerülni.
7. Oktatási vizsgaértékelő
Annex III 3. pont, a tanulási eredmény értékelése és a vizsga alatti magatartásfigyelés. Egy feleletválasztós tesztet kulcs alapján javító szkript védhetően szűk eljárási feladat a 6(3)(a) szerint. Egy esszédolgozatot pontozó nyelvi modell nem az, mert érdemben befolyásolja a kimenetet. Besorolás: az előbbi minimális, az utóbbi magas kockázatú.
A vizsgafelügyelet külön kérdés. Ha a proctoring rendszer érzelmi állapotra következtet, az Art. 5(1)(f) oktatási intézményre vonatkozó tilalmába ütközik. Ha csak a képernyőmegosztást és a böngészőfókuszt figyeli, az Annex III 3. pont magas kockázatú kategóriájában marad. Az sem tisztázott, hogy egy vállalati belső képzés záróvizsgája beleesik-e az oktatási és szakképzési fogalomba. Ha az eredmény előléptetést befolyásol, az Annex III 4. pont amúgy is elkapja.
8. Marketing-szöveggeneráló
Termékleírás, hírlevél, hirdetésszöveg nagy nyelvi modellel. Nem tiltott, nem Annex III, nem végez profilalkotást. A hatodik kérdésnél annyi történik, hogy az Art. 50(4) a közérdekű ügyben a nyilvánosság tájékoztatására közzétett MI-szövegre ír elő címkézést. A saját termékedről szóló marketingszöveg nem ilyen. Besorolás: minimális kockázatú.
Két kivétel. Ha MI-vel generált vagy manipulált képet, videót vagy hangot teszel közzé valós személyről vagy eseményről, az deepfake, és az Art. 50(4) alapján címkézni kell. Az Art. 50(2) gépi olvasható jelölés pedig nem téged terhel, hanem a generatív rendszer szolgáltatóját, ha csak alkalmazóként használod az eszközt.
| Rendszer | Hol áll meg a fa | Besorolás | Mikortól |
|---|---|---|---|
| Ügyfélszolgálati chatbot | 6. kérdés, Art. 50(1) | Átláthatósági kockázat | 2026-08-02 |
| Önéletrajz-előszűrő | 5. kérdés, profilalkotás | Magas kockázatú (Annex III 4.) | 2027-12-02 |
| Hitelbírálati asszisztens | 5. kérdés, profilalkotás | Magas kockázatú + Art. 27 FRIA | 2027-12-02 |
| Gyártósori látórendszer | 2. kérdés, jellemzően nem | Minimális, gépi biztonsági alkatrészként Annex I | 2028-08-02, ha Annex I |
| Számlafeldolgozó | 7. kérdés | Minimális | Nincs AI Act kötelezettség |
| Teljesítményértékelő | 4. vagy 5. kérdés | Riport minimális, pontozó magas kockázatú | 2027-12-02, ha pontoz |
| Vizsgaértékelő | 4. kérdés, feladattípustól függ | Tesztjavító minimális, esszépontozó magas kockázatú | 2027-12-02, ha pontoz |
| Marketing-szöveggeneráló | 6. kérdés, jellemzően nem | Minimális, deepfake esetén Art. 50(4) | 2026-08-02, ha deepfake |
Mit kell dokumentálni, ha nem magas kockázatú a rendszer?
Ha a rendszer beleesik az Annex III valamelyik területébe, de a derogációra hivatkozva nem magas kockázatúnak sorolod be, két kötelezettséged keletkezik. Az Art. 6(4) szerint a besorolási értékelést piacra lépés vagy üzembe helyezés előtt dokumentálni kell, az Art. 49(2) szerint pedig a rendszert regisztrálni kell az EU-adatbázisban.
Ez a rész csúszik ki a legtöbb magyar összefoglalóból, pedig gyakorlatilag ez az AI Act belépőszintje. A logika egyszerű: aki kivételre hivatkozik, annak bizonyítania kell a kivétel jogalapját. Az omnibus a regisztrációt könnyebb adminisztratív lábnyomúra faragta, de nem törölte el, pedig az eredeti bizottsági javaslat még az Art. 49(2) teljes elhagyásáról szólt.
Egy használható Art. 6(4) értékelés a következőket tartalmazza.
- A rendszer azonosítása és rendeltetése, saját szavakkal megfogalmazva, nem a szállítói adatlapról átmásolva.
- Melyik Annex III pont merült fel, és pontosan miért esik a hatálya alá a rendeltetés.
- A négy Art. 6(3) feltétel közül melyikre hivatkozol, és milyen konkrét működési tényből következik.
- Annak indoklása, hogy a rendszer miért nem befolyásolja érdemben a döntéshozatal kimenetelét. Itt kell leírni, mit lát az emberi döntéshozó, és milyen arányban tér el a rendszer javaslatától.
- Annak kizárása, hogy a rendszer természetes személyek profilalkotását végzi. Ez az a pont, ahol az értékelések nagy része el szokott hasalni.
- A dátum, a felelős személy neve, és az a vállalás, hogy a rendeltetés módosításakor az értékelés újra elkészül.
Az értékelést a nemzeti illetékes hatóságnak kérésre át kell adni. Magyarországon ez a Mesterséges Intelligencia Hivatal. Ha a rendszer eleve magas kockázatú, akkor az Annex IV műszaki dokumentáció, az Art. 43 megfelelőségértékelés, az Art. 47 megfelelőségi nyilatkozat és az Art. 48 CE-jelölés következik. Ennek a csomagnak a részleteit a magas kockázatú AI checklistünkön bontottuk ki, a besorolási és megfelelési projekt kereteit pedig az EU AI Act megfelelési oldalunkon írtuk le.
Ki ellenőrzi ezt Magyarországon?
A piacfelügyeleti hatóság és az egyedüli kapcsolattartó pont a Mesterséges Intelligencia Hivatal, a 2025. évi LXXV. törvény és a 344/2025. (X. 31.) Korm. rendelet alapján. A bejelentő hatóság a Nemzeti Akkreditáló Hatóság, a pénzügyi szektorban a Magyar Nemzeti Bank az ágazati felügyelet. A NAIH nem MI piacfelügyeleti hatóság, a saját GDPR-hatáskörében jár el, párhuzamosan.
A bírságokat az Art. 99 szabja meg, és a magyar rendelet szerint forintban kell megállapítani, 30 napos megfizetési határidővel. A tiltott gyakorlatokra 35 millió EUR vagy a világméretű éves árbevétel 7 százaléka szabható ki, amelyik magasabb. A szolgáltatói, alkalmazói és Art. 50 átláthatósági kötelezettségek megsértésére 15 millió EUR vagy 3 százalék, a hiányos információszolgáltatásra 7,5 millió EUR vagy 1 százalék. KKV-nál és startupnál az Art. 99(6) fordítja meg a logikát: ott a kettő közül az alacsonyabb a plafon.
Két dolgot érdemes kimondani, mert ezekről nem szoktak írni. Egyrészt nem találtunk publikus forrást arra, hogy Magyarország a 2026. július 27-i omnibus után hozzáigazította volna a 2025. évi LXXV. törvényt vagy a 344/2025. Korm. rendeletet a megcsúszott határidőkhöz, tehát a magyar szabályok jelenleg a régi alkalmazási logikára épülnek. Másrészt magyar bírságolási gyakorlat az AI Act alapján 2026 augusztusában nem ismert, a hatóság tájékoztató és panaszbejelentő funkciót működtet. Aki ma azt állítja, hogy tudja, mit fog a magyar hatóság szigorúan nézni, az találgat.
Ha a besorolás mellett a kiberbiztonsági megfelelés is kérdés, érdemes a NIS2 érintettségi tesztet is kitölteni, mert a két szabályozás gyakran ugyanazokat a cégeket fogja meg. A GDPR és az AI Act metszetéről pedig a korábbi cikkünkben írtunk részletesen.
Összefoglalás és gyakori kérdések
Elcsúszott a 2026. augusztus 2-i AI Act határidő?
Igen. A Digital Omnibus on AI, vagyis az (EU) 2026/1744 rendelet 2026. július 27-én hatályba lépett, és a III. fejezet 1–3. szakaszát (Art. 8–27) 2027. december 2-re halasztotta. Az Annex I termékbe ágyazott rendszerek 2028. augusztus 2-re csúsztak. 2026. augusztus 2-án ténylegesen az Art. 50 átláthatósági kötelezettségek léptek életbe.
Mitől lesz egy AI rendszer magas kockázatú?
Két úton. Az Art. 6(1) szerint, ha a rendszer olyan termék biztonsági alkatrésze vagy maga a termék, amelyre az Annex I uniós harmonizációs joga vonatkozik, és harmadik fél általi megfelelőségértékelés kell hozzá. Az Art. 6(2) szerint pedig akkor, ha beleesik az Annex III nyolc felsorolt területének valamelyikébe.
Mikor alkalmazható az Art. 6(3) derogáció?
Akkor, ha az Annex III alá tartozó rendszer nem jelent jelentős kockázatot a természetes személyek egészségére, biztonságára vagy alapvető jogaira, és teljesül a négy feltétel egyike: szűk eljárási feladatot lát el, korábbi emberi tevékenység eredményét javítja, döntési minták eltéréseit észleli emberi értékelés helyettesítése nélkül, vagy előkészítő feladatot végez.
Miért mindig magas kockázatú a profilalkotást végző rendszer?
Mert az Art. 6(3) utolsó fordulata kifejezetten kizárja a derogációt: ha az Annex III alá tartozó rendszer természetes személyek profilalkotását végzi, mindig magas kockázatúnak minősül. Nincs mérlegelés, nincs négy feltétel, nincs kivétel. Az önéletrajz-pontozó és a hitelscoring rendszerek jellemzően emiatt esnek vissza a magas kockázatú kategóriába.
Kell-e jelölni, hogy a felhasználó chatbottal beszél?
Igen, az Art. 50(1) alapján 2026. augusztus 2. óta. A természetes személlyel közvetlenül interakcióba lépő rendszernél a szolgáltatónak biztosítania kell, hogy a felhasználó tudja: MI-vel beszél. Kivétel, ha ez a körülményekből egyértelmű. A kötelezettség megszegése az Art. 99 második bírságtételébe esik.
Mit kell dokumentálni, ha nem magas kockázatú a rendszer?
Ha a rendszer beleesik az Annex III valamelyik területébe, de a szolgáltató az Art. 6(3) derogációra hivatkozik, az Art. 6(4) alapján a besorolási értékelést piacra lépés előtt dokumentálni kell, és a rendszert az Art. 49(2) szerint akkor is regisztrálni kell az EU-adatbázisban. Az omnibus ezt a regisztrációt könnyítette, de nem törölte.
Ki a piacfelügyeleti hatóság Magyarországon?
A Mesterséges Intelligencia Hivatal, amely a 2025. évi LXXV. törvény és a 344/2025. (X. 31.) Korm. rendelet alapján az Art. 70(1) szerinti piacfelügyeleti hatóság és az Art. 70(2) szerinti egyedüli kapcsolattartó pont. Nem önálló államigazgatási szerv, hanem minisztériumi szervezeti egység. A bejelentő hatóság a Nemzeti Akkreditáló Hatóság.
Mekkora bírságot lehet kiszabni?
Az Art. 99 három tételt ismer: a tiltott gyakorlatokra 35 millió EUR vagy a világméretű éves árbevétel 7 százaléka, a szolgáltatói és alkalmazói kötelezettségek megsértésére 15 millió EUR vagy 3 százalék, a hiányos információszolgáltatásra 7,5 millió EUR vagy 1 százalék. KKV-nál a kettő közül az alacsonyabb a plafon.
Ez a cikk tájékoztatásra készült, és nem helyettesíti az ügyre szabott jogi véleményt. A besorolás mindig az adott rendszer rendeltetésétől és működésétől függ, és az AI Act végrehajtási gyakorlata Magyarországon még alakul.
Ha a saját rendszereidre szeretnéd elvégeztetni a besorolást, az EU AI Act megfelelési szolgáltatásunk fix árú projektként tartalmazza az MI-leltárt, a hét kérdéses besorolást és az Art. 6(4) értékelést. A lépésenkénti végrehajtásról az AI Act megfelelés lépésről lépésre cikkben írtunk.
Források
- EUR-Lex: (EU) 2026/1744 rendelet (Digital Omnibus on AI)
- Európai Bizottság: Regulatory framework for AI
- Future of Privacy Forum (2026-07-28): az omnibus utáni idővonal
- Gibson Dunn (2026-05-27): a halasztott magas kockázatú határidők
- Freshfields (2026-07-10): a végleges omnibus-módosítások
- Bird & Bird (2026): a végleges Transparency Code of Practice
- AI Act Art. 5: tiltott gyakorlatok
- AI Act Art. 6: besorolási szabályok és a derogáció
- AI Act Annex III: a nyolc magas kockázatú terület
- AI Act Art. 25: mikor válik az alkalmazóból szolgáltató
- AI Act Art. 27: alapjogi hatásvizsgálat (FRIA)
- AI Act Art. 50: átláthatósági kötelezettségek
- AI Act Art. 99: szankciók
- 2025. évi LXXV. törvény az AI Act magyarországi végrehajtásáról
- 344/2025. (X. 31.) Korm. rendelet
- Mesterséges Intelligencia Hivatal
