AZ EURÓPAI UNIÓ MESTERSÉGES INTELLIGENCIA RENDELETE (AI ACT) – ÚJ KÖTELEZETTSÉGEK A VÁLLALKOZÁSOK SZÁMÁRA

Az Európai Unió mesterséges intelligenciáról szóló rendelete (Artificial Intelligence Act – „AI Act”) a világ első átfogó, horizontális mesterséges intelligencia szabályozása, amely egységes

keretrendszert hoz létre a mesterséges intelligencia rendszerek fejlesztésére, forgalomba hozatalára és használatára vonatkozóan az Európai Unió területén. A rendelet célja az

innováció ösztönzése mellett annak biztosítása, hogy a mesterséges intelligencia alkalmazása ne veszélyeztesse az emberek biztonságát, alapvető jogait és adatvédelmi érdekeit.

Bár a rendelet 2024. augusztus 1-jén hatályba lépett, a szabályai fokozatosan válnak alkalmazandóvá. A tiltott mesterséges intelligencia gyakorlatokra és az úgynevezett AI

jártasságra (AI literacy) vonatkozó előírásokat már 2025. február 2. napjától alkalmazni kell, az általános célú mesterséges intelligencia modellekre (GPAI modellekre) vonatkozó

rendelkezések 2025. augusztus 2. napjától alkalmazandók, míg a rendelet legtöbb további rendelkezése 2026. augusztus 2. napjától vált alkalmazandóvá.

 

Mit tekint a rendelet mesterséges intelligencia rendszernek?

Az AI Act alkalmazási köre jóval szélesebb annál, mint amit a legtöbben a ChatGPT-hez vagy a Copilothoz hasonló generatív AI-rendszerek alatt értenek. A rendelet hatálya alá tartozhat minden olyan rendszer, amely adatokból következtetéseket von le, előrejelzéseket készít, ajánlásokat fogalmaz meg, tartalmat generál vagy döntéseket támogat.

Így például mesterséges intelligenciarendszernek minősülhet többek között egy képfelismerő megoldás, egy HR-rendszerbe épített jelöltértékelő algoritmus, egy intelligens ajánlórendszer, egy automatizált dokumentumfeldolgozó alkalmazás vagy akár egy vállalati chatbot is.

 

A kockázatalapú megközelítés

Az AI Act egyik alapelve a kockázatalapú szabályozás. A rendelet nem elsősorban az alkalmazott technológiát, hanem annak konkrét felhasználási módját és az abból eredő

kockázatokat vizsgálja. A megfelelőség első lépéseként ezért célszerű valamennyi használt vagy fejlesztett mesterséges intelligencia rendszer kockázati kategóriáját meghatározni. Ugyanaz a technológia ugyanis eltérő besorolás alá eshet attól függően, hogy milyen célra használják. A rendelet négy fő kategóriát különböztet meg.

 

Tiltott (elfogadhatatlan kockázatú) rendszerek

Bizonyos mesterséges intelligencia alkalmazások használata az Európai Unióban kifejezetten tilos. Ide tartoznak különösen azok a rendszerek, amelyek manipulatív módon befolyásolják a

felhasználókat, kihasználják azok sérülékenységét, társadalmi pontozást valósítanak meg, munkahelyi érzelemfelismerést végeznek vagy egyes biometrikus azonosítási megoldásokat

alkalmaznak.

 

Magas kockázatú rendszerek

Magas kockázatúnak minősülnek azok a rendszerek, amelyek jelentős hatással lehetnek az emberek egészségére, biztonságára vagy alapvető jogaira.

Ide tartozhatnak különösen a munkavállalók kiválasztására, toborzására, teljesítményének értékelésére, előléptetésére vagy a munkaviszony megszüntetésének támogatására használt AI

rendszerek, továbbá egyes oktatási, biometrikus azonosítási, kritikus infrastruktúrához kapcsolódó vagy természetes személyeket jelentősen érintő döntések támogatására szolgáló

rendszerek. A magas kockázatú minősítés minden esetben az adott felhasználási cél figyelembevételével állapítható meg.

 

Korlátozott kockázatú rendszerek

A korlátozott kockázatú rendszerek körében a rendelet elsősorban átláthatósági kötelezettségeket ír elő.

Ilyen lehet például egy chatbot, virtuális asszisztens, ajánlórendszer vagy olyan rendszer, amely mesterséges intelligencia segítségével szöveget, képet, videót, hangfelvételt vagy más tartalmat hoz létre. E rendszerek esetében biztosítani kell, hogy a felhasználó megfelelő tájékoztatást kapjon arról, hogy mesterséges intelligenciával lép kapcsolatba, illetve adott esetben arról is, hogy az adott tartalom mesterséges intelligencia felhasználásával készült.

 

Minimális kockázatú rendszerek

A minimális kockázatú rendszerek esetében a rendelet főszabály szerint nem ír elő jelentős megfelelési kötelezettségeket. Ugyanakkor ezen rendszerek használata során is figyelemmel

kell lenni az adatvédelmi, üzleti titokvédelmi és információbiztonsági követelményekre.

 

Felhasználók és fejlesztők – eltérő kötelezettségek

Az AI Act egyik legfontosabb sajátossága, hogy eltérő kötelezettségeket állapít meg a mesterséges intelligencia rendszereket fejlesztő vagy forgalomba hozó szereplők („szolgáltatók” vagy providers), illetve azokat használó szervezetek („alkalmazók” vagy deployers) számára.

 

Kötelezettségek az AI-rendszereket használó vállalkozások számára

A mesterséges intelligenciát használó vállalkozások elsődleges feladata annak felmérése, hogy milyen AI-rendszereket alkalmaznak és azok milyen célokat szolgálnak.

Az AI Act már jelenleg is előírja az úgynevezett AI-jártasság biztosítását, vagyis a vállalkozásoknak gondoskodniuk kell arról, hogy az AI-rendszereket használó vagy felügyelő munkavállalók megfelelő ismeretekkel rendelkezzenek a rendszerek működéséről és az azokhoz kapcsolódó kockázatokról.

Magas kockázatú rendszerek alkalmazása esetén további kötelezettségek merülhetnek fel, így különösen:

• megfelelő emberi felügyelet biztosítása;
• a rendszer működésének folyamatos nyomon követése;
• incidensek kezelése és adott esetben jelentése;
• naplózási kötelezettségek teljesítése;
• az érintettek megfelelő tájékoztatása;
• bizonyos esetekben adatvédelmi hatásvizsgálat lefolytatása;
• együttműködés a hatóságokkal.

 

Kötelezettségek a fejlesztők és szolgáltatók számára

A mesterséges intelligencia rendszereket fejlesztő vagy saját nevük alatt forgalomba hozó vállalkozásokra lényegesen szigorúbb követelmények vonatkozhatnak.

Magas kockázatú AI-rendszerek esetén többek között:

• kockázatkezelési rendszert kell működtetni;
• gondoskodni kell az adatok minőségének és megfelelőségének dokumentálásáról;
• részletes technikai dokumentációt kell készíteni;
• naplózási és nyomonkövetési mechanizmusokat kell kialakítani;
• biztosítani kell az átláthatóságot;
• megfelelő emberi felügyeleti rendszert kell fenntartani;
• igazolni kell a rendszer pontosságát, robusztusságát és kiberbiztonságát;
• incidenskezelési folyamatokat kell kialakítani;
• számos esetben adatvédelmi és megfelelőségi dokumentációt kell készíteni.

Külön szabályozás vonatkozik az általános célú mesterséges intelligencia modellekre (GPAI), ideértve a nagy nyelvi modelleket (LLM-eket) és egyes generatív mesterséges intelligencia

rendszereket is. Az ilyen rendszerek szolgáltatóinak külön dokumentációs, átláthatósági és szerzői jogi kötelezettségeik lehetnek.

 

Miért érdemes belső AI-szabályzatot kialakítani?

A vállalkozásoknál egyre gyakoribb a ChatGPT, a Copilot és más AI-eszközök használata, ezért célszerű belső szabályzatban rögzíteni többek között:

• mely AI-eszközök használhatók;
• milyen adatok tölthetők fel az egyes rendszerekbe;
• hogyan kell kezelni az üzleti titkokat és a know-how-t;
• miként történik az AI által előállított tartalmak ellenőrzése;
• milyen esetekben szükséges jogi, adatvédelmi vagy információbiztonsági felülvizsgálat;
• milyen tájékoztatási kötelezettségek vonatkoznak a munkavállalókra és más érintettekre.

 

Szankciók

Az AI Act megsértése jelentős bírságkockázattal járhat.

A tiltott mesterséges intelligencia gyakorlatok alkalmazása esetén a bírság összege elérheti a 35 millió eurót vagy a vállalkozás előző üzleti évben elért teljes világpiaci árbevételének 7%-át, attól függően, hogy melyik összeg magasabb.

A magas kockázatú rendszerekre vonatkozó kötelezettségek megszegése esetén legfeljebb 15 millió euró vagy a világpiaci árbevétel 3%-a szabható ki.

Az adatszolgáltatási vagy tájékoztatási kötelezettségek megsértése esetén a bírság összege elérheti a 7,5 millió eurót vagy a világpiaci árbevétel 1%-át.

 

Összegzés

Az AI Act alkalmazása nem csupán a technológiai vállalkozásokat érinti. Minden olyan szervezet számára releváns lehet, amely mesterséges intelligencia rendszereket használ üzleti

működése során, míg az AI-megoldásokat fejlesztő vagy forgalomba hozó vállalkozások esetében a rendelet kiterjedt dokumentációs és megfelelőségi kötelezettségeket írhat elő. A

megfelelés első lépése minden esetben az alkalmazott AI-rendszerek feltérképezése, a felhasználási célok azonosítása és a megfelelő kockázati besorolás elkészítése. Ezt követően

alakíthatók ki a szükséges belső szabályzatok, tájékoztatók, képzések és megfelelőségi folyamatok.

 

*

A fenti összefoglaló a figyelemfelkeltést szolgálja és nem tekinthető jogi tanácsadásnak.

Természetesen bármely kérdés esetén készséggel állunk rendelkezésre.