Az MI-rendelet a közszférában: mire kell felkészülni 2027 decemberéig

01Hol tartunk 2026 őszén

Az MI-rendelet (külső webhelyet nyit meg), az (EU) 2024/1689 rendelet 2024. augusztus 1-jén lépett hatályba, és szakaszosan alkalmazandó. 2026 júliusában az EU elfogadta a mesterséges intelligenciáról szóló digitális omnibuszrendeletet, az (EU) 2026/1744 rendeletet (külső webhelyet nyit meg), amely elhalasztotta a nagy kockázatú rendszerekre vonatkozó szabályokat, és számos más rendelkezést is módosított. 2026. július 27-én lépett hatályba, néhány nappal az eredeti nagy kockázatú határidő előtt.

Magyarországon az MI-rendelet végrehajtását a 2025. évi LXXV. törvény (külső webhelyet nyit meg) és a 344/2025. (X. 31.) Korm. rendelet szabályozza; a törvény létrehozta a Magyar Mesterséges Intelligencia Tanácsot. Hogy a közszférabeli alkalmazókat általánosan melyik piacfelügyeleti hatóság felügyeli, azt 2026. november eleji állapot szerint nem tudtuk hivatalos forrásból megerősíteni, ezért itt nem nevezünk meg hatóságot. A pénzügyi intézmények MI-rendszereinél az MI-rendelet 74. cikkének (6) bekezdése szerinti piacfelügyeletet a Magyar Nemzeti Bank látja el.

Az eredmény egy olyan ütemterv, amelyben egyes kötelezettségek már alkalmazandók, mások az év végén érkeznek, a közszférabeli alkalmazókra vonatkozó legsúlyosabbak pedig 2027 decemberében következnek.

Az omnibuszrendelet a 4. cikket, az MI-jártasságról szóló rendelkezést is átírta. A szolgáltatóknak és az alkalmazóknak most intézkedéseket kell hozniuk munkatársaik MI-jártasságának támogatására, ahelyett, hogy annak megfelelő szintjét kellene biztosítaniuk. A kötelezettség megmaradt, az változott, mit kell igazolni. A szerepkörökhöz igazított képzés és annak dokumentálása továbbra is az észszerű válasz.

02Szolgáltató vagy alkalmazó

A legtöbb közszférabeli szervezet alkalmazó: saját felelősségére használ egy MI-rendszert. Szolgáltató akkor, ha MI-rendszert fejleszt vagy fejlesztet, és saját neve alatt helyezi üzembe. Ide tartoznak a házon belül vagy egy vállalkozó által a szervezet specifikációja szerint épített rendszerek is.

A szerepek el is mozdulhatnak. A 25. cikk szerint az az alkalmazó, amely egy nagy kockázatú rendszert érdemben módosít, vagy úgy változtatja meg a rendeltetését, hogy az nagy kockázatúvá válik, szolgáltatói kötelezettségeket vesz át. A tervezett szerepeket rögzítse a közbeszerzési dokumentumokban és a szerződésekben, hogy ne egy audit során derüljenek ki.

03Mely felhasználási esetei nagy kockázatúak

A III. melléklet sorolja fel azokat a területeket, amelyeken az MI-rendszerek nagy kockázatúnak minősülnek. A közszféra számára a legfontosabbak:

• Alapvető közszolgáltatásokhoz és ellátásokhoz való hozzáférés: a jogosultság értékelése, valamint ellátások és szolgáltatások biztosítása, csökkentése, visszavonása vagy visszaigénylése, például egy járási hivatal kérelmeinek elbírálásában.
• Migráció, menekültügy és határigazgatás, bűnüldözés és igazságszolgáltatás.
• Oktatás és szakképzés: felvétel, a tanulási eredmények értékelése, a vizsgák felügyelete.
• Foglalkoztatás: toborzás, előléptetés, feladatkiosztás és a munkatársak megfigyelése. A közszférabeli szervezetek is munkáltatók.
• Kritikus infrastruktúra: biztonsági alkotórészek a digitális infrastruktúra, a közúti forgalom és a közművek irányításában.

A III. melléklet szerinti területhez tartozás még nem az elemzés vége. A 6. cikk (3) bekezdése szerint egy ilyen területen működő rendszer nem nagy kockázatú, ha nem jelent jelentős kockázatot, például mert szűk eljárási feladatot lát el, egy ember által már elvégzett munka eredményét javítja, mintázatokat észlel anélkül, hogy az emberi értékelést felváltaná, vagy előkészítő feladatot végez. A személyeket profilalkotással értékelő rendszer mindig nagy kockázatú. Ha erre a kivételre hivatkozik, dokumentálja az indoklást.

Sok hasznos eszköz egyáltalán nem nagy kockázatú: a szövegírás támogatása, a belső tudáskeresés, a fordítás, az összefoglalás. Az átláthatósági kötelezettségek és a GDPR ezekre is vonatkoznak, a nagy kockázatú rendszer szabályai azonban nem.

04Mit kell tennie a nagy kockázatú rendszerek alkalmazóinak

2027. december 2-től a III. melléklet szerinti nagy kockázatú rendszert alkalmazó közszférabeli szervezetre a 26. cikk (külső webhelyet nyit meg) szerinti kötelezettségek vonatkoznak. A legfontosabbak:

• A rendszert a szolgáltató használati utasításának megfelelően, megfelelő technikai és szervezési intézkedésekkel kell használni.
• Az emberi felügyeletet a szükséges szakértelemmel, képzéssel és hatáskörrel rendelkező személyekre kell bízni, és támogatást kell adni nekik.
• Gondoskodni kell arról, hogy a szervezet ellenőrzése alatt álló bemeneti adatok relevánsak és a rendeltetési célhoz képest kellően reprezentatívak legyenek.
• Figyelemmel kell kísérni a működést, és a kockázatokról és a súlyos váratlan eseményekről indokolatlan késedelem nélkül tájékoztatni kell a szolgáltatót és a hatóságokat.
• Az automatikusan generált naplókat legalább hat hónapig meg kell őrizni, hacsak más uniós vagy nemzeti jogszabály eltérően nem rendelkezik.
• A munkahelyi nagy kockázatú rendszer használata előtt tájékoztatni kell a munkavállalói képviselőket és az érintett munkatársakat.
• Hatóságként a rendszer használatát az üzembe helyezés előtt regisztrálni kell az uniós adatbázisban (26. cikk (8) bekezdés és 49. cikk). Regisztrálatlan rendszer nem használható.
• Tájékoztatni kell az érintetteket, ha nagy kockázatú rendszer hoz róluk döntést, vagy segíti a döntéshozatalt (26. cikk (11) bekezdés). Az érintetteknek joguk van az egyedi döntések magyarázatához is (86. cikk).

Az alapvetőjogi hatásvizsgálat

A 27. cikk (külső webhelyet nyit meg) szerint a közjogi szervek és a közszolgáltatást nyújtó magánszervezetek a legtöbb III. melléklet szerinti rendszer első használata előtt alapvetőjogi hatásvizsgálatot végeznek. A kritikus infrastruktúrára szolgáló rendszerek kivételt képeznek. A vizsgálat leírja:

1. 01azokat a folyamatokat, amelyekben a rendszert a rendeltetési céljának megfelelően használni fogják;
2. 02a használat időtartamát és gyakoriságát;
3. 03a valószínűleg érintett személyek és csoportok kategóriáit;
4. 04az ezeket a személyeket fenyegető konkrét kockázatokat;
5. 05az emberi felügyelet megvalósításának módját;
6. 06a kockázatok bekövetkezése esetén teendő intézkedéseket, beleértve a belső irányítást és a panaszkezelési mechanizmusokat.

Az eredményekről értesíteni kell a piacfelügyeleti hatóságot. A vizsgálat kiegészíti a GDPR 35. cikke szerinti adatvédelmi hatásvizsgálatot (külső webhelyet nyit meg), és építhet is rá, ezért a kettőt érdemes együtt elvégezni. A 27. cikk (5) bekezdése sablonkérdőív kidolgozását írja elő az MI-hivatal számára; mielőtt saját sablont tervezne, ellenőrizze ennek állapotát. Egyes országokban már vannak módszerek, például a holland kormány emberi jogi és algoritmus-hatásvizsgálata (Impact Assessment Mensenrechten en Algoritmes, IAMA).

05Már alkalmazandó átláthatósági kötelezettségek

2026. augusztus 2. óta az 50. cikk alkalmazandó. A szolgáltatóknak az emberekkel kapcsolatba lépő rendszereket úgy kell megtervezniük, hogy az érintettek tudják, MI-rendszerrel állnak kapcsolatban, hacsak ez nem nyilvánvaló, a szintetikus tartalmakat pedig géppel olvasható módon kell jelölniük. Az alkalmazóknak fel kell tüntetniük a deepfake-eket, valamint a közérdekű ügyekről a nyilvánosság tájékoztatására közzétett, MI által generált vagy manipulált szövegeket, kivéve, ha egy ember átnézte, és valaki szerkesztői felelősséget visel érte.

Egy közszférabeli szervezetnél a leggyakoribb eset egy weboldalon vagy ügyfélszolgálati csatornán működő csevegőasszisztens, például egy önkormányzat ügyfélfogadásához kapcsolódva. Mondja ki egyértelműen, hogy MI-rendszerről van szó, magyarázza el, miben tud segíteni és miben nem, és kínáljon utat egy ügyintézőhöz.

06Felkészülési terv 2026-ra és 2027-re

1. 01Nyilvántartás, most. Gyűjtsön össze minden használatban vagy beszerzés alatt álló MI-rendszert, beleértve a már licencelt platformokba épített MI-funkciókat is. Rögzítse a gazdát, a célt, a szolgáltatót, a felhasznált adatokat és az érintett személyeket.
2. 02Besorolás, 2027 elejéig. Tiltott, nagy kockázatú (a 6. cikk (3) bekezdése szerinti indoklás dokumentálásával), csak átláthatósági kötelezettséggel járó vagy minimális kockázatú. Mindegyiknél rögzítse, hogy a szervezet szolgáltató vagy alkalmazó.
3. 03Szerződések rendezése, 2027 folyamán. Kérjen a szolgáltatóktól használati utasítást, megfelelőségi dokumentációt és hozzáférést a naplókhoz. Az alapvetőjogi hatásvizsgálathoz és a súlyos váratlan események bejelentéséhez nyújtott támogatás legyen szerződéses feltétel; a közbeszerzési dokumentumokban már a Kbt. szerinti eljárásban rögzítse ezeket.
4. 04A felügyelet megtervezése. Nevezze meg a szerepköröket, képezze a szerepkörök betöltőit, adjon nekik felülbírálási jogkört és eszkalációs utat. Tervezzen az automatizálási torzítás ellen; az MI-ügynökök emberi jóváhagyásáról szóló cikkünk bemutatja, hogyan.
5. 05Naplózás és monitorozás kialakítása. Őrizze meg a naplókat legalább hat hónapig, határozza meg, mi számít súlyos váratlan eseménynek, és ki jelenti be.
6. 06Az első használat előtt. Végezze el az alapvetőjogi hatásvizsgálatot az adatvédelmi hatásvizsgálattal együtt, regisztráljon az uniós adatbázisban, és tájékoztassa a munkatársakat és az érintetteket.
7. 07Az MI-jártasság fenntartása. Szerepkör szerinti képzés a felhasználóknak, az ellenőrzőknek és a döntéshozóknak, a rendszerek változásakor frissítve, nyilvántartással arról, ki vett részt rajta.

07Szankciók és jogérvényesítés

A szankciókra vonatkozó szabályokat a tagállamok állapítják meg. A 99. cikk (8) bekezdése alapján minden tagállam maga dönti el, hogy kiszabható-e és milyen mértékben közigazgatási bírság a területén létrehozott hatóságokra és közszférabeli szervekre. Ez nem ok a várakozásra. A piacfelügyeleti hatóságok így is elrendelhetnek korrekciós intézkedéseket, és egy közigazgatási döntés legitimitása azon múlik, hogy megmagyarázható és vitatható-e.

08Mire érdemes figyelni a következő hónapokban

• A Bizottság iránymutatásai a nagy kockázatú rendszerek besorolásáról (6. cikk (5) bekezdés), valamint a már megjelent iránymutatások a tiltott gyakorlatokról (külső webhelyet nyit meg).
• A nagy kockázatú követelményekre vonatkozó harmonizált szabványok, amelyekkel a szolgáltatók a megfelelést igazolják.
• A hazai végrehajtás: a 2025. évi LXXV. törvény és a 344/2025. (X. 31.) Korm. rendelet alkalmazása, a piacfelügyeleti hatóságok kijelölése, valamint első útmutatóik a közszférabeli alkalmazóknak.
• Az MI-hivatal sablonja az alapvetőjogi hatásvizsgálathoz.

Az Európai Bizottság AI Act Service Desk (külső webhelyet nyit meg) oldala naprakészen tartja a hivatalos ütemtervet és a cikkenkénti magyarázatokat (angol nyelven). Mentse el, és minden belső feljegyzést lásson el dátummal: a szöveg még változik.