Vissza

Az AI Act 2024. augusztus 1-jén lépett hatályba, rendelkezéseit azonban fokozatosan kezdték alkalmazni. A tiltott MI-gyakorlatokra és a dolgozók megfelelő MI-ismereteinek biztosítására vonatkozó rendelkezések 2025 februárjától élnek. Az általános célú, úgynevezett GPAI-modellek szolgáltatóira vonatkozó szabályok 2025 augusztusában váltak alkalmazandóvá.

A 2026. augusztus 2-i határidő elsősorban két szempontból jelent fordulatot. Egyrészt alkalmazandóvá váltak az AI Act 50. cikkének átláthatósági követelményei. Másrészt az Európai Bizottság MI-irodája és a nemzeti hatóságok ettől az időponttól már tényleges ellenőrzési és szankcionálási jogosultságokkal rendelkeznek a hatályos rendelkezések megsértése esetén. Nem minden MI-rendszerre vonatkozik azonban ugyanaz a szabály.

A rendelet különbséget tesz többek között a rendszert fejlesztő vagy saját neve alatt piacra vivő szolgáltató, illetve a rendszert szakmai vagy üzleti tevékenységében használó alkalmazó szervezet között.

Egy magyar webáruház, amely egy külső szolgáltató kész chatbotját telepíti az oldalára, jellemzően alkalmazóként jelenik meg. Ha azonban saját neve alatt fejlesztet vagy jelentősen átalakít egy MI-rendszert, szolgáltatói kötelezettségei is keletkezhetnek.

A chatbotnak már az első beszélgetés elején fel kell fednie magát

Az egyik legközvetlenebb változás az emberekkel közvetlenül kommunikáló MI-rendszereket érinti. A chatbotokat, hangalapú ügyfélszolgálati rendszereket, MI-asszisztenseket, virtuális avatárokat és egyes autonóm ügynököket úgy kell kialakítani, hogy az érintett személy egyértelműen tudja: mesterséges intelligenciával, nem pedig emberrel kommunikál.

A tájékoztatásnak legkésőbb az első interakció kezdetén meg kell történnie, világosan, megkülönböztethetően és az akadálymentességi követelményeknek megfelelően. A szabály alól kivételt jelenthet, ha egy átlagos, kellően tájékozott és figyelmes felhasználó számára teljesen nyilvánvaló, hogy MI-rendszerrel lép kapcsolatba. Az Európai Bizottság szerint ezt a kivételt szűken kell értelmezni, vagyis a vállalatoknak nem érdemes pusztán arra hagyatkozniuk, hogy a felhasználó majd magától rájön.

Egy egyszerű webes űrlap, hagyományos menürendszer, automatikus visszaigazoló e-mail vagy olyan háttérben futó algoritmus, amely nem folytat valódi, kétirányú kommunikációt az emberrel, viszont nem feltétlenül esik ugyanebbe a körbe. A cégeknek a tényleges működés alapján kell eldönteniük, hogy vonatkozik-e rájuk a kötelezettség.

A gép által létrehozott tartalomnak digitális nyomot kell hordoznia

A generatív MI-rendszerek szolgáltatóinak biztosítaniuk kell, hogy az általuk létrehozott vagy manipulált szövegek, képek, hangok és videók géppel olvasható módon felismerhetők legyenek mesterségesen generált vagy módosított tartalomként.

Ez nem azt jelenti, hogy a felhasználó számára oda kell írni, hogy „MI-vel készült”. A szolgáltatónak olyan technikai jelölést kell alkalmaznia, amely alkalmas az eredet gépi felismerésére. Ilyen lehet például a tartalomhoz kapcsolódó metaadat, eredetigazolás vagy bármilyen ehhez hasonló technikai megoldás. A követelménynek hatékonynak, megbízhatónak, valamint más rendszerekkel együttműködőnek kell lennie, figyelembe véve az adott technológia műszaki lehetőségeit és korlátait.

A kötelezettség elsősorban a generatív rendszert fejlesztő vagy piacra vivő szolgáltatót terheli, nem feltétlenül azt a kisvállalkozást, amely egy kész képgenerátort vagy szövegmodellt használ. A felhasználó vállalkozásnak ettől még külön kötelezettsége lehet a tartalom látható megjelölésére, különösen deepfake vagy közérdekű publikáció esetén.

A géppel olvasható jelölés alól vannak kivételek. Nem kell feltétlenül megjelölni például:

rövid számsorokat, betűket vagy szimbólumokat;

forráskódot;

kizárólag gépek közötti kommunikációban használt tartalmat;

zárt ipari vagy fejlesztési környezetben maradó köztes kimeneteket;

olyan standard szerkesztési műveleteket, amelyek nem változtatják meg érdemben az eredeti tartalom jelentését.

Egy fénykép hagyományos zajszűrése, színkorrekciója vagy kisebb technikai javítása ezért nem feltétlenül esik ugyanabba a kategóriába, mint egy teljes jelenet, személy vagy nyilatkozat mesterséges létrehozása.

A deepfake-ekekre azonban ennél is szigorúbb szabályok vonatkoznak, itt két különböző átláthatósági réteg jelenik meg. A generatív rendszer szolgáltatójának géppel olvasható jelölést kell beépítenie a tartalomba. A tartalmat üzleti vagy szakmai tevékenység keretében felhasználó vállalkozásnak pedig az ember számára világosan érzékelhető módon is közölnie kell, hogy mesterségesen generált vagy manipulált képet, hangot vagy videót lát.

A deepfake az AI Act meghatározásaszerint olyan MI-vel létrehozott vagy módosított kép-, hang- vagy videótartalom, amely egy létező vagy valószerű személyre, tárgyra, helyre, szervezetre vagy eseményre hasonlít, és hamisan hitelesnek vagy valósnak tűnhet.

Egy vállalatnak ezért jeleznie kellene például, ha egy valós vezető hangját mesterségesen klónozza egy reklámhoz, MI-vel hoz létre egy valós személyre hasonlító márkanagykövetet, mesterséges videóban szerepeltet egy történelmi vagy közéleti személyt vagy valós eseményt utánzó, de meg nem történt jelenetet használ a kommunikációjában.

A jelölésnek legkésőbb az első megjelenéskor láthatónak vagy hallhatónak kell lennie. Nem elegendő kizárólag a fájl mélyére rejtett metaadatra hivatkozni, mert annak felismeréséhez külön technikai eszközre lenne szükség.

Művészeti, szatirikus, kreatív vagy fikciós alkotásoknál a közlés módja ennél enyhébb lehet, hogy ne tegye élvezhetetlenné a tartalmat. A mesterséges jelleg feltüntetését azonban ezekben az esetekben sem lehet teljesen elhagyni, ha a mű deepfake-nek minősül.

A közérdekű MI-szöveget is meg kell jelölni

Az AI Act külön szabályt állapít meg a közérdekű kérdésekről tájékoztató, MI-vel létrehozott vagy manipulált szövegekre. A nyilvánosság tájékoztatására szolgáló, közérdekű témáról szóló MI-szöveget világosan meg kell jelölni, amennyiben nem esett át valódi emberi ellenőrzésen vagy szerkesztői kontrollon. Közérdekű témának számíthat többek között a politika és a választások, az egészségügy vagy a fogyasztóvédelem.

A rendelkezés a vállalati kommunikációban is releváns lehet. Ha például egy pénzügyi szolgáltató teljesen automatizált rendszerrel készít és emberi ellenőrzés nélkül publikál elemzést a kamatokról, inflációról vagy befektetésekről, a tartalom megjelölési kötelezettség alá eshet. Ugyanez vonatkozhat egy olyan automatikusan működő hírportálra, amely MI-vel generál és közvetlenül publikál közéleti vagy gazdasági híreket.

A szabály ugyanakkor fontos kivételt tartalmaz az újságírói és szerkesztőségi tevékenység számára. Nem szükséges MI-jelölést elhelyezni a közérdekű szövegen, ha annak tartalmát megfelelő szakmai tudással rendelkező ember ténylegesen átvizsgálta, illetve a kiadvány felelős szerkesztői kontrollt és jogi felelősséget gyakorol felette. Ez a gyakorlatban azt jelenti, hogy a tartalom érdemi állításait, forrásait és következtetéseit kell szakmai szempontból felülvizsgálni, miközben egy azonosítható embernek vagy szerkesztőségnek vállalnia kell a végső felelősséget.

Az AI Act alapján emellett tájékoztatni kell az embereket akkor is, ha jogszerűen működő érzelemfelismerő vagy biometrikus kategorizáló rendszernek vannak kitéve. Ide tartozhat például egy olyan rendszer, amely arckifejezésből, hangból vagy más biometrikus jelből próbál következtetni az ember érzelmi állapotára, illetve testi vagy viselkedési jellemzők alapján kategóriába sorolja.

Fontos azonban kiemelni, hogy az érzelemfelismerő MI-rendszerek munkahelyi és oktatási alkalmazása már 2025 februárja óta tiltott, egy vállalat tehát nem teheti jogszerűvé a dolgozók kamerás hangulatelemzését azzal sem, ha az iroda falára kiírja, hogy „érzelemfelismerő rendszer működik”. Az átláthatóság így csak a jogszerűen alkalmazható rendszereknél jelent további kötelezettséget.

Ezekre maradt még időnk

A decemberi határidőt különösen sok vállalkozás értelmezheti félre, a három hónapos türelmi idő azonban kizárólag azokra a generatív MI-rendszerekre vonatkozik, amelyeket 2026. augusztus 2. előtt már az uniós piacra vittek vagy használatba helyeztek. A türelmi idő ezen belül is csak az AI Act 50. cikkének második bekezdésében szereplő technikai kötelezettséget érinti: azt, hogy a rendszer szolgáltatója géppel olvasható módon jelölje és felismerhetővé tegye az MI által létrehozott vagy manipulált tartalmat. A már piacon lévő rendszerek szolgáltatóinak ezt legkésőbb 2026. december 2-ig kell megoldaniuk, a korábban, vagyis augusztus 2. előtt elkészített deepfake-eket és más MI-tartalmakat nem kell visszamenőleg kötelezően felcímkézni, az Európai Bizottság ugyanakkor lehetőség szerint ösztönzi az utólagos jelölést.

A december 2-i dátumhoz emellett egy, a türelmi időtől teljesen elkülönülő változás is kapcsolódik. Ettől a naptól tiltottá válnak azok az MI-rendszerek, amelyek valós személyekről beleegyezésük nélkül szexuálisan explicit vagy intim tartalmat hoznak létre, illetve gyermekek szexuális bántalmazását ábrázoló anyagot generálnak vagy manipulálnak. Ide tartozhatnak például az úgynevezett „nudification” alkalmazások, amelyek fényképeken mesterségesen eltávolítják a ruházatot.

Az úgynevezett önálló, magas kockázatú MI-rendszerek teljes megfelelési szabályait halasztották 2027. december 2-ig. Ebbe a körbe az AI Act harmadik mellékletében felsorolt, érzékeny felhasználási területeken működő rendszerek tartoznak. A magyar vállalatok szempontjából a legfontosabb területek itt a toborzás és munkavállalók irányítása, az oktatás és képzés, valamint a hitel és alapvető szolgáltatások.

Magas kockázatú lehet ezek alapján a teljesség igénye nélkül az az MI-rendszer, amely önéletrajzokat szűr, figyeli a munkavállalók teljesítményét, vizsgákat értékel, vagy hitelképességről dönt. A szolgáltatóknál ezeknél többek között kockázatkezelési rendszert kell működtetniük, emberi felügyeletet kell biztosítaniuk, valamint megfelelő minőségű és ellenőrzött adatokat kell használniuk.

Az alkalmazó vállalatoknak is lesznek feladataik, például a rendszer előírások szerinti használata, a működés ellenőrzése, a szükséges naplók megőrzése és egyes esetekben az érintettek tájékoztatása.

A másik nagyobb halasztás azokra a magas kockázatú MI-rendszerekre vonatkozik, amelyek valamilyen uniós termékbiztonsági szabályozás alá tartozó termékbe vannak beépítve, és annak biztonsági komponenseként működnek. Az ilyen rendszerekre vonatkozó részletes AI Act-követelményeket 2028. augusztus 2-tól kell alkalmazni. Ide tartozhatnak például egyes orvostechnikai eszközök, játékok, liftek, illetve közlekedési vagy járműbiztonsági rendszerek.

Egy MI-alapú orvosi diagnosztikai eszköz vagy egy termék biztonságos működését közvetlenül vezérlő algoritmus nem ugyanazt a kockázatot hordozza, mint egy marketinges szöveggenerátor, ezeknél össze kell hangolni az AI Actet az adott termékekre már jelenleg is vonatkozó engedélyezési, megfelelőségértékelési és piacfelügyeleti szabályokkal. A hosszabb átmeneti idő egyik oka az uniós indoklás szerint éppen az, hogy a harmonizált műszaki szabványok és a különböző ágazati jogszabályok közötti kapcsolat időben elkészüljön.