Az AI-megfelelőségi audit elsőre komolyabbnak hangzik, mint amilyen egy jól felépített felmérésnek lennie kellene.

Nem az a cél, hogy valaki megérkezzen egy több száz pontos ellenőrzőlistával, majd rád borítson egy újabb adag adminisztrációt.

Egy jó AI-megfelelőségi audit ennél sokkal egyszerűbb kérdésre keresi a választ:

Hol használ a vállalkozás AI-t, ebből hol van valódi kockázat, mi van már rendben, és mit érdemes még megcsinálni?

A végén pedig nem egy nehezen értelmezhető jogi anyagot kellene kapnod, hanem egy világos teendőlistát: mi fontos most, mi várhat, ki foglalkozzon vele, és milyen dokumentum vagy kontroll hiányzik.

Ez különösen fontos 2026-ban, mert az EU AI Act rendelkezései már több lépcsőben alkalmazandók, miközben a 2026-os AI Omnibus egyes nagy kockázatú rendszerek határidejét 2027-re, illetve 2028-ra tolta. Vagyis nem minden vállalkozásnak ugyanazt, ugyanakkor és ugyanolyan mélységben kell megcsinálnia.

Fontos: az itt bemutatott megfelelőségi audit felmérés és felkészítés. Nem azonos egy hivatalos tanúsítási audittal vagy egyedi jogi szakvéleménnyel.

Röviden: mit kapsz egy AI-megfelelőségi auditból?

Egy jól felépített audit végére legalább ezekre kell választ kapnod:

• milyen AI-rendszereket használ a vállalkozás;
• mire használjátok őket;
• milyen szerepet tölt be a céged az AI Act szerint;
• mely használati esetek igényelnek komolyabb figyelmet;
• milyen AI-kockázatok vannak;
• milyen dokumentumok és kontrollok vannak már meg;
• mi hiányzik;
• mit érdemes először megoldani;
• ki legyen az egyes feladatok felelőse;
• milyen sorrendben érdemes haladni.

Az AI-kockázatkezelési módszertan is erre a logikára épül: azonosítás → értékelés → kezelés → dokumentáció → monitoring → felülvizsgálat.

Vagyis nem kell mindent egyszerre felforgatni.

Először megnézzük, mi van.

Utána eldöntjük, mivel érdemes foglalkozni.

Miért érdemes auditot csinálni, ha „mi csak használjuk az AI-t”?

Ez az egyik leggyakoribb kérdés.

Egy vállalkozásnak nem kell saját mesterséges intelligenciát fejlesztenie ahhoz, hogy AI-val kapcsolatos kötelezettségei és kockázatai legyenek.

Elég lehet például, ha:

• ChatGPT-t vagy más generatív AI-t használnak a kollégák;
• AI-chatbot működik a weboldalon;
• AI segíti az ügyfélszolgálatot;
• CRM-be épített AI-funkciókat használtok;
• marketinganyagok készülnek AI-val;
• HR-ben történik AI-alapú értékelés;
• egy külső rendszer AI segítségével rangsorol, ajánl vagy döntést támogat.

Ráadásul nem minden AI-használat egyforma.

Egy termékleírás első változatának elkészítése teljesen más kérdéseket vet fel, mint amikor egy AI-rendszer munkavállalóról, állásjelöltről vagy ügyfélről segít döntést hozni.

A nagy kockázatú AI-rendszerek alkalmazóira az AI Act például emberi felügyeleti, monitoring-, adatkezelési és naplómegőrzési kötelezettségeket is meghatároz.

Az audit első feladata ezért nem az, hogy mindent veszélyesnek minősítsen.

Éppen ellenkezőleg.

Szét kell választani azt, amivel valóban foglalkozni kell, attól, amit nem kell túlbonyolítani.

1. Először összeszedjük, milyen AI-t használtok

Ez általában a legegyszerűbb résznek tűnik.

Aztán kiderül, hogy mégsem az.

A tulajdonos tud három AI-eszközről.

A marketinges használ még kettőt.

Az értékesítő bekapcsolta a CRM egyik AI-funkcióját.

Valaki pedig hónapok óta előfizet egy saját bankkártyával egy olyan szolgáltatásra, amiről más nem is tud.

Ezért egy megfelelőségi audit elején AI-leltárt érdemes készíteni.

Nem kell első körben bonyolult rendszerre gondolni. Egy jól felépített táblázat is elég lehet.

Például:

AI-eszköz	Mire használjuk?	Ki használja?	Milyen adat kerül bele?	Ember ellenőrzi?
ChatGPT	marketing szöveg	marketing	publikus termékadat	igen
AI-chatbot	ügyfélkérdések	ügyfélszolgálat	ügyfél által megadott adat	részben
CRM AI	lead pontozás	sales	ügyféladat	igen
HR AI	CV-k értékelése	HR	személyes adatok	igen

Már ebből a táblázatból sok minden látszik.

A lényeg nem az eszköz neve.

A felhasználási cél a fontos.

2. Megnézzük, milyen szerepben van a vállalkozás

Nem mindegy, hogy egy AI-rendszert:

• fejlesztesz;
• saját név alatt forgalomba hozol;
• továbbértékesítesz;
• vagy egyszerűen használsz.

Egy átlagos magyar KKV sok esetben alkalmazóként találkozik az AI Acttel, de ezt rendszerenként érdemes megvizsgálni.

Ez azért fontos, mert a szerepkör meghatározza azt is, hogy milyen kötelezettségeket kell egyáltalán tovább vizsgálni.

Egy jó auditnál tehát nem az történik, hogy minden AI Act előírást ráhúzunk a vállalkozásra.

Hanem először leszűkítjük a kört.

3. Kockázati szint szerint szétválogatjuk az AI-használatokat

Ez az a pont, ahol általában sokkal kezelhetőbbé válik az egész.

Lehet, hogy a cégnél tízféle AI-használat van, de ebből hét esetében csak néhány egyszerű belső szabályra van szükség.

Kettőnél adatvédelmi vagy átláthatósági kérdés merül fel.

Egy pedig olyan folyamatot érint, amit részletesebben meg kell vizsgálni.

Az AI-specifikus kockázatkezelésnél az ISO/IEC 23894 is a kockázatok azonosítását, elemzését és kezelését helyezi a középpontba, és azt javasolja, hogy ez ne különálló technológiai feladat legyen, hanem illeszkedjen a szervezet meglévő kockázatkezelési folyamataiba. Az ISO hivatalos összefoglalója ugyanezt az integrált, szervezetre szabható megközelítést emeli ki.

Egy audit során például előkerülhet:

• adatvédelmi kockázat;
• adatminőségi probléma;
• jogosultsági probléma;
• pontatlan vagy hallucináló AI-kimenet;
• elfogultság;
• átláthatósági hiányosság;
• túlzott automatizálás;
• emberi ellenőrzés hiánya;
• beszállítói kockázat;
• dokumentáció hiánya;
• monitoring hiánya.

Nem azért, hogy minél hosszabb legyen a lista.

Hanem azért, hogy tudd, melyikkel kell ténylegesen foglalkozni.

4. Megnézzük, van-e már kontroll – mert sokszor van

Ez egy fontos része az auditnak.

A megfelelőség nem feltétlenül jelenti azt, hogy mindent nulláról kell felépíteni.

Lehet, hogy már most is van:

• információbiztonsági szabályzat;
• adatvédelmi folyamat;
• jogosultságkezelés;
• munkatársi oktatás;
• beszállítói szerződés;
• incidenskezelés;
• változásnapló;
• jóváhagyási folyamat;
• belső ellenőrzés.

Ezeket nem érdemes kidobni csak azért, mert most AI-ról beszélünk.

Az ISO/IEC 42001 is integrált irányítási megközelítést használ: AI-kockázatokat és AI-val kapcsolatos folyamatokat a szervezet működésébe, szabályzataiba és kockázatkezelésébe illeszti.

Egy audit ezért nemcsak azt keresi, mi nincs.

Azt is megmutatja, mi van már meg, és mire lehet építeni.

Ez általában sokkal kellemesebb kiindulópont.

5. Gap analízis: mi van meg, és mi hiányzik?

Ha már tudjuk, mit használtok és milyen kockázatok vannak, jöhet a gap analízis.

A „gap” egyszerűen különbséget jelent.

Vagyis:

amit jelenleg csinálunk ↔ amit indokolt lenne csinálnunk

A megfelelőségi képzési anyagok is ezt a logikát követik: AI-rendszer osztályozása, gap analízis, releváns szabványok kiválasztása, dokumentáció és nyomon követés, majd a szükséges belső megfelelőségi funkciók kialakítása.

Egy egyszerű példa:

Elvárt állapot:
a munkatársak tudják, milyen adatot tölthetnek fel generatív AI-ba.

Jelenlegi állapot:
nincs erre belső szabály.

Gap:
AI-használati szabályok hiányoznak.

Teendő:
egyszerű belső AI-használati irányelv kialakítása és kommunikálása.

Nem kell minden gapből 40 oldalas projektet csinálni.

Van, amit egy szabályzattal meg lehet oldani.

Van, amit egy oktatással.

Van, ahol technikai módosítás kell.

És van, ahol semmit nem kell csinálni.

6. Átnézzük a dokumentációt

A dokumentáció szó sok KKV-t elriaszt.

Érthető.

Pedig jó esetben nem az a cél, hogy polcnyi papírt gyártsunk.

A dokumentáció azért kell, hogy később is világos legyen:

• milyen rendszert használunk;
• mire használjuk;
• ki felel érte;
• milyen kockázatot azonosítottunk;
• milyen intézkedést tettünk;
• ki hagyta jóvá;
• mikor változott valami;
• hogyan ellenőrizzük a működését.

Az AI-kockázatkezelési tudásanyagban ezért olyan dokumentumok jelennek meg, mint a kockázati napló, modellkártya, technikai dokumentáció, változás- és auditnyomvonal, valamint a megfelelőségi összefoglaló.

A dokumentáció szerepe nem pusztán adminisztráció: támogatja a kockázatkezelést, az auditálhatóságot, az elszámoltathatóságot és az üzemeltetést is.

Egy kisvállalkozásnál természetesen ennek is arányosnak kell lennie.

Egy ChatGPT-t marketingre használó 10 fős cégtől nem ugyanazt a dokumentációs mélységet érdemes elvárni, mint egy érzékeny döntéseket támogató AI-rendszert működtető szervezettől.

7. Megnézzük, ki miért felel

Az egyik legtipikusabb probléma nem technikai.

Hanem ez:

„Azt hittem, ezzel az IT foglalkozik.”

Az IT pedig:

„Azt hittem, ez a marketing dolga.”

A marketing:

„Mi csak használjuk.”

És végül senki nem felel érte.

Egy AI-megfelelőségi auditnak ezért tisztáznia kell a felelősségeket is.

Például:

• ki engedélyez új AI-eszközt;
• ki vizsgálja meg az adatvédelmi kérdéseket;
• ki felel az üzleti működésért;
• ki ellenőrzi a kimenetet;
• ki kezeli az incidenst;
• ki tartja karban a dokumentációt.

A belső AI-governance nem feltétlenül új munkaköröket jelent.

Gyakran elég az is, ha a meglévő emberek között egyértelműen kiosztjuk a felelősségeket.

8. Megnézzük, mit kell monitorozni

Az audit nem akkor jó, ha a végén kipipáljuk, hogy:

„AI megfelelőség: kész.”

Az AI-rendszerek változnak.

A szolgáltatók frissítenek.

A munkatársak új funkciókat kezdenek használni.

A vállalkozás új folyamatokat automatizál.

Az ISO/IEC 23894 ezért a monitorozást és felülvizsgálatot is a kockázatkezelési folyamat részének tekinti.

Nagy kockázatú AI-rendszerek alkalmazóinál az AI Act külön működési monitoringot és – ahol az automatikusan generált naplók az alkalmazó ellenőrzése alatt vannak – legalább hat hónapos naplómegőrzést is előír.

Egy kisebb kockázatú AI-használatnál ennél egyszerűbb kontroll is elég lehet.

Például háromhavonta:

• használunk-e új AI-eszközt;
• változott-e a használati cél;
• történt-e incidens;
• került-e új adattípus a rendszerbe;
• változott-e a szolgáltató működése.

Mit kapsz kézhez egy jó AI-megfelelőségi audit végén?

Itt érdemes különösen figyelni arra, mit tartalmaz az ajánlat.

A „felmérés” önmagában kevés.

Egy használható audit eredménye lehet például:

AI-rendszerleltár

Egy helyen látod, milyen AI-megoldásokat használ a vállalkozás és mire.

Szerepkör- és kockázati besorolás

Láthatóvá válik, mely rendszereknél milyen szerepben van a cég, és mely területek igényelnek további vizsgálatot.

Gap analízis

Megmutatja:

mi van rendben → mi hiányzik → miért fontos.

Kockázati lista

Nem általános AI-veszélyekkel, hanem a saját használati eseteitekkel.

A kockázatkezelési módszertan az intézkedéseknél konkrét, mérhető és végrehajtható teendőket, felelősöket és határidőket vár el.

Prioritási lista

Ez talán az egyik leghasznosabb eredmény.

Ne 47 ugyanolyan sürgős teendőt kapj.

Hanem például:

Most kell megoldani
Következő lépés
Később szükséges
Jelenleg nincs teendő

Így kezelhető marad az egész.

Intézkedési terv

Minden fontosabb hiányossághoz:

• teendő;
• felelős;
• prioritás;
• szükséges dokumentum vagy technikai módosítás;
• következő ellenőrzési pont.

Dokumentációs lista

Pontosan látod, milyen dokumentum szükséges, és melyik már létezik.

Auditálhatósági térkép

Ha később bizonyítani kell egy döntést vagy intézkedést, tudd, hol található hozzá a bizonyíték.

Ez lehet például napló, verziókövetés, jóváhagyás, képzési nyilvántartás vagy kockázati bejegyzés. A dokumentációs tudásanyag kifejezetten hangsúlyozza a naplókat, verziókövetést és monitoring tervet mint az auditálhatóság alapjait.

Mit ne kapj az audit végén?

Egy 80 oldalas PDF-et, amit senki nem fog még egyszer megnyitni.

Legalábbis önmagában ez kevés.

Ha egy audit után továbbra sem tudod megmondani:

„Mi az első három dolog, amit hétfőn meg kell csinálnunk?”

akkor a felmérés gyakorlati értéke kérdéses.

A dokumentáció fontos.

De a dokumentáció eszköz.

A cél az, hogy a vállalkozás biztonságosabban, kiszámíthatóbban és ellenőrizhetőbben tudja használni az AI-t.

Mennyi ideig tart egy AI-megfelelőségi audit?

Erre nincs egyetlen korrekt, minden vállalkozásra érvényes időtartam.

A felhasznált szakmai anyagok sem határoznak meg univerzális auditidőt, ezért nem lenne korrekt azt mondani, hogy minden cég auditja például három vagy öt nap.

Az időigényt főleg ez határozza meg:

• hány AI-rendszert használtok;
• hány üzleti folyamatot érintenek;
• vannak-e magasabb kockázatú use case-ek;
• milyen dokumentáció áll már rendelkezésre;
• hány érintett kollégával kell beszélni;
• mennyire összetett az adatkezelés;
• csak gap analízis kell, vagy intézkedési terv és dokumentációs támogatás is.

Egy cégnél lehet, hogy néhány AI-eszköz és egy egyszerű működés van.

Egy másiknál AI dolgozik marketingben, HR-ben, ügyfélszolgálaton, értékesítésben és automatizált döntési folyamatokban.

A kettőt nem lenne érdemes ugyanabba a dobozba tenni.

Ezért az időtartamot a scope meghatározása után érdemes vállalni.

Mennyire kell bevonni a kollégákat?

Általában nem kell heteken keresztül meetingeken ülniük.

Viszont pusztán dokumentumokból sem mindig lehet megérteni, hogyan használjátok valójában az AI-t.

Egy marketinges például öt perc alatt elmondhat valamit, ami egy szabályzatból soha nem derülne ki:

„Igen, hivatalosan ezt az eszközt használjuk, de a képekhez mindenki egy másik AI-t használ.”

Pont ezért hasznos néhány rövid beszélgetés azokkal, akik ténylegesen dolgoznak az AI-rendszerekkel.

Nem kihallgatás.

A cél az, hogy a valós működést lássuk, ne csak azt, ami papíron szerepel.

Az AI-megfelelőségi audit ugyanaz, mint az ISO 42001 audit?

Nem.

Az ISO/IEC 42001 egy AI-irányítási rendszerszabvány, amely követelményeket tartalmaz és megfelelő külső tanúsítási folyamat keretében tanúsítható. Az ISO megkülönböztet belső, második fél által végzett és harmadik fél által végzett auditokat; tanúsítást harmadik fél által végzett audit eredményezhet.

Egy általános AI-megfelelőségi audit vagy readiness audit ezzel szemben lehet egy felkészítő állapotfelmérés.

Segíthet:

• az AI Act felkészülésben;
• a hiányosságok feltárásában;
• AI-kockázatkezelés kialakításában;
• későbbi ISO/IEC 42001 felkészülésben.

De ettől még nem válik automatikusan tanúsítási audittá.

Ez fontos különbség.

Mi a helyzet az AI-hatásvizsgálattal?

Bizonyos AI-használatoknál nem elég csak a technikai működést nézni.

Azt is érdemes megvizsgálni, milyen hatást gyakorolhat a rendszer:

• emberekre;
• munkavállalókra;
• ügyfelekre;
• egyes csoportokra;
• alapvető jogokra;
• társadalmi környezetre.

Az ISO/IEC 42005 kifejezetten AI-rendszerek hatásvizsgálatához ad keretet, és az értékelést az AI teljes életciklusa során javasolja szükség szerint frissíteni.

Ez nem minden chatbot esetében jelent teljes körű hatásvizsgálatot.

De egy érzékeny döntést támogató rendszer esetében már egészen más a helyzet.

Ismét ugyanoda jutunk:

az audit mélységét a tényleges használat határozza meg.

Mikor érdemes AI-megfelelőségi auditot csinálni?

Különösen hasznos lehet, ha:

• már több AI-eszközt használ a cég;
• nem tudod pontosan, ki mit használ;
• belső AI-szabályzatot szeretnél;
• ügyfél vagy nagyvállalati partner megfelelőségi kérdéseket tesz fel;
• érzékeny adat kerül AI-rendszerbe;
• AI kerül HR- vagy döntési folyamatba;
• új AI-rendszert vezettek be;
• szeretnél felkészülni az AI Act követelményeire;
• ISO/IEC 42001 irányába szeretnél elindulni;
• egyszerűen szeretnéd tudni, hol vannak a valódi kockázatok.

Nem feltétlenül azért érdemes auditálni, mert „baj van”.

Sokkal kényelmesebb úgy ránézni a működésre, mielőtt probléma történik.

Gyakori kérdések az AI-megfelelőségi auditról

Muszáj minden AI-eszközt bevonni az auditba?

Az első leltárba érdemes minden üzleti célra használt AI-eszközt felvenni. Utána kockázati alapon eldönthető, melyiket kell részletesebben vizsgálni.

Mi történik, ha kiderül, hogy sok minden hiányzik?

Semmi rendkívüli. Az audit éppen azért készül, hogy ez láthatóvá váljon. A lényeg a priorizálás: először azokat a hiányosságokat érdemes kezelni, amelyek nagyobb kockázatot jelentenek vagy sürgősebbek.

Kell rögtön ISO 42001 tanúsítás?

Nem. Az ISO/IEC 42001 lehet jó hosszabb távú irány, de egy KKV AI-megfelelőségi felkészülése nem jelenti automatikusan azt, hogy rögtön tanúsításra van szüksége. Az ISO/IEC 42001 vállalati AI-irányítási rendszerhez biztosít keretet.

Egy AI-megfelelőségi audit jogi szakvélemény?

Nem feltétlenül. Egy szakmai compliance vagy readiness audit az AI-használatot, kockázatokat, folyamatokat és hiányosságokat vizsgálhatja. Amennyiben egy konkrét jogértelmezés vagy jogi állásfoglalás szükséges, azt megfelelő jogi szakértővel érdemes kezelni.

Mi a legfontosabb eredmény?

A priorizált intézkedési terv. Nem csak azt kell tudnod, mi hiányzik, hanem azt is, hogy mit érdemes először megoldani és mi várhat.

Összegzés

Az AI-megfelelőségi auditnak nem attól van értéke, hogy minél több problémát talál.

Hanem attól, hogy a végén egyszerűbb lesz a helyzet, mint előtte volt.

Tudod:

mit használtok → hol van kockázat → mi van rendben → mi hiányzik → mi legyen a következő lépés.

Nem kell mindenre egyszerre szabályzatot írni.

Nem kell minden AI-eszközt letiltani.

És nem kell minden KKV-nak ugyanazt a vállalati megfelelőségi rendszert felépíteni.

A jó megközelítés arányos.

Annyi kontroll legyen, amennyi az adott AI-használathoz valóban indokolt.

Szeretnéd tudni, hol tart most a céged?

Ha már használtok AI-eszközöket, de nem szeretnél egyedül végigmenni az AI Acten, szabványokon, kockázatokon és dokumentumokon, az első lépés lehet egy AI-megfelelőségi audit.

Feltérképezzük a jelenlegi AI-használatot, megkeressük a tényleges kockázatokat, és kapsz egy érthető, priorizált teendőlistát arról, mit érdemes rendbe tenni.

Nem több adminisztráció a cél. Hanem az, hogy pontosan tudd, mi a következő lépés.

Kérj árajánlatot AI-megfelelőségi auditra.