Az AI Act megfelelését nem lehet egyetlen kérdéssel ellenőrizni.

Az, hogy „használunk ChatGPT-t”, önmagában még nem mondja meg, milyen kötelezettségeid vannak. Ugyanaz az AI-eszköz teljesen más jogi helyzetet teremthet attól függően, hogy marketinges szöveget készít, ügyfelekkel kommunikál, állásjelölteket értékel vagy üzleti döntést támogat.

Ezért egy használható AI Act checklistnek öt dolgot kell sorban tisztáznia:

1. Milyen AI-rendszereket használunk?
2. Milyen szerepben vagyunk az egyes rendszereknél?
3. Milyen kockázati és szabályozási kategóriába esik a használat?
4. Mely konkrét kötelezettségek vonatkoznak ránk?
5. Mivel tudjuk bizonyítani, hogy ezeket kezeljük?

Ha az öt kérdésre rendszerenként dokumentált választ tudsz adni, már jóval pontosabban látod a vállalkozás AI Act-kitettségét.

Ha valamelyik pontnál csak az a válasz, hogy „nem tudjuk”, az önmagában is fontos auditmegállapítás.

Fontos: ez az önellenőrzés általános megfelelőségi előszűrés. Nem helyettesít egyedi jogi értékelést vagy hatósági állásfoglalást.

Röviden: az 5 lépéses AI Act checklist

Lépés	Fő kérdés	Elvárt eredmény
1. AI-leltár	Mit használunk és mire?	teljes használatieset-lista
2. Szerepkör	Alkalmazó vagy szolgáltató vagyunk?	szerepkör rendszerenként
3. Kockázat	Tiltott, átláthatósági, high-risk vagy alacsonyabb kockázat?	előzetes besorolás
4. Kötelezettség	Mit kell ténylegesen megtennünk?	követelménylista
5. Bizonyíték	Mivel tudjuk igazolni?	gap + intézkedési terv

Az ellenőrzést ne vállalati szinten egyetlen igen/nem válasszal végezd el.

Rendszerenként és felhasználási esetenként haladj.

---

1. lépés: készíts valódi AI-leltárt

Az első kérdés nem az, hogy megfelelsz-e az AI Actnek.

Hanem:

Pontosan milyen AI-rendszereket használ a vállalkozás?

Ez egyszerűnek hangzik, de gyakran már itt megjelenik az első probléma.

A vezetőség ismer három rendszert.

A marketing használ további kettőt.

Az értékesítők saját ChatGPT-fiókkal dolgoznak.

A CRM-ben közben bekapcsoltak egy AI-funkciót.

A weboldalon pedig egy külső szolgáltató chatbotja működik.

Ha ezek nincsenek egy helyen nyilvántartva, a további megfelelőségi vizsgálat eleve hiányos lesz.

Mit írj bele az AI-leltárba?

Legalább ezeket:

Mező	Mit rögzíts?
AI-rendszer	szolgáltatás vagy rendszer neve
Szolgáltató	ki biztosítja?
Felhasználási cél	pontosan mire használjuk?
Folyamat	marketing, HR, sales, ügyfélszolgálat stb.
Felhasználók	kik használják?
Bemenő adatok	milyen adat kerül bele?
Kimenet	mit állít elő?
Érintettek	ügyfél, munkavállaló, jelentkező stb.
Döntési szerep	csak segít vagy döntést is támogat?
Emberi kontroll	ki ellenőrzi az eredményt?

Miért nem elég annyit írni, hogy „ChatGPT”?

Mert ez két teljesen különböző használat lehet:

A eset

ChatGPT → ötleteket ad Facebook-posztokhoz → marketinges ellenőrzi → publikálás.

B eset

AI → önéletrajzokat értékel → jelentkezőket rangsorol → HR ez alapján dönt.

Technológiailag mindkettő AI-használat.

Kockázati szempontból viszont teljesen eltérő.

Az AI Act maga is a rendszer rendeltetését és konkrét használati kontextusát kezeli fontos szempontként. Az AI-rendszer definíciója olyan gépi rendszert fed le, amely inputokból többek között előrejelzéseket, tartalmat, ajánlásokat vagy döntéseket állít elő.

Ellenőrző kérdések

• Van központi listánk az AI-rendszerekről?
• A nem hivatalosan használt AI-eszközöket is ismerjük?
• Tudjuk, milyen adatot töltenek a kollégák az egyes rendszerekbe?
• Dokumentáltuk a pontos felhasználási célt?
• Tudjuk, érint-e természetes személyeket?
• Tudjuk, befolyásol-e emberről hozott döntést?

Ha ezek közül több kérdésre „nem” a válasz, az első feladatod még nem a megfelelőség bizonyítása, hanem az AI-leltár rendezése.

---

2. lépés: határozd meg a vállalkozás szerepét

Az AI Act nem minden szereplőtől ugyanazt várja el.

Ezért a következő kérdés:

Mit csinálunk az adott AI-rendszerrel?

Két különösen fontos szerep:

Alkalmazó – deployer

Az AI Act szerint alkalmazó az a szervezet, amely saját irányítása alatt használ egy AI-rendszert, kivéve a tisztán személyes, nem szakmai használatot.

Példa:

Egy webshop külső AI-chatbot szolgáltatást használ az ügyfélszolgálaton.

A webshop tipikusan alkalmazói pozícióból indul.

Szolgáltató – provider

Szolgáltató lehet az a szervezet, amely AI-rendszert fejleszt vagy fejlesztet, majd azt saját neve vagy védjegye alatt helyezi piacra vagy helyezi üzembe.

Ez lényegesen több kötelezettséggel járhat.

Egyszerű döntési ellenőrzés

Tedd fel ezt a négy kérdést:

1. Kész, külső AI-terméket használok belső célra?

→ valószínűleg alkalmazói szerep.

2. Saját nevem alatt adom tovább az AI-rendszert az ügyfelemnek?

→ vizsgáld meg a szolgáltatói szerepet.

3. Jelentősen módosítom a rendszer működését vagy rendeltetési célját?

→ külön vizsgálat szükséges.

4. Az AI egy általam értékesített termék vagy szolgáltatás része?

→ ne feltételezd automatikusan, hogy csak alkalmazó vagy.

A Bizottság is külön kezeli a szolgáltatókat és az alkalmazókat; például egy CV-szűrő rendszer fejlesztője szolgáltató lehet, míg az azt használó szervezet alkalmazó.

Elemzői megjegyzés

Ne cégszinten határozd meg a szerepedet.

Elképzelhető, hogy ugyanaz a vállalkozás:

• az egyik AI-eszköznél alkalmazó;
• egy másik saját AI-megoldásnál szolgáltató.

Ezért a szerepkört az AI-leltár minden egyes sorához külön érdemes hozzárendelni.

---

3. lépés: vizsgáld meg a kockázati és szabályozási kategóriát

Most érkezünk a legfontosabb szűrőhöz.

Nem minden AI-rendszerre ugyanazok a szabályok vonatkoznak.

A vizsgálatot érdemes ebben a sorrendben végezni:

Tiltott? → speciális átláthatóság érinti? → high-risk? → egyik sem?

3.1. Első szűrő: tiltott AI-gyakorlatról van szó?

Bizonyos AI-használatokat az AI Act tilt.

Ilyen például többek között bizonyos:

• manipulatív vagy megtévesztő AI-használat;
• sérülékenységeket kihasználó rendszer;
• social scoring;
• arcfelismerő adatbázis létrehozására irányuló válogatás nélküli képscraping;
• érzékeny tulajdonságokat kikövetkeztető biometrikus kategorizálás;
• munkahelyi vagy oktatási környezetben végzett érzelemfelismerés, meghatározott kivételektől eltekintve.

Gyors KKV-s kérdés

Használunk olyan rendszert, amely:

• munkavállalók érzelmeit próbálja felismerni?
• biometrikus adatokból érzékeny jellemzőket következtet?
• embereket olyan módon pontoz vagy kategorizál, amely hátrányos bánásmódhoz vezethet?
• manipulatív módon próbál emberi viselkedést befolyásolni?

Ha igen, ne menj tovább egyszerű checklistként.

Ez már részletes jogi vizsgálatot igényel.

3.2. Második szűrő: van átláthatósági kötelezettség?

1. augusztus 2-től alkalmazandók az AI Act bizonyos AI-rendszerekre és AI-generált tartalmakra vonatkozó átláthatósági szabályai.

Ez különösen releváns lehet például:

• természetes személyekkel kommunikáló AI-rendszereknél;
• chatbotoknál;
• deepfake tartalomnál;
• bizonyos AI-generált vagy manipulált, közérdekű témájú publikációknál.

A Bizottság szerint az Article 50 célja többek között az AI-interakciók és egyes generált tartalmak mesterséges eredetének átláthatóvá tétele.

Ellenőrző kérdések

• Kommunikál az AI közvetlenül ügyféllel?
• Egyértelmű számára, hogy AI-val beszél?
• Generálunk nyilvánosan közzétett AI-tartalmat?
• Készítünk deepfake vagy manipulált médiatartalmat?
• Megvizsgáltuk az Article 50-et?

Ha chatbot van a weboldalon, de senki nem vizsgálta az Article 50 követelményeit, jelöld ezt legalább sárga státusznak.

3.3. Harmadik szűrő: lehet high-risk?

A high-risk besorolást nem az dönti el, hogy az AI „nagyon okos”.

A használati cél a meghatározó.

Az Annex III érzékeny területeket sorol fel, többek között biometrikus alkalmazásokat, kritikus infrastruktúrát, oktatási, foglalkoztatási, alapvető szolgáltatási, bűnüldözési és migrációs felhasználásokat.

Egy KKV számára különösen érdemes megállni, ha AI-t használ:

• toborzásra;
• állásjelöltek értékelésére;
• munkavállalók értékelésére;
• hitelképességhez vagy más érzékeny pénzügyi döntéshez;
• biometrikus feldolgozásra;
• természetes személyeket jelentősen érintő döntési folyamatban.

Fontos időzítés

A 2026-os AI Omnibus után az Annex III alá tartozó nagy kockázatú AI-rendszerekre vonatkozó szabályok 2027. december 2-től, a szabályozott termékekbe épített Annex I rendszereknél pedig 2028. augusztus 2-től alkalmazandók.

Ez több felkészülési időt jelent.

Nem azt, hogy nincs mit ellenőrizni.

Ha ma beszerzel egy potenciálisan high-risk HR-rendszert, üzletileg sokkal egyszerűbb a megfelelő kontrollokat már a beszerzéskor megvizsgálni, mint egy év múlva utólag újratervezni a teljes folyamatot.

---

4. lépés: állapítsd meg, mely kötelezettségek érintenek

Ha az első három lépést elvégezted, végre értelmesen lehet követelményeket ellenőrizni.

Fordított sorrendben ez nem működik.

Ha például automatikusan ráteszed egy egyszerű marketinges AI-eszközre a teljes high-risk követelménylistát, könnyen felesleges adminisztrációt építesz.

AI-jártasság

Az AI-jártasság már 2025. február 2. óta alkalmazandó terület. A 2026-os módosítás után továbbra is kötelezettség intézkedéseket tenni a munkatársak AI-jártasságának fejlesztésére, de nincs minden szervezetre előírt konkrét vagy „elégséges” kötelező szint.

Ellenőrizd:

• Tudják a kollégák, milyen AI-t használhatnak?
• Tudják, milyen adatot nem szabad feltölteni?
• Ismerik a rendszer fontos korlátait?
• Tudják, mikor kell ellenőrizni az AI eredményét?
• Tudják, kihez forduljanak problémánál?
• Dokumentáljuk a képzést vagy más AI-jártassági intézkedést?

Ha csak annyi történt, hogy:

„Küldtünk egyszer egy e-mailt, hogy óvatosan használjátok a ChatGPT-t”

akkor érdemes megvizsgálni, hogy ez valóban arányos-e a tényleges felhasználással.

Ha high-risk AI-rendszert alkalmazol

Az alkalmazói kötelezettségek már lényegesen részletesebbek.

Az Article 26 többek között előírja:

• a rendszer használati utasítás szerinti alkalmazását;
• megfelelő kompetenciával és felhatalmazással rendelkező emberi felügyelet biztosítását;
• bizonyos bemeneti adatok megfelelőségének kezelését;
• a működés monitorozását;
• egyes kockázatok és súlyos események jelzését;
• az alkalmazó ellenőrzése alatt lévő automatikus naplók legalább hat hónapos megőrzését;
• munkahelyi alkalmazás bizonyos eseteiben az érintett munkavállalók és képviselőik tájékoztatását.

A kapcsolódó képzési tudásanyag ugyancsak kiemeli a nagy kockázatú AI-rendszereknél a kockázatkezelést, adatkezelést, dokumentációt, nyilvántartást, átláthatóságot, emberi felügyeletet, pontosságot és kiberbiztonságot.

Ne kövesd el ezt a hibát

Az önellenőrzésnél ne csak ezt kérdezd:

„Van szabályzatunk?”

Hanem ezt:

„Működik a kontroll, és bizonyítani is tudjuk?”

Például:

Van emberi felügyelet.

Ez még nem teljes válasz.

Ki?

Milyen jogosultsággal?

Milyen tudással?

Mit ellenőriz?

Mikor avatkozik be?

Le tudja állítani a folyamatot?

Ezek már ellenőrizhető állítások.

---

5. lépés: bizonyíték + gap + intézkedési terv

Az utolsó lépésben ne újabb követelményeket keress.

Ellenőrizd, mivel tudod alátámasztani a válaszaidat.

Ez különbözteti meg a valódi megfelelőségi állapotot az érzéstől, hogy:

„Szerintem ezzel rendben vagyunk.”

Használj három státuszt

Zöld – bizonyítottan rendben

A követelmény releváns, kezeljük, és bizonyítékunk is van rá.

Például:

• dokumentált AI-képzés;
• jóváhagyott szabályzat;
• napló;
• szerződés;
• technikai kontroll;
• verziózott AI-leltár.

Sárga – részben rendezett

Van valamilyen kontroll, de:

• nincs dokumentálva;
• nem minden munkatársra terjed ki;
• régi;
• nem rendszeres;
• vagy nem tudjuk bizonyítani.

Piros – hiányzik vagy jelentős bizonytalanság van

Például:

• potenciálisan high-risk AI-t használunk, de nem vizsgáltuk;
• nincs emberi kontroll;
• tiltott használat gyanúja merül fel;
• nem tudjuk, milyen adat kerül a rendszerbe;
• nincs felelős;
• nincs incidenskezelési út.

Minta AI Act önellenőrző tábla

Ellenőrzési pont	Státusz	Bizonyíték	Teendő
AI-leltár	🟡	részleges lista	shadow AI felmérése
Szerepkör	🟡	nincs formálisan rögzítve	rendszerenként besorolni
Tiltott használat	🟢	átvizsgálva	éves felülvizsgálat
AI-jártasság	🟡	egyszeri oktatás	szerepkörre szabott képzés
Chatbot átláthatóság	🔴	nincs	Article 50 ellenőrzése
High-risk AI	🟢	nincs azonosított	új beszerzésnél újravizsgálni
AI-használati szabályzat	🟡	draft	jóváhagyás + kommunikáció
Incidenskezelés	🔴	nincs AI-specifikus út	felelős és folyamat kijelölése

Ez a táblázat már nem pusztán checklist.

Ez egy mini GAP-analízis.

A saját megfelelőségi képzési anyag is a kockázati besorolás, GAP-analízis, dokumentáció és kontrollok egymásra épülő vizsgálatát javasolja; az értékelésnél pedig a megfelelés mértéke, üzleti hatás és végrehajthatóság alapján érdemes prioritást képezni.

---

Hogyan priorizáld a talált hiányosságokat?

Ne abból indulj ki, melyik dokumentumot a legkönnyebb megírni.

Használj három tényezőt:

1. Kockázat

Mi történhet, ha nem kezeljük?

2. Sürgősség

Már alkalmazandó követelményről van szó vagy későbbi high-risk kötelezettségről?

3. Megvalósítás

Mennyi idő és erőforrás kell a javításhoz?

Például:

Probléma	Kockázat	Sürgősség	Prioritás
chatbot nem jelzi egyértelműen az AI-interakciót	magasabb	most	magas
nincs AI-leltár	közepes	most	magas
high-risk rendszer 2027-es dokumentációja hiányos	magas	későbbi	közepes/magas
marketinges AI policy formázása nem egységes	alacsony	alacsony	alacsony

A cél nem az, hogy minden piros mezőt egyszerre zöldre változtass.

A cél az, hogy először a legnagyobb kockázatot csökkentsd.

---

10 kérdéses gyors AI Act előszűrés

Ha most csak öt perced van, válaszolj erre a tíz kérdésre:

1. Van teljes AI-leltárunk?
2. Tudjuk, milyen üzleti célra használjuk az egyes AI-rendszereket?
3. Meghatároztuk a szerepünket minden rendszernél?
4. Ellenőriztük a tiltott AI-gyakorlatokat?
5. Vizsgáltuk az Article 50 átláthatósági követelményeit?
6. Használunk AI-t HR-ben vagy más érzékeny döntési folyamatban?
7. Ellenőriztük, lehet-e valamelyik rendszer high-risk?
8. Van működő AI-jártassági intézkedésünk?
9. Tudjuk, ki felel az egyes AI-rendszerekért?
10. A fenti válaszokat dokumentumokkal is bizonyítani tudjuk?

Értelmezés

8–10 biztos „igen”

Jó alapokon állsz, de a releváns rendszerek részletes vizsgálata továbbra is szükséges lehet.

5–7 „igen”

Valószínűleg több kontroll működik már, de vannak jelentős vakfoltok.

0–4 „igen”

Nem feltétlenül jelenti azt, hogy jogsértő a működés.

Azt viszont igen, hogy jelenleg nehéz lenne bizonyítani, hogy a vállalkozás kontroll alatt tartja az AI-használatát.

Ez fontos különbség.

---

Mi van, ha csak ChatGPT-t és Copilotot használunk?

Akkor is érdemes végigmenni az első öt lépésen.

De az eredmény várhatóan jóval egyszerűbb lesz, mint egy high-risk AI-rendszert alkalmazó cégnél.

Például a vizsgálat fókusza lehet:

• AI-jártasság;
• adatkezelési szabályok;
• hozzáférések;
• kimenetek ellenőrzése;
• publikus AI-tartalmak;
• esetleges chatbot-transzparencia.

Az AI Act a deployereket is a hatálya alá vonja, ha a szervezet az EU-ban használ AI-rendszert.

Ez ugyanakkor nem jelenti azt, hogy minden AI-t használó cég high-risk szabályrendszer alá kerül.

A Bizottság szerint a jelenleg használt AI-rendszerek nagy része minimális vagy alacsony kockázatú kategóriába tartozik.

Ezért fontos az elemzés.

Nem a lehető legtöbb kötelezettséget kell megtalálni.

Hanem a ténylegesen relevánsakat.

---

Mikor nem elég már az önellenőrző checklist?

Állj meg és kérj részletesebb szakmai vizsgálatot, ha:

• nem egyértelmű, alkalmazó vagy szolgáltató vagy-e;
• HR-ben használtok AI-t;
• az AI természetes személyről hoz vagy támogat fontos döntést;
• biometrikus adatot kezel;
• munkavállalókat monitoroz;
• magas kockázatú besorolás gyanúja merül fel;
• tiltott gyakorlat lehetősége felmerül;
• érzékeny személyes adatokkal dolgozik;
• az AI egy saját értékesített termék vagy szolgáltatás része;
• hatósági vagy nagyvállalati partneri megfelelőségi bizonyítékot kell adnod.

Ilyenkor az egyszerű checklist célja már teljesült:

megmutatta, hol kell mélyebbre menni.

---

Gyakori kérdések az AI Act checklistről

Létezik hivatalos, minden KKV-ra érvényes AI Act checklist?

Nincs egyetlen olyan rövid ellenőrzőlista, amely minden vállalkozás és minden AI-használat megfelelőségét automatikusan igazolná. Az AI Act a szerepkörtől, a rendszer típusától, rendeltetésétől és kockázatától függően eltérő kötelezettségeket ír elő. A Bizottság AI Act Service Deskje ezért is több külön szabályozási terület és szerepkör szerint strukturálja az információkat.

Ha minden pont zöld, biztosan megfelelünk?

Nem feltétlenül. A checklist előszűrésre alkalmas. A tényleges megfelelőség az adott rendszer, szerepkör, felhasználási cél és egyéb alkalmazandó jogszabályok részletes értékelésétől is függhet.

Milyen gyakran frissítsük az önellenőrzést?

Nincs minden KKV-ra egységes időköz. Gyakorlati minimumként új AI-rendszer bevezetésekor, lényeges felhasználási változáskor vagy jogszabályváltozáskor mindenképpen érdemes újravizsgálni az érintett sort az AI-leltárban.

Kell hozzá ISO/IEC 42001?

Nem. Az ISO/IEC 42001 használható strukturált AI-irányítási keretként, de egy egyszerű AI Act önellenőrzéshez nem előfeltétel.

Mi legyen az első dokumentum?

Ha jelenleg semmi nincs, az AI-rendszerleltár a legjobb kiindulópont. Amíg nem tudod, mit használtok és mire, addig nehéz megbízható követelménylistát készíteni.

---

Összegzés: a checklist célja nem a pipa, hanem a bizonyítható válasz

Az AI Act önellenőrzésnél az egyik legveszélyesebb válasz:

„Szerintünk ez ránk nem vonatkozik.”

A fontosabb kérdés:

„Mi alapján jutottunk erre a következtetésre, és hol van dokumentálva?”

Ezért az öt lépés:

1. AI-leltár
Mit használunk?

2. Szerepkör
Mit csinálunk vele?

3. Kockázati besorolás
Milyen szabályozási kategória érintheti?

4. Kötelezettségek
Mit kell konkrétan teljesíteni?

5. Bizonyíték és GAP
Mivel tudjuk igazolni, és mi hiányzik?

Ha ezt rendszerenként végigviszed, az AI Act többé nem egy több száz oldalas, nehezen értelmezhető rendeletként jelenik meg.

Hanem egy sor ellenőrizhető kérdésként.