AI Act cégeknek: teendők és határidők 50–500 főnél

Gyors válasz: Az AI Act 50–500 fős cégeknél szerepfüggő teendőket szabályoz. A tilalmak és az MI-műveltség 2025. február 2. óta, a modellkötelezettségek 2025. augusztus 2. óta alkalmazandók. Az 50. cikk átláthatósági feladatai 2026. augusztus 2. óta élnek; a III. melléklet szabályai 2027. december 2-től, az I. mellékleté 2028. augusztus 2-től alkalmazandók ^1,3.

Összefoglaló gondolattérkép

AI Act cégeknek: teendők és határidők 50–500 főnél
│
├─ Előbb azonosítsd a rendszert
│   ├─ Rendeltetés és tényleges használat rendszerenként
│   ├─ Alkalmazói vagy vizsgálandó szolgáltatói szerep
│   └─ A létszám önmagában nem ad választ
│
├─ Válaszd ki a dátumot
│   ├─ Fő alkalmazási nap: 2026. augusztus 2.
│   ├─ III. mellékleti út: 2027. december 2.
│   └─ I. mellékleti út: 2028. augusztus 2.
│
├─ Készítsd fel a munkatársakat
│   ├─ A szerep, kockázat és tudás szabja a tartalmat
│   └─ A felügyelőnek hatáskör és támogatás is kell
│
└─ Kösd össze az iratokat
    ├─ Leltár, besorolás és határidő egy rendszersorban
    ├─ Használati utasításból tényleges munkafolyamat
    └─ Nyitott kérdésnek is legyen felelőse

A cég első döntése

Egy ipari beszállító vezetője nem a munkatársak számából tudja meg, melyik AI Act-kötelezettség vonatkozik rá. Három dolog szükséges a válaszhoz: mely MI-rendszereket használja vagy kínálja, az egyes rendszereknél mi a szerepe, és van-e olyan rendeltetés, amelyet magas kockázatúként kell megvizsgálni. A 3. cikk (4) bekezdése az alkalmazót a saját fennhatósága alatt rendszert használó szervezetként határozza meg, kivéve a személyes, nem szakmai tevékenységet ¹.

Az első munkalap ezért nem hosszú jogszabály-összefoglaló. Soronként egy rendszer kerül rá, rövid rendeltetéssel, tényleges használóval, a döntésért felelős vezetővel, a mellékelt használati utasítás helyével és az előzetes besorolási kérdéssel. Ez a módszer előbb megmutatja, milyen tényekről kell dönteni; csak ezután rendeli hozzájuk a szabályt. A Bizottság MI-műveltségi útmutatója is azt kérdezi, milyen MI-t használ a szervezet, fejleszt-e rendszert, és milyen kockázatokkal jár a használat ².

Az 50–500 fős sáv üzleti háttér, nem önálló jogi kategória ebben az elemzésben. Egy 60 fős és egy 400 fős szervezet ugyanazt a rendszert eltérő célra alkalmazhatja. A feladat tehát nem a létszám alapján készített általános kipipálás, hanem a tényleges rendszerek és szerepek vizsgálata. A határidőket is ehhez a térképhez kell kapcsolni: más dátum vonatkozik a rendelet fő alkalmazására és a két magas kockázatú útra ¹.

Az így készült leltár nem helyettesíti a besorolást. Arra való, hogy a cég ne egyetlen „MI-t használunk” mondatból vezessen le minden határidőt. Minden sorhoz visszakereshető döntés kell, mert csak egy azonosított rendszerre és rendeltetésre lehet az adott követelményt felelősen alkalmazni.

Az alkalmazói szerep

Az AI Act 3. cikkének (4) bekezdése szerint alkalmazó lehet természetes vagy jogi személy, hatóság vagy más szervezet, ha saját fennhatósága alatt MI-rendszert használ. A személyes, nem szakmai tevékenység kivétel ¹. A beszállító tehát nem válik automatikusan szolgáltatóvá attól, hogy megvesz egy rendszert és a munkatársai használják. A szerepet a konkrét tevékenységhez kell kötni, nem a vállalati önmeghatározáshoz.

Az egyik részleg használhat külső fejlesztésű eszközt, míg egy másik rendszert a cég maga épít vagy kínál. Ezért a munkalap soronként kérdezi meg, ki fejleszti és ki használja a rendszert. A Bizottság az MI-műveltségi program minimális tartalmánál is ezt a különbséget emeli ki: a szervezet szolgáltató vagy alkalmazó, és csak használ-e más által fejlesztett rendszert ². A két szerep összemosása hibás képzési és megfelelési tervhez vezetne.

Az alkalmazói minőség meghatározása nem válaszolja meg önmagában, hogy egy rendszer magas kockázatú-e. Előbb a rendszer rendeltetését és a rendelet besorolási útját kell ellenőrizni. Csak ezután dönthető el, hogy a magas kockázatú rendszerek alkalmazóira vonatkozó 26. cikk melyik konkrét használatra releváns ¹. Ez sorrendi kérdés: szerep, rendszer, kockázat, majd alkalmazói teendő.

A beszerzési és a bevezetési csapat ezért ugyanazt a rendszernevet használja a saját feljegyzéseiben, de eltérő kérdésre válaszol: az egyik a szállítótól származó rendeltetést és használati utasítást szerzi be, a másik azt rögzíti, hogy a munkatársak a vállalat fennhatósága alatt ténylegesen milyen feladatra alkalmazzák a rendszert ¹.

A szolgáltatói szerep

A 3. cikk (3) bekezdése szerint szolgáltató az, aki MI-rendszert fejleszt vagy fejlesztet, majd azt a saját neve vagy védjegye alatt forgalomba hozza vagy üzembe helyezi. A fogalom nemcsak a fizetős értékesítést érinti: a rendelet a forgalomba hozatalnál az ingyenes rendelkezésre bocsátást is számításba veszi ¹. Egy vállalat tehát attól, hogy belső informatikai csapata van, még nem válik szolgáltatóvá; a fejlesztéshez vagy megrendelt fejlesztéshez a saját név alatti forgalomba hozatal vagy üzembe helyezés tényét is hozzá kell kötni.

Ugyanaz a cég egy rendszer alkalmazója és egy másik szolgáltatója lehet. A munkalapon ezért a szerepet rendszerenként, a fejlesztési és bevezetési bizonyítékokkal együtt kell rögzíteni ^1,2.

A fontos dátumok

A határidő attól függ, melyik rendelkezés és melyik rendszer érintett. A Bizottság időrendje szerint a 4. cikk MI-műveltségi szabálya és az 5. cikk tilalmai már 2025. február 2. óta alkalmazandók. Az általános célú MI-modellek szolgáltatóira vonatkozó szabályok 2025. augusztus 2-től alkalmazandók. A 50. cikk érintett átláthatósági kötelezettségei 2026. augusztus 2-től alkalmazandók ³.

A dátumok nem jelentik azt, hogy minden vállalat minden felsorolt kötelezettség alanya. A már alkalmazandó feladatokat most kell ellenőrizni; a későbbi magas kockázatú szabályokhoz a rendszer rendeltetését és jogi besorolását kell dokumentálni ^1,3.

MI-műveltség a munkában

A 4. cikk (1) bekezdése szerint a szolgáltatóknak és alkalmazóknak intézkedéseket kell tenniük a munkatársak és a nevükben MI-rendszereket működtető vagy használó más személyek MI-műveltségének támogatására ¹. A rendelkezés nem egyetlen tananyagcímet mond minden cégnek. A Bizottság azt javasolja, hogy a program általános MI-ismeretre, a vállalat szerepére, a rendszerek kockázataira, a munkatársak tudására és a használat körülményeire épüljön ².

Az ipari beszállítónál a beszerző, a minőségellenőr és a vezető eltérő kérdéssel találkozik. A beszerzőnek tudnia kell, milyen rendszert szerez be és milyen használati információt kérjen. A tényleges használónak értenie kell az eszköz korlátait és azt, mikor adja tovább az eredményt. A vezetőnek látnia kell, mely rendszerek és szerepek szerepelnek a leltárban. Ez a munkakör szerinti felosztás a bizottsági szempontok gyakorlati alkalmazása, nem előírt háromszintű vizsgarendszer ².

A programról rövid belső feljegyzés készülhet: mely rendszerekről szólt, kik vettek részt, milyen kockázatokat tárgyaltak, és hogyan jelzik a munkatársak a problémát. A Bizottság útmutatója szerint nincs szükség meghatározott bizonyítványra; belső nyilvántartás használható a képzések és más tájékoztató lépések rögzítésére ². A 4. cikk nem ír elő kötelező képzést vagy kötött képzési formát: a szervezetnek a szerepekhez és a használat körülményeihez illő MI-műveltségi intézkedéseket kell megtennie ².

Az MI-műveltséget nem szabad összekeverni a magas kockázatú rendszer emberi felügyeletére kijelölt személy külön követelményeivel. A 26. cikk (2) bekezdése kifejezetten kompetenciát, képzést, hatáskört és támogatást ír elő e személyeknek ¹. Egy általános ismertető megtartása nem bizonyítja, hogy a felügyelő képes a saját rendszerében hibát felismerni és intézkedni.

Az oktatás eredményét a munkakör felől érdemes ellenőrizni: a használó tudja-e megnevezni a rendszer célját és korlátait, a felügyelő felismeri-e a jelzést igénylő helyzetet, a vezető pedig el tudja-e dönteni, ki jogosult a használat módosítására; ez a szerephez igazított kérdéssor a bizottsági szempontokból következik ².

A magas kockázat jelei

A magas kockázatú besorolás két külön úton merül fel. A 6. cikk (1) bekezdése szerint az I. mellékleti út mindkét feltételét teljesíteni kell: a rendszer maga az ott felsorolt uniós termékszabályozás alá tartozó termék, vagy annak biztonsági alkatrésze, és a terméknek harmadik fél általi megfelelőségértékelésre kell kötelezettnek lennie ¹. A 6. cikk (2) bekezdése a III. mellékletben felsorolt rendeltetésekre utal; az álláspályázatok elemzése és szűrése bizottsági példa ^1,3.

Kitöltött, hipotetikus munkalapsor: rendszer: álláspályázatokat szűrő eszköz; cél: jelentkezések előválogatása; vállalati szerep: alkalmazó, ha a cég saját fennhatósága alatt használja; besorolási indok: a III. melléklet foglalkoztatási példája felmerül; releváns időpont: 2027. december 2. az érintett magas kockázatú szabályokra; teendő: a pontos rendeltetés és esetleges kivétel jogi ellenőrzése, majd a használati és felügyeleti terv elkészítése ^1,3. Ez kitalált munkalap, nem valós cég besorolási döntése.

A hiányzó műszaki leírás vagy rendeltetés nyitott kérdés marad. Ilyenkor a szállítótól kell beszerezni a dokumentumot, és a besorolási indokot csak annak ellenőrzése után lezárni ¹.

Az alkalmazó fő feladata

Magas kockázatú MI-rendszer alkalmazójaként a vállalatnak a 26. cikk (1) bekezdése szerint megfelelő technikai és szervezési intézkedésekkel kell biztosítania, hogy a rendszert a mellékelt használati utasításnak megfelelően alkalmazzák ¹. Ez többet jelent annál, hogy az utasítást egyszer elmentik egy közös mappába. A tényleges folyamatot kell úgy kialakítani, hogy a használók hozzáférjenek az útmutatóhoz és az abban leírt keretek között dolgozzanak.

A Bizottság navigációs útmutatója azt is hangsúlyozza, hogy az alkalmazó figyelje a működést, reagáljon a kockázatokra vagy súlyos eseményekre, biztosítsa az emberi felügyeletet, és gondoskodjon arról, hogy az általa biztosított bemeneti adatok relevánsak és kellően reprezentatívak legyenek ³. Ezeket a pontokat egyetlen vállalati folyamatban kell látni: használat előtt tudni, milyen bemenet megengedett; használat közben figyelni a hibát; probléma esetén tudni, ki léphet.

Az alkalmazó számára ezért kézzelfogható kérdések keletkeznek. Hol van a használati utasítás? Ki hagyja jóvá a bevezetett beállítást? Hogyan jut el egy hibajelzés az arra jogosult személyhez? Mely bemeneti adatokból születik az eredmény? A válaszokat a konkrét rendszerre kell megadni. A források nem mondanak általános, minden beszállítóra érvényes munkafolyamatot ^1,3.

Az általános MI-műveltségi intézkedések és a 26. cikk szerinti alkalmazói teendők egymást erősíthetik, de nem azonosak. Egy dolgozó ismerheti az MI alapfogalmait, mégsem tudhatja, hogy az adott magas kockázatú rendszer használati utasítása milyen hibajelzést vagy adatellenőrzést kíván. A rendszerhez kötött betanítás és az általános tájékoztatás ezért külön sorban szerepelhet a tervben ^1,2,3.

Ha a használati utasítás szerint egy lépéshez meghatározott bemenet szükséges, a vállalati eljárásnak azt is meg kell mutatnia, ki ellenőrzi a bemenetet és mit tesz, ha hiányos; különben a dokumentum megléte és a tényleges használat között olyan rés marad, amelyet a 26. cikk (1) bekezdése éppen kezelni kíván ^1,3.

Emberi felügyelet valóban

A 26. cikk (2) bekezdése szerint az emberi felügyeletet olyan természetes személyekre kell bízni, akik rendelkeznek a szükséges kompetenciával, képzéssel, hatáskörrel és támogatással ¹. A kijelölés nem puszta név. A beszállítónál a felügyelőnek értenie kell, milyen feladatban használják a rendszert, milyen jelek utalnak hibára, milyen döntést hozhat önállóan, és kit értesít, ha a probléma túlmutat a jogkörén.

Az első próba legyen konkrét. A felügyelő kapjon egy hibás vagy bizonytalan kimenetet, majd mutassa meg, milyen információt néz meg, megállítja-e a folyamatot, és hogyan rögzíti a döntést. Ez teszteli a valódi munkarendet. Nem állítja, hogy minden MI-rendszerhez azonos vészgomb tartozik; a technikai lépést az adott rendszer használati utasításához kell igazítani ¹.

Hatáskör nélkül a felügyelet látszólagos. Ha a munkatárs csak észlelheti a hibát, de nincs felhatalmazása a további használat megakadályozására vagy az ügy továbbítására, a 26. cikkben felsorolt feltételek közül egy hiányozhat ¹. A vezetőségnek ezért le kell írnia, mikor és hogyan léphet közbe a kijelölt személy, és ki helyettesíti távollétében.

A támogatás szintén gyakorlati kérdés. A felügyelőnek időre, elérhető dokumentációra és működő jelzési csatornára van szüksége, különben a képzésben megismert szabályt nem tudja alkalmazni. A rendszer működésének figyelését és a kockázatokra adott választ a Bizottság is az alkalmazói teendők között sorolja fel ³. A bizonyítható felügyelet tehát a személy, a jogosultság és az eszköz kapcsolatán múlik.

A próbában egy vezetőnek azt is meg kell figyelnie, hogy a kijelölt felügyelő valóban dönthet-e a munkafolyamat megszakításáról és kap-e segítséget a jelzés kivizsgálásához, mert a formálisan kiosztott feladat és a ténylegesen használható hatáskör között csak egy ilyen helyzetben látszik meg a különbség ¹.

Az iratok rendje

A cég munkacsomagja több, egymáshoz kapcsolódó rövid dokumentumból állhat: rendszerleltár, szerep- és besorolási döntés, dátumtérkép, MI-műveltségi intézkedések nyoma, magas kockázatú rendszer esetén a használati utasításhoz kötött eljárás és az emberi felügyelet kijelölése. Ez szervezési javaslat, nem a rendeletben egyetlen cím alatt megkövetelt csomag ^1,2,3.

Az iratok legfontosabb kapcsolata a rendszerazonosító. Ha a képzési napló általában „MI-ről” szól, a felügyeleti kijelölés pedig nem nevezi meg a rendszert, nehéz megállapítani, hogy az érintett dolgozók a tényleges feladatra készültek-e. A 4. cikk szerinti intézkedéseknél a Bizottság a használt rendszer kockázatát és a személyek tudását is vizsgálandónak tartja ².

Magas kockázatú rendszernél különösen fontos az utasítás és a valós munkamenet összekötése. A 26. cikk (1) bekezdése nem puszta dokumentumgyűjtést kér, hanem a használati utasítással összhangban álló alkalmazást ¹. Egy ellenőrzési lap ezért megmutathatja, ki ismerte meg az utasítást, mely pont került be a folyamatba, és ki ellenőrzi a további működést. A részletek a konkrét rendszerhez igazodnak.

Az iratoknak időben is követniük kell a változást. Új célra használt rendszer, új felhasználói csoport vagy módosított használati utasítás új kérdéseket vethet fel a szerepnél, kockázatnál és képzésnél. A leltár felülvizsgálatának ezért legyen felelőse. Ez nem önálló, itt idézett határidő, hanem módja annak, hogy a vállalat döntései ne egy már elavult rendszerképet tükrözzenek ^1,2.

Egy jól vezetett munkacsomagban a nyitott kérdés is látható marad: például a szállítótól várt rendeltetési leírás, a kijelölendő helyettes vagy a hiányzó betanítás, mert ezek eltüntetése a státuszjelentésből hamis készültséget mutatna, miközben a konkrét rendszerhez kapcsolódó döntés még nem született meg ^1,2.

Ütemterv a cégnél

A teendőket rendszerazonosítóhoz, felelős szerephez, bizonyítékhoz és kezdőnaphoz kell kötni. A következő tábla az ipari beszállító használható munkaterve; a tényleges rendszerekre külön sorokat kell kitölteni.

Szavakkal az ábra így ágazik el: a rendszerlista és a szerep az MI-műveltségi és tiltási ellenőrzéshez vezet. Ezután az interaktív vagy generatív rendszer átláthatóságát kell vizsgálni. A magas kockázatú út külön kérdés: az I. mellékleti termékfeltételek vagy a III. mellékleti rendeltetés alapján kijelölt teendő és időpont következik; változáskor újra kell nézni a sort ^1,2,3.

Amit a cikk nem dönt el

Ez az útmutató nem minősít egy meg nem nevezett beszállítói rendszert magas kockázatúnak vagy alacsonyabb kockázatúnak. Ehhez a rendeltetés, a dokumentáció és a rendelet megfelelő besorolási útjának összevetése kell ¹. Nem döntheti el azt sem, hogy a cég minden projektjénél kizárólag alkalmazó-e. A szerep a konkrét rendszerhez kötődik; fejlesztési vagy kínálati tevékenység külön vizsgálatot kíván ^1,2.

A dátumtábla nem a rendelet minden szabályának teljes időrendje. A fő alkalmazási nap és a két megnevezett magas kockázatú halasztás a 113. cikk itt idézett része. Más rendelkezésekre nem szabad automatikusan ugyanazt a dátumot ráírni ¹. Ha egy konkrét kötelezettség kezdőnapja vitás, a cégnek az adott rendelkezést és a hatályos szöveget kell külön ellenőriznie.

Az MI-műveltség tartalmára sem létezik egyetlen, minden szerepkörre azonos kurzus. A Bizottság kérdéssora szempontokat ad, amelyekből a vállalat a saját rendszereihez illő intézkedéseket alakíthat ki ². Az emberi felügyelet ugyanígy nem pipálható ki pusztán egy névvel: a 26. cikk konkrét személyi feltételeket nevez meg ¹.

Következő lépések

Kezdj egy rövid rendszerlistával, majd minden sornál rögzítsd a szerepet, a rendeltetést, a kockázati kérdést és az érintett dátumot. A kapcsolódó témákhoz olvasd el az MI-irányítási áttekintést, az MI-nyilvántartás felépítését és az emberi felügyelet tervezését.

Ha a saját munkalapodat szeretnéd összerendezni, nyisd meg az EU AI Act Documentation Pack oldalt.