Mit szabályoz az AI-rendelet
A mesterséges intelligenciáról szóló rendelet, közkeletű nevén AI-rendelet (az (EU) 2024/1689 rendelet) az Európai Unióban szabályozza a mesterséges intelligencia rendszerek fejlesztését, forgalomba hozatalát és használatát. Mivel rendeletről van szó, minden tagállamban közvetlenül alkalmazandó, és nem kell átültetni a nemzeti jogba. A tagállamoknak ki kell jelölniük a felügyeletet ellátó nemzeti hatóságaikat, és meg kell állapítaniuk a szankciókra vonatkozó szabályokat. A magyarországi aktuális információkat a hivatalos jogszabálytárban és a hatóságok oldalain kövesse nyomon.
A rendelet kockázatalapú: minél inkább befolyásolhatja egy rendszer az emberek egészségét, biztonságát és alapvető jogait, annál több kötelezettség vonatkozik rá. Hatálya a szolgáltatókra és üzemeltetőkre terjed ki az EU-ban, valamint az EU-n kívüli szolgáltatókra is, ha rendszereik eredményeit az EU-ban használják. Mentesül többek között a katonai és védelmi felhasználás, a tudományos kutatás és a kizárólag személyes, nem szakmai használat. Rendszere osztályát az oldalon található eszközzel ellenőrizheti.
Négy kockázati osztály
| Osztály | Példák | Következmény |
|---|---|---|
| Tiltott gyakorlatok (5. cikk) | Társadalmi pontozás, manipulatív technikák, a munkavállalók érzelmeinek felismerése, arcképmások célzás nélküli begyűjtése | A használat nem megengedett |
| Nagy kockázatú rendszerek (6. cikk, I. és III. melléklet) | Álláspályázók rangsorolása, hitelképesség-értékelés, orvostechnikai eszközök vagy gépek biztonsági komponensei | Kiterjedt követelmények a szolgáltatókra és az üzemeltetőkre |
| Korlátozott kockázat: átláthatóság (50. cikk) | Csevegőrobotok, képek és szövegek generálása, deepfake-ek | A felhasználók tájékoztatása és a tartalmak megjelölése |
| Minimális kockázat | Spamszűrők, készletelőrejelzés, termékajánlók | Nincs külön kötelezettség, az MI-ismeretek kivételével |
A III. melléklet szerinti nagy kockázatú rendszerek azok, amelyeket a biometria, a kritikus infrastruktúra, az oktatás, a foglalkoztatás és a munkaerő-irányítás, az alapvető állami és magánszolgáltatásokhoz való hozzáférés (például hitelképesség-értékelés, valamint életbiztosítások és egészségbiztosítások kockázatértékelése és díjképzése), a bűnüldözés, a migráció és a határellenőrzés, valamint az igazságszolgáltatás és a demokratikus folyamatok területén használnak.
A III. melléklet körébe tartozó rendszer nem nagy kockázatú, ha nem jelent jelentős kockázatot, például mert csak szűk eljárási vagy előkészítő feladatot lát el. Ez a kivétel nem érvényes, ha a rendszer természetes személyek profilozását végzi. A szolgáltatónak az ilyen értékelést dokumentálnia kell.
Szolgáltató vagy üzemeltető: ki miért felel
A kötelezettségek a szerepkörtől függenek. A szolgáltató az MI-rendszert fejleszti, vagy saját nevén vagy védjegyén forgalomba hozza, illetve üzembe helyezi. Az üzemeltető a szakmai tevékenysége keretében használja a rendszert. A magyar vállalatok többsége üzemeltetői szerepben lesz, például amikor egy másik szolgáltató által fejlesztett toborzási eszközt használ.
| Nagy kockázatú rendszer | Szolgáltató | Üzemeltető |
|---|---|---|
| Kockázatkezelés és adatminőség | igen | az általa ellenőrzött bemeneti adatok megfelelősége |
| Műszaki dokumentáció és naplók | dokumentációt készít, lehetővé teszi a naplózást | megőrzi a naplókat, főszabály szerint legalább hat hónapig |
| Emberi felügyelet | olyan kialakítás, amely lehetővé teszi | képzett személyek végzik |
| Megfelelőségértékelés, CE-jelölés, regisztráció | igen | a hatóságok regisztrálják a használatot |
| Tájékoztatás | használati útmutató | tájékoztatja a munkavállalókat és azokat a személyeket, akikről a rendszer döntést segít hozni |
| Az alapvető jogokra gyakorolt hatás értékelése | nem | hatóságok, közszolgáltatók, hitelképesség- és biztosításértékelés |
Az üzemeltetőből szolgáltató lesz, ha a nagy kockázatú rendszert a saját nevével vagy védjegyével látja el, azt lényegesen módosítja, vagy a rendeltetését úgy változtatja meg, hogy nagy kockázatúvá válik. Ez a meglévő megoldások saját igényekhez igazításakor fontos.
Példák a gyakorlatból
- Ügyfélszolgálati csevegőrobot nagy nyelvi modell alapon: főszabály szerint korlátozott kockázat. Tájékoztatnia kell a felhasználókat, hogy MI-vel kommunikálnak, kivéve, ha ez nyilvánvaló.
- Önéletrajzok rangsorolására vagy jelöltek értékelésére szolgáló eszköz: nagy kockázatú rendszer a foglalkoztatás területén. A vállalatnak üzemeltetőként biztosítania kell az emberi felügyeletet, a naplók megőrzését, valamint a jelöltek és a munkavállalói képviselők tájékoztatását.
- Gépmeghibásodások előrejelzése szenzoradatokból: főszabály szerint minimális kockázat, kivéve, ha a rendszer olyan gép biztonsági komponense, amelyre az I. melléklet szerinti jogszabály vonatkozik.
- Természetes személyek hitelképességének értékelése: nagy kockázatú rendszer. A pénzügyi csalások felderítése ez alól kifejezetten kivételt képez.
- A munkavállalók érzelmeinek elemzése videóhívásokból vagy hanghívásokból: a munkahelyen tiltott gyakorlat, egészségügyi vagy biztonsági okok kivételével.
Általános célú MI-modellek
A nagy nyelvi modellekre és más általános célú modellekre (GPAI) külön szabályok vonatkoznak, amelyek 2025. augusztus 2-től alkalmazandók. A modellek szolgáltatóinak műszaki dokumentációt kell készíteniük, információt kell biztosítaniuk a modellt saját rendszereikbe építő szolgáltatóknak, szerzői jogi megfelelési szabályzattal kell rendelkezniük, és közzé kell tenniük a tanításhoz használt tartalmak összefoglalóját. A legnagyobb teljesítményű, rendszerszintű kockázatot jelentő modellekre további követelmények vonatkoznak.
Az a vállalat, amely meglévő modellt használ API-n keresztül, vagy beépít a saját alkalmazásába, főszabály szerint nem általános célú MI-modell szolgáltatója. Lehet viszont az e modellre épített MI-rendszer szolgáltatója vagy üzemeltetője, és e rendszer osztálya a felhasználási céltól függ.
Határidők és bírságok
| Dátum | Mi válik alkalmazandóvá |
|---|---|
| 2024. augusztus 1. | A rendelet hatályba lép |
| 2025. február 2. | Tiltott gyakorlatok és az MI-ismeretekre vonatkozó kötelezettség |
| 2025. augusztus 2. | Az általános célú MI-modellekre vonatkozó szabályok, az irányítás és a szankciók |
| 2026. augusztus 2. | A rendelkezések többsége, beleértve a III. melléklet szerinti nagy kockázatú rendszereket és az átláthatósági kötelezettségeket |
| 2027. augusztus 2. | Az I. melléklet szerinti termékek biztonsági komponenseiként használt nagy kockázatú rendszerek |
Az Európai Bizottság a digitális omnibusznak nevezett csomaggal a nagy kockázatú rendszerekre vonatkozó egyes határidők elhalasztását javasolta. Mivel a jogalkotási eljárás még folyamatban lehet, vagy már le is zárult, tervezés előtt ellenőrizze a naprakész állapotot az Európai Bizottság oldalain.
A bírságok a tiltott gyakorlatokra legfeljebb 35 millió euróig vagy a világszintű éves forgalom 7%-áig, egyéb kötelezettségek megsértésére legfeljebb 15 millió euróig vagy 3%-ig, a hatóságoknak adott téves információra legfeljebb 7,5 millió euróig vagy 1%-ig terjednek. A kkv-k és a startupok esetében a két összeg közül az alacsonyabbat kell figyelembe venni.
Hogyan készüljön fel
- Az MI-rendszerek leltára. Gyűjtse össze az összes MI-t használó rendszert és eszközt, amelyet fejleszt vagy használ, azokat is, amelyeket az egyes részlegek maguk vezettek be.
- Besorolás. Minden rendszert sorolja be a fenti eszközzel, és az eredményt dokumentálja.
- MI-ismeretek. Készítsen képzést az MI-t használó munkavállalóknak, és belső használati szabályzatot.
- Nagy kockázatú rendszerek. Kérjen a beszállítóktól megfelelőségi dokumentációt, jelölje ki az emberi felügyeletért felelősöket, és rendezze a naplók megőrzését.
- Irányítás. Kapcsolja össze a rendelet követelményeit a meglévő adatvédelmi és információbiztonsági folyamatokkal.
A Humanfrog segít a vállalatoknak olyan MI-megoldások tervezésében és bevezetésében, amelyeket a kezdetektől a rendelettel összhangban alakítanak ki, megfelelő biztonsággal, hozzáférés-szabályozással és naplózással. Ha egy konkrét felhasználási esetet szeretne átnézetni, beszéljen velünk.
