EU AI Act magyar KKV-knak: mi változik 2026-ban?
Frissítve: 2026. augusztus 10. A cikk eredetileg 2026 áprilisában jelent meg, amikor a magas kockázatú rendszerekre még a 2026. augusztus 2-i határidő volt hatályban. Azóta a Digital Omnibus (az (EU) 2026/1744 rendelet, hatályos 2026. július 27. óta) a III. melléklet szerinti kötelezettségeket 2027. december 2-re, a termékekbe épített (I. melléklet szerinti) rendszerekét pedig 2028. augusztus 2-re tolta. A transzparenciaszabályok, a tiltott gyakorlatok és az AI-ismereti kötelezettség változatlanul élnek. A szöveget ennek megfelelően frissítettük.
Az ügyfeleink gyakran így fogalmaznak: „”
Ez rendre egy dologból fakad. Abból, hogy „” azt képzelik, amit a social media-ban látnak: önvezető autót, arcfelismerő kamerát. Amit ők használnak, az „”, „”, „”. Ezek közül a „”-ok közül néhány magas kockázatú AI-rendszer a jogszabály szerint. Egyik-másik pedig már most, 2025. február 2. óta tiltott.
Jogász végzettségű alapítóként hadd mondjam el, mi lépett életbe 2026 augusztusában, mi csúszott 2027 végére, és mi az, ami szinte biztosan érint téged, ha a cégedben AI-eszközöket használtok.
Mi lépett életbe, és mi csúszott?
Még két évvel ezelőtt, 2024. augusztus 1-jén hatályba lépett 2024/1689/EU rendelet (a köznyelvben EU AI Act), de ez csak szakaszosan válik alkalmazandóvá. Ez több különálló dátumot jelent, és 2026 nyarán a sorrend is változott egyet.
2025. február 2. A tiltott gyakorlatokról szóló 5. cikk és az AI-ismeretről (AI literacy) szóló 4. cikk kötelezővé vált. Bizonyos AI-használatok innentől egyszerűen jogellenesek. Az AI-ismeret pedig minden céget érint: biztosítanod kell, hogy a munkatársaid „” értsék az általuk használt AI-rendszereket. Nincs cégméret-határ, a kétfős mikrovállalkozásokra is vonatkozik.
2025. augusztus 2. Az általános célú AI-modellek (GPT, Claude, Gemini és társaik) szolgáltatóira vonatkozó szabályok léptek hatályba. Téged ez valószínűleg nem közvetlenül érint (hacsak nem magad építesz és forgalmazol saját nyelvi modellt), de a szolgáltatóktól ez érződhet nálad is: a modellek dokumentációja és auditálhatósága náluk már más szintű.
2026. augusztus 2. Ezen a napon két dolog lépett életbe, a harmadik pedig csúszott.
Ami életbe lépett: a transzparenciaszabályok (50. cikk). A weboldalad chatbotjának egyértelműen jeleznie kell a látogató felé, hogy AI-val beszél. AI-val készült képeket, videókat, cikkeket láthatóan meg kell jelölni. Ez ma már élő kötelezettség, nem jövő idő.
Szintén ekkortól: megkezdődött a tagállami szintű hatósági kikényszerítés. Magyarországon erre a feladatra az iparfejlesztésért felelős minisztert jelölte ki a 344/2025. (X. 31.) Korm. rendelet, a pénzügyi szektorban pedig az MNB-t. A magyar végrehajtási jogszabály, a 2025. évi LXXV. törvény 2025. december 1-je óta hatályos.
Ami csúszott: a magas kockázatú AI-rendszerekre vonatkozó teljes kötelezettségcsomag. Ezek azok a rendszerek, amelyeket a rendelet III. melléklete sorol fel, például az álláshirdetéshez, önéletrajzszűréshez, hitelelbíráláshoz, oktatási pontozáshoz használt AI-rendszerek.
2027. december 2. Ez lett a magas kockázatú rendszerek új határideje. A Digital Omnibus, vagyis az (EU) 2026/1744 rendelet 2026. július 27. óta hatályos, és ez tolta ki a III. melléklet szerinti kötelezettségeket a korábbi 2026. augusztus 2-ról. A termékekbe épített, I. melléklet szerinti rendszerekre 2028. augusztus 2. a dátum.
Egy fontos pontosítás: a csúszás nem mentesség, hanem felkészülési idő. A Bizottság azért javasolta, mert a harmonizált szabványok nem készültek el időben, és a tagállami hatóságok kijelölése is késett. A dokumentációt és az adathigiéniát érdemes már most rendbe tenni, mert egy nyugodt év olcsóbb, mint az utolsó negyedév kapkodva.
Érint engem? Mi a négy kockázati kategória?
Az AI Act logikája nem cégméret, hanem felhasználás szerint rétegez. Minden AI-rendszer (beleértve a tiédet, bármit is csinál) besorolható az alábbi négy kategória valamelyikébe. Ettől függ, hogy egyáltalán kell-e tenned bármit is.
| Kategória | Tipikus KKV-példa | Fő kötelezettség | Mikortól |
|---|---|---|---|
| Tiltott gyakorlat (5. cikk) | Érzelemfelismerő állásinterjú-szoftver; „” szegmentálás hirdetésekhez; tudatalatti manipulációs kampány | Használata jogellenes. | 2025. február 2. (már hatályos) |
| Magas kockázatú (III. melléklet) | AI-alapú CV-szűrő, toborzópontozó; hitel- és biztosítási kockázatelemző; munkavállaló-teljesítménymérő | Teljes megfelelési rendszer: dokumentáció, emberi felügyelet, naplózás, dolgozói tájékoztatás, incidensjelentés | 2027. december 2. (a Digital Omnibus kitolta) |
| Korlátozott kockázatú (50. cikk) | Ügyfélszolgálati chatbot; AI-képgenerátor marketinghez; deepfake-alapú tartalom | Transzparencia: tájékoztatni kell, hogy AI-val beszélnek vagy AI-tartalmat néznek | 2026. augusztus 2. (már hatályos) |
| Minimális kockázatú | Helyesírás-ellenőrző; spam-szűrő; ajánlórendszer | Nincs AI Act szerinti kötelezettség a 4. cikk alapján az “AI-ismereten” túl. | 2025. február 2. (már hatályos) |
A kategóriák nem fedik egymást, de a sorrend számít: ha egy rendszer tiltott, már nem kell vizsgálnod, hogy magas kockázatú-e. Egy érzelemfelismerő állásinterjú-szoftver az 5. cikk (1) bekezdésének f) pontja alapján tiltott a munkahelyen. Ezen nincs mit mérlegelni.
Egy fontos mechanizmus: ha a rendszered szerepel a III. mellékletben, de a funkciója csak szűk, előkészítő jellegű, vagy pusztán egy korábbi emberi döntést javít, akkor a 6. cikk (3) bekezdésének kivétele alapján nem magas kockázatú. Ezt viszont dokumentálnod kell, és az EU-s adatbázisba is regisztrálnod. Nem automatikus mentesség.
A három csapda, amibe a magyar KKV-k belefutnak
A fenti táblázat tiszta. A valóság kevésbé. Az alábbi három helyzet az, amit a magyar kis- és középvállalkozások szinte kivétel nélkül rosszul ítélnek meg.
1. A CV-szűrő „”
A III. melléklet 4. pontja alapján a „” területén használt AI-rendszerek magas kockázatúak: konkrétan azok, amelyek álláshirdetések célzására, önéletrajzok szűrésére, jelöltek rangsorolására vagy értékelésére szolgálnak.
Egy 15 fős cég, amelyik felvesz egy AI-alapú toborzóeszközt a HR-folyamatába, 2027. december 2-től magas kockázatú AI-rendszer telepítője (deployer) lesz. A 26. cikk alapján kötelezettség: emberi felügyelet hozzárendelése, legalább hat hónapos naplómegőrzés, a munkavállalók és munkavállalói képviselők előzetes tájékoztatása, incidensjelentési kötelezettség, az érintettek (vagyis a jelöltek) tájékoztatása.
Az, hogy egy Workday-integrációt vagy egy LinkedIn-be épített AI-funkciót használtok, nem mentesít. A szolgáltatónak van egy kötelezettsége, nektek mint telepítőknek egy másik, és a kettő külön fut.
2. A chatbot „”
A weboldaladon lévő AI-chatbot (akár SaaS-megoldás, akár custom GPT) az 50. cikk alapján 2026. augusztus 2. óta köteles tájékoztatni a látogatót arról, hogy AI-val beszél. Ez nem kis apróbetűs utalás a lábléc alján. A rendelet szövege szerint „”
Ugyanez vonatkozik minden mesterséges intelligenciával készült képre, videóra, szövegre, amelyet a marketingkommunikációban használsz. Ha egy AI-val írt cikket publikálsz a neved alatt, vagy egy Midjourney-vel generált reklámképet teszel ki Facebookra, a tartalomnak jelölve kell lennie (50. cikk (4) bekezdés). A kivétel szűk: szerkesztői ellenőrzés alatt álló, közérdekű tájékoztatás.
3. Az AI-ismeret „”
A 4. cikk (az egész rendelet egyik leggyakrabban figyelmen kívül hagyott cikke) 2025. február 2. óta hatályos, és minden céget kötelez. Aki AI-rendszert használ a munkája során, annak „” kell rendelkeznie. A rendelet ezt a kötelezettséget „” szabja ki, ami a gyakorlatban méretarányos: a kétfős cégtől nem ugyanazt várja el, mint egy ötszáz fős vállalattól.
Viszont dokumentálni kell, hogy ezt megtettétek. Egy belső tréning a ChatGPT-használat alapjairól, egy rövid szabályzat arról, mit szabad és mit nem: ezek elég jól lefedik. Amit nem fog elfogadni egy hatósági vizsgálat, a semmit. Ha 2026-ban egy ellenőrzésnél kiderül, hogy a csapat fél éve használ AI-t minden nap, és soha senki nem mondott nekik semmit, az önmagában megfelelési hiány.
Mennyibe kerülhet, ha elrontod? És a KKV-kivétel, amiről kevesen tudnak
A fejléces bírságösszegek látványosak. A 99. cikk (3) bekezdése szerint a tiltott gyakorlatokért (5. cikk) legfeljebb 35 millió euró vagy a cég éves, világszintű árbevételének 7%-a szabható ki: amelyik a magasabb. A magas kockázatú rendszerek szabályainak és a transzparenciának megsértéséért (99. cikk (4) bekezdés) 15 millió euró vagy 3%. Hatóságnak szolgáltatott hamis adatért 7,5 millió euró vagy 1%. A magyar 344/2025. Korm. rendelet ezeket forintra bontja: a tiltott gyakorlatokért legfeljebb 13,3 milliárd forint, a magas kockázatú szabályszegésekért 5,7 milliárd forint.
Egy 100 millió forintos árbevételű cégnek ez értelmetlenül nagy szám. És itt jön a részlet, amiről kevesen tudnak, pedig egyenesen a rendelet szövegéből olvasható ki.
A 99. cikk (6) bekezdése kimondja: KKV-kra és induló vállalkozásokra (start-upokra) a bírság az alacsonyabbikra van maximalizálva a két összeg közül. Nem a magasabbikra, ahogy a nagyvállalatoknál. A százalékra vagy az abszolút euró összegre: amelyik alacsonyabb.
Ez átírja a matekot. Egy 300 millió forintos (~760 000 euró) éves árbevételű magyar cégnek egy tiltott gyakorlatért járó maximális bírság 7% × 760 000 euró ≈ 53 000 euró (kb. 21 millió forint). Nem a 35 millió euró, amit a sajtó idéz. Komoly összeg, de nem céget ellehetetlenítő.
Ez nem azt jelenti, hogy nyugodtan hátradőlhetsz. Azt jelenti, hogy a valós kockázat a te méretedben reális: kezelhető, tervezhető, nem végzetes. Ha a bírság tényleges felső határát az árbevételed 7%-a jelenti, az ugyanaz a nagyságrend, mint egy komolyabb adóbírság vagy munkaügyi szankció. Ugyanolyan felelősséggel érdemes hozzáállni.
Mit csinálj most — öt lépéses gyors audit
Ha a mai napon végigmennél a céged AI-használatán, ez az öt lépés a minimum. Az AI-ismeret és a transzparencia már ma is kötelező, a magas kockázatú rendszerek teljes csomagjára pedig 2027. december 2-ig van időd. Mindegyik lépés megvalósítható egy nap alatt, ha belevágsz.
1. Készíts AI-leltárt. Írd össze mindet: a hivatalos céges eszközöktől (egy Microsoft Copilot-előfizetés) az „”-on át (a kolléga, aki a ChatGPT-be másolja be az ügyféladatokat) az integrált funkciókig (a CRM-be beépített „”). Nem lehet megfelelni valamire, amiről nem is tudod, hogy használod.
2. Sorold be mindet a fenti négy kategóriába. Ehhez tényleg elég a fenti táblázat és a III. melléklet. A nagy többség korlátozott vagy minimális kockázatú lesz. Az egy-kettő magas kockázatú rendszer lesz az, ahol a munka van.
3. Nézd meg a szolgáltatói dokumentációt. A magas kockázatú rendszereknek CE-jelöléssel és uniós adatbázisba való regisztrációval kell rendelkezniük 2027. december 2-től. Ha a vendorod erre nem tud válaszolni, az magáért beszél.
4. Rögzítsd az AI-ismereti szabályzatot. Egy A4-es oldal elég. Mit szabad és mit nem (például ne másolj ügyféladatot nyilvános AI-ba), elég ha a csapat évente egyszer átfutja az alapokat. Dátumozd, írasd alá.
5. Jelöld ki, ki a felelős. Egy konkrét név kell. Nem kell külön pozíciót teremtened: lehet az ügyvezető, a HR-es, a compliance-felelős. De a hatóság szemszögéből valakinek fel kell emelnie a kezét.
Ez az öt lépés önállóan is elvégezhető. Nem jogi munka a nagy része, hanem dokumentációs és szervezési feladat. Ahol a jog bonyolulttá válik, az a 6. cikk (3) bekezdése szerinti kivétel értelmezése, vagy egy határeset besorolása: ott érdemes megkérdezni valakit, aki a rendelet szövegét tényleg olvasta és tudja is értelmezni.
Záró gondolat
Az EU AI Act nem a nagyvállalatoknak íródott. A 62. cikk kifejezetten rendelkezik a KKV-knak nyújtandó támogatásról: prioritáshoz jutnak a szabályozási homokozókban, kedvezményes megfelelőségi értékelési díjakat kapnak, és célzott tájékoztatáshoz is hozzáférnek. Magyarországon a szabályozási homokozót 2026. augusztus 2-ig kellett felállítani. Érdemes figyelni rá, mert ez lesz az a hely, ahol egy új AI-termék legálisan és viszonylag alacsony adminisztrációs teherrel tesztelhető.
A rendelet nem a használatot tiltja. Azt tiltja, hogy emberi felügyelet, tájékoztatás és dokumentáció nélkül használd. A különbség kezelhető, ha időben foglalkozol vele.
Ha kíváncsi vagy, hogy a te céged jelenlegi AI-használata milyen kategóriába esik, és mit érdemes konkrétan megtenned a 2027. decemberi határidőig, beszélgessünk egy 30 perces AI Act felkészültségi konzultáción. Az Androniát jogász végzettséggel alapítottuk, és onnan építjük az AI-rendszereket: a megfelelés számunkra nem utólag ráhúzott réteg, hanem a legelső tervezési döntés.
A tartalom nem jogi tanácsadás, ha konkrét helyzetben kell dönteni, kérdezz minket!
Ez a cikk az Andronia blogján jelent meg. Az Andronia magyar vállalkozásoknak segít AI-megoldásokkal növekedni: a megfeleléssel együtt, nem utólag. Szolgáltatásainkról itt olvashatsz.
