EU AI Act magyar KKV-knak: mi változik 2026-ban?

2026. április 25. · 9 perc olvasás

Az ügyfeleink gyakran így fogalmaznak: „az EU AI Act egy nagyvállalati dolog, minket nem érint.”

Ez rendre egy dologból fakad. Abból, hogy „AI-rendszernek” azt képzelik, amit a social media-ban látnak: önvezető autót, arcfelismerő kamerát. Amit ők használnak, az „csak egy chatbot”, „csak egy CV-szűrő”, „csak egy hitelbírálati pontozó a banki szoftverben”. Ezek közül a „csak”-ok közül néhány magas kockázatú AI-rendszer a jogszabály szerint. Egyik-másik pedig már most, 2025. február 2. óta tiltott.

Jogász végzettségű alapítóként hadd mondjam el, mi fog valójában történni 2026. augusztus 2-án, mi az, ami már ma is érvényes, és mi az, ami szinte biztosan érint téged, ha a cégedben AI-eszközöket használtok.

Mi változik 2026. augusztus 2-án?

Még két évvel ezelőtt, 2024. augusztus 1-jén hatályba lépett 2024/1689/EU rendelet (a köznyelvben EU AI Act), de ez csak szakaszosan válik alkalmazandóvá. Ez három különálló dátumot jelent, amelyek közül kettő már mögöttünk van.

2025. február 2. A tiltott gyakorlatokról szóló 5. cikk és az AI-ismeretről (AI literacy) szóló 4. cikk kötelezővé vált. Bizonyos AI-használatok innentől egyszerűen jogellenesek. Az AI-ismeret pedig minden céget érint: biztosítanod kell, hogy a munkatársaid „megfelelő szinten” értsék az általuk használt AI-rendszereket. Nincs cégméret-határ, a kétfős mikrovállalkozásokra is vonatkozik.

2025. augusztus 2. Az általános célú AI-modellek (GPT, Claude, Gemini és társaik) szolgáltatóira vonatkozó szabályok léptek hatályba. Téged ez valószínűleg nem közvetlenül érint (hacsak nem magad építesz és forgalmazol saját nyelvi modellt), de a szolgáltatóktól ez érződhet nálad is: a modellek dokumentációja és auditálhatósága náluk már más szintű.

2026. augusztus 2. Ez a fő dátum. Három dolog történik ezen a napon.

Az egyik: a magas kockázatú AI-rendszerekre vonatkozó teljes kötelezettség csomag alkalmazandó lesz. Ezek azok a rendszerek, amelyeket a rendelet III. melléklete sorol fel, például az álláshirdetéshez, önéletrajzszűréshez, hitelelbíráláshoz, oktatási pontozáshoz használt AI-rendszerek.

A másik: a transzparenciaszabályok (50. cikk) életbe lépnek. A weboldalad chatbotjának például egyértelműen jeleznie kell a látogató felé, hogy AI-val beszél. AI-val készült képeket, videókat, cikkeket láthatóan meg kell jelölni.

A harmadik: megkezdődik a tagállami szintű hatósági kikényszerítés. Magyarországon erre a feladatra az iparfejlesztésért felelős minisztert jelölte ki a 344/2025. (X. 31.) Korm. rendelet, a pénzügyi szektorban pedig az MNB-t. A magyar végrehajtási jogszabály, a 2025. évi LXXV. törvény 2025. december 1-je óta hatályos.

Egy fontos kitétel: az Európai Bizottság 2025 novemberében benyújtott egy ún. Digital Omnibus javaslatot, amely a III. melléklet szerinti kötelezettségek alkalmazását legfeljebb 2027. december 2-ig csúsztatná, mert a harmonizált szabványok nem készültek el időben. Ez azonban 2026 áprilisában még csak javaslat. A hatályos határidő továbbra is 2026. augusztus 2.

Érint engem? Mi a négy kockázati kategória?

Az AI Act logikája nem cégméret, hanem felhasználás szerint rétegez. Minden AI-rendszer (beleértve a tiédet, bármit is csinál) besorolható az alábbi négy kategória valamelyikébe. Ettől függ, hogy egyáltalán kell-e tenned bármit is.

A kategóriák nem fedik egymást, de a sorrend számít: ha egy rendszer tiltott, már nem kell vizsgálnod, hogy magas kockázatú-e. Egy érzelemfelismerő állásinterjú-szoftver az 5. cikk (1) bekezdésének f) pontja alapján tiltott a munkahelyen. Ezen nincs mit mérlegelni.

Egy fontos mechanizmus: ha a rendszered szerepel a III. mellékletben, de a funkciója csak szűk, előkészítő jellegű, vagy pusztán egy korábbi emberi döntést javít, akkor a 6. cikk (3) bekezdésének kivétele alapján nem magas kockázatú. Ezt viszont dokumentálnod kell, és az EU-s adatbázisba is regisztrálnod. Nem automatikus mentesség.

A három csapda, amibe a magyar KKV-k belefutnak

A fenti táblázat tiszta. A valóság kevésbé. Az alábbi három helyzet az, amit a magyar kis- és középvállalkozások szinte kivétel nélkül rosszul ítélnek meg.

1. A CV-szűrő „csak egy szoftver”

A III. melléklet 4. pontja alapján a „foglalkoztatás, munkavállalói menedzsment, önfoglalkoztatás” területén használt AI-rendszerek magas kockázatúak: konkrétan azok, amelyek álláshirdetések célzására, önéletrajzok szűrésére, jelöltek rangsorolására vagy értékelésére szolgálnak.

Egy 15 fős cég, amelyik felvesz egy AI-alapú toborzóeszközt a HR-folyamatába, 2026. augusztus 2-tól magas kockázatú AI-rendszer telepítője (deployer) lesz. A 26. cikk alapján kötelezettség: emberi felügyelet hozzárendelése, legalább hat hónapos naplómegőrzés, a munkavállalók és munkavállalói képviselők előzetes tájékoztatása, incidensjelentési kötelezettség, az érintettek (vagyis a jelöltek) tájékoztatása.

Az, hogy egy Workday-integrációt vagy egy LinkedIn-be épített AI-funkciót használtok, nem mentesít. A szolgáltatónak van egy kötelezettsége, nektek mint telepítőknek egy másik, és a kettő külön fut.

2. A chatbot „csak tájékoztat”

A weboldaladon lévő AI-chatbot (akár SaaS-megoldás, akár custom GPT) az 50. cikk alapján 2026. augusztus 2-tól köteles tájékoztatni a látogatót arról, hogy AI-val beszél. Ez nem kis apróbetűs utalás a lábléc alján. A rendelet szövege szerint „egyértelmű és megkülönböztethető módon, legkésőbb az első interakció idején.”

Ugyanez vonatkozik minden mesterséges intelligenciával készült képre, videóra, szövegre, amelyet a marketingkommunikációban használsz. Ha egy AI-val írt cikket publikálsz a neved alatt, vagy egy Midjourney-vel generált reklámképet teszel ki Facebookra, a tartalomnak jelölve kell lennie (50. cikk (4) bekezdés). A kivétel szűk: szerkesztői ellenőrzés alatt álló, közérdekű tájékoztatás.

3. Az AI-ismeret „majd elmagyarázzuk valamikor”

A 4. cikk (az egész rendelet egyik leggyakrabban figyelmen kívül hagyott cikke) 2025. február 2. óta hatályos, és minden céget kötelez. Aki AI-rendszert használ a munkája során, annak „megfelelő szintű AI-ismerettel” kell rendelkeznie. A rendelet ezt a kötelezettséget „a tőle elvárható legnagyobb mértékben” szabja ki, ami a gyakorlatban méretarányos: a kétfős cégtől nem ugyanazt várja el, mint egy ötszáz fős vállalattól.

Viszont dokumentálni kell, hogy ezt megtettétek. Egy belső tréning a ChatGPT-használat alapjairól, egy rövid szabályzat arról, mit szabad és mit nem: ezek elég jól lefedik. Amit nem fog elfogadni egy hatósági vizsgálat, a semmit. Ha 2026-ban egy ellenőrzésnél kiderül, hogy a csapat fél éve használ AI-t minden nap, és soha senki nem mondott nekik semmit, az önmagában megfelelési hiány.

Mennyibe kerülhet, ha elrontod? És a KKV-kivétel, amiről kevesen tudnak

A fejléces bírságösszegek látványosak. A 99. cikk (3) bekezdése szerint a tiltott gyakorlatokért (5. cikk) legfeljebb 35 millió euró vagy a cég éves, világszintű árbevételének 7%-a szabható ki: amelyik a magasabb. A magas kockázatú rendszerek szabályainak és a transzparenciának megsértéséért (99. cikk (4) bekezdés) 15 millió euró vagy 3%. Hatóságnak szolgáltatott hamis adatért 7,5 millió euró vagy 1%. A magyar 344/2025. Korm. rendelet ezeket forintra bontja: a tiltott gyakorlatokért legfeljebb 13,3 milliárd forint, a magas kockázatú szabályszegésekért 5,7 milliárd forint.

Egy 100 millió forintos árbevételű cégnek ez értelmetlenül nagy szám. És itt jön a részlet, amiről kevesen tudnak, pedig egyenesen a rendelet szövegéből olvasható ki.

A 99. cikk (6) bekezdése kimondja: KKV-kra és induló vállalkozásokra (start-upokra) a bírság az alacsonyabbikra van maximalizálva a két összeg közül. Nem a magasabbikra, ahogy a nagyvállalatoknál. A százalékra vagy az abszolút euró összegre: amelyik alacsonyabb.

Ez átírja a matekot. Egy 300 millió forintos (~760 000 euró) éves árbevételű magyar cégnek egy tiltott gyakorlatért járó maximális bírság 7% × 760 000 euró ≈ 53 000 euró (kb. 21 millió forint). Nem a 35 millió euró, amit a sajtó idéz. Komoly összeg, de nem céget ellehetetlenítő.

Ez nem azt jelenti, hogy nyugodtan hátradőlhetsz. Azt jelenti, hogy a valós kockázat a te méretedben reális: kezelhető, tervezhető, nem végzetes. Ha a bírság tényleges felső határát az árbevételed 7%-a jelenti, az ugyanaz a nagyságrend, mint egy komolyabb adóbírság vagy munkaügyi szankció. Ugyanolyan felelősséggel érdemes hozzáállni.

Mit csinálj most — öt lépéses gyors audit

Ha a mai napon végigmennél a céged AI-használatán, ez az öt lépés a minimum, amit a 2026. augusztus 2-i határidőre el kell végezned. Mindegyik megvalósítható egy nap alatt, ha belevágsz.

1. Készíts AI-leltárt. Írd össze mindet: a hivatalos céges eszközöktől (egy Microsoft Copilot-előfizetés) az „árnyék-AI”-on át (a kolléga, aki a ChatGPT-be másolja be az ügyféladatokat) az integrált funkciókig (a CRM-be beépített „AI-asszisztens”). Nem lehet megfelelni valamire, amiről nem is tudod, hogy használod.

2. Sorold be mindet a fenti négy kategóriába. Ehhez tényleg elég a fenti táblázat és a III. melléklet. A nagy többség korlátozott vagy minimális kockázatú lesz. Az egy-kettő magas kockázatú rendszer lesz az, ahol a munka van.

3. Nézd meg a szolgáltatói dokumentációt. A magas kockázatú rendszereknek CE-jelöléssel és uniós adatbázisba való regisztrációval kell rendelkezniük 2026. augusztus 2-től. Ha a vendorod erre nem tud válaszolni, az magáért beszél.

4. Rögzítsd az AI-ismereti szabályzatot. Egy A4-es oldal elég. Mit szabad és mit nem (például ne másolj ügyféladatot nyilvános AI-ba), elég ha a csapat évente egyszer átfutja az alapokat. Dátumozd, írasd alá.

5. Jelöld ki, ki a felelős. Egy konkrét név kell. Nem kell külön pozíciót teremtened: lehet az ügyvezető, a HR-es, a compliance-felelős. De a hatóság szemszögéből valakinek fel kell emelnie a kezét.

Ez az öt lépés önállóan is elvégezhető. Nem jogi munka a nagy része, hanem dokumentációs és szervezési feladat. Ahol a jog bonyolulttá válik, az a 6. cikk (3) bekezdése szerinti kivétel értelmezése, vagy egy határeset besorolása: ott érdemes megkérdezni valakit, aki a rendelet szövegét tényleg olvasta és tudja is értelmezni.

Záró gondolat

Az EU AI Act nem a nagyvállalatoknak íródott. A 62. cikk kifejezetten rendelkezik a KKV-knak nyújtandó támogatásról: prioritáshoz jutnak a szabályozási homokozókban, kedvezményes megfelelőségi értékelési díjakat kapnak, és célzott tájékoztatáshoz is hozzáférnek. Magyarországon a szabályozási homokozót 2026. augusztus 2-ig kell felállítani. Érdemes figyelni rá, mert ez lesz az a hely, ahol egy új AI-termék legálisan és viszonylag alacsony adminisztrációs teherrel tesztelhető.

A rendelet nem a használatot tiltja. Azt tiltja, hogy emberi felügyelet, tájékoztatás és dokumentáció nélkül használd. A különbség kezelhető, ha időben foglalkozol vele.

Ha kíváncsi vagy, hogy a te céged jelenlegi AI-használata milyen kategóriába esik, és mit érdemes konkrétan megtenned 2026. augusztus 2-ig, beszélgessünk egy 30 perces AI Act felkészültségi konzultáción. Az Androniát jogász végzettséggel alapítottuk, és onnan építjük az AI-rendszereket: a megfelelés számunkra nem utólag ráhúzott réteg, hanem a legelső tervezési döntés.

A tartalom nem jogi tanácsadás, ha konkrét helyzetben kell dönteni, kérdezz minket!

Ez a cikk az Andronia blogján jelent meg. Az Andronia magyar vállalkozásoknak segít AI-megoldásokkal növekedni: a megfeleléssel együtt, nem utólag. Szolgáltatásainkról itt olvashatsz.