EU MI-törvény megfelelési ellenőrzőlista: lépésről lépésre FAQ-útmutató

Az EU MI-törvény megfelelési ellenőrzőlistája kérdés-felelet formában: hatály, hátralévő határidők, kockázati besorolás, tiltott gyakorlatok, GPAI, a nagy kockázatú rendszerek megfelelősége, valamint a szolgáltatói és alkalmazói kötelezettségek megoszlása.

Ez az útmutató abban a sorrendben válaszol a megfelelési kérdésekre, ahogyan azok valóban felmerülnek: elér-e a rendelet, mi köt már ma, mely rendszereim nagy kockázatúak, mit kell előállítanom, és mibe kerül a hiba. Minden válasz olyan jogalapra épül, amely belső feljegyzésben idézhető.

Kinek kell végigmennie ezen a listán?

Minden szervezetnek, amely az EU-ban használt MI-rendszert fejleszt, alkalmaz, importál vagy forgalmaz — a székhelytől függetlenül. A 2. cikk eléri a harmadik országbeli szolgáltatókat és alkalmazókat, amint a rendszer által előállított kimenetet az Unióban használják: egy európai ügyfelekkel rendelkező amerikai SaaS-szállító ugyanúgy a hatály alá tartozik, mint egy magyar bank.

Négy kérdés határozza meg a kötelezettségeit, és mind a négyre szükség van ahhoz, hogy a lista értelmet nyerjen:

Az utolsó sor az, amit a legtöbb leltár kihagy. Az átláthatósági kötelezettségek olyan rendszereket érintenek, amelyek egyáltalán nem nagy kockázatúak: egy ügyfélszolgálati chatbot ma kötelezettséget visel anélkül, hogy bármit viselne abból a megfelelőségi teherből, amellyel a lista többi része foglalkozik.

Mi köti már ma, és mi van még hátra?

Öt alkalmazási időpont eltelt; a megfelelőségi munka java 2027 decemberére esik. Az alábbi dátumok az e webhely által közzétett határidő-adatállományt követik, amely tükrözi az (EU) 2026/1744 rendelettel elrendelt halasztásokat.

A digitális omnibusz négyet mozdított el ezekből a dátumokból, és újraírta a 4. cikket; a teljes előtte-utána nyilvántartás a /changes/ oldalon található. Egyetlen kötelezettséget sem törölt, és nem hozott létre mentességet, így az eredeti dátumokra épített program továbbra is a helyes program — csak hosszabb nekifutása van.

1. lépés — Teljes az MI-leltára?

Teljes leltár nélkül semmi sem védhető meg abból, ami utána jön. Hozzon létre nyilvántartást minden MI-rendszerről, amelyhez a szervezet hozzáér:

• Rendszerek, amelyeket fejleszt és értékesít vagy licencel (Ön a szolgáltató)
• Rendszerek, amelyeket megvásárol vagy licencel és belsőleg használ (Ön az alkalmazó)
• Rendszerek, amelyek termékekbe vannak beépítve, és Ön gyártja vagy importálja azokat
• Rendszerek, amelyeket harmadik felek API-jain keresztül ér el (felhő-MI, alapmodell-API-k)

Mindegyiknél: név, funkció, bemeneti és kimeneti adatok, használati környezet, döntési hatás és érintett személyek. Jelölje meg a bizonytalan besorolású rendszereket — ezek jogi vizsgálatot kívánnak, nem mérnöki választ.

Két kategóriát rendszeresen alulszámolnak: a cég által már fizetett SaaS-eszközökbe épített MI-funkciókat, és az egyes csapatok által a beszerzési folyamaton kívül épített modelleket. Kérje el a pénzügytől a szállítói listát, a fejlesztéstől a modellnyilvántartást; a kettő egyesítése közelebb áll a valósághoz, mint bármelyik önmagában.

2. lépés — Működtet-e már valami jogellenest?

Az 5. cikket minden kockázati besorolás előtt vegye végig, mert egy tiltott rendszert nem lehet megfelelővé javítani. Vesse össze minden rendszerét a listával:

• Tudatküszöb alatti, manipulatív vagy megtévesztő technikák, amelyek lényegesen torzítják a magatartást
• Életkorból, fogyatékosságból vagy társadalmi, illetve gazdasági helyzetből fakadó sérülékenységek kihasználása
• Társadalmi pontozás, amely nem összefüggő környezetben hátrányos bánásmódhoz vezet
• Arcképek nem célzott gyűjtése felismerési adatbázisok építéséhez
• Érzelmek kikövetkeztetése a munkahelyen vagy az oktatásban
• Biometrikus kategorizálás érzékeny jellemzők kikövetkeztetése céljából
• Valós idejű távoli biometrikus azonosítás nyilvános tereken bűnüldözési célból

→ Kivonni vagy alapjaiban újratervezni. E tilalmak 2025. február 2. óta hatályosak, és a 35 millió EUR / 7 % bírságszintbe tartoznak. A tiltott gyakorlatok útmutatója tárgyalja az egyes szűk kivételeket.

2026. december 2-tól további tilalom vonatkozik azokra a rendszerekre, amelyek gyermekek szexuális bántalmazását ábrázoló anyagot vagy beleegyezés nélküli intim felvételeket állítanak elő.

3. lépés — Általános célú modell szolgáltatója?

Ha a szervezet alapmodellt fejleszt és tesz közzé, az V. fejezet kötelezettségei 2025. augusztus 2. óta alkalmazandók. Három próba:

• A modellt önfelügyelt módon, jelentős léptékben tanítják?
• Képes-e széles körű, eltérő feladatok szakszerű ellátására?
• Elérhetővé teszik-e mások számára ahelyett, hogy kizárólag belsőleg használnák?

Ha igen: modelldokumentáció az MI-hivatal és a downstream szolgáltatók számára, szerzői jogi politika és kellően részletes nyilvános összefoglaló a tanítási tartalomról. 10²⁵ FLOPs tanítási számítás felett a rendszerszintű kockázat vélelmezett, ami modellértékeléssel, támadó jellegű teszteléssel, incidensbejelentéssel és kiberbiztonsággal egészül ki. Lásd a GPAI-útmutatót.

2026. augusztus 2. óta e fejezetet közvetlenül a Bizottság — nem a nemzeti hatóságok — érvényesíti, legfeljebb 15 millió EUR vagy 3 % bírsággal.

4. lépés — Mely rendszerei nagy kockázatúak?

Sorolja be a III. és az I. melléklet szerint, alkalmazza a 6. cikk (3) bekezdésének szűrőjét, és írja le az eredményt. A III. melléklet nyolc önálló kategóriát sorol fel: biometria, kritikus infrastruktúra, oktatás és szakképzés, foglalkoztatás és munkavállalói irányítás, alapvető magán- és közszolgáltatásokhoz való hozzáférés, bűnüldözés, migráció és határellenőrzés, valamint igazságszolgáltatás. Az I. melléklet azt az MI-t fogja meg, amely olyan termék biztonsági alkatrészeként működik, amelyet az uniós termékbiztonsági jog már szabályoz.

A 6. cikk (3) bekezdésének kivétele felszabadítja azt a rendszert, amely ugyan a III. melléklet valamely kategóriájába esik, de nem jelent jelentős kockázatot: szűk eljárási feladat, egy befejezett emberi tevékenység eredményének javítása, döntési minták felismerése az emberi értékelés helyettesítése nélkül, vagy tisztán előkészítő munka. Természetes személyek profilalkotása esetén soha nem alkalmazható. Az értékelést a forgalomba hozatal előtt dokumentálni kell, a nyilvántartásba vételi kötelezettség pedig megmarad.

A besorolási döntések e lista legtöbbet ellenőrzött artefaktumai. Rögzítse a vizsgált kategóriát, az érvelést, a bizonyítékokat, a dátumot és a felelős személyt.

5. lépés — Szolgáltató vagy alkalmazó?

A szerep határozza meg a munkateher mintegy 80 %-át, és nem a beszerzési szerződés rögzíti. A 25. cikk akkor is a nem Ön által épített nagy kockázatú rendszer szolgáltatójává teszi, ha ráhelyezi a nevét vagy védjegyét, lényegesen módosítja, vagy úgy irányítja át, hogy nagy kockázatúvá válik. Egy szállítói modell saját adatokon való finomhangolása és saját márkanév alatti kiadása a szokásos módja annak, hogy soha nem tervezett szolgáltatói kötelezettségeket örököljön.

A szolgáltató kontra alkalmazó útmutató végigveszi a határeseteket, köztük az importőröket és forgalmazókat, akik ellenőrzési, nem pedig megfelelőségi kötelezettséget viselnek.

6–10. lépés — Mit állít elő a nagy kockázatú program?

Hat artefaktum függőségi sorrendben. Mindegyik a következő bemenete, ezért akad el az a program, amely a dokumentációval kezd és onnan halad visszafelé az irányítás felé.

1. Minőségirányítási rendszer (17. cikk) — szabályzatok, felelősségek, változáskezelés, adatkezelés, forgalomba hozatal utáni nyomon követés és incidenseljárások. Ezt kéri először egy piacfelügyeleti hatóság.
2. Kockázatkezelési feljegyzések (9. cikk) — az azonosítás, becslés és mérséklés iteratív ciklusa, a teljes életciklus során vezetve, nem egyszer aláírva.
3. Adatkormányzási bizonyítékok (10. cikk) — eredet, reprezentativitás, torzításvizsgálat és -mérséklés a tanító, validációs és tesztadatokra.
4. IV. melléklet szerinti műszaki dokumentáció — a műszaki dokumentáció útmutatójában leírt anyag, beleértve a 15. cikk pontossági, robusztussági és kiberbiztonsági követelményei szerinti vizsgálatokat.
5. Megfelelőségértékelés és nyilatkozat — önértékelés a VI. melléklet szerint, vagy bejelentett szervezet ott, ahol a biometria vagy az I. melléklet termékjogszabálya megköveteli. Lásd a megfelelőségértékelési útmutatót.
6. Nyilvántartásba vétel, CE-jelölés és nyomon követés — bejegyzés az uniós adatbázisba a forgalomba hozatal előtt, CE-jelölés a dokumentáción, majd a forgalomba hozatal utáni nyomon követés terve és a súlyos incidensek bejelentése a 73. cikk alapján.

Célozzon 2027. december 2-ra a III. melléklet önálló rendszereinél és 2028. augusztus 2-ra az I. melléklet beépített rendszereinél. Egyetlen nagy kockázatú rendszer reális programja 12–24 hónapig fut: a 2026 végi indulás tartalék nélkül fér bele az ablakba, a bejelentett szervezetek kapacitása pedig a határidő közeledtével szűkül.

Mi van, ha csak mások MI-jét használja?

Ön alkalmazó, és a listája rövid, de nem üres. A szervezetek többsége itt áll: saját modell nincs, tucatnyi MI-funkció SaaS-on és API-n keresztül.

• A jártasság (4. cikk) most alkalmazandó, minden alkalmazóra és minden kockázati szinten.
• Az átláthatóság (50. cikk) most vonatkozik arra, amit a felhasználói látnak: chatbot-tájékoztatás, mélyhamisítványok jelölése, a nyilvánosság tájékoztatására közzétett generált szövegek megjelölése.
• Az alkalmazói kötelezettségek (26. cikk) 2027. december 2-tól alkalmazandók mindenütt, ahol a felhasználási eset a III. melléklet kategóriájába esik — jelöltszűrés, hiteldöntések, munkavállalói irányítás.
• A 25. cikk a csapda: abban a pillanatban, hogy újracímkéz vagy lényegesen módosít, örökli a szolgáltatói csomagot.

A gyakorlati kontroll a beszállítói átvilágítás: szerezze be a megfelelőségi nyilatkozatot, a használati utasítást és azokat az információkat, amelyek átadását a 13. cikk a szolgáltatóra rója. A harmadik felek MI-jéről szóló útmutató rögzíti, mit kell szerződésben megkövetelni.

Mi változik ágazatonként?

A kötelezettségek azonosak; a besorolási eredmények és az átfedő rezsimek nem.

• Pénzügyi szolgáltatások — a hitelpontozás és a biztosítási díjszabás a III. melléklet alá esik, és ott az alkalmazó a 27. cikk szerinti hatásvizsgálattal tartozik. A DORA IKT-kockázatkezelése részben teljesíti a kockázatkezelési cikket, de nem fedi le az MI-re jellemző adatkormányzást és az emberi felügyeletet. Tervezzen egyetlen bejelentési folyamatot, amely a DORA 19. cikkét és az MI-törvény 73. cikkét együtt teljesíti. Lásd a pénzügyi ágazati útmutatót és a DORA / NIS2 konvergencia-útmutatót.
• Egészségügy és orvostechnikai eszközök — az MDR/IVDR-eszköz biztonsági alkatrészeként működő MI az I. melléklet alá esik, amely 2028. augusztus 2-tól alkalmazandó. A meglévő műszaki dokumentáció és az ISO 13485 minőségrendszer az alap, és ki kell terjeszteni a III. fejezet követelményeire; bejelentett szervezetének külön kijelölésre van szüksége az MI-törvény szerint.
• HR és toborzás — a III. melléklet foglalkoztatási kategóriája. A 10. cikk szerinti torzításvizsgálat a fő kitettség, a jelöltek felé való átláthatóság alkalmazói kötelezettség, és egyetlen végleges foglalkoztatási döntés sem nyugodhat a rendszeren olyan ember nélkül, aki felülbírálhatja.
• Közszféra — a hatásvizsgálat kötelező, és az alkalmazók a III. melléklet szerinti rendszerek használatát bejegyzik az uniós adatbázisba.

Az ágazati útmutatók kilenc iparágat tárgyalnak ugyanebben a szerkezetben.

Mibe kerül a meg nem felelés?

Három szint, és egy hétköznapi vállalkozás számára a középső számít a legtöbbet. A 99. cikk 35 millió EUR-t vagy a világszintű árbevétel 7 %-át állapítja meg az 5. cikk tilalmaira, 15 milliót vagy 3 %-ot a legtöbb egyéb kötelezettségre — beleértve az 50. cikk átláthatóságát és a teljes nagy kockázatú blokkot —, és 7,5 milliót vagy 1 %-ot a hatóságoknak adott megtévesztő tájékoztatásra. A kkv-kat az alacsonyabb összeg korlátozza.

A harmadik szint az összegéhez képest aránytalan figyelmet érdemel: a hatóságnak adott rossz választ bünteti, bármilyen mögöttes jogsértéstől függetlenül. A dokumentáció az, ami a védhető álláspontot igazolhatóvá teszi. A bírságokról szóló útmutató végigviszi a kitettség számítását.

Mit tegyen a következő 90 napban

1. Zárja be a leltárrést — a pénzügy szállítói listája ∪ a fejlesztés modellnyilvántartása.
2. Futtassa át a teljes állományt az 5. cikk szűrőjén. Ez az egyetlen lépés, amelyhez már hatályos 7 %-os szint kapcsolódik.
3. Élesítse az 50. cikk tájékoztatásait mindenen, ami a felhasználó felé fordul; a kötelezettség hatályos, nem közelgő.
4. Igazolja a 4. cikk szerinti jártasságot: ki, miből és mikor kapott képzést. Az MI-jártassági útmutató pontosítja, mit kíván az újraírt cikk.
5. Sorolja be a III. melléklet jelöltjeit, és írja le az érvelést, beleértve a 6. cikk (3) bekezdése szerinti döntéseket.
6. Minden megerősített nagy kockázatú rendszernél indítsa el a minőségirányítási rendszert. 2027 decembere a korlát, és a bejelentett szervezeteknél a sor Ön előtt van, nem mögötte.

Az inventárhoz, kockázati nyilvántartáshoz, műszaki dokumentációhoz és beszállítói átvilágításhoz készült munkasablonok a megfelelési eszközkészletekben találhatók; az MI-törvény Akadémia ugyanezt a területet fedi le strukturált, tanúsítványt adó képzésként.