EU MI-törvény omnibusz 2026: az új megfelelési határidők magyarázata

A 2026. évi digitális omnibusz két kritikus MI-törvény-határidőt hosszabbított meg: a III. melléklet szerinti önálló magas kockázatú rendszerekét 2027. december 2-re, az I. melléklet szerinti beágyazott rendszerekét 2028. augusztus 2-re. Íme, mi változott, miért, és mit kell most tennie a megfelelési programjának.

Mit változtat a 2026. évi digitális omnibusz az MI területén

A digitális omnibusz az MI területén két központi alkalmazási dátumot módosított az EU 2024/1689 rendeletében (az EU MI-törvényben):

Más fő határidők nem módosultak. A tiltott gyakorlatok (2025. február 2.), a GPAI-szabályok (2025. augusztus 2.) és az GPAI-tartalom jelölésre vonatkozó átláthatósági kötelezettségek (2025. augusztus 2.) változatlanul hatályosak eredeti dátumaikon.

Miért halasztotta el az omnibusz a magas kockázatú MI-határidőket?

Az Európai Bizottság három okot nevezett meg:

1. Összhang a végrehajtási jogi aktusokkal — a magas kockázatú MI-értékelés műszaki szabványai és harmonizált normái (CEN/CENELEC munkaprogram) nem kerültek véglegesítésre 2026. augusztus előtt. A megfelelőségértékelések e szabványokat igénylik.
2. Megfelelési infrastruktúra hiánya — a bejelentett testületek, a nemzeti illetékes hatóságok és az EU MI-Hivatal kiegészítő felállítási időt igényeltek. Végrehajtási infrastruktúra nélkül egy 2026. augusztusi határidő a gyakorlatban végrehajthatatlan lett volna.
3. KKV-felkészültség — különösen a medtech, HR-tech és pénzügyi szolgáltatások kisebb szolgáltatói számára a párhuzamos DORA- és NIS2-kötelezettségek melletti QMS-megvalósítás és műszaki dokumentáció elkészítéséhez nem volt elegendő idő.

A meghosszabbítás türelmi idő, nem hatálycsökkentés. Minden kötelezettség megmarad; csak az ütemezésük változik.

III. melléklet — önálló magas kockázatú MI (határidő: 2027. december 2.)

A III. melléklet szerinti önálló rendszerek olyan MI-rendszereket fednek le, amelyek önmaguk kerülnek piacra vagy szolgáltatásba magas kockázatú rendszerként, anélkül hogy egy másik termék biztonsági összetevői lennének. Példák:

• Toborzó és HR-szűrő MI (önéletrajz-rangsorolás, interjúelemzés)
• Hitelminősítő és hitelképesség-értékelő MI
• Biometrikus kategorizálás (nem valós idejű azonosítás, amely tiltott)
• Kritikus infrastruktúra-kezelésben használt MI
• Oktatási és szakképzési értékelésben alkalmazott MI
• Bűnüldözési és migrációs hatóságok által használt MI

Szolgáltatói kötelezettségek 2027. december 2-ig:

1. Megfelelőségértékelés elvégzése az Art. 43 alapján
2. Minőségirányítási rendszer (Art. 17) bevezetése
3. Műszaki dokumentáció (Art. 11 + IV. melléklet) összeállítása
4. A rendszer regisztrálása az EU MI-adatbázisban (Art. 71)
5. CE-jelölés elhelyezése (Art. 48)
6. EU képviselő kijelölése, ha az EU-n kívül van letelepedve

Alkalmazói kötelezettségek (szintén 2027. december 2-ig):

1. Alapvető jogi hatásvizsgálat (FRIA) elvégzése a közszférabeli alkalmazók számára
2. Emberi felügyeleti intézkedések bevezetése (Art. 26)
3. Bemenetek és kimenetek dokumentálása (Art. 26(6))
4. Munkavállalók tájékoztatása, ahol az MI-asszisztált döntések érintik őket

I. melléklet — beágyazott magas kockázatú MI (határidő: 2028. augusztus 2.)

Az I. melléklet szerinti beágyazott rendszerek olyan MI-t fednek le, amely egy meglévő uniós termékbiztonsági jogszabályok alapján szabályozott termék biztonsági összetevőjeként működik. Az MI-törvény szerinti megfelelőség integrálódik az adott termék meglévő megfelelőségértékelési eljárásába. Példák:

• MI-összetevők orvostechnikai eszközökben (MDR/IVDR)
• MI gépjárműrendszerekben (típusjóváhagyási keretek)
• MI gépekben (Gépszabályozás)
• MI repülési összetevőkben
• MI játékokban és fogyasztási cikkekben (alacsony feszültség/EMC)

A kétéves kiegészítő meghosszabbítás (szemben a III. melléklet 16 hónapjával) tükrözi az egyidejű, két szabályozási rendszerre kiterjedő megfelelőségértékelés rétegzett összetettségét.

Ami változott, az a határidő — nem a kötelezettségek

Az omnibusz gyakori félreolvasása: a határidő-meghosszabbítás azt jelenti, hogy a kötelezettségek enyhültek. Nem enyhültek.

A megfelelőségértékelés, a minőségirányítási rendszer, a műszaki dokumentáció, a CE-jelölés és a regisztrációs követelmények azonosak azzal, ami 2026. augusztusra előírt volt. Az omnibusz nem csökkenti a hatályt, nem hoz létre mentességeket, és nem ad hozzá átmeneti eltéréseket. A célvonalat tolja arrébb.

Gyakorlati következmény: Azok a szervezetek, amelyek a meghosszabbítást ürügyként használják a megfelelési programok szüneteltetésére, 2027 végén keményebb szorítással szembesülnek. A kiegészítő idő termelékenyebb felhasználása: a minőségirányítási rendszer megvalósításának befejezése, a műszaki dokumentáció tesztelése a tervezet harmonizált szabványokkal szemben, és a bejelentett testületekkel való korai kapcsolatfelvétel — a kapacitásuk szűkülni fog ahogy a 2027. decemberi határidő közeleg.

Már hatályban lévő tiltott gyakorlatok

Az Art. 5 szerinti alábbi tilalmak 2025. február 2-tól alkalmazandók, és az omnibusz nem érintette őket:

• Tudatalatti manipuláció — tudatalatti sérülékenységeket kihasználó MI-technikák a felhasználók érdekeivel szemben való viselkedésmódosítás céljából
• Sérülékenységek kihasználása — gyermekek, idős vagy hátrányos helyzetű csoportok célba vétele
• Szociális pontozás — általános célú, természetes személyek közhatóságok általi MI-alapú pontozása
• Valós idejű, távoli biometrikus azonosítás nyilvánosan hozzáférhető tereken bűnüldözés által (szűk kivételekkel)
• Érzelemfelismerés munkahelyen és oktatási intézményekben
• Biometrikus kategorizálás érzékeny jellemzőket (faj, politikai vélemények, szakszervezeti tagság, szexuális irányultság, vallás) kikövetkező rendszerek esetén — kivéve bírói engedéllyel rendelkező, legitim bűnüldözési célokat
• NCII/CSAM — nem beleegyező intim képek vagy gyermekek szexuális zaklatásáról szóló anyag generálása vagy manipulálása MI segítségével tiltott

Az Art. 5 tilalmainak 2025. február 2-tól való be nem tartása 35 millió eurós vagy a globális éves forgalom 7%-ának megfelelő bírságot von maga után, amelyik magasabb.

GPAI-modell szabályok: már alkalmazandók

Az 5. fejezet GPAI-kötelezettségek 2025. augusztus 2-tól alkalmazandók:

• Minden GPAI-szolgáltatónak meg kell felelnie az átláthatósági kötelezettségeknek (Art. 53)
• A rendszerszintű kockázatú GPAI-modellek (10²⁵ FLOP betanítási számítási kapacitás felett) szolgáltatói kiegészítő kötelezettségekkel rendelkeznek, köztük ellenséges teszteléssel és incidensbejelentéssel
• Az MI által generált tartalom jelölése (vízjelezés) a szintetikus médiához a generatív GPAI-rendszerekre alkalmazandó

Konvergencia a DORA-val és a NIS2-vel

A pénzügyi szolgáltatások szervezetei az MI-törvény, a DORA és a NIS2 kötelezettségeinek hármas terhével szembesülnek, átfedő ütemtervekkel. Főbb metszéspontok:

• DORA szerinti IKT-kockázatkezelés (Art. 5–16) lefedi az MI-vezérelt IKT-rendszereket — a DORA nem mentesíti az MI-eszközöket az IKT-kockázati keret alól
• DORA szerinti incidensbejelentés (Art. 19–23) vonatkozik az MI-rendszerek által okozott vagy érintett incidensekre
• NIS2 biztonsági intézkedések (Art. 21) MI-vel kapcsolatos kiberkockázatokat is tartalmaznak
• MI-törvény Art. 9 kockázatkezelés a magas kockázatú MI esetén jelentősen átfed a DORA IKT-kockázatkezelésével — a kettős feltérképezés lehetséges és ajánlott a párhuzamos dokumentáció elkerülése érdekében

Lásd a teljes konvergencia-elemzést → vagy testvéroldalunkat a regulation-dora.eu oldalon a DORA-specifikus lefedettségért.