EU AI Act szektoronként — Ágazatspecifikus megfelelési útmutató

Ágazatspecifikus EU AI Act megfelelési útmutatók egészségügyi, HR, közszektorbeli, közlekedési, biztosítási, kiskereskedelmi, kkv és oktatási területekre.

Hogyan alakítja a szektor az EU AI Act szerinti kitettséget?

Az EU AI Act horizontális jogszabály — az Európai Unió gazdaságának minden ágazatában alkalmazandó az MI-rendszerekre, amelyeket forgalomba hoznak vagy üzembe helyeznek. A megfelelési teher azonban nem egyenletes. A szektor határozza meg, hogy az Annex III magas kockázatú kategóriák közül melyek relevánsak, hogy a meglévő szabályozói keretrendszerek milyen átfedő kötelezettségeket teremtenek, és hogy a nemzeti vagy uniós szintű felügyeleti hatóságok közül melyeknek lesz joghatósága az MI-alkalmazások felett.

A rendelet rétegzett kockázati architektúrát vezet be: tiltott gyakorlatok az Art. 5 alapján, magas kockázatú MI az Art. 6 és az Annex III alapján, általános célú MI (GPAI) kötelezettségek az Art. 51–Art. 55 alapján, valamint átláthatósági kötelezettségek az Art. 50 alapján. Az összes szektor szembesül a tiltott gyakorlatokra vonatkozó tilalmakkal és az Art. 50 szerinti átláthatossági réteggel. Az Annex III szerinti magas kockázatú kötelezettségek szelektíven vonatkoznak a szervezetekre, attól függően, hogy milyen MI-rendszert és milyen célra alkalmaznak.

Az ágazati kitettség felmérése az operatív MI-alkalmazási esetek Annex III kategóriákkal való összehangolásával kezdődik. A szervezeteknek azt is meg kell vizsgálniuk, hogy az alkalmazott MI GPAI-modellnek minősül-e az Art. 3(63) értelmében, és hogy az esetleges szállítói kapcsolatok keletkeztetnek-e GPAI-üzemeltetői vagy GPAI-üzemeltető-szolgáltatói kötelezettségeket.

Az Annex III megértése szektoronként

Az EU AI Act Annex III melléklete 8 kategóriát határoz meg az önálló magas kockázatú MI számára. Minden kategória konkrét iparágakhoz és MI-alkalmazási esetekhez kapcsolódik.

1. kategória — Biometria (Ágazatokon átívelő)

Az Art. 6, az Annex III 1. pontjával összefüggésben olvasva olyan MI-rendszerekre vonatkozik, amelyek természetes személyek biometrikus azonosítását vagy biometrikus kategorizálását végzik. A bűnüldözés által nyilvánosan hozzáférhető helyeken végzett valós idejű, távolsági biometrikus azonosítás tiltott az Art. 5(1)(h) alapján — nem csupán magas kockázatú. A foglalkoztatásban, határellenőrzésben, bűnüldözésben (megengedett keretek között) és beléptető-ellenőrzésben alkalmazott utólagos biometrikus azonosítás és biometrikus kategorizáló rendszerek a magas kockázatú kategóriában maradnak. Minden olyan szervezet, amely arcfelismerést, ujjlenyomat-egyeztetést, hangfelismerést vagy hasonló rendszereket alkalmaz érdemi döntésekhez, a hatály alá esik.

2. kategória — Kritikus infrastruktúra (Közlekedés, energia, víz)

Az Annex III 2. pontja olyan MI-rendszerekre vonatkozik, amelyeket kritikus digitális infrastruktúra, közúti forgalom, vízellátás, gáz, fűtés és villamos energia kezelésének és üzemeltetésének biztonsági elemeként alkalmaznak. A közlekedési vállalatoknak, energiahálózat-üzemeltetőknek, vízközműveknek és digitális infrastruktúra-szolgáltatóknak fel kell mérniük, hogy MI-rendszereik ebbe a kategóriába esnek-e. Az AI Act Annex I melléklete szintén érintett itt: az Annex I hatálya alá tartozó termékekbe (gépek, járművek, polgári repülési berendezések, vasúti rendszerek) beágyazott MI-biztonsági komponensek az Art. 6(1) értelmében magas kockázatúak — nem az Annex III alapján.

3. kategória — Oktatás és szakképzés

Az Annex III 3. pontja olyan MI-rendszerekre vonatkozik, amelyek meghatározzák az oktatási intézményekbe való belépést, tanulókat oktatási útvonalakhoz sorolnak, vizsga- vagy tesztteljesítményt értékelnek, olyan tanulási eredményt mérnek fel, amely lényegesen befolyásolja a jövőbeli lehetőségeket, valamint értékelések során monitorozzák a tanulók magatartását. Az EdTech platformoknak, egyetemeknek, szakképzési intézményeknek és vizsgaszervező testületeknek ezekkel a szempontokkal szemben kell értékelniük MI-alapú eszközeiket.

4. kategória — Foglalkoztatás és HR

Az Annex III 4. pontja olyan MI-rendszerekre vonatkozik, amelyeket toborzásban és kiválasztásban (önéletrajz-szűrés, jelöltek rangsorolása, automatizált interjúelemzés), előléptetési és elbocsátási döntéseknél, platformmunkások feladatelosztásánál, munkavállalók magatartásának megfigyelésénél és teljesítményértékelésnél alkalmaznak. Ez a kategória az egyik legszélesebb hatályú — gyakorlatilag minden olyan szervezetnek fel kell mérnie a megfelelést, amely MI-alapú HR-folyamatokat alkalmaz. A kötelezettség a munkáltatók, a munkaerő-közvetítő ügynökségek és a platformgazdasági szereplők által alkalmazott MI-rendszerekre egyaránt érvényes.

5. kategória — Alapvető magán- és közszolgáltatások (Pénzügy, biztosítás, egészségüggyel összefüggő területek, ellátások)

Az Annex III 5. pontja a legszélesebb kategória; ide tartoznak a természetes személyek hitelképességét és hitelminősítését értékelő, biztosítási kockázatot felmérő és díjszabást meghatározó, közhasznú juttatásokra és szociális szolgáltatásokra való jogosultságot értékelő, valamint sürgősségi ügyeleti döntéseket segítő MI-rendszerek. Ez a kategória közvetlenül érinti a bankokat, biztosítókat, közigazgatási szerveket és szociális szolgáltatókat. A személyek biztosítási jogosultságát pontozó, egészséggel kapcsolatos MI szintén ide sorolandó, ami átfedést teremt a pénzügyi szolgáltatások és az egészségügyi kötelezettségek között.

6., 7. és 8. kategória — Bűnüldözés, migráció, igazságszolgáltatás

Az Annex III 6., 7. és 8. pontja a közszektorbeli hatóságokat és azok technológiai szállítóit célozza. A bűnüldözési MI (kockázati pontozás, visszaesés előrejelzése, bűncselekmény-előrejelzés, bizonyítékértékelés), a migrációs és határellenőrzési MI (menedékjogi kockázatértékelés, okmány-ellenőrzés, kérelmek feldolgozása) és az igazságszolgáltatási és demokratikus folyamatokat érintő MI (bírói kutatóeszközök, választásokhoz kapcsolódó MI) egyaránt magas kockázatú besorolást kap. E kategóriák elsősorban a rendőri hatóságokat, határügynökségeket, bevándorlási hatóságokat, bíróságokat és azok szerződéses MI-szállítóit érintik.

Ágazati útmutatók

Az alábbi dedikált útmutatók mindegyike az EU AI Act kötelezettségeit az adott szektor konkrét szabályozási kontextusához, jellemző MI-alkalmazási eseteihez és végrehajtási architektúrájához igazítja.

Egészségügy és élettudományok

Az egészségügyi MI az EU AI Act, az orvostechnikai eszközökre vonatkozó rendelet (MDR) és az in vitro diagnosztikai rendelet (IVDR) metszéspontján működik. A medikai eszköznek minősülő MI-rendszerek elsősorban az MDR/IVDR alapján szabályozottak, azonban az AI Act alapjogi és átláthatósági kötelezettségei továbbra is érvényesek rájuk. Az Annex III 5. pontja magában foglalja a biztosítási és közhasznú ellátási jogosultsághoz kapcsolódó egészségügyi kockázatpontozást. A klinikai döntéstámogatás, a diagnosztikai MI, a betegek osztályozását segítő eszközök és a gyógyszerkutatási MI egyaránt konkrét kötelezettségeket von maga után, szabályozási besorolásuktól függően.

HR és toborzás

Az Annex III 4. pontja szinte minden MI-alapú HR-folyamatot a magas kockázatú kategóriába sorol. Az önéletrajz-szűrő eszközöknek, pszichometriai értékelési platformoknak, automatizált interjúvideó-elemző rendszereknek, teljesítménymenedzsment-rendszereknek és munkaerő-ütemező MI-rendszereknek meg kell felelniük a szolgáltatói és üzemeltetői kötelezettségeknek. Ez az útmutató a munkáltatók mint üzemeltetők Art. 26 szerinti kötelezettségeit, az Art. 10 szerinti adatirányítási követelményeket és a GDPR-profilalkotási korlátozásokkal való kölcsönhatást tárgyalja.

Közszféra és igazságszolgáltatás

A közhatóságok egyidejűleg magas kockázatú MI üzemeltetői és azok az entitások, amelyeket a nemzeti illetékes hatóságok a legalaposabban fognak vizsgálni. Az Annex III 5–8. pontja együttesen a közszektorbeli MI nagy részét lefedi: az ellátásokra való jogosultság meghatározása, a sürgősségi szolgálatok MI-rendszerei, a bűnüldözési eszközök, a határigazgatási rendszerek és az igazságszolgáltatási MI egyaránt ide tartozik. Ez az útmutató a közszektorbeli üzemeltetők sajátos kötelezettségeit, a polgárokat érintő automatizált döntések átláthatósági követelményeit, valamint a GDPR-ral és a bűnüldözési irányelvvel való összefüggéseket tárgyalja.

Közlekedés és kritikus infrastruktúra

A közlekedési vállalatoknak egyidejűleg kell navigálniuk az Annex III 2. pontja (a kritikus infrastruktúra biztonsági komponensei) és az Annex I szerinti termékbiztonsági szabályozás között. Az autonóm járműrendszerekben, vasúti forgalomirányításban, légi forgalomirányításban, kikötői műveletekben és logisztikai útvonaltervezésben alkalmazott MI több úton keresztül is magas kockázatú besorolást kaphat. Ez az útmutató az EASA-rendeletekkel, a vasútbiztonsági irányelvvel és a bejelentett szervek megfelelőségértékelési szerepével való kölcsönhatást tárgyalja.

Kkv-k

A kis- és középvállalkozások ugyanolyan EU AI Act szerinti kötelezettségekkel szembesülnek, mint a nagy szervezetek, ha magas kockázatú MI szolgáltatói vagy magas kockázatú MI-t igénybe vevő üzemeltetők. A rendelet azonban arányossági mechanizmusokat biztosít. Ez az útmutató ismerteti az egyszerűsített műszaki dokumentáció lehetőségeit, az Art. 57–Art. 63 szerinti szabályozói tesztkörnyezetekhez való hozzáférést, és azt, hogyan alakítható ki egy minimális, de jogilag elégséges megfelelési program. Kitér a kkv-k harmadik féltől származó MI-eszközök üzemeltetőjeként fennálló kitettségére is.

Biztosítás

A biztosítási MI az Annex III 5(b) pontja (természetes személyek élet- és egészségbiztosítási kockázatának felmérése és díjszabása) hatálya alá esik, és összefügg a Solvency II belső modellekre vonatkozó modellirányítási követelményeivel. A gépjármű-, egészség-, vagyonbiztosítási és életbiztosítási díjszabási MI-rendszerek, a kockázatvállalási döntéstámogató eszközök és az automatizált kárigény-rendezési rendszerek egyaránt értékelést igényelnek. Ez az útmutató az EIOPA és a nemzeti biztosításfelügyeleti hatóságok szerepét tárgyalja az AI Act NCA-keretrendszere mellett.

Kiskereskedelem és ügyfélszolgálati központok

A kiskereskedelmet és az ügyfélszolgálati tevékenységeket elsősorban az Art. 50 átláthatossági kötelezettségei érintik — az MI által generált tartalom közzétételének kötelezettsége, a chatbotok azonosítása, a mélyhamisítványok megjelölése —, valamint az Annex III 4. pontja szerinti foglalkoztatáshoz kapcsolódó MI. Az ügyfélkapcsolati kontextusban alkalmazott érzelemfelismerő rendszerek kifejezetten szabályozottak. Ez az útmutató az online kiskereskedelmi MI-rendszereket, az ajánlómotorokat, az automatizált ügyfélszolgálatot és a kontaktközpontok munkaerő-gazdálkodását tárgyalja.

Oktatás és EdTech

Az Annex III 3. pontja a magas kockázatú kategóriába sorolja az oktatási MI-rendszereket, ha azok meghatározzák vagy lényegesen befolyásolják az oktatási útvonalakhoz való hozzáférést, vagy tanulási eredményeket értékelnek. Ez az útmutató az EdTech-szolgáltatók, az egyetemek, a szakképzési intézmények és a közvizsga-szervező hatóságok kötelezettségeit ismerteti. Kitér az adaptív tanulási platformokra, a felügyeleti szoftverekre, az automatizált esszéértékelő rendszerekre és a tanulói kockázat-előrejelző eszközökre.

Pénzügyi szektor (bankszektor)

A bankszektor útmutatója az Annex III 5(b) pontja szerinti hitelpontozást és hitelképesség-értékelést, a csalásfelderítési MI-rendszereket, az algoritmikus kereskedési rendszereket, a AML/KYC eszközöket és a robo-tanácsadási platformokat tárgyalja. Megvizsgálja az EU AI Act kötelezettségeinek a DORA-ra, a MiFID II-re, a CRR/CRD-re és az EBA iránymutatásaira rétegzett alkalmazását. Kiemelt fókusz az AI Act modellirányítási követelményei és az EBA iránymutatásai szerinti meglévő modellkockázat-kezelési keretrendszerek közötti összefüggés.

Ágazatokon átívelő kötelezettségek

Számos EU AI Act szerinti kötelezettség szektortól függetlenül alkalmazandó. Az EU-ban működő minden szervezetnek ismernie kell ezeket az alapkövetelményeket.

Tiltott gyakorlatok — Art. 5

Az Art. 5 abszolút tilalmakat állapít meg, amelyek 2025. február 2-től hatályosak. Ezek kivétel nélkül minden szektorra vonatkoznak: kárt okozó szubliminális manipulációs technikák, természetes személyek sebezhetőségének kihasználása, közhatóságok általi társadalmi pontozás, bűnüldözés által nyilvánosan hozzáférhető helyeken végzett valós idejű, távolsági biometrikus azonosítás (szűk kivételektől eltekintve), érzelemfelismerés munkahelyeken és oktatási intézményekben (meghatározott felhasználásokon kívül), érzékeny jellemzőkön alapuló biometrikus kategorizálás, és kizárólag profilalkotáson alapuló előrejelző rendészet. Ezeket a tilalmakat semmilyen ágazatspecifikus mentesség nem bírálhatja felül.

Átláthatósági kötelezettségek — Art. 50

Az Art. 50 előírja, hogy a természetes személyekkel kapcsolatba lépő MI-rendszerek szolgáltatóinak és üzemeltetőinek közzé kell tenniük az interakció MI-jellegét. Ez vonatkozik a chatbotokra, a virtuális asszisztensekre, az automatizált ügyfélszolgálati rendszerekre és minden olyan MI-rendszerre, amelyet emberiként való megjelenésre terveztek. Az MI által generált tartalmat — szintetikus médiát, mélyhamisítványokat, szöveget — géppel olvasható formában meg kell jelölni. Ezek a kötelezettségek a kiskereskedelemre, a pénzügyi szolgáltatásokra, az egészségügyi betegorientált eszközökre, a közszféra állampolgári szolgáltatásaira és minden egyéb, társalgási vagy generatív MI-t alkalmazó szektorra vonatkoznak.

GPAI-modell kötelezettségek — Art. 51–Art. 55

Azoknak a szervezeteknek, amelyek GPAI-modelleket — nagy nyelvi modelleket, alapmodelleket, multimodális MI-rendszereket — alkalmaznak, fel kell mérniük, hogy harmadik fél GPAI-modelljének üzemeltetőiként vagy GPAI-t integráló rendszer szolgáltatóiként járnak-e el. A GPAI-szolgáltatók kötelezettségeket viselnek az Art. 53 értelmében (átláthatóság az downstream szolgáltatók felé, szerzői jogi szabályzat, tanítási adatok összefoglalója). A szisztémikus kockázatot hordozó GPAI-modellek az Art. 55 alapján további kötelezettségeknek vannak alávetve. Minden szektornak, amely kereskedelmi alapmodellek API-jait vagy önhoszting alapmodelleket alkalmaz, értékelnie kell e kötelezettségeket.

Kkv-k és arányos kötelezettségek

A kkv-k az uniós vállalkozások többségét, és az MI-rendszerek szolgáltatóinak és üzemeltetőinek egyre nagyobb arányát képviselik. Az EU AI Act nem hoz létre általános kkv-mentességet, de az Art. 9(5), az Art. 11 és az Art. 16 előírja, hogy a szolgáltatói kötelezettségek arányosak legyenek a szervezet méretéhez és kapacitásához.

A szabályozói tesztkörnyezet-keretrendszer (Art. 57–Art. 63) kifejezetten arra irányul, hogy a kkv-knak és startupoknak felügyelt fejlesztési környezetet, csökkentett szabályozói bizonytalanságot és közvetlen hozzáférést biztosítson a nemzeti illetékes hatóság iránymutatásához. A részvétel nem garantál megfelelési jóváhagyást, de strukturált utat kínál az innovatív MI-termékek piacra lépéséhez.

Azon kkv-k esetében, amelyek harmadik fél által nyújtott magas kockázatú MI üzemeltetőiként járnak el, az Art. 26 kötelezettségei — az alkalmazási eset értékelése, az emberi felügyelet végrehajtása, az alapjogi hatásvizsgálat — érvényesülnek. A szükséges dokumentáció és monitoring terjedelme arányos, azonban a jogi kötelezettségek nem kerülnek felfüggesztésre.

A dedikált kkv-k útmutatója kisebb szervezetek számára kialakított megfelelési menetrendet kínál, amely kiterjed a prioritások meghatározására, a minimálisan szükséges dokumentációra, a szállítói átvilágításra és a tesztkörnyezethez való hozzáférési eljárásokra.

Végrehajtás

Az EU AI Act rétegzett végrehajtási architektúrát hoz létre, amelynek jelentős ágazatspecifikus dimenziói vannak.

Nemzeti illetékes hatóságok

Minden uniós tagállam egy vagy több nemzeti illetékes hatóságot (NCA) jelöl ki az Art. 70 alapján. Az NCA-k felelősek a szabályozói tesztkörnyezetek engedélyezéséért, a piaci felügyelet elvégzéséért, a szolgáltatóktól érkező piacfelügyeleti adatok fogadásáért, a feltételezett jogsértések kivizsgálásáért és az Art. 99–Art. 101 szerinti közigazgatási bírságok kiszabásáért. Az Art. 5 szerinti tiltott gyakorlatok megsértéséért kiszabható maximális bírság 35 millió euró, vagy a globális éves forgalom 7%-a.

Ágazati szabályozók mint piacfelügyeleti hatóságok

Az Art. 74(8) és Art. 74(9) lehetővé teszi, hogy az ágazati szabályozók saját területükön piacfelügyeleti hatóságként járjanak el. Az Európai Bankhatóság (EBA), az Európai Biztosítás- és Foglalkoztatóinyugdíj-hatóság (EIOPA), az Európai Értékpapír-piaci Hatóság (ESMA), az Európai Gyógyszerügynökség (EMA) és az Európai Uniós Repülésbiztonsági Ügynökség (EASA) mindegyike szerepet játszik a MI felügyeletében saját szabályozási területén. Ez kettős végrehajtási kitettséget teremt: egy bank hitelpontozási MI-rendszerét egyidejűleg vizsgálhatja egy nemzeti pénzügyi szabályozó — az Annex III kötelezettségeket alkalmazva — és egy NCA — AI Act piaci felügyeletet végezve.

Az Európai MI Hivatal

Az Art. 64–Art. 70 alapján létrehozott Európai MI Hivatal közvetlen végrehajtási jogkörrel rendelkezik a GPAI-modellek szolgáltatói felett. A szisztémikus kockázatot hordozó GPAI-modelleket alkalmazó szervezetek számára az MI Hivatal az elsődleges szabályozói partner — nem a nemzeti NCA. Az ágazati szabályozóknak a GPAI-modellek felett nincs közvetlen joghatóságuk, bár a GPAI-t integráló downstream MI-rendszerek továbbra is nemzeti és ágazati felügyelet alá tartoznak.

Végrehajtási ütemterv

Az Art. 5 szerinti gyakorlatokra vonatkozó tilalom 2025. február 2-tól alkalmazandó. Az Art. 51–Art. 55 szerinti GPAI-kötelezettségek 2025. augusztus 2-án léptek hatályba. Az Annex III szerinti magas kockázatú MI-rendszerekre vonatkozó teljes körű kötelezettségek — mind a nyolc kategóriára és valamennyi szolgáltatói és üzemeltetői kötelezettségre kiterjedve — 2027. december 2-től alkalmazandók (az eredeti 2026. augusztus 2-i határidőt a 2025. évi digitális omnibusz módosítás hosszabbította meg). A valamennyi szektorbeli szervezetnek a 2027 decemberéig tartó időszakot aktív megfelelési ablakként kell kezelnie — nem türelmi időként.