KKV-k — EU AI Act megfelelési útmutató

EU AI Act megfelelés kis- és középvállalkozások számára. KKV-specifikus rendelkezések, sandbox-hozzáférés, csökkentett díjak és gyakorlati útmutató AI-rendszereket alkalmazó és fejlesztő vállalkozások részére.

EU AI Act és KKV-k — A jó hírek

Az EU AI Act (az EU 2024/1689 rendelete) minden, az EU-piacon AI-rendszereket forgalomba hozó vagy azokat alkalmazó szervezetre vonatkozik, mérettől függetlenül. A szabályozási valóság azonban a legtöbb kis- és középvállalkozás számára lényegesen kevésbé terhes, mint a híradások sugallják, egyetlen alapvető okból kifolyólag: a KKV-k túlnyomó többsége AI-rendszereket használ, nem pedig fejleszt.

Egy olyan KKV, amely AI-bővítményekkel ellátott CRM-re fizet elő, SaaS-szállítótól származó chatbotot alkalmaz, vagy felhőalapú kereslet-előrejelző szoftvert használ, az EU AI Act terminológiájában alkalmazónak minősül — nem szolgáltatónak. Az alkalmazói kötelezettségek rendszerszerűen könnyebbek a szolgáltatói kötelezettségeknél. A szolgáltatók viselik a megfelelőség-értékelés, a műszaki dokumentáció, a CE-jelölés és a nyilvántartásba vétel fő terhét. Az alkalmazókra célzottabb kötelezettségrendszer vonatkozik, amely a helyes használatra, az emberi felügyeletre és az incidensbejelentésre koncentrál.

Az alkalmazó/szolgáltató megkülönböztetésen túl az EU AI Act egy önálló KKV-specifikus rendelkezéscsomagot tartalmaz, amely strukturális támogatást nyújt: elsőbbségi hozzáférés a szabályozói sandboxokhoz, csökkentett megfelelőség-értékelési díjak, és a nemzeti szinten működő egyablakos kapcsolattartó pont. Ezek a rendelkezések tükrözik a jogalkotó kifejezett szándékát, miszerint az AI Act nem válhat aránytalanul terhes akadállyá a kisebb piaci szereplők számára.

Ez az útmutató bemutatja, mit jelent az EU AI Act a gyakorlatban egy KKV számára — legyen szó harmadik féltől származó AI-eszközök használatáról, ügyfélkapcsolati kontextusban alkalmazott AI-rendszerekről, vagy saját AI-termék fejlesztéséről és forgalmazásáról.

KKV-specifikus rendelkezések a rendeletben

Az EU AI Act négy olyan rendelkezést tartalmaz, amelyek kifejezetten a KKV-kra vonatkoznak (a 2003/361/EK bizottsági ajánlás küszöbértékét teljesítő vállalkozásokra: kevesebb mint 250 foglalkoztatott, és éves forgalom legfeljebb 50 millió euró, vagy mérlegfőösszeg legfeljebb 43 millió euró), valamint a startupokra.

Art. 55 — Elsőbbségi hozzáférés a szabályozói sandboxokhoz

Az Art. 55 kimondja, hogy a szabályozói AI sandboxok — a piaci forgalomba hozatal előtti AI-fejlesztés és -tesztelés felügyelt környezetei — elsőbbséggel elérhetők a KKV-k és startupok számára. A hozzáférés ingyenes vagy csökkentett díj ellenében biztosított, és a részt vevő szervezetek közvetlen iránymutatást kapnak az illetékes hatóságtól. A sandbox-hozzáférés lehetővé teszi a piacra lépés előtti kockázatazonosítást és a szabályozói párbeszédet egy védett környezetben, a nem megfelelő piaci forgalomba hozatal következményei nélkül. Az AI-rendszereket fejlesztő KKV-knak érdemes a sandbox-részvételt mind megfelelési eszközként, mind a felügyeleti hatósággal való közvetlen kapcsolatfelvétel mechanizmusaként kezelni a terméklauncht megelőzően.

Art. 96 — Csökkentett megfelelőség-értékelési díjak

Ahol egy nagy kockázatú AI-rendszer harmadik fél általi, bejelentett szervezet végzette megfelelőség-értékelést igényel (ez az III. melléklet 1., 6. és 7. pontjában felsorolt rendszerekre, valamint az Art. 6(1) szerinti orvostechnikai eszköz AI-ra alkalmazandó), az Art. 96 előírja a tagállamoknak, hogy csökkentett díjakat állapítsanak meg a kisvállalkozások számára. A mikrovállalkozások — amelyek kevesebb mint 10 foglalkoztatottat, és éves forgalmat vagy mérlegfőösszeget legfeljebb 2 millió eurót foglalnak magukban — még nagyobb mértékű csökkentésre jogosultak. A pontos díjtáblázatokat tagállami szinten határozzák meg, és joghatóságonként eltérőek lehetnek; az aktuális összegekről a releváns nemzeti AI-hatóság vagy az Enterprise Europe Network adhat tájékoztatást.

Art. 85 — Egyablakos kapcsolattartó pont

Az Art. 85 kötelezi a nemzeti AI-felügyeleti hatóságokat, hogy KKV-k számára dedikált egyablakos kapcsolattartó pontot hozzanak létre. Ez azt jelenti, hogy az AI Act kötelezettségeivel kapcsolatban tájékoztatást kérő KKV-nak nem kell több szabályozói osztályon navigálnia vagy töredezett hatóságok között koordinálnia. Az egyablakos kapcsolattartó pont tájékoztatást nyújt, irányítja a megkereséseket a megfelelő szervhez, és elősegíti a sandbox-kérelmek benyújtását. Ez a rendelkezés jelentősen csökkenti a szabályozói kötelezettségek megértésének adminisztratív költségét.

Art. 9(5) — Arányos kockázatkezelés

Az Art. 9(5) kimondja, hogy a nagy kockázatú AI-rendszerek szolgáltatóitól megkövetelt kockázatkezelési rendszer arányosan is megvalósítható, figyelembe véve a szervezet méretét és struktúráját. A nagy kockázatú rendszer szolgáltatójaként eljáró KKV számára ez azt jelenti, hogy bár a kockázatkezelési rendszer valamennyi érdemi követelményét teljesíteni kell, a dokumentáció formátuma, az eljárások összetettsége és az irányítási struktúra a szervezet tényleges kapacitásához igazítható — feltéve, hogy ez nem veszélyezteti a keretrendszer védelmi céljait.

Szolgáltató vagy alkalmazó? — Döntési keretrendszer KKV-k számára

Az EU AI Act-tel kapcsolatba kerülő KKV számára a legfontosabb előzetes meghatározás az, hogy az egyes általa használt vagy kínált AI-rendszerek tekintetében szolgáltatóként vagy alkalmazóként jár-e el.

Szolgáltató (Art. 3(3)): Olyan szervezet, amely AI-rendszert fejleszt, vagy AI-rendszert fejlesztet, és azt saját neve vagy márkája alatt helyezi forgalomba vagy veszi üzembe — fizetés ellenében vagy térítésmentesen. Ez magában foglalja az alábbi KKV-kat:

• AI-t tartalmazó szoftverterméket (beleértve az API-n keresztül elért AI-modelleket is) fejlesztenek, és azt ügyfeleknek értékesítik vagy licencbe adják;
• AI-modellt vagy -alkalmazást fejlesztenek belsőleg, és azt a szervezeten kívüli végfelhasználóknak nyújtják szolgáltatásként;
• Harmadik fél AI-rendszerét olyan mértékben módosítják, hogy az megváltoztatja annak tervezett célját.

Alkalmazó (Art. 3(4)): Olyan szervezet, amely AI-rendszert saját hatáskörében, szakmai célból alkalmaz. Ebbe a kategóriába tartoznak az alábbi KKV-k:

• Beágyazott AI-funkciókkal rendelkező SaaS-termékekre fizetnek elő (AI-bővítményekkel ellátott CRM, ERP, könyvelési szoftver);
• Harmadik fél chatbotját vagy társalgási AI-ját alkalmazzák honlapjukon;
• Felhőalapú AI API-kat (természetes nyelvfeldolgozás, képosztályozás, ajánlórendszerek) kizárólag belső munkafolyamatok automatizálására vagy saját szolgáltatásaik fejlesztésére vesznek igénybe, anélkül hogy az AI-képességet termékfunkcióként kínálnák harmadik feleknek;
• HR-szoftvert, készlet-előrejelzési vagy ügyfélanalitikai eszközöket szereznek be külső szállítóktól.

A kritikus határeset: Az a KKV, amely külső AI API-t integrál saját, ügyfelei felé nyújtott termékébe, és ezt a képességet termékfunkcióként értékesíti, az adott AI-funkcionalitás tekintetében szolgáltatónak minősül — nem pusztán az alapul szolgáló API alkalmazójának. Az a jogi személy, amely meghatározza a tervezett célt, irányítja a felhasználói élményt, és a terméket forgalomba hozza, az Art. 16 értelmében szolgáltatói kötelezettségeket visel, függetlenül attól, hogy az AI-modell honnan származik.

A KKV-k legfontosabb alkalmazói kötelezettségei harmadik féltől származó AI alkalmazása esetén

A KKV-k többsége — azok, amelyek harmadik féltől származó AI-eszközöket alkalmaznak, nem saját rendszert fejlesztenek — az Art. 26 és a kapcsolódó rendelkezések alapján az alábbi kötelezettségeknek köteles eleget tenni.

AI-rendszerek használata a szolgáltató utasításai szerint

Az alkalmazóknak a nagy kockázatú AI-rendszereket kizárólag a szolgáltató Art. 13 alapján rendelkezésre bocsátott használati utasításainak megfelelően szabad alkalmazniuk. Ha egy AI-rendszert a dokumentált tervezett célon túlmutató célokra, vagy olyan konfigurációkban használnak, amelyeket a szolgáltató nem validált, ez a megfelelési felelősség egy részét az alkalmazóra hárítja, és a rendszer megfelelőség-értékelését érvénytelenítheti.

Felelős emberi felügyelet kijelölése

Az Art. 26(1) értelmében az alkalmazóknak az AI-felügyelet felelősségét a szervezeten belüli képesített személyre kell ruházniuk. A legtöbb KKV esetében ez egy nevesített egyén (nem feltétlenül dedikált AI-megfelelési tisztviselő), aki érti a rendszer működését, ismert korlátait, és azokat a körülményeket, amelyek között emberi beavatkozás szükséges. Ezt a kijelölést dokumentálni kell.

Üzemeltetési naplók megőrzése

Ahol a nagy kockázatú AI-rendszerek automatikusan naplókat generálnak (Art. 12), az alkalmazóknak ezeket a naplókat a jogilag előírt ideig kell megőrizniük — az AI Act szerint általában hat hónapig, kivéve ha az ágazatspecifikus jog hosszabb megőrzési időt ír elő. Az alkalmazóknak ellenőrizniük kell, hogy a szállítói szerződés hozzáférést biztosít-e a naplókhoz, és megerősíti-e azok formátumát és teljességét.

Súlyos incidensek bejelentése a szolgáltatónak

Az Art. 26(5) értelmében az alkalmazóknak értesíteniük kell a szolgáltatót minden, a használat során felfedezett súlyos incidensről vagy meghibásodásról. Ahol az alkalmazó szervezet közintézmény, az értesítési kötelezettség kiterjed a nemzeti AI-felügyeleti hatóságra is. A magánszektorbeli KKV-alkalmazók számára az elsődleges csatorna a szolgáltató közvetlen értesítése, amely ezt követően saját kötelezettségei alapján értesíti a hatóságot az Art. 73 szerint.

Alapjogi hatásvizsgálat elvégzése, ahol alkalmazandó

Az Art. 27 előírja, hogy nagy kockázatú AI-rendszereket alkalmazó közintézményeknek az alkalmazás előtt alapjogi hatásvizsgálatot kell elvégezniük. A nagy kockázatú AI-t alkalmazó magánszektorbeli KKV-k — különösen HR, hitelértékelés vagy ügyfélkapcsolati döntéshozatali kontextusban — erősen ajánlott, hogy elvégezzék az ezzel egyenértékű értékelést, mivel ez igazolja a kellő gondosságot, és lényegesen csökkenti a végrehajtási kockázatot.

Szállítói szerződések felülvizsgálata

A KKV-alkalmazóknak biztosítaniuk kell, hogy az AI-szállítókkal kötött szerződéseik tartalmazzák: a megfelelőségi dokumentációt és a használati utasítást; az EU-adatbázisba való nyilvántartásba vétel megerősítését, ahol ez szükséges; a naplózási képesség és a hozzáférési jogok meghatározását; a szállító incidensbejelentési és -elhárítási kötelezettségvállalását; valamint a rendszer megfelelőségi állapotát esetlegesen érintő frissítési vagy módosítási kötelezettségekre vonatkozó tájékoztatást.

Ha AI-rendszert fejleszt — KKV-k szolgáltatói kötelezettségei és támogatása

Az AI-rendszereket fejlesztő és forgalmazó KKV-k szolgáltatónak minősülnek, és a III. fejezet szerint teljes körű szolgáltatói kötelezettségeket viselnek minden nagy kockázatú rendszer tekintetében. E kötelezettségek köre jelentős: minőségirányítási rendszer (Art. 17), műszaki dokumentáció a IV. melléklet szerint, adatirányítás az Art. 10 szerint, naplózás az Art. 12 szerint, átláthatósági követelmények az Art. 13 szerint, emberi felügyelet kialakítása az Art. 14 szerint, valamint pontossági és robusztussági szabványok az Art. 15 szerint. A bejelentett szervezet általi értékelést igénylő III. melléklet szerinti rendszerek esetén a megfelelőségi út az Art. 43 szerint alakul.

KKV-szolgáltató számára a gyakorlati kiindulópont a kockázatbesorolás meghatározása:

• Az AI-rendszerre vonatkozik-e az Art. 5 (tiltott tevékenységek)? Ha igen, a fejlesztést be kell szüntetni, vagy alapvetően át kell alakítani minden piaci tevékenység előtt.
• A rendszer nagy kockázatúnak minősül-e az Art. 6(1) (szabályozott termék biztonsági összetevője) vagy a III. melléklet alapján (felsorolt alkalmazási területek, beleértve a biometrikus azonosítást, a kritikus infrastruktúrát, az oktatást, a foglalkoztatást, az alapvető szolgáltatásokat, a bűnüldözést, a migrációt, az igazságszolgáltatást)?
• A rendszer kizárólag az Art. 51–56 által szabályozott általános célú AI-modellnek minősül-e, nagy kockázatú besorolás nélkül?
• A rendszerre kizárólag az Art. 50 szerinti átláthatósági kötelezettségek vonatkoznak-e (érzelemfelismerés, mélyhamisítvány, chatbotok)?

Azok a KKV-k, amelyek rendszerei a nagy kockázatú és tiltott kategóriákon kívül esnek, lényegesen könnyebb megfelelési terhet viselnek: Art. 50 szerinti átláthatósági közzétételek, GDPR-megfelelés, és az alkalmazandó nemzeti vagy uniós jog szerinti ágazatspecifikus kötelezettségek.

A nagy kockázatú AI-t fejlesztő KKV-k számára az Art. 55 szerinti szabályozói sandbox a legfontosabb rendelkezésre álló eszköz. A sandbox-részvétel lehetővé teszi a piacra lépés előtti tesztelést szabályozói felügyelet mellett, dokumentált bizonyítékot nyújt a jóhiszemű megfelelési erőfeszítésekről, és lehetővé teszi a korrekciós intézkedések azonosítását, mielőtt azok végrehajtási ügyekké válnának. A kérelmeket a nemzeti egyablakos kapcsolattartó ponthoz kell benyújtani (Art. 85).

Gyakorlati lépések KKV-k megfelelése érdekében

1. lépés — Leltározza fel az összes használatban lévő vagy fejlesztés alatt álló AI-rendszert. Sorolja fel az összes AI-eszközt, SaaS-terméket, felhőalapú API-t és belsőleg fejlesztett modellt. Jegyezze fel a szállítót, a funkciót, és hogy az egyes rendszerek tekintetében a KKV szolgáltatóként vagy alkalmazóként jár-e el.

2. lépés — Sorolja be az egyes rendszereket kockázati kategóriába. Alkalmazza az Art. 5 / Art. 6 / III. melléklet / Art. 50 keretrendszert minden egyes rendszerre. Ha a besorolás bizonytalan, kérjen iránymutatást az Art. 85 szerinti egyablakos kapcsolattartó ponttól.

3. lépés — Alkalmazói szerepkörök esetén: auditálja a szállítói szerződéseket. Ellenőrizze, hogy minden AI-szállító rendelkezésre bocsátotta-e az Art. 13 szerinti dokumentációt, és hogy a szerződés kitér-e a naplózásra, az incidensbejelentésre és a frissítési kötelezettségekre. Jelölje meg a hiányosságokat az újratárgyalás érdekében.

4. lépés — Szolgáltatói szerepkörök esetén: indítsa el a megfelelőségi eljárást. Állapítsa meg, hogy nagy kockázatú AI-rendszere önértékelést igényel-e (Art. 43(2)) vagy harmadik fél által végzett bejelentett szervezeti értékelést (Art. 43(1)). Ha a rendszer fejlesztés alatt áll, igényeljen sandbox-hozzáférést az Art. 55 alapján. Vegye fel a kapcsolatot a bejelentett szervezettel kellő időben az ütemterv és a díjak megismerése érdekében, figyelembe véve az Art. 96 szerinti KKV-díjkedvezményre való jogosultságát.

5. lépés — Vezesse be az Art. 26 szerinti alkalmazói kötelezettségeket valamennyi nagy kockázatú rendszer esetén. Jelöljön ki felügyeleti személyeket, dokumentálja felelősségeiket, ellenőrizze a naplómegőrzési eljárásokat, és erősítse meg az incidensbejelentési csatornákat.

6. lépés — Hozzon létre AI Act felülvizsgálati ciklust. Az EU AI Act egy élő keretrendszer. Jelöljön ki felelős személyt az EU AI Hivatal iránymutatásainak, a nemzeti hatósági frissítéseknek és a III. melléklet besorolásainak változásaira vonatkozó nyomon követésére. Ütemezzen éves belső felülvizsgálatot a rendszerleltár és a megfelelőségi állapot értékelésére.