Keleti Arthur kibertitok‑jövőkutató, IT‑biztonsági stratéga és az Informatikai Biztonság Napja (ITBN) alapítója szerint a vállalatoknak nem szabad hátradőlniük az EU mesterséges intelligenciára vonatkozó rendelete, az AI Act kapcsán: bár bizonyos határidőket eltoltak, több kötelezettség már most is alkalmazandó, és gyorsan fel kell mérni, hogy egy cég valójában milyen AI‑eszközöket használ, milyen üzleti folyamatokban és milyen adatokkal.
Keleti Arthur november 18‑án részt vesz az AI Talks 2026 konferencia „Haladék, de nem felmentés: mit érdemes az EU AI‑rendeletről tudni cégvezetőként?” című kerekasztal‑beszélgetésén a Bálna Budapestben. A rendezvény előtt adott interjúban részletezte, mit jelent a mostani késleltetés és milyen gyakorlati lépések javasoltak a cégek számára.
Mely határidőket tolták ki, és mi maradt érvényben?
Az úgynevezett AI Omnibus módosításai bizonyos rendelkezések alkalmazását későbbre helyezték. Keleti Arthur ismertetése szerint a halasztások elsősorban a nagy kockázatú rendszerekre vonatkoznak: például egyes hitelbírálati vagy HR‑folyamatok és a biometrikus azonosítást alkalmazó rendszerek esetén a részletes szabályok alkalmazását 2027. december 2‑ig tolták, míg a szabályozott fizikai termékekbe épített nagy kockázatú AI‑megoldásoknál 2028. augusztusáig.
Ugyanakkor több előírás már most is hatályos: a tiltott AI‑gyakorlatokra és az AI‑jártasságra (AI literacy) vonatkozó szabályok 2025 februárja óta alkalmazandók, 2026 augusztusától pedig további átláthatósági követelmények léptek életbe. 2026. december 2‑ával hatályba lépnek a régi generatív rendszerek vízjelezésére, bizonyos „vetkőztető” alkalmazásokra és pedofil tartalmakra vonatkozó tilalmak is. Keleti hangsúlyozza: a haladék nem felmentés — 2027 végéig is vannak azonnali teendők.
Hogyan állapítható meg, hogy egy rendszer nagy kockázatúnak számít?
Keleti szerint a kiindulópont nem technológiai definíció, hanem a felhasználási leltár: a vállalatnak össze kell gyűjtenie, milyen AI‑eszközöket milyen célokra alkalmaz. Különösen a HR‑terület érzékeny példaként szolgál: toborzás, előléptetés, teljesítményértékelés vagy elbocsátás esetén a döntések emberi jogokra és munkavállalókra gyakorolt hatása nagy kockázatot jelenthet. Egy korábban csupán adminisztratív Applicant Tracking System (ATS) például nagy kockázatúvá válhat, ha AI‑alapú rangsorolást vezetnek be.
A vezetők számára a kulcskérdés az: hoz‑e az AI emberekkel kapcsolatos döntést vagy érdemben befolyásolja azokat. Nagy kockázatú rendszernél nem elég egyszer megvásárolni a megoldást — szükséges a felügyelet kijelölése, a bemeneti adatok relevanciájának folyamatos ellenőrzése, működés monitorozása, az incidensek naplózása és legalább hat hónapig történő megőrzése, illetve incidensjelentési kötelezettség. Emellett tájékoztatni kell a munkavállalói képviselőket és minden érintettet, és hitelbírálati vagy biztosítási használat esetén kötelező az alapjogi hatásvizsgálat (FRIA).
Keleti figyelmeztet: a cégvezetés nem háríthat minden jogi megfelelőséget automatikusan az AI‑szolgáltatókra; egy beszállító aláírása önmagában nem minősül tanúsítványnak.
Shadow AI: mikor válik a vezetés felelőssé?
A shadow AI, vagyis amikor munkavállalók hivatalos kontrollon kívül használnak AI‑eszközöket, külön kihívás. Keleti szerint a vezetés addig hivatkozhat arra, hogy nem az ő felelőssége, amíg tényleg nem tudhatott róla; ha már tud róla, a tagadás védhetetlen. A nemzetközi és hazai kutatások is jeleznek széles körű, személyes fiókokkal vagy saját eszközökkel történő munkaalkalmazást.
A tiltás önmagában rossz stratégia: erős tiltások növelik a shadow AI kockázatát. Inkább kontrollált, vállalati eszközöket kell biztosítani megfelelő szerződéses feltételekkel, világos adatosztályozással és monitorozással: a munkavállalók számára legyen egyértelmű, mit lehet és mit nem feltölteni az AI‑eszközökbe.
AI‑jártasság: szerepalapú képzés és gyakori frissítés
Az AI Act elvárja az AI‑jártasság támogatását; az Omnibus 2026 júliustól követeli meg, hogy a szervezetek segítik a jártasságot, de garanciákat nem ír elő. Keleti szerepalapú képzésben hisz: más tudásra van szüksége egy HR‑munkatársnak, aki AI‑alapú szűrővel dolgozik, és másra annak a vezetőnek, aki az AI‑eredmények alapján dönt.
Gyakorlati tanácsa: mutassanak be valós hibákat és torzításokat, tanítsák az adatkezelést, és ne hagyják, hogy a szabályzatok elavuljanak — egy 2024‑es AI‑szabályzat ma már nem feltétlenül említi az agenteket. Éves vagy féléves felülvizsgálat szükséges.
Mikor veszélyes, ha egy meglévő szoftverbe hirtelen AI‑funkció kerül?
Keleti szerint ez lehet az egyik alulbecsült kockázat 2026–2027‑ben: a szoftverszolgáltatók gyorsan építik be az AI‑funkciókat, és egy frissítés egyik napról a másikra átalakíthat egy korábban alacsony kockázatú rendszert nagy kockázatúvá. Javaslata: az új AI‑funkciók alapértelmezésben legyenek kikapcsolva, a beszállítói szerződésekben szerepeljen, milyen AI‑képességek vannak a termékben és milyen besorolás vonatkozik rájuk, továbbá a változáskezelésnél külön vizsgálják az AI‑vonatkozásokat.
Ajánlott eszköz: olvassák a release note‑okat; ironikusan: erre is lehet AI‑alapú figyelőt alkalmazni, amely jelzi, ha egy frissítés megváltoztathatja a kockázati besorolást — majd frissíteni kell az AI‑leltárt.
Mit jelent valódi human‑in‑the‑loop felügyeletet?
Keleti szerint a gyakori problémák közé tartozik, hogy az emberi „jóváhagyás” formális: ha a döntésre rendelkezésre álló idő csak néhány másodperc, vagy ha az ember csupán egy elfogadás gomb megnyomására korlátozódik, akkor valós kontrollról nem beszélhetünk. Érdemes vizsgálni, hogy az ember milyen gyakran bírálja felül a gépet, meg tudja‑e állítani a folyamatot, hozzáfér‑e olyan információkhoz, amelyeket a rendszer nem lát, és érti‑e a javaslatok alapját.
Szervezeti kérdés: mi történik azzal, aki megállítja a folyamatot — védik‑e őt, vagy őt teszik felelőssé a lassításért? Ha az utóbbi, a human‑in‑the‑loop csak papíron létezik. Valódi emberi felügyeletet a döntési lehetőség, a megfelelő információ és idő, valamint a szervezeti felhatalmazás biztosít.
Ne külön szigetekre bontsuk a szabályozást
Az AI Act mellett a GDPR, NIS2, DORA és ágazati szabályok is hatnak a vállalatok működésére. Keleti szerint hibás külön kezelni ezeket: az adatvédelmi, kiberbiztonsági, beszállítói és AI‑kockázatok összefüggenek, és egy AI‑incidens egyszerre érintheti az összes területet. A meglévő NIS2‑ vagy DORA‑folyamatokból kell kiindulni az AI‑kockázatok kezelésénél, nem új megfelelési szigeteket létrehozni.
Gyors, gyakorlati teendők vezetőknek
Keleti szerint egy hónapon belül néhány alaplépés minden vállalatnál megtehető: jelöljenek ki egy felelős személyt, készíttessenek anonim, „amnesztia jellegű” felmérést a munkatársak által használt AI‑eszközökről, és térképezzék fel, mire használják ezeket. Hasonlítsák össze a szerződéses beszerzési adatokat a valós használattal, és keressék a potenciálisan tiltott gyakorlatokat.
Ezzel már létrejön egy első AI‑felhasználási leltár és valós helyzetkép, amely alapján folytatható a beszállítók átvilágítása, szabályzatok és képzések kialakítása, valamint a nagyobb kockázatú rendszerek részletes vizsgálata.
Mire figyeljünk a következő időszakban?
Keleti azt szeretné látni, hogy a cégek komolyan veszik a védelmet: nem lehet manuális módszerekkel hatékonyan védekezni olyan rendszerekkel szemben, amelyek sokszor gyorsabbak és autonómabbak. Kérdések, amelyeket szerinte minden szervezetnek fel kell tennie: van‑e valakinél kifejezetten az AI‑kockázatok felügyelete a feladata, van‑e AI‑felhasználási leltáruk, és értik‑e, milyen rendszerekkel állnak szemben — különösen az önálló döntéshozatali képességeket mutató megoldások biztonsági és szervezeti következményeit.
A HVG AI Talks 2026 konferencia jegyei a aitalks.hu oldalon még elérhetők. A cikk tartalma az AI Talks, a HVG rendezvényének keretében készült a HVG BrandLab közreműködésével; előállításában és szerkesztésében a HVG hetilap és a hvg.hu szerkesztősége nem vett részt.
