A cikksorozat előző részeiben bemutattuk egyrészt az AI-rendeletben meghatározott tiltott AI-gyakorlatokat és a legfontosabb szabályozási kérdéseket, másrészt a végrehajtás hazai intézményi kereteit, valamint a mesterséges intelligenciához kapcsolódó főbb jogterületeket és kockázatokat. Jelen írás ezekre építve a mesterséges intelligencia compliance kezdeti lépéseit foglalja össze, különös tekintettel  a kockázati besorolásra, az AI-jártasság biztosítására és a szervezeti keretek kialakítására.

AI-compliance kezdeti lépései, lépcsői

Az alábbiakban a mesterséges intelligencia compliance első, kezdeti lépéseihez adunk pár tanácsot.

Az AI-rendeletnek való megfelelés első lépése: felmérés és AI-leltár

Az AI-rendeletnek való megfelelés első lépése annak felmérése, hogy az adott társaság egyáltalán használ-e mesterséges intelligenciát, mesterséges intelligenciával működő rendszert, illetve amennyiben még nem, annak átgondolása, hogy az adott társaság tervezi-e annak a bevezetését. Amennyiben már használatban van ilyen rendszer, akkor a rendszer céljának, funkciójának, rendszerrel elvégzett munkafolyamat, tevékenység megfogalmazása, feltérképezése lehet a következő lépés. Ez adja az úgynevezett AI-leltárt, ami szükséges ahhoz, hogy megállapítsuk, hogy az adott AI-rendszer az AI-rendelet hatálya alá tartozik-e, valamint alapot ad az AI-rendelet szerinti jogi kockázatértékelés elvégzéséhez.

Átláthatóság és tájékoztatás

Bármely mesterséges intelligencia-rendszer alkalmazása esetén az átláthatóság biztosítása érdekében annak alkalmazásáról, a működéséről, céljáról röviden és érthető módon szükséges tájékoztatni a munkavállalókat, ügyfeleket, szerződéses partnereket, minden olyan személyt, akire kihatással lehet az adott rendszer működése.

Jogi kockázatértékelés és kockázati besorolás

A jogi kockázatértékelés azért fontos, mert az AI-rendelet kockázati szintenként állapítja meg, hogy egyes kockázati szintű rendszerek fejlesztőinek, forgalmazójának, üzembe helyezőjének, alkalmazójának milyen kötelezettségeket kell teljesítenie az AI-rendelet alapján. Az AI-rendelet által meghatározott kötelezettségek alapján az AI-rendszerek négy kockázati szintbe sorolhatóak be: tiltott (elfogadhatatlan), nagy, korlátozott, valamint alacsony kockázat.

A kockázatértékelés keretében először azt szükséges vizsgálni, hogy a kérdéses AI-rendszer megvalósít-e tiltott AI-gyakorlatot. Amennyiben az AI-rendszer megvalósít tiltott AI-gyakorlatot, abban az esetben azt haladéktalanul meg kell szüntetni.

Amennyiben a jogi kockázatértékelés során az kerül megállapításra, hogy az AI-rendszer nem valósít meg tiltott AI-gyakorlatot, a következő vizsgálandó kérdés az, hogy az adott rendszer a nagy, korlátozott, illetve alacsony kockázati besorolás közül melybe sorolható be. Azt is szükséges megállapítani, hogy az adott társaságnak milyen szerepe van az AI-rendszer vonatkozásában, azaz az AI-rendszert fejleszti, használja, forgalmazza, importálja, hiszen a kockázati besorolás és a szerepkör együttesen adják ki, hogy az AI-rendelet alapján milyen teendőik vannak az AI-rendelet előírásainak teljesítése érdekében.

Az AI-rendelet és más jogszabályok által az adott társaságra rótt kötelezettségek megismerését követően, a társaságnak érdemes kidolgoznia arra vonatkozó tervét, hogyan fogja megvalósítani a jogszabályi követelményeknek való megfelelést, milyen határidővel, valamint az egyes lépések megvalósítása kinek a feladatkörébe tartozik.

A kockázatértékelés elvégzése minden esetben egyedi, mivel az adott társaság által szolgáltatott adatokon, rendszereken alapul. Tekintettel arra, hogy a mesterséges intelligencia és az AI-rendelet által meghatározott kötelezettségek egyrésze műszaki jellegű, ahhoz az adott rendszer informatikai, műszaki hátterének és adottságainak a megismerése szükséges, ezért az adott társaság döntéshozóinak, mesterséges intelligencia bevezetésével foglalkozó munkavállalóknak, valamint az informatikai, műszaki és jogi csapatnak az együttműködése szükséges a minél pontosabb kockázatértékelés elvégzése érdekében.

Mikor minősül egy rendszer nagy kockázatúnak?

A nagy kockázatú kategóriába való tartozást egyrészt az AI-rendelet felsorolása alapozhatja meg, ami tételesen felsorolja, hogy milyen célokkal, funkciókkal rendelkező rendszerek minősülnek nagy kockázatúnak, valamint másrészről az is megalapozhatja, ha bizonyos jogszabályok hatálya alá tartozó termékek biztonsági alkotóelemét adja a mesterséges intelligencia-rendszer vagy önmagában a mesterséges intelligencia-rendszer minősül ilyen terméknek és termék megfelelőségértékelése, azaz annak a minősítése szükséges, hogy a termék a jogszabályokban előírt követelményeknek megfelel-e. Ilyen termékek lehetnek pl. játékok, orvostechnikai eszközök, gépjárművek és alkotórészeik, amelyek mesterséges intelligenciát alkalmaznak.

Nagy kockázatú rendszernek minősül például az oktatásban, valamint szakképzésben használt az oktatási intézményekbe történő felvétel meghatározásához vagy a tanulási eredmények értékelésére szánt AI-rendszerek, de ilyennek minősülnek a foglalkoztatás területén többek között az állásjelentkezők felvételéhez, kiválasztásához, valamint az előléptetést, illetve a munkaviszony megszüntetését érintő döntések meghozatalához vagy a munkavállalói magatartás, valamint teljesítmény nyomon követéséhez és értékeléséhez használt AI-rendszerek.

Mentesülés a nagy kockázati kötelezettségek alól és dokumentáció

Amennyiben nagy kockázati szintbe történő besorolás az AI-rendelet III. számú mellékletének felsorolásán alapul, az érintett társaság mentesülhet a nagy kockázati besorolásra előírt kötelezettségek teljesítése alól, ha:

• az AI-rendszer tevékenysége emberi tevékenység eredményének javítására szolgál, vagy

• a rendszer célja döntéshozatali minták észlelése, előkészítése, de nem helyettesíti az emberi döntéshozatalt, vagy

• a rendszer egy jól körül határolható eljárási feladatot lát el, vagy

• nem jelent jelentős károkozó kockázatot természetes személyek egészségére, biztonságára vagy alapvető jogaira nézve, vagy

• az AI-rendelet III. mellékletében meghatározott felhasználási területeken értékelés előkészítését végzi.

Amennyiben a mentesülés valamelyik esete fennáll, a kockázati besorolás értékelését, eredményét, a mentesülés indokát AI-rendszer forgalomba hozatala vagy üzembehelyezése előtt dokumentálni kell, valamint regisztráltatni kell a rendszert a mesterséges intelligencia rendszerek uniós adatbázisába.

A magas kockázatú rendszerekhez kapcsolódó kötelezettségek a legszélesebb körűek, a többi kockázati kategóriában ennél kevesebb követelményeknek kell megfelelni. Ugyanakkor fontos itt is hangsúlyozni, hogy a mesterséges intelligencia nem egy különálló területet, a más jogterületekkel való kapcsolata miatt, az adatvédelmi, szerzői jogi vagy munkajogi, stb. teendők szintén számottevőek lehetnek.

AI-tudatosság és AI-jártasság biztosítása

A kockázati besorolástól függetlenül minden olyan személynek, aki egy adott szervezeten belül mesterséges intelligenciával foglalkozik, azt használja köteles biztosítani a megfelelő AI-tudatosságot, azaz az úgynevezett AI-jártasság növelését, fejlesztését. Ezen kötelezettség körében a társaságoknak lehető legnagyobb mértékben szükséges biztosítaniuk, hogy személyzetük, illetve bármely egyéb személy, aki a nevükben AI-rendszerek fejlesztésével, működtetésével, használatával foglalkozik a mesterséges intelligencia területén megfelelő ismeretekkel rendelkezik, figyelembe véve eddigi ismereteiket, képzettségüket. Az AI-jártasság természetesen nem korlátozódik a jogi keretek ismeretére, hanem magába foglalja a technikai tudás fejlesztését is. Az AI-tudatosság fejlesztése keretében biztosítani kell, hogy valamennyi releváns szereplő rendelkezzen az AI-rendelet betartásának és helyes alkalmazásának biztosításhoz szükséges tudással. Ezen kötelezettség leginkább akként biztosítható, ha az érintett szereplő figyelmet fordít arra, hogy a jogi szabályozásból melyek azok a kötelezettségek, amelyek rá vonatkoznak és azok teljesítése érdekében milyen lépéseket szükséges tennie, valamint a szervezetükben dolgozó, velük együttműködő személyeket meghatározott időközönként tréningek, e-learning, szervezeten belüli hírlevelek vagy egyéb ismereterjesztő anyagok útján képzik az AI jogi és egyéb aspektusairól.

Magatartási Kódex kialakítása

A másik ajánlatos compliance lépés minden mesterséges intelligenciát alkalmazó szervezet részére az adott kockázati besorolástól függetlenül a mesterséges intelligencia szervezeten belüli kereteit szabályzó Magatartási Kódex létrehozása. Ez egy belső szabályzat, amely valamennyi, az adott szervezeten belül dolgozó, működő személynek iránymutatásul, útmutatóul szolgálhat a mesterséges intelligencia használatához. Ebben a szabályzatban szabályozható különösen, de nem kizárólagosan az, hogy az adott szervezeten belül milyen célokra, mely esetekben nem megengedett és mely esetekben megengedett, elfogadott mesterséges intelligencia használata, mi az AI által generált vagy azzal létrehozott tartalom emberi felülvizsgálatának a követelményei, melyek a tiltott mesterséges intelligencia gyakorlatok, valamint kinek, milyen feladatköre van a mesterséges intelligencia kapcsán, milyen időközönként szükséges képzésen részt venni, melyek a szabályai a mesterséges intelligenciával kapcsolatos jogsértések kivizsgálásának, stb. Természetesen a belső szabályzat tartalmát, követelményeit az adott társaság belső viszonyára, működésére, általa használt AI-rendszerre kell szabni minden esetben, ezért a fentiekben felsorolt főbb pontokon kívül egyéb kérdéskörök szabályozása is szükséges lehet.

Felkészülés és határidők

Érdemes mielőbb elkezdeni a felkészülést, és a társaságnak megalkotni a mesterséges intelligencia bevezetésének vagy az AI-rendelet és egyéb vonatkozó jogszabályoknak való megfelelés akciótervét, valamint azt implementálni, hiszen a termékként forgalomba hozott nagy kockázatú AI-rendszerekre vonatkozó előírások kivételével (amelyek 2027. augusztus 2. napjától alkalmazandóak), az összes mesterséges intelligencia rendszerre vonatkozó kötelezettség alkalmazandó 2026. augusztus 2. napjától.

Jelen cikksorozatunk rávilágít az AI-rendeletnek és egyéb jogszabályoknak való megfelelés kezdeti lépcsőire, pár alapvető kötelezettségre, azonban természetesen a fentieken túl még számos egyéb feladat, kérdés merülhet fel az adott társaság tevékenységétől és az általa fejlesztett vagy használt mesterséges intelligencia rendszertől függően, ezért minden esetben javasoljuk specifikus az adott társasághoz igazodó megfelelési terv kidolgozását szakértők bevonásával.

A cikk szerzője dr. Putnoki Poppea, a CLM Bitai & Partners Ügyvédi Iroda együttműködő ügyvédje.