2026-ban már nem az a kérdés, hogy használunk-e mesterséges intelligenciát, hanem az, hogy az alkalmazott megoldások megfelelnek-e az Európai Unió szabályozási környezetének.
Az AI Act 2026. augusztus 2-től főszabály szerint alkalmazandó. Egyes rendelkezései azonban már korábban alkalmazandóvá váltak: a tiltott MI-gyakorlatokra és az MI-jártasságra vonatkozó szabályok 2025. február 2-től, az általános célú MI-modellekhez kapcsolódó kötelezettségek pedig 2025. augusztus 2-től alkalmazandók. A nagy kockázatú MI-rendszerekre vonatkozó követelmények ugyanakkor csak később, több lépcsőben válnak alkalmazandóvá. Az aktuális ütemezést az Európai Bizottság AI Act-oldala tartalmazza.
A technológiai fejlődés és a jogi megfelelés összehangolása továbbra is napi kihívást jelent. Legyen szó nagy nyelvi modellről, képgenerálásról, hangalapú megoldásról vagy biometrikus elemzésről, minden technológia sajátos szerzői jogi, adatvédelmi, felelősségi és átláthatósági kérdéseket vet fel.
A jogi minősítés azonban nem vezethető le kizárólag a technológiai modelltípusból. Ugyanaz a modell eltérő célokra és eltérő kockázati szinten alkalmazható. Egy képfelismerő rendszer például használható gyártási hibák észlelésére, de természetes személyek biometrikus azonosítására is. A két alkalmazás technológiai alapja hasonló lehet, jogi megítélésük azonban jelentősen eltér.
Ebben a cikkben a legfontosabb MI-modelltípusokat és az azokhoz kapcsolódó jogi kérdéseket tekintem át. A cél nem teljes körű jogi audit nyújtása, hanem annak bemutatása, hogy milyen szempontokat kell figyelembe venni egy MI-rendszer fejlesztése, beszerzése vagy vállalati alkalmazása során.
1. Modell, rendszer és felhasználási cél
Az AI Act különbséget tesz az MI-modell és az arra épülő MI-rendszer között.
A modell az a technológiai alap, amely mintázatokat tanul meg, következtetéseket végez vagy tartalmat generál. Az MI-rendszer ezzel szemben a modellre épülő, konkrét célra alkalmazott megoldás, amely felhasználói felülettel, adatforrásokkal, üzleti folyamatokkal és döntési mechanizmusokkal kapcsolódhat össze.
Egy általános célú nyelvi modellre épülhet például: ügyfélszolgálati chatbot; dokumentumelemző rendszer; jogi vagy pénzügyi döntéstámogató alkalmazás; munkaerő-kiválasztást segítő megoldás; marketingtartalmakat készítő eszköz.
Az alkalmazandó jogi követelményeket nemcsak a felhasznált modell, hanem a rendszer rendeltetése, kockázati besorolása és az adott vállalkozás AI Act szerinti szerepe határozza meg.
Más kötelezettségek terhelhetik a modell vagy rendszer szolgáltatóját, az alkalmazót, az importőrt és a forgalmazót. Egy vállalkozás szerepe akkor is megváltozhat, ha egy meglévő rendszert saját neve alatt hoz forgalomba, annak rendeltetését megváltoztatja vagy jelentősen módosítja.
Az MI-projekt első jogi kérdése ezért nem az, hogy milyen modellt használunk, hanem az, hogy: mi a rendszer rendeltetése; milyen döntésben vagy folyamatban vesz részt; kikre gyakorolhat hatást; milyen adatokat kezel; melyik vállalkozás milyen szerepet tölt be az MI-értékláncban.
2. Nagy nyelvi modellek és általános célú MI-modellek
A nagy nyelvi modellek – Large Language Models, röviden LLM-ek – a modern mesterséges intelligencia legismertebb formái közé tartoznak. Képesek természetes nyelvű szövegek feldolgozására, létrehozására és elemzésére, valamint egyre gyakrabban kép-, hang- és videótartalmak kezelésére is. A legismertebb modellcsaládok közé tartoznak például a GPT-, Gemini- és Claude-modellek. Egy adott modell kereskedelmi elnevezése azonban önmagában nem határozza meg annak AI Act szerinti minősítését.
Az AI Act külön szabályozási kategóriaként határozza meg az általános célú MI-modelleket, azaz a GPAI-modelleket. Ezek jelentős általánosságot mutatnak, többféle feladat elvégzésére alkalmasak, és különböző MI-rendszerekbe integrálhatók. Nem minden nagy nyelvi modell minősül automatikusan GPAI-modellnek, és nem minden GPAI-modell nyelvi modell. A minősítéshez a modell képességeit, általános felhasználhatóságát és integrálhatóságát kell vizsgálni.
A GPAI-modell AI Act szerinti szolgáltatójának főbb kötelezettségei: a modell technikai dokumentációjának elkészítése és naprakészen tartása; megfelelő információ és dokumentáció biztosítása a modellt saját MI-rendszerükbe integráló szolgáltatók számára; az uniós szerzői jogi szabályok tiszteletben tartását biztosító szabályzat kialakítása; a megfelelően közölt TDM-jogfenntartások figyelembevétele; a modell tanításához felhasznált tartalmakról kellően részletes, nyilvános összefoglaló készítése.
A nyílt forráskódú GPAI-modellek szolgáltatói meghatározott feltételek mellett mentesülhetnek egyes dokumentációs kötelezettségek alól. A szerzői jogi szabályzat és a tanítási tartalmak nyilvános összefoglalása azonban ilyen esetben is releváns marad, a rendszerszintű kockázatú modellekre pedig a kivétel nem alkalmazható. AI Act 53. cikk
Az AI Act külön kategóriaként kezeli a rendszerszintű kockázatot hordozó GPAI-modelleket. A minősítéshez kapcsolódhat a modell betanításához felhasznált számítási kapacitás jogszabályban meghatározott küszöbértéke, illetve a Bizottság egyedi kijelölése. A rendszerszintű kockázatú GPAI-modellek szolgáltatóinak további kötelezettségei közé tartozik: a modell szabványosított értékelése és dokumentált adversarial testing elvégzése; az uniós szinten jelentkező rendszerszintű kockázatok azonosítása és mérséklése; a súlyos incidensek nyilvántartása és bejelentése; a modell és az azt kiszolgáló fizikai infrastruktúra megfelelő kiberbiztonsági védelme. A rendszerszintű kockázat jogi minősítése ezért nem alapozható pusztán arra, hogy egy modell valamely ismert kereskedelmi modellhez hasonló képességekkel rendelkezik. AI Act 55. cikk
3. Generatív modellek és szerzői jog
A generatív modellek új szöveget, képet, videót, zenét vagy más tartalmat hoznak létre. Ide tartoznak például a nyelvi modellek, a képgeneráló alkalmazások és a videó- vagy hanggeneráló rendszerek. Ezeknél két külön kérdést kell vizsgálni: jogszerűen használhatók-e fel a modell tanításához szükséges tartalmak; milyen jogok kapcsolódhatnak a modell által létrehozott kimenethez.
Az MI-modellek tanítása gyakran nagy mennyiségű online tartalom elemzésével történik. Az uniós szerzői jog lehetővé teszi a szöveg- és adatbányászatot, de eltérő szabályokat állapít meg a tudományos kutatási célú és az általános TDM-felhasználásra.
Az általános TDM-kivétel csak jogszerűen hozzáférhető tartalmakra alkalmazható, és a jogosult megfelelő módon fenntarthatja a mű ilyen célú felhasználására vonatkozó jogait. Nyilvánosan hozzáférhető online tartalom esetén a jogfenntartást géppel olvasható módon kell közölni.
A GPAI-modellek szolgáltatóinak olyan szerzői jogi szabályzatot kell kialakítaniuk, amely biztosítja az uniós szerzői jog és a megfelelően közölt TDM-jogfenntartások figyelembevételét.
A gyakorlatban ezért vizsgálni kell: az adatok és tartalmak forrását; a hozzáférés jogszerűségét; az alkalmazható TDM-kivételt;
a jogosult által közölt jogfenntartást; az adatgyűjtés és a modell tanításának dokumentálását. A nyilvános internetes hozzáférhetőség önmagában nem jelenti azt, hogy a tartalom korlátozás nélkül felhasználható MI-modellek tanítására. DSM-irányelv 3–4. cikk
Az AI Act nem rendezi általánosan a generált tartalmak szerzői jogi oltalmát. Egy tisztán automatizáltan létrejövő kimenet esetében kérdéses lehet, hogy fennáll-e a szerzői jogi védelemhez szükséges emberi, kreatív hozzájárulás. A konkrét jogi megítéléshez vizsgálni kell többek között: az emberi közreműködés mértékét; a promptok és utasítások kreatív jellegét; a kimenet kiválasztását és szerkesztését; a szolgáltató általános szerződési feltételeit; a kimenet esetleges hasonlóságát harmadik személyek műveihez. Az előfizetési díj megfizetése önmagában nem jelenti automatikusan, hogy a felhasználó valamennyi lehetséges kizárólagos jogot megszerzi a generált tartalom felett.
4. Deepfake-ek és az MI-tartalmak jelölése
Az AI Act nem egységes jelölési szabályt alkalmaz minden generált tartalomra. Különbséget tesz a szolgáltató által biztosítandó technikai megjelölés és az alkalmazó által teljesítendő felhasználói tájékoztatás között.
A szintetikus hang-, kép-, videó- vagy szövegtartalmat generáló MI-rendszerek szolgáltatóinak biztosítaniuk kell, hogy a kimenetek géppel olvasható formátumban megjelölhetők és mesterségesen generált vagy manipulált tartalomként felismerhetők legyenek.
A deepfake kép-, hang- vagy videótartalmat felhasználó alkalmazónak emellett egyértelműen közölnie kell, hogy a tartalom mesterségesen generált vagy manipulált. Művészeti, kreatív, szatirikus vagy fikciós művek esetében a közlési kötelezettség olyan módon teljesíthető, amely nem akadályozza indokolatlanul a mű élvezetét.
Külön szabály vonatkozik a közérdekű ügyekről tájékoztató, MI által generált vagy manipulált szövegekre. Ilyen esetben a mesterséges eredetet főszabály szerint közölni kell, kivéve többek között, ha a tartalom emberi felülvizsgálaton vagy szerkesztői ellenőrzésen ment keresztül, és a közzétételért természetes vagy jogi személy szerkesztői felelősséget vállal.
A digitális vízjel, a metaadat és más technikai megoldás a kötelezettség teljesítésének eszköze lehet, de ezek megfelelőségét mindig a konkrét rendszer és felhasználás alapján kell értékelni. AI Act 50. cikk
5. Számítógépes látás, biometrikus adatok és tiltott gyakorlatok
A számítógépes látási rendszerek képek és videók elemzésére szolgálnak. Alkalmazhatók például tárgyak vagy gyártási hibák felismerésére, forgalomfigyelésre, orvosi képelemzésre, arcfelismerésre vagy személyek viselkedésének elemzésére.
Nem minden képfeldolgozás jár személyes adatok kezelésével, és nem minden arckép minősül automatikusan a GDPR szerinti különleges személyes adatnak.
Biometrikus adat akkor keletkezik, ha egy természetes személy fizikai, fiziológiai vagy viselkedési jellemzőit speciális technikai eljárással úgy dolgozzák fel, hogy az lehetővé tegye vagy megerősítse a személy egyedi azonosítását. Az egyedi azonosítás céljából kezelt biometrikus adatok a GDPR szerint különleges személyes adatnak minősülnek.
Ilyen esetben nemcsak a GDPR 6. cikke szerinti adatkezelési jogalapot, hanem a különleges adatok kezelését lehetővé tevő további feltételt is meg kell határozni. A hozzájárulás nem minden esetben az egyetlen lehetséges megoldás, és nem tehet jogszerűvé olyan alkalmazást, amelyet az AI Act egyébként tilt. GDPR.
Az AI Act az 5. cikkében meghatározott feltételek fennállása esetén tilt többek között bizonyos:manipulatív vagy megtévesztő technikákat; sérülékenységet kihasználó gyakorlatokat; társadalmi pontozási megoldásokat; biometrikus kategorizálási alkalmazásokat; érzelemfelismerési megoldásokat munkahelyi és oktatási környezetben. A tilalom nem minden, az adott technológiát alkalmazó rendszerre automatikusan vonatkozik. Vizsgálni kell a rendszer rendeltetését, működését, hatását és az AI Actben meghatározott kivételeket. A munkahelyi vagy oktatási érzelemfelismerésnél például egészségügyi vagy biztonsági célhoz kapcsolódó kivétel is fennállhat.
6. Hang- és beszédmodellek jogi kérdései
A hangalapú MI-rendszerek használhatók beszédfelismerésre, automatikus leiratozásra, fordításra, hanggenerálásra vagy egy konkrét személy hangjának utánzására. A hangfelvétel személyes adat lehet, de nem minősül automatikusan biometrikus vagy különleges személyes adatnak. Ehhez olyan technikai feldolgozás szükséges, amely a hangot a személy egyedi azonosítására vagy személyazonosságának megerősítésére használja. A hangalapú rendszereknél különösen vizsgálandó: a hangfelvétel készítésének és felhasználásának jogalapja; az érintett megfelelő tájékoztatása; a hang személyazonosítási célú felhasználása; a hangutánzáshoz és hangklónozáshoz kapcsolódó személyiségi jogok; a bizalmas vagy titkos információk kezelése; a deepfake hangfelvételek közzététele; az adatmegőrzés és a harmadik országbeli adattovábbítás.
Ha a felhasználó közvetlenül egy MI-rendszerrel kommunikál, főszabály szerint tájékoztatni kell arról, hogy nem természetes személlyel lép kapcsolatba, kivéve, ha ez a körülmények alapján nyilvánvaló. A generált hang technikai megjelölése a szolgáltatót, a deepfake hangfelvétel mesterséges eredetének közlése pedig az azt felhasználó alkalmazót terhelheti.
7. Tanítási módszerek és adatvédelmi megfelelés
A modern MI-modellek tanítása jellemzően nagy mennyiségű adat feldolgozását igényli. A nagy nyelvi modelleknél széles körben alkalmaznak önfelügyelt tanulást, amelyet később felügyelt finomhangolás, emberi visszajelzés vagy más optimalizálási módszer egészíthet ki.
Adatvédelmi szempontból nemcsak a tanítás, hanem a validálás, a tesztelés, a finomhangolás és az üzemszerű használat során történő adatkezelést is vizsgálni kell.
Ha a rendszer személyes adatokat kezel, tisztázni kell többek között: az adatok forrását; az adatkezelés célját és jogalapját; az adatminimalizálás követelményeit; az adatok pontosságát és megőrzési idejét; az érintetti jogok gyakorlásának módját; az adatfeldolgozók és további adatfeldolgozók igénybevételét; az esetleges harmadik országbeli adattovábbításokat; az adatbiztonsági intézkedéseket; az adatvédelmi hatásvizsgálat szükségességét.
A nyilvánosan elérhető személyes adat továbbra is személyes adat. Az internetes hozzáférhetőség ezért nem mentesíti az adatkezelőt a GDPR követelményeinek teljesítése alól.
Az anonimizált adat nem tartozik a GDPR hatálya alá, ha az anonimizálás ténylegesen visszafordíthatatlan. A pusztán álnevesített adat ugyanakkor továbbra is személyes adatnak minősül.
8. Felelősségi kérdések
Az MI-rendszerek által okozott károkért fennálló felelősség nem vezethető vissza egyetlen uniós jogszabályra. A konkrét esettől függően alkalmazandók lehetnek: a szerződéses felelősség szabályai; a szerződésen kívüli károkozás szabályai; a termékfelelősségi rendelkezések; az adatvédelmi és fogyasztóvédelmi szabályok; a szellemi tulajdon megsértéséhez kapcsolódó jogkövetkezmények; az AI Act szerinti közigazgatási szankciók.
Az AI Liability Directive javaslatát az Európai Bizottság 2025-ben visszavonta, ezért jelenleg nincs olyan külön uniós irányelv, amely általánosan és egységesen rendezné az MI-rendszerekkel okozott károkhoz kapcsolódó szerződésen kívüli felelősséget.
Jelentős változást hoz ugyanakkor a megújult uniós termékfelelősségi irányelv. Az (EU) 2024/2853 irányelv a szoftvert – ideértve az MI-rendszereket is – a termék fogalmába vonja. A tagállamoknak 2026. december 9-ig kell átültetniük az irányelvet, amely a 2026. december 9. után forgalomba hozott vagy használatba vett termékekre alkalmazandó. Az (EU) 2024/2853 irányelv
A felelősség megítélésekor különösen fontos lehet: a fejlesztő, szolgáltató és alkalmazó feladatainak elhatárolása; a rendszer rendeltetésszerű használata; az emberi felügyelet biztosítása; a hibás vagy megtévesztő kimenetek kezelése; a naplózás és a döntési folyamatok dokumentálása; a biztonsági frissítések és incidensek kezelése; a felelősségi és helytállási szabályok szerződéses rendezése.
9. MI-jártasság a vállalati működésben
Az MI-jártasságra vonatkozó kötelezettség 2025. február 2-től alkalmazandó. Az AI Act alapján az MI-rendszerek szolgáltatóinak és alkalmazóinak intézkedéseket kell tenniük annak érdekében, hogy munkatársaik és a nevükben MI-rendszereket működtető személyek megfelelő szintű MI-jártassággal rendelkezzenek.
A szükséges tudásszint meghatározásakor figyelembe kell venni: az érintett személyek technikai ismereteit és tapasztalatát; az MI-rendszer felhasználási környezetét; a rendszer által érintett személyeket és csoportokat; a hibás használatból eredő kockázatokat; az emberi felügyelet és beavatkozás lehetőségeit.
Az AI Act nem ír elő minden vállalkozás számára azonos tanfolyamot vagy kötelező tanúsítványt. A képzési és szervezeti intézkedéseket az alkalmazott rendszerhez, a munkakörökhöz és a tényleges kockázatokhoz kell igazítani.
A megfeleléshez ezért önmagában nem elegendő egy általános MI-szabályzat elfogadása. Szükség lehet szerepkörönként differenciált oktatásra, használati útmutatókra, tiltott felhasználások meghatározására és a képzések dokumentálására is. AI Act 4. cikk
10. Innováció és szabályozási tesztkörnyezetek
Az AI Act szabályozási tesztkörnyezetek – regulatory sandboxok – létrehozását is előírja. Ezek ellenőrzött keretet biztosítanak az MI-rendszerek fejlesztéséhez, tanításához, teszteléséhez és validálásához.
A sandboxok különösen a kis- és középvállalkozások, valamint az induló vállalkozások számára segíthetik: az alkalmazandó jogi követelmények azonosítását; a kockázatok korai feltárását; a dokumentáció és a megfelelési folyamatok kialakítását;
a hatóságokkal történő szakmai egyeztetést; a piacra lépés előkészítését.
A szabályozási tesztkörnyezetben való részvétel ugyanakkor nem jelent általános felmentést az alkalmazandó jogszabályok vagy a felelősségi szabályok alól. A valós körülmények közötti tesztelésre pedig további, külön feltételek vonatkozhatnak. AI Act 57. cikk
Összegzés
A mesterséges intelligencia jogi megítélése nem állapítható meg kizárólag abból, hogy a vállalkozás nyelvi, képi, hangalapú vagy más modellt használ. A technológiai sajátosságok ismerete ezért a jogi megfelelés kiindulópontja, de önmagában nem elegendő. A modellt, az arra épülő rendszert, az adatkezelést, a felhasználási célt és a vállalati folyamatokat egységesen kell vizsgálni.
Jelen cikk általános tájékoztatást tartalmaz, és nem minősül egyedi ügyben adott jogi tanácsadásnak.
