Ez a háromrészes MI-szabályozás sorozat harmadik, záró része. Az első részben az AI Act és a magyar végrehajtási keret alapjait néztük meg, a másodikban az MI-jártasság és a céges megfelelés gyakorlati oldalát, most pedig arra térünk rá, ki felel, ha az MI hibázik egy magyar cégnél.
Állítsd be a mivagyunk.hu-t kedvenc forrásként a Google-benA sorozat részei
Az 1. rész az uniós és magyar MI-szabályozás alapjait mutatja be, mit jelent az AI Act Magyarországon, mely határnapok közelednek, és milyen hatósági keret épül köré.
A 2. rész az MI-jártasság gyakorlati jelentőségét magyarázza el, hogyan kell céges MI-leltárt készíteni, és miért vezetői feladat a munkatársak felkészítése.
A 3. rész a felelősségi kérdéseket bontja ki, szerződés, adatvédelem, termékfelelősség, incidenskezelés és bizonyítás.
A felelősség nem áll meg az MI-eszköznél
Amikor egy munkatárs MI-vel készít ügyfélválaszt, elemzést, HR-javaslatot, marketinganyagot vagy döntés-előkészítő dokumentumot, a cég nem tudja egyszerűen az eszközre tolni a felelősséget. Az MI-rendszer lehet beszállítói szolgáltatás, beépített vállalati funkció vagy saját fejlesztés, de a felhasználás környezetét a cég alakítja.
A felelősségi kérdés már a beszerzésnél elkezdődik. Pontosan tudni kell, hogy a szervezet milyen szerepben van. Szolgáltatóként jelenik meg? Alkalmazóként használja a rendszert? Integrálja egy saját termékbe? Importőrként vagy disztribútorként kerül a láncba? Egy adott módosítással átvállalhat-e olyan szerepet, amely eredetileg nem az övé volt?
Az AI Act szerepkörökben gondolkodik. A szolgáltató, alkalmazó, importőr, disztribútor, termékgyártó és meghatalmazott képviselő kifejezésekhez konkrét kötelezettségek kapcsolódnak. Ezek döntik el, ki milyen dokumentációért, ellenőrzésért, tájékoztatásért, incidenskezelésért vagy hatósági együttműködésért felel.
A magyar végrehajtási keret miatt a hatósági oldal is számít
A felelősségi kérdés Magyarországon nem pusztán magánjogi ügy lesz. A 2025. évi LXXV. törvény az AI Act hazai végrehajtásának kereteit adja, a 344/2025. kormányrendelet pedig kijelöli a bejelentő hatóságot, a piacfelügyeleti hatósági feladatokért felelős minisztert és az egyedüli kapcsolattartó pontot.
A bejelentő hatósági feladatokat a Nemzeti Akkreditáló Hatóság látja el. A piacfelügyeleti hatósági feladatokat és az egyedüli kapcsolattartó pont szerepét a jogszabály a vállalkozásfejlesztésért felelős miniszterhez telepíti. Ezt nem szabad önálló miniszteri címként kezelni. A jelenlegi kormányzati feladatmegosztás szerint a vállalkozásfejlesztési felelősség a gazdasági és energetikai miniszter feladatkörében jelenik meg.
Ez az olvasónak azt üzeni, nem elég azt nézni, mit mond a szolgáltató szerződése. Magyar ügyben előre gondolkodni kell azon is, melyik hatósági logika léphet be. Piacfelügyelet, NAIH, MNB vagy más ágazati hatóság is érintett lehet.
A szerződésben kell rendet tenni
A legnagyobb hiba az, amikor a felek csak szoftverhasználati vagy szolgáltatási szerződést kötnek, miközben valójában MI-rendszert vezetnek be. Ilyenkor könnyen kimaradnak azok a pontok, amelyek később döntők lesznek.
Egy MI-szerződésben rögzíteni kell a rendszer rendeltetésszerű célját. Más jogi helyzetet jelent, ha egy rendszer belső összefoglalókat készít, és mást, ha ügyfélről, munkavállalóról vagy fogyasztóról szóló döntést támogat.
Külön figyelmet igényel a lényeges módosítás kezelése. Ha a cég átalakítja, új célra használja, más adattal tanítja vagy más folyamatba építi a rendszert, megváltozhat a jogi minősítés és a felelősségi helyzet.
A szerződésben érdemes rendezni a dokumentációhoz és logokhoz való hozzáférést. Az incidensjelentést, a hatósági együttműködést, a frissítések kezelését, a szolgáltatói alvállalkozói láncot, a szerzői jogi és adatvédelmi garanciákat. Valamint azt is, ki viseli a következményeket hibás output, jogsértő adatkezelés vagy nem megfelelő címkézés esetén.
Az adatvédelmi felelősség külön szálon fut
Sok MI-hiba adatvédelmi hibaként jelenik meg. Személyes adat kerül be olyan rendszerbe, ahová nem kellett volna. A modell pontatlan következtetést ad egy emberről. Egy automatizált pontozás döntően befolyásol egy hitel-, biztosítási vagy HR-döntést. Az érintett nem kap érthető tájékoztatást arról, milyen logika alapján született vele kapcsolatban döntés.
A GDPR ilyen helyzetekben továbbra is teljes erővel alkalmazandó. Az AI Act mellett vizsgálni kell a jogalapot, az adatminimalizálást, az átláthatóságot, az érintetti jogokat, a pontosságot és adott esetben az automatizált döntéshozatal korlátait.
Különösen érzékeny a HR, a pénzügyi szolgáltatás, az egészségügy, az oktatás és minden olyan terület, ahol a rendszer emberekről von le következtetést. Itt sok esetben adatvédelmi hatásvizsgálat, alapjogi kockázatértékelés vagy szektorális megfelelési elemzés is szükséges lehet.
A termékfelelősség is közelebb jön
Az MI-rendszerek gyakran termékbe, gépbe, orvostechnikai eszközbe, pénzügyi szolgáltatásba, platformba vagy más digitális környezetbe épülnek be.
Az uniós termékfelelősségi reform különösen fontos ebből a szempontból. Az új szabályozási logika a szoftvert, a frissítéseket, a kapcsolódó digitális szolgáltatásokat és a lényeges módosításokat is komolyabban kezeli. Magyarországon az új termékfelelősségi rendszer 2026. december 9-től válik különösen fontossá az újonnan forgalomba hozott vagy használatba vett termékeknél.
Ez azt jelenti, hogy egy MI-komponenst tartalmazó termék hibája később szerződéses vitát és termékfelelősségi ügyet is eredményezhet. Egy rossz frissítés, egy elmaradt biztonsági javítás vagy egy hibás MI-komponens kárt okozhat. Ilyenkor a dokumentáció, a változáskezelés és a beszállítói lánc döntő jelentőségű lesz.
A bizonyítékmegőrzés az első peres lépés
Ha MI-hibából vita lesz, a legfontosabb kérdés gyakran az, hogy mi bizonyítható. Egy jól működő cégnek tudnia kell megőrizni a modellverziót, a konfigurációt, a promptokat, az inputokat, az outputokat, az emberi felülvizsgálat nyomait, a jóváhagyásokat, a frissítéseket és a szolgáltatói kommunikációt.
Ez különösen nehéz, mert sok MI-eszköz használata gyors és informális. Egy munkatárs bemásol valamit, kap egy választ, átdolgozza, továbbküldi. Ha később baj van, gyakran már senki nem tudja rekonstruálni a folyamatot.
Ezért kell bizonyíték megtartási protokoll MI-incidensre. Magyarul: előre rögzített belső eljárás arra az esetre, ha MI-hiba, adatvédelmi incidens, ügyfélpanasz, hatósági megkeresés vagy perfenyegetés érkezik. Ki állítja le a folyamatot? Ki menti a logokat? Ki értesíti a jogi, adatvédelmi, informatikai és vezetői szereplőket? Ki kommunikál a szolgáltatóval?
A fekete dobozra épülő védekezés egyre gyengébb lesz. A hatóság, az ügyfél, a bíróság vagy az érintett várhatóan nem fogja elfogadni, hogy a cég nem tudja megmondani, mi történt egy fontos MI-támogatott döntésnél.
A jó MI-használat felelősségi renddel kezdődik
A cégeknek nem az MI használatától kell tartaniuk, hanem attól, ha kontroll, szerződéses rend és bizonyítékmegőrzés nélkül építik be a munkába.
Egy felelős MI-programban van használati leltár, szerepkör-meghatározás, adatvédelmi vizsgálat, szerződéses védelem, dokumentáció, emberi felügyelet, incidenskezelés és képzés. Ez nem lassítás. Inkább biztosíték arra, hogy a gyorsabb munka ne vezessen később drágább vitához.
A sorozat három része együtt adja ki a teljes képet. Először meg kell érteni az AI Act és a magyar végrehajtás logikáját. Utána rendbe kell tenni az MI-jártasságot és a céges használati eseteket. Végül előre fel kell készülni arra, hogy egy MI-rendszer hibázik, és akkor már nem az lesz a fő kérdés, hogy ki használt mesterséges intelligenciát, hanem az, hogy a cég képes-e bizonyítani a felelős működést.
