EU AI Act: mit kell tudnia egy KKV-nak, ha AI-t használ (2026-os útmutató)

Az EU mesterséges intelligenciáról szóló rendelete (AI Act, (EU) 2024/1689) 2026. augusztus 2-a óta általánosan alkalmazandó. Sok hazai cégvezető még mindig úgy gondolja, hogy ez a nagyvállalatok és a technológiai óriások ügye. Nem az: a rendelet annak a 10 fős könyvelőirodának is szól, amelyik ChatGPT-vel ír ajánlatot, annak a webshopnak, amelyik chatbotot tett a weboldalára, és annak a gyártónak, amelyik MI-vel szűri az önéletrajzokat. Ebben az útmutatóban azt gyűjtöttük össze, ami egy KKV döntéshozójának valóban számít 2026 őszén — jogászi részletek nélkül, de a határidőkkel, a számokkal és egy ellenőrzőlistával.

Röviden: a legfontosabb tudnivalók

• A legtöbb KKV „alkalmazó" (deployer), nem „szolgáltató". Ez kevesebb kötelezettséget jelent — de nem nullát.
• Már ma kötelező: a tiltott gyakorlatok kerülése és a munkatársak MI-jártassága (2025. február 2. óta), valamint az átláthatóság: chatbot-jelölés, generált tartalom jelölése (2026. augusztus 2. óta).
• Később jön: a magas kockázatú rendszerek (pl. MI-alapú toborzás, hitelbírálat) teljes kötelezettségcsomagja 2027. december 2-től, a termékbe épített MI-é 2028. augusztus 2-től. A Digital Omnibus ((EU) 2026/1744, hatályos 2026. július 27.) tolta ide az eredeti határidőket.
• Bírság: legfeljebb 35 millió € / 7 %, 15 millió € / 3 %, illetve 7,5 millió € / 1 % az éves világszintű árbevétel arányában — KKV-nál a két érték közül a kisebb számít.
• Magyar hatóság: a Mesterséges Intelligencia Hivatal (mihivatal.gov.hu).
• Kontextus: a magyar cégek 10,4 %-a használ MI-t, az EU-átlag 20,0 % (Eurostat, 2025). Aki most lép, előnyt szerez — de csak szabályosan éri meg.

1. Melyik szerepben van az Ön cége?

A rendelet nem cégméret, hanem szerep szerint osztja ki a kötelezettségeket. Egy KKV-nál két szerep számít:

• Szolgáltató (provider): aki MI-rendszert fejleszt vagy fejleszttet, és saját neve vagy védjegye alatt hozza forgalomba — akár ingyen is. Ha az Ön cége saját chatbotot vagy MI-modult épít, és azt ügyfeleknek adja, ez Ön.
• Alkalmazó (deployer): aki MI-rendszert saját felelősségére, szakmai tevékenysége körében használ. Ide tartozik a bevezetett ügyfélszolgálati chatbot, a Microsoft 365 Copilot, az MI-funkciós CRM vagy a ChatGPT üzleti használata. A magyar KKV-k túlnyomó többsége ebben a szerepben van.

Három dolog, amit sokan félreértenek:

• A külföldi beszállító nem vesz le Önről semmit. A rendelet az EU-n kívüli szolgáltatóra is vonatkozik, ha a rendszer kimenetét az EU-ban használják — de az alkalmazói kötelezettségek attól még az Ön cégét terhelik.
• Az alkalmazóból szolgáltató lehet. Ha egy kész, magas kockázatú rendszert saját neve alatt forgalmaz tovább, lényegesen módosítja, vagy más — magas kockázatú — célra használja, a rendelet szolgáltatóként kezeli (25. cikk).
• A „magáncélú használat" kivétel cégnél nem létezik. Ha a munkatárs a céges munkához a saját ChatGPT-fiókját használja, az a cég alkalmazása.

2. Mit használ egy tipikus KKV, és melyik kockázati osztályba esik?

Az AI Act négy szintet ismer: tiltott, magas kockázatú, átláthatósági kötelezettséggel járó (korlátozott kockázatú) és minimális kockázatú. A gyakorlatban egy KKV-nál ez így néz ki:

• Ügyfélszolgálati chatbot, weboldali MI-asszisztens → korlátozott kockázat: átláthatóság (50. cikk). Jelezni kell, hogy a látogató MI-vel beszél.
• Szöveg-, kép- és videógenerálás marketingre (ChatGPT, Gemini, Midjourney stb.) → minimális kockázat, de 50. cikk: a valósághű, megtévesztő képet, hangot vagy videót (deepfake) jelölni kell; az MI-vel írt, közérdekű ügyben a nyilvánosságnak szánt szöveget szintén — kivéve, ha emberi szerkesztői ellenőrzésen ment át.
• Belső irodai MI (Copilot, összefoglalók, e-mail-fogalmazás, kódsegéd) → minimális kockázat; a 4. cikk (MI-jártasság) és a GDPR vonatkozik rá.
• MI-alapú önéletrajz-szűrés, jelöltrangsorolás, teljesítményértékelés, viselkedés vagy személyes tulajdonságok alapján történő feladatkiosztás → magas kockázat (III. melléklet, 4. pont).
• Természetes személyek hitelképességének értékelése, élet- és egészségbiztosítási kockázatértékelés → magas kockázat (III. melléklet, 5. pont).
• Érzelemfelismerés a munkahelyen, a dolgozók „pontozása", manipulatív technikák → tilos (5. cikk) — 2025. február 2. óta.
• Termékbe épített MI (gép, orvostechnikai eszköz, jármű, lift) → I. melléklet, a termékbiztonsági szabályokkal együtt, 2028. augusztus 2-től.

Az első lépés tehát nem a jogász, hanem a leltár: mely rendszereket használja a cég — beleértve azokat is, amelyeket a munkatársak maguk vettek elő („árnyék-MI") —, és mindegyik a fenti sorok melyikébe tartozik.

3. Ami már ma kötelező (2026. szeptember)

3.1 Tiltott gyakorlatok — 2025. február 2. óta

Az 5. cikk tilalmai a legmagasabb bírságsávban vannak. KKV-nál a legvalószínűbb érintettség: érzelemfelismerő rendszer a munkahelyen (pl. „hangulatelemzés" a call-center dolgozóiról, kamerás figyelemmérés) — kivéve orvosi vagy biztonsági okból; manipulatív, tudatalatti technikák vagy sérülékeny csoportok kihasználása értékesítési MI-ben; social scoring. Ha ilyet talál a leltárban, azonnal állítsa le.

3.2 MI-jártasság — 2025. február 2. óta

A 4. cikk szerint a szolgáltatóknak és az alkalmazóknak intézkedéseket kell tenniük az MI-rendszereket kezelő munkatársak MI-jártasságának fejlesztésére. A Digital Omnibus 2026. július 27-től enyhítette a megfogalmazást: nem kell konkrét tudásszintet garantálni senkinél, de a kötelezettség maradt — a Bizottság eredeti javaslata, hogy ez csak ajánlás legyen, nem ment át. Nincs előírt tanfolyam vagy vizsga: elég egy célzott belső képzés a használt eszközökről, azok korlátairól (hallucináció, adatvédelem, jogosultságok) — dátumozott, résztvevőlistás dokumentációval. Hatósági ellenőrzésnél ez az első, amit kérni fognak.

3.3 Átláthatóság — 2026. augusztus 2. óta

Az 50. cikk három ponton érinti a KKV-kat:

• Chatbot-jelölés: ha a rendszer emberrel lép interakcióba, közölni kell, hogy MI-vel beszél — kivéve, ha ez a körülményekből nyilvánvaló. A jelölő funkció beépítése a fejlesztő dolga, de az, hogy magyarul, közérthetően és időben megjelenjen, az alkalmazóé — a magyar hatóság kifejezetten azt javasolja, hogy beszerzéskor kérjen erről írásos szolgáltatói nyilatkozatot. A részleteket a SmartAIChat blogján írtuk meg: AI Act 2026: mit kell tudnia egy chatbotnak?
• Deepfake-jelölés: ha MI-vel készített, létező személyt, helyet vagy eseményt valósághűen imitáló képet, hangot vagy videót tesz közzé, jelölnie kell, hogy mesterségesen készült.
• Generált szöveg: a közérdekű ügyben, a nyilvánosság tájékoztatására közzétett, MI-vel írt szöveget jelölni kell — kivéve, ha emberi ellenőrzésen vagy szerkesztői kontrollon esett át, és valaki szerkesztői felelősséget visel érte. Egy céges szakmai blog, amelyet Önök átnéznek és a cég nevével jegyeznek, a kivétel alá esik — a jelölés mégis jó gyakorlat.

A tartalom gépi jelölése (vízjel, metaadat) a szolgáltató dolga; a 2026. augusztus 2. előtt piacra került rendszereknél erre 2026. december 2-ig türelmi idő van.

4. Ami 2027–2028-ban jön: a magas kockázatú rendszerek alkalmazói kötelezettségei

Ha a leltárban HR-szűrő, hitelbírálati vagy biztosítási MI szerepel, a 26. cikk kötelezettségei várnak Önre — 2027. december 2-től:

• a rendszert a szolgáltató használati utasítása szerint kell működtetni;
• emberi felügyeletet kell kijelölni — olyan munkatársakkal, akik értik a rendszert, és felül tudják bírálni;
• ha a bemeneti adatokat Ön adja, azoknak a rendeltetés szempontjából relevánsnak és kellően reprezentatívnak kell lenniük;
• a rendszer által automatikusan generált naplókat legalább hat hónapig meg kell őrizni;
• munkahelyi bevezetés előtt tájékoztatni kell a munkavállalókat és képviselőiket;
• azt a természetes személyt, akiről a rendszer döntést hoz vagy annak meghozatalában segít, tájékoztatni kell erről.

Az alapjogi hatásvizsgálat (27. cikk) főszabály szerint a közintézményeket és a hitel-, illetve biztosítási szektort terheli — egy átlagos KKV-t nem. A GDPR szerinti adatvédelmi hatásvizsgálat (lásd 6. pont) viszont igen.

Miért ne várjon 2027 végéig? Mert a beszállítói szerződések újratárgyalása, a naplózás beállítása, a felügyeleti folyamat és a munkavállalói tájékoztatás együtt hónapokig tart — és mert a beszállító a saját megfelelőségi dokumentációját is csak akkor adja oda időben, ha Ön időben kéri.

5. Mekkora a bírság, és ki ellenőriz Magyarországon?

A 99. cikk három sávot ad:

• tiltott gyakorlat: legfeljebb 35 millió € vagy az előző évi világszintű árbevétel 7 %-a;
• egyéb kötelezettségek (ideértve az alkalmazói és az átláthatósági szabályokat): legfeljebb 15 millió € vagy 3 %;
• hamis vagy hiányos információ a hatóságnak: legfeljebb 7,5 millió € vagy 1 %.

Általános esetben a magasabb érték a plafon; KKV-k és start-upok esetén a kisebb. A Digital Omnibus ezt a könnyítést a kisebb közepes vállalkozásokra (SMC) is kiterjesztette — a tiltott gyakorlatok sávja kivételével. Példa: egy 2 millió € (kb. 730 millió Ft) árbevételű cégnél egy átláthatósági mulasztás elméleti plafonja 3 %, azaz 60 000 € (kb. 22 millió Ft) — nem 15 millió €. Nem kicsi, de kalkulálható; a valós bírság a jogsértés súlyához és az együttműködéshez igazodik. A bírság nem az egyetlen eszköz: az Omnibus óta a 99. cikk figyelmeztetést és nem pénzügyi intézkedést is nevesít, a magyar törvény pedig felhívást a jogsértés megszüntetésére — ezek azonban hatósági mérlegelésen múlnak, nem „első alkalommal nincs bírság" szabály.

Magyarországon a keretet a 2025. évi LXXV. törvény (hatályos 2025. december 1-től) és a 344/2025. (X. 31.) Korm. rendelet adja. A piacfelügyeleti hatóság feladatait a Mesterséges Intelligencia Hivatal látja el (a Tudományos és Technológiai Minisztérium szervezeti egysége). A mihivatal.gov.hu GYIK-jában külön kérdés szól arról, hogy „Kisvállalkozásként is vonatkoznak ránk ezek a szabályok?" (igen, mérettől függetlenül), és külön oldal arról, mit érdemes számon kérni a szolgáltatótól, ha más által fejlesztett MI-rendszert használ. A pénzügyi szektorban az MNB, a személyes adatok terén továbbra is a NAIH jár el.

6. Az AI Act nem váltja ki a GDPR-t — együtt kell nézni

Szinte minden céges MI-rendszer személyes adatot kezel: ügyfélbeszélgetést, önéletrajzot, e-mailt. Erre a GDPR változatlanul érvényes: jogalap, tájékoztatás, adatfeldolgozói szerződés a beszállítóval, és adatvédelmi hatásvizsgálat (35. cikk), ha az adatkezelés — például profilalkotás vagy automatizált döntés — valószínűsíthetően magas kockázatú. Kizárólag automatizált, joghatással járó döntésnél az érintett emberi beavatkozást kérhet, álláspontját kifejtheti és a döntést kifogásolhatja (22. cikk). Külön kérdés, hová megy az adat: a felhős MI-szolgáltatások többségénél az EU-n kívülre — erről részletesen írtunk a felhős MI-ügynökök kockázatairól szóló cikkünkben. Az on-prem vagy privát felhős futtatás mindkét szabályozás alatt egyszerűbb helyzetet teremt.

7. 10 pontos ellenőrzőlista KKV-knak

1. Leltár: minden használt MI-rendszer, az árnyék-MI-vel együtt (eszköz, cél, beszállító, kezelt adatok).
2. Szerep: rendszerenként eldönteni: alkalmazó vagy szolgáltató.
3. Besorolás: tiltott / magas / átláthatósági / minimális — a tiltottat azonnal leállítani.
4. Chatbot: „MI-vel beszél" jelzés a beszélgetés elején, emberhez átadás lehetősége.
5. Generált tartalom: deepfake-jelölés; a szövegeknél dokumentált szerkesztői ellenőrzés.
6. MI-jártasság: belső képzés, dátumozott jegyzőkönyv, résztvevők; ismétlés évente.
7. Beszállítói szerződések: megfelelőségi nyilatkozat, műszaki dokumentáció, naplózás, incidensértesítés, adatfeldolgozói szerződés.
8. GDPR: jogalap, adatkezelési tájékoztató frissítése, hatásvizsgálat ahol kell, adatlokalitás.
9. Magas kockázat (HR, hitel, biztosítás): ütemterv 2027. december 2-ig — emberi felügyelet, naplómegőrzés, munkavállalói tájékoztatás.
10. Felelős és felülvizsgálat: kijelölt MI-felelős, éves felülvizsgálat, a mihivatal.gov.hu GYIK figyelése.

8. Hogyan segít az R-Szoft?

Az R-Szoft 2018 óta fejleszt egyedi szoftvert és MI-ügynököket magyar KKV-knak és nagyvállalatoknak. Az AI Act-megfelelésben négy ponton tudunk segíteni:

• MI-leltár és kockázati besorolás: a fenti 1–3. pontot Önnel együtt elvégezzük, és intézkedési tervet adunk határidőkkel.
• On-prem és privát felhős MI-ügynökök: az adat nem hagyja el a céget — GDPR és AI Act szempontból ez a legtisztább helyzet. Arról, hogy mit érdemes kérdezni egy fejlesztő partnertől, itt írtunk.
• SmartAIChat: ügyfélszolgálati chatbot beépített MI-jelöléssel és emberi átadással — az 50. cikk szerint. Részletek: smartaichat.hu
• Pályázat: a DIMOP Plusz 1.2.6/B keretében akár 12 millió Ft, 90 %-os támogatással — a szabályos bevezetés költségének nagy része fedezhető. Részletek a pályázatról.

Gyakori kérdések

Kell-e bármit tennem, ha csak ChatGPT-t használunk belső munkára?

Igen, két dolgot: intézkedni a munkatársak MI-jártasságának fejlesztéséről (4. cikk), és betartani a GDPR-t — személyes adatot, üzleti titkot ne adjanak meg ellenőrizetlen fiókban. Ha MI-vel írt szöveget közérdekű ügyben, emberi ellenőrzés nélkül tesznek közzé, jelölni kell.

Kötelező kiírni a weboldalon, hogy a chatbot MI?

Igen, 2026. augusztus 2. óta (50. cikk (1) bekezdés) — kivéve, ha a körülményekből egyértelmű. A gyakorlatban egy mondat a beszélgetés elején elég.

A beszállítóm amerikai. Akkor rá vonatkozik, nem rám?

Mindkettőjükre. A szolgáltatói kötelezettségek a beszállítót terhelik, az alkalmazóiak Önt. Kérje el a megfelelőségi dokumentációt — legyen szerződéses feltétel.

Mikortól kell a HR-szűrő vagy hitelbírálati MI-nek megfelelnie?

A III. melléklet szerinti rendszereknél 2027. december 2-től (Digital Omnibus). Az előkészítés — szerződés, naplózás, emberi felügyelet, munkavállalói tájékoztatás — hónapokat vesz igénybe, ezért 2027 elején érdemes elkezdeni.

Mekkora bírságra számíthat egy 10 fős cég?

KKV-nál a sáv két értéke közül a kisebb a plafon, azaz az árbevétel 7 / 3 / 1 %-a. Egy 300 millió Ft árbevételű cégnél egy átláthatósági mulasztás elméleti maximuma így 9 millió Ft. A cél nem a bírság kiszámítása, hanem az elkerülése — a leltár és a chatbot-jelölés néhány napos munka.

Ki ellenőriz Magyarországon?

A Mesterséges Intelligencia Hivatal (mihivatal.gov.hu) mint piacfelügyeleti hatóság; a pénzügyi szektorban az MNB; a személyes adatok terén a NAIH.

Készen áll az átvilágításra?

Egy 30 perces beszélgetésben átnézzük, mely MI-rendszereket használja a cége, melyik szerepben van, és mi az a három lépés, amivel 2026-ban rendben lesz.

➜ Ingyenes konzultáció kérése

Ez a cikk mesterséges intelligencia közreműködésével készült. A tartalmat az R-Szoft szakértői ellenőrizték és szerkesztették; a szakmai és szerkesztői felelősség az R-Szoft Kft.-t terheli. Utolsó frissítés: 2026. szeptember 14. A cikk tájékoztató jellegű, nem minősül jogi tanácsadásnak.