A compliance kérdései az EU MI rendeletének összefüggésében: átfogó útmutató a gyakorlat számára francia egyetemektől

 

Az Európai Unió 2024-ben elfogadott mesterséges intelligencia rendelete olyan új jogi környezetet teremt, amelyben a megfelelés nem elméleti kérdés, hanem azonnali intézményi feladat. Az Academic Guide to AI Act Compliance című, 2025 novemberében megjelent nyílt hozzáférésű kézikönyv ezt a gyakorlati kihívást válaszolja meg: hogyan fordíthatók le a rendelet előírásai konkrét szervezeti folyamatokká, felelősségi körökké és dokumentációs kötelezettségekké. A Lyon Catholic University és a University of Artois által gondozott kötet hat tematikus részben vezeti végig az olvasót a megfelelés logikáján. Bemutatja a rendelet szerkezeti felépítését és fogalmi rendszerét, tisztázza az MI-szereplők (provider, deployer) szerepköreit, részletezi a kockázatalapú besorolás mechanizmusát, majd a nagy kockázatú rendszerekhez kapcsolódó követelményeket – a kockázatkezelési rendszertől az adatirányításon és technikai dokumentáción át az emberi felügyeletig. A kötet külön foglalkozik a megfelelőségértékelés és jogérvényesítés intézményi kereteivel, a szankciók logikájával, valamint az MI rendelet és más uniós jogterületek, különösen a GDPR kapcsolatával. Az utolsó rész a hosszú távú végrehajtás kérdéseire koncentrál: hogyan illeszthető a megfelelés a mindennapi intézményi működésbe, és milyen szerepe van a hatósági iránymutatásoknak, a joggyakorlat alakulásának. A Guide nem jogdogmatikai kommentár, hanem compliance-fókuszú kézikönyv, amely abból indul ki, hogy a rendelet hatályos uniós jog, és alkalmazása elkerülhetetlen – ezért minden fejezet arra a kérdésre keresi a választ, hogy a jogszabály miként fordul le intézményi cselekvésre.

Az Európai Unió MI rendeletének Akadémiai Útmutatója a megfelelőséghez (The Academic Guide to AI Act Compliance) című kötet egy 2025-ben közzétett, nyílt hozzáférésű tudományos-szakmai munka, amely Az Európai Unió 2024-ben elfogadott (EU) 2024/1689 rendelete a mesterséges intelligenciáról (AI Act/MI rendelet) gyakorlati értelmezéséhez és végrehajtásához kíván átfogó tudományos igényű útmutatást adni - vállalatok, közintézmények, akadémiai szereplők és civil szervezetek számára. Az Útmutatót, mely egy 2025. februári workshopon elhangzott előadásokra épül, a Lyon Catholic University (UCLy) és a University of Artois gondozta, elkészültét a French National Research Agency (ANR) támogatta a France 2030 – MAIA Project (ANR-22-EXES-0009) keretében.

A szerkesztők Marion Ho-Dac (University of Artois), Cécile Pellegrini (UCLy) és Bernard Long (University of Artois). A tanulmánykötet széles nemzetközi szerzőgárdára épül, jogtudósok, szabályozási és megfelelőségi szakértők közreműködésével. Megalkotásának közvetlen háttere az MI rendelet 2024. augusztus 1-jei hatálybalépése, valamint az ebből fakadó intézményi és vállalati megfelelési bizonytalanság. A kötet célja nem jogdogmatikai kommentár, hanem strukturált, végrehajtás-orientált útmutató a tudományos közösség számára, amely a kockázatalapú szabályozás, az intézményi governance és a compliance-eszközök gyakorlati alkalmazását helyezi középpontba. A munka az Európai Bizottság Digital Omnibus csomagja 2025. november 19-én történő közzététele előtt került lezárásra, amely jelentős fordulatot jelent az EU AI Act eredeti logikájához képest, és természetesen számos helyen érinti a kézikönyvben foglalt értelmezési kérdéseket is. Ezek a változások azonban még elfogadásra várnak, ami akár egy-másfél éves átfutási is időt jelenthet, addig azonban az eredeti törvényszöveg és hatályba lépési időpontok maradnak irányadók.

A Guide bevezető szövege világosan rögzíti, hogy a kötet kézikönyv, nem pedig általános áttekintés vagy elméleti tanulmánygyűjtemény. A szerkesztők a második oldalon szó szerint megfogalmazzák, hogy a könyv több célt szolgál, ezek közül azonban az első és meghatározó az, hogy referenciaként működjön mindazok számára, akik az MI rendelethez kapcsolódó megfelelési és szabályozási feladatokat látnak el. A „guide” és a „handbook” kifejezések ebben az összefüggésben nem oktatási segédanyagot jelölnek, hanem olyan eligazító kézikönyvet, amely abból indul ki, hogy a rendelet hatályos uniós jog, és alkalmazása intézményi szinten elkerülhetetlen. A könyv saját szóhasználata szerint az elemzés a compliance-focused prism mentén halad, vagyis minden fejezet abból a kérdésből indul ki, hogy a jogszabály miként fordul le konkrét kötelezettségekre, felelősségi helyzetekre és szervezeti feladatokra.

A bevezető alapján a Guide címzettjei elsősorban compliance- és szabályozási szerepkörben dolgozó szakemberek, így jogászok, megfelelési felelősök, adatvédelmi és kockázatkezelési szakértők, valamint intézményi vezetők. A szöveg ugyanakkor azt is rögzíti, hogy a könyv elemző keretet kíván nyújtani szakpolitikai szereplőknek, uniós és nemzeti szinten, valamint civil szervezeteknek, és hozzá kíván járulni az akadémiai párbeszédhez is. Ez utóbbi azonban nem elméleti irányból történik, hanem a jelenlegi uniós szabályozási rezsim részletező bemutatásán keresztül. A bevezető szövegéből egyértelműen kiolvasható, hogy a három cél közül a megfelelési funkció az elsődleges, és a továbbiak ehhez igazodva jelennek meg.

A kötet tematikus, más-más szerző munkáját jelentő részekre tagolódik, amelyek egymásra következve követik a megfelelési gondolkodás logikáját. Az első ilyen egység címe Kiindulópont: hogyan érjük el a megfelelést? Kérdések és módszerek (Part I – Getting Started: How to Achieve Compliance – Issues & Methods). Ez a rész nem általános bevezetést kíván adni a mesterséges intelligenciához, és nem is az MI rendelet politikai vagy etikai hátterét tárgyalja, hanem azt a szemléleti és értelmezési alapot teremti meg, amelyre a későbbi, részletező részek épülnek.

Az első rész nyitó tanulmánya az EU MI rendelete dióhéjban (The EU AI Act in a Nutshell) címet viseli. Célja nem az, hogy rövidített formában elmondja a rendelet tartalmát, hanem hogy áttekinthető módon bemutassa annak felépítését és belső logikáját. A szöveg arra koncentrál, hogy az olvasó megértse, milyen szerkezeti egységekből áll az MI rendelet, hogyan kapcsolódnak egymáshoz a fogalmak, a kockázati kategóriák és a kötelezettségek, és hol vannak azok a pontok, ahol jogi minősítést kell végezni. A fejezet így inkább értelmezési útmutatóként működik, mintsem összefoglalóként, és előkészíti a későbbi részekben megjelenő részletesebb elemzéseket.

Ezt követi az MI működtetők az MI rendelet alapján (AI Operators under the AI Act) című második rész, amely már kifejezetten a jogalanyi oldal (a rendelet személyi hatálya és fogalmai) felől közelít. A fejezet végig veszi az MI rendeletben megjelenő szerepköröket, különösen a provider és a deployer fogalmát, és azt vizsgálja, hogy ezek miként értelmezhetők valós intézményi és szervezeti környezetben. A hangsúly azon van, hogy a megfelelési kötelezettségek nem ágazati alapon keletkeznek, hanem attól függnek, hogy egy adott szereplő milyen funkciót tölt be egy MI-rendszer életciklusában.  A Guide nem vitatja a rendelet szükségességét, nem keres kivételeket, és nem kívánja későbbre halasztani a megfelelés kérdését. Ehelyett azt a gondolkodási keretet mutatja meg, amelyben az olvasó a további részeket – a kockázati besorolást, a nagy kockázatú rendszerekhez kapcsolódó követelményeket és a végrehajtási mechanizmusokat – már következetesen, az intézményi megfelelés szempontjából tudja értelmezni.

A Kockázati besorolás az AI Act alapján című második rész (Part II – Risk Categorisation under the AI Act) szövege abból indul ki, hogy az MI rendelet szabályozási rendszere nem technológiai szempontok, hanem jogi kockázat alapján tagolódik. A könyv itt következetesen a rendelet fogalomhasználatára támaszkodik, és azt vizsgálja, miként kapcsolódnak a különböző MI-alkalmazások a jog által relevánsnak tekintett társadalmi és intézményi kockázatokhoz.

A kockázati besorolás tárgyalása során a Guide részletesen bemutatja, hogyan nevesíti és különíti el a rendelet a tiltott gyakorlatokat, a nagy kockázatú MI-rendszereket és a korlátozott kockázatú rendszereket. A hangsúly nem azon van, hogy egy adott alkalmazás „veszélyesnek” tűnik-e, hanem azon, hogy a rendelet szemszögéből milyen jogi következményekkel jár a használata. A szöveg végig azt hangsúlyozza, hogy a kockázati kategóriák nem értelmezési lehetőségek, hanem jogi minősítések, amelyekhez előre meghatározott kötelezettségek kapcsolódnak. A második rész fejezetei ezért arra ösztönzik az olvasót, hogy saját intézményi vagy szervezeti gyakorlatát ebben a rendszerben helyezze el, és ne technológiai, hanem jogi szempontból gondolja végig az MI-használatot.

A kockázati besorolás logikája közvetlen átmenetet képez a Nagy kockázatú MI-rendszerek és megfelelési követelmények című harmadik rész (Part III – High-Risk AI Systems and Compliance Requirements) felé. Ebben a részben a könyv már abból indul ki, hogy a nagy kockázatú minősítés megtörtént, és azt vizsgálja, milyen konkrét megfelelési feladatok kapcsolódnak ehhez a jogi státuszhoz. A szöveg részletesen foglalkozik a kockázatkezelési rendszer kialakításának követelményével, amelyet nem technikai megoldásként, hanem szervezeti folyamatként ír le. A hangsúly azon van, hogy a kockázatkezelés dokumentált, visszakövethető és intézményi szinten felelőshöz rendelt legyen.

A harmadik részben külön figyelmet kap az adatirányítás és adatminőség kérdése. A könyv nem általános adatvédelmi alapelveket ismétel, hanem azt vizsgálja, hogy a nagy kockázatú MI-rendszerek esetében milyen követelmények kapcsolódnak az adatkészletek kiválasztásához, előkészítéséhez és felhasználásához. Az elemzés végig jogi keretben marad, és azt mutatja meg, hogyan válik az adatkezelés minősége megfelelési kérdéssé az MI rendelet alapján. Hasonló módon jelenik meg a technikai dokumentáció szerepe is, amely a könyv értelmezésében nem pusztán fejlesztési háttéranyag, hanem olyan jogilag releváns dokumentum, amelynek célja az ellenőrizhetőség és az elszámoltathatóság biztosítása.

Az emberi felügyelet követelménye a harmadik részben szintén konkrét jogi összefüggésben jelenik meg. A könyv itt nem elvi garanciákról beszél, hanem arról, hogy az emberi beavatkozás lehetőségének miként kell megjelennie az intézményi gyakorlatban. A hangsúly azon van, hogy a felügyelet ne formális elem legyen, hanem tényleges döntési jogosultságokkal és felelősségi körökkel járjon együtt. A fejezetek azt vizsgálják, hogyan illeszthető ez a követelmény meglévő szervezeti struktúrákba, és milyen dokumentációs elvárások kapcsolódnak hozzá.

Itt emelendő ki, hogy a Digital Omnibus csomag egyik kulcselemét a magas kockázatú AI-rendszerekre vonatkozó határidők kitolás jelenti. A javaslat szerint az olyan területeken, mint a biometrikus azonosítás, a hitelbírálat, az álláspályázatok előszűrése vagy az oktatási és felvételi rendszerek, az AI Act eredetileg 2026-tól induló alkalmazása legalább egy, de akár két évvel is későbbre tolódna. A Rendelet III számú függelékében felsorolt magas kockázatú rendszerek – köztük találjuk az oktatási értékelést és hallgatói kiválasztást támogató megoldásokat is – 2027 decemberéig kapnának haladékot, az I. sz Függelékhez kapcsolódó kritikus infrastruktúrákhoz tartozó rendszerek pedig 2028 augusztusáig.

A IV. rész (Megfelelési mechanizmusok és jogérvényesítés, (Part IV – Compliance Mechanisms and Enforcement) szövege abból indul ki, hogy a megfelelés nem belső meggyőződés vagy önkéntes gyakorlat, hanem olyan állapot, amelyet hatóságok vizsgálhatnak, számon kérhetnek és szankcionálhatnak. A könyv ebben a részben következetesen jogi nyelven beszél, és az MI rendelet végrehajtásának intézményi feltételeit tárja fel.

A megfelelési mechanizmusok tárgyalásakor a kötet részletesen bemutatja az ellenőrzési és végrehajtási kereteket, amelyek az MI rendelethez kapcsolódnak. A hangsúly azon van, hogy a megfelelés nem egyszeri aktus, hanem folyamatos állapot, amelynek fennállását az érintett szereplőknek igazolniuk kell. A szöveg azt vizsgálja, hogyan jelenik meg a megfelelőségértékelés és az ellenőrizhetőség követelménye a rendeletben, és milyen szerepet kapnak ebben a nemzeti hatóságok és az uniós szintű koordinációs mechanizmusok. A könyv nem elméleti szinten beszél ezekről az intézményekről, hanem azt mutatja meg, hogyan illeszkednek az AI Act végrehajtási rendszerébe.

A negyedik részben külön hangsúlyt kapnak a szankciók és jogkövetkezmények. A kötet itt nem a bírságok mértékét részletezi, hanem azt a logikát, amely szerint a jogsértések értékelése történik. A szöveg azt emeli ki, hogy a szankcionálás nem elszigetelt elem, hanem a megfelelési rendszer része, amely visszahat az intézményi döntéshozatalra és kockázatkezelésre. A fejezetekből az rajzolódik ki, hogy a megfelelés hiánya nem pusztán jogi következményekkel jár, hanem szervezeti és reputációs kockázatokat is teremt, amelyekre az érintett szereplőknek már a tervezési szakaszban tekintettel kell lenniük.

A Kapcsolódás más uniós jogi keretekhez (Part V – Interactions with Other EU Legal Frameworks) című ötödik rész, azt a kérdést állítja a középpontba, hogy az MI rendelet nem önálló szabályozási sziget, hanem más uniós jogterületekkel szoros összefüggésben alkalmazandó. A könyv ebben a részben külön fejezetekben tárgyalja az MI rendelet és az általános adatvédelmi rendelet (GDPR) kapcsolatát. A hangsúly azon van, hogy a két jogi rezsim eltérő célokat szolgál, mégis ugyanazon intézményi gyakorlatban találkozik. A szöveg azt vizsgálja, miként egészítik ki egymást az adatvédelmi kötelezettségek és az MI-re vonatkozó megfelelési előírások, és hol keletkeznek párhuzamos vagy egymást erősítő kötelezettségek.

A GDPR-rel való kapcsolat bemutatása során a könyv nem általános adatvédelmi alapelveket ismétel, hanem konkrét helyzeteket elemez, ahol az MI rendelet szerinti megfelelés és az adatvédelmi kötelezettségek egyszerre jelennek meg. Ilyen például az adatkezelés jogalapjának, az átláthatóság és az elszámoltathatóság kérdése, amelyek mindkét jogterületen meghatározóak, mégis eltérő logika szerint kerülnek szabályozásra. A Guide arra hívja fel a figyelmet, hogy az intézményeknek nem külön-külön, jogterületenként kell megfelelniük ezeknek a szabályoknak, hanem összehangolt jogértelmezésre és belső eljárásrendre van szükségük.

A kötet Előretekintés: végrehajtás és jövőbeli kihívások (Part VI – Looking Ahead: Implementation and Future Challenges) című hatodik része már nem egy-egy jogintézmény vagy megfelelési kötelezettség részletezésére koncentrál, hanem arra,  hogy hogyan működik az MI rendelet alkalmazása hosszabb távon intézményi környezetben. abból indul ki, hogy a megfelelés nem lezárható projekt, hanem folyamatos működési állapot, amelyet az érintett szervezeteknek fenn kell tartaniuk. A szöveg nem új kötelezettségeket vezet be, hanem azt vizsgálja, hogyan illeszkedik az MI rendelet a mindennapi intézményi működésbe, és milyen problémák merülnek fel a gyakorlatban a végrehajtás során.

A hatodik rész központi kérdése az implementáció, vagyis az, hogy a rendeletben rögzített előírások miként alakíthatók konkrét belső eljárásrendekké. A könyv itt azt hangsúlyozza, hogy az MI rendelet alkalmazása nem pusztán jogi feladat, hanem szervezeti és irányítási kérdés is. A megfelelés fenntartása érinti a döntéshozatali struktúrákat, a felelősségi körök kijelölését és az információáramlás rendjét. A szöveg abból indul ki, hogy az MI-rendszerek használata idővel változik, bővül vagy átalakul, ezért a megfelelési kereteknek is rugalmasan kell követniük ezeket a változásokat.

A rész jelentős figyelmet szentel annak, hogy az AI Act végrehajtása nem azonos módon zajlik minden intézményben. A könyv kitér arra, hogy a szervezeti méret, a tevékenységi kör és az MI-alkalmazások jellege mind befolyásolják azt, hogyan értelmezhetők és teljesíthetők a kötelezettségek. Ennek megfelelően a megfelelés nem egy egységes sablon mentén valósul meg, hanem intézményenként eltérő megoldásokat igényel, miközben a jogi keretek azonosak maradnak. A szöveg ebből a szempontból kifejezetten intézményi nézőpontot képvisel, és nem technológiai vagy fejlesztői szemszögből közelít.

A hatodik rész kitér arra is, hogy az AI Act alkalmazása során értelmezési bizonytalanságok és gyakorlati kérdések merülhetnek fel, különösen az első időszakban. A könyv nem ígér gyors megoldásokat ezekre a helyzetekre, hanem azt mutatja meg, milyen szerepe van a hatósági iránymutatásoknak, a joggyakorlat alakulásának és az intézmények közötti tapasztalatcserének. A megfelelés itt nem statikus követelményként jelenik meg, hanem olyan folyamatként, amelyet az uniós és nemzeti szintű végrehajtás tapasztalatai folyamatosan alakítanak.

A jövőbeli kihívások tárgyalásakor a könyv kitér arra is, hogy az MI rendelet nem zárt rendszer, hanem más jogalkotási és szabályozási folyamatokkal együtt fejlődik. A hatodik rész felhívja a figyelmet arra, hogy a rendelet alkalmazása során új kérdések merülhetnek fel az MI technológiai fejlődésével párhuzamosan, és ezekre a jogalkalmazásnak reagálnia kell. A szöveg nem spekulatív jövőképeket vázol, hanem arra összpontosít, hogy az intézményeknek milyen szemlélettel érdemes készülniük a változásokra: a megfelelés fenntartása érdekében szükség van folyamatos felülvizsgálatra, belső tanulási folyamatokra és a jogi környezet nyomon követésére.

A kötet gyakorlati jelentőségét elsősorban az adja, hogy bár szerzői az akadémiai (egyetemi) világból kerültek ki, az MI rendeletet nem elvont szabályrendszerként kezeli, hanem olyan „élő” joganyagként, amelyhez intézményi működést kell igazítani. A fejezetek azt követik, milyen kérdések merülnek fel egy szervezetben akkor, amikor mesterséges intelligenciát használ vagy kíván bevezetni: ki milyen szerepbe kerül, milyen kockázati kategória érintett, milyen kötelezettségek keletkeznek, és ezek teljesítését hogyan lehet ellenőrizhető módon megszervezni. A könyv ebből a szempontból jól használható a belső munkák előkészítéséhez, megfelelési feladatok kijelöléséhez és intézményi eljárásrendek kialakításához – nem csak francia viszonylatban, de az EU más országaiban is.

A magyarországi alkalmazás lehetősége abból fakad, hogy az AI Act közvetlenül alkalmazandó uniós rendelet, így a benne szereplő fogalmak, szerepkategóriák és kötelezettségek nem igényelnek külön nemzeti átültetést. 2026 mesterséges intelligencia integrációja szempontjából a magyar oktatás és felsőoktatás számára (is) a felkészülés éve lesz, s ennek részét képezi az MI-re vonatkozó szabályozási környezetnek való megfelelőség is. Új rendszereket tervezni csak az EU MI rendeletének és a kapcsolódó szabványoknak és más műszaki követelményeknek megfelelően, de az Omnibus módosítási javaslataira is figyelve érdemes: az esetlegesen már most működő MI-rendszereket – adaptív oktatóplatformok, plágiumszűrők, felvételi algoritmusok, tanulmányi előrehaladást elemző dashboardok – pedig a Digital Omnibus javasolt kategóriái és határidői szerint célszerű feltérképezni, és belső kockázati térképet készíteni.

Az egyetemeknek külön figyelmet kell fordítaniuk arra, hogy az esetleges halasztott hatálybalépés nem mentesíti őket a nemzeti és uniós alapjogi kötelezettségek alól: ha egy rendszer diszkriminatív, átláthatatlan vagy sérti a hallgatói jogokat, az ma is megtámadható, függetlenül az MI rendelet formális alkalmazhatóságától. Ebben komoly segítséget nyújthat a francia kézikönyv, mely mindvégig az uniós jogszabály szövegéből indul ki, ezért a benne szereplő megfelelési logika a magyar intézményi környezetben is értelmezhető – természetesen figyelemmel a rendelet végrehajtását segíteni kívánó nemzeti szabályokra, így a különösen az Európai Unió mesterséges intelligenciáról szóló rendeletének magyarországi végrehajtásáról szóló 2025. évi LXXV. törvényre. A felsőoktatási és közintézményi szektorban elsősorban ott használható jól, ahol az MI-rendszerek gyakran nem termékként, hanem belső eszközként vagy szolgáltatásként jelennek meg, és ahol a szerepek, felelősségek és dokumentációs kötelezettségek tisztázása alapfeltétel a jogszerű működéshez.

Ho-Dac, M., Pellegrini, C., & Long, B. (Eds.). (2025). The academic guide to AI Act compliance. Lyon Catholic University & University of Artois.

https://hal.science/hal-05365570/document

Az írás a mesterséges intelligencia közreműködésével készült.