Boros Réka · 2026-09-09 · 7 perc olvasás
Megígértek az AI Act megfelelést. Az EU AI Act melléklete, az Annex III azonban más álláspontot képvisel.
Sok hazai startup azt állítja, hogy az EU AI Act szerint működik — mert a rendelet (2024/1689) 2024. augusztus 1-jén hatályba lépett, és senki sem akar bírságot Brüsszel felől. A bírság nem egyetlen 6 százalékos kulcs. A 99. cikk szerint a tiltott gyakorlat (5. cikk) megsértése legfeljebb 35 millió euró vagy a világpiaci forgalom 7 százaléka; a többi felsorolt kötelezettség, köztük a használó 26. cikke és az átláthatóság 50. cikke, legfeljebb 15 millió euró vagy 3 százalék; a hiányos vagy félrevezető tájékoztatás legfeljebb 7,5 millió euró vagy 1 százalék. Mindig a magasabbik összeg számít, KKV-nál és startupnál a kettő közül az alacsonyabb. Az Annex III nem tiltólista: a tiltott gyakorlatokat az 5. cikk sorolja, az Annex III a magas kockázatú felhasználásokat. Egy budapesti HR-tech startup azonosított egy közülük, és — a mai napig — azt tudják magukról, hogy "AI Act-kompatibilis".
(Az alábbi eset fiktív esettanulmány, azonban a jogszabályi szabályok és a jogi kockázatok valódiak.)
A probléma nem az, hogy nem értik az AI Act-et. Az, hogy az Annex III-at egyáltalán nem.
Melyik eset: az algoritmus és az emberi döntés
Az Y-startup által szállított HR-Tech rendszer biometrikus szűrést végez videóinterjúkon — arcfelismerés, hangelem-analízis, mikroexpresszió-detektálás, majd egy 0-100 közötti pontszám az alkalmasságról. Az algoritmus javaslatot ad, az HR-vezető pedig (természetesen!) dönt. Az Y-startup erre azt mondja: "Nem az algoritmus dönt, mi csak javaslatot adunk, az emberek döntenek."
Ez így még összhang van a GDPR-rel — az adatkezelő továbbra is az emberi döntéshozó. Az AI Act viszont máshol húzza meg a vonalat, mint ahogy az értékesítési szöveg olvassa.
A munkahelyi és az oktatási érzelemfelismerés nem az Annex III „tiltása”. Az 5. cikk (1) bekezdés f) pontja tiltja az érzelemfelismerő rendszert a munkahelyen és az oktatási intézményben, orvosi és biztonsági kivétellel. Az önéletrajz-szűrés, ha nem érzelemfelismerés, nem tiltott gyakorlat: az Annex III foglalkoztatási pontja szerint magas kockázatú lehet.
A jogilag laza megfogalmazás: "érzelmi állapot" — de a gyakorlatban a videó-elemzésből számított "stresszpontszám" számos szociális helyzetben (állásinterjú, közlekedési ellenőrzés, bírósági tárgyalás) éppen ezt méri.
Az érdekcenzúra: ki profitál a "még nem érkeztek bírságok"?
Az Y-startup tudja, hogy az AI Act még nem szigorú (2025-ig fokozatos implementálás), és a nemzeti felügyeleti szervek még nem kezdték el az erőteljes érvényesítést. Az EU 26 tagállamában másfél tucat felügyeleti szervezet működik, ezek közül csak Németország és Franciaország kezdett az AI Act büntetéseihez tanácsadóval foglalkozni. A magyar KKV továbbra is azt mondja: „ha az EU viszonyokhoz képest még nem jött bírság, azért nem fog jönni" — márpedig ez az 2026. szeptemberi logika.
De azt vesz észre az olvasó itt: Az Y-startup érdekelve van abban, hogy az AI Act-ról félrevezető információkat terjeszt. A „HR-tech szabadság" a piaca. Minden egyes kitiltott algoritmus a konkurrens cégé lenne. Az ő felügyeleti szervezete (az NMHH, illetve az EU AI Office) azonban nem érdekelve — sőt, éppen ellenkezően: a bírság az ő költségvetésüket és politikai jelenlétét erősíti.
Ez nem összeesküvés. Ez az érdekviszály: az Y-startup és az NAIH ellentétes érdekeit az AI Act rákényszeríti egymásra.
Ami tiltott, és ami magas kockázatú
Nem ugyanaz a két lista.
- A munkahelyi videós érzelemelemzés az 5. cikk (1) bekezdés f) pontja szerint tiltott, orvosi és biztonsági kivétellel. Nem az Annex III sorolja.
- A közterületi, valós idejű távoli biometrikus azonosítás szintén az 5. cikk alá tartozik, nem az Annex III-ba. Az Y-startup nem ezt csinálja.
- Az önéletrajz-szűrés érzelemfelismerés nélkül az Annex III foglalkoztatási pontja szerint magas kockázatú lehet. Nem automatikusan tiltott.
Az Y-startup azt mondja: „nem diagnózist adunk, csak javaslatot". Ha a rendszer a munkahelyen érzelmet ismer fel, az 5. cikk a javaslatot sem menti fel. Ha csak rangsorol, érzelemfelismerés nélkül, az nem tiltás, hanem magas kockázatú felhasználás, a maga dokumentációs kötelezettségével.
Ördög Ügyvédje: Hol gyenge az érvelés?
Az én fenti elemzésem erős pontja: az 5. cikk és az Annex III nem ugyanaz, és a gyakorlat ezt keveri. A gyenge pont: a magyar adatvédelmi felügyeleti szervezet (Nemzeti Adatvédelmi és Információszabadság Hatóság, NAIH) még nem közölt AI Act-ra vonatkozó bírságot. Az EU AI Office (brüsseli szervezet) kezdett, de még nem magyar startupot bírságolt. Ez azt jelenti, hogy az „érvényesítés" még várat magára — azonban az AI Act szövege önmagában már elegendő jogalap a bírsághoz.
Egy erősebb kutatás megmutatná, hogy az Y-startup konkrétan mely szerződésekben ígérte a GDPR-megfelelést, és hogy az 5. cikk vagy az Annex III melyik pontja érintett. Ez az eljárás: dokumentum + szöveg = bírság. Nincs szükség jó szándékra vagy általános ismeretlenségre.
De az igaz: a magyar KKV-szférában nincs még fázis a büntetéseknek. Ez azonban nem mentesít, hanem késleltethet.
Tanulság
Az Y-startup a szokásos hibát követi el: azt képzeli, hogy az „AI-konformitás" azt jelenti, amit a saját értékesítési közleménye mond. Az EU AI Act azonban papír. Ha a videóinterjú a munkahelyen érzelmet ismer fel, az 5. cikk tiltja. Ha csak szűr, az Annex III szerint magas kockázatú lehet, és akkor a kötelezettségcsomag a tét, nem a tiltás. Az eljárás akkor kezdődik, amikor az első magyar munkaadó bejelenti a hatóságnak — vagy mikor az EU AI Office maga kezdeményez egy szabályozási vizsgálatot. Addigra az Y-startup már több száz szerződésben ígérte a megfelelést.
Az igaz: a magyar hatóságok még nem léptek. Az igazi is: az EU AI Act nem engedi meg az „még nem bírságolt, ezért mehet" logikát.