Senior szerkesztő, Jog és Compliance · 77 cikk
A heti Radar és a határidő-szűrés gazdája. Hatósági ügyek, bírságok, szállítói állítások tényekkel ütköztetve: mi kötelező ma, és mi nem.
A Loop Magazin szerkesztőségi hangjairól és az AI-közreműködés jelöléséről: Etikai kódex.
2026. július 27-én hatályba lépett az AI-rendeletet módosító omnibusz, az (EU) 2026/1744 rendelet. A felvételi AI-rendszerek nagy kockázatú szabályai 2027. december 2-re csúsztak. Egy tilalom nem mozdult: az érzelemfelismerés 2025. február 2. óta tilos a munkahelyen, a Bizottság olvasatában a jelentkezőkkel szemben is. A GDPR a felvételekre a két dátumtól függetlenül vonatkozik.
2026. szeptember 27. óta a „környezetbarát”, a „zöld” és a hasonló általános állítás a fogyasztóvédelmi feketelistán van. Aki nem tudja igazolni, mérlegelés nélkül tisztességtelen gyakorlatot folytat. Az AI-íróeszköz ezeket a szavakat könnyen beleírja a termékleírásba. Az ellenőrzés a vállalkozásnál marad.
A tagállamoknak 2026. december 2-ig kell átültetniük az uniós platformmunka-irányelvet. Az irányelv kimondja, hogy a fiók felfüggesztéséről embernek kell döntenie. A szabály csak a digitális munkaplatformokra vonatkozik. Egy átlagos KKV saját HR-szoftverére a GDPR, és ha a szoftver AI-rendszer, az AI-rendelet vonatkozik. A munkahelyi nagy kockázatú AI-rendszerekre vonatkozó szabályok 2027. december 2-től élnek.
2026. szeptember 23-án a Gazdasági Versenyhivatal lezárt egy influenszerügyet: 49 vizsgált posztból közel háromnegyednél nem volt megfelelő a reklámjelölés. Az influenszer figyelmeztetést kapott. Az ötmillió forintos versenyfelügyeleti bírságot a Coca-Cola Szolgáltató Kft. kapta. Szalon, webshop és étterem ugyanebbe a sorba esik, ha posztért fizet vagy terméket ad.
Október 14. és 23. között az Azure OpenAI, a Google Cloud és az OpenAI API régi modelljei leállnak. A ChatGPT csevegőfelülete, a Copilot és a Gemini alkalmazás nincs a listán. A céges chatbot akkor áll le, ha a hívásban ezek a modellnevek szerepelnek, és a hibát a program elnyeli.
Az Európai Adatvédelmi Testület új módszertant dolgozott ki arra, hogyan döntsenek a hatóságok egy GDPR-sértés következményeiről. A bírságmaximum nem változik. Az viszont kiszámíthatóbbá válhat, mikor indokolt pénzbírságot alkalmazni, és mikor más intézkedés a megfelelő válasz.
Szeptember 17. után a hazai sajtóban is megjelent, hogy Brüsszel kiskorúaknál alapból kikapcsoltatná a chatbotokat. A javaslat ennél szűkebb: alapból kikapcsolt állapotot csak a közösségi platformokba és játékokba épített chatbotoknál ír elő. A magyar KKV-k többségét ez nem érinti. Egy kisebb kört viszont nagyon is: a játékfejlesztőket, és azokat, akik közösségi platformba vagy játékba általános asszisztenst vagy AI-társat építenek.
„1 és 3 év közötti börtön.” A képlet terjed. A hatályos Btk. szerint egy sértő kommentből lehet ügy, a felső határ viszont nem jelent automatikusan börtönéveket.
Október 1-jén az OpenAI három kutatóval szerződést bontott, Kalifornia főügyésze pedig idézést küldött. A két nappal korábbi Fehér Házi papír Önt nem kötelezi. A céges ChatGPT mindig bekapcsolt ügynöke, ha az adminisztrátor engedi, már igen.
MikroTik-router, saját szerveren futó SharePoint, NetScaler-kapu. Mindháromnál már kihasznált hibáról van szó, és egyiknél sem elég a frissítés. Közben szeptember 22-től új a minisztérium MI- és kiberbiztonsági szerkezete.
Szeptember 27-én a Citrix nyolc hibát közölt a NetScaler-kapura. Kettőt még aznap felvettek a kihasznált hibák listájára. A szövetségi naptár másodlagos összesítés szerint szeptember 30. Az Ön kérdése rövidebb: van-e ilyen kapuja, és a javítás előtt megnézték-e a nyomot.
Az első NIS2-auditkör 84,6 százalékkal zárult. A statisztikából kimaradnak a be sem jelentkezett cégek. Mit nem mutatnak a számok, és kinek jó ez?
A Google szerint az EU túl sok adatot adna a versenytársaknak. A valódi kérdés azonban az, hogy az adatvédelem hol végződik, és hol kezdődik a kapuőri előny.
Vue 2, Node 18, Spring 5 — ha még fut élesben, szeptember 11. óta a CRA-jelentés mellett az is kérdés, tudja-e 24 órán belül jelenteni a sebezhetőséget.
Nincs enterprise DLP? Négy kontroll, amit ma bevezethetsz — napló, domain, egress-szabály, onboarding-mondat. Stratégia megvan, operatív minimum hiányzik.
A NAIH lefordította a CNIL és a PIPC genAI-plakátját. Hat kérdés magánfelhasználóknak — és hat vezetői döntés, amit a magyar KKV-k többsége halogat.
A Rhysida leak site közel ötszázmilliót kér. A Programiroda két munkatárs privát iratát erősítette meg, a többit nem. A hatóság júniusban szólt — a szivárgásról szeptemberben tudtak. A KKV-lecke: a GDPR-óra nem a létszámtól indul, a leak site pedig nem kárösszeg.
A tiltás nem működik — a láthatóság igen. Négy kontroll 50 fős cégnek, enterprise DLP nélkül. Stratégia megvan, operatív minimum hiányzik.
Az audit lezárása után a következő pipa a vezetői asztalon: legalább 8 órás kiberbiztonsági alapképzés 2026. december 31-ig. Az IBF-nek évi 20 óra jár. A hatóság neve változhat — a kötelezettség nem.
Az EU NIS2 módosítása harmonizált ransomware-jelentést kér — vektor, fizetés igen/nem, összeg. Érzékeny adat, CSIRT-only. Üzleti és jogi döntés, nem IT ticket.
Kockázati kategória, magyar piacfelügyelet, 50. cikk, határidők és FAQ — amit egy 10–250 fős cégvezetőnek 2026 őszén tudnia kell. Nem IT-kézikönyv.
Három réteg, egy cég. Prioritási sorrend és havi akcióterv annak, aki egyszerre kap NAIH-, SZTFH- és AI-kérdést — Big4-zsargon nélkül.
Ki érintett, mit vár az SZTFH, milyen dokumentum kell, és mi a tét 2026. június 30. után. Checklista és FAQ magyar KKV-vezetőnek — nem EU-s sablon.
A passkey megállítja a hamis belépőoldalt. A „elfelejtettem a jelszót” gombot nem. Ott SMS, helpdesk vagy bot dönt — második ember nélkül.
Szeptember 11-én indul a CRA sebezhetőség- és súlyos incidens-jelentés. Az ENISA Single Reporting Platform még nincs nyitva — de az augusztusi útmutató már mondja: nem hitelesített fiókkal legfeljebb tíz bejelentés.
Az SZTFH adatai szerint a nyilvántartott auditkötelezettek mintegy 84,6 százaléka időben lezárta az első NIS2-auditot. A kérdés már nem a június 30-i határidő — hanem az ellenőrzés, az intézkedési terv és a folyamatos bizonyítás.
A magyar ügyvédi karban terjed: az AI-ra „még nincs szabály”. Az Üttv. titoktartása és a személyes felelősség már most kijelöli a keretet. Négy pont, mielőtt irat megy a chatbotba.
Szeptember 11-től a Cyber Resilience Act reporting indul — aktívan kihasznált sebezhetőség, 24 és 72 óra. Nem csak óriás gyártóké — SaaS és régi verzió is.
A Sysdig dokumentálta az első teljesen agentikus zsaroló-kampányt. Langflow-lyukon be, credential, laterális mozgás, 1342 konfiguráció titkosítva — és 31 másodperc önjavítás, ha a belépés elhasal. Az Ön playbookja még meetinget hív.
2026. szeptember 11-én indul a CRA sebezhetőség- és súlyos incidens-jelentés. A Bizottság július 27-i iránymutatása a KKV-knak szól. Ma már nem „majd decemberben” — 24 óra, 72 óra, egy platform.
A Hiscox 2026-os felmérése szerint a válaszadók 27%-át érte zsaroló. Akik fizettek, 80%-uk nem állította vissza minden adatát — és közel harmadukat újra zsarolták. Egy statisztika a holnapi kávéhoz — a fizetés nem helyreállítási terv.
A nagyvállalat NIS2 alatt továbbküldi a checklistet — heterogén Excel, eltérő határidők. 12 kérdés, amit válaszolhatsz anélkül, hogy túlígérnél.
A nagyvállalat NIS2 alatt továbbküldi a kiber Excelt. Az EU harmonizálni akarja — addig 12 kérdés, amire őszinte választ adhat anélkül, hogy túlígérne.
A teljes Eszköztár cikk holnap jön. Ma viheted haza a 12 kérdést nyomtatásra — partner-meetingre, aláíráshoz, belső ellenőrzéshez.
Januárban Brüsszel új kiber csomagot tett asztalra — NIS2 egyszerűsítés, harmonizált beszállítói kérdések, ransomware adatgyűjtés. Nem kevesebb felelősség — más eloszlás.
Augusztus 2. elmúlt — nem „minden AI Act ma lejár”. A 50. cikk átláthatóság igen, a magas kockázatú HR-szűrés 2027-re tolódott. Plusz EU kiber-csomag és beszállítói kérdőív szezon.
Az Ügyészség nevével küldött levél nem @mku.hu-ról jön. A link letölti a zsarolóprogramot. 15 perces teendőlista — vezetői aláírással.
A Mastercard vezetője az Egyesült Államokban 21 milliárd dollár igazolt, bejelentett csalási veszteségről beszélt, 26 százalékos növekedéssel. A magyar kutatásban a válaszadók 83 százaléka felkészültnek érzi magát. A teszt mást mutat.
Magyarországon 21 milliárd forint igazolt kiberkár 2025-ben — miközben 82% felkészültnek érzi magát. Plusz hamis ügyészségi levél — az NKI riasztása.
Vue 2, Node 18, régi PHP — ha még fut élesben, szeptember 11. óta a beszállítója is kérdezheti. Nem patch-elni kell tudnia, hanem listázni.
A deepfake videóhívás nem az első lépés — az azonnali utalás. Egy oldalas policy küszöbösszeggel, out-of-band megerősítéssel és két aláíróval. Nincs kivétel a CEO-ra.
Az IT izolál, naplóz, visszaállít. Az ügyfél addig hallgatást kap — vagy egy félmondatot a socialról. Egy mondat, amit ma meg tudsz fogalmazni, mielőtt kérdeznek.
A zsarolás nem mindig titkosít. A deepfake nem mindig videó — néha elég egy sürgős utalás. Két Loop cikk, két folyamat, amit a vezető aláír.
A World Leaks a Mediaworks adatait nem zárta le — kiírta. Az UBM-nél klasszikus zsarolóvírus volt. Két támadás, két válaszút — és két külön bejelentési logika.
A belső szabály nem elég, ha a bank egy kattintással elküldi a pénzt. Három kérdés a kapcsolattartónak — mielőtt a következő videóhívás utalást kér.
A Check Point távoli belépési rendszerében május 7. óta kihasználtak egy súlyos hibát — a javítás június 8-án jött. Nem a gyenge jelszó volt a gond. Mit nézzen vissza ma, ha 50 fős cége Check Point VPN-t használ.
Június 29-én lezárult az omnibus — a magas kockázat csúszik, az 50. cikk nem. Kevesebb mint négy hét augusztus 2-ig. Mit csináljon ma, ha nem gyárt AI-t, de használ.
A megfelelőségi AI-chatbot ígérete terjed a KKV-piacon, de a döntés nem a demón dől el — hanem egy arányszámon, amit három hét naplózás ingyen kiad. Hol a határ a megtérülő rendszer és a felelősségi csapda között?
Július elsején a magyar első NIS2-audit határideje lejárt. Nem a regisztráció dátuma számít — az SZTFH állásfoglalása. Közben exfiltrációs zsarolás magyar példával.
A magyar első NIS2-audit határideje lejárt. A kérdés már nem az, hogy kell-e audit — hanem mit tud holnap reggel bizonyítani, ha még nincs lezárás.
Belgium ex-ante NIS2 felügyeletet vezet — a magyar beszállítónak bizonyítékot kell adnia, nem pipát. Négy kérdés belga partner felé.
Arup 2024: deepfake videókonferencia, 25,6 millió dollár — a deepfake nem a vízjellel áll meg. Egy mondat a holnapi pénzügyi meetingre.
Norvégia 20 millió korona bírságot szabott az Elkjøp hűségklubjára — nem adatszivárgás miatt, hanem érvénytelen consent miatt. Négy kérdés, amit minden magyar webshopnak fel kell tennie.
A kötelező CSRD-jelentés azokra a vállalkozásokra vonatkozik, amelyeknek az átlagos létszáma meghaladja az 1000 főt, és a nettó árbevételük meghaladja a 450 millió eurót. A két feltétel együtt számít. A jelentés az értékláncra is kiterjed, ezért a kérdőív a magyar KKV-hoz is eljuthat.
A taxonómiát sokan zöld címkézésként ismerik. Magyar KKV-nak első körben nem az a kérdés, hogy „zöld-e a termék”, hanem hogy a nagy partnere kér-e Öntől adatot — és mit válaszol, ha nem tudja.
Június 30-án lejárt a magyar első NIS2-audit határideje. Ki volt érintett, mit kért az auditor, mi a tét — és mit tehet ma, ha még nincs lezárás.
Az Európai Parlament jún. 16-án megszavazta az AI Act halasztását — de amíg a Tanács nem fogadja el formálisan és nem jelenik meg a Hivatalos Lapban, augusztus 2 a törvény. Plusz a héten ami a Közlönyben jött, szűrve.
Augusztus 2-án élesedik az AI Act gépi jelölési előírása. Sok IT-felelős kipipálja és hátradől — pedig a vízjel átláthatósági eszköz, nem biztonsági kontroll. Aki a kettőt összekeveri, hamis biztonságérzetet vásárol.
Augusztus 2-án élesednek az AI Act átláthatósági szabályai. Az első kör nem nagy megfelelési projekt: egy látható jelölő mondat és egy szállítói e-mail — kész mintaszövegekkel és felelős-mátrixszal.
A magas kockázatú AI-rendszerek besorolásáról szóló bizottsági konzultáció 2026. július 23-án lezárult. A végleges iránymutatás az év végéig várható. Ha HR-szűrőt, hitelbírálati modellt vagy oktatási eszközt használ, a definíció Önről is szól.
A hét öt esete egyetlen cselekvési tervvé fordítva. Három lépés, amit a következő igazgatósági ülésig megtehet.
423 igen Strasbourgban — de augusztus 2. még nem csúszott. Az 50. cikk átláthatósági kötelezettségei továbbra is éles határidő, amíg a módosítás meg nem jelenik a Hivatalos Lapban.
Egy rejtett biometrikus kód 50 millió telefonon, és a BlackFog mintájában a dolgozók 49 százaléka nem engedélyezett AI-t használ. Két irányból ugyanaz a vakfolt — amit a GDPR és az AI Act nem néz el.
A HUN-REN 2026-ban AI-kutatóközpontot indít, és már most 25 MI Nagykövet viszi a módszertant a matematikától a régészetig. Ez nem akadémiai belügy — a magyar AI-tehetség és a használható modellek elosztását rajzolja át.
20 225 Instagram-fiók veszett el, mert egy AI-bot emberi jóváhagyás nélkül állított vissza jelszavakat. A tanulság nem a Metáé — és a NIS2 már kötelezővé teszi a védekezést.
Májusban az EU egységes NIS2 incidens-űrlapot fogadott el. Ha személyes adat is érintett, a NAIH felé külön, 72 órán belül kell jelenteni — egy űrlap nem fed le mindent.
A jó embered nem a fizetés miatt lép le, hanem mert felügyeletet kap a főnökétől, miközben iránymutatásra vágyna. A Deloitte friss felmérése pontosan megmutatja, mekkora ez a szakadék — és mit lehet vele kezdeni egy KKV-nál.
Az EU Digital Omnibus csomagja 25–35%-os tehercsökkentést ígér a GDPR körül. De ez még csak javaslat, és a felelősség marad. Mit törölhet tényleg a megfelelési mappájából — és mit nem.
Június 30-án lejár az első NIS2-audit határideje. Mellette négy közlönytétel, amit érdemes a radaron tartani, és a nemzetközi hírek közül az, aminek magyar következménye van. Heti tájékozódás cégvezetőknek, szűrve.
Az OpenAI bevezette a Lockdown Mode-ot: egy szerepkör-alapú kapcsolót, amely a céges ChatGPT-ben korlátozza a böngészést, az agent-eket és a fájl-hozzáférést. A magyar KKV-IT-nek ez átírja a kérdést — nem azt, hogy engedjük-e, hanem azt, hogy kinek mennyit.
A magyar cégek egyre nagyobb része AI-jal szűri az önéletrajzokat — gyorsabban, olcsóbban, állítólag elfogulatlanul. A magas kockázatú HR-kötelezettségek 2027. december 2-től élnek. A felelősség akkor is a cégé, ha a hibát az algoritmus követi el; a GDPR és a munkajog már ma is kötelez.
A magyar magánkórházi szektor három éve használ AI-eszközöket. Az átláthatósági szabályok 2026. augusztus 2. óta élnek. Az Annex III magas kockázatú kötelezettségek 2027. december 2-től, az orvostechnikai eszközbe ágyazott AI 2028. augusztus 2-től alkalmazandó.
Ha egy magyar egészségügyi vezető 2026-ban azt mondja, hogy az EESZT-vel megvagyunk — lemaradt egy fejezet. Az EHDS rendelet a következő tíz évben átalakítja a hazai egészségügyi adatkezelést.
Egy AI-startup három éve fejleszti a radiológiai szoftverét, MDR-tanúsítás alatt. Az AI Act általános alkalmazása 2026. augusztus 2-án megkezdődött. A termékbe ágyazott, Annex I alá eső magas kockázatú rendszer kötelezettségei 2028. augusztus 2-től élnek. Akkor most kétszer kell megfizetni ugyanazt?
Az (EU) 2026/1744 rendelet a magas kockázatú AI-rendszerek határidejét 2027. december 2-re tolta, ez 16 hónappal több idő. Szerintünk az jár jobban, aki ezt tervezésre használja: elkészíti az AI-leltárt, besorolja a rendszereit, és időben felépíti a dokumentációt.
Május 21 óta minden határon átlépő hulladékszállítást EU-s digitális rendszerben kell intézni. A papír Annex VII érvényét vesztette. A magyar autóipari, építőipari és elektronikai gyártók többsége akkor sem volt regisztrálva — most kezeli a hátralékot. Mi a tét, mi a bírság, mi a következő deadline.
A TV2 bevételének egyik lába a kereskedelmi reklám, a másik a kormányzati hirdetés. A 2026 áprilisi választás után az első megmarad. A második kérdéses — és ez a különbség dönti el, milyen csatorna lesz a TV2 holnap.