Ki felügyeli az MI-rendelet betartását Magyarországon?

Képzeljék el, hogy valami elromlik. A tavaly bevezetett toborzási szűrőeszköz, amelyet a HR-szoftverrel együtt vásároltak, elutasít egy jelentkezőt, aki emiatt panaszt tesz. Vagy az ügyfélszolgálati chatbot kiszámíthatatlanul kezd viselkedni, és a panaszos bejelentést ír. Kihez fordul? Ki keresi meg emiatt a céget? Az a hatóság, amelyet a GDPR-ügyekből ismernek? Egy vadonatúj intézmény, amelyről még nem hallottak? Vagy egy ágazati szabályozó, amely már más jogcímen is felügyeli a tevékenységüket? Az őszinte válasz az, hogy Magyarország e cikk írásakor még nem zárta le véglegesen, mely hatóság felel majd teljeskörűen a MI-rendeletért — az (EU) 2024/1689 rendeletért. Éppen ezért érdemes tudni, mi már biztos, mi van még eldöntés alatt, és kihez fordulhatnak, ha azonnal választ szeretnének.

Mit ír elő a MI-rendelet 70. cikke minden tagállam számára

A MI-rendelet 70. cikke minden tagállamot arra kötelez, hogy jelöljön ki legalább egy bejelentő hatóságot, amely a megfelelőségértékelő szervezeteket értékeli és felügyeli bizonyos MI-rendszerek esetében, valamint legalább egy piacfelügyeleti hatóságot, amely folyamatosan ellenőrzi, hogy a piacon ténylegesen elérhető MI-rendszerek megfelelnek-e a rendeletnek. A piacfelügyeleti hatóság az, amellyel egy átlagos vállalkozás a gyakorlatban valószínűleg találkozik — dokumentációt kérhet be, kivizsgálhat egy panaszt, korrekciót rendelhet el, vagy súlyosabb esetben a 99. cikk szerinti bírságot szabhat ki. A kijelölés határideje 2025. augusztus 2. volt. A rendelet nem ír elő egységes modellt: a tagállam rábízhatja a feladatot egyetlen új intézményre, megoszthatja azt a meglévő ágazati hatóságok között, vagy a két megközelítést kombinálhatja. Magyarország ezt a határidőt, sok más uniós tagállamhoz hasonlóan, nem tartotta.

Hol tart Magyarország a hatóságok kijelölésével

Amint a magyar kkv-knak szóló bevezető cikkünkben a MI-rendeletről írtuk, a végrehajtási szabályozás, amely pontosan meghatározná, ki tölti be Magyarországon a piacfelügyeleti és a bejelentő hatóság szerepét a 70. cikk értelmében, e cikk írásakor még nincs lezárva. A folyamatban lévő egyeztetésekben a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) valószínű jelöltként merül fel, tekintettel meglévő adatvédelmi felügyeleti szerepére és arra, hogy a kkv-k által használt MI-rendszerek túlnyomó többsége személyes adatokat kezel. Ezt a szerepet azonban jelenleg nem lehet véglegesnek vagy megerősítettnek tekinteni — a jogalkotási folyamat lezárultáig még változhat. Ha egy adott dátumra vagy konkrét döntéshez biztos választ igényelnek, érdemes közvetlenül a NAIH honlapján ellenőrizni az aktuális állást, nem csak erre a cikkre támaszkodni.

A NAIH biztos szerepe: a GDPR-hatáskör nem változik

Bárhogy is alakul végül a 70. cikk szerinti hatáskörmegosztás, egy dolog már ma is biztos. A NAIH marad Magyarország független adatvédelmi felügyeleti hatósága a GDPR — az általános adatvédelmi rendelet — alapján, és ezt a szerepet a MI-rendelet nem érinti. Mivel a magyar kkv-k által a gyakorlatban használt MI-rendszerek — toborzási szűrőeszközök, ügyfélszolgálati chatbotok, hitelképesség-értékelő vagy ügyfél-pontozó modellek — túlnyomó része személyes adatokat kezel, a NAIH már most is az a hatóság, amellyel egy vállalkozás nagy valószínűséggel elsőként találkozik, függetlenül attól, hogyan alakul végül a 70. cikk szerinti struktúra. Sok kkv számára a NAIH nem az egyetlen kapcsolattartó lesz, de gyakorlatilag mindig az egyik.

Ágazati szabályozók, amelyek csatlakozhatnak

Ha a cég szabályozott ágazatban működik, valószínű, hogy a NAIH mellett egy másik, már jól ismert felügyeleti szerv is érintett lesz — a meglévő ágazati mandátuma alapján, nem azért, mert újonnan létrehozott „MI-hatóságról” lenne szó:

• Pénzügyi szolgáltatások, hitelképesség-értékelés és algoritmikus kockázatelemzés: Magyar Nemzeti Bank (MNB), a meglévő pénzügyi felügyeleti hatásköre alapján.
• Egészségügy és orvostechnikai eszközök, beleértve a mesterséges intelligenciával támogatott diagnosztikát: az Országos Gyógyszerészeti és Élelmezés-egészségügyi Intézet (OGYÉI), a gyógyszerészeti és eszközfelügyeleti hatásköre alapján.
• Közlekedés és kapcsolódó infrastruktúra: a közlekedésért felelős szaktárca és háttérintézményei, a konkrét alkalmazási területtől függően.
• Munkavállalók MI-alapú megfigyelése és értékelése, például beosztástervezés vagy teljesítménymonitorozás: a munkaügyi felügyeleti hatáskörrel rendelkező kormányhivatali szervezet.
• Fogyasztóvédelem MI-alkalmazásoknál, marketingben, árazásban vagy online értékesítésben: a fogyasztóvédelmi hatáskörrel rendelkező hatóság.
• Termékbiztonság, magas kockázatú MI-komponenst tartalmazó gépek és berendezések esetén: a műszaki biztonsági és piacfelügyeleti hatáskörrel rendelkező szerv.
• Semmi ebből nem érinti a céget? Akkor a NAIH mint bejáratott adatvédelmi felügyeleti hatóság a legvalószínűbb kiindulópont.

Mit jelent ez a gyakorlatban most

Az, hogy a végleges felügyeleti struktúra még nincs lezárva, nem jelenti azt, hogy érdemes tétlenül várni. A MI-rendelet hatálybalépési szakaszai, kockázati szintjei és a 99. cikk szerinti szankciórendszer — amelyet a MI-rendeletről szóló bevezető cikkünkben részletesen bemutatunk — attól függetlenül alkalmazandók, hogy végül melyik konkrét hatóság veszi át formálisan a felügyeletet. Röviden: a tiltott gyakorlatokért akár 35 millió euró vagy a globális árbevétel 7%-a, a legtöbb magas kockázatú és egyéb kötelezettségszegésért akár 15 millió euró vagy 3%, a hatóságoknak adott téves tájékoztatásért pedig akár 7,5 millió euró vagy 1% szabható ki — kkv-k esetén a 99. cikk (6) bekezdése szerint mindig az alacsonyabb érték (a fix összeg vagy a százalék közül a kisebbik) az irányadó, nem a nagyvállalatokra vonatkozó magasabb. A részleteket lásd bevezető cikkünkben. A legtöbb kkv számára, amely MI-funkciókat inkább kész szoftver részeként vásárol, mintsem saját maga fejleszt, a végleges struktúra gyakorlati hatása valószínűleg arra korlátozódik, hogy pontosan hová kell küldeni a dokumentációt egy ellenőrzés esetén — magukat a kötelezettségeket ez nem változtatja meg.

A gyakorlatban ez azt jelenti, hogy a belső munkát — felmérni, hol fut MI a cégnél, besorolni a kockázati szint szerint, tisztázni a szolgáltatói és az alkalmazói szerepkör közötti különbséget — érdemes elvégezni attól függetlenül, hogy a magyar jogalkotás mikor zárja le véglegesen a felügyeleti struktúrát. Mire ez megtörténik, már csak a kész dokumentációt kell hozzárendelni a megfelelő hatósághoz, nem nulláról kezdeni egy konkrét ellenőrzés vagy panasz nyomása alatt.

Ellenőrző lista a tájékozódáshoz

• Kezel valamelyik MI-alkalmazásuk személyes adatot, közvetlenül vagy közvetve? Akkor a NAIH szinte biztosan releváns, függetlenül a 70. cikk szerinti végleges kijelöléstől.
• Szabályozott ágazatban működnek — pénzügy, egészségügy, közlekedés, munkavállalók felügyelete? Számítsanak arra, hogy az ágazati szabályozó is csatlakozik.
• Valamelyik alkalmazásuk a III. melléklet szerinti magas kockázatú listára esik, például toborzás, hitelképesség-értékelés vagy egészségügyi diagnosztika? Készüljenek szigorúbb felügyeletre, függetlenül attól, hogy melyik hatóság gyakorolja azt.
• Még mindig bizonytalanok a fenti kérdések után? A NAIH mint bejáratott magyar felügyeleti hatóság a legtermészetesebb kiindulópont.
• Ellenőrizték a hatósági kijelölés aktuális állását közvetlenül a NAIH honlapján, mielőtt konkrét döntést hoztak volna erre a cikkre alapozva?

Általános tájékoztatás, nem jogi tanácsadás

A fentiek általános, tájékoztató jellegű információk, nem a cég konkrét helyzetére szabott jogi tanácsadás. A hatóságok 70. cikk szerinti kijelölésének folyamata Magyarországon e cikk írásakor még nem zárult le, és a végleges struktúra, valamint a hatálybalépés pontos időpontja még változhat. Amikor a Komplya ilyen típusú tartalmat publikál, egyértelműen megkülönbözteti a jogilag ellenőrzött anyagot a még munkaanyag státuszú tartalomtól, hogy ezzel a különbséggel tudatosan tudjanak dolgozni.

A leggyorsabb út a „ki fog minket valójában ellenőrizni” bizonytalanságból egy konkrét válaszhoz az, ha végigveszik cégük MI-alkalmazásait egyenként. Töltsék ki a rövid kérdőívet a cégük MI-használatáról, és világos áttekintést kapnak arról, hol állnak valójában.