MI-rendelet a magyar kkv-knak: mit jelent az autóipari beszállítóknak

A minőségbiztosítási csapat egyik tagja egy győri tier-2 beszállítónál egy hete telepít egy gépi látáson alapuló hibafelismerő rendszert a gyártósorra: a kamera azonnal kiszűri a hibás alkatrészeket, mielőtt azok továbbmennek a következő állomásra. A rendszer gyors, pontos, és a beszállító elégedett vele. Két héttel később egy auditor érkezik az Audi győri gyárától, és az ellenőrzőlistán egy új tétel szerepel: "MI-rendelet szerinti megfelelőség igazolása". A csapat tagjai egymásra néznek — senki nem tudja pontosan, mit jelent ez egy olyan beszállító számára, amely nem fejleszt mesterséges intelligenciát, csak megvásárol és használ egy kész rendszert.

Ez a helyzet nem kivétel, hanem egyre inkább szabály a magyar autóipari és elektronikai beszállítói láncban. Az Audi győri, a Mercedes kecskeméti és a BMW debreceni gyára körül több száz tier-2 és tier-3 beszállító dolgozik Győr-Moson-Sopron, Bács-Kiskun és Hajdú-Bihar megyében, és ezek közül egyre több épít be gépi látást, prediktív karbantartást vagy automatizált minőségellenőrzést a gyártási folyamatba. A nyugati anyavállalatok és megrendelők — köztük a német autóipari nagyvállalatok — pedig már most beépítik a beszállítói auditokba az MI-rendelet szerinti megfelelőség kérdését, függetlenül attól, hogy a magyar hatóságok mikor kezdik meg a tényleges ellenőrzéseket.

Mi az MI-rendelet, és mikor lép hatályba ténylegesen

A Regulation (EU) 2024/1689, közismert nevén MI-rendelet, uniós rendelet, nem irányelv — így közvetlenül alkalmazandó Magyarországon is, nincs szükség külön magyar törvényre ahhoz, hogy az alapvető kötelezettségek hatályba lépjenek. Ez eltér attól, amit a cégek a GDPR (általános adatvédelmi rendelet) kapcsán megszoktak, ahol a magyar Infotv. egészítette ki az uniós szabályokat; az MI-rendelet esetében a szöveget közvetlenül kell alkalmazni.

A legtöbb magyar beszállító nem MI-rendszer fejlesztőjeként (szolgáltatóként), hanem használóként (alkalmazóként, angolul deployer) érintett — vagyis megvásárol és üzembe helyez egy kész rendszert, amelyet más fejlesztett. Ez kevesebb, de nem nulla kötelezettséget jelent: az alkalmazónak a gyártó utasításai szerint kell használnia a rendszert, emberi felügyeletet kell biztosítania, és bizonyos kategóriáknál tájékoztatnia kell az érintetteket.

• 2025. február 2. — már hatályban vannak a tiltott MI-gyakorlatokra vonatkozó szabályok (pl. társadalmi pontozás, tudatalatti manipuláció).
• 2025. augusztus 2. — hatályba léptek az általános célú MI-modellekre vonatkozó kötelezettségek, és eddig kellett volna a tagállamoknak kijelölniük a felügyeleti hatóságokat.
• 2026. augusztus 2. — ez volt az eredeti hatálybalépési dátum a magas kockázatú MI-rendszerekre vonatkozó kötelezettségek nagy részére, de az úgynevezett Digital Omnibus csomag, amely 2026. július 27-én lépett hatályba, ezt a határidőt 2027. december 2-ára tolta ki.
• 2028. augusztus — az új, meghosszabbított határidő egyes, már szabályozott termékekbe (pl. gépek, orvostechnikai eszközök, játékok) beépített MI-rendszerekre — ez különösen releváns az autóipari gyártósorokon használt, biztonsági funkciót ellátó rendszerek esetében.

Ki felügyeli a végrehajtást Magyarországon

A GDPR esetében egyértelmű, melyik hatósághoz kell fordulni: a NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság). Az MI-rendelet 70. cikke szerint minden tagállamnak 2025. augusztus 2-ig ki kellett volna jelölnie legalább egy bejelentő hatóságot és legalább egy piacfelügyeleti hatóságot. E cikk írásakor nem állapítható meg megbízhatóan nyilvános forrásból, hogy Magyarország ezt a kijelölést véglegesítette-e — több más tagállamhoz hasonlóan előfordulhat, hogy a nemzeti végrehajtási jogszabály még készül. A NAIH, meglévő adatvédelmi szerepe miatt, kézenfekvő jelöltnek tűnik egy releváns szerepkörre, de ezt nem kezeljük megerősített tényként; érdemes közvetlenül a NAIH honlapján ellenőrizni az aktuális állást, mielőtt bármilyen döntést erre alapoznak.

Mennyibe kerül, ha elrontja: a 99. cikk szerinti szankciók

• Akár 35 millió EUR vagy a globális éves árbevétel 7%-a (a magasabb összeg) — a tiltott gyakorlatokért.
• Akár 15 millió EUR vagy a globális árbevétel 3%-a — a legtöbb egyéb kötelezettség megszegéséért, beleértve a magas kockázatú rendszerek szolgáltatóit és alkalmazóit is.
• Akár 7,5 millió EUR vagy a globális árbevétel 1%-a — a hatóságoknak adott téves vagy félrevezető tájékoztatásért.

A legtöbb magyar beszállító számára a gyakorlatban nem a maximális bírság a legfontosabb kockázat, hanem az, hogy a nyugati megrendelők — az Audi, a Mercedes, a BMW és beszállítói láncuk további szereplői — már most megfelelőségi igazolást kérnek szerződésekben és beszállítói auditokon, jóval azelőtt, hogy bármelyik hatóság kiszabná az első bírságot.

Mit jelent a magas kockázat egy beszállító számára

A rendelet négy kockázati kategóriát különböztet meg: tiltott (pl. társadalmi pontozás), magas kockázatú (a III. mellékletben felsorolt esetek, köztük a munkaerő-felvétel és -kiválasztás, a dolgozói teljesítményértékelés, valamint azok a rendszerek, amelyek biztonsági komponensként épülnek be már szabályozott termékekbe — például egy gyártósori robot vagy gép biztonsági funkcióját vezérlő MI-modul a gépekre vonatkozó szabályozás hatálya alatt), korlátozott kockázatú (átláthatósági kötelezettségek, például tájékoztatás arról, hogy a felhasználó chatbottal beszél vagy MI generálta tartalmat lát) és minimális kockázatú (a mindennapi eszközök többsége, pl. helyesírás-ellenőrzők, spamszűrők, sok prediktív karbantartási alkalmazás — ha nem biztonságkritikus). A gyártósori hibafelismerő és minőségellenőrző rendszerek besorolása attól függ, hogy önmagukban csak minőségi döntést hoznak, vagy egy szabályozott gép biztonsági komponenseként működnek — ez eseti vizsgálatot igényel.

Mit érdemes ellenőrizni már most a gyakorlatban

• Készítsen listát minden MI-alapú eszközről a cégnél, beleértve a már használt szoftverekbe (ERP, minőségirányítási rendszer, HR-szoftver) rejtve beépülőket is.
• Minden eszköznél állapítsa meg, hogy szolgáltatóként vagy csak alkalmazóként (deployerként) érintett-e.
• Vizsgálja meg, hogy bármelyik a III. melléklet kategóriáiba tartozik-e (felvétel, teljesítményértékelés), vagy biztonsági komponensként működik-e szabályozott gépben.
• Nézze meg, milyen megfelelőségi tájékoztatást ad már most az eszköz szállítója az MI-rendelettel kapcsolatban.
• Jegyezze fel, hol kapcsolódik össze a személyes adatok kezelése az MI-használattal — itt találkozik az MI-rendelet a GDPR-ral.
• Ellenőrizze, hogy az OEM-megrendelők (Audi, Mercedes, BMW) beszállítói szerződései és auditsablonjai tartalmaznak-e már MI-rendelet szerinti megfelelőségi záradékot.

A fenti információk általános tájékoztató jellegűek, és nem minősülnek jogi tanácsadásnak; minden cég helyzete a konkrét használt rendszerektől és a szállítói, illetve megrendelői szerződésektől függ. A Komplya platformján egyértelműen elkülönítjük a szakértők által ellenőrzött tartalmat a még kidolgozás alatt álló (draft) anyagoktól, hogy mindig lássa, mire támaszkodhat biztosan, és mi van még véglegesítés alatt.

A következő lépés: tiszta kép arról, mit használ már most

A legegyszerűbb kiindulópont nem egy teljes körű audit, hanem egy őszinte leltár azokról az eszközökről, amelyeket a cég már használ. Töltse ki rövid kérdőívünket a vállalatában használt MI-eszközökről — pár percet vesz igénybe, és a válaszok alapján megmutatja, mely eszközök eshetnek az MI-rendelet hatálya alá, és mit érdemes elsőként ellenőrizni, mielőtt a következő beszállítói audit erről kérdez.