Az EU MI-rendelete hivatalosan alkalmazandó, de van egy bökkenő

2026 augusztusának elejétől az Európai Unió MI-rendelete a függőben lévő jogszabályból olyan joganyaggá vált, amelyet a vállalatoknak ténylegesen be kell tartaniuk. A TechGDPR legfrissebb adatvédelmi hírlevelében jelzi ezt a mérföldkövet, megjegyezve, hogy a rendelet alkalmazandóvá vált, miközben a magas kockázatú MI-rendszerekre vonatkozó szabályok átmenetileg kizárásra kerültek. Azok számára, akik figyelemmel kísérik, hogyan fonódik össze az MI-szabályozás az adatvédelemmel, ez figyelemre méltó pillanat: a jogszabály elvileg él, de az egyik legsúlyosabb fejezete várat magára.

Az MI-rendeletet kockázatalapú keretrendszerre tervezték. A rendszereket kategóriákba sorolják, a minimális kockázattól az elfogadhatatlan kockázatig, és a kötelezettségek ennek megfelelően növekednek. A magas kockázatú MI – gondoljunk a felvételi eljárásokban, hitelbírálatban, bűnüldözésben vagy orvosi diagnosztikában használt rendszerekre – mindig is a legnagyobb megfelelési terhet jelentette: megfelelőségértékeléseket, emberi felügyeleti követelményeket és részletes dokumentációt. Az, hogy ezeket a konkrét kötelezettségeket elhalasztják, miközben a tágabb jogszabály hatályba lép, sokat elárul arról, milyen nehéz volt a szabályozóknak és az iparágnak megegyezniük a legkeményebb rendelkezések végrehajtási ütemezéséről.

Miért szünetelnek a magas kockázatú MI-szabályok

A késedelem nem annak a jele, hogy a szabályozók enyhítettek volna az MI felügyeletével kapcsolatos álláspontjukon. Inkább azt a gyakorlati valóságot tükrözi, hogy egy ilyen összetett jogszabály bevezetése időbe telik. A szabványügyi testületeknek, a nemzeti szabályozóknak és az Európai Bizottságnak egyaránt több időre volt szüksége a magas kockázatú MI-szolgáltatóktól megkövetelt technikai előírások véglegesítéséhez. Ahelyett, hogy a vállalatokat olyan szabályok betartására kényszerítették volna, amelyek még nem voltak teljesen meghatározva, a magas kockázatú rendszerekhez kapcsolódó kötelezettségeket eltolták, míg a rendelet többi része, beleértve a tiltott gyakorlatokra és az MI-írástudásra vonatkozó rendelkezéseket is, a menetrend szerint haladt tovább.

Ez a szakaszos bevezetés különösen az adatvédelmi szakemberek számára fontos. Számos magas kockázatú MI-alkalmazási eset, mint a biometrikus azonosítás, az automatizált döntéshozatal a foglalkoztatásban vagy a hitelezésben, jelentős mennyiségű személyes adat feldolgozásával jár. Amikor e rendszerek megfelelési határideje csúszik, átmeneti rés keletkezik, ahol az MI-specifikus biztosítékok még nem kényszeríthetők ki, noha ugyanazon adatkezelési tevékenységekre a GDPR-kötelezettségek továbbra is teljes mértékben érvényben maradnak. A szervezetek nem kezelhetik a halasztást általános adatvédelmi felmentésként – csak az MI-rendelet magas kockázatú kategóriáira vonatkozó további követelményi rétege szünetel.

A GDPR-kapcsolat: a magánélet védelme továbbra is a képben

Az MI-rendelet megértésének egyik hasznos aspektusa, hogy nem helyettesíti a GDPR-t, hanem mellette működik. Minden olyan MI-rendszernek, amely személyes adatokat dolgoz fel – függetlenül attól, hogy magas kockázatúnak minősül-e vagy sem –, továbbra is meg kell felelnie a hatályos adatvédelmi jognak: jogszerű adatkezelési jogalap, átláthatóság az érintettek felé és biztosítékok a visszaélés ellen. Az MI-rendelet ehhez az alaphoz ágazatspecifikus és kockázatspecifikus szabályokat ad hozzá.

Ez a kétpályás megközelítés nem egyedülálló az EU-ban. Az adatvédelmi rendszerek világszerte hasonló kérdésekkel küzdenek arról, hogyan szabályozzák az új technológiát anélkül, hogy felügyeleti hiányosságok keletkeznének. Zimbabwe távközlési szabályozó hatósága például 2026 szeptemberétől kezdődően aktívan készül érvényesíteni saját adatvédelmi törvényét; erről a POTRAZ végrehajtási terveiről szóló beszámolónkban olvashat. Másutt olyan javaslatok, mint Dél-Afrika terve a mobil SIM-regisztráció digitális személyazonossághoz kapcsolására, hasonló aggodalmakat vetettek fel azzal kapcsolatban, hogyan használják fel a személyes adatokat a begyűjtésük után – ezt a témát a dél-afrikai SIM-azonosító vitáról szóló tudósításunkban jártuk körül. Különböző régiók, eltérő mechanizmusok, de ugyanaz az alapvető feszültség: a technológia gyorsabban fejlődik, mint az irányítására hivatott szabályok.

Mit jelent ez Önnek?

Ha Ön fogyasztó, a közvetlen gyakorlati hatás korlátozott. Az EU MI-rendeletének magas kockázatú rendelkezései mindig is az MI-rendszereket alkalmazó vállalkozásokra és közintézményekre irányultak, nem az egyéni felhasználókra. A szélesebb körű bevezetést azonban érdemes figyelemmel kísérni, mert jelzi, mennyire komolyan veszik a szabályozók az MI-alapú adatkezelést, és mennyi munka vár még ránk, mielőtt ezek a védelmek teljes mértékben kiépülnek.

Ha olyan vállalatnál dolgozik, amely MI-eszközöket fejleszt vagy alkalmaz EU-s felhasználók számára, a magas kockázatú kötelezettségek halasztása nem jelenti azt, hogy várhat a felkészüléssel. A szabályozók egyértelművé tették, hogy az elhalasztás a végrehajtás időzítéséről szól, nem az irányváltásról. A dokumentáció, a kockázatértékelések és az adatkezelési irányítás előkészítése most is fontos lesz, amikor a magas kockázatú határidők végül megérkeznek.

Főbb tanulságok

  • Az EU MI-rendelete 2026 augusztusában alkalmazandóvá vált, ám a magas kockázatú MI-rendszerekre vonatkozó kötelezettségeket átmenetileg kizárták, a véglegesített technikai szabványokra várva.
  • A GDPR-kötelezettségek teljes egészükben alkalmazandók maradnak, függetlenül az MI-rendelet szakaszos bevezetésétől, így az MI-rendszerekhez kapcsolódó adatkezelés továbbra is jogszerű jogalapot és átláthatóságot igényel.
  • Az EU-ban MI-t alkalmazó vállalkozásoknak a halasztást felkészülési ablakként, nem pedig megfelelési mentességként kell kezelniük, és tovább kell dolgozniuk a magas kockázatú követelmények teljesítése felé.
  • Érdemes figyelemmel kísérni, hogyan kezelik más joghatóságok – Zimbabwétől Dél-Afrikáig – az adatvédelmi végrehajtást, mert ez hasznos kontextust ad ahhoz, hogyan épül a személyes adatokkal kapcsolatos globális szabályozási lendület az MI-specifikus szabályokkal párhuzamosan.