A mesterséges intelligencia térnyerése a munkaviszonyban mára nyilvánvaló. A szabályozási környezetben azonban nem könnyű kiigazodni. A mesterségesintelligencia-rendszerek telepítőire és alkalmazóira számos kötelezettséget telepít az MI rendelet.[1] A munkáltatók szemszögéből mind a saját munkavállalóikkal kapcsolatban, mind a tevékenységük során más érintettekkel kapcsolatban vizsgálandó különös gonddal az a követelményrendszer, amely a GDPR[2] követelményrendszere mellett immár az MI rendelet követelményeinek való megfelelést is elvárja. Azzal már szembesülhettek a munkáltatók, a köz- és a versenyszféra szereplői, milyen súlyos bírságot szab ki a hatóság a személyes adatok kezelésére vonatkozó szabályok be nem tartása esetén, így az MI rendelet által szabott kötelezettségek megértése és teljesítése is jól felfogott érdekük.
Az egyik ilyen kötelezettség, az alapjogi – az MI rendelet szóhasználata szerinti – alapvetőjogi hatásvizsgálat. Ennek teljesítéséhez szükséges feltételek bemutatása megkönnyítheti a későbbiekben a megvalósítását.
- A GDPR adta keret
1.1. Az adatvédelmi hatásvizsgálat
1.2. A NAIH feketelista
1.3. Egy időtálló, nagy jelentőségű NAIH-határozat - Az MI rendelet
2.1. Célkitűzések, az MI rendelet és a GDPR egymáshoz való viszonya
2.2. Az MI rendelet hatálya, a mesterséges intelligencia fogalma
2.3. A nagy kockázatú MI-rendszerek
2.4. Munkahelyi tiltott MI-rendszerek
2.5. Az alkalmazók és telepítők kötelezettségei a nagy kockázatú MI-rendszerek tekintetében - Az alapvetőjogi hatásvizsgálat az MI rendelet 27. cikke alapján
3.1. Kik kötelesek alapvetőjogi hatásvizsgálatot végezni?
3.2. Az alapvetőjogi hatásvizsgálat – az MI rendelet 27. cikke
3.3. A munkáltatók egyéb kötelezettségei, amennyiben alapvetőjogi hatásvizsgálatot nem kell végezniük
3.4. Szankciórendszer, jogkövetkezmények, hatósági hatáskörök - Összegzés
1. A GDPR adta keret
A technológiasemleges GDPR szabályait a köz- és magánszféra szereplőinek az adatkezelésük során szigorúan be kell tartaniuk. Ellenkező esetben a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: NAIH) eljárása komoly bírsággal végződhet.
Az adatkezelés céljához igazítottan a megfelelő jogcím alapján az adatkezelő az adatkezelésre irányuló folyamat megtervezésétől annak befejezéséig transzparensen, a GDPR elszámoltathatóságra vonatkozó elvének betartásával kell, hogy eljárjon. Bármely, az adatkezelés során kezelt személyes adat, amely természetes személyekre vonatkozik, bármely adatkezelés vizsgálat tárgya lehet.
Az elszámoltathatóság a beépített és alapértelmezett adatvédelem GDPR-beli szabályával együtt szemlélve egy megbízható, biztonságos, zárt folyamatot feltételez, amely biztonság megteremtése és fenntartása érdekében az adatkezelőnek az adatkezelés megkezdése előtt és az adatkezelés folyamata alatt is folyamatosan tennie kell.
1.1. Az adatvédelmi hatásvizsgálat
Az adatvédelmi hatásvizsgálat [Data Protection Impact Assessment (DPIA)] végzési kötelezettséget a GDPR a 35. cikkében írja elő, a magas kockázat esetén – különösen új technológiák alkalmazásakor.
„Az adatvédelmi hatásvizsgálatot lefolytató adatkezelőnek […] az eljárás során gyakorlatilag bele kell helyezkednie az érintettek (adatalanyok) helyzetébe, úgy kell eljárnia, mintha az adatkezelést az ő szemszögükből vizsgálná, és nem az adatkezelést lefolytató szervezet üzleti gazdasági vagy más céljait kell elsősorban szem előtt tartania.”[3] A folyamat során a felügyeleti hatóság – a NAIH – közreműködését kérheti az adatkezelő, amellyel konzultációt folytat: a NAIH írásban tanácsot ad, vizsgálja, hogy az esetlegesen fennmaradó kockázatok mérséklésében tud-e segítséget nyújtani, és gyakorolja a GDPR 58. cikkében említett hatásköreit, a figyelmeztetést, az utasítást és a tiltást.
A GDPR 35. cikkében megjelölt három esetkör, amikor az adatvédelmi hatásvizsgálat elvégzése különösen kiemelt kötelezettség, az MI rendelet szabályai kapcsán is kiemelkedő jelentőségű lesz:
- a természetes személyekre vonatkozó egyes személyes jellemzők módszeres és kiterjedt értékelése, amely automatizált adatkezelésen – ideértve a profilalkotást is – alapul, és amelyre a természetes személy tekintetében joghatással bíró vagy a természetes személyt hasonlóképpen jelentős mértékben érintő döntések épülnek,
- a GDPR 9. cikk (1) bekezdésében említett személyes adatok különleges kategóriái vagy a GDPR 10. cikkében említett, a büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatok nagy számban történő kezelése, valamint
- a nyilvános helyek nagymértékű módszeres megfigyelése.
Az Adatvédelmi Munkacsoport WP 248 számú véleményében kilenc olyan esetet sorol fel, amelyek szinte minden esetben valószínűsíthetően magas kockázatú adatkezelést eredményeznek. Ezek például az értékelési vagy pontozási rendszer használata egy munkavállaló-érintett munkahelyi teljesítményére, a munkaerő-toborzás, az álláshirdetésre beérkező önéletrajzok minőségének, így a pályázók személyének rangsorolása.[4]
A munkáltatóknak, a gazdálkodó szervezeteknek, a közszféra szereplőinek tehát már a GDPR hatálybalépésének idejére el kellett készíteniük ezeket az adatvédelmi hatásvizsgálatokat célirányosan az adott adatkezelések vonatkozásában.
1.2. A NAIH feketelista
A felügyeleti hatóságokra a GDPR által hárított kötelezettség az adatkezelési műveletek típusainak jegyzékére vonatkozó lista nyilvánosságra hozatala. Ez a magyar jogszabályi környezetben a NAIH kötelezettsége, melynek a hatóság a hatásvizsgálati lista közzétételével tett eleget.[5] Az MI rendelet alapvetőjogi hatásvizsgálatához érdemes az alábbi pontokat kiemelni:
- a pontozás: az adatkezelés célja, hogy az érintett bizonyos tulajdonságait felmérje, és annak eredménye kihatással van az érintett részére nyújtott, illetve nyújtandó szolgáltatás létrejöttére vagy minőségére;
- a profilozás: az adatkezelés célja személyes adatok nagyszámú, illetve módszeres értékelése révén végzett profilozás, különösen ha az az érintett munkahelyi teljesítményére, gazdasági helyzetére, egészségi állapotára, személyes preferenciáira vagy érdeklődési körére, megbízhatóságra vagy viselkedésre, tartózkodási helyére vagy mozgására vonatkozó jellemzők alapján történik;
- a munkavállaló munkájának megfigyelése: az adatkezelés célja a munkavállaló munkájának megfigyelése során a munkavállaló személyes adatainak nagyszámú és módszeres feldolgozása, illetve értékelése. Például GPS megfigyelő autóban történő elhelyezése, kamerás megfigyelés lopás vagy csalás elleni fellépés céljából, és
- külön kiemelten az új technológiai megoldások használata az adatkezelés során. Ideértve az érzékelővel ellátott eszközök által előállított adatok interneten vagy más csatornán keresztül történő nagyszámú kezelését (például okos televízió, okos háztartási eszközök, okos játékok stb.), és amelyek adatokat szolgáltatnak a természetes személy fizetőképességére, egészségére, személyes érdeklődési körére, megbízhatóságára vagy viselkedésére, tartózkodási helyére, és amelyek alapján profilalkotás történik.
Új a technológia akkor és abban az értelemben, amely a technika és a technológia fejlettsége alapján modern, újonnan bevezetésre kerülő, fejlesztés eredménye.
Ebből a kigyűjtésből is látszik, hogy a munkaviszony eleve is kiemelt célterülete az adatkezelésnek és az ott felmerülő kockázatok helyes kezelésének, amelyhez a GDPR adatvédelmi hatásvizsgálat végzését követeli meg – a fenti pontok esetében különösen.
A természetes személyek jogai és szabadságai tekintetében az Európai Unió Alapjogi Chartá-ja (a továbbiakban: Alapjogi Charta) szolgál kiindulópontként. Az Alapjogi Charta 8. cikkében találjuk a személyes adatok védelmének megjelenítését. Ahogy azt később látni fogjuk, az Alapjogi Chartában nevesített jogoknak és szabadságoknak az MI rendelet vonatkozásában kiemelt jelentősége lesz. Erre a későbbiekben térünk ki részletesebben.
1.3. Egy időtálló, nagy jelentőségű NAIH-határozat
A NAIH 2022. február 8-i NAIH-85-3/2022. számú határozata azért kiemelkedő jelentőségű a téma szempontjából, mert az MI rendelet megszületése előtt is olyan előremutató megállapításokat tett, amelyek annak alkalmazandóvá válása után is érvényesek és iránymutatóak.
Egy kereskedelmi bank 2017 óta évente több mint egymillió, a bank ügyfélszolgálatos munkatársai és a bank ügyfelei közötti telefonbeszélgetés hanganyagát elemezte mesterséges intelligencia segítségével, amely hangelemzés mind az ügyfelek, mind a telefonbeszélgetés másik oldalán levő munkavállalók érzelmeit elemezte. Az ügyfelek részére azonban nem adott kellő mélységű tájékoztatást e magatartása vonatkozásában, és az eljárás adatai szerint a saját munkavállalóinak sem. A hangelemző alkalmazás célja a bank közel száznyolcvan telefonos munkatársa munkájának eredményesebbé tétele, munkavállalóinak egyéni fejlesztése, a folyamatok hatékonyságának javítása és az ügyfélélmény növelése volt. Az alkalmazás támogatta a bank munkatársankénti vizsgálatát, amely a teljesítményalapú bérezés rendszerében segítette a munkavállalót, hogy az egyéni hívás eredményességét javítsa, hívásainak időigényét csökkentse. A rendszer képes volt a telefonos ügyfélszolgálati munkavállalók teljesítményének automatikus értékelése körében arra is, hogy mérje, mennyi idő telik el egy híváson belül a kérdés feltevése és az érdemi válaszadás között a dolgozó hallgatásával, amiből egyértelmű következtetést lehet levonni a munkavállaló tudásszintjére, felkészültségére vonatkozóan.
A NAIH a bank és az ügyfelek vonatkozásában a tájékoztatási kötelezettség, valamint az alapelvek megsértését állapította meg. A nagy részben automatizált adatkezelés, az új technológia használata, az általa felvetett társadalmi kérdések a digitális kor kihívásaira és az ezekre adott adatkezelési válaszok elégtelensége az ügyet az egyedi értékelésen túl elvi szinten is jelentőssé tették. Az adatkezelési tevékenység új és kockázatos technológia alkalmazásával történt a banki szektorban, amely különösen szenzitív terület.
A bank adatvédelmi tisztviselője maga is kockázatosnak minősítette ezt a fajta adatkezelést, a NAIH pedig azt is megállapította, hogy az adatkezelő az adatvédelmi hatásvizsgálat elvégzése kötelezettségének sem tett eleget. A hatóság ugyanis a tapasztaltak alapján ezt a fajta adatkezelést már az adatvédelmi hatásvizsgálattal kapcsolatos konzultáció idején is megtiltotta volna. Az adatkezelő által végzett érdekmérlegelés nem célonként külön történt, hanem lényegében minden cél összemosódott egy adatkezelésben. Az arányosságot az érintetti oldalt tekintve ténylegesen nem vizsgálta, és bagatellizálta a jelentős alapjogi kockázatokat. A munkavállalók vonatkozásában nem volt biztosított a függelmi viszonyban levő, kiszolgáltatottabb munkavállalók jogainak biztosítása. Eleve a tájékoztatás, illetve az adatkezelés ezen módja, a nem bizonyíthatóan hatékony és az önrendelkezési jogot mélyen és súlyosan korlátozó érzelemelemzés a munkavállalók esetén sem volt alátámasztható észszerű módon, márpedig itt a GDPR fogalomhasználata szerint a munkavállalók tekintetében profilalkotás is történt.
A témánk szempontjából ugyancsak lényeges, de az eljárás során nem volt perdöntő körülmény, hogy a bank vitatta, hogy az alkalmazott szoftver, amely a hangelemzést végezte, valójában mesterséges intelligencia lett volna-e, a NAIH azonban megállapította, hogy igen. Ilyen módon pedig vitathatatlanul új technológia. Az adatvédelmi bírság mértékének meghatározásakor enyhítő körülményként vette figyelembe, hogy nem közvetlen döntéshozatal történt, a szoftverrel a mesterséges intelligencia eredményét használják fel, amit emberi felülvizsgálattal korrigáltak. Súlyosbító körülményként értékelte azonban a GDPR több rendelkezésének, illetve a GDPR alapelveinek megsértését is, valamint azt, hogy a kérdéses gyakorlatot a bank 2017-től 2021-ig folytatta. A bank egy magas kockázatúnak tekinthető új technológiát alkalmazott kellő körültekintés nélkül.
A NAIH az eljárását lezáró határozatában kétszázötvenmillió forint adatvédelmi bírság megfizetésére kötelezte a bankot, valamint arra utasította, hogy módosítsa az adatkezelési gyakorlatát, hogy az megfeleljen az általános adatvédelmi rendeletnek, azaz a hangelemzés során az érzelmeket ne elemezze, és az adatkezeléssel kapcsolatban az érintetti jogokat megfelelően biztosítsa. A munkavállalóival kapcsolatban az adatkezelésnek a NAIH előírása szerint a velük kapcsolatos célok eléréséhez szükségesre kell korlátozódnia, valamint ennek megfelelő tájékoztatást kell nyújtani részükre az értékelési szempontok és a következmény megjelölésével. A munkavállalókkal kapcsolatos – eltérő célú – adatkezeléssel kapcsolatos külön érdekmérlegelés ki kell térjen a függelmi viszonyból adódó kiszolgáltatott helyzetre és megfelelő belső garanciákat kell meghatározzon erre tekintettel.
A fentebb ismertetett határozat szinte bizonyosan hasonló megállapításokra vezetett volna az MI rendelet alkalmazandóvá válása után is. A NAIH-nak különösen nehéz dolga volt amiatt is, hogy annak meghozatalakor nem állt rendelkezésre egzakt fogalom a mesterséges intelligencia tekintetében. A munkáltatók, gazdálkodó szervezetek számára a NAIH-határozatban megfogalmazottak „evidenciában tartása” a jövőre nézve is erősen ajánlott lehet.
2. Az MI rendelet
Ahogy az a későbbiekben látható lesz, jó pár alapvető kérdés merül fel az MI rendelet vonatkozásában. Alapvető jelentőségű lesz, hogy a mesterségesintelligencia-rendszereket alkalmazók a rendelet hatálya alá tartoznak-e, mi egyáltalán mesterséges intelligencia, magas kockázatú-e az adott mesterségesintelligencia-rendszer, és ha igen, milyen kötelezettségek terhelik annak telepítőit, alkalmazóit. A kötelezettségek között megjelölt alapvetőjogi hatásvizsgálat-végzési kötelezettség pedig minden telepítőre vonatkozik-e, aki magas kockázatú mesterséges intelligenciát használ, vagy csak egy körülhatárolt körre, és hogy ez a körülhatárolás elég konkrét-e? Kiváltja-e az adatvédelmi hatásvizsgálat az MI rendeletbeli alapvetőjogi hatásvizsgálat végzésének kötelezettségét vagy kiegészíti azt? Mik ezek az alapvető jogok és hogyan kell a vizsgálatot elkészíteni? Ha pedig a kötelezettségek teljesítése elmarad vagy az nem megfelelő, milyen hatóság milyen szankciót fog alkalmazni?
A fenti kérdések megválaszolása a munkáltatókra fókuszál, illetve az MI rendelet rendelkezéseinek különböző időpontoktól fennálló alkalmazására, amely külön is megjelölésre kerül.
2.1. Célkitűzések, az MI rendelet és a GDPR egymáshoz való viszonya
Célszerűnek tűnik kiemelni, hogy az MI rendelet deklarált célja az MI-rendszerek uniós értékekkel összhangban történő, Európai Unión (a továbbiakban: EU) belüli fejlesztésére, forgalomba hozatalára, üzembe helyezésére és használatára vonatkozóan, hogy előmozdítsa az emberközpontú és megbízható mesterséges intelligencia elterjedését. Az MI rendelet (1) preambulumbekezdése szerint ezen túlmenően a mesterséges intelligencián alapuló áruk és szolgáltatások határon átnyúló szabad mozgását is lehetővé kívánja tenni, megakadályozva a tagállamokat, hogy azok korlátozásokat vezessenek be az MI-rendszerek fejlesztésére, piaci értékesítésére és használatára vonatkozóan.
Az EU az MI rendelet kapcsán – hasonlóan a GDPR-hoz – azért választotta a rendeleti formát, hogy az eltérő nemzeti szabályok alkalmazását és a belső piac széttagoltságát megakadályozza. A rendelet emellett kockázatalapú megközelítést alkalmaz, nevesítve a tiltott MI-rendszereket.
Az Európai Adatvédelmi Testület nyilatkozata kiemeli, hogy „[e]bből a szempontból az MI rendeletet és az uniós adatvédelmi jogszabályokat […] elvben kiegészítő és egymást kölcsönösen erősítő eszközökként kell figyelembe venni. […] Fontos továbbá hangsúlyozni, hogy az uniós adatvédelmi jog teljes mértékben alkalmazandó az MI-rendszerek életciklusában végzett személyesadat-kezelésre, amint azt az MI-rendelet 2. cikkének (7) bekezdése kifejezetten elismeri […]. Valójában a személyes adatok (amelyek gyakran szorosan összefonódnak a nem személyes adatokkal) kezelése az MI-rendszerek – és különösen az alapvető jogokra nézve nagy kockázatot jelentő MI rendszerek – életciklusa során egyértelműen az MI-rendelet 3. cikkének (1) bekezdésében foglalt MI fogalommeghatározás hatálya alá tartozó különböző technológiák központi eleme (és a jövőben is az lesz).”[6]
2.2. Az MI rendelet hatálya, a mesterséges intelligencia fogalma
Az MI rendelet 2. cikk (1) bekezdése alapján az MI rendelet alkalmazandó lesz azon munkáltatókra, alkalmazókra, amelyek letelepedési helye az EU-n belül van, és az MI-rendszerek azon szolgáltatóira és alkalmazóira, amelyek letelepedési vagy tartózkodási helye harmadik országban van, de az MI-rendszer által alkalmazott kimenet használatára az EU-ban kerül sor. Így a magyarországi köz- és versenyszféra munkáltatói vonatkozásában az MI rendelet alkalmazandó lesz.
A fentebb ismertetett jogeset példája is mutatja, hogy esetenként az is vitás lehet, hogy a munkáltató által használt szoftver, technikai megoldás egyáltalán mesterséges intelligencia-e. Ha ugyanis valamely technikai megoldás nem valósítja meg az MI rendelet fogalommeghatározása alapján körülírt mesterségesintelligencia-rendszer kritériumait, akkor az MI rendeletnek a rendelkezései nem fogják kötni a munkáltatót, a természetes személyek adatainak kezelése kapcsán rájuk csak a GDPR rendelkezései lesznek alkalmazandóak, ilyen módon esetleges nagy kockázatú adatkezelés esetén csak adatvédelmi hatásvizsgálat elvégzésére lesznek kötelesek.
Ha ennek éppen az ellenkezője történik, nevezetesen az MI-rendszerek alkalmazói például a gyártási folyamatuk optimalizálása érdekében használnak mesterségesintelligencia-megoldásokat, amelyek nagy kockázatúnak tekintendőek a rendelet fogalomrendszere alapján, természetes személyek személyes adatait viszont ebben a körben nem kezelik, az MI rendelet lesz releváns, a GDPR nem. Ha az alkalmazott megoldás pedig ugyan mesterséges intelligencia, de nem nagy kockázatú, természetes személyek adatainak kezelésére pedig egyáltalán nem kerül sor, sem az MI rendelet, sem a GDPR szabályai nem fogják kötni a technológiai megoldás alkalmazóit.
Az MI-rendszer és az általános célú MI-modell fogalmának az MI rendelet 3. cikkében található fogalommeghatározások között különösen nagy jelentősége lesz, és azok kiindulópontként szolgálnak az alapvetőjogi hatásvizsgálatnál.
Az MI rendelet (12) preambulumbekezdése a gépi tanulási megközelítés jelentőségét emeli ki, amelynél az MI-rendszerek adatokból tanulják meg, miként lehet elérni bizonyos célkitűzéseket, valamint a logikai és tudásalapú megközelítésekét, amelyek kódolt ismeretek vagy a megoldandó feladat szimbolikus ábrázolása alapján következtetnek. Valamely MI-rendszer következtetési kapacitása meghaladja az alapvető adatkezelés körét azáltal, hogy lehetővé teszi a tanulást, az érvelést vagy a modellezést.
A Belga Adatvédelmi Hatóság kiadott ismertetője a hétköznapi MI-rendszerek, azok előfordulása és az alapvetőjogi hatásvizsgálat kapcsán igyekszik segítséget nyújtani az MI-rendszerek telepítői, alkalmazói számára. A hétköznapinak tekintett MI-rendszerek is vonhatnak maguk után alapvetőjogi hatásvizsgálatot, ha akár az alkalmazott terület minősülhet nagy kockázatúnak az MI rendelet III. számú mellékletében felsoroltak szerint vagy az MI rendelet 6. cikke szerint nagy kockázatú MI-rendszernek tekintendők a használt megoldások.
Példálózó felsorolása szerint ilyen hétköznapi MI-rendszerek a spam filterek az e-mail rendszerben, a streamingszolgáltatások ajánló mechanizmusa, a virtuális asszisztens vagy az MI alapú diagnosztizálás.[7]
2.3. A nagy kockázatú MI-rendszerek
Az MI rendelet 6. cikke a nagy kockázatú MI-rendszerek technikai paramétereit határozza meg, illetve utal a III. mellékletre, melyben egyéb nagy kockázatú MI-rendszereket nevesítenek. Mindig nagy kockázatúnak kell tekinteni, ha az MI-rendszer természetes személyekre vonatkozó profilalkotást végez.
Az MI rendelet III. melléklete szerint a foglalkoztatás, a munkavállalók irányítása és az önfoglalkoztatáshoz való hozzáférés is a nagy kockázatú MI-rendszerek között említendő az alábbi részletezéssel.
Foglalkoztatás, a munkavállalók irányítása és az önfoglalkoztatáshoz való hozzáférés körébe tartoznak:
a) a természetes személyek felvételéhez vagy kiválasztásához való használatra szánt MI-rendszerek, különösen célzott álláshirdetések elhelyezése, a jelentkezések elemzése és szűrése, valamint a jelöltek értékelése céljából,
b) a munkával kapcsolatos jogviszonyok feltételeit, az előléptetést vagy a munkával kapcsolatos szerződéses jogviszonyok megszüntetését érintő döntések meghozatalához, egyéni magatartáson vagy személyes vonásokon vagy jellemzőkön alapuló feladatkiosztáshoz, vagy az ilyen jogviszonyokban álló személyek teljesítményének és magatartásának nyomon követéséhez és értékeléséhez való használatra szánt MI-rendszerek.
Az alapvetőjogi hatásvizsgálat-végzési kötelezettség szempontjából ezeknek a kikötéseknek döntő jelentőségük lesz, ahogy az a későbbiekben kifejtésre kerül.
A „munkaviszony” fogalma szélesebben értendő, így az magában foglalja a platformmunkásokat, önfoglalkoztató tanácsadókat és a munkaerő-kölcsönző ügynökségeken keresztül biztosított személyzetet. Ez jelzi az EU azon szándékát, hogy az alapvető jogok védelmét széles körben alkalmazza a munkaerőpiac további, adott esetben fejlődő, periférián elhelyezkedő területein is. Mindez kiterjeszti a munkaadó „megfelelőségi terhét” a hagyományos munkavállalókon túlra, az egyének szélesebb körére, akiknek megélhetését és jogait jelentősen befolyásolhatják az MI-rendszerek. Ez azt jelenti, hogy a munkaadóknak nemcsak közvetlen munkaerejük, hanem kiterjesztett munkaerejük tekintetében is alapos átvilágítást kell végezniük az MI alkalmazásakor, ami valamennyi emberi munkaerőt érintő MI-alkalmazás átfogó felülvizsgálatát teszi szükségessé.[8]
2.4. Munkahelyi tiltott MI-rendszerek
Ugyan a tiltott MI-gyakorlatok és MI-rendszerek értelemszerűen nem lehetnek tárgyai az MI rendelet által adott szabályozásnak, célszerű lehet tudatosítani, hogy mik azok a tiltott MI-gyakorlatok, amelyek, ha elő is fordultak a munkáltatóknál, azokat haladéktalanul le kell állítaniuk, törölniük kell.
a) Érzelemfelismerés a munkahelyen: a munkáltatók nem használhatnak MI-t az alkalmazottak, munkavállalók érzelmeinek elemzésére webkamerákon, hangelemzésen vagy más eszközökön keresztül. Szűk kivételek léteznek orvosi vagy biztonsági okokból, de ezeknek szigorúan szükségesnek és korlátozott terjedelműek kell lenniük, illetve azok képzési célokra engedélyezettek lehetnek, amennyiben az eredményeket nem osztják meg a munkáltatóval.[9]Még ezen túlmenően is vannak azonban „olyan kivételes helyzetek, melyek esetében a munkahelyi érzelemfelismerő rendszerek használata mégsem válik tiltottá. Egy biztonsági vagy orvosi okból telepített, vagy forgalomba hozott munkahelyi környezetben használt [MI], mely [például] balesetek megelőzése érdekében felismeri a fáradtságot tehergépkocsi-vezetők esetében[,] olyan kivétel, melynek használata az [MI rendelet] alapján is engedélyezett. Fontos, hogy bár az ilyen rendszerek használata nem tiltott, de »nagy kockázatú« [MI-rendszerek] kategóriájába tartoznak, így a »nagy kockázatú« mesterséges intelligenciára vonatkozó szabályok irányadóak rájuk.”[10]
b) MI alapú szociális pontozás: az MI nem értékelheti az alkalmazottakat vagy az álláskeresőket olyan irreleváns személyes jellemzők alapján, mint a szocioökonómiai státusz, azonban a jogszerű értékelési gyakorlatok meghatározott célokra általában nem tiltottak.
c) Egyes biometrikus kategorizációs rendszerek: tiltottak azok az MI-rendszerek, amelyek biometrikus adatok alapján kategorizálják az egyéneket olyan jellemzők alapján, mint a rassz, politikai vélemény vagy szakszervezeti tagság. Ez megakadályozza, hogy a munkáltatók MI-t használjanak védett jellemzők feltételezésére, ami diszkriminációhoz vezetne. Ugyanakkor a jogosulatlan hozzáférés megakadályozása vagyonvédelem esetén, az élet, testi épség veszélyeztetése, illetve a törvényben védett jelentős érdek sérelme lehetővé teheti bizonyos biometrikus rendszerek használatát.
d) Sötét minta MI: olyan MI-rendszer, amelyet arra terveztek, hogy manipulálja a munkavállalót olyan cselekedetekre, amelyeket egyébként nem tennének meg. Ezek szintén tiltottak.[11]
Az MI rendelet eltérő időponttól alkalmazandó rendelkezései közül a tiltott MI-rendszerekre vonatkozó rendelkezések 2025. február 2-től alkalmazandóak. A rendelkezések be nem tartása igen komoly bírság kirovását vonhatja maga után, ezért, ha a munkáltatók erre mind ez ideig nem fordítottak kellő gondot, jól felfogott érdekükben mihamarabb intézkedéseket kell hozniuk azokkal összefüggésben.
2.5. Az alkalmazók és telepítők kötelezettségei a nagy kockázatú MI-rendszerek tekintetében
Az MI-rendszerek alkalmazóinak kötelezettségeit megelőzik a MI-rendszerek szolgáltatóinak és forgalmazóinak kötelezettségei. Az általános kötelezettség, a megfelelőségértékelés elvégzése a szolgáltatókat terheli. A szolgáltatók alatt az MI rendelet a forgalmazót, az importőrt és egyéb harmadik felet is ért a 25. cikk értelmében. Az ő kötelezettségük a nagy kockázatú MI-rendszerek magas szintű megbízhatóságának biztosítása érdekében ezeket a rendszereket forgalomba hozataluk vagy üzembe helyezésük előtt megfelelőségértékelésnek alávetni.
A megfelelőségértékelést a megfelelőségértékelő szervezetek végzik, amelyek ellenőrzik a nagy kockázatú MI-rendszerek megfelelőségét. Az MI rendelet III. mellékletében felsorolt valamely, nagy kockázatú MI-rendszer forgalomba hozatala vagy üzembe helyezése előtt a szolgáltatónak saját magát és a rendszerét is regisztrálnia kell az MI rendelet 71. cikkben említett uniós adatbázisban. A nagy kockázatú MI-rendszereknek CE tanúsítvánnyal is kell rendelkezniük.
Az alapvetőjogi hatásvizsgálat felé vezető úton az MI rendelet többrétegű hatásvizsgálati struktúrájában a 9. cikk e kockázatkezelési rendszer szabályait határozza meg.
Ezen kockázatkezelési rendszert létre kell hozni, be kell vezetni, dokumentálni kell és fenntartani azt. Az ismert, valamint az észszerűen előre látható kockázatokat, amelyek a nagy kockázatú MI-rendszer rendeltetésszerű használata esetén az egészségre, a biztonságra és az alapvető jogokra jelenthetnek, azonosítani és elemezni kell. Ezeket a felmerülő kockázatokat becsülni és értékelni kell, a forgalomba hozatal utáni nyomon követési rendszerből gyűjtött adatok elemzése alapján egyéb, esetlegesen felmerülő kockázatokkal együtt. A beazonosított kockázatok kezelésére megfelelő és célzott kockázatkezelési intézkedéseket kell elfogadni.[12]
3. Az alapvetőjogi hatásvizsgálat az MI rendelet 27. cikke alapján
Hasonlóan a GDPR adatvédelmi hatásvizsgálatához, az MI rendelet alapvetőjogi hatásvizsgálata [Fundamental Rights Impact Assessment (FRIA)] is egy ex ante megközelítésű jogintézmény. Mint ahogy az adatvédelmi hatásvizsgálatot is az adatkezelés megkezdése előtt kell elvégezni, az alapvetőjogi hatásvizsgálat is egy előzetes kötelezettség, amely az MI-rendszerek telepítőit, alkalmazóit az MI-rendszerek létesítése, alkalmazása előtt kötelezi annak elvégzésére.
További hasonlóság a két jogintézmény között, hogy kockázatalapú megközelítésen alapul. A két jogszabály a két jogintézmény kapcsán teljesítendő kötelezettséget egy folyamatos kötelezettségnek tekinti.
Nem elég tehát azokat az adott jogi környezetben elvégezni, a kötelezettektől – az adatkezelőktől, az MI-rendszerek alkalmazóitól – folyamatos nyomon követést és a hatásvizsgálatok új aspektusoknak megfelelő kiegészítését, módosítását várja el. Az MI-rendszerek esetén a rendszerek öntanulása, a kezdeti rendszerek bizonyos sajátosságainak megváltozása ennek az egyik indoka.
Alessandro Mantelero tanulmánya hasznos megközelítéseket tartalmaz. Az FRIA megfelelő végrehajtásához szükség van az MI-rendszerrel kapcsolatos információkra az MI szolgáltatótól. Az MI rendelet 27. cikk (2) bekezdésének értelmében a telepítő (aki végrehajtja a FRIA-t) hasonló esetekben támaszkodhat a korábban végzett alapvetőjogi hatásvizsgálatokra vagy a szolgáltató által végzett meglévő hatásvizsgálatokra.
A következő három paraméter lehetővé teszi, hogy az alapvető jogokra gyakorolt potenciális hatás eltérő legyen, és azok az esettől függő értékelést igényelnek: a) a használt technológia specifikus jellemzői, b) a használati kontextus, c) a potenciálisan érintett személyek kategóriái.
Az FRIA-nak legalább a következőket kell tartalmaznia: a) egy tervezési és körvonalazási szakaszt, amely a termék, illetve szolgáltatás főbb jellemzőire és a rá vonatkozó kontextusra koncentrál; b) egy adatgyűjtési és kockázatelemzési szakaszt, amely azonosítja a potenciális kockázatokat, és megbecsüli azok alapvető jogokra gyakorolt hatását; c) egy kockázatkezelési szakaszt, amely megfelelő intézkedéseket hoz e kockázatok megelőzésére vagy mérséklésére, valamint teszteli azok hatékonyságát. Az FRIA egy kockázatelemzés, tehát nem a kockázatok megszüntetésére összpontosít, hanem inkább a kockázatok kezelésére. Az FRIA célja, hogy azonosítsa az érintett egyénekre leselkedő kockázatokat, felmérje azok valószínűségét és súlyosságát, javaslatokat tegyen a kockázatok kezelésére, majd részletes tervet állítson össze, hogy ezeket a kockázatokat hogyan kezelik megfelelően.[13]
Az alapvető jogok katalógusa az Alapjogi Charta dimenziójában értelmezendő. Az MI rendelet törekvése e teljes alapjogi katalógus és az összes ott felsorolt jog figyelembevétele. Mindez egyfajta válasz arra, hogy az MI-rendszerek különbözőek lehetnek, és oly sokféle területen alkalmazhatóak, valamint azok az érintett személyek különböző jogait, illetve alapvető jogait érinthetik. Erre tekintettel az Alapjogi Charta szerinti csoportosítás és az ott felsorolt jogok mindegyike vagy azok egy része lehet egy MI-rendszer telepítése és használata után releváns, vagyis az alapvetőjogi hatásvizsgálatnak az MI-rendszer telepítése előtti időpillanatban bármilyen szóba jöhető alapjogot érintenie kell, arra a hatásvizsgálatot le kell folytatni. Az Alapjogi Charta szerinti jogok csoportosítása az emberi méltóság, a szabadságjogok, az egyenlőség, a szolidaritás, a polgári jogok és az igazságszolgáltatással kapcsolatos jogok említésével történik.
Így az emberi méltóság, a személyes adatok védelméhez való jog, a véleménynyilvánítás szabadsága, az egyenlő bánásmód és a diszkriminációmentesség követelménye, a munkavállalók konzultációhoz és tájékoztatáshoz való joga, a jogszerű és igazságos munkakörülményekhez való jog, a megfelelő jogorvoslathoz való jog és az ártatlanság vélelme – csak példálózó jelleggel felsorolva – mind érintett lehet a telepítendő MI-rendszerek esetében. Célirányosan és az esetleges érintettekre és az esetlegesen szóba kerülő alapjogaikra fókuszálva kell az alapvetőjogi hatásvizsgálatot elvégezni; soha nem egy teljes populációra modellezve azt, hanem a konkrétan érintett csoporthoz igazítva.
3.1. Kik kötelesek alapvetőjogi hatásvizsgálatot végezni?
Az eddig ismertetettek alapján kézenfekvőnek tűnhet, hogy az alapvetőjogi hatásvizsgálatot kivétel nélkül minden munkáltatónak el kell végeztetnie, mivel az MI rendelet III. melléklet 4. pontja szerint a foglalkoztatás, a munkavállalók irányítása és az önfoglalkoztatáshoz való hozzáférés önmagában is a nagy kockázatú MI-rendszerek rész alatt kerül tárgyalásra.
Az MI rendelet 27. cikke ezt a kötelezettséget lényegében három csoport tekintetében írja elő – azzal azonban, hogy a III. melléklet 2. pontjában feltüntetett kritikus infrastruktúra esetén használt MI-rendszerek kivétele áll fenn. Ezek
- olyan alkalmazók, amelyek közjogi szervek,
- közszolgáltatásokat nyújtó magánszervezetek, és
- az MI rendelet III. melléklet 5. pont b) és c) alpontjában említett nagy kockázatú MI-rendszerek alkalmazói, nevezetesen az alapvető magán- és közszolgáltatásokhoz és ellátásokhoz való hozzáférés és ezek igénybevétele körében a természetes személyek hitelképességének értékeléséhez vagy hitelpontszámuk megállapításához való használatra szánt MI-rendszerek, kivéve a pénzügyi csalás észlelésére használt MI-rendszereket, illetve a természetes személyek vonatkozásában egészség- és életbiztosítás esetén a kockázatértékeléshez és az árképzéshez való használatra szánt MI-rendszerek. E csoport kapcsán, függetlenül attól, hogy közjogi szervek vagy közszolgáltatásokat nyújtó magánszervezetek, tevékenységükből adódóan specifikus magas kockázatú MI-rendszerekről van szó.
Joggal merülhet fel a kérdés, hogy a munkáltatók MI rendeletben történő meghatározása kellően konkrét, kellően körülírt-e. Döntő jelentőségű lehet ugyanis bármely vizsgálat és annak eredményeképpen valamely jogkövetkezmény alkalmazása kapcsán, hogy valóban mesterségesintelligencia-rendszer került-e telepítésre. Amennyiben igen, akkor az adott munkáltatónak volt-e kötelezettsége az alapvetőjogi hatásvizsgálat elvégzése. Mint ahogyan a GDPR adatvédelmi hatásvizsgálata is szükséges eszköz, ha a NAIH az adatkezeléssel kapcsolatosan az átláthatóság és az elszámoltathatóság jegyében annak bizonyításaképpen az adatkezelő dokumentációját elsődlegesnek tartja, ugyanezen szemléletmód várható az alapvetőjogi hatásvizsgálat során a NAIH vagy a piacfelügyeleti hatóság részéről.
A közjogi szervek fogalmának meghatározásához az Európai Parlament és a Tanács 2014/24/EU irányelve (2014. február 26.) a közbeszerzésről és a 2004/18/EK irányelv hatályon kívül helyezéséről nyújt útmutatást: ezek olyan szervek, amelyeket közérdekű igények kielégítésére hoztak létre (nem ipari/kereskedelmi jellegűek), jogi személyiséggel rendelkeznek, és amelyeket elsősorban állami, illetve közhatósági szervek finanszírozzák, felügyelik vagy irányítják. Az ebbe a kategóriába tartozó telepítők konkrét típusai tagállami jogszabályonként eltérőek lehetnek.
Közszolgáltatásokat nyújtó magánszervezetek szintén kötelesek FRIA-t végezni. A „közszolgáltatások” kifejezést az MI rendelet nem definiálja kifejezetten, de a (96) preambulumbekezdés példákat kínál, úgymint oktatás, egészségügy, szociális szolgáltatások, lakhatás és igazságszolgáltatás. A kifejezés széles értelmezése arra utal, hogy a jogalkotó szándéka az volt, hogy lefedje azokat a telepítőket, amelyek olyan szolgáltatásokat nyújtanak, amelyek észszerűen befolyásolhatják a közérdeket.
További eligazítást nyújthat a Európai Bizottság közleménye az általános érdekű szolgáltatások európai minőségi keretrendszeréről, mely szerint a „közszolgáltatás” kifejezést általában ambivalens módon használják, és utalhat arra, hogy egy szolgáltatást általában a polgárok számára és/vagy a köz érdekében kínálnak, de vonatkozhat a köztulajdonban álló szervezetek tevékenységére is.[14] Az Európai Unió működéséről szóló szerződés 106. cikke pedig további közszolgáltatásokat nevesít, magánszektorbeli teljesítéssel: így a postai és banki szolgáltatások, a szállítási szolgáltatások, az energiaszolgáltatás, az elektronikus kommunikációs szolgáltatások. Az Európai Gazdasági és Szociális Bizottság ugyancsak további példákat ad a közérdekű szolgáltatásokra: ezek közé tartozik a lakhatás, a víz- és energiaellátás, a hulladékkezelés és szennyvízelvezetés, a tömegközlekedés, az egészségügy, a szociális szolgáltatások, a fiatalok és a család, a kultúra és a társadalmon belüli kommunikáció, beleértve a műsorszórást, az internetet és a telefont.[15]
Ezek alapján például egy tisztán magánszektorbeli munkáltató, például egy gyártó cég, egy kiskereskedelmi lánc tagja, aki toborzásra vagy teljesítménymenedzsmentre MI-rendszert alkalmaz, nem lenne köteles alapvetőjogi hatásvizsgálatot végezni. De ha ez a munkáltató bármely közszolgáltatást is nyújt, el kell végeznie az alapvetőjogi hatásvizsgálatot.
Hasonlóan, ha például egy szállítmányozó cég a munkavállalói mozgását valamely MI-rendszer alkalmazásával követi vagy igyekszik hatékonnyá tenni, normál esetben nem kellene elvégeznie az alapvetőjogi hatásvizsgálatot. Ha ugyanez a szállítmányozó cég mondjuk oltóanyagot szállít egy világjárvány idején, és ilyen módon már közszolgáltatást ellátó entitásként szerepel, akkor ugyanerre a technológiára mégiscsak kénytelen lesz az alapvetőjogi hatásvizsgálatot elvégezni.
3.2. Az alapvetőjogi hatásvizsgálat – az MI rendelet 27. cikke
Ha valamely adatkezelő a GDPR 35. cikke alapján adatvédelmi hatásvizsgálat végzésére kötelezett az általa használt új technológia, illetve a jogszabályban rögzített feltételek folytán, és emellett az általa telepített MI-rendszer nagy kockázatúnak minősül, akkor az alapvetőjogi hatásvizsgálat lényegében az adatvédelmi hatásvizsgálat megfelelő szempontú kiegészítése lesz. Az MI rendelet ugyanis nem kettőzni igyekszik az MI rendszerek alkalmazóinak kötelezettségeit, hanem a már meglévő kötelezettségeket igyekszik észszerűen kiegészíteni az alapjogok messzemenő figyelembevételével, amelyek az MI-rendszerek használata során bármilyen módon szóba jöhetnek. Nem duplázódó adminisztrációs terheket kíván róni az MI-rendszerek alkalmazóira az új jogszabály, de elvárja, hogy amennyiben az MI-rendszerek használatával kapcsolatba kerülők alapjogai is érintettek lehetnek, az alapvetőjogi hatásvizsgálat is elvégzésre kerüljön.
A nehézség azonban abban áll, hogy az alapvetőjogi hatásvizsgálat elvégzéséhez most formálódnak olyan segítségként szolgáló eszközök, mint például a kérdőív minta. Az EU Mesterséges Intelligencia Hivatala által elkészített kérdőívminta a nagy kockázatú MI-rendszerek alkalmazóit a hatásvizsgálat elvégzésénél a jövőben segíteni tudja.[16] Az MI rendelet vonatkozó rendelkezései eredetileg 2026. augusztus 2-től kötötték volna a nagy kockázatú MI-rendszerek alkalmazóit, ugyanakkor 2026 augusztusáról 2027 decemberére tolták ki a határidőt a 2026. május 7-én létrejött konszenzus alapján a Digital Omnibus módosító csomagjának eredményeként.[17] Ennek köszönhetően a rendelkezések teljesítésére való felkészülés további haladékot kapott. Ennek ellenére igen komoly erőfeszítéseket fog megkívánni a megfelelés az érdekeltektől.
A Digital Omnibus jogszabálycsomagja további könnyítéseket és egyszerűsítést kíván eszközölni, a kis- és középvállalkozások (a továbbiakban: kkv) kategóriáját némiképp bővíti az ún. „small mid-cap” kategória bevezetésével. Ezek szerint az eredetileg csak a kkv.-knak járó adminisztratív könnyítéseket kiterjesztették a „small mid-cap” vállalatokra is (kétszázötven–ezer fő közötti foglalkoztatotti létszám). A módosító csomag érinti a GDPR bizonyos rendelkezéseit is, az egyszerűsítés szándékával az adatkezelőkre nézve. A módosítás az Európai Parlament és a Tanács konszenzusa után három-négy héten belül jelenik meg várhatóan az EU Hivatalos lapjában.
A FRIA-t az MI-rendszer első használata előtt el kell végezni, és frissíteni kell, ha a releváns tényezők megváltoznak. A telepítők, illetve alkalmazók hasonló esetekben támaszkodhatnak korábban elvégzett FRIA-kra vagy a szolgáltató által elvégzett meglévő hatásvizsgálatokra, termékleírásokra, de nem hagyatkozhatnak rá vakon. A FRIA eredményét tudatni kell az illetékes piacfelügyeleti hatósággal, a későbbiekben közzétenni kívánt – a Mesterséges Intelligencia Hivatala által biztosított – kérdőívmintán keresztül.
A FRIA-hoz szükséges részletes összetevők azt jelzik, hogy ez sokkal több, mint egy egyszerű ellenőrző lista. Az MI-rendszer társadalmi hatásának előre tekintő értékelését igényli, amely magában foglalja az operatív folyamatokat, az érintettek körét és az átfogó kockázatcsökkentő stratégiákat. A DPIA-hoz való hasonlósága, és annál mégis szélesebb hatóköre arra utal, hogy az adatvédelem terén már érett szervezetek jelentős előnnyel indulnak, mivel a kockázat azonosításának, értékelésének és enyhítésének alapelvei átvihetők. Ez a FRIA-t a szervezet általános kockázatkezelési keretének kritikus elemeként pozicionálja, túllépve a pusztán technikai vagy adatközpontú aggodalmakon, amely magában foglalja a szélesebb etikai és társadalmi hatásokat is. Ez nem egy egyszeri feladat, hanem a kockázatok folyamatos nyomon követésére és az azokhoz való alkalmazkodásra vonatkozó állandó kötelezettség. Ez azt jelenti, hogy a szervezeteknek belső irányítási struktúrákat és folyamatokat kell létrehozniuk a folyamatos értékeléshez, ahelyett, hogy a megfelelőséget statikus eseményként kezelnék.[18]
Ahogy a Belga Adatvédelmi Hatóság fentebb hivatkozott ismertetője is kiemeli, a jogi szakembereknek és az adatvédelmi tisztviselőknek kulcsszerepet kell játszaniuk a szervezet GDPR-kötelezettségeknek való megfelelésének biztosításában, különösen az olyan mesterségesintelligencia-rendszerek vonatkozásában, amelyek személyes adatokat dolgoznak fel. Az MI rendszerek telepítői-alkalmazói szoros együttműködést kell, hogy kialakítsanak a szervezeten belül az adatvédelmi tisztviselővel, a szervezeten kívül jogi szakértőkkel, a hatósággal, civil szervezetekkel, valamint a független szakértőkkel.
Alessandro Mantelero fentebb is idézett tanulmányában az alapvetőjogi hatásvizsgálat végzésének módszertanát három fő blokkra bontja: tervezés és keretek meghatározása, a kockázatfelismerés, kockázatelemzés és a kockázatkezelés.
Az első és az egyik legfőbb kérdés a tervezési fázisban mindig az kell legyen, hogy valóban szükség van-e az MI-rendszer használatára. Ha a szervezet működésének hatékonyabbá tétele és minden egyéb szempont megvizsgálása után a válasz továbbra is igen, akkor a fenti három fázison továbbmenve kell számba venni az összes felmerülő kockázatot, az érintett, szóba jövő alapjogokat, és legvégül azt, hogy ezeket a kockázatokat hogyan tudja menedzselni a szervezet. Az alapvetőjogi hatásvizsgálat az MI-rendszer teljes életciklusára kiterjed, a telepítés előtti tervezés fázisától az üzembe helyezés utáni folyamatos nyomon követésig, az emberi beavatkozás és emberi felügyelet biztosításával. Ez a követelmény azért jelentős igazán, mert az MI-rendszerek tanulási képességei, fejlődése maga után vonhatja az eredetileg meghatározott kockázatokban bekövetkező változásokat. Arra pedig az MI-rendszer telepítőjének, illetve alkalmazójának haladéktalanul reagálnia kell az alapvetőjogi hatásvizsgálat szükség szerinti módosításával.
Alessandro Mantelero a kockázatelemzés és a kockázatkezelés fázisához az alapvetőjogi hatásvizsgálat keretén belül az alábbi szempontokat adja:
a) az MI-rendszer potenciálisan érintett alapvető jogokra gyakorolt hatásának szintjének elemzése;
b) megfelelő intézkedések azonosítása a kockázat megelőzése vagy enyhítése érdekében, figyelembe véve azok hatását a kockázat szintjére a kontextusspecifikus forgatókönyv-elemzés alapján;
c) ilyen intézkedések végrehajtása, és
d) az MI-rendszer működésének nyomon követése, hogy a kockázat szintjét vagy az elfogadott intézkedések hatékonyságát technológiai, társadalmi és kontextuális változások befolyásolják, felülvizsgálják az értékelést és az elfogadott intézkedéseket.[19]
3.3. A munkáltatók egyéb kötelezettségei, amennyiben alapvetőjogi hatásvizsgálatot nem kell végezniük
Még ha a munkáltató nem is köteles alapvetőjogi hatásvizsgálat végzésére, a nagy kockázatú MI-rendszereket alkalmazó munkaadók jelentős és folyamatos kötelezettségekkel néznek szembe. Ezek a követelmények az MI megbízhatóságát, biztonságát és az alapvető jogoknak való megfelelését célozzák az egész életciklus során.
a) A munkáltatónak törekednie kell az adatminőség és torzítás enyhítésére a rendszer egész életciklusa alatt. A magas kockázatú MI-rendszerek képzésére, érvényesítésére vagy tesztelésére használt adatoknak relevánsnak, kellően reprezentatívnak és a lehető leginkább hibamentesnek kell lenniük. Az adatvédelmi szabályokat (GDPR) mindig be kell tartani.[20]
b) Biztosítania kell a kötelező emberi felügyeleti intézkedések meglétét: a magas kockázatú MI-rendszereket úgy kell megtervezni, hogy lehetővé tegyék a hatékony emberi felügyeletet. A telepítőknek az emberi felügyeletet megfelelő képzettséggel, képzéssel, felhatalmazással és támogatással rendelkező személyekre kell bízniuk, beleértve a megfelelő MI-ismereteket is. Az emberi felügyelőknek képesnek kell lenniük a rendszer képességeinek és korlátainak megértésére, működésének nyomon követésére, kimenetének értelmezésére, döntésre a használat mellőzéséről, kimenetének figyelmen kívül hagyására és biztonságos leállítására (például egy stop gomb segítségével).
c) Átláthatósági és tájékoztatási kötelezettségek az érintett egyének és munkavállalói képviselők felé: a magas kockázatú MI-rendszereknek tervezésüknél fogva kellően átláthatóknak kell lenniük, hogy a telepítők értelmezhessék kimenetüket és megfelelően használhassák. A szolgáltatóknak világos és megfelelő információkat kell nyújtaniuk a telepítőnek. A foglalkoztatás kontextusában a munkaadóknak kifejezetten tájékoztatniuk kell a munkavállalói képviselőket és az érintett munkavállalókat, mielőtt magas kockázatú MI-rendszert használnak a munkahelyen. Erre a munkáltatókat a 2002/14/EK irányelv is kötelezi, amely az Európai Közösség munkavállalóinak tájékoztatásáról és a velük folytatott konzultáció általános kereteinek meghatározásáról szól.
d) Nyilvántartási és naplózási követelmények: mind a szolgáltatók, mind a telepítők felelősséggel tartoznak a rendszer működésének, teljesítményének és használatának nyilvántartásáért. A telepítőknek legalább hat hónapig meg kell őrizniük az MI-rendszer által automatikusan generált naplókat. Ezeket a nyilvántartásokat kérésre az illetékes hatóságok rendelkezésére kell bocsátani.
e) Pontossági és kiberbiztonsági szabványok: a rendszernek a lehető legellenállóbbnak kell lennie a hibákkal, inkonzisztenciákkal vagy rosszindulatú támadásokkal szemben.
f) Eseményjelentés és korrekciós intézkedések: a szolgáltatóknak, illetve telepítőknek azonnal jelenteniük kell a súlyos eseményeket a piacfelügyeleti hatóságoknak, amint ok-okozati összefüggést vagy annak észszerű valószínűségét megállapították. Mindkét félnek korrekciós intézkedéseket kell tennie.
g) Kockázatkezelési rendszer: a szolgáltatóknak, illetve telepítőknek kockázatkezelési rendszert kell bevezetniük és fenntartaniuk az MI-rendszer teljes életciklusa során.
h) Megfelelőségértékelés: a szolgáltatóknak biztosítaniuk kell, hogy az MI-rendszer önértékelésen vagy harmadik fél általi értékelésen essen át a megfelelőség ellenőrzése érdekében, és ki kell adniuk egy EU megfelelőségi nyilatkozatot. A foglalkoztatási MI-eszközök esetében általában belső ellenőrzésen alapuló önértékelési eljárás alkalmazandó.
A magas kockázatú MI-rendszerekre vonatkozó részletes kötelezettségek listája azt mutatja, hogy még ha egy magán munkaadó nem is köteles FRIA-t végezni, a megfelelőségi terhe akkor is jelentős.
Számos kötelezettség, mint például az adatminőség, a torzítás felderítése, az elszámoltathatóság, a méltányosság és az átláthatóság egyértelműen átfedésben van a GDPR-ban rögzített elvekkel. Ez stratégiai lehetőséget kínál a munkaadók számára: a meglévő GDPR megfelelőségi keretek és szakértelem kihasználása jelentősen egyszerűsítheti az MI rendeletből fakadó megfelelőségi kötelezettségeket. Nem arról van szó, hogy teljesen új rendszereket kell építeni, hanem a meglévőket kell kiterjeszteni és adaptálni, hogy lefedjék az MI-specifikus kockázatok és az alapvető jogok szélesebb körét.
Az Európai Bizottság honlapján[21] is igyekszik gyakorlati segítséget nyújtani a munkáltatók számára, mely szerint a munkáltató
- végezzen átfogó leltárt az összes használt vagy tervezett MI-rendszerről;
- értékelje az egyes rendszereket a magas kockázatú kritériumok, különösen a foglalkoztatással kapcsolatosak (toborzás, teljesítmény, nyomon követés stb.) szempontjából;
- tegyen különbséget az MI rendszerek és az általános célú MI modellek között, mivel különböző szabályok vonatkoznak rájuk;
- a közszférabeli munkaadók vagy a közszolgáltatásokat nyújtó magánszervezetek, valamint a hitel-, illetve biztosítási szektorban működők számára a FRIA az első használat előtt elvégzendő;
- integrálja a FRIA-t a meglévő GDPR DPIA folyamatokkal a duplikáció elkerülése és az alapvető jogok átfogó értékelésének biztosítása érdekében;
- hozzon létre egy felülvizsgálati mechanizmust a FRIA frissítésére, ha az MI-rendszer használata vagy kontextusa megváltozik.
Talán nem hiábavaló külön felhívni a figyelmet az MI rendelet rendelkezéseinek ütemezésére, a rendelkezések időben eltérő alkalmazására az alábbiak szerint.
- Elfogadhatatlan kockázatot jelentő MI-rendszerek tilalma: 2025. február 2.
- Általános célú MI-rendszerekre vonatkozó szabályok (átláthatóság): a hatálybalépéstől számított tizenkét hónap: 2025. augusztus 2.
- Magas kockázatú rendszerekre vonatkozó kötelezettségek (beleértve a munkaadókra vonatkozókat is): 2027. december 2.
- Az I. mellékletben felsorolt termékbiztonsági előírások hatálya alá tartozó termékekbe integrált MI-rendszerekre vonatkozó szabályok: 2028. augusztus 2.
Az MI rendeletnek való megfelelés, különösen a magas kockázatú rendszerek esetében, túlmutatnak a szervezetek jogi osztályain. Az adatminőségre, a műszaki dokumentációra, az emberi felügyeletre, a kiberbiztonságra és a kockázatkezelésre vonatkozó követelmények szoros együttműködést tesznek szükségessé a jogi, HR-, IT-, adattudományi és operatív csapatok között. A munkaadóknak ösztönözniük kell ezt az együttműködést az MI-vel kapcsolatos kockázatok hatékony azonosítása, értékelése és enyhítése érdekében. A felelős használat kapcsán, hogy mikor és hogyan érdemes MI-t alkalmazni, hogyan lehet emberi felügyeletet biztosítani, milyen kérdéseket kell feltenni egy MI-rendszer használata előtt.
3.4. Szankciórendszer, jogkövetkezmények, hatósági hatáskörök
Elsőként célszerű leszögezni, hogy bár az alapvetőjogi hatásvizsgálat az MI rendelet alapján nem követelhető meg az MI rendelet 27. cikkének hatályán kívül, mind a szolgáltatók, mind a telepítők felelősségre vonhatók az alapvető jogok megsértéséért, és a tagállamok is felelősségre vonhatók az emberi jogok védelmének hiányosságai miatt a nemzetközi kötelezettségeik alapján. Ez érvényes adott esetben olyan MI-rendszerek esetében is, amelyek nem számítanak magas kockázatúnak az MI rendelet szerint, de hatással vannak az alapvető jogokra.
Az MI rendelet konkrét bírság összeget a tiltott MI-gyakorlatok előfordulása esetére rögzít, az MI-gyakorlatok tilalmának be nem tartása esetére legfeljebb harmincmillió euró, vagy ha az elkövető vállalkozás, az előző pénzügyi év teljes globális éves árbevételének legfeljebb 7 százalékát kitevő összegű közigazgatási bírságot tartalmaz.
Az MI rendelet konkrét rendelkezéseinek megsértése a szolgáltatók, az importőrök, a forgalmazók, az alkalmazók részéről tizenötmillió euró bírságot, vagy ha az elkövető vállalkozás, az előző pénzügyi év teljes globális éves árbevételének legfeljebb 3 százalékát kitevő összegű közigazgatási bírságot tartalmaz.
Ha pedig a bejelentett szervezetek vagy az illetékes nemzeti hatóságok kérésére válaszul helytelen, hiányos vagy félrevezető információ szolgáltatása történik, az legfeljebb hétmillió euró összegű, vagy ha az elkövető vállalkozás, az előző pénzügyi év teljes globális éves árbevételének legfeljebb 1 százalékát kitevő összegű közigazgatási bírsággal sújtandó, a kettő közül a magasabb összegűt figyelembe véve.
Az MI rendeletben rögzített szankciók kapcsán ugyanakkor az intézményi háttér, a hatósági hatáskörök, az eljárni jogosult és kötelezett hatóságok szerepe még csak most körvonalazódik.
Az MI rendelet 77. cikke szerint 2024. november 2. napjáig minden tagállam kijelöli ezeket a hatóságokat és szerveket, és nyilvánosan hozzáférhetővé teszi az ezekről összeállított jegyzéket. Azon nemzeti hatóságoknak vagy szerveknek, amelyek felügyelik vagy érvényesítik az MI rendelet III. mellékletében említett nagy kockázatú rendszerek használatával kapcsolatos – az alapvető jogok, köztük a megkülönböztetésmentességhez való jog – védelmét célzó uniós jogi kötelezettségek betartását, hatáskörrel kell rendelkezniük arra, hogy kérelmezzék az MI rendelet alapján létrehozott vagy vezetett dokumentációt, és közérthető nyelven, valamint hozzáférhető formátumban hozzáférjenek ahhoz.[22]
Az Európai Unió mesterséges intelligenciáról szóló rendeletének magyarországi végrehajtásáról szóló 2025. évi LXXV. törvény (a továbbiakban: MI törvény) és az Európai Unió mesterséges intelligenciáról szóló rendeletének magyarországi végrehajtásáról szóló 2025. évi LXXV. törvény végrehajtásáról szóló 344/2025. (X. 31.) Korm. rendelet (a továbbiakban: 344/2025. Korm. rendelet) hívja életre a hatóságokat, szabja meg a hatósági jogköröket, kötelezettségeket. A 344/2025. Korm. rendelet az MI rendelet 28. cikke szerinti bejelentő hatóságként egy új hatóságot, a Nemzeti Akkreditációs Hatóságot jelöli ki. Az MI rendelet 70. cikke szerinti piacfelügyeleti hatóság pedig a vállalkozásfejlesztésért felelős miniszter. Az új minisztériumi rendszer kialakítására tekintettel ezek a rendelkezések elképzelhető, hogy módosításra kerülnek.
A piacfelügyeleti hatóság számára az MI törvény hatósági jogköröket biztosít. Ebben is a legfontosabbat, a bírság kiszabására vonatkozó jogkört. A hatóság megállapíthatja az MI-rendszer jogellenes alkalmazásának tényét és felhívhatja a törvény hatálya alá tartozó személyeket a jogellenes magatartás megszüntetésére vagy a jogszerű állapot helyreállítására.
A NAIH mint nemzeti hatóság kaphat majd további hatásköröket az adatvédelemmel kapcsolatos feladatain túlmenően a vállalkozásfejlesztésért felelős miniszter mint piacfelügyeleti hatóság mellett. A nemzeti adatvédelmi hatóságok eljárása megkerülhetetlen lesz azokban az esetekben, amelyekben az MI-rendszerek alkalmazói a rendszerek használata során természetes személyek személyes adatait is kezelik. Hiszen ezekre az adatkezelésekre a GDPR alkalmazandó, a GDPR szabályainak megsértése pedig a nemzeti adatvédelmi hatóságok eljárását vonja maga után. Emellett szem előtt tartandó az Európai Adatvédelmi Testület 3/2024. számú nyilatkozata az adatvédelmi hatóságoknak a mesterséges intelligenciáról szóló rendelet szerint betöltött szerepéről. A testület kiemeli a nemzeti adatvédelmi hatóságok jártasságát, a technikai fejlődés követését, amely a nyilatkozat alapján abszolút alkalmassá teszi a nemzeti adatvédelmi hatóságokat az MI rendelet alkalmazásával kapcsolatos teendőkben való részvételre, a jogalkalmazás alakítására.
Hogy valamely párhuzamos ügyintézés és párhuzamos hatáskör megállapítására ne kerüljön sor, amely az adminisztrációs terhek növekedését jelentené a hatóságok oldalán is, illetve adott esetben a kétszeres értékelés veszélye léphetne fel, a piacfelügyeleti hatóság eljárásának felfüggesztését teszi lehetővé a törvény, ha egy hatósági eljárásban felmerülő kérdés más piacfelügyeleti hatóság vagy az adatvédelmi hatóság hatáskörébe tartozik.
4. Összegzés
Az MI rendelet szabályainak szakaszos, eltérő időtől számított alkalmazása csalóka érzetet kelthet, hasonlóképpen a GDPR bevezetéséhez, amelyet azonban célszerű elkerülni. A Digital Omnibus elfogadásának köszönhetően több idő lesz felkészülni azokra a tennivalókra, amelyek az MI rendeletnek való megfelelés érdekében elengedhetetlenek, azok elmulasztása a fent leírtak szerint komoly szankciót vonhat maga után.
Azonban miután egészen új jogintézményekkel, rendelkezésekkel állunk szemben, az is komoly nehézséget jelent, hogy nincsenek bejáratott eszközök, nincsenek kész megoldások. Türelmi idő azonban, jelen esetben az alapvetőjogi hatásvizsgálat vonatkozásában annak kötelező alkalmazása, 2027. december 2. után sem lesz, így a munkáltatóknak fel kell készülniük. Jogszabályi lehetőség lesz ugyan a 344/2025. Korm. rendelet szerint, hogy hatósági szerződéssel rendezzék a piacfelügyeleti hatóság előtti ügyet a közérdek és az ügyfél szempontjából is előnyös esetben, erre azonban aligha lehet építeni minden esetben.
Az a következtetés egyértelműen levonható, hogy komoly együttműködésre és összjátékra lesz szükség a munkáltató szervezetén belül, de azon kívül is. A munkáltatónak építenie kell a GDPR alkalmazása során megszerzett tapasztalataira, de igénybe kell majd vennie minden olyan külső segítséget is, amely lehetővé teszi, hogy a nagy jelentőségű, az érintettek alapjogait érintő alapvetőjogi hatásvizsgálatot megfelelő módon végezzék el. A legfontosabb kétségtelenül az MI-tudatosság lesz, az edukálás a munkáltató szervezetén belül, legyen az bármilyen kicsi vagy nagy, és a felelősség kérdésének rendezése az MI használata során a munkáltató és a munkavállaló oldalán. Mindeközben pedig az Európai Unió Bizottságának honlapját is érdemes fokozottan figyelni a munkáltatókat segítő formulák, nyomtatványok, segédletek közzététele kapcsán, melyeket mind ez ideig nem tett közzé.
[1] Az Európai Parlament és a Tanács 2024. június 13-i (EU) 2024/1689 rendelete a mesterséges intelligenciára vonatkozó harmonizált szabályok megállapításáról, valamint a 300/2008/EK, a 167/2013/EU, a 168/2013/EU, az (EU) 2018/858, az (EU) 2018/1139 és az (EU) 2019/2144 rendelet, továbbá a 2014/90/EU, az (EU) 2016/797 és az (EU) 2020/1828 irányelv módosításáról (a mesterséges intelligenciáról szóló rendelet) (a továbbiakban: MI rendelet).
[2] Az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 Rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) (a továbbiakban: GDPR).
[3] Eszteri Dániel: Az adatvédelmi hatásvizsgálat és az előzetes konzultáció. Nemzeti Közszolgálati Egyetem, Budapest, 2019. 5. o. https://tudasportal.uni-nke.hu/xmlui/bitstream/handle/20.500.12944/14671/Az%20adatvedelmi%20hatasvizsgalat%20es%20az%20elozetes%20konzultacio.pdf?sequence=3&isAllowed=y (2026. február 21.).
[4] Péterfalvi Attila – Révész Balázs – Buzás Péter (szerk.): Magyarázat a GDPR-ról. Budapest, 2021. 298. o.
[5] Hatásvizsgálati lista GDPR 35. cikk (4) bekezdés. Ld. https://www.naih.hu/hatasvizsgalati-lista (2026. május 15.).
[6] 3/2024. számú nyilatkozat az adatvédelmi hatóságoknak a mesterséges intelligenciáról szóló rendelet szerint betöltött szerepéről. 2024. július 16. https://www.edpb.europa.eu/system/files/2025-01/edpb_statement_202403_dpasroleaiact_hu.pdf (2026. május 15.).
[7] Artificial Intelligence Systems and the GDPR. A Data Protection Perspective. Data Protection Authority of Belgium General Secretariat https://www.autoriteprotectiondonnees.be/publications/artificial-intelligence-systems-and-the-gdpr—a-data-protection-perspective.pdf 2026. február 21.
[8] What does the EU AI Act mean for employers? Clifford Chance. August 2024. https://www.cliffordchance.com/content/dam/cliffordchance/briefings/2024/08/what-does-the-eu-ai-act-mean-for-employers.pdf (2026. május 15.).
[9] Laura Lazaro Cabrera – Magdalena Maier: EU AI Act Brief – Pt. 4, AI at Work. Center for Democracy and Technology April 14, 2025. https://cdt.org/insights/eu-ai-act-brief-pt-4-ai-at-work/ (2026. május 15.).
[10] Szabó Gergely Gábor: A mesterséges intelligencia szerepe és hatása a munkajogi és személyügyi döntésekben – Mit hoz a munkáltatók és a HR-esek számára az EU AI Act? 2024. november 25. https://www.jogiforum.hu/cikk/2024/11/25/a-mesterseges-intelligencia-szerepe-es-hatasa-a-munkajogi-es-szemelyugyi-dontesekben-mit-hoz-a-munkaltatok-es-a-hr-esek-szamara-az-eu-ai-act/ (2026. május 15.).
[11] Nazanin Afshar – Nan Sato – David J. Walton: Top 5 Things Employers Need to Know About the EU’s Latest AI Guidance. February 5, 2015. https://www.fisherphillips.com/en/insights/insights/top-5-things-employers-need-to-know-about-the-eus-latest-ai-guidance (2026. május 15).
[12] Alessandro Mantelero: The Fundamental Rights Impact Assessment (FRIA) in the AI Act: Roots, legal obligations and key elements for a model template. Computer Law & Security Review, September 2024, Volume 54. https://www.sciencedirect.com/science/article/pii/S0267364924000864 (2026. május 15).
[13] Uo.
[14] A Bizottság közleménye az Európai Parlamentnek, a Tanácsnak az Európai Gazdasági és Szociális Bizottságnak és a Régiók Bizottságának. Az általános érdekű szolgáltatások európai minőségi keretrendszere (COM/2011/0900 végleges). https://eur-lex.europa.eu/legal-content/HU/TXT/HTML/?uri=CELEX:52011DC0900 (2026. május 15.).
[15] Heidi Waem – Jeanne Dauzier – Muhammed Demircan: Fundamental Rights Impact Assessments under the EU AI Act: Who, what and how? Marc 7, 2024. https://www.technologyslegaledge.com/2024/03/fundamental-rights-impact-assessments-under-the-eu-ai-act-who-what-and-how/ (2026. május 15.).
[16] AI Act Single Information Platform. https://ai-act-service-desk.ec.europa.eu/en, Shaping Europe’s digital future Commission launches Action Plan Against Cyberbullying to protect young people online. https://digital-strategy.ec.europa.eu/en.
[17] Lukas Feiler – Benjamin Slinn – John Groom – Magalie Dansac Le Clerc – Michael Schmidl – Francesca Gaudino – Eva-Maria Strobel – Adam Aft – Brian Hengesbaugh: Political Agreement reached on Digital Omnibus on AI, amending the EU AI Act, Consistent with Evolving Global Trends on AI Regulation. May 7, 2026. https://connectontech.bakermckenzie.com/political-agreement-reached-on-digital-omnibus-on-ai-amending-the-eu-ai-act-consistent-with-evolving-global-trends-on-ai-regulation/ (2026. május 15.), EU agrees to simplify AI rules to boost innovation and ban ‘nudification’ apps to protect citizens. https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1024 (2026. május 15.).
[18] Theresa Ehlen – Lutz Riede – Christoph Werkmeister – Philipp Roos – Lena Isabell Loeber: EU AI Act unpacked #6: Fundamental rights impact assessment. June 5. 2024. https://technologyquotient.freshfields.com/post/102j941/eu-ai-act-unpacked-6-fundamental-rights-impact-assessment (2026. május 15.).
[19] Mantelero: i. m.
[20] Zooming in on AI – #10: EU AI Act – What are the obligations for „high-risk AI systems”? A&O Shearman on technology, October 29, 2024. https://www.aoshearman.com/en/insights/ao-shearman-on-tech/zooming-in-on-ai-10-eu-ai-act-what-are-the-obligations-for-high-risk-ai-systems (2026. május 15).
[21] AI Act. 11 May 2026. https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai (2026. május 15.).