Az EU MI-rendelete: sorolja be a felhasználási eseteket, és tervezze meg a bizonyítékokat

Az MI-irányítás azzal kezdődik, hogy a szervezet tudja, mely rendszereket nyújtja, alkalmazza vagy teszi más módon elérhetővé. A modellnevek listája nem elég: a rendeltetés, az alkalmazási környezet és az Ön szerepe határozza meg, mely kötelezettségeket kell megvizsgálni.

A vezetés számára a besorolás nemcsak jogi értékelés, hanem erőforrás-elosztási döntés is. Meghatározza, mely projektekhez kell szakértői felülvizsgálat, mit kell a beszállítóknak igazolniuk, és milyen bizonyítékoknak kell a bevezetés előtt rendelkezésre állniuk. Egy toborzási eszköz és egy belső szövegíró asszisztens ugyanazt a modellt használhatja, mégis nagyon eltérő értékelést igényelhet.

A hasznos eredmény egy felülvizsgált, felhasználási esetekre bontott nyilvántartás, amely felelősökhöz, követelményekhez, bizonyítékokhoz és változtatási döntésekhez kapcsolódik – nem pedig egy vállalati szintű „alacsony kockázatú MI” címke.

A kockázat meghatározása előtt rögzítse a hatályt és a felelősséget

Az EU mesterséges intelligenciáról szóló rendelete olyan rendelet, amelynek kötelezettségei a tevékenységtől, a rendszertől és a szereplőtől függnek. Területi hatálya kiterjed azokra a szolgáltatókra, amelyek rendszereket hoznak forgalomba vagy helyeznek üzembe az EU-ban, az EU-ban letelepedett vagy ott található alkalmazókra, valamint bizonyos EU-n kívüli szolgáltatókra és alkalmazókra, ha a rendszer kimeneteit az EU-ban használják. Önmagában az állampolgárság nem döntő szempont.

Jogi és műszaki felülvizsgálók állapítsák meg, hogy az alkalmazás megfelel-e a rendelet MI-rendszer-fogalmának, és alkalmazandó-e valamely releváns hatályon kívüli kivétel. Ne feltételezze, hogy minden automatizálási szkript MI, vagy hogy egy külsőleg üzemeltetett szolgáltatás kívül esik az Ön felelősségi körén.

Ezután rögzítse a szerepét:

• Szolgáltató: rendszert fejleszt vagy fejlesztet, és azt saját neve vagy védjegye alatt forgalomba hozza vagy üzembe helyezi.
• Alkalmazó: rendszert használ a saját irányítása alatt, szakmai tevékenység keretében.
• Importőr vagy forgalmazó: érintett rendszereket hoz be az uniós piacra, vagy tesz elérhetővé az ellátási láncon keresztül, a kapcsolódó ellenőrzési kötelezettségekkel együtt.
• Termékgyártó vagy meghatalmazott képviselő: az adott termékkonstrukcióból vagy írásos megbízásból eredő felelősségei vannak.

Egy szervezet a portfóliójában különböző szerepeket tölthet be. Egy API megvásárlása nem dönti el a kész alkalmazás szerepét. Az átnevezés saját márkanév alá, a jelentős módosítás vagy a rendeltetés megváltoztatása az alkalmazandó feltételek mellett szolgáltatói felelősséget vonhat maga után. A finomhangolás ezért felülvizsgálatot kiváltó esemény, nem automatikus jogi következtetés.

Különböztesse meg az általános célú MI-modellt a köré épített rendszertől. A modellszolgáltatói kötelezettségek és a downstream rendszerre vonatkozó kötelezettségek összefüggenek, de nem cserélhetők fel.

Építsen döntéseket támogató nyilvántartást a felhasználási esetekről

Az üzleti funkciókat vegye leltárba, ne csak a szállítókat. Készítsen interjút a beszerzéssel, a HR-rel, a termékfejlesztéssel, az üzemeltetéssel és az informatikával: az MI egy meglévő beszállító új funkciójaként is megjelenhet, nem csak külön beszerzés útján.

Minden felhasználási esetnél rögzítse:

A rendeltetés mellett rögzítse a tényleges munkafolyamatokat is. Egy „toborzói segédként” leírt eszköz ténylegesen kizárhat jelölteket, ha a munkatársak csak a rövid listáját nézik meg. Egy emberi felülvizsgálatot előíró írásos szabályzat nem bizonyítja, hogy a felülvizsgálat meg is történik.

Az eredmény felhasználási esetenként egy verziózott rekord. A nem tisztázott besorolások maradjanak láthatóan nyitottak, felelőssel és döntési határidővel, ahelyett hogy alapértelmezésként a legkevésbé szigorú kategóriába kerülnének.

Értékelje külön a tilalmakat, a nagy kockázatú besorolás útjait és az átláthatóságot

A jól ismert négyszintű leírás – tiltott, nagy kockázatú, átláthatósághoz kapcsolódó és alacsonyabb kockázatú – hasznos bevezetés. De nem teljes döntési fa. Az átláthatósági kötelezettségek átfedhetik a nagy kockázatú rendszerekre vonatkozó kötelezettségeket, az MI-jártassági kötelezettségek pedig nem korlátozódnak a nagy kockázatú rendszerekre.

Először a tiltott gyakorlatokat szűrje ki

Az 5. cikk meghatározott gyakorlatokat tilt, a rendelkezés részletes feltételei és kivételei szerint. Releváns szűrőkérdések, hogy a rendszer alkalmaz-e káros manipulációt vagy kihasználja-e a sebezhetőségeket, végez-e tiltott társadalmi pontozást, hoz-e létre arcfelismerő adatbázisokat célzás nélküli adatgyűjtéssel, vagy végez-e tiltott biometrikus kategorizálást.

A biometrikus adatokon alapuló, MI-alapú érzelemfelismerés a munkahelyeken és az oktatási intézményekben szintén tilos, kivéve meghatározott orvosi vagy biztonsági okokból. A kizárólag szövegalapú hangulatelemzés nem esik e tilalom alá pusztán azért, mert az érzelmi hangvételt értékeli. Bizonyos bűnüldözési célú biometrikus felhasználásokra szigorúan körülhatárolt szabályok vonatkoznak; az, hogy „minden arcfelismerés tilos”, nem pontos helyettesítője az értékelésnek.

Egy lehetséges tiltott gyakorlatot a beszerzés vagy az alkalmazás előtt eszkaláljon. A bizonyítékoknak a funkcionalitást és a jogi érvelést kell leírniuk, nem pusztán megismételniük egy beszállító „etikus MI” nyilatkozatát.

Vizsgálja meg a nagy kockázatú besorolás mindkét útját

A szabályozott termékek útja, 6. cikk (1) bekezdés: vizsgálja meg, hogy az MI maga a vonatkozó I. mellékletbeli jogszabályok hatálya alá tartozó termék vagy egy ilyen termék biztonsági alkotóeleme-e, és hogy a terméknek harmadik fél által végzett megfelelőségértékelésen kell-e átesnie. Mindkét feltétel számít. Az adott termékszabályozáshoz a módosított jogszabályszöveget használja; az MI beépítése önmagában nem eredményez nagy kockázatú besorolást.

A III. melléklet útja, 6. cikk (2) bekezdés: vizsgálja meg, hogy a tervezett funkció megfelel-e egy felsorolt felhasználási esetnek. A nyolc terület tág fejezetcím, nem olyan szabály, amely egy iparág minden alkalmazását nagy kockázatúvá tenné.

Olvassa el a részletes bejegyzéseket és kizárásokat. Például a pénzügyi csalások felderítése elkülönül a felsorolt hitelképességi felhasználástól, az úti okmányok ellenőrzése pedig ki van zárva a vonatkozó migrációs azonosítási bejegyzésből. Egy kampány adminisztratív szervezése nem azonos a választók befolyásolásával.

Az átláthatóságot akkor is értékelje, ha a nagy kockázatú szabályok nem alkalmazandók

Az 50. cikk bizonyos interakciókkal és kimenetekkel foglalkozik. A szereptől és a körülményektől függően a kötelezettségek arra vonatkoznak, hogy tájékoztatni kell az embereket arról, hogy MI-vel lépnek kapcsolatba, a szintetikus kimeneteket géppel olvasható módon kell jelölni, a deepfake-eket fel kell fedni, és meghatározott, közérdekű, MI által generált szövegeket is jelölni kell. Az érzelemfelismerési és biometrikus kategorizálási felhasználásokra – ahol megengedettek – szintén vonatkoznak tájékoztatási rendelkezések.

Ne egyszerűsítse le ezt arra, hogy „minden MI által támogatott dokumentumot címkézni kell”. Állapítsa meg, melyik rendelkezés alkalmazandó, kinek kell cselekednie, és releváns-e valamely kivétel. Bizonyítékként őrizze meg a tájékoztatás szövegét, elhelyezését, a kimenetjelölési megoldásokat és a teszteredményeket.

A 6. cikk (3) bekezdése szerinti kivételt dokumentált értékelésként kezelje

Egyes III. mellékletbeli rendszerek a 6. cikk (3) bekezdése alapján kívül eshetnek a nagy kockázatú besoroláson. Ez nem általános mentesség azokra az eszközökre, amelyeknél valahol a folyamatban részt vesz egy ember.

Az értékelésnek ki kell térnie arra, hogy a rendszer jelent-e jelentős kockázatot az egészségre, a biztonságra vagy az alapvető jogokra nézve, beleértve azt is, hogy érdemben befolyásolja-e a döntések kimenetelét. A rendelkezés olyan körülményeket nevez meg, mint a szűk eljárási feladatok, egy korábban elvégzett emberi tevékenység eredményének javítása, minták vagy eltérések felismerése meghatározott felülvizsgálati feltételek mellett, valamint az előkészítő feladatok. A kivételre való hivatkozáshoz legalább egy feltételnek teljesülnie kell, és meg kell állapítani, hogy a rendszer nem jelenti a meghatározott jelentős kockázatot.

Az e kivételre hivatkozó szolgáltatónak a rendszer forgalomba hozatala vagy üzembe helyezése előtt dokumentálnia kell az értékelést, és teljesítenie kell az alkalmazandó regisztrációs kötelezettséget. Döntő fontosságú, hogy a természetes személyek profilalkotását végző III. mellékletbeli rendszer nagy kockázatú marad; ez nem jelenti azt, hogy minden profilalkotó rendszer minden kontextusban automatikusan nagy kockázatúvá válik.

A bizonyítékoknak meg kell magyarázniuk, milyen információkat használ a rendszer, hogyan hatnak a kimenetek a felülvizsgálókra, és hogy az állítólag előkészítő feladat meghatározza-e, ki részesül érdemi elbírálásban. Vegyen fel munkafolyamat-megfigyeléseket és reprezentatív kimeneteket. Az „a végső döntést ember hozza” mondat nem elegendő, ha a rangsorolás, a szűrés vagy az ajánlások ténylegesen meghatározzák ezt a döntést.

Tervezzen az aktuális alkalmazási időpontok szerint

A 2026. október 7-i ellenőrzés szerint az Európai Bizottság aktuális áttekintése és ütemterve az MI-rendeletről a következő mérföldköveket határozza meg:

Ellenőrizze a módosított jogszabályszöveget és az Önre vonatkozó konkrét átmeneti rendelkezéseket. A meglévő rendszerek, a modellek forgalomba hozatalának időpontjai, a módosítások és az egyes szereplői konstrukciók további elemzést igényelhetnek. A régebbi útmutatók még a korábbi, nagy kockázatú rendszerekre vonatkozó időpontokat mutathatják.

A nagy kockázatú rendszerekre vonatkozó frissített ütemtervet ne értelmezze a teljes rendelet elhalasztásaként. Külön tervezzen költségvetést a már alkalmazandó kötelezettségekre és a releváns nagy kockázatú szabályozásra való felkészülésre. A nyilvántartásnak meg kell neveznie az alkalmazandó mérföldkövet és azt a forrást, amely alapján megállapították.

Alakítsa a besorolást bizonyítéki tervvé

A szolgáltatói és az alkalmazói felelősségek eltérnek. A vezetésnek szerepkör-specifikus tervet kell megkövetelnie, ahelyett hogy minden kötelezettséget minden csapathoz hozzárendelne.

Ha nagy kockázatú rendszert nyújt

A nagy kockázatú rendszerekre vonatkozó követelmények és a szolgáltatói kötelezettségek kiterjednek a kockázatkezelésre, az adatkezelési irányításra, a műszaki dokumentációra, a nyilvántartásra, az alkalmazóknak szóló tájékoztatásra, az emberi felügyeletre, a pontosságra, a robusztusságra, a kiberbiztonságra és a minőségirányításra. Az alkalmazandó megfelelőségértékelési, megfelelőségi nyilatkozati, jelölési, regisztrációs, forgalomba hozatal utáni nyomon követési és incidenskezelési folyamatokat is meg kell tervezni.

Fordítsa ezeket eredménytermékekre:

• Életciklus-kockázatértékelés kockázatcsökkentő intézkedésekkel, maradványkockázatokkal és jóváhagyási döntésekkel.
• Adatok származására, alkalmasságára és minőségére vonatkozó rekordok, ahol ez a rendszer szempontjából releváns.
• Műszaki dokumentáció, amely meghatározza a rendeltetést, a kialakítást, a függőségeket, a korlátokat és az értékelési módszereket.
• Az elfogadási kritériumokhoz és az alkalmazási környezethez kötött teszteredmények.
• Felügyeleti utasítások, amelyek elmagyarázzák a beavatkozást, a felülbírálást és az eszkalációt.
• Naplózási specifikációk, nyomon követési megoldások és incidenskezelési eljárások.
• Megfelelőségi munkaterv, amely meghatározza az alkalmazandó utat és a szükséges rekordokat.

Nem minden nagy kockázatú rendszer követi ugyanazt az értékelési utat. Ne tervezzen általános, harmadik fél által végzett auditra, és ne tekintsen egy biztonsági tanúsítást az MI-rendeletnek való megfelelés bizonyítékának.

Ha nagy kockázatú rendszert alkalmaz

Összpontosítson arra, hogy a rendszert az utasításoknak megfelelően üzemeltesse, hozzáértő felügyeletet jelöljön ki, figyelemmel kísérje a használatát, és vezesse az előírt nyilvántartásokat. Foglalkozzon a bemeneti adatok alkalmasságával, ahol Ön ellenőrzi ezeket a bemeneteket, valamint a munkavállalók tájékoztatására vagy az érintett személyekre vonatkozó alkalmazandó követelményekkel.

Kérje el a beszállítóktól a releváns utasításokat, korlátokat, felügyeleti követelményeket és megfelelőségi információkat. Azonosítsa, mit nem tudnak biztosítani, és ki fogja megszüntetni a hiányt. Egy beszállítói biztosítéki nyilatkozat nem igazolja, hogy az Ön helyi konfigurációja megfelelő.

Értékelje, hogy az Ön alkalmazói kategóriájában és felhasználási esetében szükséges-e alapjogi hatásvizsgálat. Ez nem minden alkalmazásnál kötelező. Ha személyes adatok érintettek, a GDPR követelményeit külön értékelje; az adatvédelmi hatásvizsgálat és az MI-rendelet szerinti értékelés eltérő jogi célokat szolgál, még akkor is, ha a bizonyítékok átfedik egymást.

Minden eredménytermékhez határozzon meg felelőst, felülvizsgálót, határidőt, forráshelyet és elfogadási kritériumot. A „szabályzat feltöltve” nem egyenértékű a „kontroll bizonyítva” állapottal.

Kidolgozott példa: egy modell, két üzleti döntés

Szemléltető feltételezések: egy uniós munkáltató egy harmadik féltől származó nyelvi modellt használ egy belső szövegíró asszisztenshez és egy külön toborzási alkalmazáshoz. A toborzási alkalmazás a munkaköri kritériumok alapján pontozza a jelölteket, és rangsorolt rövid listát jelenít meg. A munkáltató mindkettőt belsőleg használja; pontos szereplői szerepei felülvizsgálatot igényelnek.

A szövegíró asszisztensnél rögzítse a megengedett szövegezési feladatokat, az adatkorlátozásokat, a kimenetek felülvizsgálatát és az esetlegesen alkalmazandó átláthatósági követelményeket. A szokásos belső szövegezés nem válik nagy kockázatúvá pusztán azért, mert MI-t használ. Ha a felhasználás foglalkoztatási értékelésre terjedne ki, az újraértékelést váltana ki.

A toborzásnál a III. melléklet foglalkoztatásra vonatkozó bejegyzése közvetlenül releváns. A jelöltek pontozását és a profilalkotást vizsgálja felül, ne csak a felület leírását. Ha a toborzók csak a rövid listára került jelentkezőket veszik figyelembe, a rendszer érdemben alakítja a foglalkoztatáshoz való hozzáférést. A végső felvétel emberi jóváhagyása nem szünteti meg ezt a befolyást.

A vezetői döntés tehát alkalmazásonként eltérő. A szövegíró asszisztens a felülvizsgálat után arányos kontrollokkal folytatódhat. A toborzási projektnek nagy kockázatú rendszerekre vonatkozó felkészülési tervre, beszállítói bizonyítékokra, képzett felügyeletre, a helyi használat értékelésére és dokumentált bevezetési döntésre van szüksége.

Ha a csapat azt javasolja, hogy a toborzási funkciót alakítsák át interjúidőpontok ütemezésévé, az új rendeltetést és munkafolyamatot újonnan értékelje. Az ütemezés lehet szűk eljárási feladat, de ha a háttérben megtartják a jelöltek pontozását, az aláásná a módosított indoklást. A döntést verziózza, ne írja felül az eredeti rekordot.

Tegye láthatóvá az elszámoltathatóságot a működési döntésekben

Jelöljön ki egy üzleti felelőst, aki meg tudja magyarázni a rendeltetést és jóvá tudja hagyni az erőforrásokat, egy műszaki felelőst, aki alá tudja támasztani a rendszer működését, valamint egy jogi vagy megfelelőségi felülvizsgálót, aki megkérdőjelezheti a besorolást. A vezetői jóváhagyásnak a finanszírozásról, a bevezetési korlátozásokról és a kezeletlen kockázatokról kell döntenie, nem pedig a szakértői elemzést helyettesítenie.

Gyakorlati ajánlásként vizsgálja felül a besorolást, amikor a rendeltetés, a felhasználók, az adatok, az integrációk, az autonómia vagy a jelentős következményekkel járó döntésekre gyakorolt befolyás megváltozik. Kösse ezt a felülvizsgálatot a beszerzési szerződések megújításához és a termékkiadásokhoz. Egy modellfrissítés önmagában nem feltétlenül változtatja meg a besorolást, de érvénytelenítheti az értékelési bizonyítékokat vagy a működési feltételezéseket.

Gyakori hibák a szállítói szintű besorolások elfogadása, annak feltételezése, hogy az emberi felülvizsgálat automatikusan mentességet teremt, a már alkalmazandó jártassági és átláthatósági kötelezettségek figyelmen kívül hagyása, valamint a dokumentumok gyűjtése a helyi működés tesztelése nélkül. Egy ISO/IEC 42001 szerinti irányítási rendszer támogathatja az irányítást, de a tanúsítás nem igazolja automatikusan az MI-rendeletnek való megfelelést.

A Secani a bizonyítéki munkafolyamatot azzal támogathatja, hogy összekapcsolja a követelményeket, kontrollokat, forrásanyagokat, felelősöket, feladatokat és felülvizsgált döntéseket. Kezdjen egyetlen folyamattal, kapcsolja a bizonyítékokat ahhoz, amit bizonyítanak, és a megjegyzéseket, jóváhagyásokat és időbélyegeket tartsa a lényeges következtetések mellett. Az MI által támogatott javaslatokat emberi felülvizsgálatra szánt tervezetként kezelje, ne jogi döntésként. Az MI-ügynökök irányításáról szóló útmutatónk gyakorlati kontrollokat kínál a jogosultságokhoz és a felülvizsgálathoz.

A következő hasznos lépés egy célzott besorolási műhely: válassza ki a legnagyobb következményekkel járó, éles felhasználási eseteket, hívja meg az üzleti és műszaki felelőseiket, és készítsenek felülvizsgált rekordokat a nyitott kérdésekkel és a bizonyítéki feladatokkal. Ez védhető alapot ad a vezetésnek annak eldöntéséhez, mi folytatódhat, mi igényel feltételeket, és mi igényel további értékelést.