Magas kockázatú az MI-rendszered? A felhasználási cél dönt, nem a modell

Az AI Act egységes szerkezetű szövege a rendszer rendeltetéséhez és a nevesített felhasználási esetekhez köti a magas kockázatú besorolást: a mögötte álló modell neve önmagában nem döntő; a III. melléklet szerinti magas kockázatú szabályok 2027. december 2-től alkalmazandók.

Egy magyar szervezetnek ezért előbb azt kell leírnia, milyen feladatot végez a rendszer, kiket érint a kimenete, és hogyan hat az emberi döntésre. Ezt követi a jogszabályi kategória és az esetleges kivétel vizsgálata, majd annak rögzítése, hogy a szervezet szolgáltatóként vagy alkalmazóként jár el, és milyen bizonyítékot őriz meg erről.

A besorolás menete: feladat, jogszabályi ág, kivétel

A beszerzett szoftver általános termékleírása kevés a besoroláshoz. Ugyanaz a többcélú modell segíthet belső szöveget fogalmazni, vagy részt vehet álláspályázók értékelésében; a vizsgálandó egység a konkrét célra használt MI-rendszer. Az eredmény szerepe is számít: másként kell leírni a munkafolyamatot, ha a kimenet háttérinformáció, és másként, ha a jelöltek sorrendjét alakítja.

1. Rögzítsd a bemenetet, a kimenetet, az érintett személyeket és azt, ki használja fel a kimenetet a döntéshez.
2. Nézd meg, hogy a rendszer egy I. mellékletben felsorolt uniós termékszabály alá tartozó termék biztonsági eleme-e, vagy maga ilyen termék-e. Ezen az ágon az is feltétel, hogy a termékre külső fél által végzett megfelelőségértékelés legyen előírva.
3. Ha a termékág nem illik az esetre, keresd meg a III. mellékletben a rendszer tényleges feladatának megfelelő pontot. Az ágazat neve önmagában nem elegendő találat.
4. III. mellékleti találatnál vizsgáld meg a szűk kivétel feltételeit, majd rendeld a felhasználáshoz a szolgáltatói és alkalmazói szerepet.

Ha több szervezeti egység ugyanazt az eszközt eltérő célra használja, külön felhasználásokat kell értékelni. A beszerzéskor készült egyetlen termékadatlap például nem mutatja meg, hogy az egyik részleg csak szöveget szerkeszt, míg a másik személyekről hozott döntéshez használja a kimenetet.

Mely magyar üzleti helyzetek illenek a III. mellékletbe?

A III. melléklet felsorolása az oktatás, a foglalkoztatás, valamint az alapvető magán- és közszolgáltatások körében is konkrét MI-felhasználásokat nevez meg. Az alábbi helyzetek feltételezett példák; mindegyiknél a rendszer rendeltetését kell összevetni a melléklet szövegével.

• Foglalkoztatás: egy magyar munkáltató álláspályázatok elemzésére, szűrésére vagy a jelöltek értékelésére használ MI-t. Ide tartozhat a munkavállalók teljesítményének értékelése, illetve a feladatok személyes jellemzők vagy viselkedés alapján történő kiosztása is. A lényegi kérdés az, milyen szerepet kap az értékelés a kiválasztásban vagy a munkaviszonyt érintő döntésben.
• Oktatás: egy intézmény MI-rendszerrel támogatja a felvételt, értékeli a tanulási eredményt, vagy vizsga közben tiltott magatartást észlel. Egy órarendet megfogalmazó vagy általános tájékoztatást készítő eszköz besorolása nem vezethető le pusztán abból, hogy iskolában használják.
• Hitelbírálat: egy bank természetes személy hitelképességét értékeli vagy hitelpontszámot állapít meg MI segítségével. A pénzügyi csalás felderítésére használt rendszereket a melléklet e pontja kifejezetten kivételként kezeli, ezért a két feladatot a folyamatleírásban is el kell választani.
• Alapvető szolgáltatások: egy hatóság vagy a nevében eljáró szervezet alapvető közellátásra való jogosultságot értékel. A melléklet külön nevesíti az élet- és egészségbiztosításnál a természetes személyekre vonatkozó kockázatértékelést és árazást. A besorolásnál pontosan meg kell nevezni, mely jogosultságot vagy feltételt alakítja a rendszer kimenete.

Mikor nem lesz magas kockázatú egy mellékleti találat?

A III. mellékletbe illő rendszerre szűk kivétel alkalmazható, ha nem jelent jelentős kockázatot az emberek egészségére, biztonságára vagy alapvető jogaira, és teljesül a jogszabályban megadott feltételek egyike. Ilyen lehet egy szűk eljárási feladat vagy egy értékelést előkészítő művelet. A „csak előkészít” megjelölés azonban nem elég: a kimenet döntésben betöltött tényleges szerepét kell megvizsgálni.

Ha a III. melléklet szerinti rendszer természetes személyek profilalkotását végzi, a kivétel nem alkalmazható. A kivételre hivatkozó szolgáltatónak a nem magas kockázatú besorolás indoklását a forgalomba hozatal vagy üzembe helyezés előtt dokumentálnia kell. A feljegyzésben ezért a feladat leírása mellett annak is szerepelnie kell, miért nem befolyásolja érdemben a rendszer a döntés eredményét.

Szolgáltató vagy alkalmazó: ettől függ az iratcsomag

Szolgáltató az, aki a rendszert fejleszti vagy fejleszteti, majd saját neve vagy védjegye alatt hozza forgalomba vagy helyezi üzembe. Alkalmazó az a szervezet, amely a rendszert saját tevékenységében használja. Egy magyar munkáltató így általában alkalmazója lehet egy beszállítótól vett toborzási rendszernek.

A szerep később változhat. Ha az alkalmazó lényegesen módosít egy magas kockázatú rendszert, vagy egy korábban nem magas kockázatú rendszer rendeltetését úgy alakítja át, hogy abból magas kockázatú felhasználás lesz, szolgáltatói kötelezettségei keletkezhetnek. Emiatt a szerződésben és a használati útmutatóban megadott rendeltetést a tényleges beállításokkal is össze kell vetni.

Szolgáltatói szerepnél a műszaki dokumentáció, a kockázatkezelés, az adatokra és tesztelésre vonatkozó bizonyítékok, a használati útmutató és a megfelelőségértékelés kerül előtérbe. Az alkalmazónál a rendeltetésszerű használat, az emberi felügyelet kijelölése, az általa ellenőrzött bemeneti adatok megfelelősége és a működés követése válik fontossá. Munkahelyi használat előtt az érintett munkavállalók és képviselőik tájékoztatásával is számolni kell.

Mit tartalmazzon a megőrzött besorolási lap?

A besorolási lap szervezési eszköz: egy helyen kapcsolja össze a jogi következtetést azzal az üzleti folyamattal, amelyre az vonatkozik. Egy magas kockázatú követelményeket elemző kutatás 87 azonosított követelmény többségét folyamat- vagy dokumentációközpontúnak sorolta; ez a kutatók elemzési eredménye, nem külön jogszabályi ellenőrzőlista.

• Felhasználás: a rendszer azonosítója és változata, konkrét feladata, bemenete és kimenete, az érintett személyek köre, valamint az emberi döntési pont.
• Indoklás: az I. melléklet szerinti termékág vizsgálatának eredménye vagy a III. melléklet megfelelő pontja; kivétel esetén annak tényei és a kimenet döntésre gyakorolt hatása.
• Szerepkör: a szolgáltató és az alkalmazó megnevezése, a rendeltetés meghatározója, valamint az, ki jogosult a rendszert módosítani.
• Bizonyítékok: a beszállítói leírás és használati útmutató, a releváns szerződéses feltételek, a kockázatértékelés és tesztek, továbbá az emberi felügyelet, a tájékoztatás és a működés megőrzött nyomai.

Új felhasználás vagy érdemi módosítás esetén a lapot az új helyzethez kell igazítani. Különösen fontos ez akkor, ha más személyi körre terjed ki a rendszer használata, új döntéshez kapcsolják a kimenetét, vagy megváltozik az emberi felülvizsgálat szerepe.

Olvassa el ezt is:

• MI-jártasság az AI Act szerint: tanúsítvány nem kell, belső nyom igen
• Turnstile vagy reCAPTCHA: az ingyenes keret nem az egyetlen kockázat
• DeepL vagy Google Fordító: magyar szövegnél a feladat típusa dönt