EU MI-rendelet megfelelőségi mérnökség: műszaki dokumentáció, naplózás, emberi felügyelet és adatkormányzás

Amit az uniós MI-rendeletről írtak, annak nagy része a hatályról szól: melyik kockázati kategóriába esik, szolgáltató-e vagy alkalmazó, elkapja-e a III. melléklet. Erre a jogi tanácsadói adnak választ.

Amivel szinte senki nem foglalkozik, az az, ami a válasz után jön. Ha a rendszere nagy kockázatú, a rendelet a teljes életciklust átfogó kockázatkezelési rendszert kér, igazolható adatkormányzást, automatikus naplózást meghatározott megőrzési idővel, előírt szerkezetű műszaki dokumentációt, megtervezett (nem pusztán kijelentett) emberi felügyeletet, és forgalomba hozatal utáni nyomonkövetést, amely ténylegesen gyűjt is valamit. Ezek mérnöki termékek. Mi ezt a részt építjük meg.

Hol tartanak most a határidők

Az MI-rendelet ((EU) 2024/1689 rendelet) 2024 augusztusában lépett hatályba, és szakaszosan válik alkalmazandóvá. Az ütemezés 2026-ban módosult, és érdemes pontosnak lenni, mert a változás pénzt és figyelmet mozgatott meg.

• 2025. február 2.: a tiltott gyakorlatokra és az MI-jártasságra vonatkozó kötelezettségek alkalmazandóvá váltak.
• 2025. augusztus 2.: az általános célú MI-modellekre vonatkozó kötelezettségek alkalmazandóvá váltak.
• 2026. augusztus 2.: az 50. cikk szerinti átláthatósági kötelezettségek alkalmazandóvá váltak: annak közlése, hogy a felhasználó MI-rendszerrel lép interakcióba, a szintetikus tartalom megjelölése, az érzelemfelismerés és a biometrikus kategorizálás közlése, valamint a deepfake tartalom címkézése.
• 2027. december 2.: a nagy kockázatú kötelezettségek az önálló rendszerekre, a Digital Omnibus nyomán. A Tanács és a Parlament 2026 májusában állapodott meg a halasztásról, a végleges jóváhagyás 2026 júniusában született meg.
• 2028. augusztus 2.: a nagy kockázatú kötelezettségek a szabályozott termékekbe beépített MI-rendszerekre.

Ha nagy kockázatú rendszer szolgáltatója, a halasztás nagyjából tizenhat hónapot hozott. A munka mennyiségét nem csökkentette, és nem mozdította el azt a két kötelezettséget, amely már hatályban van: az 50. cikk szerinti átláthatóságot és az MI-jártasságot azoknál a munkatársaknál, akik ezeket a rendszereket kezelik.

Amit megépítünk

Műszaki dokumentáció, generált termékként

A IV. melléklet meghatározza, mit kell a műszaki dokumentációnak tartalmaznia: rendszerleírás, tervezési döntések, architektúra, adatokra vonatkozó követelmények, adott esetben a tanítási módszertan, validálási és tesztelési eljárások, metrikák, kockázatkezelési intézkedések, valamint az életciklus során végrehajtott változtatások.

Kézzel írva ez a dokumentum egy héttel az aláírás után elavult. Mi olyasminek építjük meg, amit a pipeline-ja állít elő: model cardok és adatlapok a tanítási és kiértékelési futásokból generálva, a kód mellett karbantartott architektúra- és adatfolyam-leírások, a kiértékelési eredmények ahhoz a verzióhoz csatolva, amelyre vonatkoznak, és változástörténet, amely a verziókövetőből jön, nem valakinek az emlékezetéből. A dokumentum build-kimenetté válik.

Automatikus naplózás a 12. cikk szerint

A nagy kockázatú rendszereknek élettartamuk során automatikusan naplózniuk kell, olyan színvonalon, amely lehetővé teszi a működés nyomonkövethetőségét és a forgalomba hozatal utáni nyomonkövetést: a célnak megfelelő megőrzési idővel, egyes esetekben legalább hat hónapig.

A gyakorlatban ez azt jelenti, hogy el kell dönteni, mi számít „eseménynek" az Ön rendszerében, rögzíteni kell a bemeneteket, a kimeneteket, a modellverziót, a döntési útvonalat és az érintett ember azonosítóját, mindezt olyan formában tárolva, amely évek múlva is lekérdezhető, és úgy, hogy közben ne halmozódjon fel olyan személyes adat, amelynek megőrzésére nincs jogalap. Ez a feszültség (az MI-rendelethez elég sokat, a GDPR-hoz elég keveset naplózni) a tényleges tervezési feladat, és ezt kifejezetten az adatvédelmi szakembereivel együtt járjuk körbe.

Adatkormányzás a 10. cikk szerint

A tanító-, validációs és tesztadatkészleteknek relevánsnak, kellően reprezentatívnak, és a lehető legnagyobb mértékben hibamentesnek és teljesnek kell lenniük, torzítás szempontjából megvizsgálva. Ennek teljesítéséhez kimutatható adatszármaztatás kell, dokumentált eredet, torzításértékelési módszertan eredményekkel, és az a képesség, hogy reprodukálható legyen: melyik adat melyik modellverziót eredményezte.

Azt a pipeline-t építjük meg, amely ezeket az állításokat ellenőrizhetővé teszi ahelyett, hogy szándéknyilatkozatok maradnának: verziózott adatkészletek, reprodukálható felosztások, automatizált adatminőségi ellenőrzések, és torzításvizsgálat az Ön felhasználási esete szempontjából releváns védett tulajdonságokra.

Emberi felügyelet, megépítve és nem kijelentve

A 14. cikk megköveteli, hogy a nagy kockázatú rendszereket úgy tervezzék meg, hogy egy ember megértse a kimenetet, tudatában maradjon az automatizáltságból eredő torzításnak, helyesen értelmezze az eredményt, dönthessen úgy, hogy nem használja, illetve beavatkozhasson vagy leállíthassa a rendszert.

Ez felhasználóifelület-specifikáció. A felügyeletet beleépítjük a termékbe: a magabiztosság és a bizonytalanság őszinte megjelenítése, a kimenet mögötti tényezők láthatóvá tétele, olyan felülbírálás, amelyet ugyanolyan könnyű használni, mint az elfogadást, működő leállítógomb, és minden felülbírálás naplózása, hogy a forgalomba hozatal utáni nyomonkövetésnek legyen miből tanulnia.

Forgalomba hozatal utáni nyomonkövetés és incidensbejelentés

Nyomonkövetési tervet kell készíteni, a súlyos incidenseket pedig be kell jelenteni az illetékes hatóságnak. Megépítjük az ezt tápláló telemetriát: a teljesítmény mérése a dokumentációjában szereplő metrikák ellen, sodródásérzékelés a bemeneteken és a kimeneteken, felhasználói hibabejelentési csatorna, amely eljut a fejlesztésig, és incidenskezelési folyamat, amelybe a határidős kötelezettségek bele vannak építve, nem egy incidens közben derülnek ki.

Átláthatósági kötelezettségek az 50. cikk szerint

Már hatályban. Annak közlése, hogy a felhasználó MI-rendszerrel van dolga, a szintetikus hang, kép, videó és szöveg géppel olvasható megjelölése, a deepfake címkézése és az érzelemfelismerés közlése. Megvalósítjuk a közlési felületeket és a tartalomeredet-jelölést (C2PA content credentialst ott, ahol az a helyes eszköz), és gondoskodunk arról, hogy ezek túléljék azokat az exportálási és újrakódolási útvonalakat, amelyek egyébként le szokták vágni őket.

Nyilvántartásba vétel és megfelelőségértékelés támogatása

A III. melléklet szerinti területeken működő nagy kockázatú rendszereket a forgalomba hozatal előtt be kell jegyezni az uniós adatbázisba, a szolgáltatóknak pedig megfelelőségértékelést kell lefolytatniuk. Előkészítjük a technikai bemeneteket (a dokumentációt, a bizonyítékcsomagot, a minőségirányítási rendszer mérnöki oldali termékeit), és együtt dolgozunk a bejelentett szervezetével vagy a belső értékelési folyamatával.

Amit nem csinálunk

Jogi tanácsot nem adunk, és nem mondjuk meg, melyik kockázati kategóriába tartozik a rendszere. Ez jogi megítélés, valós következményekkel, és a jogi tanácsadóra vagy egy szakképzett megfelelőségi szakértőre tartozik.

MI-irányítási platformot sem árulunk. Ilyenből sok van, és ha az igénye egy MI-rendszernyilvántartás meg egy szabályzati munkafolyamat, akkor ezek egyike jobban ki fogja szolgálni, mint mi. Amit mi csinálunk, az a mérnöki munka magukban a rendszerekben.

Kinek szól

Nagy kockázatú MI-rendszerek szolgáltatóinak a III. melléklet szerint (toborzás és munkavállalói irányítás, hitelbírálat, biztosítási árazás, oktatási értékelés, alapvető szolgáltatásokra való jogosultság, biometrikus rendszerek), akiknek most 2027 decemberéig van idejük, és sok építenivalójuk.

Szabályozott termékbe MI-t beépítő gyártóknak (orvostechnikai eszközök, gépek, járművek), ahol az MI-rendelet egy meglévő megfelelőségi rezsim tetejére ül, és a két dokumentációs készletnek egyeznie kell.

Máshonnan vásárolt, nagy kockázatú rendszereket alkalmazó cégeknek, akiknek saját kötelezettségeik vannak: emberi felügyelet, a bemeneti adatok relevanciája, nyomonkövetés és naplómegőrzés.

Bárkinek, aki generatív funkciót szállít uniós felhasználóknak, ahol az 50. cikk szerinti átláthatóság kockázati kategóriától függetlenül már ma alkalmazandó.

Hogyan zajlik egy együttműködés

Technikai gap-felmérés, két-négy hét. A jogi csapata által megállapított besorolásból indulunk ki, és ez alapján mérjük fel a rendszereit a belőle következő mérnöki kötelezettségekkel szemben. A végtermék egy gap-nyilvántartás (kötelezettség, jelenlegi állapot, mit kell megépíteni, ráfordítás), amelyből a megfelelőségi és a fejlesztési vezető egyaránt tud dolgozni.

Fejlesztés, ütemezve, rendszerint a naplózással és a dokumentációgenerálással kezdve, mert minden más olyan bizonyítékot termel, amelynek valahová meg kell érkeznie.

Készenléti felülvizsgálat a megfelelőségértékelés előtt, összeállított bizonyítékcsomaggal és a megmaradó hiányosságok őszinte megnevezésével.

Szabványok és keretrendszerek

Az (EU) 2024/1689 rendelet és annak III. és IV. melléklete; a CEN/CENELEC JTC 21 készülő harmonizált szabványai; az ISO/IEC 42001 az MI-irányítási rendszerekre és az ISO/IEC 23894 az MI-kockázatkezelésre; a NIST AI Risk Management Framework ott, ahol egy amerikai anyavállalatnak kell igazodni; és a GDPR, amely nem tűnik el, és amely a naplózási döntések nagy részét behatárolja.

Gyakori kérdések

Elhalasztották az MI-rendeletet?

Részben. A Digital Omnibus a nagy kockázatú kötelezettségeket az önálló rendszerek esetében 2027. december 2-ára, a szabályozott termékekbe épített MI esetében 2028. augusztus 2-ára tolta ki. A tiltott gyakorlatok, az MI-jártasság, az általános célú MI-modellekre vonatkozó kötelezettségek és az 50. cikk szerinti átláthatósági szabályok nem kerültek halasztásra, és jelenleg is hatályban vannak.

Csak mások által épített MI-rendszereket használunk. Van kötelezettségünk?

Igen, alkalmazóként. Ide tartozik a rendszer használati utasítás szerinti működtetése, az emberi felügyelet olyan személyekhez rendelése, akiknek megvan hozzá a kompetenciájuk és a hatáskörük, annak biztosítása, hogy a bemeneti adatok relevánsak legyenek a rendeltetési célhoz, a működés nyomon követése és a naplók megőrzése. Könnyebb, mint a szolgáltatói kötelezettségek, de valós, és érdemes tudni, hogy egy rendszer lényeges módosítása vagy a saját név alatti forgalmazása szolgáltatóvá teheti Önt.

A mi rendszerünk nem nagy kockázatú. Van így is teendő?

Valószínűleg kettő. Az 50. cikk szerinti átláthatóság bizonyos rendszerekre kockázati kategóriától függetlenül vonatkozik, ideértve a chatbotokat és a szintetikus tartalom előállítását. A 4. cikk szerinti MI-jártasság pedig általánosságban vonatkozik a szolgáltatókra és az alkalmazókra. Ezen túl megéri, ha a besorolási döntés igazolható, arra az esetre, ha egy hatóság rákérdez.

Tényleg generálható a műszaki dokumentáció?

A nagy része igen. Az architektúra, az adatkészletek leírása, a kiértékelési eredmények, a metrikák, a modellverziók és a változástörténet mind megvan már a rendszereiben; a munka az, hogy build időben, stabil szerkezetben rögzítsük őket. A valóban szöveges részeket (rendeltetési cél, kockázatelemzés, tervezési indoklás) emberek írják, majd ugyanabban a repóban tartjuk őket, hogy mindennel együtt verziózódjanak.

Hogyan viszonyul az MI-rendelet a GDPR-hoz?

Átfedésben vannak, és időnként ellentétes irányba húznak, különösen a naplózásnál. Az MI-rendelet nyomonkövethetőséget akar, a GDPR adattakarékosságot és törlést. A feloldás rendszerint álnevesítés, a naplózott kör gondos szűkítése, és dokumentált célhoz kötött megőrzési idő. Ez tervezési döntés, amelyet egyszer, tudatosan kell meghozni.

Attól, hogy harmadik fél modelljét használjuk, mi leszünk annak a modellnek a szolgáltatója?

Nem, de ha erre a modellre MI-rendszert épít, annak a rendszernek a szolgáltatójává válhat, a hozzá tartozó kötelezettségekkel együtt. Hogy hol húzódik a határ, az attól függ, mit épít és hogyan mutatja be (ez jogi kérdés), a mérnöki következmény viszont az, hogy mindenképpen érdemes abból kiindulni: a saját rendszeréről szóló dokumentációra szüksége lesz.

Kezdjen hozzá

Mondja el, mit csinálnak a rendszerei, és hol tartanak a jogi tanácsadói a besorolással. Felmérjük, mit jelentenek a kötelezettségek kódszinten, és átadunk egy gap-nyilvántartást, soronként megbecsült ráfordítással.

Vegye fel velünk a kapcsolatot MI-rendelet technikai gap-felmérés egyeztetéséhez.

Kapcsolódó szolgáltatások

• MI-ügynökök fejlesztése és MCP-integráció: azoknak a rendszereknek a megépítése, amelyeket ez a szabályozás lefed
• EU Piaci Belépés Fejlesztés: a tágabb uniós digitális megfelelőségi stack
• Webes Akadálymentesítés: az a másik uniós kötelezettség, amelyről kiderül, hogy mérnöki projekt