MI-megfelelőség: az MI-rendszerek irányítása és az MI alkalmazása a megfelelőségi munkában

Az MI-megfelelőség két dolgot jelent: egyrészt azt a folyamatos munkát, amellyel biztosítható, hogy a szervezet által fejlesztett vagy használt MI-rendszerek megfeleljenek a vonatkozó jogszabályoknak, szabványoknak és belső szabályzatoknak, másrészt az MI alkalmazását a rutinszerű, nagy volumenű megfelelőségi feladatokban.

Ez a cikk mindkét jelentéssel foglalkozik: bemutatja, milyen kockázatokat kezel az MI-megfelelőség, melyek a fő keretrendszerek, hogyan lehet megfelelőségi programot kiépíteni, milyen kontrollok szükségesek az MI-ügynökökhöz, és hol segíti az MI a megfelelőségi csapatokat. A végén azokat a kérdéseket gyűjti össze, amelyeket érdemes feltenni egy megfelelőségi eszköz megvásárlása előtt.

Mi az MI-megfelelőség?

Az MI-megfelelőség két dolgot jelent: az MI-rendszerek összhangba hozását az MI-szabályozásban rögzített előírásokkal, valamint az MI felhasználását megfelelőségi feladatok elvégzésére.

Az első értelemben az MI-megfelelőség biztosítja, hogy egy MI-rendszer a teljes MI-életciklus során – a tanítóadatoktól a teljesítményen át a használatig – betartsa a jogszabályokat, rendeleteket, etikai normákat és belső szabályzatokat.

Például New York City 144. számú helyi rendelete előírja, hogy az automatizált foglalkoztatási döntéshozatali eszközt használó munkáltatók a használatot megelőző egy éven belül végeztessenek torzítási auditot az eszközön, tegyék nyilvánossá az auditra vonatkozó információkat, és értesítsék a munkavállalókat vagy az álláspályázókat.

Az MI-szabályozási megfelelőség folyamatos munka, mivel az MI-alkalmazások frissülnek, a feldolgozott adatok változnak, a szabályozás pedig folyamatosan fejlődik.

A második értelemben a megfelelőségi csapatok rutinszerű, nagy volumenű feladatokra használják az MI-t, például tranzakciók monitorozására, dokumentumok átnézésére és a szabályozási változások nyomon követésére.

Egyes pénzügyi intézmények például MI-vel vizsgálják át a tranzakciókat, és így csökkentik a tranzakciófigyelési riasztások között a téves pozitív találatok számát, mielőtt az elemzők eldöntenék, melyik esetben kell gyanús tevékenységre vonatkozó bejelentést tenni.

MI-megfelelőség vs. MI-irányítás vs. MI-kockázatkezelés

A három fogalom átfedésben van egymással, de más-más területet fed le: az irányítás határozza meg a szabályokat, a kockázatkezelés feltárja, mi romolhat el, a megfelelőség pedig biztosítja a szabályok betartását.

Miért fontos az MI-megfelelőség

Az MI-megfelelőség elérése csökkenti a bírságok kockázatát, védi azoknak a személyeknek a magánszféráját, akiknek az adatait az MI feldolgozza, és lehetővé teszi, hogy a szervezet audit esetén elszámoljon az MI-rendszerek használatával.

• Szabályozói szankciók: Az EU MI-rendelet értelmében egy tiltott MI-gyakorlat alkalmazása – például a munkavállalók érzelmeinek kikövetkeztetése a munkahelyen – akár 35 millió eurós vagy a teljes éves világszintű forgalom 7%-ának megfelelő bírsággal is járhat. A szolgáltatókra és az alkalmazókra a rendelet megsértése esetén akár 15 millió eurós vagy 3%-os bírság is kiszabható.
• Adatvédelem: A személyes adatokat kezelő MI-rendszerekre az adatvédelmi jogszabályok vonatkoznak, például az EU-ban a GDPR. Ez kiterjed a személyes adatokat tartalmazó tanítóadatokra, promptokra és kimenetekre is.
• Auditra való felkészültség: Ha nyilvántartja, mely MI-rendszereket használja, ki hagyta jóvá őket, és hogyan monitorozza őket, választ tud adni a szabályozó hatóságoknak, az auditoroknak és az ügyfeleknek.

Az MI-megfelelőség által kezelt fő kockázatok

Az MI-megfelelőség öt fő kockázatot kezel: az algoritmikus torzítást, a magyarázhatóság hiányát, a hallucinációkat a szabályozott folyamatokban, az adatvédelmi és adatszivárgási kockázatokat, valamint az árnyék-MI-t.

Nagyítás

A fő kockázatok megjelenési formái és néhány példa az ellenőrzésüket szolgáló kontrollokra:

• Algoritmikus torzítás: A modell a tanítóadataiban lévő olyan mintázatokat képez le, amelyek bizonyos csoportokat hátrányosan érintenek. Egy toborzási eszköz például hátrébb sorolhatja a jelölteket az életkort vagy az etnikai hovatartozást közvetetten jelző adatok, például a diplomaszerzés éve vagy az irányítószám alapján. A torzításvizsgálatok, amelyek a különböző demográfiai csoportok eredményeit hasonlítják össze, segítenek feltárni ezeket a mintázatokat.
• A magyarázhatóság hiánya: A szervezet nem tudja megmutatni, hogyan jutott egy modell egy adott döntésre. Ha egy hitelező nem tudja megmagyarázni, miért utasította el a modell a hitelkérelmet, nem tudja megvédeni a döntést. A szervezetek ezt a modell bemeneteinek és döntési logikájának dokumentálásával, valamint nyomon követhető kimenetű modellek választásával előzhetik meg.
• Hallucinációk a szabályozott folyamatokban: Egy generatív MI-eszköz magabiztosan állít valótlanságot. Egy ügyvéd például egy érv alátámasztására kérhet ítélkezési gyakorlatot egy MI-eszköztől, és nem létező bírósági határozatokra mutató hivatkozásokat kaphat. Az ilyen hibák kiszűrhetők, ha minden kimenethez forrásmegjelölést követelnek meg, és egy megfelelő képesítésű szakember ellenőrzi azokat.
• Adatvédelem és adatszivárgás: Bizalmas információk vagy ügyféladatok a szervezet ellenőrzésén kívül eső eszközbe kerülnek. Egy munkavállaló például bemásolhat ügyfélrekordokat egy olyan nyilvános MI-eszközbe, amely a bemeneteket megőrzi a jövőbeli modellek tanításához. A kockázatot csökkenti, ha csak olyan jóváhagyott eszközöket használnak, amelyek esetében a tanításra és az adatmegőrzésre szerződéses korlátozások vonatkoznak.
• Árnyék-MI: A munkavállalók olyan MI-eszközöket használnak, amelyeket a szervezet nem hagyott jóvá, vagy amelyekre nincs rálátása. Egy 2026-os Compliance Week-felmérésben a résztvevők 42%-a számolt be arról, hogy a munkavállalók nem felügyelt módon használnak MI-t. Lehetséges megoldás a jóváhagyott eszközök listája egy gyors MI-eszköz-jóváhagyási folyamattal kombinálva, valamint a webes átjárók alkalmazása.

Az MI-megfelelőség fő keretrendszerei

Az MI-megfelelőség egyrészt kötelező erejű MI-irányítási keretrendszerekre – például az EU MI-rendeletre –, másrészt önkéntes keretrendszerekre – például a NIST AI Risk Management Frameworkre és az ISO/IEC 42001 szabványra – épül, amelyek segítik a szervezeteket az előbbiek teljesítésében.

EU MI-rendelet

Az EU MI-rendelet ((EU) 2024/1689 rendelet) kockázatalapú megközelítést alkalmaz az MI szabályozásában: egyes gyakorlatokat teljes egészében tilt, a nagy kockázatú rendszerekre szigorú korlátozások vonatkoznak, míg másokra csak enyhe átláthatósági szabályok. A rendelet mindenütt vonatkozik a szolgáltatókra és az alkalmazókra, „ahol az MI-rendszer által előállított kimenetet az Unióban használják”.

Az EU MI-rendelet szerinti kötelezettségek a szervezet szerepétől függnek:

• Azoknak, akik nagy kockázatú MI-rendszert fejlesztenek, vagy saját nevük alatt forgalmazzák azt (szolgáltatók), megfelelőségértékelést kell végezniük, el kell helyezniük a CE-jelölést, regisztrálniuk kell a rendszert, műszaki dokumentációt kell vezetniük, és a forgalomba hozatalt követően monitorozniuk kell a rendszert.
• Azoknak, akik más által fejlesztett rendszert használnak (alkalmazók), követniük kell a szolgáltató utasításait, a felügyeletet olyan személyekre kell bízniuk, akik „rendelkeznek a szükséges kompetenciával, képzettséggel és hatáskörrel”, legalább hat hónapig meg kell őrizniük a naplókat, és tájékoztatniuk kell a munkavállalókat és mindazokat, akiket a rendszer döntései érintenek.

Nagyítás

A rendeletet szakaszosan vezetik be. A tiltott gyakorlatokra, az MI-jártasságra és az általános célú MI-re vonatkozó szabályok 2025 óta alkalmazandók, míg a nagy kockázatú rendszerekre vonatkozó kötelezettségek 2027. december 2-án, az uniós termékbiztonsági jogszabályok hatálya alá tartozó termékekbe épített MI esetében pedig 2028. augusztus 2-án lépnek életbe.

A minőségirányítási rendszerekről szóló EN 18286:2026 az első olyan európai szabvány, amely a rendelet alkalmazását támogatja. Az azt követő szolgáltatók esetében vélelmezni kell, hogy megfelelnek a rendelet minőségirányítási követelményének.

NIST AI Risk Management Framework

A 2023 januárjában közzétett NIST AI RMF (Risk Management Framework, kockázatkezelési keretrendszer) egy önkéntes amerikai keretrendszer, amely négy funkcióra épül: Govern (irányítás), Map (feltérképezés), Measure (mérés) és Manage (kezelés).

A keretrendszer 2024 júliusában kiadott Generative AI Profile című kiegészítése a generatív MI kockázataira alkalmazza a keretrendszert.

ISO/IEC 42001

Az ISO/IEC 42001 az MI-irányítási rendszerekre vonatkozó nemzetközi szabvány, amely a felelős MI-fejlesztést és -használatot szabályozó szabályzatokra, szerepkörökre és folyamatokra terjed ki. A tanúsítás önkéntes, és azt független tanúsító szervezetek végzik, nem maga az ISO.

A tanúsítvány a szervezet irányítási rendszerére vonatkozik, nem egy adott MI-termékre.

Az MI-re vonatkozó amerikai és ágazati szabályok

Az Egyesült Államokban nincs egységes szövetségi MI-törvény. A szabályokat városok és államok alkotják, illetve az MI-re is alkalmazandó meglévő törvényekből és rendeletekből erednek.

Például a 2027. január 1-jén hatályba lépő coloradói SB26-189 törvény az automatizált döntéshozatali technológiát szabályozza, az adatvédelmi törvények – például a California Consumer Privacy Act (CCPA) vagy a HIPAA – pedig minden olyan esetben alkalmazandók, amikor az MI védett adatokat dolgoz fel.

Hogyan építsünk ki MI-megfelelőségi programot

Egy MI-megfelelőségi program kiépítése hat lépésből áll: az MI-rendszerek leltárba vétele, kockázat szerinti besorolásuk, a kontrollok hozzárendelése a vonatkozó szabályokhoz, a felelősök kijelölése, az egyes rendszerek dokumentálása, valamint monitorozásuk olyan nyilvántartásokkal, amelyeket egy auditor ellenőrizni tud.

Nagyítás

Az alábbi lépések mindegyike azzal a dokumentummal zárul, amelyet eredményez:

1. Vegyen leltárba minden MI-rendszert. Sorolja fel azokat a rendszereket, amelyeket a szervezet fejleszt, vásárol vagy használ, beleértve a meglévő szoftverekbe épített MI-funkciókat és a munkavállalók által jóváhagyás nélkül bevezetett eszközöket is. Rögzítse mindegyiknél, mire szolgál, ki használja, és milyen adatokhoz fér hozzá.
   Eredmény: MI-leltár.
2. Sorolja be az egyes felhasználási eseteket kockázat szerint. Értékelje az egyes rendszereket az általuk okozható kár alapján, például az EU MI-rendelet kockázati szintjei szerint. Egy életbiztosítási díjakat megállapító eszköz például a rendelet szerint nagy kockázatúnak minősül, míg egy belső értekezleteket összefoglaló eszköz nem.
   Eredmény: Kockázati nyilvántartás.
3. Rendelje hozzá a kontrollokat a vonatkozó szabályokhoz. Sorolja fel az egyes rendszerekre vonatkozó jogszabályokat, szabványokat és belső szabályzatokat, valamint az egyes megfelelőségi követelményeket teljesítő kontrollokat. Egy dokumentált emberi felülvizsgálat például segít teljesíteni az EU MI-rendelet nagy kockázatú rendszerekre vonatkozó emberi felügyeleti követelményeit, valamint a NIST AI RMF dokumentált emberi felügyeleti folyamatokra vonatkozó elvárását.
   Eredmény: Kontrolltérkép.
4. Jelölje ki a felelősöket és az emberi felügyeleti pontokat. Nevezzen meg egy felelőst minden rendszerhez, és döntse el, hol vizsgálja felül ember a rendszer kimenetét. Például a jogi és a megfelelőségi terület felel a kötelezettségekért, a biztonsági terület a műszaki kontrollokért, az üzleti felelősök a saját felhasználási eseteikért, egy vezető pedig összességében elszámoltatható. Gondoskodjon arról, hogy a szervezet egészében mindenki tájékozott legyen, és alakítson ki egyértelmű kommunikációs csatornákat.
   Eredmény: Rendszerenként megnevezett felelősök.
5. Dokumentálja az egyes rendszereket. Rögzítse minden rendszer célját, tanítóadatait, tesztelését és ismert korlátait olyan formátumokban, mint a modellkártyák és a hatásvizsgálatok. A nagy kockázatú rendszerek szolgáltatóinak az EU MI-rendelet IV. mellékletében előírt műszaki dokumentációt is el kell készíteniük.
   Eredmény: Rendszerdokumentációs csomag.
6. Monitorozzon, naplózzon, és őrizze meg a bizonyítékokat. A naplókat már a kezdetektől auditbizonyítékként tervezze meg, hogy igazolni lehessen, mit csinált egy rendszer, és ki vizsgálta felül. Az EU MI-rendelet előírja, hogy a nagy kockázatú rendszerek teljes élettartamuk során automatikusan rögzítsék az eseményeket. Az auditnaplónak a következőket kell tartalmaznia:
   • A használt modell és annak verziója
   • A bemenetek és a kimenetek, vagy azok meghatározott mintája
   • A tanító- vagy finomhangolási adatok
   • Az emberi felülvizsgálati pontok és azok eredményei
   • Az ügynök által végrehajtott műveletek és az általa használt engedélyek
   • Az egyes nyilvántartások megőrzési ideje

Eredmény: Monitorozási nyilvántartások és auditnapló.

A speciális MI-megfelelőségi eszközök, például az IBM watsonx.governance és a OneTrust AI Governance, átvehetik a program egyes részeit, többek között az MI-leltárt, az EU MI-rendelet szerinti kockázatértékeléseket és a dokumentációt.

Hogyan hagyjuk jóvá a munkavállalók által használható MI-eszközöket

Egy MI-eszköz jóváhagyása előtt négy dolgot érdemes ellenőrizni:

• Adathozzáférés: Mely fájlokat, rendszereket és csatlakoztatott tudásbázisokat olvashatja az eszköz, és tartalmaznak-e ezek olyan személyes adatokat, amelyeket kiszivárogtathat.
• Tanítás a bemeneteken: A szállító felhasználja-e a promptokat, a fájlokat vagy a kimeneteket a modelljei tanításához, és tiltja-e ezt a szállítóval kötött szerződése.
• Adatmegőrzés: Mennyi ideig őrzi meg a szállító a promptokat, a fájlokat és a beszélgetési előzményeket, és lerövidíthető-e ez az időtartam.
• Tárolási hely és adattovábbítás: Hol tárolja és dolgozza fel az adatokat a szállító, beleértve az Ön régióján kívülre történő adattovábbítást is.

Megfelelőségi kontrollok MI-ügynökökhöz

Az MI-ügynököknek több kontrollra van szükségük, mint a csevegőeszközöknek, mert maguk döntik el a lépéseiket, és a számukra biztosított eszközökön és engedélyeken keresztül cselekszenek. Három kontroll tartja őket kordában:

• Hozzáférés a legkisebb jogosultság elve alapján: Csak a feladatához szükséges eszközöket és engedélyeket adja meg az ügynöknek. Az OWASP Top 10 for LLM Applications 2026 szerint az egyik legjelentősebb biztonsági kockázat a túlzott önállóság (Excessive Agency), amikor egy ügynök többre képes, mint amit a feladata megkövetel.
• Napló minden műveletről: Rögzítse az összes eszközhívást, az elért adatokat és a felhasznált engedélyeket, hogy visszakövethető legyen, mit tett az ügynök, és kinek a nevében.
• Emberi jóváhagyás a nagy hatású műveletekhez: Írja elő, hogy egy személy erősítse meg azokat a lépéseket, amelyek adatokat küldenek a szervezeten kívülre, pénzt mozgatnak, vagy nem vonhatók vissza.

Hogyan használják az MI-t a megfelelőségi munkában

A megfelelőségi és kockázatkezelési csapatok MI-t használnak a kontrollok monitorozására, a kockázatok értékelésére, a szabályozási változások nyomon követésére, a dokumentumok átnézésére és a pénzügyi bűncselekményekkel kapcsolatos riasztások osztályozására.

Egy 2026-os, 193 megfelelőségi, etikai, kockázatkezelési és auditvezető körében végzett Compliance Week-felmérésben a válaszadók több mint 83%-a nyilatkozott úgy, hogy használ MI-t, és csaknem 40%-uk szerint a vállalatuk már be is vezette kockázatértékelésre és monitorozásra.

Az MI gyakori felhasználási esetei a megfelelőség területén:

• Folyamatos megfelelőségi monitorozás és bizonyítékgyűjtés: Az MI ellenőrzéseket futtat, és bizonyítékokat gyűjt arról, hogy azok működnek (pl. egy üzemben esedékességüket túllépett berendezés-biztonsági felülvizsgálatok).
• Kockázatértékelés és rangsorolás: Az MI kockázat szerint rangsorolja az üzleti egységeket vagy a harmadik feleket (pl. új szankciókkal vagy peres kockázattal érintett beszállítókat).
• Szabályozási változások monitorozása: Az MI nyomon követi a szabályozó hatóságok közleményeit, és összefoglalja a változásokat (pl. a korrupcióellenes iránymutatás olyan módosítását, amely csökkenti a költségtérítési szabályzatban szereplő ajándékértékhatárt).
• Dokumentumok és szabályzatok felülvizsgálata: Az MI a követelményekkel veti össze a szerződéseket és a szabályzatokat (pl. auditjogi záradékot nem tartalmazó beszállítói szerződések).
• Pénzügyi bűncselekmények szűrése: Az MI osztályozza a tranzakciófigyelési és ügyfélellenőrzési riasztásokat (pl. a szankciós listákon szereplő névegyezéseket, amelyekről kiderül, hogy egy másik személyre vonatkoznak).

A megfelelőségi célokra használt MI ugyanolyan irányítást igényel, mint más MI-rendszerek. Ahogy az Egyesült Királyság pénzügyi felügyeleti hatósága (Financial Conduct Authority) 2026 októberében kijelentette: „a cégek felelősek az általuk fejlesztett, beszerzett és bevezetett MI-rendszerekért – beleértve azok kimeneteit és eredményeit is”, és arra figyelmeztetett, hogy az emberi felülvizsgálat ne váljon „»pipálgatós« formalitássá”.

A gyakorlatban az MI-eszközök elvégezhetik a rutinfeladatokat, például a bizonyítékgyűjtést vagy a szabályozási változások jelzését, a jogi felelősséggel járó döntéseket azonban nem – ilyen például annak eldöntése, hogy jelenteni kell-e egy gyanús tevékenységet, vagy hogy hogyan alakítsák ki a szabályzatokat.

Adatkezelési beállítások a Perplexity Enterprise-ban

A Perplexity Enterprise a rendszergazdák kezébe adja a bemeneteken végzett tanítást, az adathozzáférést és az adatmegőrzést szabályozó beállításokat:

• Nincs tanítás az Ön adatain: A Perplexity soha nem használ vállalati tartalmat MI-modelljei tanítására, a külső modellszolgáltatókkal kötött megállapodásai pedig megtiltják, hogy azok ezen a tartalmon tanítsák a modelljeiket.
• Hozzáférés-szabályozás: Az SSO, a SCIM és a szerepköralapú jogosultságok határozzák meg, ki tölthet fel fájlokat és ki oszthat meg válaszokat.
• Adatmegőrzés és auditnaplók: A munkamenetekhez csatolt fájlok hét nap után törlődnek. Az 50 vagy több hellyel, illetve legalább egy Enterprise Max hellyel rendelkező szervezetek a munkamenetek megőrzési idejét is beállíthatják, és auditnaplókat kaphatnak a felhasználói tevékenységről.
• Tanúsítványok: A Perplexity SOC 2 Type II tanúsítvánnyal rendelkezik, megfelel a GDPR előírásainak, és védett egészségügyi információkkal csak aláírt üzleti partneri megállapodás (Business Associate Agreement) alapján engedi a munkát.

Ha szeretné részletesen megismerni ezeket a beállításokat, vegye fel a kapcsolatot értékesítési csapatunkkal, és foglaljon személyre szabott bemutatót.

Gyakran ismételt kérdések

Mi az uniós MI-megfelelőség?

Az uniós MI-megfelelőség azt jelenti, hogy teljesíti az uniós MI-rendelet szerepkörére (szolgáltató vagy alkalmazó) és az egyes rendszerek kockázati besorolására vonatkozó kötelezettségeit. A kötelezettségek szakaszosan lépnek életbe: a magas kockázatú rendszerekre vonatkozó kötelezettségek 2027. december 2-án kezdődnek.

Mi az a HIPAA-megfelelő MI?

A HIPAA-megfelelő MI olyan eszköz, amelyet a HIPAA védett egészségügyi információkra vonatkozó biztosítékainak keretein belül használnak. Ha az eszköz szállítója tárolja vagy feldolgozza ezeket az információkat, az Egyesült Államok Egészségügyi és Humán Szolgáltatások Minisztériuma előírja, hogy előbb aláírt üzleti partneri megállapodást (Business Associate Agreement) kössenek.

Vonatkozik az uniós MI-rendelet az amerikai vállalatokra?

Igen. Az MI-rendelet azokra az amerikai vállalatokra vonatkozik, amelyek MI-rendszereket hoznak forgalomba az uniós piacon, valamint azokra, amelyek MI-rendszereinek kimenetét az EU-ban használják.

Helyettesítheti az MI a megfelelőségi felelősöket?

Az MI nem helyettesítheti a megfelelőségi felelősöket. A szervezetek felelősek a munkájukért, az MI-technológiák pedig hibázhatnak, ezért a megfelelőségi felelősöknek továbbra is alaposan ellenőrizniük és jóváhagyniuk kell az MI kimeneteit.