AI Act megfelelőségi felkészítés

Ki tudja, milyen szabályok vonatkoznak a cégre, most hogy elkezdett AI-t használni.

Az egyik ügyfél küld egy negyven kérdéses AI-átvilágítási űrlapot, esetleg egy pályázat kérdez rá az AI Act-megfelelésre, és az őszinte válasz az, hogy ennek még senki nem nézett utána. Bár a munkáltatókra vonatkozó AI-jártassági kötelezettség 2025 februárja óta él, egyelőre nagyon kevés cégnek volt lehetősége és kapacitása elmélyülni benne. Mindeközben egyre több AI-funkció jelenik meg olyan szoftverekben, amelyeket már használnak, anélkül hogy bárki átnézné a feltételeket vagy megkérdezné, mi történik az adattal.

Az ügyvédi iroda segíte eldönteni, mi vonatkozik önökre. Az AI-szállító vállalja, hogy a terméke teljesíti a feltételeket — amelyek a saját termékére vonatkoznak, nem pedig annak felhasználására. Megdöbbentően nehéz megteremteni a megfelelő kontrollokat, beszerezni a megfeleléshez szükséges bizonyítékokat.

A GDPR-kockázat az AI Acttől függetlenül is fennáll: ha személyes adat adatfeldolgozói megállapodás nélkül kerül egy AI-eszközbe, azzal a cég megsértheti a GDPR előírásait. .

Hat lépésben, nyolc-tíz hét alatt

1. Igényfelvétel Időtartam: Egy hét. Miután leültünk a szponzorral átbeszélni a pontos igényeket, elindul egy az IT-val és a területvezetőkkel közös leltárfolyamat: végigveszünk minden AI-eszközt, minden AI-képes rendszert, és azt, hogyan használják ezeket valójában.
2. Készültségi felmérés Időtartam: Egy-két hét. Minden AI- vagy AI-t használó eszköz alkalmazási módja szerint meghatározzuk az Önök AI Act szerinti szabályozói szerepkörét – vagyis azt, hogy az adott esetben alkalmazónak, szolgáltatónak minősülnek-e, vagy egyik kategóriába sem tartoznak az AI Act III. melléklete alapján. Ugyanezen szempontok szerint áttekintjük az egyes beszállítók szerződéses feltételeit is, majd feltárjuk, hogy a szükséges követelmények közül melyek rendezettek már, és hol találhatóak még hiányosságok.
3. Munkaterv és teljesítési keretek Időtartam: Egy hét, a végén egy órás megbeszéléssel. Ezalatt teljes körűen feltérképezzük, mely eszközök és felhasználási módok tartoznak a megbízás hatálya alá, milyen kötelezettségeknek kell megfelelni, mely folyamatokba épülnek be az egyes kontrollok, és mi tartozik a teljesítési keretbe. A megbeszéléstől kezdve a megbízás keretei és munkaterve csak írásos változtatáskérésen keresztül módosítható.
4. Kötelezettségnyilvántartás és szállítói átvizsgálás Időtartam: Két-három hét. Minden alkalmazandó jogszabályi rendelkezést konkrét követelményre, kontrollra, felelősre és elvárt bizonyítéktípusra bontunk. Emellett minden AI-eszközt adatkezelési szempontból is átvilágítunk: rendelkezésre állnak-e a szükséges megállapodások, tisztázott-e hogy történik az adatok tárolása, kizárható-e az adatok modelltréning célú felhasználása, valamint milyen adatmegőrzési szabályok vonatkoznak az egyes eszközök által tárolt adatokra.
5. Kontrollok beépítése Időtartam: Két-három hét. Az AI-eszközökre vonatkozó hozzáférési, identitáskezelési, naplózási és adatosztályozási kontrollokat beépítjük a meglévő IT-folyamatleírásokba, az AI-kockázatokat pedig feltérképezzük, felelősökhöz rendeljük és hozzáadjuk a kockázati nyilvántartáshoz.
6. Jóváhagyás és átadás Időtartam: Egy hét. A hét során leülünk a vezetői szponzorokkal és az érintett felelősökkel, hogy jóváhagyják a felmérésről készült jelentést, majd átadjuk az indexált evidencia-csomagot, valamint egy előre feltöltött válaszgyűjteményt, amely jelentősen megkönnyíti a jövőbeni ügyfélkérdőívek kitöltését.

A Premium csomag mindezeken felül megvalósítási támogatást biztosít cége IT-csapata vagy IT szolgáltatója számára a nem megfelelő partneri szerződéses feltételek újratárgyalásában, tartalmaz egy hatósági ellenőrzést megelőző próbavizsgálatot, valamint támogatást legfeljebb három ügyfélkérdőív megválaszolásához az elkészült dokumentáció alapján.

• Entry — AI - érettségi felmérés A belépő csomag keretében elkészítjük az AI-eszközök és felhasználási esetek leltárát, meghatározva az egyes esetekhez tartozó szabályozói szerepkört; feltérképezzük az alkalmazandó kötelezettségeket, illetve az AI Act szerinti szolgáltatói besorolást. A csomag átfogó képet ad arról, hogy a szervezet jelenleg milyen AI-érettségi szinten áll, milyen hiányosságokat kell kezelni, és várhatóan milyen költséggel jár ezek megszüntetése.
• Standard — a megfelelőségi alap Az oldalon felsorolt valamennyi szolgáltatás megvalósulása: a kötelezettség-nyilvántartás létrehozása; az AI-jártasságot és az átláthatósági követelmények teljesítését igazoló bizonyítékok dokumentálása; a beszállítók felülvizsgálata a kötelezettség-nyilvántartásban rögzítettek alapján; a vállalat által használt AI-eszközökhöz szükséges kontrollok beépítése a megfelelő folyamatokba; a kapcsolódó kockázatok nyilvántartásba vétele; a bizonyítékcsomag összeállítása egy jövőbeni vagy közelgő audit számára; valamint az említett változtatások bevezetéséhez szükséges vezetői jóváhagyások megszerzése.
• Premium — bevezetéssel Minden, amit a Standard csomag tartalmaz, kiegészítve a szükséges kontrollok  az Önök IT-csapatával vagy IT szolgáltatójával együttműködve történő bevezetésével; szükség esetén segítség a beszállítói feltételek újratárgyalásában; egy auditot megelőző próbavizsgálattal; valamint – amennyiben releváns – segítség a következő három ügyfélkérdőív kitöltésében.
• Egyedi AI-szolgáltatók; az AI Act III. melléklete alapján magas kockázatúnak minősülő AI-eszközöket alkalmazó szervezetek; szabályozott ágazatokban működő vállalatok; valamint több jogi személyből álló vállalatcsoportok számára.