EU AI Act
Gyors­talpalóösszefoglaló a mesterséges intelligencia rendeletről

Rendelet (EU) 2024/1689
Az EU AI Act a világ első átfogó jogi keretszabályozása a mesterséges intelligenciáról. Az Európai Parlament és a Tanács 2024. június 13-án fogadta el, 2024. augusztus 1-jén lépett hatályba.

A rendelet kockázatalapú megközelítést alkalmaz: minél nagyobb kockázatot jelent egy AI rendszer az alapvető jogokra, egészségre vagy biztonságra, annál szigorúbb szabályok vonatkoznak rá.

Négy kockázati szintet különböztet meg: tiltott (elfogadhatatlan kockázat), magas kockázatú, korlátozott kockázatú (átláthatósági kötelezettségek) és minimális kockázatú (nincs extra szabály).

3. cikk - Fogalommeghatározások
A rendelet az AI értéklánc minden szereplőjét szabályozza:

• Szolgáltató (Provider): Aki AI rendszert fejleszt és forgalomba hoz. Rá hárul a legtöbb kötelezettség: minőségirányítás, dokumentáció, kockázatkezelés, CE jelölés.
• Alkalmazó (Deployer): Aki az AI rendszert használja - pl. egy munkáltató, aki CV-szűrő szoftvert alkalmaz. Kötelezettségei: használati utasítás követése, emberi felügyelet, munkavállalók tájékoztatása.
• Importőr: Biztosítja, hogy az EU-n kívülről importált AI megfelel.
• Forgalmazó: Ellenőrzi a CE jelölést és a dokumentációt.

2. cikk - Területi hatály
Igen. Az AI Act extraterritoriális hatályú - hasonlóan a GDPR-hoz. Vonatkozik:

• Minden EU-ban letelepedett szolgáltatóra és alkalmazóra
• EU-n kívüli szolgáltatókra, ha az AI rendszerüket az EU piacán forgalomba hozzák
• EU-n kívüli alkalmazókra, ha az AI rendszer kimenetét az EU-ban használják

Ha tehát egy amerikai cég CV-szűrő szoftvert fejleszt, amit európai munkáltatók használnak, az AI Act szabályai vonatkoznak rá.

3. cikk (1) bekezdés
AI rendszer: gépi alapú rendszer, amelyet úgy terveztek, hogy változó szintű autonómiával működjön, és amely a kapott bemenet alapján olyan kimeneteket generálhat - előrejelzéseket, tartalmakat, ajánlásokat vagy döntéseket -, amelyek fizikai vagy virtuális környezetet befolyásolhatnak.

Ez széles definíció: a chatbotoktól a CV-szűrőkön át a prediktív karbantartási rendszerekig szinte mindent lefed, ami gépi tanulást vagy szabályalapú döntéshozatalt használ.

5., 6., 50. cikk
Négy szint:

• Tiltott (elfogadhatatlan kockázat): Teljes tilalom - pl. társadalmi pontozás, munkahelyi érzelemfelismerés (5. cikk). 2025. február 2-tól érvényes.
• Magas kockázatú: Szigorú követelmények - dokumentáció, kockázatkezelés, emberi felügyelet, CE jelölés (6. cikk, III. melléklet). A Digital Omnibus (2026/1744 rendelet) óta: III. melléklet szerinti rendszerekre 2027. december 2-tól, I. melléklet szerinti (termékbiztonsági) rendszerekre 2028. augusztus 2-tól.
• Korlátozott kockázatú: Átláthatósági kötelezettségek - chatbotok, deepfake-ek, generatív AI (50. cikk). 2026. augusztus 2-tól.
• Minimális kockázatú: Nincs külön kötelezettség (pl. spamszűrők, videojáték AI). Csak az AI műveltséghez kapcsolódó 4. cikk vonatkozik rájuk.

5. cikk - 2025. február 2-tól
Az alábbi AI gyakorlatok teljes tilalom alá esnek:

• Szubliminális manipuláció: Tudatosságon kívüli technikák vagy szándékos manipuláció, ami a viselkedés lényeges torzításához és jelentős kárhoz vezet
• Sebezhetőségek kihasználása: Kor, fogyatékosság vagy társadalmi helyzet miatti sebezhetőség kihasználása
• Társadalmi pontozás (social scoring): Személyek értékelése viselkedésük alapján, ha az más kontextusban hátrányos bánásmódot eredményez
• Egyéni bűncselekmény-kockázatbecslés: Kizárólag profilalkotás alapján (kivéve ha ember által végzett értékelést támogat)
• Célzatlan arcfelismerő adatbázis-építés: Arcképek törvényszerűtlen gyűjtése az internetről vagy CCTV-ből
• Munkahelyi és oktatási érzelemfelismerés: AI-val érzelmek következtetése munkahelyen vagy iskolában (kivéve orvosi/biztonsági célú)
• Biometrikus kategorizálás érzékeny jellemzők alapján: Faj, politikai nézet, vallás, szexuális orientáció következtetése biometrikus adatokból
• Valós idejű távoli biometrikus azonosítás: Nyilvános tereken bűnüldözési célú arcfelismerés (szűk kivételekkel)
• Új tilalom 2026. december 2-tól: A Digital Omnibus (2026/1744 rendelet) tiltja azokat az AI rendszereket is, amelyek azonosítható személyekről beleegyezésük nélkül valósághű intim vagy szexuális tartalmat, illetve gyermekbántalmazást ábrázoló anyagot generálnak

5. cikk (1)(f)
Tilos olyan AI rendszert használni, amely munkahelyen vagy oktatási intézményben az érintett személy érzelmeit próbálja következtetni - akár arckifejezésből, hanglejtésből, testbeszédből vagy egyéb biometrikus jelekből.

Gyakorlati példák, amelyek tilosak:

• Videóhívás-elemző szoftver, ami a dolgozó „elkötelezettségét” méri arckifejezés alapján
• Callcenter hangulatérzékelő, ami az operátor stressz-szintjét figyeli
• Videóinterjú-platform, ami a jelölt érzelmeit pontozza

5. cikk (1)(c)
Természetes személyek értékelése vagy osztályozása társadalmi viselkedésük vagy személyes jellemzőik alapján, ha az hátrányos bánásmódot eredményez más kontextusban, vagy aránytalanul hátrányos helyzetet teremt.

Példa: egy munkáltató AI rendszere, amely a dolgozó közösségi médiás aktivitása, vásárlási szokásai vagy közlekedési szokásai alapján „pontszámot” ad, és ez alapján dönt az előléptetésről - ez tilos.

5. cikk (1)(f) - értelmezés
Az anonim munkavállalói elégedettségi felmérés, amelyet a dolgozók önként, tudatosan töltenek ki (pl. „mennyire elégedett vagy?” skálán), nem esik a tilalom alá - mert nem biometrikus jelekből „következtet” érzelmeket, hanem az érintett saját maga nyilatkozik.

A tilalom a rejtett, biometrikus alapú érzelemfelismerésre vonatkozik: arckifejezés, hanglejtés, testbeszéd elemzése. Nem az önkéntes véleménynyilvánításra.

6. cikk, III. melléklet
A III. melléklet 8 kategóriát sorol fel:

• 1. Biometria: Távoli biometrikus azonosítás, biometrikus kategorizálás, érzelemfelismerés
• 2. Kritikus infrastruktúra: Víz-, gáz-, villamosenergia-ellátás, közlekedés irányítása
• 3. Oktatás: Felvételi döntések, vizsgaértékelés, tanulóteljesítmény mérése, csalásérzékelés
• 4. Foglalkoztatás és HR: Toborzás, CV-szűrés, teljesítményértékelés, felmondási döntések
• 5. Alapvető szolgáltatások: Hitelképesség-értékelés, biztosítási kockázatbecslés, szociális segélyjogosultság
• 6. Bűnüldözés: Kockázatbecslés, profilalkotás, bizonyítékértékelés
• 7. Migráció: Belépési kockázatok, menedékjogi kérelmek támogatása
• 8. Igazságszolgáltatás és demokratikus folyamatok: Jogi értelmezés támogatása, választási eredmények befolyásolására használt AI

9-17. cikk
A szolgáltatóknak (fejlesztőknek) biztosítaniuk kell:

• Kockázatkezelési rendszer (9. cikk) - folyamatos, iteratív kockázatelemzés az AI teljes életciklusa során
• Adatkormányzás (10. cikk) - betanítási adatok relevancia, reprezentativitás, hibamentesség biztosítása
• Műszaki dokumentáció (11. cikk) - részletes leírás a forgalomba helyezés előtt
• Automatikus naplózás (12. cikk) - eseménynapló a működés során
• Átláthatóság (13. cikk) - az alkalmazók megérthessék a kimenetet
• Emberi felügyelet (14. cikk) - természetes személyek hatékonyan felügyelhessék
• Pontosság és robusztusság (15. cikk) - megfelelő szintű teljesítmény és kiberbiztonság
• Minőségirányítási rendszer (17. cikk) - dokumentált QMS, arányos a szervezet méretével

48., 43., 47. cikk
A CE jelölés igazolja, hogy a magas kockázatú AI rendszer átesett a megfelelőségi értékelésen és megfelel a rendelet követelményeinek. Digitális AI rendszereknél digitális CE jelölés szükséges az interfészen.

A megfelelőségi értékelés (43. cikk) a III. melléklet 2-8. pontjai szerinti rendszereknél általában belső kontroll eljárás - nem kell külső szervezetet (notified body) bevonni.

Az EU Megfelelőségi Nyilatkozatot (47. cikk) 10 évig meg kell őrizni.

6. cikk (3) bekezdés
Igen, van kivétel. Egy III. mellékletben felsorolt rendszer nem minősül magas kockázatúnak, ha:

• Nem jelent szignifikáns kockázatot az egészségre, biztonságra vagy alapvető jogokra, ÉS
• Nem befolyásolja érdemben a döntéshozatal eredményét

DE van egy fontos korlát: ha a rendszer profilalkotást végez természetes személyek vonatkozásában, az MINDIG magas kockázatúnak minősül - a kivétel nem alkalmazható.

III. melléklet 4. pont
A rendelet a foglalkoztatással kapcsolatos AI rendszereket magas kockázatúnak minősíti. Konkrétan:

• (a) Toborzás/kiválasztás: Célzott álláshirdetés-elhelyezés, állásjelentkezések elemzése és szűrése, jelöltek értékelése
• (b) Munkaviszony-döntések: Előléptetés, felmondás, feladatkiosztás, valamint teljesítmény és viselkedés monitorozása és értékelése

Gyakorlati példák magas kockázatú HR AI-ra:

• CV-szűrő és rangsoroló eszközök
• Videóinterjú-platformok, amelyek mimika vagy beszéd alapján pontoznak
• Műszakelosztó eszközök produktivitási metrikák alapján
• Munkavállalói monitoring szoftver, ami teljesítményt értékel

26. cikk (7) bekezdés
Igen, kötelező. A magas kockázatú AI rendszer munkahelyi alkalmazása előtt a munkáltatónak (alkalmazónak) tájékoztatnia kell:

• A munkavállalói képviselőket (üzemi tanács, szakszervezet)
• Az érintett munkavállalókat

A tájékoztatásnak ki kell terjednie arra, hogy magas kockázatú AI rendszer alkalmazása alá fognak kerülni.

14. cikk - Emberi felügyelet
Nem. A rendelet megköveteli, hogy magas kockázatú AI rendszereknél természetes személyek hatékonyan felügyelhessék a rendszert. Az emberi felügyelőknek képesnek kell lenniük:

• A rendszer képességeinek és korlátainak megértésére
• A kimenet megfelelő értelmezésére
• A rendszer nem használata vagy leállítása melletti döntésre
• Az automatizációs torzítás (overreliance) felismerésére

4. cikk - 2025. február 2-tól, 2026. július 27-től módosítva
Már hatályos! 2025. február 2-tól minden szolgáltató és alkalmazó köteles volt biztosítani, hogy az AI rendszerekkel kapcsolatba kerülő személyzet elegendő szintű AI műveltséggel rendelkezzen.

A Digital Omnibus (2026/1744 rendelet) 2026. július 27-től átfogalmazta a 4. cikket: a szolgáltatóknak és alkalmazóknak intézkedéseket kell tenniük a személyzet AI műveltségének fejlesztésére, de a rendelet nem követeli meg, hogy minden egyes munkatársnál egy meghatározott szintet garantáljanak. A kötelezettség tehát megmaradt, csak a mérce lett reálisabb.

Ez azt jelenti: ha a HR-csapat AI-t használ a toborzásban, a cég köteles gondoskodni arról, hogy megértsék:

• Hogyan működik a rendszer
• Milyen korlátai vannak
• Mikor kell felülbírálni a rendszer javaslatát
• Milyen torzítások (bias) lehetségesek

Preambulum (57), 10. cikk
Igen - és pontosan ezért minősíti a rendelet a HR AI-t magas kockázatúnak. A Preambulum (57) kifejezetten megemlíti, hogy az AI rendszerek fenntarthatják a történelmi diszkriminációs mintákat a toborzásban.

Ha az AI betanítási adatai a múltbeli felvételi döntéseket tükrözik - és azokban szisztematikus elfogultság volt (pl. nemi, etnikai) -, a rendszer ezt a mintát újratermeli és skálázza.

A 10. cikk (adatkormányzás) ezért követeli meg, hogy a betanítási adatok relevánsak, reprezentatívak és lehetőleg hibamentesek legyenek. A rendelet kifejezetten engedélyezi érzékeny személyes adatok feldolgozását is (10. cikk (5)), ha az szigorúan szükséges a torzítás észleléséhez és korrekciójához.

50. cikk (1) bekezdés
Igen. Az AI rendszerek szolgáltatóinak biztosítaniuk kell, hogy a felhasználók tájékoztatást kapjanak arról, hogy AI rendszerrel állnak kölcsönhatásban, nem emberrel.

Nem szükséges, ha ez nyilvánvaló egy ésszerűen informált, figyelmes személy számára - de a legtöbb chatbot esetében igenis kötelező a jelzés.

50. cikk (2)-(4) bekezdés
Minden AI rendszer - beleértve a generatív AI-t -, amely szintetikus tartalmat generál (szöveg, kép, hang, videó), köteles biztosítani, hogy:

• A kimenet géppel olvasható formátumban legyen megjelölve mint mesterségesen generált
• Deepfake-eknél (valós személyekhez hasonlító AI tartalom) nyilvánosságra kell hozni, hogy mesterségesen generált vagy manipulált

Kivétel: művészeti, kreatív, szatirikus vagy fiktív munkáknál az átláthatósági kötelezettség a létezés közzétételére korlátozódik, a mű megjelenítését nem akadályozhatja.

3. cikk (63), 51-56. cikk - 2025. augusztus 2-tól
GPAI modell: nagy mennyiségű adattal, önfelügyelt tanulással betanított AI modell, amely sokféle feladatra képes. Ide tartoznak pl. a GPT, Claude, Gemini, Llama típusú modellek.

Minden GPAI szolgáltatóra vonatkozik (53. cikk):

• Műszaki dokumentáció készítése
• Információ biztosítása a downstream integrálók számára
• Szerzői jogi megfelelés
• Betanítási tartalom összefoglalójának közzététele

Rendszerkockázatú GPAI modellekre (55. cikk) - amelyek betanítási kapacitása meghaladja a 10²⁵ FLOP-ot - további kötelezettségek vonatkoznak: modellértékelés, rendszerkockázat-felmérés, incidens-bejelentés, kiberbiztonság.

3., 26., 27. cikk
Az AI Act és a GDPR egymást kiegészítik, nem helyettesítik:

• Fogalmi összhang: A személyes adat fogalma azonos a GDPR-ral (3. cikk (50))
• DPIA: Az alkalmazók az AI Act szerinti információkat felhasználják a GDPR 35. cikk szerinti adatvédelmi hatásvizsgálathoz (26. cikk (8))
• Alapjogi hatásvizsgálat (FRIA): Közjogi szervek és bizonyos magánszektorbeli alkalmazók kötelesek FRIA-t végezni (27. cikk)
• Automatizált döntéshozatal: Az AI Act emberi felügyeleti követelménye segíti a GDPR 22. cikkének (teljesen automatizált döntéshozatal) betartását is

4., 26., 50. cikk
Ha általános célú AI eszközöket használtok a mindennapi munkában (pl. ChatGPT, Claude, Copilot), a következőkre figyeljetek:

• AI műveltség (4. cikk): Tegyetek intézkedéseket, hogy a személyzet értse, hogyan működik és milyen korlátai vannak - 2025. február 2. óta kötelező (2026. július 27-től módosított szöveggel)
• Átláthatóság (50. cikk): Ha az AI kimenetet ügyfeleknek, jelölteknek vagy munkavállalóknak kommunikáljátok, jelezzétek, hogy AI által generált
• GDPR: Ne osszatok meg bizalmas személyes adatokat (pl. munkavállalói adatokat) publikus AI chatbotokkal
• Belső szabályzat: Készítsetek AI használati irányelvet - mit szabad, mit nem, milyen jóváhagyás kell

Ha viszont magas kockázatú felhasználási célra használjátok (pl. ChatGPT API-val automatizált CV-szűrés), a magas kockázatú rendszerek teljes követelményrendszere vonatkozik.

99., 101. cikk
Háromszintű bírságrendszer:

• Tiltott AI gyakorlatok (5. cikk) megsértése: max. 35 millió EUR vagy a világméretű éves forgalom 7%-a - amelyik magasabb
• Egyéb rendelkezések megsértése: max. 15 millió EUR vagy a forgalom 3%-a
• Helytelen/félrevezető információ: max. 7,5 millió EUR vagy a forgalom 1%-a

GPAI szolgáltatókra (101. cikk): max. 15 millió EUR vagy a forgalom 3%-a.

57., 62., 99. cikk
Igen, több szinten is:

• Alacsonyabb bírságok (99. cikk (6)): KKV-knál a fix összeg vagy a forgalom-arányos százalék közül az alacsonyabbik a bírság (nagyvállalatoknál a magasabbik)
• Szabályozási sandbox (57. cikk): 2027. augusztus 2-ig minden tagállamnak legalább egy működő AI sandboxot kell biztosítania - elsőbbségi hozzáféréssel KKV-k számára, ingyenesen
• Kis közepes vállalkozások (SMC): A Digital Omnibus (2026/1744 rendelet) egyes könnyítéseket, például az egyszerűsített műszaki dokumentációt és a bírságnál az alacsonyabb összeg alkalmazását, a KKV-méretet kinőtt kis közepes vállalkozásokra (small mid-cap) is kiterjesztette
• Csökkentett díjak (62. cikk): Megfelelőségi értékelési díjak arányosan csökkentettek
• Arányos QMS (17. cikk): A minőségirányítási rendszer arányos a szervezet méretével
• Célzott képzési programok és egyszerűsített eljárások

2025. évi LXXV. törvény
Magyarországon a 2025. évi LXXV. törvény hozza létre a hazai intézményi keretrendszert:

• MI Bejelentő Hatóság: A Nemzeti Akkreditáló Hatóság (NAH) - megfelelőség-értékelő szervezetek kijelölése és felügyelete
• MI Piacfelügyeleti Hatóság: Kapcsolattartó pont, post-market felügyelet, szabályozási sandbox működtetése
• Magyar Mesterséges Intelligencia Tanács: Tanácsadó testület - tagjai közt az MNB, GVH, MTA, Magyar Kereskedelmi és Iparkamara
• Szektorális hatáskör: Pénzügyi szolgáltatásoknál az MNB tartja meg a felügyeletet

Gyakorlati útmutató
Javasolt lépések:

• 1. AI leltár: Térképezzétek fel, milyen AI rendszereket használtok (beleértve a beszállítói eszközöket is)
• 2. Kockázati besorolás: Minden rendszert soroljatok be: tiltott, magas kockázatú, korlátozott vagy minimális
• 3. Tiltott rendszerek azonosítása: Ha bármi tiltott kategóriába esik, azonnal le kell állítani (2025. február 2-tól!)
• 4. AI műveltség: Szervezzetek képzést a személyzetnek - ez már most kötelező
• 5. Magas kockázatú rendszerek: Kezdjétek el a dokumentáció, kockázatkezelés, emberi felügyeleti folyamatok kialakítását (III. melléklet szerinti rendszereknél a határidő 2027. december 2.)
• 6. Beszállítói audit: Kérdezzétek meg AI beszállítóitokat a CE jelölésről és a megfelelőségi dokumentációról
• 7. Belső AI szabályzat: Készítsetek vállalati AI irányelvet

26. cikk (8), 27. cikk
Igen, kettős kötelezettség is lehet:

• GDPR DPIA (26. cikk (8)): Az alkalmazó az AI Act szerinti átláthatósági információkat felhasználja a GDPR 35. cikke szerinti hatásvizsgálathoz
• Alapjogi hatásvizsgálat (FRIA) (27. cikk): Közjogi szervek és bizonyos magánszektorbeli alkalmazók (hitelképesség, biztosítás) kötelesek alapjogi hatásvizsgálatot végezni

Ha a GDPR DPIA már megtörtént és átfedi az AI Act FRIA követelményeit, a FRIA kiegészíti azt (27. cikk (4)) - nem kell mindent nulláról.

113. cikk, a 2026/1744 rendelettel módosítva
Lépcsőzetes hatálybalépés (a Digital Omnibus 2026. júliusi módosításával együtt):

• 2024. augusztus 1.: A rendelet hatályba lépése
• 2025. február 2.: ✅ MÁR ÉRVÉNYES! Tiltott AI gyakorlatok (5. cikk) + AI műveltség (4. cikk)
• 2025. augusztus 2.: GPAI modellek kötelezettségei (51-56. cikk)
• 2026. július 27.: Hatályba lép a Digital Omnibus (2026/1744 rendelet), az AI műveltségről szóló 4. cikk módosított szövege alkalmazandó
• 2026. augusztus 2.: A rendelet általános alkalmazási napja - többek között az átláthatósági kötelezettségek (50. cikk) és a rendelet azon részei, amelyeket a módosítás nem halasztott el
• 2026. december 2.: Az új tilalmak (beleegyezés nélküli intim deepfake, gyermekbántalmazást ábrázoló anyag) és a 2026. augusztus 2. előtt piacra került generatív AI rendszerek tartalomjelölési kötelezettsége (50. cikk (2))
• 2027. augusztus 2.: 2025 aug. előtt forgalomba hozott GPAI modellek megfelelése; nemzeti AI sandbox működése
• 2027. december 2.: III. melléklet szerinti magas kockázatú AI (pl. HR, oktatás, hitelbírálat), a hozzájuk tartozó szolgáltatói és alkalmazói kötelezettségek (pl. 26. cikk)
• 2028. augusztus 2.: I. melléklet szerinti, termékbiztonsági jogszabályok alá eső magas kockázatú AI

(EU) 2026/1744 rendelet - Digital Omnibus on AI
Igen. Az Európai Bizottság 2025 novemberében javasolta, az Európai Parlament és a Tanács 2026. július 8-án elfogadta az (EU) 2026/1744 rendeletet (Digital Omnibus on AI). Az Európai Unió Hivatalos Lapjában 2026. július 24-én jelent meg, és 2026. július 27-én lépett hatályba.

• III. melléklet szerinti magas kockázatú rendszerek (pl. toborzás, teljesítményértékelés, oktatás, hitelbírálat): 2026. augusztus 2. helyett 2027. december 2.
• I. melléklet szerinti rendszerek (termékbiztonsági jogszabályok alá eső AI): 2028. augusztus 2.
• Nem csúszott: a tiltott gyakorlatok (2025. február 2. óta), a GPAI-szabályok, az átláthatósági kötelezettségek (50. cikk, 2026. augusztus 2.) és az AI műveltség (4. cikk, módosított szöveggel)

Forrás: az (EU) 2026/1744 rendelet szövege a EUR-Lexen.

4. cikk, 50. cikk
Igen, legalább két kötelezettség biztosan vonatkozik:

• AI műveltség (4. cikk): Ha a személyzet AI-t használ, intézkedéseket kell tennetek, hogy értsék, mit csinálnak - 2025. február 2. óta
• Átláthatóság (50. cikk): Ha AI által generált tartalmat kommunikáltok ügyfeleknek, jelezni kell

Ha viszont magas kockázatú célra használjátok (toborzás, teljesítményértékelés, hiteldöntés), a magas kockázatú rendszerek követelményei is vonatkoznak - mérettől függetlenül.

Összehasonlítás
Fontos különbségek:

• Rendelet vs. irányelv: Az AI Act rendelet - közvetlenül alkalmazandó, nem kell nemzeti jogba átültetni. A GDPR szintén rendelet volt, de sok irányelv (pl. bértranszparencia) nemzeti átültetést igényel.
• Lépcsőzetes hatálybalépés: A GDPR 2 éves átmeneti időt adott; az AI Act több éves, lépcsőzetes rendszert alkalmaz - a 2026/1744 módosítás után az utolsó határidő 2028. augusztus 2. (2024-2028)
• Kockázatalapú: A GDPR minden személyes adatkezelésre vonatkozik; az AI Act csak a kockázatos felhasználásokra ír elő szigorú szabályokat
• Bírságok: Hasonló nagyságrend - az AI Act csúcsbírsága (forgalom 7%-a) magasabb, mint a GDPR-é (4%)

57. cikk - 2027. augusztus 2-ig
Minden tagállamnak legalább egy nemzeti szintű AI szabályozási sandboxot kell működtetnie 2027. augusztus 2-ig (a 2026/1744 rendelet egy évvel kitolta az eredeti 2026. augusztus 2-i határidőt). A sandbox lényege:

• Kontrollált környezet, ahol innovatív AI rendszereket fejleszthetnek és tesztelhetnek a hatóság felügyelete mellett
• KKV-k és startupok elsőbbségi hozzáféréssel és ingyenesen vehetnek részt
• A hatóság segít a megfelelőségi követelmények megértésében
• A sandboxban szerzett tapasztalat megkönnyíti a piacra jutást