Elég a GDPR-megfelelés az EU AI Act teljesítéséhez?

Nem. A GDPR csak a személyes adatok kezelését fedi le, az AI Act ezen túl kockázati besorolást, átláthatóságot és emberi felügyeletet is megkövetel. A meglévő GDPR-folyamatok (DPIA, nyilvántartás, tájékoztatók) jó alapot adnak, de az AI Act teljes alkalmazásáig, 2026. augusztus 2-ig ki kell egészítened őket (Európai Bizottság).

Minden AI-rendszerhez kell adatvédelmi hatásvizsgálat (DPIA)?

Nem mindegyikhez. A GDPR 35. cikke akkor írja elő, ha az adatkezelés valószínűsíthetően magas kockázatú az érintettekre nézve. AI-nál tipikus eset az automatizált döntéshozatal, a profilalkotás és a különleges adatok nagymértékű kezelése. Egy belső szövegező asszisztenshez általában nem kell, egy hitelbírálati modellhez szinte biztosan igen.

Vonatkozik az AI Act a mikro- és kisvállalkozásokra is?

Igen, méretkorlát nélkül. A rendelet ugyanakkor arányosít: a bírságoknál kkv-k esetén a fix összeg és az árbevétel-arányos plafon közül a kisebb alkalmazandó (AI Act 99. cikk). Az Adó Online cikke szerint a magyar kkv-knak csak a negyede áll készen szabályozott háttérrel, tehát a felkészüléssel versenyelőnyt is szerezhetsz (Adó Online, 2026).

Mikortól kell teljesen megfelelni az AI Actnek?

A rendelet teljes alkalmazása 2026. augusztus 2-án kezdődik. Egyes kötelezettségek már korábban élnek: a tiltott gyakorlatok és az AI-jártasság 2025. február 2. óta, a GPAI-szabályok 2025. augusztus 2. óta. A 6. cikk (1) szerinti magas kockázatú besorolási kötelezettségek egy része 2027. augusztus 2-től él (AI Act implementation timeline).

GDPR és EU AI Act: így felel meg a céged mindkettőnek