Összefoglalás
Az EU AI Act halasztása csak a magas kockázatú rendszereket érinti. Az EHS-csapatok mindennapi AI-használatára ma is több szabály vonatkozik: a tilalmak, az átláthatóság, az MI-jártasság és mindenekelőtt a GDPR. A kérdés tehát nem az, hogy használhatsz-e AI-t, hanem hogy milyen adattal, melyik eszközben és milyen célra.
Ez különösen igaz az EHS-ben, ahol baleseti jegyzőkönyvek, foglalkozás-egészségügyi adatok és kamerafelvételek is a napi munka részei. Ezek jó része a GDPR szerint is érzékeny adat.
Webinárunkon ezt jártuk körül dr. Kopasz Jánossal, a Taylor Wessing Budapest IT, Data & Cyber csoportjának vezetőjével és Szűcs-Winkler Róberttel, a denxpert ügyvezetőjével. A résztvevőket menet közben is megkérdeztük. Több mint felük nyilvános, ingyenes AI-eszközt is használ a munkájához, írásos AI-szabályzat viszont csak minden harmadik válaszadó cégénél van.
Ebben a cikkben összeszedtük, mit mutatott a felmérés, mi érvényes ma az EU AI Act és a GDPR szerint, és mit érdemes most átnézned. A teljes beszélgetést a webinár oldalán nézheted vissza.
Mire használják ma az EHS-szakemberek az AI-t?
Oktatóanyag, fordítás, jogszabály-összefoglaló: az AI-t az EHS-ben főleg szöveges munkára használják. Jogilag viszont nem a feladat számít, hanem az adat. Egy munkautasítás fordítása más, mint egy baleseti leírás „kicsinosítása”.
Mire használod az AI-t az EHS-munkádban?
Kevés a szabályzat, sok a saját eszköz
Milyen formában használod az AI-t?
Van nálatok írásos AI-szabályzat?
A „nem tudom” is beszédes: ha a szakember nem ismeri a szabályt, a gyakorlatban nincs szabály.
Mi érvényes már ma az EU AI Act szerint?
Az EU AI Act tilalmai 2025. február 2., átláthatósági szabályai 2026. augusztus 2. óta alkalmazandók. A Digital Omnibus néven ismert (EU) 2026/1744 rendelet csak a magas kockázatú rendszerek határidejét tolta ki. A III. mellékletes felhasználásoké 2027. december 2., a termékbe épített rendszereké 2028. augusztus 2.
A halasztásról szóló hírek sokakat megnyugtattak, pedig a mindennapi EHS-folyamatokat érintő szabályok nagy része nem mozdult. Az Európai Bizottság összefoglalója szerint az EU AI Act 2026. augusztus 2. óta, néhány kivétellel, általánosan alkalmazandó.
Az átláthatósági kötelezettségek részleteit az AI Act Service Desk 50. cikkről szóló oldala foglalja össze. A bírságok sem jelképesek: az AI Act a legsúlyosabb esetekben a globális éves árbevétel 7%-áig, a GDPR 4%-áig terjedő bírsággal számol.
Mi változott az MI-jártasságnál?
Az MI-jártasság (angolul AI literacy) a rendelet hivatalos magyar szövegének kifejezése. Az Omnibus átírta a 4. cikket. A korábbi szöveg megfelelő szintű MI-jártasság biztosítását várta el. Az új szöveg szerint a szolgáltatóknak és az alkalmazóknak intézkedésekkel kell támogatniuk az MI-jártasság fejlődését, konkrét szint előírása nélkül.
A kötelezettség tehát él, csak enyhébben fogalmaz, ahogy az Európai Bizottság MI-jártassággal kapcsolatos kérdés-válasz oldala is összefoglalja. Kopasz János tanácsa: dokumentáld az oktatásokat. Egy incidensnél ez bizonyítja, hogy munkáltatóként megtetted, ami tőled elvárható, és a hatóság enyhítő körülményként veheti figyelembe.
GDPR és az AI: mikor vonatkozik a GDPR az EHS-ben használt AI-ra?
A GDPR ((EU) 2016/679 rendelet) minden olyan AI-használatra vonatkozik, amely személyes adatot érint. Ez akkor is igaz, ha az eszköz az EU AI Act szerint nem minősül AI-nak. A baleseti jegyzőkönyvben rögzített sérülés a GDPR 9. cikke szerint egészségügyi, vagyis különleges adat, amelynek kezelése szigorúbb feltételekhez kötött.
A webinár egyik legfontosabb különbségtétele: az AI Act szerint az számít AI-nak, ami a bemenetből következtet. Egy kézzel írt szabályra épülő riasztás nem AI, de ha embert figyel, a GDPR rá is vonatkozik.
Amikor a környezeti adatból személyes adat lesz
A GDPR a környezetvédelmi adatoknál is előkerülhet. Kopasz János példájában egy szennyvíztelepi akna GPS-naplója önmagában nem személyes adat. Ha viszont a munkaidő-nyilvántartásból kiderül, hogy abban az időpontban csak két kolléga lehetett ott, a két adatbázis együtt már azonosít. Minél közelebb kerül egy adat egy konkrét emberhez, annál inkább érdemes GDPR-szemmel is ránézni.
Mi a shadow AI, és miért kockázatos az EHS-adatoknál?
A shadow AI (árnyék-AI) minden olyan AI-eszköz céges használata, amely kívül esik a jóváhagyott, IT- és jogi kontroll alatt álló rendszereken. Ezt a meghatározást Kopasz János shadow AI-ról szóló cikke adja. A BlackFog és a Sapio 2026-os felmérésében a brit és amerikai nagyvállalati munkavállalók 49%-a használt nem jóváhagyott AI-eszközt.
Ugyanebben a felmérésben a válaszadók 27%-a osztott meg ilyen eszközzel munkavállalói adatot, például nevet, bért vagy teljesítményadatot. Az IBM 2025-ös adatincidens-jelentése szerint a vizsgált szervezetek 20%-ánál történt shadow AI-hoz köthető incidens. Azoknál, ahol AI-hoz kapcsolódó incidens volt, 97%-ban hiányzott a megfelelő AI-hozzáférés-kezelés. Ezek nem EHS-specifikus számok, de a nagyságrendet jól mutatják.
Négy út, amelyen az AI eljut a jegyzőkönyvhöz
Sok cég azt hiszi, tudja, hol használ AI-t. Kopasz János négy gyakori helyzetet különített el, amelyek egy cégen belül együtt is előfordulhatnak:
Mit tegyél, ha saját AI-eszközt használsz?
Először nézd meg a cég szabályzatát. Ha az kifejezetten tiltja a privát fiókok használatát, a céges adat bemásolása munkajogi jogsértés, aminek következménye is lehet. Szabályzat nélkül is igaz: személyes és egészségügyi adat, üzleti titok, jelszó nem kerülhet nyilvános eszközbe, mert ezeket önmagukban is jogszabályok védik. A privát használatnál kapcsold ki a beállításokban, hogy a szolgáltató a bevitt adataidon tanítsa a modellt.
Regionális különbségek: mit tilt az EU AI Act, ami Ázsiában bevett gyakorlat?
Ami Kínában vagy Dél-Koreában bevett munkahelyi gyakorlat, az az EU AI Act szerint tiltott vagy szigorúan szabályozott is lehet. A dolgozók érzelmeinek AI-alapú figyelése az EU-ban 2025. február 2. óta főszabály szerint tilos. Hogy egy rendszer melyik kategóriába esik, azt mindig a konkrét felhasználási cél dönti el.
Szűcs-Winkler Róbert a webinár elején két ázsiai példát hozott. A South China Morning Post 2018-as cikke szerint a kínai State Grid Zhejiang sisakszenzorai a dolgozók szorongását és dühét figyelik. A dél-koreai Dongbu építőipari cég a Herald Business szerint saját vállalati szabályként drónnal és AI-jal ellenőrzi a sisak, a láthatósági mellény és a biztosítóheveder viselését.
Az első Európában a tiltott kategóriába esne. A második itt is elképzelhető, de csak akkor, ha a GDPR és a munkajog feltételei teljesülnek.
Miért nem érzelem a fáradtság?
A mozdonyvezetők fáradtságának figyelése Kopasz János szerint megengedett lehet, mert a fáradtság nem érzelem.
Az EU-OSHA 2026-os tanulmánya arra is figyelmeztet, hogy az AI Act csak kiegészíti a meglévő uniós és nemzeti szabályokat. Az annak való megfelelés így önmagában még nem teszi jogszerűvé a munkahelyi használatot.
Szankcionálható-e a dolgozó a kamerafelvétel alapján?
Igen, ha a rendszert jogszerűen vezették be. Ehhez előzetes és célzott tájékoztatás kell arról, hogy a kamera ilyen célra is működik, és hogy a felvétel munkajogi következménnyel járhat. Erre a külön tájékoztató a biztonságosabb. Ha a kamera automatikusan büntetne, az még kényesebb: a GDPR szerint ilyenkor emberi felülvizsgálatot és tiltakozási lehetőséget kell biztosítani.
Mit ellenőrizz, mielőtt AI-t vezetsz be az EHS-folyamataidba?
„Mindenünk megvan, tehát készen vagyunk.” Kopasz János ezt nevezte a harmadik tévhitnek.
Lehet ISO 42001-tanúsítvány, AI-szabályzat, AI-felelős és adatvédelmi tisztviselő, a holttér mégis megmaradhat, mert mindenki a saját szeletét látja. A holttér egy konkrét folyamat közös végigkövetésével tárható fel, amelyben az EHS, a jog és az IT együtt ül le.
Egy megvásárolt, „GDPR-kompatibilis” jelzésű termék sem zárja le a kérdést. A szállító ígérete a terméket fedi, a tényleges működés nálatok dől el. Ezt érdemes átnézned:
- Készíts AI-leltárt. Vedd sorra a jóváhagyott, a frissítéssel érkező, az árnyék- és az ágensalapú használatot is.
- Kérdezd meg a szállítót. Kié az alapmodell, hová kerül az adat, ki fér még hozzá, tanul-e a modell az adataitokból, és szólnak-e előre a frissítésekről?
- Tisztázd a kilépést. Milyen formában kapjátok vissza az adatokat, ha szerződést bontotok?
- Rögzítsd a célt. Ha új kérdést teszel fel ugyanannak a rendszernek, a besorolást újra kell vizsgálni, és a rendeltetés megváltoztatásával a szerepetek is változhat.
- Vizsgáld meg élesítés előtt. Végezz kockázatvizsgálatot, és adatvédelmi hatásvizsgálatot, ha kötelező.
- Tájékoztasd a dolgozókat. Ahol van üzemi tanács, ott a szükséges egyeztetést is tervezd be.
Mit érdemes most átnézned?
- A halasztás szűk. Az EU AI Act csak a magas kockázatú rendszereknél adott több időt; a tilalmak, az átláthatóság és az MI-jártasság már élnek.
- Az EHS-adat sokszor egészségügyi adat. Egy bemásolt jegyzőkönyv több GDPR-kérdést nyit, mint amennyit a fordítás megold.
- A leltár jön először. Amíg nem tudod, hol és milyen adattal használ AI-t a csapatod, a szabályzat csak papír.
A denxpert AI a Jogi megfelelés menedzsment modulban segít a jogszabályi és saját követelmények feldolgozásában, a szakmai döntés és az ellenőrzés nálad marad. Ha a témát tovább vinnéd, további webinárjainkon rendszeresen foglalkozunk az EHS-szabályozás változásaival.
