AI Act a közbeszerzésben: mit tisztázz a szerződés előtt?

Egy közintézmény AI-alapú jelentkezőszűrést, ügyfélsegítőt vagy adatelemző rendszert vásárol. A szerződés előtt azt kell eldöntenie, mire használja a megoldást, ki felel a működéséért, és milyen bizonyítékot vár a szállítótól. Ugyanaz a technológia más felhasználásnál eltérő kockázati kategóriába kerülhet.

Az AI Act közvetlenül alkalmazandó uniós rendelet, de ez nem jelenti minden rendelkezés azonnali alkalmazását. A 2026. októberi beszerzési tervezésnél már a 2026/1744/EU módosítást is figyelembe kell venni. [4] [5]

Ki minősül alkalmazónak és szolgáltatónak az AI Act szerint?

A 3. cikk szerint szolgáltató az, aki AI-rendszert fejleszt vagy fejlesztet, majd saját neve vagy védjegye alatt forgalomba hoz vagy üzembe helyez, akár díjért, akár ingyen. A nyertes ajánlattevő nem automatikusan szolgáltató: lehet például forgalmazó vagy integrátor. Alkalmazó az a szervezet, amely saját felelősségére használja a rendszert; a közintézmény gyakran ezt a szerepet tölti be. [6]

A 25. cikk alapján az alkalmazó szolgáltatóvá válhat, ha egy már piacra került magas kockázatú rendszert lényegesen módosít úgy, hogy az magas kockázatú marad, vagy egy másik rendszer rendeltetését úgy változtatja meg, hogy az magas kockázatúvá válik. A saját név/védjegy használatának esetét is külön vizsgálni kell. Nem minden konfigurálás jelent ilyen szerepváltást. [7]

Mikor minősül egy közszféra-beszerzés magas kockázatúnak?

A 6. cikk és a III. melléklet alapján például az alábbi felhasználások lehetnek magas kockázatúak:

1. Alapvető közsegélyekhez és szolgáltatásokhoz, köztük egészségügyi szolgáltatásokhoz való jogosultság értékelése, odaítélése, csökkentése, visszavonása vagy visszakövetelése.
2. Oktatási felvétel, tanulási eredmény értékelése, oktatási szint meghatározása vagy tiltott vizsgaviselkedés ellenőrzése.
3. Jelentkezők szűrése, kiválasztása, illetve meghatározott munkáltatói döntések és teljesítményértékelés.
4. Bírósági tény- és jogértelmezés támogatása; továbbá a mellékletben külön felsorolt rendészeti és migrációs felhasználások. Nem minden közigazgatási döntéstámogató rendszer tartozik ide.
5. Kritikus digitális infrastruktúra, közúti forgalom, víz-, gáz-, hő- vagy villamosenergia-ellátás biztonsági komponensei. [8]

Ez nem teljes lista. A 6. cikk (3) szűk kivétele lehet releváns, ha nincs jelentős egészségi, biztonsági vagy alapjogi kockázat, és valamely ott felsorolt eljárási/előzetes feladatfeltétel teljesül; a természetes személyek profilozása e körben mindig magas kockázatú. Az I. melléklethez kapcsolódó termékeknél a 6. cikk (1) szerinti két feltételt és a (1a)–(1c) pontosításokat együtt kell vizsgálni. [9]

Kötelező jogi és műszaki követelmények a magas kockázatú rendszereknél

A magas kockázatú rendszerekre alkalmazandó követelmények között szerepel:

• Kockázatkezelés (9. cikk): dokumentált, ismétlődő életciklus-folyamat. [10]
• Adatminőség (10. cikk): a releváns tanító-, validáló- és tesztadatok reprezentativitása, megfelelő statisztikai tulajdonságai, a hibák és hiányok lehetőség szerinti csökkentése, káros torzítások kezelése. Ez nem abszolút torzításmentességi garancia; adatokkal történő modelltanítást nem használó rendszernél a tesztadatokra vonatkozó szabályt is vizsgáld. [11]
• Dokumentáció és átláthatóság (11., 13. cikk): a megfelelés és a helyes használat értékelését segítő információ. [12]
• Naplózás és emberi felügyelet (12., 14. cikk): megfelelő nyomon követhetőség, az eredmények értelmezése, szükség szerinti figyelmen kívül hagyása vagy felülbírálása, biztonságos megszakítás. Nem minden esemény manipulálhatatlan rögzítésének korlátlan követelménye. [13]
• Pontosság, robusztusság, kiberbiztonság (15. cikk) és az alkalmazandó megfelelőségértékelés, EU-megfelelőségi nyilatkozat, CE-jelölés (16., 43., 47–48. cikk). [14]

Mikor kell alkalmazni? A III. fejezet 1–3. szakasza — a 6. cikk (5) kivételével — III. mellékletes rendszernél 2027. december 2-tól, I. mellékletes rendszernél 2028. augusztus 2-tól alkalmazandó. A korábbi rendszerekre a 111. cikk átmeneti szabályai, egyes termékterületekre a 2. cikk külön hatályszabályai is irányadók. A halasztás nem függeszti fel a már alkalmazandó tilalmakat, átláthatósági vagy adatvédelmi kötelezettségeket. A közbeszerzési műszaki feltételeknek a 2014/24/EU irányelv 42. cikke szerint egyenlő hozzáférést kell biztosítaniuk; a funkcionális leírás az egyik megengedett módszer. [15] [2] [16]

Az ajánlatkérők kötelezettségei a 26. és 27. cikk szerint

A következő feladatok a magas kockázatú rendszerre vonatkozó szabályok alkalmazásakor terhelik az alkalmazót:

1. Alapjogi hatásvizsgálat (27. cikk): a közjogi szerveknek a 6. cikk (2) szerinti rendszer első használata előtt kell elvégezniük, kivéve a III. melléklet 2. pontjának kritikus infrastruktúráit. Nem általános kötelezettség minden magas kockázatú termékrendszerre. A vizsgálat a használatot, érintetteket, kockázatokat, felügyeletet és kezelési intézkedéseket elemzi; változáskor frissítendő, eredménye főszabály szerint bejelentendő. A kapcsolódó adatvédelmi hatásvizsgálat megfelelő részeire hivatkozni lehet, de az nem automatikus helyettesítés. [17]
2. Rendeltetésszerű használat és felügyelet (26. cikk): megfelelő szervezeti/technikai intézkedések, felkészült és felhatalmazott felügyelők, az ellenőrzött bemeneti adatok relevanciája és reprezentativitása. [18]
3. Naplók, kockázatok, incidensek: az alkalmazó ellenőrzése alatt álló automatikus naplók főszabály szerint legalább hat hónapig megőrzendők, az eltérő alkalmazandó jog figyelembevételével. A 26. cikk (5) szerinti kockázatnál késedelem nélküli értesítés és használatfelfüggesztés szükséges; súlyos incidensnél külön azonnali értesítési sorrend irányadó. Nem minden pontatlan kimenet váltja ki automatikusan ugyanazt az eljárást. [19]

Az Európai Bizottság standard szerződéses klauzulái (EU Model Contractual Clauses)

Az Európai Bizottság által támogatott Public Buyers Community MCC-AI-High-Risk és testreszabható MCC-AI-Light mintákat, valamint kommentárt tett közzé. A használatuk önkéntes. A könnyített változatot is arányosan, szükség esetén csak részben érdemes alkalmazni. [3]

A minták AI-specifikus feltételeket adnak például dokumentációhoz, adatkezeléshez, ellenőrzéshez és az eredmények megmagyarázásában való együttműködéshez. Nem teljes szerződések: a kommentár szerint az általános szellemitulajdon-jogokat, átvételt, fizetést, határidőket, alkalmazandó jogot és felelősséget külön kell rendezni. Az adatállományok használati joga nem azonos a teljes modell vagy forráskód tulajdonjogával. [20]

A 2025-ös mintát a 2026-os jogmódosítással is egyeztesd. Általános célú AI-rendszerhez külön adaptáció szükséges; a minták egyszerű átvétele nem garantál megfelelést. [5] [20]

Gyakorlati teendők ajánlatkérőknek és ajánlattevőknek

Ajánlatkérőként: dokumentáld a rendeltetést és kockázatot; azonosítsd a szereplőket és az átadás/használat időpontjára alkalmazandó követelményeket; válassz arányos klauzulákat. Rögzítsd a dokumentációt, emberi felügyeletet, naplóhozzáférést, változáskezelést és incidensfolyamatot. CE-jelölést és megfelelőségi nyilatkozatot az alkalmazandó jogi rezsim szerint kérj, ne minden AI-ra automatikusan. Külön rendezd az IP-, adat-, felelősségi és kilépési feltételeket. [21] [20]

Ajánlattevőként: tisztázd, szolgáltatóként, integrátorként vagy forgalmazóként teljesítesz-e; készíts bizonyítható megfelelési tervet. Ellenőrizd az adatok felhasználási jogait, a szükséges dokumentációt, a felügyeleti és naplózási funkciókat. A szerződésben az általad valóban teljesíthető hozzáférést, támogatást és felelősségvállalást rögzítsd. [22] [20]

Utolsó szakmai felülvizsgálat: 2026-10-10