Az e-heti Cybersecurity Cardban bemutatjuk, hogy mi a különbség az AI Act és az ISO42001 között!
AI Act vs. ISO/IEC 42001
Kötelező jogszabály vagy önkéntes szabvány?
AI Act
– Jogi jelleg: Kötelező erejű EU-rendelet, közvetlenül alkalmazandó minden tagállamban.
– Kire vonatkozik? Minden szervezetre, amely az EU-ban mesterséges intelligenciát fejleszt, forgalmaz vagy használ, még akkor is, ha a szervezet székhelye EU-n kívül van.
– Mire fókuszál? Kockázat-alapú besorolás (tiltott, nagy kockázatú, korlátozott kockázatú, minimális kockázatú gyakorlatok), valamint az alapjogok védelme (pl. biometrikus megfigyelés, diszkrimináció elleni védelem).
– Jellege: „Mit szabad és mit nem”, vagyis jogi minimumkövetelmények.
– Hatálybalépés, ütemezés: Fokozatos alkalmazás: 2024. augusztus 1-jén lépett hatályba; 2025. február 2-től a tiltott gyakorlatok, 2025. augusztus 2-től az általános célú AI (GPAI) kötelezettségek, majd 2026–2027 folyamán a nagy kockázatú rendszerekre vonatkozó további kötelezettségek lépnek sorra hatályba (az időközi „AI Omnibus” módosítás tovább pontosította az ütemezést).
– Ellenőrzés módja: Nemzeti piacfelügyeleti hatóságok és az uniós AI Hivatal ellenőrzi, vizsgálhatja és szankcionálhatja a jogsértéseket.
– Következmény: Nem megfelelés esetén jelentős bírság szabható ki (a jogsértés súlyosságától függően akár a globális éves árbevétel számottevő százaléka).
ISO/IEC 42001
– Jogi jelleg: Nemzetközi szabvány (ISO/IEC 42001:2023), önkéntesen bevezethető irányítási rendszer.
– Kire vonatkozik? Bármely szervezetre, mérettől és ágazattól függetlenül, önkéntes alapon.
– Mire fókuszál? AI-irányítási rendszer (AIMS) kiépítése: kockázatkezelés, etikai szempontok, átláthatóság, folyamatos (PDCA: Plan-Do-Check-Act) fejlesztés.
– Jellege: „Hogyan építsünk fel és működtessünk jól működő AI-irányítási rendszert”, vagyis jógyakorlati keretrendszer.
– Hatálybalépés, ütemezés: 2023. december 18-án jelent meg a világ első mesterségesintelligencia-irányítási rendszerszabványaként; bármikor bevezethető és tanúsíttatható, nincs hozzá kapcsolódó jogi határidő.
– Ellenőrzés módja: Független, akkreditált tanúsító szervezet auditálja a szervezetet, és ad ki rá megújítható tanúsítványt.
– Következmény: Önmagában nem kötelező, de a tanúsítás bizalmat épít az ügyfelekben és partnerekben, piaci előnyt jelenthet, és megfelelőségi háttérként szolgálhat az AI Actnek való megfeleléshez is.
Összegzés
Az AI Act jogi minimumkövetelményeket kényszerít ki, az ISO/IEC 42001 jógyakorlatot és strukturált keretrendszert ad hozzá. A kettő nem helyettesíti, hanem kiegészíti egymást: egy jól kiépített, ISO 42001 szerinti AI-irányítási rendszer komoly segítséget nyújthat az AI Actnek való megfeleléshez is.
