Az elmúlt bő másfél évben, mióta a ChatGPT széles körben elérhetővé vált, a nagy nyelvi modelleken (Large Language Model, LLM) alapuló megoldások hihetetlen tempóban váltak mind a munkahelyi, mind a magáncélú használatban alapvető eszközökké. Olyan esetekben, amikor akár ezen modellek fejlesztéséhez (tanításához), vagy a használatukhoz személyes adatok kezelése is szükséges, illetve személyes adatok kezelésére kerül sor, akkor természetesen az adatvédelmi szabályoknak való megfelelés is elengedhetetlen. Nem véletlen, hogy több adatvédelmi hatóság is foglalkozott az LLM-ek és az adatvédelem kapcsolatával. Legutóbb az ír és a hamburgi adatvédelmi hatóság publikált kifejezetten a nagy nyelvi modellekre fókuszáló iránymutatásokat. (Az ír adatvédelmi hatóság iránymutatása elérhető itt, a hamburgi hatósági dokumentum pedig itt.)

The provisions of the AI Act on prohibited AI practices (Article 5 of the AI Act) will become applicable quite quickly, 6 months after the entry into force of the AI Act (i.e. from February 2, 2025).

As discussed in a previous post, the AI Act takes a risk-based approach and accordingly, we can distinguish AI practices that should be prohibited due to unacceptably high risks (prohibited AI practices, Article 5 of the AI Act, e.g. social scoring systems), high-risk AI systems that require strict requirements and compliance with a number of obligations set out in the AI Act (high-risk AI systems, Article 6 of the AI Act) and other lower-risk AI systems that are essentially subject to transparency obligations (Article 50 of the AI Act, e.g. chatbots). (There are additional AI systems with minimal risk for which no additional requirements are essentially laid down in the regulation. This category could include, for example, spam filters.)

In the following, I will take a closer look at the so-called prohibited AI practices deined in the AI Act.

A mesterséges intelligenciára vonatkozó rendelet legahamarabb alkalmazandó szakaszai a tiltott MI-gyakorlatokra vonatkozó előírások (MI Rendelet, 5. cikk), amelyek 6 hónappal az MI Rendelet hatályba lépését követően, azaz 2025. február 2-től már alkalmazandóvá is válnak. Az MI Rendeletet részletesen bemutató sorozatom előző részében ezen tiltott MI-gyakorlatok közül mutattam be az első négyet, a mai posztban pedig folytatom a tiltott MI-gyakorlatok bemutatását további négy tiltott gyakorlat részletes ismertetésével. (A két posztban tehát valamennyi tiltott gyakorlat bemutatásra kerül.)

A mesterséges intelligenciára vonatkozó rendelet legahamarabb alkalmazandó szakaszai a tiltott MI-gyakorlatokra vonatkozó előírások (MI Rendelet, 5. cikk). Ezek 6 hónappal az MI Rendelet hatályba lépését követően, azaz 2025. február 2-től már alkalmazandóvá is válnak. 

Ahogy arról egy korábbi posztban már volt szó, az MI Rendelet kockázatalapú megközelítést alkalmaz és  ehhez igazódóan az MI Rendelet alapján megkülönböztethetünk olyan MI-gyakorlatokat, amelyeket elfogadhatatlanul magas kockázat miatt tiltani kell (tiltott MI-gyakorlatok, MI Rendelet 5. cikk, pl. társadalmi pontozási rendszerek), magas kockázattal járó MI-rendszereket, amelyek esetében szigorú követelményekre, számos kötelezettség betartására van szükség (nagy kockázatú MI-rendszerek, MI Rendelet 6. cikk), illetve egyéb, alacsonyabb kockázatú MI-rendszereket, amelyek alapvetően átláthatósági kötelezettségek (MI Rendelet, 50. cikk, pl. chatbotok) hatálya alá esnek. (Lehetnek további olyan minimális kockázattal járó MI-rendszerek, amelyekre lényegében nem állapít meg további követelményeket a szabályozás. Ebbe a kategóriába tartozhatnak pl. a spam szűrők.)

Az alábbiakban az MI Rendeletben szereplő ún. tiltott MI-gyakorlatokat vizsgálom meg közelebbről. 

The AI Act is classified as a regulation with a risk-based approach. But what does this mean in practice? What risks does the AI Act address and how? I address this topic below, also taking into account the risk-based approach of the GDPR and its similarities and possible differences with the AI Act.

A mesterséges intelligenciáról szóló rendelet kapcsán gyakran elhangzik, hogy kockázatalapú megközelítést alkalmaz a szabályozás. De mit is jelent ez a gyakorlatban? Milyen kockázatokat kezel az MI Rendelet és hogyan? Az alábbiakban ezt a kérdést járom körül, kitérve a GDPR kockázatalapú szabályozására és annak az MI Rendeletben alkalmazottakkal való hasonlóságára, illetve esetleges különbségeire is.  

From the point of view of the application of the AI Act, the question of how to interpret the definition of AI systems is a crucial question. Therefore, in this post, I will examine what can be understoodunder the concept of an AI system under the AI Act and how an AI system can be distinguished from a 'traditional' IT system.

Az MI Rendelet alkalmazása szempontjából megkerülhetetlen kérdés, hogy miként kell értelmezni az MI-rendszer rendeletben szereplő fogalmát. Éppen ezért az alábbi posztban azt járom körül, hogy mit fed le az MI Rendelet MI-rendszer fogalma, illetve miként határolható el egy MI-rendszer egy "hagyományos" IT rendszertől, melyek azok a megkülönböztető jegyek, amelyek alapján egy rendszer kapcsán azt mondhatjuk, hogy MI-rendszerről van szó. 

In Part 2 of my blog series related to the preparation for the application of the AI Act, I deal with the scope of the AI Act, i.e. I examine in more detail the personal, territorial and material scope of application of the regulation. The exceptions to the scope of the regulation will also be discussed below. The question of personal, territorial and material scope is contained in Article 2 of the AI Act, so I will start from the interpretation of this Article.

1. Who is covered by the AI Act and with what territorial scope?

As I discussed in Part 1 of these series, the scope of the AI Act covers the following operators:

• provider
• deployer
• importer
• distributor
• product manufacturer
• authorised representative of non-EU providers.

In order to decide whether the AI Act should apply to the specific activities of these operators, the provisions on territorial scope should also be taken into account. With regard to the territorial scope, it is worth pointing out that a solution familiar from the GDPR will also appear in the AI Act, according to which even entities established outside the EU will have to apply the requirements of the regulation if their activities also extend to the EU (e.g. AI systems are placed on the market or put into service in the EU, or outputs produced by an AI system are used in the EU).

This extraterritorial scope should ensure that providers or deployers of AI systems placed on the market or put into service in the EU or having an impact on persons located in the EU cannot avoid the application of EU law by choosing their place of establishment. This is also referred to in the recitals to the AI Act, which stresses the need to apply the regulation to providers of AI-systems in a non-discriminatory manner, irrespective of whether they are established within the Union or in a third country, and to deployers of AI systems established within the Union, in order to ensure a level playing field and an effective protection of rights and freedoms of individuals across the Union (see Recital (21)).

Az MI Rendeletre való felkészüléshez kapcsolódó sorozat 2. részében az MI Rendelet hatályával foglalkozom, azaz azt vizsgálom meg részletesebben, hogy milyen személyi, területi és tárgyi hatállyal kell alkalmazni a rendeletet. (Az időbeli hatály kérdésével a sorozat 1. részében már foglalkoztam röviden.) Kitérek arra is, hogy a rendelet hatálya alól milyen kivételek kerülnek megállapításra. A személyi, területi, tárgyi hatály kérdését az MI Rendelet 2. cikke tartalmazza, így az alábbiakban ebből indulok ki.