AI governance keretrendszerek és jogi források
Az AI Act jogi alapként, a NIST AI RMF, az OWASP és a MITRE szakmai referenciaként szerepel. Az ISO/IEC-szabványokat a nyílt ISO Open Data alapján ismertetem. Az alábbi felhasználási szempontok szerkesztői tájékozódási segítségek.
ISO/IEC-ismertetők frissítése: 2026.10.15. · Nyílt adatok és ellenőrzési kör
Legutóbbi teljes forrásjegyzék-felülvizsgálat: · Ellenőrzési kör és korlátok
| Réteg | Forrás | Fő kérdés | Tipikus használat |
|---|---|---|---|
| Jogi megfelelés | Az Európai Parlament és a Tanács (EU) 2024/1689 rendelete és annak módosításai | Mi kötelező, kire és mikortól? | Szerepkör, kockázati besorolás, tiltások, átláthatóság, GPAI és nagy kockázatú rendszerek kötelezettségei |
| Hazai végrehajtás | 2025. évi LXXV. törvény; 344/2025. (X. 31.) Korm. rendelet | Ki felügyel és milyen magyar eljárási keretben? | Hatóságok, piacfelügyelet, megfelelőségértékelés, szankciók, szabályozói tesztkörnyezet |
| AI-fogalmak és terminológia | ISO/IEC 22989:2022 | Az AI fogalmait és szakkifejezéseit rendszerezi, támogatva a különböző érintettek közötti egységes szakmai kommunikációt. | Közös AI-fogalomtár és következetes szervezeti szóhasználat kialakításának előkészítéséhez. |
| AI-irányítási rendszer | ISO/IEC 42001:2023 | Szervezeti AI-irányítási rendszer kialakításával, működtetésével és folyamatos fejlesztésével foglalkozó követelményszabvány. | Az AI-irányítás szervezeti kereteinek megtervezéséhez és az irányítási rendszerrel kapcsolatos tájékozódáshoz. |
| AI-irányítási rendszerek tanúsítása | ISO/IEC 42006:2025 | Az ISO/IEC 42001 szerinti AI-irányítási rendszereket auditáló és tanúsító szervezetekre vonatkozó kiegészítő követelményekkel foglalkozik. | A tanúsító szervezetek szerepének és a tanúsítás kereteinek megértéséhez; nem az AI-rendszerek terméktanúsítási szabványa. |
| AI-hatásvizsgálat | ISO/IEC 42005:2025 | Útmutató az AI-rendszerek egyénekre és társadalomra gyakorolt hatásainak vizsgálatához, annak időzítéséhez, dokumentálásához és az AI-kockázatkezeléshez való kapcsolásához. | AI-hatásvizsgálati folyamat kialakításának előkészítéséhez. |
| AI-kockázatkezelés | ISO/IEC 23894:2023 | Útmutató az AI-hoz kapcsolódó kockázatok kezeléséhez és a kockázatkezelés szervezeti AI-tevékenységekbe történő beépítéséhez. | Az AI-kockázatkezelési folyamat megtervezéséhez és szervezeti illesztéséhez. |
| Megbízható AI | ISO/IEC TR 24028:2020 | Áttekinti az AI megbízhatóságának szempontjait, többek között az átláthatóságot, magyarázhatóságot, irányíthatóságot és biztonságot. Nem határoz meg megbízhatósági szinteket. | A megbízható AI-val kapcsolatos szervezeti kérdések és kockázatok áttekintéséhez. |
| Gépi tanulásra épülő AI-rendszerek | ISO/IEC 23053:2022 | Általános keretet ad a gépi tanulást alkalmazó AI-rendszerek összetevőinek és az AI-ökoszisztémában betöltött funkcióinak leírásához. | AI-rendszerarchitektúrák és rendszerösszetevők közös értelmezéséhez. |
| AI-kockázati keretrendszer | NIST AI RMF 1.0 (a kiadó felülvizsgálja) | Hogyan kezeljem strukturáltan a megbízható AI kockázatait? | Govern–Map–Measure–Manage, use case és kontrolltervezés |
| AI-életciklus-folyamatok | ISO/IEC 5338:2023 | Az AI-rendszerek életciklusát leíró folyamatokat és fogalmakat rendezi egységes keretbe, ideértve a fejlesztés és beszerzés szervezeti folyamatait. | AI-fejlesztési vagy beszerzési folyamatok életciklus-szemléletű tervezéséhez. |
| Információbiztonsági irányítás | ISO/IEC 27001:2022 | Információbiztonsági irányítási rendszer kialakításának és folyamatos fejlesztésének követelményeit tartalmazza, a szervezeti információbiztonsági kockázatok értékelésével és kezelésével együtt. | Az AI-kezdeményezések információbiztonsági irányítási környezetének áttekintéséhez; nem AI-specifikus szabvány. |
| GenAI- és LLM-biztonság | OWASP GenAI Security Project – LLM Top 10 2026 | Mik a tipikus alkalmazásszintű GenAI támadási és hibamódok? | Fenyegetésmodellezés, biztonságos tervezés, tesztelés és kontrolltervezés |
| Adversarial AI | MITRE ATLAS | Hogyan támadhatók AI-rendszerek? | Fenyegetési információk, red teaming, támadási technikák és mitigációk |
Új kiegészítő referenciák: ENISA – frontier AI és kiberbiztonság, valamint az OWASP GenAI crosswalk. A crosswalk kapcsolatai nem igazolt megfelelőségi állítások: az eszköz saját figyelmeztetése szerint külön felülvizsgálatot igényelnek.
Gyakorlati sorrend
Érdemes a jogi scope-pal kezdeni, nem a kontrolllistával. Először: AI-rendszer-e a megoldás, mi a szervezeti szerepkör és a kockázati kategória. Második lépésként az alkalmazandó AI Act követelményeket és határidőket kell azonosítani. Harmadik lépésben a jelenleg tartalmilag ismertetett NIST AI RMF, OWASP és MITRE referenciák segíthetnek a governance-, kockázati és kontrollmunka tervezésében. Az ISO/IEC-referenciák között az irányítási rendszer, hatásvizsgálat, kockázatkezelés vagy információbiztonság témája szerint lehet tovább tájékozódni.
A high-risk besorolásnál a 2026.09.28-i ellenőrzéskor a Bizottság hivatalos besorolási iránymutatása még tervezet. Hasznos értelmezési referencia, de nem szabad végleges iránymutatásként vagy kötelező jogként kezelni.
A későbbi crosswalk funkció célja nem egy mechanikus megfeleltetési tábla lesz, hanem annak megmutatása, hogy egy adott jogi elvárást mely governance, impact, risk, security vagy assurance források tudnak alátámasztani.