EN 18286:2026 a csőben - mit jelent az új EU AI Act szabvány a vállalatoknak?

Röviden

• 2026. július – megjelent az EN 18286:2026 („Artificial intelligence – Quality management system for EU AI Act regulatory purposes”). A CEN-CENELEC az AI Act végrehajtását támogató első közzétett szabványként mutatta be. Fontos mérföldkő, de az OJEU-hivatkozás hiányában egyelőre nem kapcsolódik hozzá megfelelőségi vélelem.
• Nemzeti átvétel határideje: 2027. január 31. – ekkorra kell a tagállami szabványtestületeknek átvenniük, például MSZ EN-ként.
• OJEU-hivatkozás: még nincs. A Bizottság értékelése folyamatban van; megfelelőségi vélelem csak akkor kapcsolódhat a szabványhoz, ha a hivatkozását közzéteszik az Európai Unió Hivatalos Lapjában, és csak a hivatkozásban meghatározott követelményekre és terjedelemben. (A jelen cikk utolsó ellenőrzésekor, 2026. szeptember 23-án, ilyen hivatkozás még nem található.)

Az EN 18286:2026 az első olyan európai szabvány, amely kifejezetten az EU AI Act végrehajtását támogatja – 2026 júliusában jelent meg. Két éve mindenki ugyanazt kérdezi: „Na de pontosan mit kell csinálnunk, hogy megfeleljünk az AI Actnek?” Erre a kérdésre – legalábbis a minőségirányítási rendszer egy jól körülhatárolt részére – most megérkezett az első konkrét európai szabvány. És bár a szabvány még nem jár megfelelőségi vélelemmel, a magas kockázatú AI-rendszerek szolgáltatói számára már most fontos gyakorlati referencia lehet.

Mi az EN 18286 szabvány, egyszerűen?

Az EU AI Act (2024/1689/EU rendelet) 17. cikke előírja, hogy a magas kockázatú AI-rendszerek szolgáltatóinak (provider) minőségirányítási rendszert (QMS) kell működtetniük. A rendelet maga részletesen felsorolja, milyen elemeket kell a QMS-nek lefednie, de nem ad minden elemhez műveleti szintű megvalósítási módszert. Ezt a gyakorlati szintet konkretizálja az EN 18286:2026 szabvány, teljes címén „Artificial Intelligence – Quality management system for EU AI Act regulatory purposes”.

A szabványt a JTC 21 dolgozta ki az Európai Bizottság szabványosítási megbízása alapján. A JTC 21 a CEN és a CENELEC – a két európai szabványügyi szervezet – közös műszaki bizottsága, amely a mesterséges intelligenciára vonatkozó európai szabványokért felel. Leegyszerűsítve: ez az a testület, amely az AI Act követelményeinek gyakorlati teljesítését támogató szabványokat dolgozza ki. A nyilvános véleményezést követően a végleges EN 18286:2026 2026 júliusában jelent meg; a teljes kiadvány 51 oldalas.

Fontos, hogy ez nem egyszerűen egy általános AI-governance keretrendszer. Az EN 18286 kifejezetten az AI Act szerinti szabályozási megfelelésre fókuszáló QMS-szabvány. Az ISO 9001 és az EN ISO/IEC 42001 szabványok kapcsolatát a szabvány maga is tárgyalja; a fókusza azonban nem egy általános AI-érettségi modell, hanem az alkalmazandó szabályozási követelmények teljesítését támogató minőségirányítás.

Mi a jelenlegi státusza – és miért nem jelent ez még jogi védettséget?

Azért érdemes ezt a kérdést tisztázni, mert a szabvány jogi státusza meghatározza, hogy az alkalmazásához kapcsolódik-e megfelelőségi vélelem. Ez azonban nem jelenti a szolgáltató dokumentációs és igazolási kötelezettségeinek megszűnését: hatósági ellenőrzésnél továbbra is rendelkezésre kell állniuk a megfelelést alátámasztó bizonyítékoknak.

Itt van a cikk legfontosabb mondata, amit a legtöbb kommunikáció elmismásol:

Az EN 18286 megjelent európai szabványként, de az Európai Unió Hivatalos Lapjában (OJEU) még nem hivatkozták – így egyelőre nem keletkezik megfelelőségi vélelem.

Mit jelent ez a gyakorlatban? Egy harmonizált szabvány igazi ereje a presumption of conformity: ha a Bizottság a szabvány hivatkozását közzéteszi az EU Hivatalos Lapjában, akkor a szabvány által lefedett és a hivatkozásban elismert követelmények tekintetében megfelelőségi vélelem kapcsolódhat az alkalmazásához. Ez nem általános „jogi védettség”, és nem szünteti meg a dokumentációs vagy hatóság előtti igazolási kötelezettségeket. Amíg nincs OJEU-hivatkozás, az EN 18286 alkalmazása önkéntes, és a megfelelést továbbra is közvetlenül az AI Act szövegével szemben kell igazolni.

Vagyis: az EN 18286 a szervezeti-folyamati réteget és a QMS működtetését fedi le. A rendszer-szintű követelményeket – például a kockázatkezelés, az adatminőség, az átláthatóság, az emberi felügyelet, a pontosság, a robusztusság és a kiberbiztonság követelményeit – nem helyettesíti; ezekre további JTC 21 szabványok készülnek. Addig is közvetlenül az AI Act vonatkozó követelményeit kell teljesíteni.

Kiket érint?

Elsősorban a szolgáltatókat (provider). Vagyis azt, aki magas kockázatú AI-rendszert fejleszt és saját neve vagy védjegye alatt hozza forgalomba az EU-ban – függetlenül attól, hogy hol van a székhelye. Egy amerikai vagy izraeli fejlesztő ugyanúgy érintett, ha a rendszere az uniós piacra kerül.

Érdemes viszont észben tartani az AI Act 25. cikkét: egy forgalmazó, importőr, alkalmazó (deployer) vagy más harmadik fél bizonyos esetekben szolgáltatóvá válhat – például ha egy már forgalomba hozott magas kockázatú AI-rendszeren a saját nevét vagy védjegyét tünteti fel, a rendszert jelentősen módosítja, vagy egy korábban nem magas kockázatú rendszer rendeltetési célját úgy változtatja meg, hogy az magas kockázatúvá válik. A puszta testreszabás önmagában nem feltétlenül „jelentős módosítás”; ezt az adott változtatás és annak megfelelőségre gyakorolt hatása alapján kell értékelni.

Közvetetten az ellátási lánc szereplőit is érinti. Az EN 18286 beszállítói kontrollokat és a beszállítókra vonatkozó, kockázattal arányos elvárásokat is kezel. A gyakorlatban ez azt jelenti, hogy a szolgáltatók szerződéses, dokumentációs és auditkövetelményeket továbbíthatnak a modell-, adat- és komponensbeszállítók felé – de ezek konkrét tartalma mindig az adott szereptől és kockázattól függ.

Mit követel a szabvány? – a négy építőelem

A normatív rész a 4–10. fejezetekben él, négy funkcionális blokkban:

1. Irányítás (4–7. fejezet): a QMS felállítása, a szabályozási hatókör meghatározása, felsővezetői elköteleződés, minőségpolitika, célok, erőforrások és kompetenciák.
2. Megvalósítás (8. fejezet): rendszerenként, a teljes életciklusra – kockázatkezelés, tervezés, verifikáció és validáció, adatirányítás, folyamatosan tanuló rendszerek változáskezelése, műszaki dokumentáció, kivezetés.
3. Működtetés (9. fejezet): piacra bocsátás, ellátási lánc, piacra kerülés utáni felügyelet, súlyos incidensek bejelentése határidőkkel, korrekciós intézkedések.
4. Értékelés (10. fejezet): vezetőségi átvizsgálás és változástervezés.

Négy olyan elem van, ami a klasszikus ISO 9001-es rutinból nem jön magától, ezért ezekre különösen érdemes figyelni egy gap-elemzésben:

• Súlyos incidensek bejelentési folyamata a piacfelügyeleti hatóság felé (AI Act 73. cikk) – működő, tesztelt eljárásként, nem policy-ként.
• Az AI-rendszer által érintett személyekkel (affected persons) vagy képviselőikkel való konzultáció kockázatalapú mérlegelése. A szabvány ezt nem általános, minden esetben kötelező „bevonási programként” kezeli: a konzultáció szükségességét és módját a kockázatértékelés és az alkalmazhatóság alapján kell megítélni. Az affected person fogalma nem azonos automatikusan a GDPR szerinti érintett/adatalany fogalmával.
• Környezeti fenntarthatósági szempontok kezelése és dokumentálása – a szabvány erre is tartalmaz követelményeket és útmutatást.
• Változáskezelés adaptív, folyamatosan tanuló rendszerekre – ahol a modell viselkedése a piacra bocsátás után is változik.

Miért fontos ez most, ha a határidő 2027 vége?

Mert a naptár csak látszólag lett kényelmesebb. Az AI-omnibusz rendelet 2026. július 27-én lépett hatályba (a Hivatalos Lapban július 24-én jelent meg), és a magas kockázatú kötelezettségeket eltolta:

Az 50. cikk szerinti átláthatósági kötelezettségek viszont nem csúsztak – azok 2026. augusztus 2-től alkalmazandók. A már 2026. augusztus 2. előtt forgalomba hozott, szintetikus hang-, kép-, videó- vagy szövegtartalmat generáló AI-rendszerek szolgáltatói az 50. cikk (2) bekezdésének teljesítésére 2026. december 2-ig kaptak átmenetet. Az 50. cikk nem kizárólag „vízjelet” ír elő, hanem a mesterségesen generált vagy manipulált tartalom géppel olvasható jelölését és észlelhetőségét követeli meg.

Három ok, amiért a halasztás nem ok a lazításra:

1. Egy QMS felépítése komplex szervezetben akár 12–18 hónapos program is lehet. Nem dokumentumcsomag, hanem működő folyamatrendszer, bizonyítékokkal. A 2027. decemberi határidő visszaszámolva nagyjából most jelenti a startpisztolyt.
2. A tenderek gyorsabbak a jogszabálynál. A beszerzési és tenderkövetelmények megelőzhetik a jogszabályi alkalmazási határidőt: egyes megrendelők már a határidő előtt kérhetnek AI-megfelelőségi dokumentációt, kontrollokat vagy szerződéses biztosítékokat. Emiatt a felkészülésnek üzleti oka is lehet, nem csak hatósági.
3. A III. melléklet 1. pontja szerinti biometrikus rendszereknél a harmonizált szabványoknak külön szerepük lehet a megfelelőségértékelésben, de két fontos pontosítás szükséges. Egyrészt a kizárólag egy konkrét személy állított személyazonosságának megerősítésére szolgáló biometrikus ellenőrzés (verification/authentication) nem tartozik a III. melléklet 1. pont a) alpontja szerinti távoli biometrikus azonosítás körébe; ezért egy tipikus 1:1 arcfelismerős beléptetés vagy eKYC-megoldás nem automatikusan magas kockázatú ezen a jogcímen. Másrészt a 43. cikk (1) bekezdése szerinti, VI. melléklet alapján végzett belső kontroll lehetősége a III. melléklet 1. pontja alá tartozó rendszereknél a III. fejezet 2. szakaszának követelményeit lefedő harmonizált szabványok vagy – adott esetben – közös előírások alkalmazásához kapcsolódik. Az EN 18286 elsősorban a 17. cikk szerinti minőségirányítási rendszert célozza, ezért önmagában nem állítható róla, hogy a használata kiváltja a bejelentett szervezet bevonását.

Az első öt lépés, amit érdemes még idén megtenni

1. AI-leltár és kockázati besorolás.
2. Gap-elemzés az EN 18286 4–10. fejezetei mentén.
3. Döntés az ISO/IEC 42001 viszonyáról.
4. Felelősségek kijelölése.
5. Beszállítói szerződések átvizsgálása.

Összefoglalva

Az EN 18286:2026 nem old meg mindent: elsősorban a 17. cikk (1) bekezdése szerinti QMS-követelmények teljesítését támogatja, és a 11. cikk (1) bekezdésének első mondatához kapcsolódó műszaki dokumentációs elemet is lefed. Megfelelőségi vélelem csak OJEU-hivatkozás után, az ott meghatározott terjedelemben kapcsolódhat hozzá. De ez az első konkrét, ellenőrizhető mérce, amelyet egy hatóság, egy bejelentett szervezet vagy egy nagyvállalati beszerző előtt is használható kontroll- és dokumentációs keretté lehet alakítani. Aki most kezdi el ez alapján felépíteni a rendszerét, több időt hagy a folyamatok kipróbálására és a bizonyítékok összegyűjtésére; aki az OJEU-hivatkozásig vár, annak kevesebb felkészülési ideje marad.

Kezdjük el a felkészülést – közösen

A Harveys csapata AI Act megfelelőségi felkészítésre, tanácsadásra és folyamatos szakmai támogatásra specializálódott.

Készüljön fel időben az EN 18286 követelményeire! Egy rövid felmérés keretében megvizsgáljuk, hogy szervezetét hogyan érinti az EN 18286 és az EU AI Act, illetve mely területeken indokolt részletes gap-elemzést végezni.

Díjmentes felmérő konzultáció →

Ez a cikk tájékoztató jellegű, és nem minősül jogi tanácsadásnak. A konkrét megfelelőségi kötelezettségek meghatározásához a rendszer és a szervezet egyedi vizsgálata, adott esetben jogi képviselő bevonása szükséges.