Az AI-audit szabványok kialakulása — az ISO/IEC 42001-családtól az EU AI Act-ig

Amikor egy vállalat ma azt kérdezi, hogy "kinek higgyünk, ha AI-megfelelőségről van szó", a válasz mögött egy alig hétéves, de annál eseménydúsabb jogalkotási és szabványosítási történet áll. Ez az áttekintés nem egyetlen eseményről szól, hanem arról az útról, ahogyan az AI-kockázatok kezelése az önkéntes ajánlásoktól eljutott a tanúsítható szabványokig és a kötelező uniós szabályozásig. Aki most ismerkedik a témával, ebből a történetből értheti meg igazán a jelenlegi kötelezettségeket — és a rájuk épülő auditori szakmát is.

2019 — az első közös nyelv: OECD AI Principles

Az első kormányközi AI-ajánlást az OECD tagállamai fogadták el 2019. május 22-én. Az OECD AI Principles önmagában nem jogszabály, és nem is ír elő ellenőrizhető követelményeket — értékalapú elveket és gyakorlati ajánlásokat fogalmaz meg a felelős AI-fejlesztésről. A jelentősége mégis abban áll, hogy ez volt az első pont, ahol kormányok közösen határozták meg, mit jelent a "megbízható AI" — ez az elvi alap köszön vissza szinte minden későbbi szabványban és jogszabályban. Az elveket alig egy hónappal később, 2019 júniusában a G20 is átvette.

2021 — a szabályozás felé: az EU AI Act első javaslata

Az Európai Bizottság 2021. április 21-én terjesztette elő a mesterséges intelligenciára vonatkozó harmonizált szabályokról szóló rendelettervezetet (COM(2021) 206). Ezzel az EU lett az első joghatóság, amely átfogó, valamennyi ágazatra kiterjedő AI-törvényjavaslatot terjesztett a jogalkotók elé — nem egy-egy alkalmazási területre (pl. arcfelismerés vagy önvezetés) szűkítve, hanem horizontálisan. A javaslat már ekkor lefektette a ma is meghatározó kockázatalapú logikát: elfogadhatatlan kockázatú rendszerek tiltása, "magas kockázatú" rendszerekre vonatkozó kötelezettségek (adatkormányzás, átláthatóság, emberi felügyelet, megfelelőségértékelés), valamint egy uniós AI-testület felállítása.

2023 — a szabványosítás éve: NIST, ISO/IEC 23894, ISO/IEC 42001

2023-ban egy éven belül három olyan dokumentum jelent meg, amelyek ma is a legtöbb AI-kockázatkezelési gyakorlat alapját adják:

• 2023. január 26. — a NIST kiadja az AI Risk Management Framework (AI RMF 1.0) első verzióját. Önkéntes, amerikai eredetű keretrendszer, nyílt, átlátható és több szektort bevonó egyeztetési folyamat eredménye.
• 2023. február 6. — megjelenik az ISO/IEC 23894:2023, amely az általános ISO 31000-es kockázatkezelési módszertant alkalmazza kifejezetten AI-kontextusra.
• 2023. december 18. — kiadják az ISO/IEC 42001:2023-at, az első olyan AI-szabványt, amely auditálható követelményeket fogalmaz meg — vagyis egy szervezet ez alapján ténylegesen tanúsítható. Ez a lépés választja el élesen a "jó gyakorlat ajánlását" (mint az AI RMF vagy az OECD-elvek) attól, amit egy AI-auditor ma ellenőriz.

2024 — az EU AI Act elfogadása és hatálybalépése

Az Európai Parlament 2024. március 13-án szavazott a végleges szövegről, a rendeletet 2024. július 12-én hirdették ki az Európai Unió Hivatalos Lapjában, és 2024. augusztus 1-jén lépett hatályba. Az AI Act ugyanakkor nem egyetlen napon vált teljes körűen alkalmazandóvá — szakaszos ütemezést követ:

• 2025. február 2. — a tiltott gyakorlatokra és az AI-írástudási kötelezettségre vonatkozó szabályok alkalmazása
• 2025. augusztus 2. — az irányítási szabályok és az általános célú AI-modellekre (GPAI) vonatkozó kötelezettségek
• 2026. augusztus 2. — az általános alkalmazási időpont
• 2027. december 2. és 2028. augusztus 2. — a magas kockázatú rendszerekre vonatkozó egyes kötelezettségek, az Európai Unió Tanácsának 2026. júniusi "Digital Omnibus"-döntésében elfogadott, elhalasztott ütemezés szerint

2025 — az auditori infrastruktúra lezárása: ISO/IEC 42005 és 42006

Az ISO/IEC 42001 önmagában még nem ad választ arra, ki és hogyan tanúsíthat egy szervezetet, illetve hogyan kell felmérni egy adott AI-rendszer tényleges hatását. 2025-ben ezt a két hiányzó darabot pótolta a szabványcsalád:

• 2025 májusa — megjelenik az ISO/IEC 42005:2025 nemzetközi ISO-kiadása (a nemzeti szabványtestületek, például a brit BSI, ezt jellemzően egy-két hónappal később, saját szabványként is kiadják — innen ered, hogy másodlagos forrásokban áprilistól júniusig több dátum is felbukkan rá). A szabvány egy AI-rendszer teljes életciklusára kiterjedő hatásvizsgálati módszertant ad. Nem külső tanúsításra készült dokumentum: egy szervezet ezt saját magának végzi el, hogy strukturáltan feltérképezze, a rendszere milyen módon érintheti az egyéneket, csoportokat vagy a tágabb társadalmat.
• 2025. július 7. — megjelenik az ISO/IEC 42006:2025, amely az ISO/IEC 17021-1-re épülve meghatározza, milyen kompetencia- és eljárási követelményeknek kell megfelelnie egy olyan tanúsító szervezetnek, amely ISO/IEC 42001 szerint auditál és tanúsít. Ez az a dokumentum, ami ténylegesen meghatározza, mitől "AI-auditor" egy tanúsító szervezet — nem mellékes részlet egy leendő magyar AI-auditor számára.

Auditori szemmel

Ami ebből a hét évből a leginkább szembetűnő: a sorrend nem véletlen. Előbb született meg a közös fogalmi nyelv (OECD, 2019), utána a jogi szabályozás körvonalai (AI Act-javaslat, 2021), majd a gyakorlati kockázatkezelési módszertan (NIST, ISO 23894), csak ezután a ténylegesen tanúsítható irányítási rendszer (ISO 42001), és csak legutoljára — 2025-ben — az, ami magát az auditori szakmát strukturálja: az ISO 42005 arra ad választ, mit kell vizsgálni, az ISO 42006 pedig arra, ki vizsgálhatja.

Ez a sorrend gyakorlati következménnyel jár ma: egy 2026-ban induló AI-audit gyakorlatnak egyszerre kell megfelelnie a jogi kötelezettségeknek (AI Act, szakaszosan alkalmazandó 2025-2028 között) és egy még nagyon fiatal, 2025 közepén lezárt, szabványalapú auditori infrastruktúrának (ISO/IEC 42001 + 42005 + 42006). Ez azt jelenti, hogy a "bevált gyakorlat" ezen a területen még alakul — pontosan ezért van értelme nemcsak a nagy jogszabályi mérföldköveket követni, hanem azt is, mikor jelenik meg egy-egy módosítás, végrehajtási aktus vagy felülvizsgált szabványváltozat.