Az EU-n túl: hogyan auditálják és tanúsítják az AI-t Amerikában és Kínában?

A portálon eddig szinte kizárólag az EU AI Act és az ISO/IEC 42001 európai összefonódásával foglalkoztunk (ld. 09-07-i szabvány-idővonalunkat, az EN 18286-cikket és az ISO/IEC 42001 mélyfúrást). De egy magyar AI-fejlesztő vagy -beszállító ritkán marad az EU határain belül — és aki az Egyesült Államok vagy Kína piacára lép, egy egészen más logikájú rendszerrel találja szembe magát. Ez a cikk azt tekinti át, milyen audit- és tanúsítási környezet vár rá az EU-n kívül.

Egyesült Államok: önkéntes keret, állami törvény-mozaik, és most éppen szövetségi felülírási kísérlet

Az Egyesült Államokban nincs az AI Act-hoz hasonló, egységes szövetségi audit-/megfelelőségértékelési törvény. A szövetségi szint gerince a NIST AI Risk Management Framework (AI RMF), amelyet a NIST 2023. január 26-án adott ki, és amely saját megfogalmazása szerint önkéntes használatra szánt ("intended for voluntary use") — cél a megbízhatósági szempontok beépítése az AI-rendszerek tervezésébe, fejlesztésébe, használatába és értékelésébe, a Govern–Map–Measure–Manage négyes funkció mentén. Nincs hozzá kötelező tanúsítási eljárás vagy akkreditált auditor-rendszer, mint az ISO 42001-nél.

A tényleges kikényszeríthető kötelezettségek jellemzően állami (tagállami) szinten és szektor-specifikusan jelennek meg. Két példa jól mutatja a mintázatot:

• New York City Local Law 144 — 2023. július 5. óta hatályos, a munkaerő-felvételi és előléptetési döntésekben használt automatizált eszközökre (AEDT) ír elő kötelező független torzítás-auditot évente, az eredmény nyilvánosságra hozatalával és a jelöltek előzetes tájékoztatásával. A New York-i State Comptroller 2025 decemberi vizsgálata szerint a végrehajtó hatóság (DCWP) érvényesítési gyakorlata addig nem volt hatékony — ez jól illusztrálja, hogy egy jól hangzó auditkötelezettség önmagában nem ér sokat végrehajtási kapacitás nélkül.
• Colorado — az eredeti SB 24-205 (2024) átfogó "magas kockázatú AI-rendszer" fogalmat, kötelező gondossági kötelezettséget és algoritmikus hatásvizsgálatot vezetett volna be. Az xAI 2026. április 9-én alkotmányossági alapon pert indított ellene, a Department of Justice pedig április 24-én társfellépésként csatlakozott a perhez — ennek nyomán egy szövetségi bíró 2026. április 27-én ideiglenesen felfüggesztette a törvény végrehajtását. A helyébe lépő SB26-189-et Colorado kormányzója 2026. május 14-én írta alá. Ez a jogszabály már a szűkebb "automatizált döntéshozatali technológia" (ADMT) fogalmára épül, és a diszkrimináció-központú megközelítés helyett átláthatósági és emberi felülvizsgálati kötelezettségeket ír elő (például fejlesztői dokumentációt, 30 napos döntési indoklást, valamint felülbírálatra jogosult felelős kijelölését) — 2027. január 1-jei hatállyal.

Efelett 2025. december 11-én Trump elnök aláírta az "Ensuring a National Policy Framework for Artificial Intelligence" végrehajtási rendeletet, ami kifejezetten az állami AI-törvények szövetségi felülírására (preemption) törekszik: az Igazságügyi Minisztériumnak AI Litigation Task Force-ot kell felállítania az állami törvények megtámadására, a Kereskedelmi Minisztérium a BEAD szélessávú-fejlesztési támogatás feltételéül szabhatja bizonyos állami AI-szabályok visszavonását, az FTC-nek pedig állásfoglalást kell kiadnia arról, hogy az FTC Act 45. szakasza felülírja azokat az állami előírásokat, amelyek az AI-modellek valós kimeneteinek módosítását követelnék meg (kifejezetten a Colorado-típusú diszkrimináció-ellenes szabályokra célozva). A fenti DOJ-fellépés a rendelet ezen irányával áll összhangban. A rendelet maga a cikk írásakor is jogi vitában áll, több állam (köztük Kalifornia) és állami törvényhozó jelezte, hogy megtámadja.

Amit ez összességében jelent: az amerikai rendszer nem hiányzik teljesen — csak máshol koncentrálódik. A NIST AI RMF-hez hasonlóan az FTC is aktívan lép fel, de nem AI-auditkötelezettséget, hanem fogyasztóvédelmi jogsértést (megtévesztő "AI-washing") szankcionál a meglévő FTC Act alapján — ez lényegében más logika, mint egy kockázatalapú megfelelőségértékelés.

Kína: kötelező, előzetes bejelentés és állami felügyelet

Kínában a modell homlokegyenest ellentétes: nem önkéntes keret, hanem kötelező, előzetes engedélyezési/bejelentési rendszer. A Kiberügyi Hatóság (Cyberspace Administration of China, CAC) hat másik minisztériummal (köztük az Állami Fejlesztési és Reformbizottsággal, az Oktatási Minisztériummal, a Tudományos és Technológiai Minisztériummal) közösen adta ki a generatív AI-szolgáltatások igazgatási ideiglenes intézkedéseit, amelyek 2023. augusztus 15-én léptek hatályba. Ezek nyilvánosan elérhető generatív AI-szolgáltatásra vonatkoznak (a tisztán belső vállalati K+F és alkalmazások kifejezetten ki vannak véve a hatálya alól), és előírják többek között: jogszerű forrásból származó betanító adatot, algoritmus-bejelentést és biztonsági értékelést azoknál a szolgáltatásoknál, amelyeknek közvélemény-alakító vagy társadalommozgósító képessége van, az AI-generált tartalom megjelölését, és a modellnév/bejelentési szám feltüntetését a terméken belül.

Ez a bejelentési rendszer a gyakorlatban folyamatosan bővül: a Digital Policy Alert nyomon követése szerint önmagában a 2026 május–júniusi időszakban 120 új generatív AI-szolgáltatás és 68 új alkalmazás/funkció regisztrálódott — ez jól mutatja, hogy a rendszer nem egyszeri papírmunka, hanem folyamatos, aktívan adminisztrált állami nyilvántartás.

A jogszabályi oldal mellett Kína egy párhuzamos, technikai szabványügyi csatornát is működtet: a Nemzeti Információbiztonsági Szabványosítási Technikai Bizottság (TC260) 2025 szeptemberében adta ki AI Safety Governance Framework nevű dokumentumának 2.0-s verzióját. Ez — a CAC kötelező bejelentési rendszerével szemben — iránymutatás, nem kikényszeríthető jogszabály: elveket, ajánlott gyakorlatokat fogalmaz meg, és a TC260 újonnan felállított munkacsoportja (WG9) jelenleg dolgozik egy hozzá tartozó, részletesebb szabványrendszer kidolgozásán. A két csatorna — kötelező állami bejelentés a CAC-nál, önkéntes/technikai szabványosítás a TC260-nál — egymást kiegészíti, de a két rendszer közötti pontos formális kapcsolat (pl. hogy a CAC bejelentési eljárása hivatkozik-e kifejezetten a TC260-szabványokra) a nyilvánosan elérhető forrásokból nem állapítható meg egyértelműen.

Miért számít EU/magyar kontextusban

A három rendszer alapvetően más kérdésre válaszol. Az EU AI Act egy kockázatalapú, egységes megfelelőségértékelési rendszert épít (harmonizált szabványok, notified body-k a szűk magas kockázatú körben, önértékelés a többségre) — erről bővebben ld. a korábbi cikkeinket. Az amerikai rendszer reaktív és széttagolt: nincs előzetes engedélyezés, a felelősségre vonás jellemzően utólagos (fogyasztóvédelmi vagy diszkriminációs jogsértésként), és a szövetségi–állami hatáskörmegosztás éppen most dől el bírósági úton. A kínai rendszer előzetes és centralizált: a piacra lépés feltétele az állami bejelentés/jóváhagyás, nem egy utólagos ellenőrzés.

Egy magyar AI-fejlesztő vagy -beszállító számára ez azt jelenti, hogy az ISO/IEC 42001-alapú AI-irányítási rendszer (AIMS) — amelyről a 09-09-i mélyfúrásunkban írtunk — nemzetközi közös nyelvként hasznos, de sehol sem helyettesíti a helyi jogi megfelelést. Az ISO 42001 önkéntes és nemzetközi jellegéből fakadóan sem az EU AI Act 17. cikke szerinti minőségirányítási kötelezettséget nem váltja ki (ld. korábbi cikkünk az EN 18286-ról), sem a kínai algoritmus-bejelentési kötelezettséget, sem bármelyik amerikai állami törvény konkrét, tételes követelményeit (pl. a New York-i évenkénti torzítás-audit vagy a coloradói emberi felülvizsgálati kötelezettség). Amit ad: egy már bevált, nemzetközileg felismerhető irányítási vázat (kockázatértékelés, AI-nyilvántartás, kontrollstruktúra), amire a helyi, jogszabály-specifikus rétegek ráépíthetők — ezt mutatja például, hogy a BCG saját bejelentése szerint az elsők között (100 szervezet között globálisan) szerzett ISO/IEC 42001-tanúsítványt 2026 januárjában, kifejezetten azzal az indoklással, hogy ügyfeleinek nemzetközi kontroll- és elszámoltathatósági keretet tudjon igazolni.

Mit jelent ez auditori szemmel

Egy magyar cégnek, amely AI-rendszert visz amerikai vagy kínai piacra, három gyakorlati következménye van ennek a szétválásnak:

1. Nincs "egyetlen, mindenhová érvényes megfelelőségi csomag." A jogi elemzést piaconként külön el kell végezni, és nem elég egyszer elvégezni: az amerikai helyzet a Trump-féle végrehajtási rendelet és az azt követő perek miatt 2026 folyamán aktívan mozgásban van — egy tavalyi gap-analízis ma már elavult lehet ugyanarra a piacra.
2. Kínai piacra lépésnél az algoritmus-bejelentés előzetes, nem utólagos lépés — ha egy magyar fejlesztő nyilvánosan elérhető generatív AI-szolgáltatást indítana kínai felhasználóknak (vagy olyan funkciót, aminek közvélemény-alakító képessége van), ezt a piacra lépés ELŐTT kell rendeznie a CAC-nál, nem egy utólagos auditon. Ez alapvetően más ütemezési logikát igényel egy projekttervben, mint az EU-s vagy amerikai megfelelés.
3. Az amerikai piacon a "legmagasabb kockázat" nem feltétlenül a szövetségi szabályozó, hanem egy konkrét állami törvény vagy szektorhatóság (pl. New York-i AEDT-audit HR-AI-eszközöknél, vagy az EEOC/FTC utólagos fellépése) — egy amerikai megfelelőségi gap-elemzésnek ezért nem egyetlen "AI-törvényt" kell vizsgálnia, hanem fel kell térképeznie, mely állam(ok)ban és mely szektorban működik ténylegesen az ügyfél.

A tanulság egy magyar AI-auditor/tanácsadó számára: a nemzetközi terjeszkedést tervező ügyfélnél a "van-e ISO 42001 AIMS-ünk" kérdés csak a kiindulópont — a tényleges megbízás súlypontja a piaconkénti, folyamatosan frissítendő jogi térkép elkészítése és karbantartása, nem egyetlen, egyszer elkészített dokumentum.