A Magyar Nemzeti Bank átfogó elvárásrendszert fogalmazott meg a hitelintézetek MI-használatára vonatkozóan. A szabályozás a szervezetirányítástól az ügyféltájékoztatásig minden területet érint, és alkalmazása 2026 áprilisától elvárt.

A Magyar Nemzeti Bank 13/2025. (XII.3.) számú ajánlása nem csupán „frissítés” a korábbi digitális transzformációs elvárásokhoz képest: a XIV. fejezet gyakorlatilag a hazai bankszektor első átfogó AI-keretrendszere.

A dokumentum az MI biztonságos és felelős alkalmazására vonatkozó elvárásokat fogalmaz meg a szervezetirányítás, data governance, modellfejlesztés, kockázatkezelés, informatikai biztonság, MI-szakértelem és a kommunikáció területén.

Az ajánlás alkalmazását az MNB 2026. április 1-jétől várja el, a hitelintézeteknek pedig 2026. június 30-ig el kell készíteniük saját MI-alstratégiájukat. Az MNB elvárja, hogy az alstratégia konkrét mérföldköveket, mérhető mutatókat és részletes terveket tartalmazzon.

MI-alstratégia: az AI kikerül a „sandboxból”

Az MNB egyértelművé teszi:

amely hitelintézet MI-rendszert szolgáltat, alkalmaz vagy bevezetni tervez, annak a digitális transzformációs stratégiát ki kell egészítenie egy önálló MI-alstratégiával.

Ez az alstratégia rögzíti az MI-alkalmazás céljait, a fejlesztési és bevezetési terveket, valamint a megvalósítás mérföldköveit.

Ez a gyakorlatban többek között azt jelenti, hogy:

• leltárba kell venni az összes már működő és tervezett MI-rendszert (saját fejlesztés és harmadik feles megoldás egyaránt),
• ezekhez üzleti célokat, felelősöket, kockázati besorolást és kontrollkörnyezetet kell hozzárendelni,
• a meglévő digitális és IT stratégiát, illetve kockázatkezelési keretrendszert MI-szempontból is újra kell gondolni.

Másképp fogalmazva: az MI többé nem „kísérleti fejlesztés”, hanem a core banki működés szerves, szabályozott része.

MI-governance: dedikált vezető, teljes életciklus-kontroll

A XIV. fejezet központi eleme, hogy a bank rendelkezzen hatékony és megbízható MI-irányítási rendszerrel, világos szervezeti felépítéssel és felelősségi körökkel.

Kulcsfontosságú elvárások:

• MI-felelős vezető: legyen kijelölt, MI-jártassággal rendelkező, megfelelő felhatalmazású vezető, aki az MI-alstratégia megvalósításáért felel.
• Életciklus-alapú szabályozás: belső szabályzatoknak ki kell terjedniük az MI-rendszerek teljes életciklusára – a kutatástól és tervezéstől a hatásvizsgálaton, fejlesztésen és tanításon át egészen az üzemeltetésig, monitoringig, hibakezelésig és kivezetésig.
• Éves felülvizsgálat: a belső MI-szabályozást és folyamatokat legalább évente felül kell vizsgálni, a technológiai fejlődés üteméhez igazítva.

Az MNB külön nevesíti az AI-etika dimenzióját is: elvárja, hogy az intézmény etikai alapelvei az MI-fejlesztés és -alkalmazás során is érvényesüljenek, és jó gyakorlatnak tartja önálló MI-etikai kódex bevezetését.

A bankok számára ez a gyakorlatban board-szintű napirendet jelent: az MI-irányítás már nem pusztán IT- vagy innovációs kérdés, hanem prudenciális, reputációs és fogyasztóvédelmi kockázatokat közvetlenül érintő terület.

Data governance: az MI-adat nem „akármi”

Az MNB kifejezetten adatkormányzási rendszert vár el a nagy kockázatú MI-rendszerek esetén, amely részletesen szabályozza az adatbeszerzés, gyűjtés, előkészítés, tisztítás, címkézés, ellenőrzés, pótlás, tárolás, hozzáférés és törlés rendjét, valamint ezek dokumentálását.

Fontos üzenetek:

• Adatminőség és fairness: saját fejlesztésű MI-rendszernél a tanító-, validáló- és tesztadatokkal szemben elvárás a pontosság, hibamentesség, részrehajlás- és diszkriminációmentesség.
• Adatvédelmi megfelelés: személyes adatokat használó MI-rendszereknél a működés folyamatosan a hatályos adatvédelmi jogszabályokhoz kell, hogy igazodjon – az MI nem ad felhatalmazást „kreatív” adatkezelésre.
• Transzparens adat-pipeline: a nyers adatokon végzett összes előkészítési és tisztítási lépést dokumentálni kell, hogy utólag visszakövethető legyen, milyen folyamatokon mentek át az MI-modell tanítóadatai.
• Szintetikus adatok feltételekkel: mesterségesen előállított, szintetikus adatok csak alapos minőség- és alkalmassági vizsgálat, valamint validáció után alkalmazhatók.

Ezek a követelmények erősen rámutatnak: a „data governance” nem IT-technikai mellékszál, hanem az MI-kockázatkezelés magja – különösen a hitelezési, AML, fraud-szűrési és ügyfél-szegmentációs modellek esetében.

Modellfejlesztés és beszerzés: dokumentált, reprodukálható MI

Az ajánlás részletesen szabályozza az MI-modellek fejlesztésére és harmadik fél által szállított rendszerekre vonatkozó elvárásokat.

Néhány kulcspont:

• Arányos modellkomplexitás: az alkalmazandó MI-rendszereket és modelleket az üzleti célokhoz, a rendelkezésre álló adatokhoz és kompetenciákhoz igazodva kell megválasztani, kerülve az alul- és túlillesztést (pl. hold-out data, keresztvalidáció, regularizáció, early stopping).
• Reprodukálhatóság: elvárás, hogy a saját fejlesztésű MI-rendszerek kimenetei lényegükben megismételhetők legyenek, és ezt a követelményt a bank a harmadik felektől beszerzett rendszereknél is érvényesítse.
• Dokumentáció: a tervezéstől a tanításon át a tesztelésig és felülvizsgálatig a teljes folyamatot világosan dokumentálni kell.
• Emberi felügyelet: nagy kockázatú MI-rendszereknél a teljes életciklus során biztosítani kell az emberi felügyeletet és beavatkozási lehetőséget – de az MNB jó gyakorlatnak tartja, ha ez a kevésbé kockázatos rendszerekre is kiterjed.
• Független audit: jó gyakorlatnak számít a saját és harmadik feles MI-rendszerek független szolgáltató általi auditja, tanúsítása.
• Guardrail-megoldások: az ajánlás kifejezetten említi az olyan technikai kontrollokat, amelyek a rendszer inputját és outputját szűrik, módosítják a technikai, etikai és jogi kereteknek való megfelelés biztosítása érdekében.

A gyakorlatban ez a legtöbb magyar banknál azt jelenti: a már használt AI-megoldásokhoz (pl. scoring, chatbot, ajánlómotor) utólag is fel kell építeni a modell-dokumentációt, a reproduce-álhatósági környezetet és a független kontrollvonalakat.

MI-specifikus kockázatkezelés: új risk taxonomy, egyértelmű „go/no-go” szintek

A 20. pont önálló, MI-specifikus kockázatkezelési keretrendszert ír elő. A hitelintézetnek:

• meg kell határoznia saját MI-kockázati profilját,
• MI-rendszerenként rögzítenie kell az elfogadható kockázati szintet,
• csak olyan rendszert vezethet be, amelynél az azonosított kockázatok a bevezetés előtt megfelelően kezeltek és elfogadható szintre csökkentettek.

A banknak a teljes életciklus során folyamatosan monitoroznia kell a kockázatokat – beleértve a nem rendeltetésszerű használat eseteit is. A kockázati besorolást minimum évente felül kell vizsgálni, és besorolásonként kockázatarányos kontrollokat kell rendelni (pl. magasabb monitoring-intenzitás, szigorúbb validáció, mélyebb IT-biztonsági kontrollok).

IT-biztonság és AI: támadások, adatlopás, „prompt poisoning”

Külön fejezet foglalkozik az MI-rendszerekhez kapcsolódó informatikai biztonsági elvárásokkal, összhangban a DORA-val és az új MNB IT-biztonsági ajánlással.

A banknak többek között gondoskodnia kell arról, hogy:

• a tanítóadatok ne legyenek jogosulatlanul manipulálhatók vagy kinyerhetők,
• a modellek algoritmusa, struktúrája, paraméterei, nem nyilvános bemenetei vagy rendszer-promptjai ne legyenek jogosulatlanul rekonstruálhatók vagy módosíthatók,
• az ügyfelek és felhasználók által bevitt adatok szűrésre kerüljenek, hogy ne eredményezhessenek szándékolatlan kimeneteket.

Az MNB jó gyakorlatnak tekinti, ha maguk az MI-modellek is tartalmaznak támadás- és manipuláció-felismerő képességeket, és ha az input-szűrés nemcsak védelmi, hanem energia- és erőforrás-optimalizációs szempontból is csökkenti a rendszer terhelését.

MI-szakértelem: nem elég, ha csak az adattudós érti

Az ajánlás külön fejezetben foglalkozik a szervezeti MI-szakértelem fejlesztésével. A banknak biztosítania kell, hogy a munkavállalók a saját szerepüknek megfelelő szintű MI-jártassággal rendelkezzenek – azaz képesek legyenek megérteni a használt MI-rendszerek működési logikáját, kimeneteit, kockázatait és etikus használatának kereteit.

Az MNB elvárja, hogy:

• a digitális kompetenciákra vonatkozó rendszeres (min. kétévenkénti) felmérés részét képezze az MI-jártasság mérése is,
• a munkavállalók célzott képzéseket kapjanak, amelyek a konkrét, a bank által alkalmazott MI-rendszerekre is kitérnek.

Ez különösen a front office, kockázatkezelés, jogi és compliance területeknél lesz kritikus: nem elég „rábízni a modellre” a döntést, a humán döntéshozónak értenie is kell, mihez asszisztál az MI.

Kommunikáció: transzparens AI-hiba-kezelés

Az ajánlás végül a belső és külső MI-kommunikációt is szabályozza. A banknak proaktívan kell kommunikálnia a szervezeten belül az MI-stratégiáról, pozíciójáról és terveiről, és célszerű önálló MI-kommunikációs stratégiát kialakítani.

Kiemelt elvárás:

• belső bejelentőrendszer az MI-rendszerek működéséhez kapcsolódó hibák, hiányosságok, etikai vétségek bejelentésére és kivizsgálására,
• ügyféltájékoztatás: a feltárt, ügyfeleket érintő hibák, hiányosságok és etikai vétségek hatásáról és elhárításáról egyértelmű, közérthető módon kell tájékoztatni az érintetteket.

Ez a gyakorlatban a „black box” jellegű MI-megoldásokkal szembeni bizalom erősítésének kulcsa lehet – különösen, ha az MI egyre inkább belenyúl a hitel-, árazási vagy ügyfélkiszolgálási döntésekbe.