Mesterséges intelligencia M.I.

**Simona Varga** · 2026-07-06, 22:17

MI-irányítás audit szemmel – tudjuk-e bizonyítani, hogy kontrolláltan használjuk a mesterséges intelligenciát?

Az MI-ról ma már szinte minden szervezetben beszélünk. Van, ahol már hivatalosan beépült a működésbe, van, ahol még csak kísérleteznek vele, és van, ahol valószínűleg már használják is, csak nem biztos, hogy mindenki tud róla.

Képzeljük el, hogy holnap reggel a vezetés feltesz egy egyszerű kérdést: Pontosan hol használunk mesterséges intelligenciát a szervezetben?

És rögtön jönnek a következő kérdések is:

Milyen adatokkal?
Milyen döntések támogatására?
Ki hagyta jóvá?
Ki felel érte?
És ha valami rosszul működik, ki veszi észre?

Szerintem itt kezd igazán érdekessé válni a mesterséges intelligencia, vagyis az MI audit szempontból.
Nem ott, hogy használjuk-e. Mert valószínűleg már használjuk. Lehet, hogy hivatalosan, szabályozott keretek között. Lehet, hogy csak egy-egy üzleti területen. És lehet, hogy már ott is, ahol a szervezet még nem is látja teljesen.
A kérdés inkább az, hogy kontrolláltan használjuk-e.

Miért hoztam ezt a témát?

Belső ellenőrzési és kontroll szemmel egyre többször érzem azt, hogy az MI körüli beszélgetés sokszor két véglet között mozog.
Az egyik oldalon ott van a lelkesedés: gyorsabb munka, jobb elemzés, hatékonyabb riportolás, új lehetőségek. A másik oldalon ott van az óvatosság: adatvédelem, információbiztonság, etikai kérdések, hibás következtetések, túlzott bizalom a technológiában. Szerintem a belső ellenőrzésnek pont a kettő között van fontos szerepe.

Nem az a feladatunk, hogy megállítsuk az MI használatát. Ez nem lenne reális, és nem is lenne értékteremtő. Inkább az, hogy segítsünk megérteni: hol van valódi kockázat, milyen kontrollokra van szükség, és tudjuk-e bizonyítani, hogy ezek működnek.

Mit jelent az MI-irányítás?

Az MI-irányítás, angolul AI governance, egyszerűen fogalmazva azt jelenti, hogy a szervezet tudatosan, átláthatóan és felelősen kezeli a mesterséges intelligencia használatát.
Ez nem csak IT-kérdés. Nem csak innováció. Nem csak compliance. És nem is csak egy szabályzat.
Audit szemmel inkább egy olyan működési keret, amely választ ad például ezekre a kérdésekre:

Tudjuk-e, milyen MI-eszközöket használ a szervezet?
Van-e nyilvántartás az MI használati esetekről?
Ki a felelős ezekért?
Milyen adatok kerülnek be az MI-rendszerekbe?
Milyen döntéseket támogat az MI?
Van-e emberi felülvizsgálat?
Dokumentált-e, hogy mire használjuk és mire nem?
Van-e monitoring, ha az MI rossz, torz vagy félrevezető eredményt ad?

A gyakorlatban sokszor nem az a probléma, hogy nincs jó szándék. Hanem az, hogy a technológia gyorsabban bekerült a napi munkába, mint ahogy a governance, a szabályozás és a kontrollkörnyezet utolérte volna.

Mit auditáljunk először?

Egy MI-irányítási audit szerintem nem feltétlenül mély technikai modellvizsgálattal kezdődik.
Sok szervezetnél az első auditkérdések ennél sokkal alapvetőbbek.

1. Van-e MI-használati nyilvántartás?
Tudjuk-e egyáltalán, hol és mire használunk MI-t? Ide tartozhatnak hivatalos rendszerek, beépített MI-funkciók, külső szolgáltatók megoldásai, vagy akár a munkatársak által használt generatív MI-eszközök is. Ha nincs ilyen lista, akkor nehéz kockázatot értékelni, kontrollt kialakítani vagy felelőst kijelölni.

2. Egyértelmű-e a felelősség?
Ki a gazdája az MI használatának? Az üzleti terület? IT? Kockázatkezelés? Compliance? Adatvédelem? Információbiztonság? Vagy mindenki egy kicsit, és végül senki igazán? Ez klasszikus governance-kérdés. Ha nincs felelős, akkor a kontroll is könnyen formálissá válik.

3. Milyen adatokat használunk?
Az MI egyik legérzékenyebb pontja az adat. Nem mindegy, hogy nyilvános információt, belső üzleti adatot, ügyféladatot, személyes adatot vagy bizalmas dokumentumot használunk. Audit szempontból itt nem csak az a kérdés, hogy az adat „jó-e”, hanem az is, hogy jogszerűen, biztonságosan és megfelelő célra használjuk-e.

4. Milyen döntést támogat az MI?
Más a kockázat, ha az MI egy meeting jegyzetét foglalja össze, és más, ha ügyfélkockázati besorolást, HR-döntést, monitoring eredményt vagy kontrollértékelést támogat. A kockázat nem önmagában az MI-ban van. Hanem abban is, hogy milyen döntési környezetben használjuk.

5. Van-e valódi emberi felülvizsgálat?
Sokszor halljuk, hogy „human in the loop”, vagyis emberi felülvizsgálat van a folyamatban. De auditorként itt jön a következő kérdés: ez tényleg működik? Az ember valóban érti, ellenőrzi és szükség esetén megkérdőjelezi az MI eredményét? Vagy csak formálisan jóváhagyja, mert a rendszer már előkészítette? A formális review nem ugyanaz, mint az érdemi kontroll.

6. Tudjuk-e bizonyítani, hogy a kontrollok működnek?
Ez talán az egyik legfontosabb belső ellenőri kérdés. Nem elég azt mondani, hogy van szabályzat, van jóváhagyás, van kontroll. A kérdés az, hogy van-e mögötte bizonyíték. Ha később vissza kell nézni egy MI által támogatott döntést, meg tudjuk-e mutatni:

- milyen input alapján dolgozott a rendszer,
- ki ellenőrizte az eredményt,
- milyen döntés született,
- milyen kontroll működött,
- és ki vállalta érte a felelősséget?

A belső ellenőrzés szerepe

Szerintem a belső ellenőrzés egyik legnagyobb hozzáadott értéke ebben a témában az lehet, hogy az MI-t lefordítja érthető governance és kontrollnyelvre.
Nem kell mindenkinek adatelemzőnek vagy technológiai szakértőnek lennie. De azt értenünk kell, hogy az MI milyen üzleti, működési, adatvédelmi, információbiztonsági, etikai és reputációs kockázatokat hozhat.
És talán azt is érdemes kimondani: az MI nem csak új audit témát hoz, hanem minket, belső ellenőröket is önvizsgálatra kényszerít.
Mert ha mi magunk is használunk MI-t elemzéshez, szövegíráshoz, riportkészítéshez vagy audit-előkészítéshez, akkor ugyanazokat a kérdéseket magunknak is fel kell tennünk:

Milyen adatot adunk be?
Ellenőrizzük-e az eredményt?
Dokumentáljuk-e a használatot?
Tudjuk-e, hol segített az MI, és hol döntött továbbra is az auditor?

➡❓Vitaindító kérdések

Van-e nálatok MI-használati nyilvántartás, vagy még inkább eseti és szétszórt a használat?
Ki legyen az MI-kockázatok felelőse: az üzlet, IT, kockázatkezelés, compliance, adatvédelem – vagy közös modellre van szükség?
Egy MI-irányítási audit során ti mit kérnétek be először: szabályzatot, használati listát, kockázatértékelést, adatvédelmi dokumentációt vagy konkrét bizonyítékokat?
Hol húznátok meg a határt: mikor hasznos támogatás az MI, és mikor jelent már túl nagy kontrollkockázatot?
A belső ellenőrzés saját MI-használatát ki és hogyan kontrollálja?

Kíváncsi vagyok a tapasztalataitokra. Szerintem ez az a téma, ahol még mindannyian tanulunk. És talán pont ezért fontos róla beszélni, nem túl elméletién, hanem nagyon gyakorlati szemmel.

Mert a végén nem az lesz a legfontosabb kérdés, hogy van-e MI-szabályzatunk.

Hanem az, hogy tényleg tudjuk-e, hol, hogyan és milyen felelősség mellett használjuk a mesterséges intelligenciát.

📌Források / szakmai háttér

**Mrovcza Márton CIA** · 2026-07-08, 11:25

Simona szerintem nagyon érdekes és aktuális a bejegyzésed! Nekem olvasóként az jutott eszembe, hogy az MI-ről folytatott beszélgetésekben gyakran a használati oldal kerül előtérbe – hogyan segít a munkában, hogyan növeli a hatékonyságot –, miközben talán kevesebb szó esik arról, hogy az MI nemcsak támogató eszköz lehet, hanem külső kockázati forrás is.

Éppen ma olvastam egy cikket arról, hogy az Európai Központi Bank arra készíti fel a nagybankokat, hogy a fejlett MI-modellek a kibertámadások hatékonyságát is jelentősen növelhetik, ezért konkrét védekezési terveket vár el tőlük. A felügyelet szerint az új generációs modellek képesek a sérülékenységek gyorsabb azonosítására és a támadások automatizálására is (Mythos-hatás): Az EKB utasítja Európa nagybankjait, hogy készüljenek fel az AI jelentette kiberfenyegetésekre - ITBUSINESS

"Az új generációs AI-modellek képesek példátlan sebességgel azonosítani a szoftverhibákat, majd működőképes támadókódokat (exploitokat) készíteni hozzájuk. Ez gyakorlatilag megszünteti azt az időablakot, amely korábban a sérülékenység felfedezése és annak tényleges kihasználása között rendelkezésre állt".

Emiatt számomra különösen fontos a cikk azon gondolata, hogy az MI-irányítás nem pusztán technológiai vagy innovációs kérdés. A kockázatkezelésnek és a kontrollkörnyezetnek ugyanúgy foglalkoznia kell azzal, hogy mire használjuk az MI-t, mint azzal, hogy ellenünk mire használhatják.

UPDATE:
Friss cikk egy AI vezérelte támadásról: Meghackelte az OpenAI két botja a Hugging Face-t - HWSW

**Smohay** · 2026-07-21, 11:54

Simona, nagyon jó, hogy elindítottad ezt az igazán fontos és aktuális témát.

A mesterséges intelligencia (MI) sok szempontból fontos belső ellenőrzési szakmai szempontból. Az MI irányítás tényleg kiemelt jelentőséggel bír, mellette pedig számos szempontból érdemes végiggondolni.
A BEMSZ Kockázatkezelési Bizottságát is ez a cél vezette, amikor megalkotta "A Mesterséges Intelligencia a belső ellenőrzés fókuszában" című módszertani segédletet, ami itt érhető el:

https://iia.hu/index.php/tudastar/kiadvanyok?task=download.send&id=103:a-mesterseges-intelligencia-a-belso-ellenorzes-fokuszaban-modszertani-segedlet&catid=15

Szintén az irányításból indul, és utána igyekszik lebontani kockázati és kontroll szintre is, ami remélhetőleg hasznos szempontokat ad minden kollégának.
Kíváncsi is lennék itt, hogy ha olvasta valaki, mi a véleménye a módszertani segédletről!

**Sipos János** · 2026-07-29, 16:07

Az AI-megoldások az elmúlt időszakban fokozatosan beépültek a szakmai munkánkba. Minél többet használjuk őket kutatásra, elemzésre, ellenőrzésre és szövegalkotásra, annál világosabban látszik, hogy nemcsak az számít, milyen kérdést teszünk fel, hanem az is, melyik modellnek, milyen kontextusban és milyen ellenőrzési módszer mellett.
Azonos témában rendszeresen ugyanazt a promptot adjuk több AI-modellnek, és gyakran érdemi különbségeket tapasztalunk a válaszok között. Ez ténykérdéseknél is előfordulhat, mivel a modellek tudásának frissessége, forráshasználata és webes hozzáférése eltérhet, de még látványosabb az értelmezést, mérlegelést vagy következtetést igénylő feladatoknál.
Lényeges kérdésekben négy AI-megoldás fizetett változatát használjuk párhuzamosan. Válaszaikat nem tekintjük igazolt állításoknak: összevetjük őket, keressük az ellentmondásokat, külön ellenőrizzük a fontos részállításokat, és ahol lehetséges, elsődleges vagy más megbízható forrásokhoz nyúlunk vissza. A szakmai tapasztalat és a kritikus mérlegelés ebben a folyamatban továbbra is nélkülözhetetlen.
Több esetben ugyanazt a promptot ugyanazon szolgáltatás azonos modelljének, azonos előfizetési szinten, de két különböző felhasználói fiókból tettük fel. A válaszok között rendszerint kisebb, de esetenként jelentős eltéréseket találtunk. Jogi esetek elemzésénél például a jogász által használt fiókhoz tartozó AI több kérdésen keresztül következetesen mélyebb jogi elemzést adott, mint a mérnök által használt fiókhoz tartozó rendszer. A különbség akkor is fennmaradt, amikor a látható beszélgetési előzményeket kizártuk a tesztből.
A jelenség okát nem ismerjük, ezért nem állítjuk, hogy azt közvetlenül a felhasználó szakmai háttere okozza. Lehetséges magyarázat lehet a személyre szabás, a fiókszintű kontextus, az eltérő rendszerbeállítás, a modelloldali variabilitás vagy más, számunkra nem látható tényező. Azt viszont megfigyeltük, hogy az eltérés ismételt tesztekben is fennmaradt; egy teljes esetet a promptoktól a válaszokig dokumentáltunk későbbi módszertani elemzés céljából.
Szintén érdekes tapasztalat volt, hogy ugyanazon beszélgetésen belül egy korábban már használt prompt megismétlése esetenként eltérő szerkezetű és részletezettségű választ eredményezett. Ilyenkor azonban a szövegszerűen azonos prompt már nem feltétlenül jelentett azonos bemenetet az AI számára, mert (például) a beszélgetés közben felépült kontextus is befolyásolhatta a választ. Amikor egyértelműen jeleztük az eltérést, ismételten rögzítettük az elvárt szerkezetet, és szükség esetén példaként visszaadtunk egy korábbi kérdés-válasz párt, a válasz rendszerint ismét követte a korábban meghatározott munkamódszert, struktúrát és részletezettséget.
Több szolgáltatásnál tapasztaltunk olyan, jól látható megjelenítési hibát is, amely a magyar ékezetes karaktereket érintette. Ezek javítása általában egyszerű, mert a hiba nyilvánvaló és azonnal felismerhető. A hibák ugyanakkor jól szemléltetik, hogy nem minden probléma oka a modell vagy a hibás promptolás: a felület, a karakterkezelés és más technikai rétegek hibái is befolyásolhatják a felhasználóhoz eljutó eredményt.
A gyakorlatban az egyes AI-modellekre eltérő feladatoknál és eltérő mértékben támaszkodunk. Van olyan rendszer, amely bizonyos esetekben a tények felkutatásában teljesít jobban, míg más a szövegalkotásban, a strukturálásban vagy az érvelésben erősebb. Az észlelt teljesítmény ráadásul akár rövid időn belül is változhat, aminek hátterében modellfrissítés, eltérő eszközhasználat, kontextus, rendszerbeállítás vagy egyszerű válaszgenerálási variabilitás egyaránt állhat. Ennek felismerése és kezelése önálló feladat.
Tapasztalataink alapján az AI-t eszközként, nem pedig orákulumként kezeljük. Egyetlen, de akár több AI-modell egymással egybehangzó válaszát sem tekintjük önmagában ellenőrzött ténynek vagy közvetlenül publikálható tartalomnak. A válaszok ugyanakkor rendszerint értékes kiindulási pontot, szempontot vagy munkaanyagot adnak. Ezeket párhuzamos lekérdezésekkel, az ellentmondások azonosításával és feloldásával, az eredeti források felkutatásával és ellenőrzésével, valamint saját szakmai tudásunk alkalmazásával fejlesztjük tovább.

**Mrovcza Márton CIA** · 2026-07-31, 08:20

Sziasztok!

János bejegyzése szerintem egy olyan fontos(!) és nagyon aktuális problémára hívja fel a figyelmet, amellyel egyre többen találkoznak a mindennapi munka során (nem leszűkítve a belső ellenőrzési szakmára). Nem kizárólag arra a kérdésre kell választ keresnünk, hogy a feladataink megoldásához melyik AI-modellt használjuk, hanem azt is, hogy hogyan tudjuk később igazolni vagy reprodukálni az AI által támogatott munkánkat.

Ez felvet szerintem egy módszertani kérdést is: vajon eljön-e az idő, amikor egy munkaanyagban (pl.: a szakmánál maradva egy belső ellenőrzési munkalapon) már azt is dokumentálnunk kell, hogy 1-1 részfeladathoz használtunk-e mesterséges intelligenciát, ha igen - melyik AI-modellt, melyik verziót és milyen prompttal?

Természetes, hogy dokumentáljuk az adatforrásokat és az alkalmazott módszertant. Ha az AI a mindennapi munkamódszer részévé válik, könnyen lehet, hogy az AI használatának teljeskörű dokumentálása is elvárás lesz. Ráadásul az AI által adott válaszok nem feltétlenül reprodukálhatók. Ahogy János kifejtette fentebb ugyanaz a prompt később, más modellverzióval, eltérő kontextusban vagy akár ugyanazon modell esetében is más eredményt adhat --- ez szerintem egészen új kihívást jelent a minőségbiztosítás és a felülvizsgálhatóság szempontjából.

Ti mit gondoltok? Elég lesz azt rögzíteni a jövőben, hogy "AI-t használtunk", vagy idővel az AI használatának részletei is a munkapapírok részévé válnak?

Szerintem ezek olyan módszertani kérdések, amelyek néhány éven belül akár az IIA útmutatásaiban is megjelenhetnek. (Véleményem szerint meg kellene, sőt talán már meg is kellett volna jelenniük...)

**Simona Varga** · 2026-08-03, 21:20

Köszönöm szépen mindenkinek a hozzászólásokat, nagyon értékes irányokkal egészült ki a téma.

Különösen érdekes, hogy a beszélgetés az MI használatától fokozatosan eljutott az MI-vel támogatott szakmai munka bizonyíthatóságáig, felülvizsgálhatóságáig és reprodukálhatóságáig.

Gajdos Marci példája jól mutatja, hogy a több modell párhuzamos használata valóban segíthet az eltérések és lehetséges hibák felismerésében, valamint az MI-vel szembeni ellenállás csökkentésében. Ugyanakkor önmagában az sem feltétlenül bizonyíték egy válasz helyességére, ha több modell hasonló eredményre jut. Ezért továbbra is nélkülözhetetlen az eredeti források ellenőrzése, a szakmai szkepticizmus és az emberi mérlegelés.

János részletes gyakorlati tapasztalatai különösen jól szemléltetik, hogy az eredményt nemcsak a prompt, hanem a választott modell, annak verziója, a rendelkezésére álló kontextus, a felhasználói fiók beállításai és más, számunkra nem feltétlenül látható tényezők is befolyásolhatják. Nagyon fontosnak tartom azt a megközelítést, hogy az MI-t eszközként, ne pedig „orákulumként” kezeljük.

Mrovcza Marci két fontos nézőponttal is továbbvitte a beszélgetést. Egyrészt nemcsak azt kell vizsgálnunk, hogy mi mire használjuk az MI-t, hanem azt is, hogyan használhatják azt ellenünk. Ez jól mutatja, hogy az MI-irányításnak az innováció és hatékonyság mellett a kiberbiztonsági, harmadik félhez kapcsolódó és külső fenyegetési kockázatokra is ki kell terjednie. Másrészt felvetette az MI-vel támogatott auditmunka dokumentálásának és későbbi reprodukálhatóságának kérdését is.

Ferenc, köszönöm a BEMSZ Kockázatkezelési Bizottsága által készített „A Mesterséges Intelligencia a belső ellenőrzés fókuszában” című módszertani segédlet megosztását. Átnézve az anyagot, különösen hasznosnak tartom, hogy az auditálhatóságot összekapcsolja a nyomon követhetőséget biztosító naplóadatokkal. Emellett hangsúlyozza a felhasználók és felhasználási területek nyilvántartását, a mentési és archiválási követelményeket, valamint a felülvizsgálati, ellenőrzési és naplóértékelési eljárásokat.

A segédlet világosan különválasztja azt, amikor a belső ellenőrzés az MI szervezeti használatáról ad bizonyosságot, attól, amikor maga a belső ellenőrzés használ MI-t a feladatai ellátásához. Az anyag elsősorban az első területre koncentrál. Éppen ezért szerintem a mostani beszélgetés jó lehetőség arra, hogy továbbgondoljuk: hogyan alkalmazzuk ugyanezeket az auditálhatósági és nyomon követhetőségi elveket a belső ellenőrzés saját MI-használatára.

Ezt én kockázatalapúan közelíteném meg. Nem biztos, hogy minden egyszerű nyelvi javításnál vagy ötletelésnél szükség van a teljes prompt és válasz megőrzésére. Ha azonban az MI érdemben hozzájárult egy elemzéshez, kontrollértékeléshez, megállapításhoz vagy következtetéshez, akkor szerintem indokolt lehet legalább annak dokumentálása, hogy:

milyen célra és részfeladathoz használtuk;
melyik eszközt vagy modellt használtuk, és mikor;
milyen adatokat, forrásokat vagy lényeges kontextust adtunk meg;
hogyan validáltuk az MI által adott eredményt;
milyen bizonyítékok támasztják alá a végső következtetést;
ki végezte el a szakmai felülvizsgálatot és hozta meg a végső döntést.

Ha az MI-t az auditmunka támogatására használjuk, annak válasza önmagában általában nem tekinthető auditbizonyítéknak, hanem alkalmazott eszköz vagy közbenső munkaanyag. A végső következtetésért, annak szakmai megalapozottságáért és megfelelő bizonyítékokkal történő alátámasztásáért továbbra is az auditor felel.

A szó szerinti reprodukálhatóság valószínűleg nem mindig biztosítható, hiszen ugyanaz a prompt eltérő időpontban, modellverzióval vagy kontextusban más eredményt adhat. Ezért érdemes különbséget tenni az MI válaszának pontos megismételhetősége és a szakmai munkafolyamat reprodukálhatósága között. Nem feltétlenül ugyanazt a szöveget kell újra megkapnunk, hanem azt kell tudnunk igazolni, hogy milyen módszerrel dolgoztunk, milyen forrásokat használtunk, mit és hogyan ellenőriztünk, valamint hogyan jutottunk el a végső következtetéshez.

Az IIA 14.6. standardja technológiasemlegesen már most is megköveteli, hogy az elemzéseket, értékeléseket és alátámasztó információkat úgy dokumentáljuk, hogy egy megfelelően felkészült személy megismételhesse a munkát, és ugyanarra a megbízási eredményre juthasson. Az igazán érdekes módszertani kérdés szerintem az, hogyan fordítjuk le ezt az elvet az MI használatára a gyakorlatban.

Talán egy következő közös lépés lehetne egy rövid, kockázatalapú „MI-használati dokumentációs minimum” összeállítása a belső ellenőrzési munkalapokhoz.

Mit gondoltok: milyen adatokat kellene mindenképpen rögzíteni, ha az MI már érdemben részt vesz az ellenőrzési munkában?

Mesterséges intelligencia M.I.

Mesterséges intelligencia M.I.

Hozzászólás

Hozzászólás

Hozzászólás

Hozzászólás

Hozzászólás

Hozzászólás