Rövid válasz
A MiCA, a DORA, az AI Act és a NIS2 önmagukban mind értelmesek. Együtt azonban fix költséget jelentenek: egy bank egyszer kifizeti, és továbblép, egy tízfős vállalat pedig a teljes költségvetéséből fizeti ki. Ennek eredménye, hogy kevesebb új vállalat jön létre az EU-ban, és több alapító máshol jegyezteti be cégét; egyetlen tagállam sem változtathatja meg önállóan az uniós szabályozást.
Az uniós szabályozásból élek. Az ügyfelek azért fordulnak hozzánk, mert a MiCA, a pénzmosás elleni szabályok és az európai szabálykönyv többi része túl sok ahhoz, hogy egyedül kezeljék, mi pedig kezeljük helyettük. Ezért ez nem egy olyan ember panasza, aki veszít, amikor Brüsszel új jogszabályt alkot. Ha valami, én nyerek rajta.
Mégis, látva, mi nehezedett az elmúlt években a kis- és középvállalkozásokra (SME), úgy gondolom, Európa hibát követ el. Nem egy rosszul megírt jogszabályról van szó. Hanem ezek összességéről, arról a sebességről, amellyel az EU kijavítja magát, és arról, hogy a számla azoknál a vállalatoknál landol, amelyek a legkevésbé képesek azt kifizetni. Az AI-szabályozással kapcsolatos álláspontunkat külön írás ismerteti; ez a teljes szabálykönyvben megjelenő mintázatról szól.
Réteg réteg fölött
Íme, mit kér ma az uniós szabályozás egy európai vállalattól, tevékenységétől függően.
- GDPR mindazoknak, akik személyes adatokat kezelnek.
- A digitális szolgáltatásokról szóló jogszabály és a digitális piacokról szóló jogszabály az online platformok és piacterek számára.
- Az adatmegosztási rendelet a csatlakoztatott eszközök és felhőszerződések számára.
- NIS2 és a kiberrezilienciáról szóló jogszabály a kiberbiztonság, valamint a beépített szoftvert tartalmazó termékek számára.
- MiCA a kriptoeszköz-szolgáltatások számára.
- DORA a bankok, fizetési és kriptovállalatok, valamint az őket kiszolgáló IT-beszállítók számára.
- Az AI Act mindazoknak, akik AI-rendszereket fejlesztenek vagy üzleti tevékenységükben használnak.
- Az új AML-rendelet uniós szintű felügyelettel, az AMLA-val.
- eIDAS 2.0 digitális személyazonossági tárcáival.
- Jelentéstételi kötelezettségek a kriptoátutalásokról (travel rule), a kriptoadó-adatokról (DAC8), a fenntarthatóságról (CSRD) és az ellátási láncokról (CSDDD).
Ezek egyike sem csekély jelentőségű. Mindegyiknek megvannak a saját fogalommeghatározásai, űrlapjai, felügyelete és bírságai. Egy tizenkét alkalmazottat foglalkoztató fintech egyszerre öt vagy hat alá is tartozhat.
Minden jogszabály védhető. A halmozódás nem
Külön-külön mindegyik jogszabály valós kérdésre válaszol. Az ügyfelek pénzének nem szabad eltűnnie, amikor egy kriptotőzsde összeomlik; egy banknak nem szabad leállnia, mert felhőszolgáltatója rossz éjszakát élt át; és senki sem akar olyan szoftvert, amely emberi ellenőrzés nélkül dönt arról, ki kap hitelt. Vitasson bármelyik jogszabály ellen külön, és veszít – helyesen.
A probléma az összegük, és a probléma az időzítés. A Bizottság 2021 áprilisában javasolta az AI Actet, az EU pedig 2024-ben fogadta el. A magas kockázatú AI-ra vonatkozó fő szabályait – például a felvételnél, hitelminősítésnél vagy oktatásban használt rendszerekre – 2026. 08. 02-tól kellett volna alkalmazni. 2026 júliusában, hetekkel e dátum előtt, az EU elfogadta az AI-ra vonatkozó Digital Omnibus nevű korrekciót. Ez 2027 decemberére, a szabályozott termékekbe épített AI esetén pedig 2028 augusztusára halasztotta a szabályokat. Hivatalosan azért, mert a műszaki szabványok és a nemzeti felügyeletek nem álltak készen. Öt évvel a javaslat után nem létezett a jogszabály végrehajtására szánt gépezet. Azok a vállalatok, amelyek két évig készültek augusztusra, egy eltolódott dátumra készültek.
Ez a lassúság a gyakorlatban. Megérkeznek a jogszabályok. A korrekciók pedig két vagy három évvel azután érkeznek, hogy mindenki látja a problémát, még egy szabályozás formájában.
Miért kerülnek ugyanazok a szabályok többe egy kisvállalkozásnak
Ez zavar a leginkább. A megfelelés költsége alig függ a vállalat méretétől. Egy szabályzati kézikönyv, IT-beszállítói nyilvántartás, incidensjelentési eljárás, külső audit, engedélykérelem: ezek nagyjából ugyanannyiba kerülnek, függetlenül attól, hogy 50 vagy 5 millió ügyfelet szolgál ki.
A DORA a legvilágosabb eset. A Deloitte 28 európai ország pénzügyi intézményei körében végzett, 2025 márciusában közzétett felmérése szerint a válaszadók mintegy kétharmada €2 millió és €5 millió közötti megfelelési kiadásra számított, és tízből csak egy várta, hogy €2 millió alatt maradjon. Egy nagy bank ezt elnyeli. Egy húsz alkalmazottat foglalkoztató pénzforgalmi intézmény nem, és a legkisebb cégek esetében a megfelelési számla meghaladhatja azt az értéket, amelyet számukra az uniós piac jelent.
A MiCA ugyanezt a történetet számokkal mondja el. A MiCA előtt az ágazati számítások szerint több mint ezer vállalat rendelkezett nemzeti kriptoregisztrációval az EU-ban. Az átmeneti időszak 2026. 07. 01-jén véget ért, és 2026 októberére az ESMA nyilvántartásában körülbelül 370 engedélyezett szolgáltató szerepelt. A hiányzó cégek egy részének távoznia kellett. Sok másik azonban kicsi, helyi és jogszerű volt, és azért tűnt el, mert a MiCA-engedély (CASP engedélyezés) hat számjegyű összeget igényel tanácsadókra, tőkére és vezetői időre, amellyel egy kétalapítós tőzsde nem rendelkezik. Külön vizsgáltam meg, mit tett a MiCA Európa kripto-start-upjaival; itt ez egy szélesebb mintázat egyik példája.
A nagy szereplők ritkán panaszkodnak. Egy jól finanszírozott, már működő vállalat számára minden új jogszabály vizesárok: a megfelelési csapat már rendelkezésre áll, az ügyvédek megbízási szerződéssel dolgoznak, és minden új szabály megemeli a belépő árát annak, aki versenyezni akar. A fogyasztók védelmére írt szabályozás végül a piaci részesedést védi.
Hová mennek az alapítók
A start-upok olyan mértékben mobilak, ahogy a bankok nem. Egy ötlettel és laptoppal rendelkező alapító ugyanúgy hasonlítja össze az országokat, ahogyan mi a repülőjáratokat. Amikor az Apple és a Meta 2024-ben úgy döntött, hogy a digitális piacokról szóló jogszabályra és „kiszámíthatatlan” szabályozási környezetre hivatkozva visszatartja az új AI-funkciókat az uniós felhasználóktól, a címlapok két óriásról szóltak. A csendesebb hatás minden európai fejlesztőt érintett, aki ezekre a modellekre akart építeni, és most várnia vagy költöznie kellett.
Saját munkámban a minta kevésbé drámai, de ugyanilyen állandó. Az alapítók kérdése eltolódott a „kaphatunk engedélyt Észtországban” kérdésről arra, hogy „egy európai engedély egyáltalán megéri-e Dubajhoz, Szingapúrhoz vagy egy amerikai államhoz képest”. Néhány éve ez a második kérdés ritka volt. Ma már megszokott, és nem mindig tudom lebeszélni őket róla.
A számok is ugyanezt mutatják. Az Európai Beruházási Bank 2026. januárban közzétett tanulmánya megállapította, hogy 2008 és 2021 között az 1 milliárd $ feletti értékű európai unikornisok, azaz start-upok csaknem 30%-a az EU-n kívülre helyezte át székhelyét. A legtöbben az Egyesült Államokba mentek, az élen pedig a digitális technológia, az AI és a biotechnológia állt. Mario Draghi a többit is elmondta 2024. szeptemberi, az európai versenyképességről szóló jelentésében: a szabályozási teher túl sok korlátot állít az innováció elé, és megnehezíti a start-upok növekedését. Két évvel később, az Európai Szakpolitikai Innovációs Tanács Draghi Megfigyelőközpontjának számlálása szerint az általa nyomon követett intézkedéseknek mindössze 16%-át hajtották végre teljes körűen. A diagnózist elfogadták. A kezelés lassú.
Miért nem javíthatja ki Tallinn azt, amit Brüsszel írt
Észtország jó hely ennek megfigyelésére. Kicsi, digitális, és általában józanul viszonyul az üzlethez. Ebben a kérdésben viszont szinte tehetetlen.
A MiCA, a DORA és az AI Act rendelet, nem irányelv. Az irányelv célt határoz meg, és minden ország saját jogszabályt alkothat; a rendelet szó szerint alkalmazandó minden tagállamban, és Tallinn, Vilnius vagy Lisszabon egyetlen parlamentje sem enyhíthet egyetlen cikket sem. A nemzeti mozgástér csak egy irányban működik: egy ország mindig lehet szigorúbb Brüsszelnél, de enyhébb nem.
Ezért amikor egy alapító azt mondja nekem, hogy Észtországnak „csak meg kellene oldania ezt”, el kell magyaráznom, hogy a megoldás 27 kormánynál, egy Bizottságnál, egy Parlamentnél és években mérhető jogalkotási ciklusnál van. 2025 eleje óta a Bizottság tizenkét „omnibusz” csomagot terjesztett elő, amelyek mindegyike egyszerre több jogszabályt módosít, és megígérte, hogy megbízatása vége előtt legalább 25%-kal, a SME-k esetében pedig 35%-kal csökkenti az adminisztratív terheket. Az üzleti szövetségek szerint az eddigi eredmény meg sem közelíti ezeket a számokat. Hiszek nekik, mert olvasom a szövegeket.
Európa kockázatmentesíti magát
Aki az elmúlt években bankkal foglalkozott, ismeri a kockázatmentesítés szót. Egy ügyfél kissé szokatlannak tűnik, a megfigyelésének költsége meghaladja az általa fizetett díjakat, ezért a számlát lezárják. Nincs csalás, nincs jogsértés, csak olcsóbb döntés a bank számára. Az ügyfél másik bankot keres, gyakran másik országban, a bank kockázati jelentése pedig jobbnak látszik, mint korábban.
Egyre inkább úgy gondolom, hogy az Európai Unió ugyanezt teszi teljes ágazatokkal. A kripto kockázatosnak tűnt, ezért Európa megalkotta a MiCA-t, és figyelte, ahogy a nemzeti regisztrációval rendelkező cégek többsége kiesik. Az AI kockázatosnak tűnik, ezért Európa megírta a világ első átfogó AI-jogszabályát, mielőtt elég nagy AI-iparága lett volna ahhoz, hogy visszaszóljon. Minden alkalommal csökken a kockázat, és vele együtt csökken a kockázatot hordozó tevékenység is. Egy olyan mérlegben, amely csak az elkerült kockázatokat számolja, ez siker. Abban, amely az alapított vállalatokat és létrehozott munkahelyeket is számolja, nem az.
Alatta csendesebb mechanizmus működik. Az a intézmény, amelynek teljesítményét rendeletekben mérik, rendeleteket fog termelni. Minden jogszabályhoz iránymutatások, műszaki szabványok és Q&A-k kellenek, majd felügyelet azok alkalmazásához, aztán omnibusz annak kijavítására, amit az iránymutatások elrontottak. Minden lépés olyan munkatársakat ad hozzá, akikre a következő jogszabályhoz is szükség lesz. Ebben a láncban senki sem jár el rosszhiszeműen. A folyamatnak egyszerűen nincs beépített oka a megállásra, és belül senki sem fizet a soha meg nem alapított start-upért.
Három forgatókönyv az európai start-upok számára
Ennek kézzelfoghatóvá tételéhez íme, szerintem merre tart az európai gazdaság start-up oldala. Az alapértékeket a Dealroom adja: az EU-ban évente körülbelül 14 800 start-upot alapítanak, ezek közül mintegy 4 400 külső finanszírozást von be, és az EU mintegy 450 unikornisnak ad otthont. Európa egésze, az Egyesült Királyságot is beleértve, 2023-ban rekordnak számító 19%-át, 2024-ben pedig 16%-át kapta a globális kockázatitőke-befektetéseknek, míg az Egyesült Államok 57%-ot kapott.
Megjegyzés a számokról
Az alábbi három forgatókönyv saját vázlatom, nem előrejelző modell. Az irányt és az ötéves időtáv hozzávetőleges nagyságrendjét mutatják; minden számot tartományként, nem előrejelzésként kell olvasni.
| Forgatókönyv | Mi történik a szabályokkal | Finanszírozott start-upok évente az EU-ban | Európa részesedése a globális kockázati tőkéből | Az EU-n kívülre költöző unikornisok székhelyei |
|---|---|---|---|---|
| Valószínű: a szabálykönyv marad | Az omnibuszcsomagok csökkentik az adminisztrációt, de nem a hatályt. Az AI Act magas kockázatú szabályai az új időpontokban alkalmazandók, az AML-rendelet további réteget ad, és egyik jogszabály sem kap valódi küszöbértéket a kisvállalatok számára. | Körülbelül 3 500–3 800-ra csökken (15–20%-os visszaesés) | 12–13% felé csúszik | 35–40% felé emelkedik; a fintech-, AI- és kriptoalapítók az első naptól az EU-n kívül jegyeztetik be vállalataikat |
| Nem a legrosszabb: Brüsszel teljesít | Az omnibuszok valódi küszöbértékeket adnak a kisvállalatoknak, elfogadják az EU Inc.-t, amely működik is, és a szabványokat az alkalmazási időpontok előtt, nem után teszik közzé. | Nagyjából 4 200–4 600-on marad | 15–16%-on marad | 30% közelében marad |
| Ha a jogszabályok kezdettől SME-barátok lettek volna | Enyhébb kötelezettségek egy alkalmazotti létszám- vagy árbevételi küszöb alatt, tesztkörnyezetek a végrehajtás előtt, ágazatonként egy felügyelet, minden jogszabályban lejárati idő. | Körülbelül 5 200–5 800-ra nő (20–30%-os emelkedés) | Vissza a korábbi csúcsértékhez, 19–20%-ra | 25% alatt |
Miért visszaesés, és nem összeomlás az első forgatókönyvben? Mert a szabálykönyv az alapítókat a döntési ponton sújtja, nem a már működő vállalatokat. Egy frankfurti bank nem távozik a DORA miatt. Egy háromfős tartui AI-start-up egyszerűen Delaware-ben jegyezteti be magát, és egy ideig otthon tartja a fejlesztőket. Az EU elveszíti a székhelyet, az adóalapot és a kiszállást, a bérköltséget pedig még egy ideig megtartja.
És miért nem fantázia a harmadik forgatókönyv? Mert a számai közel állnak ahhoz, ahol Európa a legjobb időszakában már állt: a globális kockázati tőke 19–20%-os részesedését néhány évvel ezelőtt érte el, mielőtt a szabályok jelenlegi rétege alkalmazandóvá vált. Ha az uniós szabályozást a kisvállalatokra tekintettel írták volna, Európa nem veszítette volna el fogyasztóvédelmét. Csak néhány bekezdésnyi jogszabályszövegezésbe került volna.
Az érvek a másik oldal mellett
Nem érdemelném meg, hogy komolyan vegyenek, ha úgy tennék, mintha a szabálykönyvnek nem lennének előnyei, ezért íme. Egy MiCA-engedély lehetővé teszi, hogy egy vállalat mind a 30 EU- és EGT-országban kiszolgáljon ügyfeleket; előtte egy kriptovállalatnak 27 külön beszélgetésre volt szüksége 27 szabályozóval. A GDPR a magánélet védelméről szóló jog globális mintája lett. Egy egységes AML-rendelet elméletben véget vethet annak a helyzetnek, hogy az egyik tagállamban elfogadott ügyfelet a következőben elutasítják. A harmonizáció valódi érték, és naponta hasznot húzok belőle.
Az őszinte kompromisszum ez. Az európai léptékű harmonizációt sebességgel és a legkisebbeket leginkább sújtó költségszerkezettel fizetik meg. Európa többnyire hallgatólagosan úgy döntött, hogy a biztonságos piacot részesíti előnyben a gyorssal szemben. Ez jogszerű választás. Csak úgy gondolom, ezt nyíltan, a hozzá kapcsolódó árral együtt kellene meghozni, ahelyett, hogy omnibuszról omnibuszra fedeznénk fel.
Mit kellene Európának inkább tennie
Az álláspontom nem az, hogy Európának fel kellene hagynia a szabályozással. Az, hogy Európának nem kellene egy háromfős start-upot úgy szabályoznia, mintha bank lenne. Egy kis csapat nem tud megfelelési részleget működtetni, és az a jogszabály, amely ezt hallgatólagosan feltételezi, nem biztonsági szabály, hanem belépési korlát. Hat változtatás megszüntetné a kár nagy részét, és egyik sem radikális: mindegyikre van már példa valahol az uniós jogban.
- Valódi méretküszöbök, a jogszabályba írva. Az EU saját kisvállalati meghatározása alatt (50 főnél kevesebb alkalmazott és €10 millió alatti árbevétel) a súlyos kötelezettségek egyáltalán ne legyenek alkalmazandók, vagy rövid, rögzített formában legyenek alkalmazandók. A GDPR ezt már megteszi a 30. cikk (5) bekezdése szerinti nyilvántartásvezetésnél, amely a 250 főnél kevesebb alkalmazottat foglalkoztató szervezetek többségét mentesíti, és 2025-ben a Bizottság e mentesség kiterjesztését javasolta. Ugyanez a logika illik a DORA-ba, a NIS2-be és az AI Actbe.
- Szabványok, mielőtt a jogszabály alkalmazandóvá válik. Egyetlen kötelezettség sem léphet hatályba, amíg a műszaki szabványok nem léteznek, és minden tagállamban legalább egy felügyelet készen nem áll az alkalmazásukra. Az AI Act halasztása fájdalmasan bizonyította ezt. A szabályt le kell írni, hogy a következő jogszabálynak ne legyen szüksége omnibuszra a megmentéséhez.
- Előbb tesztkörnyezetek, utána végrehajtás. Egy új ágazatnak felügyelt tesztidőszakot kell kapnia, amelyben a vállalat a szabályozó felügyelete mellett működhet, mielőtt teljes engedélyezésre lenne szükség. Az AI Act ilyen tesztkörnyezeteket ígér, de azokat 2027 augusztusára, egyes kötelezettségek utánra halasztották. A sorrendnek fordítottnak kellene lennie.
- Vállalatonként egy felügyelet. Egy tizenkét fős fintech ma külön a pénzügyi felügyeletnek, a FIU-nak, az adatvédelmi hatóságnak és hamarosan egy AI-hatóságnak is felelhet. A GDPR egyablakos rendszere, amelyben egyetlen vezető hatóság kezeli a vállalatot, megmutatja a modellt. Ezt a teljes szabálykönyvre ki kellene terjeszteni.
- Lejárati idő minden jogszabályban. Ha egy rendelet hatályát veszti, kivéve, ha költségeinek valós felülvizsgálata után ismét megerősítik, akkor a korrekció kötelezővé válik, nem pedig politikai szívességgé. Az omnibusz lesz a szabály, nem a mentőöv.
- Számolják meg a soha meg nem alapított vállalatot. Minden uniós hatásvizsgálat méri a meglévő vállalkozások költségeit. Egyik sem méri azokat a start-upokat, amelyek inkább Delaware-t, Dubajt vagy Szingapúrt választották. Amíg ez a szám nincs az asztalon, a következő jogszabályt szövegezők továbbra is alábecsülik a költségét.
Mindez nem jelenti az Egyesült Államok másolását, amelynek továbbra sincs átfogó szövetségi AI-jogszabálya, csak állami szabályok mozaikja, vagy az Egyesült Királyság másolását, amely eddig úgy döntött, nem fogad el egyetlen AI-jogszabályt, hanem meglévő szabályozóit kéri fel elvek alkalmazására. Azt jelenti, hogy el kell ismerni: egy európai alapító ma ezekhez a helyekhez hasonlítja Európát. Ha ehhez hozzáadjuk az EU Inc.-t, az egységes európai cégformát, amelyet 2026 márciusában javasoltak, és amelyet a Bizottság ígérete szerint 48 órán belül, €100 alatt, minimális tőke nélkül lehet bejegyezni, Európának lenne egy olyan ajánlata, amelyet egy kis csapat ténylegesen igénybe tud venni.
Mit mondok az alapítóknak
Az alapítóknak adott tanácsom unalmasan gyakorlatias lett. A megfelelési költségeket az értékesített áruk költségének egyik soraként kezeljék, ne egyszeri jogi díjként. Az uniós országot a szabályozó minősége és a nyilvántartása gyorsasága alapján válasszák, mert maguk a szabályok mindenhol ugyanazok lesznek. Az átmeneti időszakokat és az omnibuszhalasztásokat az építkezés idejeként használják, ne a jog figyelmen kívül hagyására adott engedélyként; az AI Act magas kockázatú szabályait elhalasztották, nem törölték el. Ha üzleti modelljük csak az uniós szabálykönyvön kívül működik, ezt korán ismerjék el, az engedélykérelem előtt, ne utána.
Vállalatépítés Európában a szabálykönyv ellenére
Európa továbbra is jó hely vállalat működtetésére, és ezt minden héten elmondom az ügyfeleknek. Ennek az írásnak nem az a célja, hogy bárkit lebeszéljen Észtországról vagy az EU-ról. Azt kívánja mondani, hogy az uniós szabályozás valós költség, amellyel az első naptól számolni kell. A megfelelő struktúra, a megfelelő engedélyezési út és az EU-n belüli megfelelő ország ma nagyobb különbséget jelent, mint öt évvel ezelőtt. Ha új vagy meglévő vállalata kapcsán mérlegeli ezeket a döntéseket, az Eesti Firma csapata végigvezeti Önt azon, mit jelentenek a szabályok ténylegesen az Ön esetében, a cégalapítástól az engedélyezésig.
