Член 78 — Поверителност (Регламент на ЕС за ИИ)

Член 78 от Регламент (ЕС) 2024/1689 — Поверителност. Официален текст, практическо тълкуване, основни задължения и последствия за съответствието.

Резюме на официалния текст

Член 78 от Регламент (ЕС) 2024/1689 установява обвързваща рамка за поверителност, уреждаща обработката на информация, получена от компетентни органи — включително национални органи за надзор на пазара, нотифициращи органи, нотифицирани органи и Комисията — в хода на техните задължения по Регламента на ЕС за ИИ.

Членът изисква от всички страни, упражняващи функции по Регламента, да защитават информация, предмет на задължения за професионална тайна. Това обхваща търговски тайни, търговски чувствителни данни, интелектуална собственост и лични данни, с които се сблъскват по време на одити, разследвания, оценки на съответствието, процедури за коригиращи действия или всяка друга надзорна дейност. Задължението се прилага както за самите органи, така и за техния персонал, включително външни експерти, подпомагащи правоприлагащите задачи.

Член 78 обаче разрешава обмена на информация между компетентните органи в рамките на дадена държава членка, между държавите членки и с Комисията, когато такъв обмен е необходим за изпълнението на задачите по Регламента. Всяка информация, споделена по този начин, запазва своя поверителен характер и получаващият орган поема същите задължения за защита.

Членът не забранява на органите да публикуват обобщени, анонимизирани или нечувствителни констатации, нито отменя задължителните изисквания за разкриване, произтичащи от съдебни производства. Той действа в съответствие с Регламент (ЕС) 2016/679 (ОРЗД) и секторно-специфичните режими на поверителност, когато е приложимо, без да ги измества.

Какво означава това на практика

За доставчиците и операторите на ИИ член 78 предоставя значима процесуална защита. Когато национален орган за надзор на пазара открие разследване — например, тъй като система с ИИ с висок риск е маркирана за несъответствие с изискванията за оценка на съответствието по член 43, или тъй като е докладван сериозен инцидент по член 73 — доставчикът трябва да сътрудничи и да предостави техническа документация, алгоритмични подробности и резултати от тестове. Член 78 гарантира, че тази търговски чувствителна информация не напуска регулаторната сфера без правно основание.

Кого засяга. Преките задължения се отнасят за компетентните органи и техния персонал. Доставчиците и операторите са непреките бенефициенти, получаващи увереност, че търговски тайни, разкрити по време на правоприлагане, са защитени. Нотифицираните органи, оценяващи съответствието на системи с ИИ с висок риск и следователно получаващи подробни технически материали, са също толкова обвързани.

Конкретни сценарии. Доставчик на система с ИИ с висок риск, използвана при кредитно оценяване, предоставя своята техническа документация на националния орган за надзор на пазара след жалба. Съгласно член 78 органът не може да сподели тази документация с конкурент или да я публикува по начин, разкриващ собствена архитектура на модела. По същия начин служител на нотифициран орган, преглеждащ състава на данните за обучение по време на оценка на съответствието, е обвързан от професионална тайна по отношение на тези данни.

Практически стъпки за доставчиците. Организациите следва да маркират търговски чувствителни документи, предавани на органите, и да поддържат регистър на разкритата информация, на кого е предадена и по кое регулаторно задължение. Когато изглежда, че искане за разкриване надхвърля правомощията на органа, доставчиците запазват правото да възразят пред компетентни съдилища.

Основни задължения

• Компетентните органи, нотифициращите органи, нотифицираните органи, Комисията и техният персонал трябва да третират като поверителна цялата информация, получена при упражняването на техните задължения, която се квалифицира като търговска тайна, търговски чувствителни данни или лични данни.
• Задълженията за поверителност се разпростират върху външни експерти и всички други лица, участващи в регулаторни задачи по Регламента за ИИ, като технически оценители или научни съветници.
• Обменът на информация между органите — в рамките на дадена държава членка, между държавите членки и с Комисията — е разрешен, когато е необходим за правоприлагане, но споделената информация запазва своя поверителен статус и получаващият орган поема еквивалентни задължения за защита.
• Органите не могат да разкриват на трети страни, включително обществеността, никаква информация, която би могла да навреди на търговските интереси на доставчиците или операторите, освен ако конкретно правно основание, като съдебна заповед или преобладаващ обществен интерес, не оправдава разкриването.
• Задълженията за поверителност трябва да се съчетаят с, но не изместват, приложимите правила за защита на данните по ОРЗД; личните данни, съдържащи се в надзорни досиета, трябва да се обработват в съответствие с двете рамки едновременно.
• Органите запазват способността да публикуват нечувствителни, анонимизирани или обобщени констатации — като секторни доклади за тенденции или статистика за надзора на пазара — при условие че поверителна информация на отделен доставчик не може да бъде извлечена от публикуваното съдържание.

Връзка с другите членове

Член 78 е структурно свързан с по-широката архитектура за надзор на пазара и правоприлагане на Регламента на ЕС за ИИ. Той подкрепя член 74 (надзор на пазара на национално ниво), член 75 (надзор на пазара на равнище Съюза и координация) и член 76 (надзор на модели с изкуствен интелект с общо предназначение), всички от които изискват органите да събират и обработват чувствителна оперативна и техническа информация. Режимът на поверителност, който установява, е предпоставка за ефективно сътрудничество съгласно член 101 (сътрудничество на Службата за ИИ с държавите членки).

Той също така пряко се пресича с член 73 (докладване на сериозни инциденти) и член 72 (мониторинг след пускане на пазара), тъй като и двата механизма генерират разкривания на потенциално чувствителни технически и търговски данни пред надзорните органи.

В рамките на веригата за оценка на съответствието член 78 засилва задълженията на нотифицираните органи, определени съгласно членове 33–39, които редовно получават подробна техническа документация. Накрая, той трябва да се чете заедно с член 70 (задължения за поверителност на операторите в по-широк смисъл) и Съображение 145, което изяснява, че целите на Регламента за прозрачност не могат да бъдат използвани за обосноваване на разкриването на наистина поверителна търговска информация.

График за съответствие

Член 78 влезе в сила на 1 август 2024 г., двадесет дни след публикуването на Регламент (ЕС) 2024/1689 в Официален вестник на Европейския съюз. Практическата му значимост обаче е обвързана с поетапния график за прилагане на по-широкия Регламент.

Първите обвързващи задължения по Регламента за ИИ — забраните за практики с ИИ с неприемлив риск по член 5 — станаха приложими на 2 февруари 2025 г. От тази дата органите за надзор на пазара започнаха да упражняват активни правоприлагащи правомощия, като защитите за поверителност по член 78 станаха незабавно оперативни за всички образувани разследвания.

Рамката за модели с изкуствен интелект с общо предназначение (Дял IV) се прилага от 2 август 2025 г., като разширява защитите по член 78 върху информацията, събрана при надзора на доставчиците на модели с изкуствен интелект с общо предназначение и надзорните дейности на Службата за ИИ.

Най-съществената вълна от задължения — обхващаща системи с ИИ с висок риск, изброени в Annex III — се прилага от 2 август 2026 г., като определени системи в секторите на Annex I подлежат на допълнителен преход до 2 август 2027 г. Тъй като дейностите по оценка на съответствието и мониторингът след пускане на пазара по членове 72–73 ще се интензифицират в периода 2026–2027 г., член 78 ще се превърне в често прилагана разпоредба в ежедневните отношения между регулаторите и индустрията на ИИ.