Artikel 87 — Whistleblowing (EU AI-forordningen)

Artikel 87 i forordning (EU) 2024/1689 — Whistleblowing. Officiel tekst, praktisk fortolkning, centrale forpligtelser og efterlevelsesimplikationer.

Resumé af den officielle tekst

Artikel 87 i forordning (EU) 2024/1689 (EU AI-forordningen) fastlægger en ramme for beskyttelse af whistleblowere, der finder anvendelse på personer, der indberetter overtrædelser af forordningen til kompetente nationale myndigheder eller til relevante EU-institutioner, -organer, -kontorer eller -agenturer. Artiklen fungerer ved reference til direktiv (EU) 2019/1937 om beskyttelse af personer, der indberetter overtrædelser af EU-retten, og udvider dette direktivs sikkerhedsforanstaltninger udtrykkeligt til AI-forordningens område.

I henhold til artikel 87 skal medlemsstaterne sikre, at indberetningspersoner — bredt defineret til at omfatte medarbejdere, kontraktansatte, praktikanter, frivillige og tidligere arbejdstagere, der har erhvervet relevante oplysninger i en arbejdsrelateret kontekst — er beskyttet mod gengældelse, forskelsbehandling og negativ behandling som følge af at have foretaget en indberetning i god tro. Udbydere, brugere og andre operatører, der er underlagt AI-forordningen, er derfor forbudt at tage gengældelseshandlinger mod enkeltpersoner, der rejser bekymringer om potentiel manglende overholdelse.

Artiklen kræver endvidere, at kompetente myndigheder, der modtager indberetninger, behandler dem i overensstemmelse med de proceduremæssige garantier, der er fastlagt i henhold til direktiv 2019/1937, herunder forpligtelser vedrørende fortrolighed om indbereterens identitet, kvittering for modtagelse og rettidig opfølgning. Hvor EU-institutioner modtager indberetninger, finder analoge beskyttelser i henhold til EU's vedtægt for tjenestemænd og gældende EU-ret anvendelse. Artikel 87 integrerer dermed AI-forordningens håndhævelse i den bredere arkitektur for EU's whistleblowing-lovgivning frem for at skabe et parallelt, sektorspecifikt regime.

Hvad dette betyder i praksis

Artikel 87 har direkte operationelle implikationer for enhver organisation inden for EU AI-forordningens anvendelsesområde — primært udbydere, der bringer AI-systemer på EU-markedet, brugere, der anvender højrisiko-AI-systemer, og operatører af generelle AI-modeller.

For organisationer er den praktiske forpligtelse at sikre, at interne politikker, ansættelseskontrakter, adfærdskodekser og leverandøraftaler ikke indeholder klausuler, der kan afholde, straffe eller kontraktmæssigt forhindre enkeltpersoner i at indberette overtrædelser af AI-forordningen til eksterne myndigheder. Fortrolighedsaftaler og fortrolighedsklausuler skal gennemgås for at bekræfte, at de ikke hævder at begrænse lovlig whistleblowing-aktivitet. Hvor en organisation allerede har en intern indberetningskanal påbudt i henhold til direktiv 2019/1937, bør denne kanal bekræftes til at dække AI-forordningsrelaterede bekymringer, og udpegede complianceansvarlige bør uddannes til at håndtere sådanne indberetninger.

For HR- og juridiske teams betyder dette at opdatere klageprocedurer, disciplinærprocedurer og afskedigelsesprocedurer for at dokumentere, at enhver negativ handling truffet mod en medarbejder, der har foretaget en AI-relateret indberetning, er fuldstændig uden forbindelse til den pågældende indberetning — og at kunne demonstrere dette i enhver efterfølgende regulatorisk eller retslig gennemgang.

For kompetente nationale myndigheder pålægger artikel 87 en proceduremæssig pligt til at håndtere AI-relaterede indberetninger med de samme fortrolighedsgarantier og kvitteringstidsplaner som andre whistleblowing-indberetninger modtaget i henhold til national gennemførelse af direktiv 2019/1937.

Et konkret eksempel: En medarbejder i en virksomhed, der anvender et højrisiko-AI-system til rekruttering, bemærker, at systemets output tilsyneladende diskriminerer på grundlag af køn i strid med forordningens krav. Medarbejderen indberetter problemet til den nationale markedsovervågningsmyndighed. Artikel 87 sikrer, at de ikke lovligt kan afskediges, degraderes eller udsættes for et fjendtligt arbejdsmiljø som følge af denne indberetning.

Centrale forpligtelser

• Medlemsstaterne skal udvide whistleblower-beskyttelser i henhold til direktiv (EU) 2019/1937 til personer, der indberetter overtrædelser af EU AI-forordningen, og sikre, at der ikke findes et hul mellem generel whistleblowing-lovgivning og AI-specifik håndhævelse.
• Organisationer underlagt AI-forordningen må ikke gengælde mod medarbejdere, kontraktansatte eller andre arbejdsrelaterede personer, der i god tro indberetter formodede overtrædelser til kompetente myndigheder eller EU-organer.
• Interne indberetningskanaler krævet i henhold til direktiv 2019/1937 (gælder for organisationer med 50 eller flere arbejdstagere) skal forstås til at dække overtrædelser af AI-forordningen, og udpegede ansvarlige personer skal være rustet til at vurdere sådanne indberetninger.
• Kompetente myndigheder, der modtager indberetninger, er forpligtet til at opretholde fortrolighed om indbereterens identitet under hele undersøgelsesprocessen og kun videregive den, hvor det er retsligt påkrævet og med forudgående varsel til indbereteren, hvor det er muligt.
• Kontraktklausuler — herunder fortrolighedsaftaler, forligsaftaler og ansættelseskontrakter — der hævder at begrænse eller straffe ekstern indberetning af overtrædelser af AI-forordningen, er ikke håndhævelige i det omfang, de er i konflikt med beskyttelserne i artikel 87.
• Indberetningspersoner, der handler i god tro, bevarer fuld beskyttelse, selv hvis den indberettede overtrædelse i sidste ende ikke bekræftes, forudsat at indberetningen ikke blev foretaget med viden om dens usandhed.

Sammenhæng med andre artikler

Artikel 87 er placeret i afsnit IX (overvågning efter markedsføring, informationsdeling og markedsovervågning) og fungerer som en proceduremæssig muliggører for de håndhævelsesmekanismer, der er fastlagt i hele dette afsnit og andetsteds i forordningen.

Den er direkte forbundet med artikel 74 (markedsovervågning og kontrol), artikel 75 (overensstemmelse af AI-systemer) og artiklerne 78–84 (forpligtelser for bemyndigede organer og nationale kompetente myndigheder), da whistleblower-indberetninger kan udløse eller supplere de undersøgelser, disse bestemmelser bemyndiger. Den støtter også artikel 87 (indberetning af alvorlige hændelser) og skaber en komplementær kanal, hvorigennem arbejdstagere, der observerer hændelser eller næsten-hændelser, kan eskalere bekymringer uden frygt for gengældelse.

Bredere set bør artikel 87 læses i sammenhæng med artikel 4 (AI-kompetence) og artikel 9 (risikostyringssystemer for højrisiko-AI), fordi en organisation, der fremmer ægte intern gennemsigtighed og AI-kompetence, er bedre i stand til både at opdage indberetningsværdige problemer og til at demonstrere, at enhver negativ HR-beslutning er fuldstændig uafhængig af en beskyttet afsløring. Den interagerer også med betragtning 179 i forordningen, som bekræfter Unionens engagement i at sikre, at forordningens håndhævelse ikke undermineres af en afskrækkende effekt på legitim indberetning.

Tidsplan for efterlevelse

EU AI-forordningen trådte i kraft den 1. august 2024, tyve dage efter offentliggørelsen i Den Europæiske Unions Tidende. Artikel 87, som en del af forordningens hoveddel, finder fuldt anvendelse den 2. august 2026 — den generelle anvendelsesdato for størstedelen af bestemmelserne, herunder dem, der regulerer højrisiko-AI-systemer i henhold til bilag III (artikel 113, stk. 2)).

I modsætning til forbuddene mod AI-praksisser med uacceptabel risiko, som trådte i kraft den 2. februar 2025, eller forpligtelserne, der er specifikke for generelle AI-modeller, som fandt anvendelse fra 2. august 2025, befinder artikel 87 sig ikke i en kategori med accelereret anvendelse. Dens anvendelse er i overensstemmelse med den generelle toårige implementeringsperiode.

Organisationer, der allerede er underlagt direktiv (EU) 2019/1937 — som medlemsstaterne var forpligtet til at gennemføre inden 17. december 2021 — bør allerede have kompatible indberetningskanaler på plads. Den praktiske complianceopgave inden august 2026 er derfor at revidere og udvide eksisterende kanaler for at bekræfte, at de eksplicit dækker overtrædelser af AI-forordningen, at genoptræne ansvarlige personer og at gennemgå kontraktdokumentation i overensstemmelse hermed. Organisationer, der anvender højrisiko-AI-systemer, der er dækket af de overgangsbestemmelser fra december 2026 eller august 2027, som gælder for visse bilag I-systemer, bør tilpasse deres whistleblowing-beredskab til den gældende dato for deres specifikke systemkategori.