Artikel 78 — Vertraulichkeit (EU-KI-Gesetz)

Artikel 78 der Verordnung (EU) 2024/1689 — Vertraulichkeit. Offizieller Text, praktische Auslegung, wesentliche Verpflichtungen und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Artikel 78 der Verordnung (EU) 2024/1689 legt einen verbindlichen Vertraulichkeitsrahmen für den Umgang mit Informationen fest, die von zuständigen Behörden — einschließlich nationaler Marktüberwachungsbehörden, notifizierender Behörden, benannter Stellen und der Kommission — im Rahmen ihrer Aufgaben gemäß dem EU-KI-Gesetz erlangt werden.

Der Artikel verpflichtet alle Parteien, die Funktionen gemäß der Verordnung wahrnehmen, Informationen zu schützen, die dem Berufsgeheimnis unterliegen. Dies umfasst Geschäftsgeheimnisse, kommerziell sensible Daten, geistiges Eigentum und personenbezogene Daten, die bei Audits, Untersuchungen, Konformitätsbewertungen, Korrekturmaßnahmenverfahren oder anderen Aufsichtsaktivitäten anfallen. Die Verpflichtung gilt sowohl für die Behörden selbst als auch für ihr Personal, einschließlich externer Sachverständiger, die bei Durchsetzungsaufgaben mitwirken.

Artikel 78 erlaubt dennoch den Informationsaustausch zwischen zuständigen Behörden innerhalb eines Mitgliedstaats, zwischen Mitgliedstaaten und mit der Kommission, sofern dieser Austausch für die Erfüllung der Aufgaben gemäß der Verordnung erforderlich ist. Alle so ausgetauschten Informationen behalten ihren vertraulichen Charakter, und die empfangende Stelle übernimmt dieselben Schutzpflichten.

Der Artikel hindert Behörden nicht daran, aggregierte, anonymisierte oder nicht sensible Ergebnisse zu veröffentlichen, und hebt auch keine Offenlegungspflichten auf, die sich aus Gerichtsverfahren ergeben. Er gilt in Verbindung mit der Verordnung (EU) 2016/679 (DSGVO) und sektorspezifischen Vertraulichkeitsregimen, sofern anwendbar, ohne diese zu verdrängen.

Was dies in der Praxis bedeutet

Für KI-Anbieter und Betreiber bietet Artikel 78 einen wesentlichen verfahrensrechtlichen Schutz. Wenn eine nationale Marktüberwachungsbehörde eine Untersuchung einleitet — beispielsweise weil ein Hochrisiko-KI-System wegen Nichteinhaltung der Konformitätsbewertungsanforderungen gemäß Artikel 43 gemeldet wurde oder weil ein schwerwiegender Vorfall gemäß Artikel 73 gemeldet wurde — muss der Anbieter kooperieren und technische Dokumentation, algorithmische Details und Testergebnisse vorlegen. Artikel 78 stellt sicher, dass diese kommerziell sensiblen Informationen den Regulierungsbereich nicht ohne rechtliche Rechtfertigung verlassen.

Wer betroffen ist. Die direkten Verpflichtungen obliegen zuständigen Behörden und ihrem Personal. Anbieter und Betreiber sind die mittelbaren Begünstigten und erhalten die Gewissheit, dass Geschäftsgeheimnisse, die im Rahmen der Durchsetzung offengelegt werden, geschützt sind. Benannte Stellen, die die Konformität von Hochrisiko-KI-Systemen bewerten und daher detaillierte technische Einreichungen erhalten, sind in gleicher Weise gebunden.

Konkrete Szenarien. Ein Anbieter eines Hochrisiko-KI-Systems, das bei der Kreditbewertung eingesetzt wird, reicht seine technische Dokumentation nach einer Beschwerde bei der nationalen Marktüberwachungsbehörde ein. Gemäß Artikel 78 kann die Behörde diese Dokumentation nicht an einen Wettbewerber weitergeben oder in einer Weise veröffentlichen, die die proprietäre Modellarchitektur enthüllt. Ebenso ist ein Mitarbeiter einer benannten Stelle, der bei einer Konformitätsbewertung die Zusammensetzung der Trainingsdaten prüft, in Bezug auf diese Daten dem Berufsgeheimnis verpflichtet.

Praktische Schritte für Anbieter. Organisationen sollten kommerziell sensible Dokumente, die den Behörden vorgelegt werden, kennzeichnen und ein Protokoll darüber führen, was offengelegt wurde, an wen und auf welcher regulatorischen Grundlage. Wenn eine Offenlegungsanfrage die Befugnisse der Behörde zu überschreiten scheint, haben Anbieter das Recht, vor zuständigen Gerichten Einspruch zu erheben.

Wichtigste Verpflichtungen

• Zuständige Behörden, notifizierende Behörden, benannte Stellen, die Kommission und ihr Personal müssen alle im Rahmen ihrer Aufgaben erlangten Informationen, die als Geschäftsgeheimnisse, kommerziell sensible Daten oder personenbezogene Daten zu qualifizieren sind, vertraulich behandeln.
• Vertraulichkeitspflichten erstrecken sich auf externe Sachverständige und alle anderen Personen, die an Regulierungsaufgaben gemäß dem KI-Gesetz teilnehmen, wie technische Bewerter oder wissenschaftliche Berater.
• Der Informationsaustausch zwischen Behörden — innerhalb eines Mitgliedstaats, zwischen Mitgliedstaaten und mit der Kommission — ist zulässig, soweit er für die Durchsetzung erforderlich ist, aber ausgetauschte Informationen behalten ihren vertraulichen Status, und die empfangende Stelle übernimmt gleichwertige Schutzpflichten.
• Behörden dürfen Dritten, einschließlich der Öffentlichkeit, keine Informationen offenlegen, die die kommerziellen Interessen von Anbietern oder Betreibern schädigen könnten, es sei denn, eine spezifische Rechtsgrundlage wie ein Gerichtsbeschluss oder ein überwiegendes öffentliches Interesse rechtfertigt die Offenlegung.
• Vertraulichkeitspflichten müssen mit den anwendbaren Datenschutzregeln gemäß der DSGVO in Einklang gebracht werden, verdrängen diese jedoch nicht; personenbezogene Daten in Aufsichtsakten müssen gleichzeitig in Übereinstimmung mit beiden Rahmenwerken behandelt werden.
• Behörden behalten die Möglichkeit, nicht sensible, anonymisierte oder aggregierte Ergebnisse zu veröffentlichen — wie sektorale Trendberichte oder Marktüberwachungsstatistiken — sofern keine vertraulichen Informationen eines einzelnen Anbieters aus dem veröffentlichten Inhalt abgeleitet werden können.

Bezug zu anderen Artikeln

Artikel 78 ist strukturell mit der übergeordneten Marktüberwachungs- und Durchsetzungsarchitektur des EU-KI-Gesetzes verbunden. Er unterstützt Artikel 74 (Marktüberwachung auf nationaler Ebene), Artikel 75 (Marktüberwachung und Koordinierung auf Unionsebene) und Artikel 76 (Aufsicht über KI-Modelle für allgemeine Zwecke), die alle verlangen, dass Behörden sensible operative und technische Informationen sammeln und verarbeiten. Das von ihm etablierte Vertraulichkeitsregime ist eine Voraussetzung für eine wirksame Zusammenarbeit gemäß Artikel 101 (Zusammenarbeit des KI-Büros mit den Mitgliedstaaten).

Er überschneidet sich auch direkt mit Artikel 73 (Meldung schwerwiegender Vorfälle) und Artikel 72 (Überwachung nach dem Inverkehrbringen), da beide Mechanismen die Offenlegung potenziell sensibler technischer und kommerzieller Daten gegenüber Aufsichtsbehörden erzeugen.

Innerhalb der Konformitätsbewertungskette stärkt Artikel 78 die Verpflichtungen der benannten Stellen, die gemäß den Artikeln 33–39 benannt wurden und regelmäßig detaillierte technische Dokumentation erhalten. Schließlich muss er in Verbindung mit Artikel 70 (Vertraulichkeitspflichten für Betreiber im weiteren Sinne) und Erwägungsgrund 145 gelesen werden, der klarstellt, dass die Transparenzziele der Verordnung nicht zur Rechtfertigung der Offenlegung genuiner vertraulicher Geschäftsinformationen herangezogen werden können.

Compliance-Zeitplan

Artikel 78 ist am 1. August 2024 in Kraft getreten, zwanzig Tage nach der Veröffentlichung der Verordnung (EU) 2024/1689 im Amtsblatt der Europäischen Union. Seine praktische Relevanz ist jedoch an den schrittweisen Anwendungsplan der übergeordneten Verordnung geknüpft.

Die ersten verbindlichen Verpflichtungen gemäß dem KI-Gesetz — die Verbote von KI-Praktiken mit unannehmbarem Risiko gemäß Artikel 5 — wurden am 2. Februar 2025 anwendbar. Ab diesem Datum begannen Marktüberwachungsbehörden, aktive Durchsetzungsbefugnisse auszuüben, wodurch die Vertraulichkeitsschutzmaßnahmen des Artikels 78 für jede eingeleitete Untersuchung sofort wirksam wurden.

Der Rahmen für KI-Modelle für allgemeine Zwecke (Titel IV) galt ab dem 2. August 2025 und erstreckte den Schutz des Artikels 78 auf Informationen, die im Rahmen der Aufsicht über KIAM-Anbieter und der Aufsichtsaktivitäten des KI-Büros gesammelt wurden.

Die umfangreichste Welle von Verpflichtungen — die in Anhang III aufgeführten Hochrisiko-KI-Systeme — gilt ab dem 2. August 2026, wobei bestimmte Systeme in Anhang-I-Sektoren einem weiteren Übergang bis zum 2. August 2027 unterliegen. Da die Konformitätsbewertungsaktivitäten und die Überwachung nach dem Inverkehrbringen gemäß den Artikeln 72–73 im Zeitraum 2026–2027 intensiver werden, wird Artikel 78 zu einer häufig angewendeten Bestimmung in der alltäglichen Beziehung zwischen Regulierungsbehörden und der KI-Industrie werden.