Člen 78 — Zaupnost (uredba EU o umetni inteligenci)

Člen 78 Uredbe (EU) 2024/1689 — Zaupnost. Uradno besedilo, praktična razlaga, ključne obveznosti in posledice za skladnost.

Povzetek uradnega besedila

Člen 78 Uredbe (EU) 2024/1689 vzpostavlja zavezujoč okvir zaupnosti, ki ureja ravnanje z informacijami, ki jih pridobijo pristojni organi — vključno z nacionalnimi organi za nadzor trga, organi za notifikacijo, priglašenimi organi in Komisijo — pri opravljanju svojih nalog v skladu z uredbo EU o umetni inteligenci.

Člen zahteva, da vse strani, ki opravljajo naloge v skladu z uredbo, varujejo informacije, ki so predmet obveznosti poklicne skrivnosti. To zajema poslovne skrivnosti, poslovno občutljive podatke, intelektualno lastnino in osebne podatke, s katerimi se srečajo pri revizijah, preiskavah, ocenah skladnosti, postopkih za korektivne ukrepe ali kateri koli drugi nadzorni dejavnosti. Obveznost velja tako za organe same kot za njihovo osebje, vključno z zunanjimi strokovnjaki, ki pomagajo pri nalogah izvrševanja.

Člen 78 kljub temu dovoljuje izmenjavo informacij med pristojnimi organi znotraj države članice, med državami članicami in s Komisijo, kadar je takšna izmenjava potrebna za opravljanje nalog v skladu z uredbo. Vse tako deljene informacije ohranijo zaupni značaj, sprejemni organ pa prevzame enake obveznosti varstva.

Člen organom ne preprečuje objave zbirnih, anonimiziranih ali neobčutljivih ugotovitev, niti ne razveljavi obveznih zahtev po razkritju, ki izhajajo iz sodnih postopkov. Deluje skupaj z Uredbo (EU) 2016/679 (GDPR) in sektorskimi ureditvami zaupnosti tam, kjer je to primerno, ne da bi jih nadomestil.

Kaj to pomeni v praksi

Za ponudnike in uvedenike umetne inteligence člen 78 zagotavlja smiselno postopkovno varstvo. Ko nacionalni organ za nadzor trga začne preiskavo — na primer ker je visokotvegan sistem umetne inteligence označen kot neskladen z zahtevami za oceno skladnosti iz člena 43 ali ker je bil prijavljen resen incident v skladu s členom 73 — mora ponudnik sodelovati in predložiti tehnično dokumentacijo, algoritmične podrobnosti in rezultate testiranj. Člen 78 zagotavlja, da te poslovno občutljive informacije ne zapustijo regulatorne sfere brez pravne utemeljitve.

Na koga vpliva. Neposredne obveznosti bremenijo pristojne organe in njihovo osebje. Ponudniki in uvedeniki so posredni upravičenci, ki pridobijo zagotovilo, da so poslovne skrivnosti, razkrite med izvrševanjem, zaščitene. Priglašeni organi, ki ocenjujejo skladnost visokotveganih sistemov umetne inteligence in zato prejemajo podrobne tehnične predložitve, so v enaki meri vezani.

Konkretni scenariji. Ponudnik visokotveganje sistema umetne inteligence, ki se uporablja pri kreditnem ocenjevanju, po pritožbi predloži svojo tehnično dokumentacijo nacionalnemu organu za nadzor trga. V skladu s členom 78 organ ne sme te dokumentacije deliti s konkurentom ali jo objaviti na način, ki bi razkril lastniško arhitekturo modela. Podobno je zaposleni v priglašenem organu, ki med oceno skladnosti pregleduje sestavo podatkov za usposabljanje, vezan s poklicno skrivnostjo glede teh podatkov.

Praktični koraki za ponudnike. Organizacije bi morale označiti poslovno občutljive dokumente, predložene organom, in voditi evidenco tega, kaj je bilo razkrito, komu in na podlagi katere regulatorne obveznosti. Kadar zahteva po razkritju zdi, da presega pristojnosti organa, imajo ponudniki pravico do ugovora pred pristojnimi sodišči.

Ključne obveznosti

• Pristojni organi, organi za notifikacijo, priglašeni organi, Komisija in njihovo osebje morajo kot zaupne obravnavati vse informacije, pridobljene pri opravljanju svojih nalog, ki se kvalificirajo kot poslovna skrivnost, poslovno občutljivi podatki ali osebni podatki.
• Obveznosti zaupnosti se razširijo na zunanje strokovnjake in katere koli druge osebe, ki sodelujejo pri regulatornih nalogah v skladu z uredbo o umetni inteligenci, kot so tehnični ocenjevalci ali znanstveni svetovalci.
• Izmenjava informacij med organi — znotraj države članice, med državami članicami in s Komisijo — je dovoljena kadar je to potrebno za izvrševanje, deljene informacije pa ohranijo zaupni status, sprejemni organ pa prevzame enakovredne obveznosti varstva.
• Organi ne smejo tretjim stranem, vključno z javnostjo, razkriti nobenih informacij, ki bi lahko škodovale poslovnim interesom ponudnikov ali uvedenikov, razen če konkretna pravna podlaga, kot je sodna odredba ali prevladujoč javni interes, utemeljuje razkritje.
• Obveznosti zaupnosti je treba uskladiti z, a ne nadomestiti, veljavnimi pravili o varstvu podatkov v skladu z GDPR; osebni podatki, vsebovani v nadzornih spisih, morajo biti hkrati obravnavani v skladu z obema okviroma.
• Organi ohranijo možnost objave neobčutljivih, anonimiziranih ali zbirnih ugotovitev — kot so sektorska poročila o trendih ali statistike nadzora trga — pod pogojem, da iz objavljene vsebine ni mogoče izpeljati zaupnih informacij posameznega ponudnika.

Razmerje do drugih členov

Člen 78 je strukturno povezan s širšo arhitekturo nadzora trga in izvrševanja uredbe EU o umetni inteligenci. Podpira člen 74 (nadzor trga na nacionalni ravni), člen 75 (nadzor trga na ravni Unije in usklajevanje) in člen 76 (nadzor nad modeli umetne inteligence za splošne namene), ki vsi zahtevajo, da organi zbirajo in obdelujejo občutljive operativne in tehnične informacije. Ureditev zaupnosti, ki jo vzpostavlja, je predpogoj za učinkovito sodelovanje v skladu s členom 101 (sodelovanje Urada za umetno inteligenco z državami članicami).

Neposredno se prepleta tudi s členom 73 (poročanje o resnih incidentih) in členom 72 (poprodajno spremljanje), saj oba mehanizma ustvarjata razkritja potencialno občutljivih tehničnih in poslovnih podatkov nadzornim organom.

V okviru verige ocene skladnosti člen 78 krepi obveznosti priglašenih organov, ki so določeni v skladu s členi 33–39 in redno prejemajo podrobno tehnično dokumentacijo. Nazadnje ga je treba brati skupaj s členom 70 (obveznosti zaupnosti operaterjev v širšem smislu) in uvodno izjavo 145, ki pojasnjuje, da ciljev uredbe glede preglednosti ni mogoče uporabiti za utemeljitev razkritja resnično zaupnih poslovnih informacij.

Časovnica skladnosti

Člen 78 je začel veljati 1. avgusta 2024, dvajset dni po objavi Uredbe (EU) 2024/1689 v Uradnem listu Evropske unije. Njegova praktična ustreznost pa je vezana na razpored postopnega izvajanja širše uredbe.

Prve zavezujoče obveznosti v skladu z uredbo o umetni inteligenci — prepovedi nesprejemljivih praks umetne inteligence iz člena 5 — so postale veljavne 2. februarja 2025. Od tega datuma so organi za nadzor trga začeli izvajati aktivna izvršilna pooblastila, kar je zaščito zaupnosti iz člena 78 takoj operacionaliziralo za vse začete preiskave.

Okvir za modele umetne inteligence za splošne namene (naslov IV) se je začel uporabljati 2. avgusta 2025, s čimer se je varstvo iz člena 78 razširilo na informacije, zbrane pri nadzoru ponudnikov GPAI in nadzornih dejavnostih Urada za umetno inteligenco.

Najobsežnejši val obveznosti — ki zajema visokotvegane sisteme umetne inteligence, navedene v Prilogi III — velja od 2. avgusta 2026, pri čemer so nekateri sistemi v sektorjih Priloge I predmet nadaljnjega prehoda do 2. avgusta 2027. Ko se bosta dejavnost ocenjevanja skladnosti in poprodajno spremljanje v skladu s členi 72–73 v letih 2026–2027 okrepila, bo člen 78 postal pogosto sklicevana določba v vsakodnevnem razmerju med regulatorji in industrijo umetne inteligence.