Artikel 78 — Konfidentialitet (EU:s AI-förordning)

Artikel 78 i förordning (EU) 2024/1689 — Konfidentialitet. Officiell text, praktisk tolkning, centrala skyldigheter och efterlevnadskonsekvenser.

Sammanfattning av den officiella texten

Artikel 78 i förordning (EU) 2024/1689 fastställer ett bindande konfidentialitetsramverk som reglerar hanteringen av information som erhålls av behöriga myndigheter — inklusive nationella marknadskontrollmyndigheter, anmälande myndigheter, anmälda organ och kommissionen — i utövandet av deras uppgifter enligt EU:s AI-förordning.

Artikeln kräver att alla parter som utövar funktioner enligt förordningen skyddar information som omfattas av skyldigheter om tystnadsplikt. Detta innefattar affärshemligheter, kommersiellt känsliga uppgifter, immateriella rättigheter och personuppgifter som påträffas vid revisioner, utredningar, bedömningar av överensstämmelse, förfaranden för korrigerande åtgärder eller annan tillsynsverksamhet. Skyldigheten gäller både myndigheterna själva och deras personal, inklusive externa experter som bistår vid tillsynsuppgifter.

Artikel 78 tillåter dock utbyte av information mellan behöriga myndigheter inom en medlemsstat, mellan medlemsstater och med kommissionen när sådant utbyte är nödvändigt för utförandet av uppgifter enligt förordningen. All information som delas på detta sätt behåller sin konfidentiella karaktär och det mottagande organet åtar sig samma skyddsskyldigheter.

Artikeln hindrar inte myndigheter från att offentliggöra aggregerade, anonymiserade eller icke-känsliga resultat, och åsidosätter inte heller obligatoriska krav på utlämnande som härrör från rättsliga förfaranden. Den fungerar i samverkan med förordning (EU) 2016/679 (GDPR) och sektorsspecifika konfidentialitetsregimer där det är tillämpligt, utan att ersätta dem.

Vad detta innebär i praktiken

För AI-leverantörer och driftsättare ger artikel 78 ett meningsfullt processuellt skydd. När en nationell marknadskontrollmyndighet inleder en utredning — till exempel för att ett AI-system med hög risk har flaggats för bristande efterlevnad av kraven på bedömning av överensstämmelse i artikel 43, eller för att ett allvarligt tillbud har rapporterats enligt artikel 73 — måste leverantören samarbeta och tillhandahålla teknisk dokumentation, algoritmiska detaljer och testresultat. Artikel 78 säkerställer att denna kommersiellt känsliga information inte lämnar det regulatoriska området utan rättslig motivering.

Vilka berörs. De direkta skyldigheterna åvilar behöriga myndigheter och deras personal. Leverantörer och driftsättare är de indirekta förmånstagarna och får en försäkran om att affärshemligheter som röjs under tillsynen är skyddade. Anmälda organ, som bedömer överensstämmelse hos AI-system med hög risk och därför tar emot detaljerade tekniska inlagor, är i lika hög grad bundna.

Konkreta scenarier. En leverantör av ett AI-system med hög risk som används vid kreditbedömning lämnar in sin tekniska dokumentation till den nationella marknadskontrollmyndigheten efter ett klagomål. Enligt artikel 78 kan myndigheten inte dela denna dokumentation med en konkurrent eller offentliggöra den på ett sätt som avslöjar den proprietära modellarkitekturen. På liknande sätt är en anställd vid ett anmält organ som granskar sammansättningen av träningsdata under en bedömning av överensstämmelse bunden av tystnadsplikt med avseende på dessa data.

Praktiska åtgärder för leverantörer. Organisationer bör märka kommersiellt känsliga dokument som lämnas till myndigheter och föra en logg över vad som röjts, till vem och under vilken regulatorisk skyldighet. Om en begäran om utlämnande verkar överskrida myndighetens befogenheter behåller leverantörerna rätten att invända inför behöriga domstolar.

Centrala skyldigheter

• Behöriga myndigheter, anmälande myndigheter, anmälda organ, kommissionen och deras personal måste behandla som konfidentiell all information som erhålls vid utövandet av deras uppgifter och som kvalificerar som affärshemlighet, kommersiellt känsliga uppgifter eller personuppgifter.
• Konfidentialitetsskyldigheter omfattar externa experter och andra personer som deltar i regulatoriska uppgifter enligt AI-förordningen, till exempel tekniska bedömare eller vetenskapliga rådgivare.
• Informationsutbyte mellan myndigheter — inom en medlemsstat, mellan medlemsstater och med kommissionen — är tillåtet när det är nödvändigt för tillsynen, men delad information behåller sin konfidentiella status och det mottagande organet åtar sig likvärdiga skyddsåtaganden.
• Myndigheter får inte till tredje parter, inklusive allmänheten, lämna ut information som kan skada leverantörers eller driftsättares kommersiella intressen, om inte en specifik rättslig grund, exempelvis ett domstolsbeslut eller ett överordnat allmänintresse, motiverar utlämnandet.
• Konfidentialitetsskyldigheter måste förenas med, men ersätter inte, tillämpliga dataskyddsregler enligt GDPR; personuppgifter i tillsynshandlingar måste hanteras i enlighet med båda regelverken samtidigt.
• Myndigheter behåller möjligheten att offentliggöra icke-känsliga, anonymiserade eller aggregerade resultat — såsom sektoriella trendrapporter eller statistik för marknadskontroll — förutsatt att ingen enskild leverantörs konfidentiella information kan härledas från det offentliggjorda innehållet.

Förhållande till andra artiklar

Artikel 78 är strukturellt kopplad till den bredare arkitekturen för marknadskontroll och verkställighet i EU:s AI-förordning. Den stöder artikel 74 (marknadskontroll på nationell nivå), artikel 75 (marknadskontroll på unionsnivå och samordning) och artikel 76 (tillsyn över AI-modeller för allmänna ändamål), som alla kräver att myndigheter samlar in och behandlar känslig operativ och teknisk information. Det konfidentialitetsregim den fastställer är en förutsättning för effektivt samarbete enligt artikel 101 (AI-byråns samarbete med medlemsstater).

Den skär även direkt mot artikel 73 (rapportering av allvarliga tillbud) och artikel 72 (övervakning efter utsläppande på marknaden), eftersom båda mekanismerna genererar röjanden av potentiellt känsliga tekniska och kommersiella uppgifter till tillsynsorgan.

Inom kedjan för bedömning av överensstämmelse förstärker artikel 78 skyldigheterna för anmälda organ som utsetts enligt artiklarna 33–39 och som regelbundet tar emot detaljerad teknisk dokumentation. Slutligen måste den läsas tillsammans med artikel 70 (konfidentialitetsskyldigheter för operatörer i vidare bemärkelse) och skäl 145, som klargör att förordningens öppenhetsmål inte kan användas för att motivera röjande av genuint konfidentiell kommersiell information.

Efterlevnadstidslinje

Artikel 78 trädde i kraft den 1 augusti 2024, tjugo dagar efter offentliggörandet av förordning (EU) 2024/1689 i Europeiska unionens officiella tidning. Dess praktiska relevans är dock kopplad till den graderade tillämpningsschemat för den bredare förordningen.

De första bindande skyldigheterna enligt AI-förordningen — förbuden mot AI-praxis med oacceptabel risk enligt artikel 5 — blev tillämpliga den 2 februari 2025. Från och med det datumet började marknadskontrollmyndigheter utöva aktiva tillsynsbefogenheter, vilket gjorde artikel 78:s konfidentialitetsskydd omedelbart operationellt för alla inledda utredningar.

Ramverket för AI-modeller för allmänna ändamål (avdelning IV) tillämpades från och med den 2 augusti 2025, vilket utökade artikel 78:s skydd till information som samlats in vid tillsynen av GPAI-leverantörer och AI-byråns tillsynsverksamhet.

Den mest omfattande vågen av skyldigheter — som täcker AI-system med hög risk förtecknade i bilaga III — gäller från och med den 2 augusti 2026, med vissa system i bilaga I-sektorer som är föremål för ytterligare en övergång till och med den 2 augusti 2027. I takt med att bedömningar av överensstämmelse och eftermarknadsövervakning enligt artiklarna 72–73 intensifieras under 2026–2027 kommer artikel 78 att bli en ofta åberopad bestämmelse i det dagliga förhållandet mellan tillsynsmyndigheter och AI-industrin.