Art. 78 Konfidentiell behandling | AI act regulation | AI act

This article establishes the confidentiality obligations that apply to all parties involved in the application of the regulation — including the Commission, market surveillance authorities, notified bodies, and any other natural or legal person carrying out tasks under it.

It sets out a broad duty to protect information obtained in the course of those tasks, covering trade secrets, source code, security interests, ongoing proceedings, and classified information.

The article is referenced extensively throughout the regulation wherever sensitive information is accessed or exchanged, making it a foundational cross-cutting provision.

It also includes specific rules for particularly sensitive contexts, namely where high-risk AI systems are used or provided by law enforcement, border control, immigration, or asylum authorities, placing additional restrictions on disclosure and physical custody of technical documentation.

Important points:

All authorities and persons involved in applying the regulation are required to respect confidentiality of information obtained in carrying out their tasks, protecting trade secrets, security interests, and classified data.
Authorities may only request data strictly necessary for their risk assessment tasks and must put in place cybersecurity measures to protect it, deleting it once it is no longer needed.
Where law enforcement, border control, immigration, or asylum authorities are involved, confidential information exchanged between national competent authorities and the Commission cannot be disclosed without prior consultation of the originating authority and the deployer, and sensitive operational data is excluded from such exchanges entirely.

1. Kommissionen, marknadskontrollmyndigheterna och anmälda organ och alla andra fysiska eller juridiska personer som deltar i tillämpningen av denna förordning ska, i enlighet med unionsrätten eller nationell rätt, respektera konfidentialiteten för den information och de data som de erhåller när de utför sina uppgifter och sin verksamhet på ett sådant sätt att de särskilt skyddar följande:
  1. Immateriella rättigheter och en fysisk eller juridisk persons konfidentiella affärsinformation eller företagshemligheter, inklusive källkod, utom i de fall som avses i artikel 5 i Europaparlamentets och rådets direktiv (EU) 2016/943(⁵⁷).
  2. Ett effektivt genomförande av denna förordning, särskilt med avseende på inspektioner, utredningar eller revisioner.
  3. Offentliga och nationella säkerhetsintressen.
  4. Genomförandet av straffrättsliga eller administrativa förfaranden.
  5. Uppgifter som säkerhetsskyddsklassificerats enligt unionsrätten eller nationell rätt.
1. De myndigheter som deltar i tillämpningen av denna förordning enligt punkt 1 ska endast begära sådana data som är strikt nödvändiga för bedömningen av den risk som AI-system utgör och för utövandet av deras befogenheter i enlighet med denna förordning och med förordning (EU) 2019/1020. De ska vidta tillräckliga och effektiva cybersäkerhetsåtgärder för att skydda säkerheten och konfidentialiteten för den information och de data som inhämtats, och ska radera inhämtade data så snart dessa inte längre behövs för det ändamål för vilket de inhämtats, i enlighet med tillämplig unionsrätt eller nationell rätt.
1. Utan att det påverkar tillämpningen av punkterna 1 och 2 får information som på konfidentiell basis utbyts mellan de nationella behöriga myndigheterna eller mellan nationella behöriga myndigheter och kommissionen inte lämnas ut utan föregående samråd med den nationella behöriga myndighet som lämnat informationen och med tillhandahållaren när sådana AI-system med hög risk som avses i punkt 1, 6 eller 7 i bilaga III används av brottsbekämpande myndigheter, gränskontrollmyndigheter, migrationsmyndigheter eller asylmyndigheter, om ett sådant röjande skulle äventyra allmänna och nationella säkerhetsintressen. Detta informationsutbyte får inte omfatta känsliga operativa uppgifter som rör brottsbekämpande myndigheters, gränskontrollmyndigheters, migrationsmyndigheters eller asylmyndigheters verksamhet.
2. Om brottsbekämpande myndigheter, migrationsmyndigheter eller asylmyndigheter är leverantörer av sådana AI-system med hög risk som avses i punkt 1, 6 eller 7 i bilaga III ska den tekniska dokumentation som avses i bilaga IV finnas kvar i dessa myndigheters lokaler. Dessa myndigheter ska säkerställa att de marknadskontrollmyndigheter som avses i artikel 74.8 och 74.9, beroende på vad som är tillämpligt, på begäran omedelbart kan få åtkomst till eller få en kopia av dokumentationen. Endast personal vid marknadskontrollmyndigheten som innehar säkerhetsgodkännande på tillräckligt hög nivå ska ha åtkomst till denna dokumentation eller kopior av denna.
1. Punkterna 1, 2 och 3 påverkar inte kommissionens, medlemsstaternas och deras relevanta myndigheters samt anmälda organs rättigheter eller skyldigheter när det gäller att utbyta information och utfärda varningar, inbegripet i samband med gränsöverskridande samarbete, och inte heller påverkas de berörda parternas straffrättsliga skyldighet att lämna information enligt medlemsstaternas straffrätt.
1. Kommissionen och medlemsstaterna får, om det är nödvändigt och förenligt med relevanta bestämmelser i internationella avtal och handelsavtal, utbyta konfidentiell information med de tillsynsmyndigheter i tredjeländer med vilka de har slutit bilaterala eller multilaterala avtal om konfidentialitet som garanterar en tillräcklig nivå av konfidentialitet.

Artikel 78 Konfidentiell behandling

Relevant recitals