KI-forordningen artikkel 70: Fortrolighet — balansen mellom tilsyn og forretningshemmeligheter

Artikkel 70 i KI-forordningen regulerer hvordan tilsynsmyndigheter skal behandle konfidensiell informasjon de får tilgang til gjennom tilsyn og markedsovervåking. For kommuner og leverandører er dette en viktig bestemmelse: den sikrer at sensitiv informasjon ikke spres unødig.

Hva sier artikkel 70?

Bestemmelsen slår fast at alle personer som er involvert i tilsynsarbeidet — ansatte i Nkom, nasjonale myndigheter og EU-organer — er bundet av taushetsplikt for informasjon de får tilgang til i forbindelse med sine oppgaver.

Konkret betyr dette:

• Forretningshemmeligheter og konfidensiell forretningsinformasjon som tilsynsmyndigheten mottar, skal beskyttes
• Immaterielle rettigheter (patenter, kildekode, algoritmer) skal ikke offentliggjøres
• Taushetsplikten gjelder også etter at personene har avsluttet sitt arbeid for tilsynsmyndigheten
• Informasjonen skal kun brukes til det formålet den ble innhentet for

Hvem gjelder dette for?

Artikkel 70 gjelder primært for tilsynsmyndigheter — i Norge Nkom som koordinerende myndighet. Men bestemmelsen har direkte konsekvenser for de som blir ført tilsyn med:

• Kommuner som idriftsettere av KI-systemer kan tryggt dele dokumentasjon med Nkom uten å frykte at intern informasjon offentliggjøres
• Leverandører som deler tekniske detaljer om sine systemer (algoritmer, treningsdata, modellarkitektur) er beskyttet mot at dette spres

Praktiske eksempler

• Nkom ber om dokumentasjon: Dersom Nkom ber kommunen om FRIA-vurderinger, logger eller systembeskrivelser, skal denne informasjonen behandles konfidensielt av tilsynsmyndigheten.
• Leverandør deler kildekode: En leverandør som på forespørsel deler teknisk dokumentasjon om sitt KI-system med tilsynsmyndigheten, er beskyttet mot at informasjonen videreformidles til konkurrenter.
• Samarbeid mellom myndigheter: Når Nkom deler informasjon med Datatilsynet eller andre sektortilsyn, gjelder de samme fortrolighetskravene.

Balansen mellom åpenhet og fortrolighet

KI-forordningen krever samtidig transparens — blant annet gjennom EUs KI-database der høyrisikosystemer skal registreres. Artikkel 70 balanserer dette hensynet mot behovet for å beskytte sensitiv forretningsinformasjon.

For kommuner betyr det: du skal registrere systemene dine og være åpen om at du bruker KI. Men detaljene i hvordan systemene fungerer internt, og leverandørens forretningshemmeligheter, er beskyttet.

Hva bør kommunen gjøre?

1. Ikke nøl med å dele informasjon med Nkom ved forespørsel — den er beskyttet
2. Avtal med leverandøren hva som er forretningshemmeligheter og hva som kan offentliggjøres
3. Vit forskjellen: registrering i EUs database er offentlig, men tilsynsdokumentasjon er konfidensiell

Kilde: KI-forordningen (EU) 2024/1689; HK-dir Rapport nr. 04/2026.