Artikel 59: Viderebehandling af personoplysninger med henblik på udvikling af visse samfundsnyttige AI-systemer i den reguleringsmæssige AI-sandkasse
1.
I den reguleringsmæssige AI-sandkasse må personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50), der er lovligt indsamlet til andre formål, kun behandles med henblik på udvikling, træning og afprøvning af visse AI-systemer i sandkassen, når alle følgende betingelser er opfyldt:
(a)
AI-systemer skal udvikles med henblik på beskyttelse af væsentlige samfundsinteresser, der varetages af en offentlig myndighed eller anden fysisk eller juridisk person, og på et eller flere af følgende områder:
(i)
den offentlige sikkerhed og folkesundheden, herunder opsporing af sygdomme, diagnoser, forebyggelse, overvågning og behandling samt forbedring af sundhedssystemerne
(ii)
et højt beskyttelsesniveau og forbedring af miljøkvaliteten, beskyttelse af biodiversiteten, beskyttelse mod forurening, foranstaltninger vedrørende den grønne omstilling, foranstaltninger vedrørende modvirkning af og tilpasning til klimaændringer
(iii)
energibæredygtighed
(iv)
sikkerhed og modstandsdygtighed i transportsystemerne og mobilitet, kritisk infrastrukturkritisk infrastrukturkritisk infrastruktur som defineret i artikel 2, nr. 4), i direktiv (EU) 2022/2557Article 3(62) og netværk
(v)
effektivitet og kvalitet i den offentlige forvaltning og offentlige tjenester
(b)
de behandlede oplysninger skal være nødvendige for at overholde et eller flere af de krav, der er omhandlet i kapitel III, afdeling 2, såfremt disse krav ikke praktisk kan opfyldes ved behandling af anonymiserede eller syntetiske oplysninger eller andre oplysninger end personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50)
(c)
der skal foreligge effektive overvågningsmekanismer til at konstatere, om der kan opstå høje risici for de registreredes rettigheder og frihedsrettigheder, som omhandlet i artikel 35 i forordning (EU) 2016/679 og artikel 39 i forordning (EU) 2018/1725, i forbindelse med forsøgene i sandkassen, samt beredskabsmekanismer til straks at afbøde disse risici og om nødvendigt standse behandlingen
(d)
alle personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50), der skal behandles i forbindelse med sandkassen, skal befinde sig i et funktionelt adskilt, isoleret og beskyttet databehandlingsmiljø under den potentielle udbyders kontrol, og kun autoriserede personer har adgang til disse data
(e)
udbyderne kan kun dele de oprindeligt indsamlede data yderligere i overensstemmelse med EU-databeskyttelsesretten; personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50), der er skabt i sandkassen, kan ikke deles uden for sandkassen
(f)
enhver behandling af personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50) i forbindelse med sandkassen fører hverken til foranstaltninger eller afgørelser, der berører de registrerede, eller påvirker anvendelsen af deres rettigheder fastsat i EU-retten om beskyttelse af personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50)
(g)
alle personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50), der skal behandles i forbindelse med sandkassen, skal beskyttes gennem passende tekniske og organisatoriske foranstaltninger og slettes, når deltagelsen i sandkassen afsluttes, eller når opbevaringsperioden for personoplysningerne udløber
(h)
logfilerne over behandlingen af personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50) i forbindelse med sandkassen opbevares, så længe de deltager i sandkassen, medmindre andet er fastsat i EU-retten eller national ret
(i)
en fuldstændig og detaljeret beskrivelse af processen og begrundelsen for træningen, afprøvningen og valideringen af AI-systemet opbevares sammen med afprøvningsresultaterne som en del af den tekniske dokumentation omhandlet i bilag IV
(j)
der offentliggøres på de kompetente myndigheders websted et kort resumé af det AI-projekt, der er udviklet i sandkassen, dets mål og dets forventede resultater; denne forpligtelse omfatter ikke følsomme operationelle oplysninger i forbindelse med aktiviteter, der udføres af retshåndhævende myndigheder, grænsekontrolmyndigheder, indvandringsmyndigheder eller asylmyndigheder.
2.
Med henblik på at forebygge, efterforske, opdage eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, under de retshåndhævende myndigheders kontrol og ansvar baseres behandlingen af personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50) i reguleringsmæssige AI-sandkasser på særlig EU-ret eller national ret og på de samme kumulative betingelser som omhandlet i stk. 1.
3.
Stk. 1 berører ikke EU-ret eller national ret, der udelukker behandling til andre formål end dem, der udtrykkeligt er nævnt i den pågældende ret, og heller ikke EU-ret eller national ret, der fastsætter grundlaget for behandling af personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50), som er nødvendig med henblik på udvikling, afprøvning eller træning af innovative AI-systemer, eller noget andet retsgrundlag, der overholder EU-retten om beskyttelse af personoplysningerpersonoplysningerpersonoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679Article 3(50).