1. In der KI-Sandbox dürfen personenbezogene Daten, die rechtmäßig für andere Zwecke erhoben wurden, ausschließlich zum Zweck der Entwicklung, des Trainings und der Erprobung bestimmter KI-Systeme in der Sandbox verarbeitet werden, wenn alle folgenden Bedingungen erfüllt sind:
(a) KI-Systeme werden von einer Behörde oder einer anderen natürlichen oder juristischen Person zur Wahrung erheblicher öffentlicher Interessen und in einem oder mehreren der folgenden Bereiche entwickelt:
(i) öffentliche Sicherheit und öffentliche Gesundheit, einschließlich Krankheitserkennung, -diagnose, -prävention und -behandlung sowie Verbesserung der Gesundheitssysteme;
(ii) ein hohes Maß an Schutz und Verbesserung der Umweltqualität, Schutz der biologischen Vielfalt, Schutz vor Umweltverschmutzung, Maßnahmen für einen umweltfreundlichen Übergang, Maßnahmen zur Eindämmung des Klimawandels und Anpassungsmaßnahmen;
(iii) energetische Nachhaltigkeit;
(iv) Sicherheit und Widerstandsfähigkeit von Verkehrssystemen und Mobilität, kritischen Infrastrukturen und Netzen;
(v) Effizienz und Qualität der öffentlichen Verwaltung und der öffentlichen Dienstleistungen;
(b) die verarbeiteten Daten zur Erfüllung einer oder mehrerer der in Kapitel III Abschnitt 2 genannten Anforderungen erforderlich sind, sofern diese Anforderungen nicht durch die Verarbeitung anonymisierter, synthetischer oder sonstiger nicht personenbezogener Daten wirksam erfüllt werden können;
(c) es gibt wirksame Überwachungsmechanismen, mit denen festgestellt werden kann, ob während der Sandbox-Experimente hohe Risiken für die Rechte und Freiheiten der betroffenen Personen im Sinne von Artikel 35 der Verordnung (EU) 2016/679 und Artikel 39 der Verordnung (EU) 2018/1725 auftreten können, sowie Reaktionsmechanismen, um diese Risiken unverzüglich zu mindern und die Verarbeitung erforderlichenfalls zu stoppen;
(d) alle im Rahmen der Sandbox zu verarbeitenden personenbezogenen Daten befinden sich in einer funktional getrennten, isolierten und geschützten Datenverarbeitungsumgebung unter der Kontrolle des potenziellen Anbieters und nur befugte Personen haben Zugang zu diesen Daten;
(e) Die Anbieter können die ursprünglich gesammelten Daten nur im Einklang mit dem Datenschutzrecht der Union weitergeben; in der Sandbox erstellte personenbezogene Daten können nicht außerhalb der Sandbox weitergegeben werden;
(f) die Verarbeitung personenbezogener Daten im Rahmen des Sandkastens weder zu Maßnahmen oder Entscheidungen führt, die die betroffenen Personen betreffen, noch die Anwendung ihrer im Unionsrecht zum Schutz personenbezogener Daten verankerten Rechte berührt;
(g) alle im Rahmen der Sandbox verarbeiteten personenbezogenen Daten werden durch geeignete technische und organisatorische Maßnahmen geschützt und gelöscht, sobald die Teilnahme an der Sandbox beendet ist oder die Aufbewahrungsfrist für die personenbezogenen Daten abgelaufen ist;
(h) die Protokolle der Verarbeitung personenbezogener Daten im Rahmen der Sandbox werden für die Dauer der Teilnahme an der Sandbox aufbewahrt, sofern das Unionsrecht oder das nationale Recht nichts anderes vorsieht;
(i) eine vollständige und detaillierte Beschreibung des Verfahrens und der Gründe für die Schulung, Prüfung und Validierung des KI-Systems zusammen mit den Prüfergebnissen als Teil der technischen Unterlagen gemäß Anhang IV aufbewahrt wird;
(j) eine kurze Zusammenfassung des im Sandkasten entwickelten KI-Projekts, seiner Ziele und der erwarteten Ergebnisse wird auf der Website der zuständigen Behörden veröffentlicht; diese Verpflichtung gilt nicht für sensible operative Daten im Zusammenhang mit den Tätigkeiten von Strafverfolgungs-, Grenzkontroll-, Einwanderungs- oder Asylbehörden.
2. (2) Zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Vollstreckung strafrechtlicher Sanktionen, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, unter der Kontrolle und Verantwortung von Strafverfolgungsbehörden erfolgt die Verarbeitung personenbezogener Daten in AI-Sandkästen auf der Grundlage eines spezifischen Unionsrechts oder nationalen Rechts und unter denselben kumulativen Bedingungen wie in Absatz 1.
3. Absatz 1 gilt unbeschadet des Unionsrechts oder des nationalen Rechts, das die Verarbeitung personenbezogener Daten zu anderen als den in diesem Recht ausdrücklich genannten Zwecken ausschließt, sowie unbeschadet des Unionsrechts oder des nationalen Rechts, in dem die Grundlage für die Verarbeitung personenbezogener Daten festgelegt ist, die für die Entwicklung, Erprobung oder Schulung innovativer KI-Systeme erforderlich ist, oder einer anderen Rechtsgrundlage im Einklang mit dem Unionsrecht zum Schutz personenbezogener Daten.