Article 59: Traitement ultérieur de données à caractère personnel en vue du développement de certains systèmes d’IA dans l’intérêt public dans le cadre du bac à sable réglementaire de l’IA
1.
Dans le bac à sable réglementaire de l’IAbac à sable réglementaire de l’IAun cadre contrôlé mis en place par une autorité compétente qui offre aux fournisseurs ou fournisseurs potentiels de systèmes d’IA la possibilité de développer, d’entraîner, de valider et de tester, lorsqu’il y a lieu en conditions réelles, un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) innovant, selon un plan du bac à sableplan du bac à sableun document adopté conjointement entre le fournisseurfournisseurune personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuitArticle 3(3) participantparticipantaux fins des essais en conditions réelles, une personne physique qui participe à des essais en conditions réellesArticle 3(58) et l’autorité compétente, qui décrit les objectifs, les conditions, les délais, la méthodologie et les exigences applicables aux activités réalisées au sein du bac à sableArticle 3(54) pour une durée limitée sous surveillance réglementaireArticle 3(55), les données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1) collectées légalement à d’autres fins peuvent être traitées uniquement aux fins du développement, de l’entraînement et de la mise à l’essai de certains systèmes d’IA dans le bac à sable, lorsque l’ensemble des conditions suivantes sont remplies:
(a)
les systèmes d’IA sont développés pour préserver des intérêts publics importants par une autorité publique ou une autre personne physique ou morale et dans un ou plusieurs des domaines suivants:
(i)
la sécurité publique et la santé publique, y compris la détection, le diagnostic, la prévention, le contrôle et le traitement des maladies ainsi que l’amélioration des systèmes de soins de santé;
(ii)
un niveau élevé de protection et d’amélioration de la qualité de l’environnement, la protection de la biodiversité, la protection contre la pollution, les mesures de transition écologique et les mesures d’atténuation du changement climatique et d’adaptation à celui-ci;
(iii)
la durabilité énergétique;
(iv)
la sécurité et la résilience des systèmes de transport et de la mobilité, des infrastructures critiques et des réseaux de transport;
(v)
l’efficacité et la qualité de l’administration publique et des services publics;
(b)
les données traitées sont nécessaires pour satisfaire à une ou plusieurs des exigences visées au chapitre III, section 2, lorsque ces exigences ne peuvent être satisfaites de manière efficace en traitant des données anonymisées, synthétiques ou autres à caractère non personnel;
(c)
il existe des mécanismes de suivi efficaces pour déterminer si des risques élevés pour les droits et les libertés des personnes concernées, visés à l’article 35 du règlement (UE) 2016/679 et à l’article 39 du règlement (UE) 2018/1725, sont susceptibles de survenir lors de l’expérimentation menée dans le cadre du bac à sable, ainsi que des mécanismes de réponse permettant d’atténuer rapidement ces risques et, au besoin, de faire cesser le traitement des données;
(d)
les données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1) à traiter dans le cadre du bac à sable se trouvent dans un environnement de traitement des données séparé, isolé et protégé sur le plan fonctionnel, placé sous le contrôle du fournisseurfournisseurune personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuitArticle 3(3) potentiel, et seules les personnes autorisées ont accès à ces données;
(e)
les fournisseurs ne peuvent en outre partager les données initialement collectées que conformément au droit de l’Union en matière de protection des données; aucune donnée à caractère personnel créée dans le bac à sable ne peut être partagée en dehors du bac à sable;
(f)
aucun traitement de données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1) effectué dans le cadre du bac à sable ne débouche sur des mesures ou des décisions affectant les personnes concernées ni n’a d’incidence sur l’application des droits que leur confère le droit de l’Union en matière de protection des données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1);
(g)
les données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1) traitées dans le cadre du bac à sable sont protégées par des mesures techniques et organisationnelles appropriées et supprimées une fois que la participation au bac à sable a cessé ou que la période de conservation de ces données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1) a expiré;
(h)
les registres du traitement des données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1) dans le cadre du bac à sable sont conservés pendant la durée de la participation au bac à sable, sauf disposition contraire du droit de l’Union ou du droit national;
(i)
une description complète et détaillée du processus et de la justification de l’entraînement, de la mise à l’essai et de la validation du système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) est conservée avec les résultats des essais, et fait partie de la documentation technique visée à l’annexe IV;
(j)
un résumé succinct du projet d’IA développé dans le cadre du bac à sable, de ses objectifs et des résultats escomptés est publié sur le site web des autorités compétentes; cette obligation ne couvre pas les données opérationnelles sensiblesdonnées opérationnelles sensiblesles données opérationnelles relatives à des activités de prévention et de détection des infractions pénales, ainsi que d’enquête ou de poursuites en la matière, dont la divulgation pourrait compromettre l’intégrité des procédures pénalesArticle 3(38) relatives aux activités des autorités répressives, des autorités chargées des contrôles aux frontières, des services de l’immigration ou des autorités compétentes en matière d’asile.
2.
Aux fins de la prévention et de la détection d’infractions pénales, ainsi que des enquêtes et des poursuites en la matière ou de l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, sous le contrôle et la responsabilité des autorités répressives, le traitement des données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1) dans les bacs à sable réglementaires de l’IA est fondé sur une disposition spécifique du droit de l’Union ou du droit national et soumis aux mêmes conditions cumulatives que celles visées au paragraphe 1.
3.
Le paragraphe 1 est sans préjudice du droit de l’Union ou du droit national excluant le traitement des données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1) à des fins autres que celles expressément mentionnées dans ce droit, ainsi que sans préjudice du droit de l’Union ou du droit national établissant le fondement du traitement des données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1) qui est nécessaire aux fins du développement, de la mise à l’essai et de l’entraînement de systèmes d’IA innovants, ou de toute autre base juridique, dans le respect du droit de l’Union relatif à la protection des données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)données à caractère personneldonnées à caractère personnelToute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1)Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »). Comprend le nom, le numéro d'identification, les données de localisation, les identifiants en ligne ou des facteurs propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou socialeGDPR Art. 4(1).