1. Dans le bac à sable réglementaire de l'IA, les données à caractère personnel légalement collectées à d'autres fins peuvent être traitées dans le seul but de développer, former et tester certains systèmes d'IA dans le bac à sable lorsque toutes les conditions suivantes sont réunies :
(a) Les systèmes d'IA sont développés par une autorité publique ou une autre personne physique ou morale en vue de sauvegarder un intérêt public important, et ce dans un ou plusieurs des domaines suivants :
(i) la sécurité et la santé publiques, y compris la détection, le diagnostic, la prévention, le contrôle et le traitement des maladies, ainsi que l'amélioration des systèmes de soins de santé ;
(ii) un niveau élevé de protection et d'amélioration de la qualité de l'environnement, de protection de la biodiversité, de protection contre la pollution, de mesures de transition écologique et de mesures d'atténuation et d'adaptation au changement climatique ;
(iii) la durabilité énergétique ;
(iv) la sécurité et la résilience des systèmes de transport et de la mobilité, des infrastructures critiques et des réseaux ;
(v) l'efficacité et la qualité de l'administration et des services publics ;
(b) les données traitées sont nécessaires pour satisfaire à une ou plusieurs des exigences visées au chapitre III, section 2, lorsque ces exigences ne peuvent être effectivement satisfaites par le traitement de données anonymes, synthétiques ou d'autres données à caractère non personnel ;
(c) il existe des mécanismes de suivi efficaces pour déterminer si des risques élevés pour les droits et libertés des personnes concernées, tels que visés à l'article 35 du règlement (UE) 2016/679 et à l'article 39 du règlement (UE) 2018/1725, peuvent survenir au cours de l'expérimentation en bac à sable, ainsi que des mécanismes de réaction pour atténuer rapidement ces risques et, le cas échéant, arrêter le traitement ;
(d) toutes les données à caractère personnel devant être traitées dans le cadre du bac à sable se trouvent dans un environnement de traitement des données fonctionnellement séparé, isolé et protégé, sous le contrôle du fournisseur potentiel, et seules les personnes autorisées ont accès à ces données ;
(e) les fournisseurs ne peuvent partager les données collectées à l'origine que conformément à la législation de l'Union en matière de protection des données ; les données à caractère personnel créées dans le bac à sable ne peuvent être partagées en dehors du bac à sable ;
(f) tout traitement de données à caractère personnel dans le cadre du bac à sable n'entraîne pas de mesures ou de décisions affectant les personnes concernées et n'affecte pas l'application de leurs droits prévus par le droit de l'Union en matière de protection des données à caractère personnel ;
(g) les données à caractère personnel traitées dans le cadre du bac à sable sont protégées par des mesures techniques et organisationnelles appropriées et supprimées une fois que la participation au bac à sable a pris fin ou que les données à caractère personnel ont atteint la fin de leur période de conservation ;
(h) les journaux du traitement des données à caractère personnel dans le cadre du bac à sable sont conservés pendant la durée de la participation au bac à sable, sauf disposition contraire du droit de l'Union ou du droit national ;
(i) une description complète et détaillée du processus et de la raison d'être de la formation, des essais et de la validation du système d'IA est conservée avec les résultats des essais dans la documentation technique visée à l'annexe IV;
(j) un bref résumé du projet d'IA développé dans le bac à sable, de ses objectifs et des résultats escomptés est publié sur le site web des autorités compétentes ; cette obligation ne couvre pas les données opérationnelles sensibles liées aux activités des services répressifs, de contrôle aux frontières, d'immigration ou d'asile.
2. À des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la prévention des menaces pour la sécurité publique et la sauvegarde de celle-ci, sous le contrôle et la responsabilité des services répressifs, le traitement des données à caractère personnel dans les bacs à sable réglementaires de l'IA est fondé sur une législation spécifique de l'Union ou nationale et soumis aux mêmes conditions cumulatives que celles visées au paragraphe 1.
3. Le paragraphe 1 est sans préjudice du droit de l'Union ou du droit national qui exclut le traitement des données à caractère personnel pour des finalités autres que celles explicitement mentionnées dans ce droit, ainsi que du droit de l'Union ou du droit national qui fixe la base du traitement des données à caractère personnel qui est nécessaire aux fins du développement, de l'essai ou de la formation de systèmes d'IA innovants ou de toute autre base juridique, dans le respect du droit de l'Union relatif à la protection des données à caractère personnel.