Kort fortalt
Personoplysninger, der er lovligt indsamlet til andre formål, må i en AI-sandkasse kun behandles til at udvikle, træne og teste visse AI-systemer, hvis alle betingelser i artiklen er opfyldt. Systemet skal tjene væsentlige samfundsinteresser inden for fx folkesundhed, miljø, energi, transport eller offentlig forvaltning, og oplysningerne skal være nødvendige for kravene i kapitel III, afdeling 2, og kunne ikke praktisk erstattes af anonymiserede eller syntetiske data. Der skal være overvågnings- og beredskabsmekanismer for høje risici for de registreredes rettigheder, et isoleret og beskyttet databehandlingsmiljø, sletning ved sandkassens afslutning, bevarede logfiler og et offentliggjort resumé af projektet. Oplysningerne må ikke føre til foranstaltninger eller afgørelser over for de registrerede.
Det betyder i praksis
Artiklen er ikke en generel tilladelse til at træne AI på personoplysninger: Alle betingelser skal være opfyldt, og det gælder kun i sandkassen. Øvrige regler i databeskyttelsesretten gælder fortsat. Involvér derfor den databeskyttelsesansvarlige tidligt.
Eksempel
En region deltager i en sandkasse for at udvikle et system til tidlig opsporing af en sygdom. Systemet tjener folkesundheden, og kravene til datakvalitet kan ikke praktisk opfyldes med anonymiserede eller syntetiske data. Patientoplysninger, der oprindeligt blev indsamlet til behandling, bruges i et isoleret miljø og slettes, når deltagelsen ophører.
Ofte stillede spørgsmål
Giver artikel 59 et retsgrundlag efter GDPR?
Betragtning 140 siger, at forordningen udgør retsgrundlaget for denne viderebehandling i sandkassen, med henvisning til artikel 6, stk. 4 og artikel 9, stk. 2, litra g i GDPR. Samtidig udgør den ikke retsgrundlag for automatiske afgørelser efter GDPR artikel 22, stk. 2, litra b, og alle andre GDPR-pligter og rettigheder gælder fortsat.
Hvad har konsekvensanalysen efter GDPR artikel 35 med sandkassen at gøre?
Der skal være effektive mekanismer til at konstatere, om forsøgene kan give høje risici for de registreredes rettigheder og frihedsrettigheder som omhandlet i GDPR artikel 35 (og artikel 39 i forordning (EU) 2018/1725), og beredskab til straks at afbøde dem og om nødvendigt standse behandlingen.
Må jeg dele de personoplysninger, jeg træner på, med andre?
De oprindeligt indsamlede data må kun deles videre efter EU-databeskyttelsesretten. Personoplysninger, der er skabt i sandkassen, må slet ikke deles uden for sandkassen. Alle personoplysninger skal desuden slettes, når deltagelsen afsluttes, eller opbevaringsperioden udløber.
Gælder artiklen også for retshåndhævende myndigheder?
Behandling til forebyggelse, efterforskning og retsforfølgning af strafbare handlinger under retshåndhævende myndigheders kontrol skal bygge på særlige regler i EU-retten eller national ret og opfylde de samme betingelser, som alle skal være opfyldt. Artiklen giver ikke i sig selv et grundlag for den behandling.
Relevante betragtninger
Relaterede bestemmelser
- Artikel 57 – Reguleringsmæssige AI-sandkasser
- Artikel 10 – Data og datastyring
- Artikel 58 – Nærmere ordninger for og funktionsmåden af reguleringsmæssige AI-sandkasser
Den officielle ordlyd
1.
I den reguleringsmæssige AI-sandkasse må personoplysninger, der er lovligt indsamlet til andre formål, kun behandles med henblik på udvikling, træning og afprøvning af visse AI-systemer i sandkassen, når alle følgende betingelser er opfyldt:
a)
AI-systemer skal udvikles med henblik på beskyttelse af væsentlige samfundsinteresser, der varetages af en offentlig myndighed eller anden fysisk eller juridisk person, og på et eller flere af følgende områder:
i)
den offentlige sikkerhed og folkesundheden, herunder opsporing af sygdomme, diagnoser, forebyggelse, overvågning og behandling samt forbedring af sundhedssystemerne
ii)
et højt beskyttelsesniveau og forbedring af miljøkvaliteten, beskyttelse af biodiversiteten, beskyttelse mod forurening, foranstaltninger vedrørende den grønne omstilling, foranstaltninger vedrørende modvirkning af og tilpasning til klimaændringer
iii)
energibæredygtighed
iv)
sikkerhed og modstandsdygtighed i transportsystemerne og mobilitet, kritisk infrastruktur og netværk
v)
effektivitet og kvalitet i den offentlige forvaltning og offentlige tjenester
b)
de behandlede oplysninger skal være nødvendige for at overholde et eller flere af de krav, der er omhandlet i kapitel III, afdeling 2, såfremt disse krav ikke praktisk kan opfyldes ved behandling af anonymiserede eller syntetiske oplysninger eller andre oplysninger end personoplysninger
c)
der skal foreligge effektive overvågningsmekanismer til at konstatere, om der kan opstå høje risici for de registreredes rettigheder og frihedsrettigheder, som omhandlet i artikel 35 i forordning (EU) 2016/679 og artikel 39 i forordning (EU) 2018/1725, i forbindelse med forsøgene i sandkassen, samt beredskabsmekanismer til straks at afbøde disse risici og om nødvendigt standse behandlingen
d)
alle personoplysninger, der skal behandles i forbindelse med sandkassen, skal befinde sig i et funktionelt adskilt, isoleret og beskyttet databehandlingsmiljø under den potentielle udbyders kontrol, og kun autoriserede personer har adgang til disse data
e)
udbyderne kan kun dele de oprindeligt indsamlede data yderligere i overensstemmelse med EU-databeskyttelsesretten; personoplysninger, der er skabt i sandkassen, kan ikke deles uden for sandkassen
f)
enhver behandling af personoplysninger i forbindelse med sandkassen fører hverken til foranstaltninger eller afgørelser, der berører de registrerede, eller påvirker anvendelsen af deres rettigheder fastsat i EU-retten om beskyttelse af personoplysninger
g)
alle personoplysninger, der skal behandles i forbindelse med sandkassen, skal beskyttes gennem passende tekniske og organisatoriske foranstaltninger og slettes, når deltagelsen i sandkassen afsluttes, eller når opbevaringsperioden for personoplysningerne udløber
h)
logfilerne over behandlingen af personoplysninger i forbindelse med sandkassen opbevares, så længe de deltager i sandkassen, medmindre andet er fastsat i EU-retten eller national ret
i)
en fuldstændig og detaljeret beskrivelse af processen og begrundelsen for træningen, afprøvningen og valideringen af AI-systemet opbevares sammen med afprøvningsresultaterne som en del af den tekniske dokumentation omhandlet i bilag IV
j)
der offentliggøres på de kompetente myndigheders websted et kort resumé af det AI-projekt, der er udviklet i sandkassen, dets mål og dets forventede resultater; denne forpligtelse omfatter ikke følsomme operationelle oplysninger i forbindelse med aktiviteter, der udføres af retshåndhævende myndigheder, grænsekontrolmyndigheder, indvandringsmyndigheder eller asylmyndigheder.
2.
Med henblik på at forebygge, efterforske, opdage eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, under de retshåndhævende myndigheders kontrol og ansvar baseres behandlingen af personoplysninger i reguleringsmæssige AI-sandkasser på særlig EU-ret eller national ret og på de samme kumulative betingelser som omhandlet i stk. 1.
3.
Stk. 1 berører ikke EU-ret eller national ret, der udelukker behandling til andre formål end dem, der udtrykkeligt er nævnt i den pågældende ret, og heller ikke EU-ret eller national ret, der fastsætter grundlaget for behandling af personoplysninger, som er nødvendig med henblik på udvikling, afprøvning eller træning af innovative AI-systemer, eller noget andet retsgrundlag, der overholder EU-retten om beskyttelse af personoplysninger.
Den konsoliderede danske tekst følger 2026-07-27 (CELEX 02024R1689-20260727).