Further processing of personal data for developing certain AI systems in the public interest in the AI regulatory sandbox

English

1. In the AI regulatory sandbox, personal data lawfully collected for other purposes may be processed solely for the purpose of developing, training and testing certain AI systems in the sandbox when all of the following conditions are met:

(a)

AI systems shall be developed for safeguarding substantial public interest by a public authority or another natural or legal person and in one or more of the following areas:

(i)	public safety and public health, including disease detection, diagnosis prevention, control and treatment and improvement of health care systems;

(ii)	a high level of protection and improvement of the quality of the environment, protection of biodiversity, protection against pollution, green transition measures, climate change mitigation and adaptation measures;

(iii)

energy sustainability;

(iv)	safety and resilience of transport systems and mobility, critical infrastructure and networks;

(v)	efficiency and quality of public administration and public services;

(b)	the data processed are necessary for complying with one or more of the requirements referred to in Chapter III, Section 2 where those requirements cannot effectively be fulfilled by processing anonymised, synthetic or other non-personal data;

(c)

there are effective monitoring mechanisms to identify if any high risks to the rights and freedoms of the data subjects, as referred to in Article 35 of Regulation (EU) 2016/679 and in Article 39 of Regulation (EU) 2018/1725, may arise during the sandbox experimentation, as well as response mechanisms to promptly mitigate those risks and, where necessary, stop the processing;

(d)	any personal data to be processed in the context of the sandbox are in a functionally separate, isolated and protected data processing environment under the control of the prospective provider and only authorised persons have access to those data;

(e)	providers can further share the originally collected data only in accordance with Union data protection law; any personal data created in the sandbox cannot be shared outside the sandbox;

(f)	any processing of personal data in the context of the sandbox neither leads to measures or decisions affecting the data subjects nor does it affect the application of their rights laid down in Union law on the protection of personal data;

(g)	any personal data processed in the context of the sandbox are protected by means of appropriate technical and organisational measures and deleted once the participation in the sandbox has terminated or the personal data has reached the end of its retention period;

(h)	the logs of the processing of personal data in the context of the sandbox are kept for the duration of the participation in the sandbox, unless provided otherwise by Union or national law;

(i)	a complete and detailed description of the process and rationale behind the training, testing and validation of the AI system is kept together with the testing results as part of the technical documentation referred to in Annex IV;

(j)

a short summary of the AI project developed in the sandbox, its objectives and expected results is published on the website of the competent authorities; this obligation shall not cover sensitive operational data in relation to the activities of law enforcement, border control, immigration or asylum authorities.

2. For the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, including safeguarding against and preventing threats to public security, under the control and responsibility of law enforcement authorities, the processing of personal data in AI regulatory sandboxes shall be based on a specific Union or national law and subject to the same cumulative conditions as referred to in paragraph 1.

3. Paragraph 1 is without prejudice to Union or national law which excludes processing of personal data for other purposes than those explicitly mentioned in that law, as well as to Union or national law laying down the basis for the processing of personal data which is necessary for the purpose of developing, testing or training of innovative AI systems or any other legal basis, in compliance with Union law on the protection of personal data.

Français

1. Dans le bac à sable réglementaire de l’IA, les données à caractère personnel collectées légalement à d’autres fins peuvent être traitées uniquement aux fins du développement, de l’entraînement et de la mise à l’essai de certains systèmes d’IA dans le bac à sable, lorsque l’ensemble des conditions suivantes sont remplies:

les systèmes d’IA sont développés pour préserver des intérêts publics importants par une autorité publique ou une autre personne physique ou morale et dans un ou plusieurs des domaines suivants:

i)	la sécurité publique et la santé publique, y compris la détection, le diagnostic, la prévention, le contrôle et le traitement des maladies ainsi que l’amélioration des systèmes de soins de santé;

ii)	un niveau élevé de protection et d’amélioration de la qualité de l’environnement, la protection de la biodiversité, la protection contre la pollution, les mesures de transition écologique et les mesures d’atténuation du changement climatique et d’adaptation à celui-ci;

iii)	la durabilité énergétique;

iv)	la sécurité et la résilience des systèmes de transport et de la mobilité, des infrastructures critiques et des réseaux de transport;

v)	l’efficacité et la qualité de l’administration publique et des services publics;

b)	les données traitées sont nécessaires pour satisfaire à une ou plusieurs des exigences visées au chapitre III, section 2, lorsque ces exigences ne peuvent être satisfaites de manière efficace en traitant des données anonymisées, synthétiques ou autres à caractère non personnel;

il existe des mécanismes de suivi efficaces pour déterminer si des risques élevés pour les droits et les libertés des personnes concernées, visés à l’article 35 du règlement (UE) 2016/679 et à l’article 39 du règlement (UE) 2018/1725, sont susceptibles de survenir lors de l’expérimentation menée dans le cadre du bac à sable, ainsi que des mécanismes de réponse permettant d’atténuer rapidement ces risques et, au besoin, de faire cesser le traitement des données;

d)	les données à caractère personnel à traiter dans le cadre du bac à sable se trouvent dans un environnement de traitement des données séparé, isolé et protégé sur le plan fonctionnel, placé sous le contrôle du fournisseur potentiel, et seules les personnes autorisées ont accès à ces données;

e)	les fournisseurs ne peuvent en outre partager les données initialement collectées que conformément au droit de l’Union en matière de protection des données; aucune donnée à caractère personnel créée dans le bac à sable ne peut être partagée en dehors du bac à sable;

aucun traitement de données à caractère personnel effectué dans le cadre du bac à sable ne débouche sur des mesures ou des décisions affectant les personnes concernées ni n’a d’incidence sur l’application des droits que leur confère le droit de l’Union en matière de protection des données à caractère personnel;

g)	les données à caractère personnel traitées dans le cadre du bac à sable sont protégées par des mesures techniques et organisationnelles appropriées et supprimées une fois que la participation au bac à sable a cessé ou que la période de conservation de ces données à caractère personnel a expiré;

h)	les registres du traitement des données à caractère personnel dans le cadre du bac à sable sont conservés pendant la durée de la participation au bac à sable, sauf disposition contraire du droit de l’Union ou du droit national;

i)	une description complète et détaillée du processus et de la justification de l’entraînement, de la mise à l’essai et de la validation du système d’IA est conservée avec les résultats des essais, et fait partie de la documentation technique visée à l’annexe IV;

un résumé succinct du projet d’IA développé dans le cadre du bac à sable, de ses objectifs et des résultats escomptés est publié sur le site web des autorités compétentes; cette obligation ne couvre pas les données opérationnelles sensibles relatives aux activités des autorités répressives, des autorités chargées des contrôles aux frontières, des services de l’immigration ou des autorités compétentes en matière d’asile.

2. Aux fins de la prévention et de la détection d’infractions pénales, ainsi que des enquêtes et des poursuites en la matière ou de l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, sous le contrôle et la responsabilité des autorités répressives, le traitement des données à caractère personnel dans les bacs à sable réglementaires de l’IA est fondé sur une disposition spécifique du droit de l’Union ou du droit national et soumis aux mêmes conditions cumulatives que celles visées au paragraphe 1.

3. Le paragraphe 1 est sans préjudice du droit de l’Union ou du droit national excluant le traitement des données à caractère personnel à des fins autres que celles expressément mentionnées dans ce droit, ainsi que sans préjudice du droit de l’Union ou du droit national établissant le fondement du traitement des données à caractère personnel qui est nécessaire aux fins du développement, de la mise à l’essai et de l’entraînement de systèmes d’IA innovants, ou de toute autre base juridique, dans le respect du droit de l’Union relatif à la protection des données à caractère personnel.

Further processing of personal data for developing certain AI systems in the public interest in the AI regulatory sandbox

Version history