Artikel 59 i forordning (EU) 2024/1689 — Behandling af personoplysninger i regulatoriske sandkasser. Officiel tekst, praktisk fortolkning, centrale forpligtelser og efterlevelsesmæssige konsekvenser.
Sammenfatning af den officielle tekst
Artikel 59 i forordning (EU) 2024/1689 fastsætter de betingelser, under hvilke personoplysninger, der er indsamlet lovligt til andre formål, må behandles i AI-regulatoriske sandkasser. Den adresserer en grundlæggende spænding, der er iboende i innovationsmiljøer: reel AI-udvikling kræver ofte adgang til repræsentative personoplysninger, men den generelle databeskyttelseslovgivning begrænser genbrug af data ud over det oprindelige indsamlingsformål.
For at løse dette indfører artikel 59 en målrettet undtagelse fra formålsbegrænsningsprincippet i artikel 5, stk. 1, litra b), GDPR, der udelukkende finder anvendelse inden for det kontrollerede miljø i en regulatorisk sandkasse, der er etableret i henhold til artikel 57 i forordningen. Undtagelsen er betinget: behandlingen skal være strengt nødvendig for udvikling, træning og afprøvning af det pågældende AI-system; personoplysningerne skal i første omgang have været indsamlet lovligt; adgangen skal være begrænset til autoriserede sandkassedeltagere og medarbejdere hos den kompetente myndighed; og passende tekniske og organisatoriske sikkerhedsforanstaltninger skal være på plads i hele perioden.
Artiklen kræver endvidere, at personoplysninger, der behandles i henhold til denne undtagelse, slettes eller anonymiseres ved afslutningen af sandkasseaktiviteten. Den pålægger en pligt til tæt koordinering mellem den kompetente myndighed i henhold til AI-forordningen og den relevante nationale databeskyttelsestilsynsmyndighed, hvilket sikrer, at ingen af rammeværkerne anvendes isoleret. Medlemsstaterne har mulighed for at fastsætte yderligere sikkerhedsforanstaltninger. Betragtning 90 i forordningen kontekstualiserer denne bestemmelse som en forholdsmæssig foranstaltning til at muliggøre troværdig AI-udvikling uden at skabe en generel fritagelse fra databeskyttelseslovgivningen.
Hvad dette betyder i praksis
Artikel 59 er mest relevant for organisationer, der bygger eller afprøver AI-systemer, som kræver datasæt med personoplysninger — f.eks. sundheds-AI, der trænes på patientjournaler, modeller til opdagelse af svig, der trækker på historik over finansielle transaktioner, eller systemer til offentlig sikkerhed, der anvender historiske hændelsesdata.
Uden artikel 59 ville genformålning af sådanne data til AI-udvikling kræve identifikation af et nyt retsgrundlag eller indhentning af nyt samtykke, hvilket ofte er upraktisk i stor skala. Sandkasseundtagelsen giver en udbyder, der er optaget i en national AI-sandkasse, mulighed for at anvende eksisterende personoplysningssamlinger under definerede betingelser, uden at skulle etablere et nyt retsgrundlag i henhold til artikel 6 GDPR for det nye behandlingsformål.
I praksis betyder dette, at sandkasseansøgere eksplicit skal adressere dataanvendelse i deres sandkasseplan, der indgives til den kompetente myndighed. Planen bør identificere datasæt, de kategorier af personoplysninger, der er involveret, nødvendigheden af at anvende reelle personoplysninger frem for syntetiske alternativer, og de sikkerhedsforanstaltninger — herunder pseudonymisering, adgangskontrol, revisionslogning og dataopbevaringsskemaer — der vil blive anvendt.
Organisationer bør også forvente, at deres nationale databeskyttelsesmyndighed inddrages tidligt. Da artikel 59 pålægger koordinering mellem myndigheder, kan DPA'er udstede vejledning, gennemføre gennemgange eller anmode om oplysninger om sandkassebehandling. At behandle databeskyttelse som en eftertanke er en efterlevelsesrisiko: godkendelse til sandkassen giver ikke deltagerne immunitet mod GDPR-håndhævelse.
Endelig skal sandkassedeltagerne opbygge sletnings- eller anonymiseringsworkflows, inden programmet afsluttes. Dataansvarlige, der opbevarer personoplysninger ud over sandkasseperioden uden et uafhængigt retsgrundlag, vil være i strid med både artikel 59 og GDPR artikel 5, stk. 1, litra e).
Centrale forpligtelser
- Lovlighed af den oprindelige indsamling: Personoplysninger, der behandles i sandkassen, skal i første omgang have været indsamlet lovligt i henhold til GDPR. Artikel 59 legitimerer ikke behandlingen af ulovligt indhentede oplysninger.
- Nødvendighedsvurdering: Deltagerne skal dokumentere, at behandling af personoplysninger er strengt nødvendig for AI-udviklings- eller afprøvningsaktiviteten; anvendelse af syntetiske, anonymiserede eller aggregerede data skal overvejes og udelukkes, hvor det er praktisk muligt.
- Begrænset adgang: Adgang til personoplysninger i sandkassen skal begrænses til autoriseret personale i den deltagende organisation og, hvor det er relevant, medarbejdere hos den kompetente myndighed, der fører tilsyn. Generel organisationsadgang er ikke tilladt.
- Tekniske og organisatoriske sikkerhedsforanstaltninger: Passende foranstaltninger — herunder pseudonymisering, kryptering, adgangskontrol og revisionsforløb — skal implementeres og dokumenteres i hele sandkassebehandlingens varighed.
- Koordinering mellem myndigheder: Den kompetente myndighed i henhold til AI-forordningen og den nationale databeskyttelsestilsynsmyndighed skal koordinere deres tilsyn med sandkasseaktiviteterne. Deltagerne skal være forberedt på at engagere sig med begge organer.
- Sletning eller anonymisering af data ved udgang: Ved afslutningen af sandkasseaktiviteterne skal personoplysninger, der behandles i henhold til undtagelsen i artikel 59, slettes eller uigenkaldeligt anonymiseres, medmindre EU-ret eller national ret kræver eller tillader yderligere opbevaring.
Forholdet til andre artikler
Artikel 59 kan ikke læses isoleret. Den er direkte afhængig af artikel 57, som fastlægger forpligtelsen for medlemsstaterne til at etablere mindst én AI-regulatorisk sandkasse på nationalt plan, og artikel 58, som regulerer den generelle drift af disse sandkasser, herunder udvælgelse af deltagere, varighed og tilsynsordninger.
Undtagelsen for personoplysninger i artikel 59 interagerer med GDPR-rammen som en lex specialis-bestemmelse: den ændrer formålsbegrænsningen i henhold til GDPR artikel 5, stk. 1, litra b), men efterlader alle øvrige forpligtelser intakte, herunder kravene til retsgrundlag i GDPR artikel 6, de registreredes rettigheder i GDPR kapitel III og ansvarlighedsforpligtelser i henhold til GDPR artikel 5, stk. 2. Organisationer bør også konsultere artikel 10 i EU's AI-forordning, som stiller specifikke krav til datastyring og træningsdatasæt for højrisiko-AI-systemer — mange af de datakvalitetsprincipper, der er formuleret der, informerer om, hvad der udgør passende sikkerhedsforanstaltninger i sandkassekonteksten. Betragtning 90 giver vigtig fortolkningsmæssig kontekst om den lovgivningsmæssige hensigt bag undtagelsen.
Tidsplan for efterlevelse
Artikel 59 blev en del af EU-retten, da EU's AI-forordning trådte i kraft den 1. august 2024, tyve dage efter offentliggørelsen i Den Europæiske Unions Tidende. Bestemmelserne i afsnit VI — herunder artikel 59 — finder dog anvendelse fra den 2. august 2025, den dato, inden hvilken medlemsstaterne var forpligtet til at have udpeget deres kompetente myndigheder, og inden hvilken den generelle governance-ramme, herunder sandkasseforpligtelserne, blev operationel.
Dette betyder, at nationale regulatoriske sandkasser skulle have været etableret og acceptere deltagere fra august 2025. Organisationer, der ønsker at påberåbe sig undtagelsen i artikel 59, skal først opnå optagelse i en anerkendt sandkasse i henhold til artikel 57; der er ingen selvstændig ret til at gøre krav på undtagelsen for personoplysningsbehandling uden for denne ramme.
Til orientering er den bredere AI-forordnings indfasning som følger: forbud mod AI med uacceptabel risiko fandt anvendelse fra 2. februar 2025; forpligtelser for AI-modeller til almene formål fra 2. august 2025; forpligtelser for højrisiko-AI-systemer opført i Annex III finder anvendelse fra 2. august 2026 (med en overgangsperiode til 2. august 2027 for visse systemer, der allerede er på markedet). Artikel 59 er derfor allerede i kraft og direkte relevant for enhver organisation, der aktuelt er involveret i, eller planlægger at deltage i, en national AI-regulatorisk sandkasse.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Ja. Artikel 59 skaber et specifikt retsgrundlag, der tillader personoplysninger, der er indsamlet lovligt til andre formål, at blive behandlet inden for en AI-regulatorisk sandkasse, forudsat at strenge betingelser er opfyldt: behandlingen er nødvendig for at udvikle eller afprøve AI-systemet, passende sikkerhedsforanstaltninger er på plads, og kun autoriserede sandkassedeltagere har adgang til oplysningerne. Denne undtagelse er tidsbegrænset til varigheden af sandkasseprogrammet.
Nej. Artikel 59 fungerer inden for GDPR-rammen og tilsidesætter den ikke. Den indeholder en snævert afgrænset undtagelse fra formålsbegrænsningsprincippet i henhold til artikel 5, stk. 1, litra b), GDPR, men alle øvrige GDPR-forpligtelser — retsgrundlag, dataminimering, sikkerhed, de registreredes rettigheder — fortsætter med at finde fuld anvendelse. Sandkasseoperatører og -deltagere skal opretholde overensstemmelse med begge rammer samtidigt.
Tilsynet er delt. Den kompetente markedsovervågningsmyndighed, der er etableret i henhold til EU's AI-forordning, fører tilsyn med AI-specifik efterlevelse inden for sandkassen, mens den relevante databeskyttelsestilsynsmyndighed (national DPA) bevarer fuld kompetence over GDPR-overensstemmelse. Artikel 59 kræver udtrykkeligt et tæt samarbejde mellem disse to myndigheder for at undgå modstridende krav til sandkassedeltagerne.
Artikel 59 kræver, at personoplysninger, der behandles i henhold til sandkasseundtagelsen, slettes eller anonymiseres, når sandkasseaktiviteten afsluttes, medmindre opbevaring er påkrævet eller tilladt i henhold til gældende EU-ret eller national ret. Deltagerne skal planlægge livscyklusstyring af data fra starten og dokumentere deres sletnings- eller anonymiseringsprocedurer som en del af deres sandkassestyring.
Regulatoriske sandkasser i henhold til EU's AI-forordning er primært beregnet til udbydere, der har til hensigt at udvikle eller bringe højrisiko-AI-systemer på markedet. SMV'er og startups er udtrykkeligt prioriteret for adgang. Deltagelse er underlagt en udvælgelsesproces, der administreres af den kompetente myndighed, og hver deltager skal indgive en sandkasseplan, der indeholder en beskrivelse af de personoplysninger, der skal behandles, og de anvendte sikkerhedsforanstaltninger.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.