Articolo 59 del Regolamento (UE) 2024/1689 — Trattamento dei dati personali nelle sandbox regolamentari. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.
Sintesi del testo ufficiale
L'Articolo 59 del Regolamento (UE) 2024/1689 stabilisce le condizioni alle quali i dati personali lecitamente raccolti per altre finalità possono essere trattati all'interno delle sandbox regolamentari per l'IA. Esso affronta una tensione fondamentale insita negli ambienti di innovazione: lo sviluppo di sistemi di IA nel mondo reale richiede frequentemente l'accesso a dati personali rappresentativi, ma la normativa generale sulla protezione dei dati limita il riutilizzo dei dati al di là della finalità di raccolta originaria.
Per risolvere questo problema, l'Articolo 59 introduce una deroga mirata al principio di limitazione della finalità di cui all'Articolo 5(1)(b) del GDPR, applicabile esclusivamente nell'ambiente controllato di una sandbox regolamentare istituita ai sensi dell'Articolo 57 del Regolamento. La deroga è condizionata: il trattamento deve essere strettamente necessario per lo sviluppo, la formazione e il collaudo del sistema di IA in questione; i dati personali devono essere stati originariamente raccolti in modo lecito; l'accesso deve essere limitato ai partecipanti autorizzati alla sandbox e al personale dell'autorità competente; e per tutta la durata devono essere in vigore adeguate misure tecniche e organizzative.
L'articolo richiede inoltre che i dati personali trattati nell'ambito di questa deroga vengano cancellati o anonimizzati al termine dell'attività della sandbox. Impone un obbligo di stretta coordinazione tra l'autorità competente del Regolamento sull'IA e la competente autorità nazionale di controllo per la protezione dei dati, garantendo che nessuno dei due quadri normativi venga applicato isolatamente. Gli Stati membri possono prevedere ulteriori garanzie. Il considerando 90 del Regolamento contestualizza questa disposizione come una misura proporzionata per consentire lo sviluppo di sistemi di IA affidabili senza creare un'esenzione generale dalla normativa sulla protezione dei dati.
Cosa significa nella pratica
L'Articolo 59 è di maggiore rilievo per le organizzazioni che sviluppano o testano sistemi di IA che richiedono dataset contenenti dati personali — ad esempio, sistemi di IA sanitari addestrati su cartelle cliniche, modelli di rilevamento delle frodi basati su storie di transazioni finanziarie, o sistemi di sicurezza pubblica che utilizzano dati storici sugli incidenti.
Senza l'Articolo 59, il riutilizzo di tali dati per lo sviluppo di sistemi di IA richiederebbe l'identificazione di una nuova base giuridica o l'ottenimento di un nuovo consenso, spesso impraticabile su larga scala. La deroga della sandbox consente a un fornitore ammesso in una sandbox nazionale per l'IA di utilizzare le raccolte di dati personali esistenti in condizioni definite, senza dover stabilire una nuova base giuridica ai sensi dell'Articolo 6 del GDPR per la nuova finalità di trattamento.
In pratica, ciò significa che i richiedenti alla sandbox devono affrontare esplicitamente l'uso dei dati nel loro piano della sandbox presentato all'autorità competente. Il piano deve identificare i dataset, le categorie di dati personali coinvolti, la necessità di utilizzare dati personali reali anziché alternative sintetiche, e le garanzie — tra cui pseudonimizzazione, controlli di accesso, registrazione degli audit e calendari di conservazione dei dati — che verranno applicate.
Le organizzazioni dovrebbero inoltre aspettarsi che la loro autorità nazionale per la protezione dei dati venga coinvolta in fase iniziale. Poiché l'Articolo 59 impone il coordinamento tra autorità, le DPA possono emettere orientamenti, effettuare revisioni o richiedere informazioni sul trattamento nella sandbox. Considerare la protezione dei dati come un'attività secondaria costituisce un rischio per la conformità: l'approvazione della sandbox non immunizza i partecipanti dall'applicazione del GDPR.
Infine, i partecipanti alla sandbox devono costruire flussi di lavoro per la cancellazione o l'anonimizzazione prima che il programma termini. I titolari che conservano dati personali oltre il periodo della sandbox senza una base giuridica indipendente violeranno sia l'Articolo 59 che l'Articolo 5(1)(e) del GDPR.
Obblighi principali
- Liceità della raccolta originaria: i dati personali trattati nella sandbox devono essere stati raccolti in modo lecito ai sensi del GDPR. L'Articolo 59 non legittima il trattamento di dati ottenuti in modo illecito.
- Valutazione della necessità: i partecipanti devono dimostrare che il trattamento dei dati personali è strettamente necessario per l'attività di sviluppo o collaudo dell'IA; l'utilizzo di dati sintetici, anonimizzati o aggregati deve essere considerato ed escluso ove praticabile.
- Accesso limitato: l'accesso ai dati personali all'interno della sandbox deve essere limitato al personale autorizzato dell'organizzazione partecipante e, ove applicabile, al personale dell'autorità competente che svolge la vigilanza. L'accesso organizzativo generale non è consentito.
- Misure tecniche e organizzative: misure appropriate — tra cui pseudonimizzazione, cifratura, controlli di accesso e audit trail — devono essere implementate e documentate per tutta la durata del trattamento nella sandbox.
- Cooperazione tra autorità: l'autorità competente del Regolamento sull'IA e l'autorità nazionale di controllo per la protezione dei dati devono coordinare la loro vigilanza sulle attività della sandbox. I partecipanti devono essere pronti a collaborare con entrambi gli organi.
- Cancellazione o anonimizzazione dei dati all'uscita: al termine delle attività della sandbox, i dati personali trattati nell'ambito della deroga dell'Articolo 59 devono essere cancellati o irreversibilmente anonimizzati, salvo che il diritto dell'Unione o degli Stati membri richieda o consenta un'ulteriore conservazione.
Relazione con altri articoli
L'Articolo 59 non può essere letto in modo isolato. È direttamente dipendente dall'Articolo 57, che stabilisce l'obbligo per gli Stati membri di istituire almeno una sandbox regolamentare per l'IA a livello nazionale, e dall'Articolo 58, che disciplina il funzionamento generale di tali sandbox, inclusi la selezione dei partecipanti, la durata e le modalità di vigilanza.
La deroga sui dati personali di cui all'Articolo 59 interagisce con il quadro GDPR come disposizione di lex specialis: modifica la limitazione della finalità ai sensi dell'Articolo 5(1)(b) del GDPR ma lascia intatti tutti gli altri obblighi, inclusi i requisiti di base giuridica dell'Articolo 6 del GDPR, i diritti degli interessati ai sensi del Capitolo III del GDPR e gli obblighi di responsabilità ai sensi dell'Articolo 5(2) del GDPR. Le organizzazioni dovrebbero inoltre consultare l'Articolo 10 del Regolamento UE sull'IA, che impone requisiti specifici in materia di governance dei dati e dataset di addestramento per i sistemi di IA ad alto rischio — molti dei principi di qualità dei dati ivi articolati informano cosa costituisca una garanzia adeguata nel contesto della sandbox. Il considerando 90 fornisce un importante contesto interpretivo sull'intento legislativo alla base della deroga.
Calendario di conformità
L'Articolo 59 è diventato parte del diritto dell'Unione quando il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta Ufficiale. Tuttavia, le disposizioni del Titolo VI — incluso l'Articolo 59 — si applicano dal 2 agosto 2025, data entro la quale gli Stati membri erano tenuti a designare le proprie autorità competenti e a rendere operativo il quadro generale di governance, inclusi gli obblighi relativi alle sandbox.
Ciò significa che le sandbox regolamentari nazionali avrebbero dovuto essere istituite e accettare partecipanti a partire dall'agosto 2025. Le organizzazioni che desiderano invocare la deroga dell'Articolo 59 devono prima ottenere l'ammissione a una sandbox riconosciuta ai sensi dell'Articolo 57; non esiste un diritto autonomo di rivendicare la deroga sul trattamento dei dati personali al di fuori di tale quadro.
A titolo di riferimento, la graduale applicazione del Regolamento sull'IA è la seguente: i divieti sulle pratiche di IA a rischio inaccettabile hanno trovato applicazione dal 2 febbraio 2025; gli obblighi per i modelli di IA per finalità generali dal 2 agosto 2025; gli obblighi per i sistemi di IA ad alto rischio elencati nell'Allegato III si applicano dal 2 agosto 2026 (con un periodo transitorio fino al 2 agosto 2027 per determinati sistemi già presenti sul mercato). L'Articolo 59 è pertanto già in vigore e direttamente rilevante per qualsiasi organizzazione attualmente impegnata in, o che pianifichi di aderire a, una sandbox regolamentare nazionale per l'IA.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Sì. L'Articolo 59 crea una base giuridica specifica che consente di trattare dati personali lecitamente raccolti per altre finalità all'interno di una sandbox regolamentare per l'IA, a condizione che siano soddisfatte condizioni rigorose: il trattamento è necessario per sviluppare o testare il sistema di IA, sono predisposte adeguate garanzie e solo i partecipanti autorizzati alla sandbox accedono ai dati. Questa deroga è limitata nel tempo alla durata del programma della sandbox.
No. L'Articolo 59 opera nel quadro del GDPR e non lo sostituisce. Prevede una deroga di portata limitata al principio di limitazione della finalità ai sensi dell'Articolo 5(1)(b) del GDPR, ma tutti gli altri obblighi previsti dal GDPR — base giuridica, minimizzazione dei dati, sicurezza, diritti degli interessati — continuano ad applicarsi integralmente. Gli operatori e i partecipanti alla sandbox devono mantenere la conformità a entrambi i quadri normativi simultaneamente.
La vigilanza è condivisa. L'autorità di vigilanza del mercato competente istituita ai sensi del Regolamento UE sull'IA supervisiona la conformità specifica all'IA all'interno della sandbox, mentre la competente autorità di controllo per la protezione dei dati (autorità nazionale per la protezione dei dati) mantiene piena giurisdizione sulla conformità al GDPR. L'Articolo 59 richiede esplicitamente una stretta cooperazione tra queste due autorità per evitare requisiti contrastanti per i partecipanti alla sandbox.
L'Articolo 59 richiede che i dati personali trattati nell'ambito della deroga della sandbox vengano cancellati o anonimizzati una volta conclusa l'attività della sandbox, a meno che la conservazione non sia richiesta o consentita dalla normativa applicabile dell'Unione o degli Stati membri. I partecipanti devono pianificare la gestione del ciclo di vita dei dati fin dall'inizio e documentare le proprie procedure di cancellazione o anonimizzazione come parte della governance della sandbox.
Le sandbox regolamentari ai sensi del Regolamento UE sull'IA sono principalmente destinate ai fornitori che intendono sviluppare o immettere sul mercato sistemi di IA ad alto rischio. Le PMI e le startup sono espressamente prioritarie per l'accesso. La partecipazione è soggetta a un processo di selezione gestito dall'autorità competente, e ciascun partecipante deve presentare un piano della sandbox che includa una descrizione dei dati personali da trattare e delle garanzie applicate.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.