Artikolu 59 — Pproċessar ta' dejta personali f'sandboxes regolatorji (EU AI Act)

Artikolu 59 tar-Regolament (UE) 2024/1689 — Pproċessar ta' dejta personali f'sandboxes regolatorji tal-AI. Test uffiċjali, interpretazzjoni prattika, obbligi ewlenin u implikazzjonijiet ta' konformità.

Sommarju tat-Test Uffiċjali

L-Artikolu 59 tar-Regolament (UE) 2024/1689 jistabbilixxi l-kundizzjonijiet li taħthom dejta personali miġbura legalment għal finijiet oħra tista' tiġi pproċessata fi ħdan sandboxes regolatorji tal-AI. Jindirizza tensjoni fondamentali inerenti f'ambjenti ta' innovazzjoni: l-iżvilupp tal-AI fid-dinja reali spiss jeħtieġ aċċess għal dejta personali rappreżentattiva, iżda l-liġi ġenerali tal-protezzjoni tad-dejta tirrestrinġi r-riużu tad-dejta lil hinn mill-iskop oriġinali tal-ġbir.

Biex jisolvi dan, l-Artikolu 59 jintroduċi deroga mmirati mill-prinċipju ta' limitazzjoni tal-iskop fl-Artikolu 5(1)(b) tal-GDPR, applikabbli esklużivament fi ħdan l-ambjent ikkontrollat ta' sandbox regolatorju stabbilit skont l-Artikolu 57 tar-Regolament. Id-deroga hija kondizzjonali: il-pproċessar irid ikun strettament neċessarju għall-iżvilupp, it-taħriġ, u l-ittestjar tas-sistema tal-AI in kwistjoni; id-dejta personali trid tkun inġabret b'mod legali fl-ewwel lok; l-aċċess irid ikun ristrett għall-parteċipanti awtorizzati tas-sandbox u l-persunal tal-awtorità kompetenti; u safegards tekniċi u organizzattivi xierqa iridu jkunu fis-seħħ matul it-tul kollu.

L-artikolu jeħtieġ ukoll li d-dejta personali pproċessata taħt din id-deroga tiġi mħassra jew anonimizzata fit-tmiem tal-attività tas-sandbox. Jimponi dmir ta' koordinazzjoni mill-qrib bejn l-awtorità kompetenti tal-AI Act u l-awtorità superviżorja nazzjonali rilevanti tal-protezzjoni tad-dejta, biex jiżgura li l-ebda qafas ma jiġi applikat fl-iżolament. L-Istati Membri huma permessi jipprovdu salvagwardji addizzjonali. Il-Premessa 90 tar-Regolament tikkunstwtwalizza din id-dispożizzjoni bħala miżura proporzjonata biex tippermetti l-iżvilupp ta' AI affidabbli mingħajr ma toħloq eżenzjoni ġenerali mil-liġi tal-protezzjoni tad-dejta.

X'Jfisser Dan fil-Prattika

L-Artikolu 59 huwa l-aktar rilevanti għall-organizzazzjonijiet li jibnu jew jittestjaw sistemi tal-AI li jeħtieġu datasets li fihom dejta personali — pereżempju, AI tal-kura tas-saħħa mħarrġa fuq rekords tal-pazjenti, mudelli ta' detezzjoni tal-frodi li jiġbdu minn storji ta' tranżazzjonijiet finanzjarji, jew sistemi ta' sigurtà pubblika li jużaw dejta storika ta' inċidenti.

Mingħajr l-Artikolu 59, ir-riużu ta' tali dejta għall-iżvilupp tal-AI jeħtieġ l-identifikazzjoni ta' bażi legali ġdida jew l-kisba ta' kunsens ġdid, li spiss huwa imprattiċabbli fuq skala. Id-deroga tas-sandbox tippermetti lil fornitur aċċettat f'sandbox nazzjonali tal-AI li juża ġabriet ta' dejta personali eżistenti taħt kundizzjonijiet definiti, mingħajr il-bżonn li jerġa' jistabbilixxi bażi legali skont l-Artikolu 6 tal-GDPR għall-iskop il-ġdid tal-pproċessar.

Fil-prattika, dan ifisser li l-applikanti tas-sandbox iridu jindirizzaw l-użu tad-dejta espressament fil-pjan tas-sandbox imressaq lill-awtorità kompetenti. Il-pjan għandu jidentifika d-datasets, il-kategoriji ta' dejta personali involuta, il-neċessità tal-użu ta' dejta personali reali aktar minn alternattivi sintetiċi, u s-salvagwardji — inkluż pseudoniminizzazzjoni, kontrolli tal-aċċess, logging tal-awditu, u skedi ta' żamma tad-dejta — li se jiġu applikati.

L-organizzazzjonijiet għandhom ukoll jistennew li l-awtorità nazzjonali tal-protezzjoni tad-dejta tagħhom tiġi involuta kmieni. Peress li l-Artikolu 59 jimpondi koordinazzjoni bejn l-awtoritajiet, il-DPAs jistgħu joħorġu gwida, iwettqu reviżjonijiet, jew jitolbu informazzjoni dwar il-pproċessar tas-sandbox. Li titratta l-protezzjoni tad-dejta bħala ħsieb ta' wara huwa riskju ta' konformità: l-approvazzjoni tas-sandbox ma timmunizzax lill-parteċipanti mill-infurzar tal-GDPR.

Fl-aħħar nett, il-parteċipanti tas-sandbox iridu jibnu fluxijiet ta' xogħol ta' tħassir jew anonimizzazzjoni qabel ma jintemm il-programm. Il-kontrolluri li jżommu d-dejta personali lil hinn mill-perjodu tas-sandbox mingħajr bażi legali indipendenti se jkunu fi ksur kemm tal-Artikolu 59 kif ukoll tal-Artikolu 5(1)(e) tal-GDPR.

Obbligi Ewlenin

• Legalità tal-ġbir oriġinali: Id-dejta personali pproċessata fis-sandbox trid tkun inġabret b'mod legali skont il-GDPR fl-ewwel lok. L-Artikolu 59 ma jleġittimizzax il-pproċessar ta' dejta miksuba b'mod illegali.
• Valutazzjoni tan-neċessità: Il-parteċipanti għandhom juru li l-pproċessar ta' dejta personali huwa strettament neċessarju għall-attività ta' żvilupp jew ittestjar tal-AI; l-użu ta' dejta sintetika, anonimizzata, jew aggregata għandu jiġi kkunsidrat u eskluż fejn dan huwa prattikabbli.
• Aċċess ristrett: L-aċċess għad-dejta personali fi ħdan is-sandbox irid ikun limitat għall-persunal awtorizzat tal-organizzazzjoni parteċipanti u, fejn applikabbli, il-persunal tal-awtorità kompetenti li twettaq is-sorveljanza. L-aċċess organizzattiv ġenerali mhuwiex permess.
• Salvagwardji tekniċi u organizzattivi: Miżuri xierqa — inkluż pseudoniminizzazzjoni, kriptaġġ, kontrolli tal-aċċess, u trails tal-awditu — iridu jiġu implimentati u ddokumentati matul it-tul tal-pproċessar tas-sandbox.
• Kooperazzjoni bejn l-awtoritajiet: L-awtorità kompetenti tal-AI Act u l-awtorità superviżorja nazzjonali tal-protezzjoni tad-dejta għandhom jikkoordinaw is-sorveljanza tagħhom tal-attivitajiet tas-sandbox. Il-parteċipanti għandhom ikunu lesti biex jikkooperaw maż-żewġ korpi.
• Tħassir jew anonimizzazzjoni tad-dejta mal-ħruġ: Wara l-konklużjoni tal-attivitajiet tas-sandbox, id-dejta personali pproċessata taħt id-deroga tal-Artikolu 59 trid tiġi mħassra jew anonimizzata b'mod irriversibbli, sakemm il-liġi tal-Unjoni jew tal-Istat Membru ma teħtieġx jew ma tippermettix żamma ulterjuri.

Relazzjoni ma' Artikoli Oħra

L-Artikolu 59 ma jistax jinqara fl-iżolament. Huwa dipendenti direttament fuq l-Artikolu 57, li jistabbilixxi l-obbligu għall-Istati Membri li jistabbilixxu tal-inqas sandbox regolatorju wieħed tal-AI fil-livell nazzjonali, u l-Artikolu 58, li jirregola l-operat ġenerali ta' dawk is-sandboxes, inkluż is-selezzjoni tal-parteċipanti, id-durata, u l-arranġamenti superviżorji.

Id-deroga tad-dejta personali fl-Artikolu 59 tinteraġixxi mal-qafas tal-GDPR bħala dispożizzjoni ta' lex specialis: timmodifika l-limitazzjoni tal-iskop skont l-Artikolu 5(1)(b) tal-GDPR iżda tħalli l-obbligi l-oħra kollha intatti, inkluż ir-rekwiżiti ta' bażi legali tal-Artikolu 6 tal-GDPR, id-drittijiet tas-suġġetti tad-dejta skont il-Kapitolu III tal-GDPR, u l-obbligi ta' responsabbiltà skont l-Artikolu 5(2) tal-GDPR. L-organizzazzjonijiet għandhom ukoll jikkonsultaw l-Artikolu 10 tal-EU AI Act, li jimponi rekwiżiti speċifiċi fuq il-governanza tad-dejta u d-datasets ta' taħriġ għal sistemi ta' AI b'riskju għoli — ħafna mill-prinċipji tal-kwalità tad-dejta artikolati hemm jinformaw dak li jikkostitwixxi salvagwardji adegwati fil-kuntest tas-sandbox. Il-Premessa 90 tipprovdi kuntest interpretattiv importanti dwar l-intenzjoni leġislattiva wara d-deroga.

Skeda ta' Konformità

L-Artikolu 59 sar parti mil-liġi tal-Unjoni meta l-EU AI Act daħal fis-seħħ fl-1 ta' Awwissu 2024, għoxrin jum wara l-pubblikazzjoni fil-Ġurnal Uffiċjali. Madankollu, id-dispożizzjonijiet tat-Titolu VI — inkluż l-Artikolu 59 — japplikaw mill-2 ta' Awwissu 2025, id-data li sa ftit kienet mistennija l-Istati Membri li jkunu ddeżinjaw l-awtoritajiet kompetenti tagħhom u li fiha l-qafas ġenerali ta' governanza, inkluż l-obbligi tas-sandbox, sar operattiv.

Dan ifisser li s-sandboxes regolatorji nazzjonali kellhom ikunu stabbiliti u jaċċettaw parteċipanti minn Awwissu 2025 'il quddiem. L-organizzazzjonijiet li jixtiequ jinvokaw id-deroga tal-Artikolu 59 iridu l-ewwel jiksbu l-ammissjoni f'sandbox rikonoxxut skont l-Artikolu 57; m'hemm l-ebda dritt awtonomu li tintalab id-deroga tal-pproċessar tad-dejta personali barra dak il-qafas.

Bħala referenza, il-fażijiet aktar wiesa' tal-AI Act huma dawn li ġejjin: il-projbizzjonijiet fuq l-AI b'riskju inaċċettabbli applikaw mill-2 ta' Frar 2025; l-obbligi tal-mudell GPAI mill-2 ta' Awwissu 2025; l-obbligi għal sistemi ta' AI b'riskju għoli elenkati fl-Anness III japplikaw mill-2 ta' Awwissu 2026 (b'perjodu tranżitorju sal-2 ta' Awwissu 2027 għal ċerti sistemi diġà fis-suq). L-Artikolu 59 huwa għalhekk diġà fis-seħħ u direttament rilevanti għal kwalunkwe organizzazzjoni li bħalissa hija involuta fi, jew qed tippjana tidħol fi, sandbox regolatorju nazzjonali tal-AI.