Artikel 59 van Verordening (EU) 2024/1689 — Verwerking van persoonsgegevens in regelgevingssandboxen. Officiële tekst, praktische interpretatie, belangrijkste verplichtingen en nalevingsimplicaties.
Samenvatting van de officiële tekst
Artikel 59 van Verordening (EU) 2024/1689 stelt de voorwaarden vast waaronder persoonsgegevens die rechtmatig voor andere doeleinden zijn verzameld, mogen worden verwerkt binnen AI-regelgevingssandboxen. Het behandelt een fundamentele spanning die inherent is aan innovatieomgevingen: de ontwikkeling van AI in de praktijk vereist frequent toegang tot representatieve persoonsgegevens, terwijl de algemene gegevensbeschermingswetgeving hergebruik van gegevens buiten het oorspronkelijke verzamelingsdoel beperkt.
Om dit op te lossen introduceert Artikel 59 een gerichte afwijking van het doelbindingsbeginsel in Artikel 5(1)(b) AVG, uitsluitend van toepassing binnen de gecontroleerde omgeving van een regelgevingssandbox die is opgericht krachtens Artikel 57 van de Verordening. De afwijking is voorwaardelijk: de verwerking moet strikt noodzakelijk zijn voor de ontwikkeling, training en het testen van het betrokken AI-systeem; de persoonsgegevens moeten in eerste instantie rechtmatig zijn verzameld; de toegang moet beperkt zijn tot gemachtigde sandboxdeelnemers en personeel van de bevoegde autoriteit; en gedurende de gehele periode van sandboxverwerking moeten passende technische en organisatorische waarborgen aanwezig zijn.
Het artikel vereist verder dat persoonsgegevens die op grond van deze afwijking zijn verwerkt, worden verwijderd of geanonimiseerd bij het afsluiten van de sandboxactiviteit. Het legt een plicht op tot nauwe coördinatie tussen de bevoegde autoriteit van de AI-wet en de relevante nationale gegevensbeschermingstoezichthouder, zodat geen van beide kaders geïsoleerd wordt toegepast. Lidstaten mogen aanvullende waarborgen bieden. Overweging 90 van de Verordening contextualiseert deze bepaling als een evenredige maatregel om betrouwbare AI-ontwikkeling mogelijk te maken zonder een algemene vrijstelling van de gegevensbeschermingswetgeving te creëren.
Wat dit in de praktijk betekent
Artikel 59 is het meest relevant voor organisaties die AI-systemen bouwen of testen die datasets met persoonsgegevens vereisen — bijvoorbeeld zorggerelateerde AI getraind op patiëntendossiers, fraudedetectiemodellen die putten uit financiële transactiehistorieën, of openbare veiligheidssystemen die gebruikmaken van historische incidentgegevens.
Zonder Artikel 59 zou het hergebruiken van dergelijke gegevens voor AI-ontwikkeling vereisen dat een nieuwe rechtsgrondslag wordt gevonden of nieuwe toestemming wordt verkregen, wat op schaal vaak onpraktisch is. De sandboxafwijking stelt een aanbieder die is toegelaten tot een nationale AI-sandbox in staat bestaande persoonsgegevensverzamelingen te gebruiken onder gedefinieerde voorwaarden, zonder dat een nieuwe rechtsgrondslag op grond van Artikel 6 AVG hoeft te worden vastgesteld voor het nieuwe verwerkingsdoel.
In de praktijk betekent dit dat sandboxaanvragers gegevensgebruik expliciet moeten adresseren in hun sandboxplan dat bij de bevoegde autoriteit wordt ingediend. Het plan moet de datasets identificeren, de categorieën betrokken persoonsgegevens, de noodzaak van het gebruik van echte persoonsgegevens in plaats van synthetische alternatieven, en de waarborgen — inclusief pseudonimisering, toegangscontroles, auditregistratie en gegevensretentieschema's — die zullen worden toegepast.
Organisaties moeten er ook op rekenen dat hun nationale gegevensbeschermingsautoriteit vroeg wordt betrokken. Omdat Artikel 59 inter-autoriteitscoördinatie verplicht stelt, kunnen AP's richtlijnen uitvaardigen, beoordelingen uitvoeren of informatie opvragen over sandboxverwerking. Gegevensbescherming als bijzaak behandelen is een nalevingsrisico: sandboxgoedkeuring vrijwaart deelnemers niet van AVG-handhaving.
Ten slotte moeten sandboxdeelnemers workflows voor verwijdering of anonimisering opbouwen voordat het programma eindigt. Verwerkingsverantwoordelijken die persoonsgegevens buiten de sandboxperiode bewaren zonder een onafhankelijke rechtsgrondslag, zullen zowel Artikel 59 als AVG Artikel 5(1)(e) schenden.
Belangrijkste verplichtingen
- Rechtmatigheid van de oorspronkelijke verzameling: Persoonsgegevens die in de sandbox worden verwerkt, moeten in eerste instantie rechtmatig zijn verzameld op grond van de AVG. Artikel 59 legitimeert de verwerking van onrechtmatig verkregen gegevens niet.
- Noodzakelijkheidsbeoordeling: Deelnemers moeten aantonen dat de verwerking van persoonsgegevens strikt noodzakelijk is voor de AI-ontwikkeling of -testactiviteit; het gebruik van synthetische, geanonimiseerde of geaggregeerde gegevens moet worden overwogen en uitgesloten waar dat haalbaar is.
- Beperkte toegang: De toegang tot persoonsgegevens binnen de sandbox moet worden beperkt tot gemachtigd personeel van de deelnemende organisatie en, waar van toepassing, personeel van de bevoegde autoriteit dat toezicht houdt. Algemene organisatorische toegang is niet toegestaan.
- Technische en organisatorische waarborgen: Passende maatregelen — inclusief pseudonimisering, versleuteling, toegangscontroles en auditsporen — moeten worden geïmplementeerd en gedocumenteerd gedurende de gehele duur van sandboxverwerking.
- Inter-autoriteitscoördinatie: De bevoegde autoriteit van de AI-wet en de nationale gegevensbeschermingstoezichthouder moeten hun toezicht op sandboxactiviteiten coördineren. Deelnemers moeten bereid zijn met beide instanties samen te werken.
- Verwijdering of anonimisering van gegevens bij uittreding: Na afloop van sandboxactiviteiten moeten persoonsgegevens die zijn verwerkt op grond van de Artikel 59-afwijking worden verwijderd of onomkeerbaar geanonimiseerd, tenzij Unie- of nationaal recht verdere bewaring vereist of toestaat.
Relatie tot andere artikelen
Artikel 59 kan niet geïsoleerd worden gelezen. Het is direct afhankelijk van Artikel 57, dat de verplichting voor Lidstaten vastlegt om ten minste één AI-regelgevingssandbox op nationaal niveau in te stellen, en Artikel 58, dat de algemene werking van die sandboxen regelt, inclusief de selectie van deelnemers, de duur en de toezichtsregelingen.
De afwijking voor persoonsgegevens in Artikel 59 interageert met het AVG-kader als een lex specialis-bepaling: het wijzigt de doelbinding op grond van AVG Artikel 5(1)(b), maar laat alle andere verplichtingen intact, inclusief de vereisten voor de rechtsgrondslag van AVG Artikel 6, de rechten van betrokkenen op grond van AVG Hoofdstuk III, en de verantwoordingsverplichtingen op grond van AVG Artikel 5(2). Organisaties dienen ook Artikel 10 van de EU AI-wet te raadplegen, dat specifieke vereisten stelt aan gegevensbeheer en trainingsdatasets voor hoog-risico AI-systemen — veel van de daar geformuleerde gegevenskwaliteitsprincipes zijn van invloed op wat adequate waarborgen in de sandboxcontext zijn. Overweging 90 biedt belangrijke interpretatieve context over de wetgevingsintentie achter de afwijking.
Nalevingstijdlijn
Artikel 59 werd onderdeel van het Unierecht toen de EU AI-wet op 1 augustus 2024 in werking trad, twintig dagen na publicatie in het Publicatieblad. De bepalingen van Titel VI — inclusief Artikel 59 — zijn echter van toepassing vanaf 2 augustus 2025, de datum waarop Lidstaten hun bevoegde autoriteiten moesten hebben aangewezen en waarop het algemene governancekader, inclusief sandboxverplichtingen, operationeel werd.
Dit betekent dat nationale regelgevingssandboxen vanaf augustus 2025 hadden moeten zijn opgericht en deelnemers hadden moeten accepteren. Organisaties die de Artikel 59-afwijking willen inroepen, moeten eerst worden toegelaten tot een erkende sandbox krachtens Artikel 57; er bestaat geen zelfstandig recht om de afwijking voor persoonsgegevensverwerking buiten dat kader te claimen.
Ter referentie is de bredere fasering van de AI-wet als volgt: verboden op onaanvaardbaar-risico AI zijn van toepassing vanaf 2 februari 2025; GPAI-modelverplichtingen vanaf 2 augustus 2025; verplichtingen voor hoog-risico AI-systemen vermeld in Bijlage III zijn van toepassing vanaf 2 augustus 2026 (met een overgangsperiode tot 2 augustus 2027 voor bepaalde systemen die reeds op de markt zijn). Artikel 59 is derhalve reeds van kracht en direct relevant voor elke organisatie die momenteel betrokken is bij, of van plan is deel te nemen aan, een nationale AI-regelgevingssandbox.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Ja. Artikel 59 creëert een specifieke rechtsgrondslag die het mogelijk maakt dat persoonsgegevens die rechtmatig voor andere doeleinden zijn verzameld, worden verwerkt binnen een AI-regelgevingssandbox, mits aan strikte voorwaarden is voldaan: de verwerking is noodzakelijk voor de ontwikkeling of het testen van het AI-systeem, er zijn passende waarborgen aanwezig en alleen gemachtigde sandboxdeelnemers hebben toegang tot de gegevens. Deze afwijking is tijdgebonden aan de duur van het sandboxprogramma.
Nee. Artikel 59 werkt binnen het AVG-kader en stelt de AVG niet buiten werking. Het biedt een nauw afgebakende afwijking van het doelbindingsbeginsel op grond van Artikel 5(1)(b) AVG, maar alle andere AVG-verplichtingen — rechtmatige grondslag, minimale gegevensverwerking, beveiliging, rechten van betrokkenen — blijven volledig van toepassing. Sandboxbeheerders en -deelnemers moeten tegelijkertijd aan beide kaders voldoen.
Het toezicht is gedeeld. De bevoegde markttoezichtautoriteit die is ingesteld krachtens de EU AI-wet houdt toezicht op AI-specifieke naleving binnen de sandbox, terwijl de relevante gegevensbeschermingstoezichthouder (nationale AP) volledige jurisdictie behoudt over AVG-naleving. Artikel 59 vereist uitdrukkelijk nauwe samenwerking tussen deze twee autoriteiten om tegenstrijdige vereisten voor sandboxdeelnemers te voorkomen.
Artikel 59 vereist dat persoonsgegevens die zijn verwerkt op grond van de sandboxafwijking, worden verwijderd of geanonimiseerd zodra de sandboxactiviteit is afgesloten, tenzij bewaring vereist of toegestaan is op grond van toepasselijk Unie- of nationaal recht. Deelnemers moeten het gegevenslevenscyclusbeheer van meet af aan plannen en hun procedures voor verwijdering of anonimisering documenteren als onderdeel van hun sandboxbeheer.
Regelgevingssandboxen onder de EU AI-wet zijn primair bedoeld voor aanbieders die van plan zijn hoog-risico AI-systemen te ontwikkelen of op de markt te brengen. Kleine en middelgrote ondernemingen en start-ups worden uitdrukkelijk geprioriteerd voor toegang. Deelname is onderworpen aan een selectieprocedure die wordt beheerd door de bevoegde autoriteit, en elke deelnemer moet een sandboxplan indienen met een beschrijving van de te verwerken persoonsgegevens en de toegepaste waarborgen.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.