Artykuł 59 — Przetwarzanie danych osobowych w piaskownicach regulacyjnych (Ustawa o AI UE)

Artykuł 59 Rozporządzenia (UE) 2024/1689 — Przetwarzanie danych osobowych w piaskownicach regulacyjnych. Oficjalny tekst, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Podsumowanie oficjalnego tekstu

Artykuł 59 Rozporządzenia (UE) 2024/1689 ustanawia warunki, na jakich dane osobowe zebrane zgodnie z prawem w innych celach mogą być przetwarzane w piaskownicach regulacyjnych AI. Dotyczy on fundamentalnego napięcia tkwiącego w środowiskach innowacji: rzeczywiste tworzenie AI wymaga często dostępu do reprezentatywnych danych osobowych, podczas gdy ogólne prawo ochrony danych ogranicza ponowne wykorzystanie danych poza pierwotnym celem gromadzenia.

Aby rozwiązać ten problem, Artykuł 59 wprowadza ukierunkowane odstępstwo od zasady ograniczenia celu zawartej w Artykule 5(1)(b) RODO, mające zastosowanie wyłącznie w kontrolowanym środowisku piaskownicy regulacyjnej ustanowionej na mocy Artykułu 57 Rozporządzenia. Odstępstwo jest warunkowe: przetwarzanie musi być ściśle niezbędne do opracowania, szkolenia i testowania danego systemu AI; dane osobowe muszą zostać zebrane zgodnie z prawem w pierwszej kolejności; dostęp musi być ograniczony do upoważnionych uczestników piaskownicy i personelu właściwego organu; oraz przez cały czas trwania przetwarzania w piaskownicy muszą być stosowane odpowiednie środki techniczne i organizacyjne.

Artykuł wymaga ponadto, aby dane osobowe przetwarzane na mocy tego odstępstwa zostały usunięte lub zanonimizowane po zakończeniu działalności piaskownicy. Nakłada obowiązek ścisłej koordynacji między właściwym organem ds. Ustawy o AI a właściwym krajowym organem nadzorczym ds. ochrony danych, zapewniając, że żadne ramy nie są stosowane w izolacji. Państwa członkowskie mogą ustanawiać dodatkowe zabezpieczenia. Motyw 90 Rozporządzenia kontekstualizuje ten przepis jako proporcjonalny środek umożliwiający godny zaufania rozwój AI bez tworzenia ogólnego zwolnienia z prawa ochrony danych.

Co to oznacza w praktyce

Artykuł 59 ma największe znaczenie dla organizacji budujących lub testujących systemy AI wymagające zbiorów danych zawierających dane osobowe — na przykład AI w opiece zdrowotnej wyszkolona na dokumentacji pacjentów, modele wykrywania oszustw opierające się na historii transakcji finansowych lub systemy bezpieczeństwa publicznego wykorzystujące historyczne dane o zdarzeniach.

Bez Artykułu 59 ponowne wykorzystanie takich danych do celów tworzenia AI wymagałoby znalezienia nowej podstawy prawnej lub uzyskania nowej zgody, co na dużą skalę jest często niepraktyczne. Odstępstwo piaskownicy pozwala dostawcy przyjętemu do krajowej piaskownicy AI korzystać z istniejących zbiorów danych osobowych na określonych warunkach, bez konieczności ponownego ustanawiania podstawy prawnej na mocy Artykułu 6 RODO dla nowego celu przetwarzania.

W praktyce oznacza to, że wnioskodawcy do piaskownicy muszą wyraźnie odnieść się do kwestii wykorzystania danych w swoim planie piaskownicy przedkładanym właściwemu organowi. Plan powinien identyfikować zestawy danych, kategorie przetwarzanych danych osobowych, konieczność korzystania z rzeczywistych danych osobowych zamiast syntetycznych alternatyw, oraz zabezpieczenia — w tym pseudonimizację, kontrolę dostępu, rejestrowanie audytów i harmonogramy przechowywania danych — które zostaną zastosowane.

Organizacje powinny również spodziewać się wczesnego zaangażowania ich krajowego organu ochrony danych. Ponieważ Artykuł 59 nakazuje koordynację między organami, organy ochrony danych mogą wydawać wytyczne, przeprowadzać przeglądy lub żądać informacji o przetwarzaniu w piaskownicy. Traktowanie ochrony danych jako kwestii drugorzędnej jest ryzykiem dla zgodności: zatwierdzenie piaskownicy nie chroni uczestników przed egzekwowaniem RODO.

Wreszcie uczestnicy piaskownicy muszą opracować procedury usuwania lub anonimizacji przed zakończeniem programu. Administratorzy, którzy przechowują dane osobowe po zakończeniu okresu piaskownicy bez niezależnej podstawy prawnej, naruszą zarówno Artykuł 59, jak i Artykuł 5(1)(e) RODO.

Kluczowe obowiązki

• Zgodność pierwotnego gromadzenia z prawem: Dane osobowe przetwarzane w piaskownicy muszą zostać zebrane zgodnie z prawem na mocy RODO. Artykuł 59 nie legalizuje przetwarzania danych uzyskanych niezgodnie z prawem.
• Ocena konieczności: Uczestnicy muszą wykazać, że przetwarzanie danych osobowych jest ściśle niezbędne do działalności w zakresie tworzenia lub testowania AI; należy rozważyć i wykluczyć tam, gdzie jest to wykonalne, korzystanie z danych syntetycznych, zanonimizowanych lub zagregowanych.
• Ograniczony dostęp: Dostęp do danych osobowych w piaskownicy musi być ograniczony do upoważnionego personelu uczestniczącej organizacji oraz, w stosownych przypadkach, personelu właściwego organu sprawującego nadzór. Ogólny dostęp organizacyjny jest niedozwolony.
• Środki techniczne i organizacyjne: Odpowiednie środki — w tym pseudonimizacja, szyfrowanie, kontrola dostępu i ślady audytu — muszą być wdrożone i udokumentowane przez cały czas trwania przetwarzania w piaskownicy.
• Współpraca między organami: Właściwy organ ds. Ustawy o AI i krajowy organ nadzorczy ds. ochrony danych muszą koordynować swój nadzór nad działalnością piaskownicy. Uczestnicy powinni być przygotowani do współpracy z obydwoma organami.
• Usunięcie lub anonimizacja danych po wyjściu: Po zakończeniu działalności piaskownicy dane osobowe przetwarzane na mocy odstępstwa z Artykułu 59 muszą zostać usunięte lub nieodwracalnie zanonimizowane, chyba że prawo Unii lub prawo państwa członkowskiego wymaga lub zezwala na dalsze przechowywanie.

Związek z innymi artykułami

Artykułu 59 nie można odczytywać w izolacji. Jest on bezpośrednio zależny od Artykułu 57, który ustanawia obowiązek państw członkowskich do ustanowienia co najmniej jednej piaskownicy regulacyjnej AI na poziomie krajowym, oraz Artykułu 58, który reguluje ogólne funkcjonowanie tych piaskownic, w tym selekcję uczestników, czas trwania i ustalenia dotyczące nadzoru.

Odstępstwo dotyczące danych osobowych w Artykule 59 wchodzi w interakcję z ramami RODO jako przepis lex specialis: modyfikuje ograniczenie celu na mocy Artykułu 5(1)(b) RODO, ale pozostawia nienaruszone wszystkie inne obowiązki, w tym wymagania dotyczące podstawy prawnej z Artykułu 6 RODO, prawa podmiotów danych na mocy Rozdziału III RODO oraz obowiązki rozliczalności na mocy Artykułu 5(2) RODO. Organizacje powinny również zapoznać się z Artykułem 10 Ustawy o AI UE, który nakłada szczególne wymagania dotyczące zarządzania danymi i zestawami danych szkoleniowych dla systemów AI wysokiego ryzyka — wiele zasad jakości danych sformułowanych tam informuje o tym, co stanowi odpowiednie zabezpieczenia w kontekście piaskownicy. Motyw 90 dostarcza ważnego kontekstu interpretacyjnego dotyczącego intencji ustawodawczej stojącej za odstępstwem.

Harmonogram zgodności

Artykuł 59 stał się częścią prawa Unii, gdy Ustawa o AI UE weszła w życie 1 sierpnia 2024 r., dwadzieścia dni po opublikowaniu w Dzienniku Urzędowym. Jednak przepisy Tytułu VI — w tym Artykuł 59 — mają zastosowanie od 2 sierpnia 2025 r., daty, do której państwa członkowskie były zobowiązane wyznaczyć swoje właściwe organy i od której ogólne ramy zarządzania, w tym obowiązki piaskownicy, stały się operacyjne.

Oznacza to, że krajowe piaskownice regulacyjne powinny zostać ustanowione i przyjmować uczestników od sierpnia 2025 r. Organizacje chcące powołać się na odstępstwo z Artykułu 59 muszą najpierw uzyskać dopuszczenie do uznanej piaskownicy na mocy Artykułu 57; nie istnieje samodzielne prawo do roszczenia o odstępstwo dotyczące przetwarzania danych osobowych poza tymi ramami.

Dla odniesienia, szersze etapowanie Ustawy o AI przedstawia się następująco: zakazy dotyczące AI o niedopuszczalnym ryzyku mają zastosowanie od 2 lutego 2025 r.; obowiązki dotyczące modeli GPAI od 2 sierpnia 2025 r.; obowiązki dotyczące systemów AI wysokiego ryzyka wymienionych w Załączniku III mają zastosowanie od 2 sierpnia 2026 r. (z okresem przejściowym do 2 sierpnia 2027 r. dla niektórych systemów już obecnych na rynku). Artykuł 59 jest zatem już w mocy i bezpośrednio istotny dla każdej organizacji obecnie zaangażowanej lub planującej przystąpienie do krajowej piaskownicy regulacyjnej AI.