Artigo 59 do Regulamento (UE) 2024/1689 — Tratamento de dados pessoais em sandboxes regulatórias. Texto oficial, interpretação prática, obrigações fundamentais e implicações de conformidade.
Resumo do Texto Oficial
O Artigo 59 do Regulamento (UE) 2024/1689 estabelece as condições em que os dados pessoais recolhidos licitamente para outros fins podem ser tratados em sandboxes regulatórias de IA. Aborda uma tensão fundamental inerente aos ambientes de inovação: o desenvolvimento de IA no mundo real requer frequentemente acesso a dados pessoais representativos, mas o direito geral de proteção de dados restringe a reutilização de dados para além da finalidade de recolha original.
Para resolver esta questão, o Artigo 59 introduz uma derrogação direcionada ao princípio da limitação da finalidade previsto no Artigo 5.º(1)(b) do RGPD, aplicável exclusivamente no ambiente controlado de uma sandbox regulatória estabelecida ao abrigo do Artigo 57 do Regulamento. A derrogação é condicional: o tratamento deve ser estritamente necessário para o desenvolvimento, formação e teste do sistema de IA em questão; os dados pessoais devem ter sido recolhidos licitamente desde o início; o acesso deve ser restrito a participantes autorizados da sandbox e ao pessoal da autoridade competente; e devem ser aplicadas salvaguardas técnicas e organizacionais adequadas ao longo de todo o período de tratamento na sandbox.
O artigo exige ainda que os dados pessoais tratados ao abrigo desta derrogação sejam eliminados ou anonimizados no final da atividade da sandbox. Impõe um dever de estreita coordenação entre a autoridade competente da Lei de IA e a autoridade de controlo nacional da proteção de dados relevante, garantindo que nenhum dos quadros seja aplicado isoladamente. Os Estados-Membros podem estabelecer salvaguardas adicionais. O Considerando 90 do Regulamento contextualiza esta disposição como uma medida proporcionada para permitir o desenvolvimento de IA de confiança sem criar uma isenção geral do direito de proteção de dados.
O que Isto Significa na Prática
O Artigo 59 é mais relevante para as organizações que desenvolvem ou testam sistemas de IA que requerem conjuntos de dados contendo dados pessoais — por exemplo, IA na área da saúde treinada em registos de pacientes, modelos de deteção de fraude que recorrem a históricos de transações financeiras, ou sistemas de segurança pública que utilizam dados históricos de incidentes.
Sem o Artigo 59, a reutilização de tais dados para o desenvolvimento de IA exigiria a identificação de uma nova base jurídica ou a obtenção de novo consentimento, frequentemente impraticável à escala. A derrogação da sandbox permite que um fornecedor admitido numa sandbox nacional de IA utilize coleções de dados pessoais existentes em condições definidas, sem necessidade de estabelecer uma nova base jurídica ao abrigo do Artigo 6.º do RGPD para o novo fim de tratamento.
Na prática, isto significa que os candidatos à sandbox devem abordar explicitamente a utilização de dados no seu plano de sandbox submetido à autoridade competente. O plano deve identificar os conjuntos de dados, as categorias de dados pessoais envolvidos, a necessidade de utilizar dados pessoais reais em vez de alternativas sintéticas, e as salvaguardas — incluindo pseudonimização, controlos de acesso, registo de auditorias e calendários de retenção de dados — que serão aplicadas.
As organizações devem também esperar que a sua autoridade nacional de proteção de dados seja envolvida precocemente. Porque o Artigo 59 impõe a coordenação entre autoridades, as APD podem emitir orientações, realizar revisões ou solicitar informações sobre o tratamento na sandbox. Tratar a proteção de dados como uma questão secundária é um risco de conformidade: a aprovação da sandbox não imuniza os participantes contra a aplicação do RGPD.
Por fim, os participantes da sandbox devem criar fluxos de trabalho de eliminação ou anonimização antes do término do programa. Os responsáveis pelo tratamento que conservem dados pessoais para além do período da sandbox sem uma base jurídica independente estarão em incumprimento tanto do Artigo 59 como do Artigo 5.º(1)(e) do RGPD.
Obrigações Fundamentais
- Licitude da recolha original: Os dados pessoais tratados na sandbox devem ter sido recolhidos licitamente ao abrigo do RGPD desde o início. O Artigo 59 não legitima o tratamento de dados obtidos ilicitamente.
- Avaliação da necessidade: Os participantes devem demonstrar que o tratamento de dados pessoais é estritamente necessário para a atividade de desenvolvimento ou teste de IA; a utilização de dados sintéticos, anonimizados ou agregados deve ser considerada e excluída onde praticável.
- Acesso restrito: O acesso aos dados pessoais na sandbox deve ser limitado ao pessoal autorizado da organização participante e, quando aplicável, ao pessoal da autoridade competente que realiza a supervisão. O acesso organizacional geral não é permitido.
- Salvaguardas técnicas e organizacionais: As medidas adequadas — incluindo pseudonimização, encriptação, controlos de acesso e trilhos de auditoria — devem ser implementadas e documentadas ao longo de toda a duração do tratamento na sandbox.
- Cooperação entre autoridades: A autoridade competente da Lei de IA e a autoridade de controlo nacional da proteção de dados devem coordenar a sua supervisão das atividades da sandbox. Os participantes devem estar preparados para interagir com ambas as entidades.
- Eliminação ou anonimização de dados na saída: Após a conclusão das atividades da sandbox, os dados pessoais tratados ao abrigo da derrogação do Artigo 59 devem ser eliminados ou anonimizados de forma irreversível, salvo se o direito da União ou do Estado-Membro exigir ou permitir uma conservação adicional.
Relação com Outros Artigos
O Artigo 59 não pode ser lido isoladamente. Depende diretamente do Artigo 57, que estabelece a obrigação de os Estados-Membros criarem pelo menos uma sandbox regulatória de IA a nível nacional, e do Artigo 58, que rege o funcionamento geral dessas sandboxes, incluindo a seleção dos participantes, a duração e as disposições de supervisão.
A derrogação relativa aos dados pessoais no Artigo 59 interage com o quadro do RGPD como disposição lex specialis: modifica a limitação da finalidade ao abrigo do Artigo 5.º(1)(b) do RGPD, mas deixa intactas todas as outras obrigações, incluindo os requisitos de base jurídica do Artigo 6.º do RGPD, os direitos dos titulares dos dados ao abrigo do Capítulo III do RGPD e as obrigações de responsabilização ao abrigo do Artigo 5.º(2) do RGPD. As organizações devem também consultar o Artigo 10 da Lei de IA da UE, que impõe requisitos específicos em matéria de governação de dados e conjuntos de dados de formação para sistemas de IA de alto risco — muitos dos princípios de qualidade de dados aí articulados informam o que constitui salvaguardas adequadas no contexto da sandbox. O Considerando 90 fornece um contexto interpretativo importante sobre a intenção legislativa subjacente à derrogação.
Calendário de Conformidade
O Artigo 59 tornou-se parte do direito da União quando a Lei de IA da UE entrou em vigor em 1 de agosto de 2024, vinte dias após a publicação no Jornal Oficial. No entanto, as disposições do Título VI — incluindo o Artigo 59 — aplicam-se a partir de 2 de agosto de 2025, data até à qual os Estados-Membros eram obrigados a ter designado as suas autoridades competentes e a partir da qual o quadro de governação geral, incluindo as obrigações relativas à sandbox, se tornou operacional.
Isto significa que as sandboxes regulatórias nacionais deveriam ter sido criadas e aceitar participantes a partir de agosto de 2025. As organizações que pretendam invocar a derrogação do Artigo 59 devem primeiro obter admissão numa sandbox reconhecida ao abrigo do Artigo 57; não existe um direito autónomo de reclamar a derrogação de tratamento de dados pessoais fora desse quadro.
Para referência, a faseamento mais amplo da Lei de IA é o seguinte: as proibições de IA de risco inaceitável aplicam-se a partir de 2 de fevereiro de 2025; as obrigações relativas a modelos GPAI a partir de 2 de agosto de 2025; as obrigações para sistemas de IA de alto risco listados no Anexo III aplicam-se a partir de 2 de agosto de 2026 (com um período transitório até 2 de agosto de 2027 para determinados sistemas já no mercado). O Artigo 59 encontra-se, portanto, já em vigor e é diretamente relevante para qualquer organização atualmente envolvida em, ou que planeie participar numa, sandbox regulatória nacional de IA.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Sim. O Artigo 59 cria uma base jurídica específica que permite o tratamento de dados pessoais recolhidos licitamente para outros fins no âmbito de uma sandbox regulatória de IA, desde que sejam cumpridas condições rigorosas: o tratamento é necessário para desenvolver ou testar o sistema de IA, existem salvaguardas adequadas e apenas os participantes autorizados da sandbox têm acesso aos dados. Esta derrogação é limitada no tempo à duração do programa de sandbox.
Não. O Artigo 59 opera no âmbito do RGPD e não o substitui. Prevê uma derrogação de âmbito limitado ao princípio da limitação da finalidade ao abrigo do Artigo 5.º(1)(b) do RGPD, mas todas as outras obrigações do RGPD — base jurídica, minimização de dados, segurança, direitos dos titulares dos dados — continuam a aplicar-se integralmente. Os operadores e participantes da sandbox devem manter a conformidade com ambos os quadros simultaneamente.
A supervisão é partilhada. A autoridade de vigilância do mercado competente estabelecida ao abrigo da Lei de IA da UE supervisiona a conformidade específica em matéria de IA na sandbox, enquanto a autoridade de controlo da proteção de dados relevante (APD nacional) mantém plena jurisdição sobre a conformidade com o RGPD. O Artigo 59 exige expressamente uma cooperação estreita entre estas duas autoridades para evitar requisitos contraditórios para os participantes da sandbox.
O Artigo 59 exige que os dados pessoais tratados ao abrigo da derrogação da sandbox sejam eliminados ou anonimizados após a conclusão da atividade da sandbox, salvo se a conservação for exigida ou permitida pelo direito da União ou do Estado-Membro aplicável. Os participantes devem planear a gestão do ciclo de vida dos dados desde o início e documentar os seus procedimentos de eliminação ou anonimização como parte da governação da sandbox.
As sandboxes regulatórias ao abrigo da Lei de IA da UE destinam-se principalmente a fornecedores que pretendam desenvolver ou colocar no mercado sistemas de IA de alto risco. As PME e as startups são expressamente priorizadas no acesso. A participação está sujeita a um processo de seleção gerido pela autoridade competente, e cada participante deve apresentar um plano de sandbox que inclua uma descrição dos dados pessoais a tratar e das salvaguardas aplicadas.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.