Artikel 59 i förordning (EU) 2024/1689 — Behandling av personuppgifter i regulatoriska sandlådor. Officiell text, praktisk tolkning, centrala skyldigheter och konsekvenser för efterlevnad.
Sammanfattning av den officiella texten
Artikel 59 i förordning (EU) 2024/1689 fastställer de villkor under vilka personuppgifter som lagligen samlats in för andra ändamål får behandlas i regulatoriska AI-sandlådor. Den adresserar en grundläggande spänning som är inneboende i innovationsmiljöer: verklig AI-utveckling kräver ofta tillgång till representativa personuppgifter, men den allmänna dataskyddslagstiftningen begränsar återanvändning av uppgifter utöver det ursprungliga insamlingsändamålet.
För att lösa detta introducerar Artikel 59 ett riktat undantag från principen om ändamålsbegränsning i Artikel 5(1)(b) GDPR, uteslutande tillämpligt inom den kontrollerade miljön i en regulatorisk sandlåda inrättad enligt Artikel 57 i förordningen. Undantaget är villkorat: behandlingen måste vara strikt nödvändig för utveckling, träning och testning av det aktuella AI-systemet; personuppgifterna måste ha samlats in lagligen inledningsvis; tillgången måste vara begränsad till auktoriserade sandlådedeltagare och den behöriga myndighetens personal; och lämpliga tekniska och organisatoriska skyddsåtgärder måste vara på plats under hela sandlådebehandlingens varaktighet.
Artikeln kräver vidare att personuppgifter som behandlats inom ramen för detta undantag raderas eller anonymiseras när sandlådeverksamheten avslutas. Den ålägger en skyldighet till nära samordning mellan AI-lagens behöriga myndighet och den relevanta nationella tillsynsmyndigheten för dataskydd, vilket säkerställer att inget av ramverken tillämpas isolerat. Medlemsstaterna är tillåtna att föreskriva ytterligare skyddsåtgärder. Skäl 90 i förordningen kontextualiserar denna bestämmelse som en proportionerlig åtgärd för att möjliggöra tillförlitlig AI-utveckling utan att skapa ett allmänt undantag från dataskyddslagstiftningen.
Vad detta innebär i praktiken
Artikel 59 är mest relevant för organisationer som bygger eller testar AI-system som kräver datamängder innehållande personuppgifter — till exempel hälso- och sjukvårds-AI tränad på patientjournaler, bedrägeridetekteringsmodeller som bygger på historiska finansiella transaktioner, eller system för allmän säkerhet som använder historiska incidentdata.
Utan Artikel 59 skulle ett återanvändande av sådana uppgifter för AI-utveckling kräva att en ny rättslig grund identifieras eller att nytt samtycke inhämtas, vilket ofta är opraktiskt i stor skala. Sandlådeundantaget tillåter en leverantör som antagits till en nationell AI-sandlåda att använda befintliga samlingar av personuppgifter under definierade villkor, utan att behöva återupprätta en rättslig grund enligt Artikel 6 GDPR för det nya behandlingsändamålet.
I praktiken innebär detta att sandlådesökande uttryckligen måste hantera dataanvändning i sin sandlådeplan som lämnas in till den behöriga myndigheten. Planen bör identifiera datamängderna, kategorierna av berörda personuppgifter, nödvändigheten av att använda verkliga personuppgifter snarare än syntetiska alternativ, och skyddsåtgärderna — inklusive pseudonymisering, åtkomstkontroller, revisionsloggning och dataretentionsscheman — som ska tillämpas.
Organisationer bör också förvänta sig att deras nationella dataskyddsmyndighet involveras tidigt. Eftersom Artikel 59 föreskriver samordning mellan myndigheter, kan dataskyddsmyndigheter utfärda vägledning, genomföra granskningar eller begära information om sandlådebehandling. Att behandla dataskydd som en eftertanke är en efterlevnadsrisk: sandlådegodkännande immuniserar inte deltagare mot GDPR-tillämpning.
Slutligen måste sandlådedeltagare bygga rutiner för radering eller anonymisering innan programmet avslutas. Personuppgiftsansvariga som behåller personuppgifter efter sandlådeperioden utan en oberoende rättslig grund kommer att bryta mot både Artikel 59 och GDPR Artikel 5(1)(e).
Centrala skyldigheter
- Laglighet vid ursprunglig insamling: Personuppgifter som behandlas i sandlådan måste ha samlats in lagligen enligt GDPR inledningsvis. Artikel 59 legitimerar inte behandling av olagligt erhållna uppgifter.
- Nödvändighetsbedömning: Deltagare måste visa att behandling av personuppgifter är strikt nödvändig för AI-utvecklings- eller testverksamheten; användningen av syntetiska, anonymiserade eller aggregerade uppgifter måste övervägas och uteslutas där det är praktiskt genomförbart.
- Begränsad åtkomst: Åtkomst till personuppgifter inom sandlådan måste begränsas till auktoriserad personal hos den deltagande organisationen och, i tillämpliga fall, personal hos den behöriga myndighet som utövar tillsyn. Allmän organisatorisk åtkomst är inte tillåten.
- Tekniska och organisatoriska skyddsåtgärder: Lämpliga åtgärder — inklusive pseudonymisering, kryptering, åtkomstkontroller och revisionsloggar — måste implementeras och dokumenteras under hela sandlådebehandlingens varaktighet.
- Samarbete mellan myndigheter: AI-lagens behöriga myndighet och den nationella tillsynsmyndigheten för dataskydd måste samordna sin tillsyn över sandlådeverksamheten. Deltagare bör vara beredda att interagera med båda organen.
- Radering eller anonymisering av uppgifter vid utträde: Efter avslutandet av sandlådeverksamheten måste personuppgifter som behandlats inom ramen för Artikel 59-undantaget raderas eller oåterkalleligt anonymiseras, om inte unionsrätten eller nationell rätt kräver eller tillåter ytterligare lagring.
Förhållande till andra artiklar
Artikel 59 kan inte läsas isolerat. Den är direkt beroende av Artikel 57, som fastställer skyldigheten för medlemsstaterna att inrätta minst en regulatorisk AI-sandlåda på nationell nivå, och Artikel 58, som styr den allmänna driften av dessa sandlådor, inklusive deltagarurval, varaktighet och tillsynsarrangemang.
Personuppgiftsundantaget i Artikel 59 interagerar med GDPR-ramverket som en lex specialis-bestämmelse: det modifierar ändamålsbegränsningen enligt GDPR Artikel 5(1)(b) men lämnar alla andra skyldigheter intakta, inklusive kraven på rättslig grund i GDPR Artikel 6, de registrerades rättigheter enligt GDPR Kapitel III, och ansvarsskyldigheter enligt GDPR Artikel 5(2). Organisationer bör även konsultera Artikel 10 i EU:s AI-lag, som ålägger specifika krav på datastyrning och träningsdatamängder för högrisks-AI-system — många av de datakvalitetsprinciper som formuleras där informerar vad som utgör lämpliga skyddsåtgärder i sandlådekontexten. Skäl 90 ger viktigt tolkningssammanhang om den lagstiftningsavsikt som ligger bakom undantaget.
Efterlevnadstidslinje
Artikel 59 blev en del av unionsrätten när EU:s AI-lag trädde i kraft den 1 augusti 2024, tjugo dagar efter offentliggörandet i Europeiska unionens officiella tidning. Bestämmelserna i avdelning VI — inklusive Artikel 59 — gäller dock från och med 2 augusti 2025, det datum då medlemsstaterna var skyldiga att ha utsett sina behöriga myndigheter och då det allmänna styrningsramverket, inklusive sandlådeskyldigheter, blev operativt.
Detta innebär att nationella regulatoriska sandlådor borde ha inrättats och accepterat deltagare från och med augusti 2025. Organisationer som önskar åberopa Artikel 59-undantaget måste först bli antagna till en erkänd sandlåda enligt Artikel 57; det finns ingen fristående rätt att göra anspråk på personuppgiftsbehandlingsundantaget utanför det ramverket.
Som referens är den bredare AI-lagens fasning följande: förbud mot oacceptabel-risk AI tillämpades från 2 februari 2025; skyldigheter för GPAI-modeller från 2 augusti 2025; skyldigheter för högrisks-AI-system listade i Bilaga III gäller från 2 augusti 2026 (med en övergångsperiod till 2 augusti 2027 för vissa system som redan finns på marknaden). Artikel 59 är därför redan i kraft och direkt relevant för alla organisationer som för närvarande deltar i, eller planerar att delta i, en nationell regulatorisk AI-sandlåda.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Ja. Artikel 59 skapar en specifik rättslig grund som tillåter behandling av personuppgifter som lagligen samlats in för andra ändamål inom ramen för en regulatorisk AI-sandlåda, förutsatt att strikta villkor är uppfyllda: behandlingen är nödvändig för att utveckla eller testa AI-systemet, lämpliga skyddsåtgärder finns på plats och endast auktoriserade sandlådedeltagare har tillgång till uppgifterna. Detta undantag är tidsbegränsat till sandlådeprogrammets varaktighet.
Nej. Artikel 59 verkar inom GDPR-ramverket och åsidosätter det inte. Den ger ett snävt avgränsat undantag från principen om ändamålsbegränsning enligt Artikel 5(1)(b) GDPR, men alla andra GDPR-skyldigheter — rättslig grund, uppgiftsminimering, säkerhet, de registrerades rättigheter — fortsätter att gälla fullt ut. Sandlådeoperatörer och deltagare måste upprätthålla efterlevnad av båda ramverken simultaneously.
Tillsynen är delad. Den behöriga marknadskontrollmyndighet som inrättats enligt EU:s AI-lag utövar tillsyn över AI-specifik efterlevnad inom sandlådan, medan den relevanta tillsynsmyndigheten för dataskydd (nationell dataskyddsmyndighet) behåller full jurisdiktion över GDPR-efterlevnad. Artikel 59 kräver uttryckligen nära samarbete mellan dessa två myndigheter för att undvika motstridiga krav på sandlådedeltagare.
Artikel 59 kräver att personuppgifter som behandlats inom ramen för sandlådeundantaget raderas eller anonymiseras när sandlådeverksamheten avslutas, om inte lagring krävs eller tillåts enligt tillämplig unionsrätt eller nationell rätt. Deltagare måste planera livscykelhanteringen av uppgifter från början och dokumentera sina rutiner för radering eller anonymisering som en del av sandlådestyrningen.
Regulatoriska sandlådor enligt EU:s AI-lag är i första hand avsedda för leverantörer som avser att utveckla eller släppa ut högrisks-AI-system på marknaden. SMF och nystartade företag prioriteras uttryckligen för tillgång. Deltagande är föremål för ett urvalsförfarande som hanteras av den behöriga myndigheten, och varje deltagare måste lämna in en sandlådeplan som inkluderar en beskrivning av de personuppgifter som ska behandlas och de skyddsåtgärder som tillämpas.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.