Op 2 augustus verstreek de plicht om een nationale AI-testomgeving te hebben, en daarbinnen mogen gegevens worden verwerkt die voor iets anders zijn verzameld

Wat een testomgeving voor regelgeving is

Het is een gecontroleerde omgeving waarin een AI-systeem gedurende beperkte tijd wordt ontwikkeld, getraind, getest en gevalideerd, onder toezicht van de bevoegde autoriteit en volgens een afgesproken plan. Het is geen vrije zone: de regels blijven gelden, maar het gesprek met de autoriteit vindt plaats vóór het in de handel brengen in plaats van erna, en wie deelneemt komt eruit met documentatie waar de autoriteit al naar heeft gekeken.

Lid 3 van hetzelfde artikel voegt iets toe dat vaak wordt gemist: ook de Europese Toezichthouder voor gegevensbescherming kan een testomgeving tot stand brengen voor de instellingen, organen en instanties van de Unie, waarbij hij de rollen en taken van de bevoegde nationale autoriteiten uitoefent.

Waarom dit iedereen aangaat die met persoonsgegevens werkt

Vanwege artikel 59. In de testomgeving mogen persoonsgegevens die rechtmatig voor andere doeleinden zijn verzameld, uitsluitend worden verwerkt om bepaalde AI-systemen te ontwikkelen, te trainen en te testen. Dat is een uitdrukkelijke hergebruikbepaling, en die zijn in het Unierecht zeldzaam. Zij geldt echter alleen als aan alle genoemde voorwaarden is voldaan, niet aan enkele.

Het systeem moet een zwaarwegend algemeen belang dienen, op een van deze gebieden

• Openbare veiligheid en volksgezondheid, met inbegrip van detectie, diagnosepreventie, bestrijding en behandeling van ziekten en verbetering van gezondheidszorgstelsels.
• Een hoog niveau van bescherming en verbetering van de milieukwaliteit, bescherming van de biodiversiteit, bescherming tegen verontreiniging, maatregelen voor de groene transitie, maatregelen ter beperking van en aanpassing aan klimaatverandering.
• Energieduurzaamheid.
• Veiligheid en veerkracht van vervoerssystemen en mobiliteit, kritieke infrastructuur en netwerken.
• Doelmatigheid en kwaliteit van het openbaar bestuur en van openbare diensten.

En daarnaast moeten ook alle andere voorwaarden gelden

• De gegevens moeten nodig zijn om te voldoen aan de eisen van hoofdstuk III, afdeling 2, en aan die eisen mag niet doeltreffend kunnen worden voldaan met geanonimiseerde, synthetische of andere niet-persoonsgebonden gegevens.
• Er moeten doeltreffende monitoringmechanismen zijn om hoge risico's voor de rechten en vrijheden van betrokkenen in de zin van artikel 35 AVG te herkennen, en responsmechanismen om die snel te beperken en zo nodig de verwerking te stoppen.
• De gegevens moeten zich bevinden in een functioneel gescheiden, geïsoleerde en beschermde verwerkingsomgeving onder controle van de aanbieder in spe, uitsluitend toegankelijk voor gemachtigde personen.
• De oorspronkelijk verzamelde gegevens mogen alleen verder worden gedeeld overeenkomstig het gegevensbeschermingsrecht van de Unie, en persoonsgegevens die in de testomgeving zijn ontstaan mogen die niet verlaten.
• De verwerking mag niet leiden tot maatregelen of besluiten die de betrokkenen raken, en mag de uitoefening van hun rechten niet aantasten.

Wat je nu moet vragen

• Of de testomgeving van de eigen staat operationeel is en op welke voorwaarden je erin komt: de termijn staat in de verordening, de uitvoering verschilt per staat en moet bij de eigen autoriteit worden nagegaan.
• Of de klant een AI-project overweegt op een van de vijf gebieden, want dan is de testomgeving geen sieraad maar de best verdedigbare route.
• Of iemand in de organisatie al heeft opgeschreven dat er op bestaande gegevens getraind zal worden met een beroep op de AI-verordening: dit is het moment om artikel 59 regel voor regel te herlezen.