2. august gikk fristen ut for å ha en nasjonal KI-sandkasse, og inne i dem kan man behandle data som er samlet inn til noe annet

Hva en regulatorisk sandkasse er

Det er et kontrollert miljø der et KI-system utvikles, trenes, testes og valideres i en begrenset periode, under tilsyn av den kompetente myndigheten og etter en avtalt plan. Det er ikke en frisone: reglene gjelder fortsatt, men samtalen med myndigheten skjer før markedsføring i stedet for etterpå, og den som deltar kommer ut med dokumentasjon myndigheten allerede har sett på.

Nummer 3 i samme artikkel legger til noe som ofte overses: også EUs datatilsyn kan opprette en sandkasse for unionens institusjoner, organer og byråer, og utøve rollene og oppgavene til de kompetente nasjonale myndighetene.

Hvorfor dette angår dem som arbeider med personopplysninger

På grunn av artikkel 59. I sandkassen kan personopplysninger som lovlig er samlet inn til andre formål, behandles utelukkende for å utvikle, trene og teste bestemte KI-systemer. Det er en uttrykkelig gjenbruksbestemmelse, og slike finnes det ikke mange av i EU-retten. Men den gjelder bare dersom alle de oppregnede vilkårene er oppfylt, ikke noen av dem.

Systemet må tjene en vesentlig allmenn interesse, på ett av disse områdene

• Offentlig sikkerhet og folkehelse, herunder påvisning, diagnoseforebygging, kontroll og behandling av sykdom og forbedring av helsetjenestesystemene.
• Et høyt nivå av vern og forbedring av miljøkvaliteten, vern av biologisk mangfold, vern mot forurensning, tiltak for grønn omstilling, tiltak for å begrense klimaendringer og tilpasse seg dem.
• Bærekraftig energi.
• Sikkerhet og motstandsdyktighet i transportsystemer og mobilitet, kritisk infrastruktur og nett.
• Effektivitet og kvalitet i offentlig forvaltning og offentlige tjenester.

Og så må alle de øvrige vilkårene også være oppfylt

• Opplysningene må være nødvendige for å oppfylle kravene i kapittel III avsnitt 2, og de kravene må ikke effektivt kunne oppfylles med anonymiserte, syntetiske eller andre ikke-personlige data.
• Det må finnes effektive overvåkingsmekanismer for å identifisere høy risiko for de registrertes rettigheter og friheter, slik det er omhandlet i artikkel 35 i personvernforordningen, og responsmekanismer for raskt å redusere dem og om nødvendig stanse behandlingen.
• Opplysningene må ligge i et funksjonelt atskilt, isolert og beskyttet behandlingsmiljø under kontroll av den potensielle leverandøren, tilgjengelig bare for autoriserte personer.
• De opprinnelig innsamlede opplysningene kan bare deles videre i samsvar med unionens personvernregelverk, og personopplysninger som er skapt i sandkassen, kan ikke forlate den.
• Behandlingen må verken føre til tiltak eller beslutninger som berører de registrerte, eller påvirke utøvelsen av rettighetene deres.

Hva man bør spørre om nå

• Om ens egen stats sandkasse er i drift og på hvilke vilkår man kommer inn: fristen står i forordningen, gjennomføringen varierer fra stat til stat og må sjekkes hos egen myndighet.
• Om kunden vurderer et KI-prosjekt på ett av de fem områdene, for da er sandkassen ikke pynt, men den mest forsvarlige veien.
• Om noen i virksomheten allerede har skrevet at man skal trene på eksisterende data med henvisning til KI-forordningen: da er det tid for å lese artikkel 59 linje for linje.