Den 2 augusti löpte skyldigheten att ha en nationell AI-sandlåda ut, och inuti dem får uppgifter som samlats in för något annat behandlas

Vad en regulatorisk sandlåda är

Det är en kontrollerad miljö där ett AI-system utvecklas, tränas, testas och valideras under begränsad tid, under tillsyn av den behöriga myndigheten och enligt en överenskommen plan. Det är ingen frizon: reglerna gäller fortfarande, men samtalet med myndigheten sker före utsläppandet på marknaden i stället för efteråt, och den som deltar kommer ut med dokumentation som myndigheten redan har tittat på.

Punkt 3 i samma artikel lägger till något som ofta förbises: även Europeiska datatillsynsmannen får inrätta en sandlåda för unionens institutioner, organ och byråer och därvid utöva de behöriga nationella myndigheternas roller och uppgifter.

Varför detta angår den som arbetar med personuppgifter

På grund av artikel 59. I sandlådan får personuppgifter som lagligen samlats in för andra ändamål behandlas uteslutande i syfte att utveckla, träna och testa vissa AI-system. Det är en uttrycklig återanvändningsbestämmelse, och sådana finns det inte många av i unionsrätten. Men den gäller bara om samtliga uppräknade villkor är uppfyllda, inte några av dem.

Systemet måste tjäna ett väsentligt allmänintresse, inom något av dessa områden

• Allmän säkerhet och folkhälsa, inbegripet upptäckt, diagnosprevention, kontroll och behandling av sjukdomar och förbättring av hälso- och sjukvårdssystemen.
• En hög skyddsnivå och förbättring av miljökvaliteten, skydd av den biologiska mångfalden, skydd mot föroreningar, åtgärder för grön omställning, åtgärder för begränsning av och anpassning till klimatförändringar.
• Energihållbarhet.
• Säkerhet och motståndskraft i transportsystem och mobilitet, kritisk infrastruktur och nät.
• Effektivitet och kvalitet i den offentliga förvaltningen och i offentliga tjänster.

Och därutöver måste samtliga övriga villkor vara uppfyllda

• Uppgifterna måste vara nödvändiga för att uppfylla kraven i kapitel III avsnitt 2, och dessa krav får inte effektivt kunna uppfyllas med anonymiserade, syntetiska eller andra icke-personuppgifter.
• Det måste finnas effektiva övervakningsmekanismer för att upptäcka höga risker för de registrerades rättigheter och friheter i den mening som avses i artikel 35 i dataskyddsförordningen, samt responsmekanismer för att snabbt begränsa dem och vid behov stoppa behandlingen.
• Uppgifterna måste finnas i en funktionellt åtskild, isolerad och skyddad behandlingsmiljö under den blivande leverantörens kontroll, tillgänglig endast för behöriga personer.
• De ursprungligen insamlade uppgifterna får delas vidare endast i enlighet med unionens dataskyddsrätt, och personuppgifter som skapats i sandlådan får inte lämna den.
• Behandlingen får varken leda till åtgärder eller beslut som påverkar de registrerade eller inverka på utövandet av deras rättigheter.

Vad man bör fråga nu

• Om den egna statens sandlåda är i drift och på vilka villkor man kommer in: fristen står i förordningen, genomförandet varierar mellan stater och måste kontrolleras hos den egna myndigheten.
• Om kunden överväger ett AI-projekt inom något av de fem områdena, för då är sandlådan ingen utsmyckning utan den mest försvarbara vägen.
• Om någon i verksamheten redan har skrivit att man ska träna på befintliga uppgifter med hänvisning till AI-förordningen: då är det dags att läsa artikel 59 rad för rad.