Art. 59 KI‑VO schafft eine spezifische Rechtsgrundlage für die Weiterverarbeitung personenbezogener Daten in KI‑Reallaboren. Diese Daten wurden ursprünglich für andere Zwecke erhoben. Während die DSGVO grundsätzlich eine strikte Zweckbindung vorsieht (Art. 5 Abs. 1 lit. b DSGVO), erweitert Art. 59 KI‑VO diese Bindung, indem er eine eigenständige Erlaubnisnorm im Sinne von Art. 6 Abs. 4 DSGVO bereitstellt. Die Rechte der betroffenen Personen bleiben bestehen, müssen jedoch im technisch kontrollierten Umfeld des Reallabors umgesetzt werden. Die Betroffene müssen beim ursprünglichen Sammeln der Daten nicht darüber informiert worden sein, dass ihre Daten später in einem KI‑Reallabor verwendet werden könnten. Art. 59 KI‑VO verlangt eine solche Vorab‑Information nicht. Auch die DSGVO fordert keine Information über alle denkbaren zukünftigen Weiterverarbeitungen. Informationspflichten bestehen grundsätzlich, können aber nach Art. 14 Abs. 5 DSGVO entfallen – insbesondere dann, wenn die Informationserteilung unmöglich wäre, einen unverhältnismäßigen Aufwand darstellen würde oder die Ziele des Reallabors beeinträchtigen könnte. In der Praxis ist dies bei großen, heterogenen Datensätzen häufig der Fall.
Die Nutzung personenbezogener Daten ist nur zulässig, wenn mehrere Voraussetzungen kumulativ erfüllt sind. Erstens muss das KI‑System der Wahrung eines erheblichen öffentlichen Interesses dienen, etwa im Bereich der öffentlichen Sicherheit, der öffentlichen Gesundheit oder des Umwelt‑ und Klimaschutzes. Beispiele hierfür sind etwa ein KI‑System zur Vorhersage von Infektionsausbrüchen oder ein Modell zur Erkennung von Waldbrandrisiken. Zweitens muss die Entwicklung durch eine Behörde oder eine natürliche bzw. juristische Person erfolgen, die im öffentlichen Interesse handelt. Drittens muss die Verarbeitung innerhalb eines genehmigten Reallabors stattfinden, das zeitlich begrenzt ist, einem klaren Testplan folgt und unter regulatorischer Aufsicht steht. Viertens dürfen nur Daten genutzt werden, die bereits rechtmäßig zu anderen Zwecken erhoben wurden; eine neue Datenerhebung wird durch Art. 59 ausdrücklich nicht erlaubt. Schließlich gilt das Subsidiaritätsprinzip – die Ziele dürfen nicht mit anonymisierten oder synthetischen Daten erreichbar sein.
Art. 59 KI‑VO sieht zudem strenge Schutzmaßnahmen vor, um Risiken für die Betroffenen zu minimieren. Dazu gehören moderne Sicherheits‑ und Zugriffskontrollen, die vollständige Löschung der Daten nach Abschluss des Reallabors, eine umfassende Dokumentation der verwendeten Daten und der Modelllogik sowie das Verbot, die Daten zur Entscheidung über einzelne Personen zu verwenden. Die Verarbeitung ist strikt auf die Entwicklung, das Training und das Testen des KI‑Systems begrenzt.
Quellen:EU Parliament, “Artificial intelligence act and regulatory sandboxes”:https://http://www.europarl.europa.eu/RegData/etudes/BRIE/2022/733544/EPRS_BRI(2022)733544_EN.pdfNathan Genicot and Thiago Guimaraes Moraes, “Exploring the boundaries of AI regulatory sandboxes under the AI Act: Flexibility and real-world testing”:https://http://www.cambridge.org/core/journals/cambridge-forum-on-ai-law-and-governance/article/exploring-the-boundaries-of-ai-regulatory-sandboxes-under-the-ai-act-flexibility-and-realworld-testing/33039F16B76448F0EA86699385FD799EHessisches Digitalministerium, Bundesnetzagentur und Bundesdatenschutzbeauftragte starten Pilotprojekt zur Simulation eines KI-Reallabors:https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DokumenteBfDI/Dokumente-allg/2025/KI-Reallabor-gem-PM.pdf?__blob=publicationFile&v=1