La Commission européenne a adopté le 10 novembre 2026 le règlement d’exécution qui fixe le mode d’emploi des « bacs à sable réglementaires » de l’AI Act, ces espaces où une entreprise peut tester un système d’IA sous le regard d’une autorité avant sa mise sur le marché. Publié au Journal officiel le 11 novembre, il entre en vigueur le 1er décembre. Les PME et les start-up y bénéficient d’un accès prioritaire et d’un accompagnement gratuit.
À quoi sert un bac à sable réglementaire
L’AI Act impose des obligations lourdes aux systèmes jugés à haut risque : documentation, gestion des risques, contrôle humain, évaluation de conformité. Pour une jeune entreprise, savoir comment ces exigences s’appliquent à un produit encore en développement relève souvent de la conjecture. Le bac à sable répond à ce problème : l’entreprise développe et teste son système, éventuellement en conditions réelles, avec le suivi d’une autorité compétente qui l’aide à interpréter le texte.
Le règlement d’exécution n° 2026/2487, consultable sur EUR-Lex, harmonise ces dispositifs pour éviter que chaque pays invente ses propres règles. Comme le résume MLex, l’objectif est d’éviter la fragmentation du marché européen et de donner de la sécurité juridique aux développeurs. Selon le préambule, les États membres doivent avoir mis en place leurs bacs à sable d’ici au 2 août 2027.
Qui peut candidater, et comment
Peuvent déposer un dossier les fournisseurs et futurs fournisseurs d’un système d’IA qui n’est pas encore sur le marché, qui fait l’objet d’une modification substantielle, ou qui bascule dans la catégorie à haut risque. Point important pour les start-up : une entreprise peut viser le bac à sable de n’importe quel État membre, pas seulement celui de son pays. Un fournisseur établi hors de l’UE doit candidater avec un mandataire européen, qui répond de ses activités.
Les autorités sélectionnent les projets selon plusieurs critères :
- le besoin réel d’un accompagnement réglementaire ;
- ce que le projet peut apprendre au régulateur ;
- l’intérêt public ou le bénéfice pour la société ;
- la maturité de la proposition et son caractère innovant.
Le candidat doit connaître la décision dans les trois mois suivant le dépôt d’un dossier complet, et il dispose d’un recours. Une fois retenu, il signe avec l’autorité un plan qui précise les objectifs, les rôles, les garde-fous contre les risques, la remontée des incidents, l’implication de l’autorité de protection des données et, le cas échéant, les tests en conditions réelles.
Gratuit pour les PME, payant pour les autres
Le texte opère une distinction nette selon la taille. Les PME, start-up comprises, obtiennent un accès prioritaire et ne paient ni les conseils réglementaires, ni l’accompagnement, ni la supervision. L’autorité peut seulement leur facturer des « coûts exceptionnels » pour des services supplémentaires convenus, avec information préalable et facture détaillée. Les autres organisations peuvent se voir demander des frais couvrant l’intégralité des coûts, et les fournisseurs extra-européens acquittent des frais de participation.
Le bac à sable ne protège pas de tout : les participants restent responsables du respect du droit de l’Union, et la durée de l’accompagnement dépend de la capacité du dispositif et de la complexité du projet. Une prolongation suppose l’accord des deux parties et une justification ; elle doit être décidée au plus tard 30 jours calendaires avant la date de fin prévue.
Une sortie qui pèse dans la conformité
À l’issue du parcours, l’autorité délivre une preuve écrite des activités menées et un rapport de sortie, ce dernier au plus tard 45 jours ouvrables après la fin de la participation. Ces documents ne valent pas déclaration de conformité, mais les autorités de surveillance du marché et les organismes notifiés de toute l’Union doivent les prendre en compte. Pour une entreprise, c’est un argument concret : le travail fait dans le bac à sable peut accélérer l’évaluation de conformité qui suivra.
La publication du rapport exige l’accord du participant ; à défaut, l’autorité peut diffuser les principaux enseignements non confidentiels. Les autorités nationales devront rendre compte chaque année de leur activité au Bureau de l’IA et au Comité européen de l’IA.
Les limites à connaître
Le règlement fixe un cadre, il ne crée pas de guichet. En France comme ailleurs, il faudra attendre que l’autorité compétente ouvre son dispositif, au plus tard à l’été 2027. Pour les porteurs de projets à haut risque, c’est une occasion de préparer leur conformité avec un interlocuteur public plutôt que seuls, à condition que les autorités se dotent des équipes nécessaires pour instruire les dossiers dans le délai de trois mois, ce que le texte ne garantit pas.
Questions fréquentes
Quand les bacs à sable de l’AI Act ouvriront-ils ?
Le règlement d’exécution entre en vigueur le 1er décembre 2026. Les États membres ont jusqu’au 2 août 2027 pour mettre en place leurs dispositifs ; la date d’ouverture effective dépendra de chaque autorité nationale.
Une start-up française peut-elle rejoindre un bac à sable allemand ?
Oui. Le texte autorise un candidat à postuler auprès de n’importe quel bac à sable de l’Union, et pas seulement dans son pays d’établissement. Les dispositifs conjoints entre plusieurs États sont également encouragés.
Passer par un bac à sable vaut-il certificat de conformité ?
Non. La preuve écrite et le rapport de sortie ne constituent pas une déclaration de conformité. Ils doivent toutefois être pris en compte par les autorités de surveillance et les organismes notifiés lors des contrôles ultérieurs.
Sources
- Règlement d'exécution (UE) 2026/2487 sur les bacs à sable réglementaires de l'IA — EUR-Lex (Journal officiel de l'UE), 2026-11-11
- EU rules for AI regulatory sandboxes to allow supervised development, testing — MLex, 2026-11-12