Article 58 IA Act : Fonctionnement des bacs à sable

Explication de l’article

L’article 58 du Règlement européen sur l’intelligence artificielle précise les modalités de mise en place et de fonctionnement des bacs à sable réglementaires de l’intelligence artificielle (regulatory sandboxes). Alors que l’article 57 définit leur objectif et leur cadre général, l’article 58 prévoit des règles communes destinées à harmoniser leur fonctionnement dans les États membres.

L’objectif est de permettre aux entreprises de tester des systèmes d’IA innovants dans un environnement contrôlé, tout en bénéficiant de procédures transparentes, d’un accompagnement adapté et de garanties pour les personnes concernées.

Modifié par le règlement (UE) 2026/1744, dit « AI Omnibus », l’article renforce notamment les règles relatives à la gouvernance des bacs à sable et à la participation des autorités de protection des données.

1. Des règles communes pour éviter les différences entre États membres

La Commission européenne doit adopter des actes d’exécution précisant les modalités détaillées de création, de développement, de mise en œuvre, de fonctionnement, de gouvernance et de supervision des bacs à sable réglementaires.

Ces actes doivent établir des principes communs concernant notamment :

les critères d’éligibilité et de sélection des participants ;
les procédures de candidature, de participation, de suivi et de sortie du dispositif ;
les conditions applicables aux participants ;
les règles de gouvernance, y compris la participation et la supervision des autorités compétentes en matière de protection des données, lorsque cela est pertinent ;
la coordination et la coopération entre les autorités au niveau national et européen.

Ces règles communes visent à éviter que les entreprises soient confrontées à des procédures trop différentes selon l’État membre dans lequel elles souhaitent expérimenter leur système d’IA.

2. Un accès transparent et équitable

Les bacs à sable doivent être ouverts aux fournisseurs et futurs fournisseurs de systèmes d’IA qui remplissent les critères d’éligibilité et de sélection.

Ces critères doivent être transparents et équitables. Les autorités nationales compétentes doivent informer les candidats de leur décision dans un délai de trois mois à compter de la demande.

Le dispositif doit favoriser un accès large et égal, tout en tenant compte de la demande de participation. Les fournisseurs peuvent également présenter une candidature en partenariat avec des déployeurs ou d’autres tiers pertinents.

L’objectif est de permettre aux acteurs qui développent des solutions innovantes de bénéficier d’un cadre d’expérimentation, sans réserver ce dispositif à une catégorie restreinte d’entreprises.

3. Une attention particulière aux PME et aux jeunes entreprises

L’article 58 prévoit que l’accès aux bacs à sable soit gratuit pour les petites et moyennes entreprises (PME), y compris les jeunes pousses (start-ups).

Des coûts exceptionnels peuvent néanmoins être récupérés par les autorités compétentes, à condition que cette récupération soit équitable et proportionnée.

Les procédures de candidature, de sélection, de participation et de sortie doivent également être simples, compréhensibles et clairement communiquées. Elles doivent être rationalisées à l’échelle européenne afin de faciliter la participation des PME et des jeunes pousses, qui disposent parfois de ressources juridiques ou administratives limitées.

L’article prévoit aussi que les participants puissent être orientés vers des services complémentaires : conseils préalables au déploiement, aide à la normalisation et à la certification, installations d’essai et d’expérimentation, pôles européens d’innovation numérique et centres d’excellence.

4. Une durée adaptée au projet et des procédures harmonisées

La participation à un bac à sable doit être limitée à une durée adaptée à la complexité et à l’ampleur du projet. L’autorité nationale compétente peut prolonger cette durée lorsque cela est justifié.

Les règles communes doivent également permettre que la participation à un bac à sable établi par un État membre, ou par le Contrôleur européen de la protection des données, soit reconnue de manière uniforme dans l’Union et produise les mêmes effets juridiques dans le cadre prévu par l’article.

Cette reconnaissance vise à faciliter les projets transfrontières et à limiter la répétition inutile de démarches. Elle ne signifie toutefois pas qu’une entreprise est automatiquement autorisée à commercialiser son système dans toutes les situations : les obligations de conformité applicables restent à respecter.

5. Développer des outils d’évaluation des systèmes d’IA

Les bacs à sable doivent contribuer au développement d’outils et d’infrastructures permettant de tester, de comparer, d’évaluer et d’expliquer différentes caractéristiques des systèmes d’IA.

Les évaluations peuvent notamment porter sur :

la précision des résultats ;
la robustesse du système ;
la cybersécurité ;
les risques pour les droits fondamentaux ;
les risques pour la société dans son ensemble ;
l’efficacité des mesures mises en place pour atténuer ces risques.

Ces outils doivent contribuer à l’apprentissage réglementaire : les entreprises et les autorités peuvent ainsi mieux comprendre les capacités du système, ses limites et les mesures nécessaires pour réduire les risques.

6. Des garanties spécifiques pour les essais en conditions réelles

Les bacs à sable peuvent comprendre des essais en conditions réelles, sous la supervision de l’autorité compétente.

Lorsque l’autorité envisage d’autoriser ces essais, elle doit convenir spécifiquement avec les participants des conditions applicables et, en particulier, des garanties nécessaires pour protéger les droits fondamentaux, la santé et la sécurité.

Le plan du bac à sable doit intégrer, lorsque cela est pertinent, le plan d’essais en conditions réelles prévu par les articles 60 et 60 bis de l’IA Act.

Les autorités peuvent également coopérer entre elles afin de garantir des pratiques cohérentes dans l’Union européenne.

Les essais ne doivent donc pas être considérés comme une autorisation générale de tester un système sans limites. Ils restent soumis à des conditions définies et à des garanties adaptées aux risques.

Notions clés à comprendre

Acte d’exécution : acte adopté par la Commission européenne afin de préciser les modalités pratiques nécessaires à l’application uniforme d’un règlement.

Critères d’éligibilité : conditions qu’un fournisseur ou futur fournisseur doit remplir pour pouvoir participer à un bac à sable.

Procédure de sélection : processus permettant à l’autorité compétente d’examiner les candidatures selon des critères transparents et équitables.

Reconnaissance mutuelle : mécanisme destiné à assurer que la participation à un bac à sable reconnu dans un État membre produise les mêmes effets juridiques dans les autres États membres, dans le cadre prévu par l’article.

PME et start-ups : petites et moyennes entreprises et jeunes entreprises auxquelles l’article accorde une attention particulière pour faciliter l’accès au dispositif.

Essais en conditions réelles : essais effectués dans un environnement d’utilisation réel, sous réserve du respect des conditions et garanties applicables.

Gouvernance du bac à sable : organisation des responsabilités, des procédures de supervision et de la coopération entre les autorités concernées.

Apprentissage réglementaire : démarche visant à tirer des enseignements des essais afin de mieux comprendre les risques et les exigences applicables aux systèmes d’IA.

Exemple pratique

Une start-up française développe un système d’IA destiné à aider les collectivités à optimiser la circulation et à détecter certaines situations susceptibles de perturber les transports publics. Elle souhaite tester son système dans un environnement urbain réel avant de le proposer à plusieurs villes.

Pour préparer son expérimentation, elle candidate à un bac à sable réglementaire de l’IA.

Première étape : la candidature. L’entreprise vérifie les critères d’éligibilité et présente son projet avec les informations nécessaires. L’autorité compétente examine la demande selon des critères transparents et l’informe de sa décision dans le délai prévu par l’article 58.

Deuxième étape : l’accompagnement. L’entreprise bénéficie d’un environnement encadré pour tester les performances du système, identifier ses limites et évaluer sa robustesse. Si elle remplit les conditions prévues, l’accès au bac à sable est gratuit en tant que PME.

Troisième étape : la protection des personnes. Si le projet implique des données personnelles ou des dispositifs susceptibles d’affecter les droits des personnes, les garanties nécessaires sont définies. Les autorités compétentes en matière de protection des données sont associées lorsque cela est pertinent.

Quatrième étape : les essais en conditions réelles. Si les essais sont autorisés dans l’environnement urbain, leurs conditions sont convenues avec l’autorité compétente. Les mesures de protection de la santé, de la sécurité et des droits fondamentaux sont intégrées au plan d’expérimentation.

Cinquième étape : la sortie du dispositif. À la fin de la période prévue, l’entreprise utilise les résultats des tests pour corriger son système et préparer les étapes nécessaires à sa mise sur le marché.

Cet exemple montre comment l’article 58 vise à rendre les procédures plus accessibles et plus cohérentes dans l’Union, tout en maintenant un encadrement des risques liés à l’expérimentation.

Votre projet d’IA remplit-il les conditions pour intégrer un bac à sable réglementaire ?

L’article 58 encadre les modalités de participation aux bacs à sable réglementaires de l’IA : critères de sélection, procédures, durée des essais et garanties applicables. Il vise notamment à faciliter la participation des PME et des start-up tout en favorisant le développement d’une IA conforme à la réglementation.

Préparer ma participation à un bac à sable réglementaire avec un expert

Texte original de l’IA Act

Article 58 – Modalités détaillées pour les bacs à sable réglementaires de l’IA et fonctionnement de ceux-ci

1. Afin d’éviter une fragmentation à travers l’Union, la Commission adopte des actes d’exécution précisant les modalités détaillées de mise en place, de développement, de mise en œuvre, d’exploitation, de gouvernance et de surveillance des bacs à sable réglementaires de l’IA. Ces actes d’exécution contiennent des principes communs sur les questions suivantes:

a) les critères d’éligibilité et de sélection pour la participation au bac à sable réglementaire de l’IA;

b) les procédures de demande, de surveillance, de sortie et d’expiration du bac à sable réglementaire de l’IA, ainsi que de participation à celui-ci, y compris le plan du bac à sable et le rapport de sortie;

c) les conditions applicables aux participants;

d) les règles détaillées applicables à la gouvernance des bacs à sable réglementaires de l’IA en vertu de l’article 57, y compris en ce qui concerne la participation et la supervision des autorités compétentes en matière de protection des données, le cas échéant, ainsi que la coordination et la coopération aux niveaux national et de l’Union.

Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

2. Les actes d’exécution visés au paragraphe 1 garantissent que:

a) les bacs à sable réglementaires de l’IA sont ouverts à tout fournisseur ou fournisseur potentiel d’un système d’IA qui remplit les critères d’éligibilité et de sélection, lesquels sont transparents et équitables, et que les autorités nationales compétentes informent les demandeurs de leur décision dans un délai de trois mois à compter de la demande;

b) que les bacs à sable réglementaires de l’IA permettent un accès étendu et égal et suivent la demande de participation; les fournisseurs et fournisseurs potentiels peuvent également soumettre des demandes en partenariat avec des déployeurs et d’autre tiers concernés;

c) que les modalités détaillées pour les bacs à sable réglementaires de l’IA et les conditions relatives à ces derniers favorisent, dans toute la mesure du possible, la flexibilité permettant aux autorités nationales compétentes de mettre en place et d’exploiter leurs bacs à sable réglementaires de l’IA;

d) que l’accès aux bacs à sable réglementaires de l’IA est gratuit pour les PME, y compris les jeunes pousses, sans préjudice des coûts exceptionnels que les autorités nationales compétentes peuvent recouvrer de manière équitable et proportionnée;

e) qu’ils aident les fournisseurs et les fournisseurs potentiels, au moyen des acquis d’apprentissage des bacs à sable réglementaires de l’IA, à se conformer aux obligations d’évaluation de la conformité prévues par le présent règlement et à l’application volontaire des codes de conduite visés à l’article 95;

f) que les bacs à sable réglementaires de l’IA facilitent la participation d’autres acteurs pertinents au sein de l’écosystème de l’IA, tels que les organismes notifiés et les organisations de normalisation, les PME, y compris les jeunes pousses, les entreprises, les innovateurs, les installations d’expérimentation et d’essai, les laboratoires de recherche et d’expérimentation et les pôles européens d’innovation numérique, les centres d’excellence, les chercheurs individuels, afin de permettre et de faciliter la coopération avec les secteurs public et privé;

g) que les procédures, processus et exigences administratives applicables en matière de demande, de sélection, de participation et de sortie dans le cadre du bac à sable réglementaires de l’IA sont simples, facilement compréhensibles et clairement communiqués afin de faciliter la participation des PME, y compris des jeunes pousses, disposant de capacités juridiques et administratives limitées, et sont rationalisés dans toute l’Union, afin d’éviter la fragmentation et de permettre que la participation à un bac à sable réglementaire de l’IA mis en place par un État membre ou par le Contrôleur européen de la protection des données soit mutuellement et uniformément reconnue et produise les mêmes effets juridiques dans l’ensemble de l’Union;

h) que la participation au bac à sable réglementaire de l’IA est limitée à une période adaptée à la complexité et à l’envergure du projet, qui peut être prolongée par l’autorité nationale compétente;

i) que les bacs à sable réglementaire de l’IA facilitent le développement d’outils et d’infrastructures pour la mise à l’essai, l’étalonnage des performances, l’évaluation et l’explication des aspects des systèmes d’IA pertinents pour l’apprentissage réglementaire, tels que la précision, la solidité et la cybersécurité, ainsi que les mesures d’atténuation des risques d’atteinte aux droits fondamentaux et à la société au sens large.

3. Les fournisseurs potentiels dans les bacs à sable réglementaires de l’IA, en particulier les PME et les jeunes pousses, sont dirigés, le cas échéant, vers des services préalables au déploiement, tels que des orientations sur la mise en œuvre du présent règlement, et vers d’autres services à valeur ajoutée, tels que l’aide avec les documents de normalisation et la certification, les installations d’essai et d’expérimentation, les pôles européens d’innovation numérique et les centres d’excellence.

4. Lorsque les autorités nationales compétentes envisagent d’autoriser des essais en conditions réelles supervisés dans le cadre d’un bac à sable réglementaire de l’IA établi en vertu du présent article, elles conviennent spécifiquement des conditions de ces essais et, en particulier, des garanties appropriées avec les participants en vue de protéger les droits fondamentaux, la santé et la sécurité. Le cas échéant, elles coopèrent avec d’autres autorités nationales compétentes en vue d’assurer la cohérence des pratiques dans l’ensemble de l’Union.

Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.

L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne pour intégrer ces dispositifs et accélérer vos projets d’IA en conformité.

Perspectives avec d’autres textes

Perspectives europpéenes

RGPD

Le RGPD présente le lien le plus important avec l’article 58. Le considérant 140 de l’IA Act précise que le régime applicable aux données personnelles dans les bacs à sable doit être compris en lien notamment avec les article 6 et 9 du RGPD, les autres obligations du RGPD et les droits des personnes concernées.

Cela signifie qu’un projet de bac à sable peut nécessiter une analyse concernant : la base juridique, la finalité, la minimisation, la conservation, la sécurité, les droits des personnes, l’AIPD et les responsabilités des acteurs.

Règlement (UE) 2018/1725

Lorsqu’un projet concerne les institutions, organes, bureaux ou agences de l’Union européenne, il faut également tenir compte du règlement (UE) 2018/1725. Ce règlement joue, pour les institutions européennes, un rôle comparable à celui du RGPD pour les organisations relevant de ce dernier.

Le lien est particulièrement important puisque le Contrôleur européen de la protection des données peut établir un bac à sable pour les institutions et organes de l’Union.

Data Governance Act – règlement (UE) 2022/868

Le Data Governance Act est également intéressant à mettre en perspective. Il établit un cadre européen destiné à faciliter la disponibilité et la réutilisation des données tout en renforçant la confiance dans le partage des données.

Le lien avec l’article 58 est particulièrement pertinent lorsque l’expérimentation d’un système d’IA nécessite l’accès à des données provenant d’administrations publiques, d’organisations ou de mécanismes de partage de données.

Règlement sur les dispositifs médicaux

L’IA Act peut s’appliquer à des systèmes d’IA intégrés dans des dispositifs médicaux. Dans ce cas, l’entreprise peut devoir respecter simultanément l’IA Act, le règlement (UE) 2017/745 relatif aux dispositifs médicaux et éventuellement d’autres règles sectorielles.

La Commission travaille d’ailleurs sur des mécanismes de bacs à sable spécifiques au secteur des dispositifs médicaux dans le cadre de propositions de modification de cette réglementation.

Le règlement (UE) 2026/1744

Pour comprendre l’article 58 aujourd’hui, il faut absolument tenir compte de la réforme de 2026. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a modifié plusieurs dispositions de l’IA Act afin de simplifier sa mise en œuvre et de tenir compte des difficultés rencontrées dans la préparation des infrastructures nationales.

La nouvelle version ajoute expressément la gouvernance et prévoit notamment des règles concernant : l’implication des autorités de protection des données et leur supervision, la coordination nationale et la coopération au niveau de l’Union.

L’acte d’exécution de la Commission

La Commission avait lancé une consultation publique sur un projet d’acte d’exécution en décembre 2025. La consultation s’est terminée en janvier 2026. C’est un texte particulièrement intéressant à surveiller car il doit transformer les principes de l’article 58 en procédures concrètes applicables aux autorités et aux participants.

Menu IA Act

Besoin d’aide pour cet article ?

Comprendre les obligations liées à cet article et éviter les erreurs.

🔓 Échange confidentiel – Sans engagement