Résumé

  • Le règlement sur l’IA maintient trois cadres distincts : les bacs à sable nationaux, le travail préliminaire de l’EDPS pour les institutions de l’Union et une faculté de l’AI Office réservée aux systèmes visés à l’article 75, paragraphe 1.
  • L’expérimentation ne suspend ni les pouvoirs correctifs ni la responsabilité pour les dommages causés aux tiers. Le traitement favorable de certaines amendes dépend du respect du plan et, pour les autres règles, de la participation active de l’autorité compétente.

Trois portes, trois mandats

Le terme « bac à sable » évoque un espace protégé où l’innovation pourrait progresser sans les contraintes ordinaires. Le règlement européen sur l’IA donne à cette image un cadre plus précis : un environnement contrôlé, limité dans le temps, défini par un plan convenu entre le fournisseur — ou le futur fournisseur — et l’autorité compétente. Les garanties et le suivi ne sont pas accessoires. Ils déterminent ce qui peut être testé, pour combien de temps et dans quelles conditions l’essai doit s’arrêter.

La première voie relève des États membres. L’article 57 leur impose de veiller à ce qu’au moins un bac à sable national soit opérationnel au plus tard le 2 août 2027. Plusieurs pays peuvent créer un dispositif commun, et une participation équivalente à un dispositif existant peut répondre à l’obligation. Le texte ne commande donc pas la construction d’une nouvelle structure dans chaque capitale. Il exige une voie nationale adaptée aux systèmes placés sous la surveillance nationale.

La deuxième voie est celle de l’EDPS, chargé de la protection des données dans les institutions, organes, bureaux et agences de l’Union. Le Contrôleur décrit un projet pilote préliminaire lancé en 2025 afin d’éprouver des procédures et d’acquérir une expérience pratique à partir de cas proposés par les institutions européennes. Son AI Act Compass de mars 2026 précise que ces travaux doivent l’aider à déterminer s’il peut proposer un bac à sable au sens strict de l’article 57. Un pilote de capacité n’est donc pas la preuve qu’un service statutaire est déjà ouvert à tout candidat. Il ne relève pas non plus de l’AI Office.

L’article 57, paragraphe 3, autorise expressément l’EDPS à établir un bac à sable pour les institutions, organes, bureaux et agences de l’Union ; le pilote atteste la préparation de cette mission, non le fonctionnement déjà établi d’un service statutaire complet.

La troisième voie pourrait être créée par l’AI Office. L’article 57, paragraphe 3 bis, dit qu’il peut établir un dispositif au niveau de l’Union. Cette possibilité est limitée par l’article 75, paragraphe 1 : elle vise certaines catégories précises de systèmes liés à un modèle d’IA à usage général développé par le même fournisseur ou au sein de la même entreprise, avec des exceptions prévues par le texte, ainsi que des systèmes qui constituent une très grande plateforme ou un très grand moteur de recherche désigné, ou y sont intégrés. Un déployeur n’entre dans le champ que s’il est aussi fournisseur ou appartient à la même entreprise.

Ce périmètre n’est pas synonyme de « toute IA à haut risque » ou de « toute grande entreprise technologique ». La disposition n’annonce pas non plus que l’AI Office a déjà ouvert un guichet ou admis des participants. Le texte confère une faculté; il ne prouve ni son exercice ni les moyens de l’exercer.

La coordination ne transfère pas les compétences

L’article 57 prévoit que les autorités nationales associent les autorités de protection des données et les autres régulateurs concernés lorsque les tests relèvent aussi de leurs missions. Il organise également une coordination entre autorités nationales, EDPS et AI Office au sein du comité compétent, dans les limites de leurs attributions. La coopération est nécessaire, mais elle ne fusionne pas les mandats.

Pour un candidat, la différence se traduit en questions concrètes : qui valide le plan, qui donne les orientations de conformité, qui surveille l’essai et qui peut le suspendre ? Le fait qu’une autre autorité participe à une réunion ne signifie pas nécessairement qu’elle supervise activement l’activité au regard de son propre droit. Cette nuance peut compter pour l’interprétation des orientations et pour le traitement des infractions à d’autres règles.

La réforme conserve les pouvoirs de contrôle et de correction. Les risques importants pour la santé, la sécurité ou les droits fondamentaux doivent être atténués; l’autorité nationale peut suspendre l’essai si les mesures ne suffisent pas. Les participants restent responsables, selon le droit de l’Union et le droit national, des dommages causés aux tiers par l’expérimentation.

Le régime des amendes est circonscrit. Un fournisseur potentiel qui respecte le plan et les conditions de participation et suit de bonne foi les orientations reçues n’est pas passible des amendes administratives prévues pour les manquements au règlement sur l’IA couverts par la disposition. Pour une autre règle de droit, l’effet dépend d’une condition supplémentaire : l’autorité compétente au titre de cette règle doit avoir pris une part active à la surveillance et fourni des orientations de conformité. Il ne s’agit ni d’une immunité civile ni d’une dérogation générale au droit applicable.

Une proposition de coordination à ne pas confondre avec l’acte d’application

Un nouveau texte élargit le contexte. Le 9 septembre 2026, la Commission a transmis au Conseil et au Parlement la proposition COM(2026)568, qui porte sur des principes communs applicables aux bacs à sable dans plusieurs secteurs. Cette proposition de recommandation du Conseil ne constitue pas l’acte d’exécution prévu à l’article 58 du règlement sur l’IA et ne crée pas le dispositif facultatif de l’AI Office.

L’article 58 prévoit des règles d’application détaillées sur la création, le fonctionnement, la sélection, le suivi et la sortie des bacs à sable. La consultation sur un projet s’est déroulée de décembre 2025 à janvier 2026. Les sources officielles examinées ici ne permettent pas d’établir si un acte final a été adopté ensuite. Maintenir cette incertitude visible évite de présenter un projet consulté ou une proposition horizontale comme une procédure déjà en vigueur.

La légitimité se mesure aux décisions traçables

Les autorités peuvent rendre l’accès plus compréhensible par des critères de sélection publics, une procédure d’orientation vers le bon superviseur, des plans qui attribuent clairement les tâches et des comptes rendus de sortie suffisamment informatifs. Ce sont des options d’organisation, non des garanties déjà acquises. Pour le dispositif éventuel de l’AI Office, l’article 57, paragraphe 3 bis, prévoit un accès prioritaire aux PME, y compris aux jeunes entreprises, et aux SMCs (petites entreprises à moyenne capitalisation). Cette priorité ne sera vérifiable que si les critères, les capacités et les décisions de sélection sont lisibles.

Le dispositif devient fragile si l’expérimentation est interprétée comme un agrément général. Une validation limitée pourrait être reprise par des investisseurs, des clients ou des services d’achat comme une preuve de conformité que l’autorité n’a jamais donnée. À l’inverse, plusieurs interlocuteurs sans répartition claire des pouvoirs peuvent alourdir le coût d’accès sans améliorer le contrôle.

Le meilleur indicateur ne sera donc pas le nombre de bacs à sable annoncés. Il sera possible de suivre, pour chaque essai, l’autorité responsable, les orientations données, les garanties retenues, le pouvoir de suspension et les obligations qui subsistent pour le fournisseur. La coordination n’est crédible que si elle rend la responsabilité plus traçable, sans étendre artificiellement le mandat de l’institution qui coordonne.

Les règles sont établies à partir du texte consolidé du règlement sur l’IA au 27 juillet 2026 et du règlement 2026/1744. La description du pilote provient de l’AI Act Compass 2026–2027 de l’EDPS. La proposition horizontale est COM(2026)568, dont le suivi figure dans le dossier EUR-Lex. La consultation d’un projet au titre de l’article 58 n’est pas présentée comme la preuve d’un acte final.

Autres références sur la consultation de l’article 58 et le contexte institutionnel de l’EDPS : consultation de la Commission sur le projet d’acte d’exécution de l’article 58; écosystème européen de l’innovation en IA; version consolidée du règlement sur l’IA dans ELI; texte EUR-Lex du règlement (UE) 2026/1744; projet d’acte d’exécution de la Commission Ares(2025)10569703; page de l’EDPS sur la supervision de l’IA; agenda institutionnel de l’EDPS; communiqué de l’EDPS sur son rapport annuel 2025.