Regulatory sandboxes: test je AI veilig onder toezicht
Regulatory sandboxes onder Art. 57-63 zijn gecontroleerde omgevingen, onder toezicht van de nationale toezichthouder, waarin organisaties innovatieve AI-systemen kunnen ontwikkelen en testen met begeleiding en tijdelijke verlichting van bepaalde administratieve eisen, zonder dat de materiële waarborgen of de meldplicht bij incidenten vervallen.
Bijgewerkt: juni 2026
Inleiding: ruimte voor innovatie binnen de wet
De EU AI Act erkent dat compliance-verplichtingen innovatie kunnen vertragen, met name voor kleinere organisaties die experimentele AI-systemen willen ontwikkelen. Art. 57-63 EU AI Act introduceren regulatory sandboxes: gestructureerde omgevingen die worden opgezet door de nationale toezichthouder waar deelnemers AI-systemen kunnen ontwikkelen, testen en valideren onder begeleiding van de toezichthouder, met tijdelijke vrijstelling van bepaalde verplichtingen die de test zouden belemmeren.
Een regulatory sandbox is geen "compliance-vrije zone". Het is een gecontroleerde testomgeving waarbij de toezichthouder actief betrokken is, risico's worden gemonitord, en deelnemers aan hun sandbox-specifieke verplichtingen worden gehouden.
Juridische basis: Art. 57-63 EU AI Act
Art. 57.1 verplicht lidstaten om vóór 2 augustus 2026 ten minste één nationale regulatory sandbox op te zetten. De sandbox staat open voor kleinere bedrijven en startups, maar ook voor grotere organisaties met innovatieve AI-projecten kunnen toegang krijgen.
Art. 57.3 bepaalt dat deelname aan een sandbox geen negatieve gevolgen heeft voor de toezichthouder-relatie van de deelnemer: deelnemers worden niet "gemarkeerd" als risicovol louter vanwege hun deelname. Dit principe van vertrouwelijkheid en non-punitiviteit is essentieel voor de aantrekkelijkheid van sandboxes.
Welke verplichtingen kunnen tijdelijk worden vrijgesteld?
Art. 59 bepaalt welke verplichtingen in een sandbox tijdelijk buiten toepassing kunnen worden gesteld. Dit zijn met name:
- Delen van de conformiteitsassessment-procedure (Art. 43)
- Bepaalde technische documentatie-eisen (Art. 11)
- Registratie in de EU-database vóór testing (Art. 49)
- Bepaalde kwaliteitsbeheer-eisen (Art. 17)
Wat kan NIET worden vrijgesteld:
- Art. 5 (verboden AI-praktijken), absolute verboden gelden ook in de sandbox
- Art. 10 (datakwaliteit), data moet ook in de sandbox aan kwaliteitseisen voldoen
- Privacywetgeving (AVG), de sandbox creëert geen uitzonderingen op de AVG
- Sectorspecifieke regelgeving (MDR, Wft, etc.), tenzij die sector ook een sandbox-regime heeft
Wie kan deelnemen?
Art. 57.2 geeft prioriteit aan:
- Kleine en middelgrote ondernemingen (mkb) en startups
- Organisaties die AI-systemen ontwikkelen voor publieke dienstverlening
- Onderzoeksinstellingen met een toepassingsgericht AI-project
Grote corporaties hebben lagere prioriteit maar zijn niet uitgesloten. Criteria voor toelating worden per sandbox door de nationale toezichthouder vastgesteld.
De nederlandse AI regulatory sandbox
De Nederlandse toezichthouder heeft in samenwerking met de AP een nationale AI regulatory sandbox opgezet. Kenmerken:
- Aanmeldprocedure: digitaal via acm.nl, met een projectbeschrijving, beschrijving van de AI-systemen, verwachte risico's en mitigaties, en de specifieke vrijstellingen die worden gevraagd
- Duur: standaard 12 maanden, verlengbaar met maximaal 12 maanden (Art. 60.4)
- Begeleiding: aangewezen contactpersoon bij de toezichthouder die gedurende de sandbox begeleidt en adviseert
- Eindrapport: deelnemers moeten na afloop een rapport opstellen met bevindingen, risico's en aanbevelingen (Art. 62)
Verplichtingen tijdens deelname
Deelname aan een sandbox is geen blanco cheque. Deelnemers zijn verplicht:
- Het sandbox-plan na te leven (beschrijving van het systeem, testomgeving, doelstellingen)
- Ernstige incidenten en onverwachte risico's onmiddellijk te melden aan de toezichthouder
- Alle informatie beschikbaar te stellen die de toezichthouder nodig heeft voor toezicht
- De privacy en grondrechten van testdeelnemers te beschermen
- Het systeem na afloop van de sandbox te laten overeenstemmen met de reguliere verplichtingen vóór commercieel gebruik
Na de sandbox: van test naar markt
Art. 62 verplicht deelnemers om na afloop van de sandbox een eindrapport op te stellen. Dit rapport documenteert de testresultaten, geïdentificeerde risico's, getroffen mitigaties en aanbevelingen voor toekomstige regulering. Het eindrapport is onderdeel van het compliance-dossier bij de latere definitieve ingebruikname van het systeem.
Na de sandbox moeten deelnemers de systemen die zij commercieel willen exploiteren volledig in overeenstemming brengen met alle EU AI Act-verplichtingen. De sandbox-ervaringen, inclusief het eindrapport, zijn waardevolle input voor de conformiteitsassessment en de technische documentatie.
Sandbox voor deployers vs. providers
Regulatory sandboxes zijn primair gericht op providers die nieuwe AI-systemen ontwikkelen. Voor deployers die bestaande systemen willen testen in een specifieke inzetcontext, zijn sandboxes minder relevant. Deployers kunnen echter deelnemen als zij het systeem zelf (mede-)ontwikkelen of significant aanpassen (waardoor zij ook providerproviderThe actor who develops an AI system (or has it developed) and places it on the market or into service under its own name — carrying manufacturer-style duties: design controls, documentation, conformity.Open full entry → worden conform Art. 25).
Veelgestelde vragen
V: Kunnen wij tijdens de sandbox al inkomsten genereren uit het AI-systeem?
A: In beginsel nee. Een sandbox is bedoeld voor ontwikkeling en testing, niet voor commerciële exploitatie. Beperkte pilotgebruik met expliciete toestemming van de toezichthouder is mogelijk, maar bredere commercialisering vereist volledige compliance.
V: Wat gebeurt er als wij tijdens de sandbox een ernstig incident veroorzaken?
A: De volledige meldplicht van Art. 73 geldt ook in de sandbox. Bovendien kan de toezichthouder de sandbox-status intrekken. De aansprakelijkheidsrisico's zijn dezelfde als buiten de sandbox voor wat betreft de schade die deelnemers veroorzaken.
V: Moeten testdeelnemers (personen die het systeem testen) worden geïnformeerd?
A: Ja. Art. 61 vereist dat personen die in de sandbox worden blootgesteld aan een AI-systeem daarover worden geïnformeerd, tenzij dit de test onmogelijk maakt en er expliciete toestemming is van de toezichthouder voor niet-geïnformeerde testing.
Checklist: regulatory sandbox overwegingen
- Bevindt uw AI-project zich in een ontwikkelings- of testfase waarbij sandbox-vrijstellingen toegevoegde waarde hebben?
- Is uw organisatie mkb of startup (prioriteit bij toewijzing)?
- Heeft u een duidelijke beschrijving van de AI-systemen, de testomgeving en de gevraagde vrijstellingen?
- Bent u bereid de sandbox-verplichtingen na te leven (incidentmelding, de toezichthouder-medewerking, eindrapport)?
- Is er een plan om het systeem na de sandbox volledig EU AI Act-conform te maken?
- Is de AVG-compliance gewaarborgd voor de testperiode?