Bacs à sable IA : l’Europe rend l’accès gratuit pour les PME. Ce qu’il faut préparer avant 2027

Le 10 novembre 2026, la Commission européenne a adopté le règlement d’exécution (UE) 2026/2487, publié au Journal officiel le lendemain. Il fixe des règles communes pour les « bacs à sable réglementaires » prévus par l’AI Act. Pour les PME et start-up, l’accès est prioritaire et l’accompagnement réglementaire est gratuit. Pour une PME qui conçoit un outil IA métier, c’est une vraie option. Encore faut-il arriver avec un dossier solide.

Ce qui vient d’être publié

Un bac à sable réglementaire IA est un cadre contrôlé. Une autorité compétente y supervise, pour une durée limitée, le développement, l’entraînement, la validation et les tests d’un système d’IA (y compris en conditions réelles) avant sa mise sur le marché, selon un plan convenu.

Le règlement 2026/2487 s’applique à tous les bacs à sable créés au titre de l’article 57 de l’AI Act (règlement (UE) 2024/1689). Il entre en vigueur vingt jours après sa publication et s’applique directement dans tous les États membres, sans transposition.

Les points clés :

• Un bac à sable par pays au minimum, d’ici le 2 août 2027. L’échéance a été repoussée d’un an par l’Omnibus numérique sur l’IA (règlement (UE) 2026/1744). Des bacs à sable communs à plusieurs États, sectoriels, régionaux ou au niveau de l’Union sont aussi possibles.
• Gratuit pour les PME et start-up. L’accompagnement réglementaire, le conseil et la supervision ne leur sont pas facturés. Seuls des coûts « exceptionnels » peuvent être refacturés, à condition d’être annoncés avant le début et détaillés sur facture.
• Coût complet pour les autres entreprises. Les grandes entreprises paient des frais égaux aux coûts supportés par l’autorité. La grille doit être publiée à l’ouverture des candidatures.
• Une réponse sous trois mois après un dossier complet ou la clôture d’un appel.
• Un rapport de sortie sous 45 jours ouvrés après la fin de la participation.

Qui peut candidater, et avec quoi

Tout fournisseur ou futur fournisseur d’un système d’IA peut postuler, y compris dans un autre État membre que le sien. Le projet doit porter sur :

1. un système d’IA pas encore mis sur le marché ;
2. un système qui va subir une modification substantielle ;
3. ou un système devenu à haut risque du fait de son usage.

Les autorités doivent évaluer chaque dossier sur au moins cinq critères : le besoin réel de participer (difficultés réglementaires ou pratiques précises), le potentiel d’apprentissage réglementaire et l’impact sur le secteur, la contribution à l’intérêt public et aux politiques de l’Union, la maturité du projet, et son caractère innovant.

En clair : une idée sur une slide ne suffit pas. Il faut un système qui existe, un cas d’usage précis et une question réglementaire identifiée.

Ce que le bac à sable apporte… et ce qu’il n’apporte pas

Une fois retenu, le participant signe avec l’autorité un plan de bac à sable : calendrier, rôles, exigences traitées, traitement éventuel de données personnelles (l’autorité de protection des données est alors associée), garde-fous, procédure en cas d’incident grave, tests en conditions réelles.

À la sortie, l’autorité remet une preuve écrite et un rapport de sortie. Ces documents ne valent pas déclaration de conformité UE et ne constituent pas une autorisation de mise sur le marché. En revanche, les autorités de surveillance du marché et les organismes notifiés de tous les États membres doivent les reconnaître. Les considérants du texte prévoient qu’ils soient pris en compte favorablement pour accélérer l’évaluation de conformité.

L’autorité peut aussi suspendre un projet si le plan n’est pas respecté ou si des risques importants pour la santé, la sécurité ou les droits fondamentaux apparaissent et ne peuvent pas être réduits.

Et en France ?

C’est le point d’attention. À ce jour, aucun bac à sable français au titre de l’article 57 n’a été identifié. Le schéma de gouvernance proposé par la DGE et la DGCCRF (coordination par ces deux directions, appui sur les régulateurs sectoriels existants) doit être consacré par la loi. Le projet de loi d’adaptation au droit de l’Union, adopté par le Sénat le 18 février 2026, était encore en discussion à l’Assemblée nationale en septembre 2026.

À noter : le bac à sable de la CNIL, qui existe depuis 2021, relève du RGPD. Ce n’est pas un bac à sable au sens de l’AI Act et il ne lève aucune contrainte légale. Il reste utile pour travailler la conformité des données dès la conception.

Deux autres portes existent dès maintenant :

• les bacs à sable d’autres États membres, puisque la candidature transfrontalière est permise (le Danemark en opère déjà un pour l’IA, avec un accompagnement gratuit sur le RGPD et la classification des risques) ;
• les bacs à sable au niveau de l’Union, que le Bureau de l’IA peut ouvrir avec un accès prioritaire pour les PME, les start-up et les petites ETI (« small mid-caps »).

Le contexte : beaucoup d’usage, peu de systèmes maîtrisés

Selon le Baromètre France Num 2026 de la DGE, 53 % des PME utilisent déjà au moins une solution d’IA, contre 34 % un an plus tôt. Chez les ETI, la Boussole des Héros (OpinionWay pour GENEO et KPMG, publiée le 4 novembre 2026) montre que plus de trois sur quatre ont lancé une réflexion ou un projet IA, mais seules 13 % l’ont déployée sur plusieurs métiers ou processus.

Le bac à sable sert justement ce passage : du pilote à un système métier qui touche des clients, des salariés ou des décisions, et qui doit tenir face au régulateur.

Notre check-list pour être prêt à candidater

Chez AZINOVE SAS, nous concevons des logiciels sur mesure et des systèmes d’IA pour des PME et ETI en Europe. Voici ce que nous conseillons de préparer dès maintenant, sans attendre l’ouverture du bac à sable français :

1. Qualifier le système. Est-ce un système d’IA au sens de l’AI Act ? Est-il à haut risque (annexe III : emploi, éducation, crédit, biométrie…) ou le devient-il par son usage ?
2. Formuler la question réglementaire. Le critère « besoin de participer » exige un problème précis : transparence, données d’entraînement, supervision humaine, tests en conditions réelles…
3. Montrer un système qui tourne. La maturité est un critère explicite. Un prototype fonctionnel, documenté et versionné pèse plus qu’une note d’intention.
4. Cartographier les données. Quelles données personnelles, quelle base légale, quel hébergement ? L’autorité de protection des données sera dans la boucle.
5. Préparer un plan de test. Périmètre, indicateurs, garde-fous, procédure d’incident : c’est le squelette du futur plan de bac à sable.
6. Choisir la bonne porte. Bac à sable national (quand il ouvrira), celui d’un autre État membre ou celui de l’Union : le bon choix dépend du secteur et du calendrier.

Le bac à sable ne remplace pas une conformité bien construite. Mais pour une PME, c’est un accompagnement gratuit et un rapport reconnu dans toute l’Union. Dans une négociation avec un grand compte ou un organisme notifié, ce document peut faire la différence.

Vous développez un outil IA métier et vous vous demandez s’il relève d’un bac à sable ? Parlons-en.

Sources

1. Règlement d’exécution (UE) 2026/2487 de la Commission du 10 novembre 2026, JO L du 11 novembre 2026 — EUR-Lex : eur-lex.europa.eu
2. Lovguiden, « EU sets common rules for AI regulatory sandboxes: free access for SMEs », 11 novembre 2026 : lovguiden.dk
3. AI Act, article 57 — AI Act Service Desk (Commission européenne) : ai-act-service-desk.ec.europa.eu
4. DGE, « Les autorités compétentes pour la mise en œuvre du règlement européen sur l’IA » : entreprises.gouv.fr
5. Lacour Avocat, « Bac à sable réglementaire : IA, CNIL, CRE, AMF, ARCEP » : lacour-avocat.fr
6. AI Act Insight, « Bacs à sable réglementaires : peut-on expérimenter sans risque ? » : aiactinsight.eu
7. DGE, Baromètre France Num 2026 : francenum.gouv.fr
8. KPMG / GENEO, Boussole des Héros 2026, 4 novembre 2026 : kpmg.com