De regelgevingssandbox die niemand gebruikt

Artikel 57 van de AI-verordening van de EU vereist dat elke lidstaat ten minste een AI-regelgevingssandbox instelt voor 2 augustus 2026. Op dit moment, januari 2026, hebben meerdere lidstaten operationele of bijna operationele sandboxen. Tegen augustus moeten alle zevenentwintig er minimaal een hebben.

Een regelgevingssandbox is een gecontroleerde omgeving waarin bedrijven AI-systemen kunnen ontwikkelen, testen en valideren onder toezicht van de toezichthouder — met verminderde compliancelast tijdens de testperiode en directe begeleiding van de nationale bevoegde autoriteit. Het is gestructureerd experimenteren met een vangnet.

De meeste EU mkb-bedrijven hebben er nooit van gehoord. Van degenen die dat wel hebben, gaan de meesten ervan uit dat sandboxen bedoeld zijn voor grote bedrijven, voor hoog-risico AI-systemen, of voor bedrijven met juridische afdelingen die groot genoeg zijn om het aanvraagproces te navigeren.

Alle drie die aannames zijn fout. En de bedrijven die dit als eerste ontdekken, zullen een structureel voordeel hebben dat zich opstapelt.

Wat een regelgevingssandbox werkelijk biedt

De sandboxbepalingen van de AI-verordening van de EU (artikelen 57-63) zijn opmerkelijk specifiek over wat sandboxen moeten bieden. Dit is geen vaag “innovatievriendelijke omgeving”-concept. De verordening definieert concrete operationele kenmerken:

Gestructureerd testen onder toezicht. Een bedrijf betreedt de sandbox met een specifiek AI-systeem en een specifieke use case. De nationale bevoegde autoriteit biedt regelgevingsbegeleiding tijdens de testperiode — niet na implementatie, niet met terugwerkende kracht, maar tijdens de ontwikkeling. Dit betekent dat je de compliance-architectuur bouwt terwijl je het product bouwt, met input van de toezichthouder bij elke fase.

Verminderde compliancelast tijdens het testen. Het sandboxkader specificeert dat deelnemers profiteren van een proportioneel compliancetraject tijdens de testperiode. De vereisten worden geschaald naar de ontwikkelingsfase. Dit betekent niet dat compliance wordt opgeheven. Het betekent dat het compliancetraject gefaseerd, begeleid en iteratief is in plaats van alles-in-een-keer.

Voorrangsverwerking. Artikel 62 vereist dat mkb-bedrijven en startups voorrangstoegang krijgen tot sandboxen. Dit is geen suggestie. Het is een wettelijke vereiste. Lidstaten moeten hun sandboxprogramma’s ontwerpen met prioriteit voor kleinere bedrijven. De verordening erkent expliciet dat mkb-bedrijven te maken hebben met disproportionele compliancekosten en dat sandboxen een mechanisme zijn om die ongelijkheid te verminderen.

Gegevensverwerkingstoestemmingen. Artikel 59 voorziet in specifieke bepalingen voor het verwerken van persoonsgegevens binnen sandboxen — onderworpen aan waarborgen, maar met een rechtsgrond die buiten de sandboxcontext mogelijk niet bestaat. Voor bedrijven die AI-systemen ontwikkelen die persoonsgegevens verwerken (wat de meeste zijn), is dit een significante enabler.

Uitdocumentatie. Bedrijven die een sandboxprogramma voltooien, ontvangen een complianceregistratie — een gedocumenteerde geschiedenis van regelgevingsinteractie die goede trouw en ontwikkeling onder toezicht aantoont. Wanneer de volledige bepalingen van de AI-verordening van kracht worden, heeft deze documentatie operationele waarde: het toont toezichthouders dat het AI-systeem van het bedrijf is ontwikkeld in een gecontroleerde, bewaakte omgeving.

Dit zijn geen theoretische voordelen. Het zijn specifieke regelgevingsbepalingen met juridische kracht in alle 27 lidstaten.

De mkb-prioriteit die niemand claimt

Artikel 62 is het volledig lezen waard. Het vereist dat mkb-bedrijven en startups voorrangstoegang krijgen tot sandboxen en dat de deelnamevoorwaarden geen disproportionele barrieres opwerpen.

In de praktijk betekent dit:

Aanvraagprocessen moeten toegankelijk zijn voor bedrijven zonder juridische afdelingen. Een sandboxaanvraagproces dat 80 pagina’s technische documentatie en drie maanden juridische beoordeling vereist, is een “disproportionele barriere” voor een bedrijf van 50 personen. Lidstaten zijn verplicht aanvraagprocessen te ontwerpen die mkb-bedrijven daadwerkelijk kunnen voltooien.

Kosten moeten proportioneel zijn. Als een sandbox deelnamekosten in rekening brengt (sommige doen dat, de meeste niet), mogen die kosten geen barrieres opwerpen voor kleinere bedrijven. Meerdere lidstaten hebben geheel gratis sandboxprogramma’s voor mkb-bedrijven ingesteld.

Technische ondersteuning moet worden geboden. Sandboxen zijn niet simpelweg een regelgevingstoestemming. Ze moeten begeleiding bieden — operationele, technische en regelgevingsbegeleiding die het bedrijf helpt zijn AI-systeem te ontwikkelen in overeenstemming met de verordening. Voor een mkb-bedrijf dat zich geen toegewijd regelgevingscomplianceteam kan veroorloven, is deze begeleiding het meest waardevolle kenmerk van de sandbox.

Ondanks deze bepalingen zijn de vroege sandboxprogramma’s in Europa overwegend gebruikt door grote ondernemingen en goed gefinancierde startups. De Spaanse sandbox, een van de eersten die werd gelanceerd, ontving aanvragen voornamelijk van bedrijven met meer dan 250 werknemers. Het Nederlandse sandboxprogramma toonde een vergelijkbaar patroon.

Het patroon is er niet omdat sandboxen ontworpen zijn voor grote bedrijven. Het is er omdat grote bedrijven toegewijde regulatory affairs-teams hebben die nieuwe regelgevingsinstrumenten monitoren en aanvragen indienen als onderdeel van hun routine. Mkb-bedrijven hebben deze teams niet. De informatie over sandboxen, hoe aan te vragen en welke voordelen ze bieden, heeft de bedrijven die er het meest van zouden profiteren niet bereikt.

Dit is een informatiegat, geen toegangsgat. De toegang is wettelijk gegarandeerd. De informatie ontbreekt.

Wat nu operationeel is

Op dit moment, begin 2026, hebben de volgende lidstaten operationele of bijna operationele AI-regelgevingssandboxen:

Spanje lanceerde zijn sandbox in 2022 — de eerste in de EU, nog voor de AI-verordening. Het heeft twee cycli doorlopen en zit in de derde. Het programma wordt beheerd door het Staatssecretariaat voor Digitalisering en richt zich op hoog-risico AI-systemen, hoewel het aanvragen uit alle risicocategorieen accepteert. Aanvraagproces: ongeveer 20 pagina’s. Tijdlijn: testperiodes van 6 maanden.

Nederland heeft zijn sandbox onder beheer van de Autoriteit Consument en Markt (ACM) in samenwerking met de Autoriteit Persoonsgegevens (AP). Het programma richt zich op AI-systemen in consumentenmarkten en financiele dienstverlening. Opvallend vanwege bijzonder gedetailleerde regelgevingsbegeleiding tijdens de testperiode.

Frankrijk opereert via de CNIL (de nationale gegevensbeschermingsautoriteit) met specifieke focus op AI-systemen die persoonsgegevens verwerken. De Franse sandbox is bijzonder toegankelijk voor mkb-bedrijven, met een vereenvoudigd aanvraagtraject voor bedrijven met minder dan 250 werknemers.

Duitsland heeft meerdere sandboxen op federaal en deelstaatniveau. Het Federale Ministerie van Economische Zaken (BMWK) beheert een breed sandboxprogramma. Beieren en Noordrijn-Westfalen hebben sectorspecifieke sandboxen (respectievelijk productie-AI en zorg-AI). Het federale programma accepteert aanvragen in het Engels — een praktische overweging voor internationale mkb-bedrijven.

Finland opereert via Traficom en de Finnish Safety and Chemicals Agency (Tukes), met een sandboxprogramma dat opvalt door zijn technische ondersteuningscomponent — deelnemende bedrijven ontvangen directe technische mentoring over AI-veiligheid en testmethodologie.

Andere lidstaten — waaronder Denemarken, Litouwen, Oostenrijk, Malta en andere — hebben programma’s in verschillende stadia van operationele gereedheid. Tegen augustus 2026 moeten alle zevenentwintig lidstaten ten minste een operationele sandbox hebben.

De strategische afweging

Het strategische voordeel van vroeg instappen in een sandbox is drieledig:

Compliancevoordeel. Wanneer de hoog-risico bepalingen van de AI-verordening van de EU volledig van kracht worden (2 augustus 2026), zullen bedrijven die hun AI-systemen binnen een sandbox hebben ontwikkeld documentatie, regelgevingsgeschiedenis en bewaakte compliance-architectuur hebben. Bedrijven die dat niet deden, zullen compliance vanaf nul moeten opbouwen onder volledige handhaving. De compliance-inhaalkosten voor een mkb-bedrijf dat een hoog-risico AI-systeem inzet — door de sector geschat op EUR 50.000 tot EUR 200.000 afhankelijk van reikwijdte en sector — worden grotendeels vermeden door sandboxdeelname.

Kennisvoordeel. Sandboxdeelnemers leren het regelgevingskader door ermee te interacteren, niet door erover te lezen. De toezichthouders bieden interpretatierichtlijnen — hoe zij de verordening lezen, wat zij toereikend achten, waar de handhavingsprioriteiten liggen. Deze operationele kennis is nergens anders beschikbaar. Geen enkel adviesbureau heeft het. Geen enkel webinar leert het. Het bestaat alleen in de directe interactie tussen sandboxdeelnemers en de nationale bevoegde autoriteit.

Relatievoordeel. Bedrijven die sandboxen betreden, vestigen een werkrelatie met hun nationale toezichthouder voordat handhaving begint. Deze relatie heeft praktische waarde: wanneer vragen rijzen over de compliancestatus van een implementatie, heeft het bedrijf een contactpersoon. Wanneer handhavingsacties worden overwogen, heeft het bedrijf een gedocumenteerde geschiedenis van proactieve regelgevingsbetrokkenheid. Dit is geen garantie voor milde behandeling. Het is bewijs van proactieve compliance.

Het gecombineerde effect van deze drie voordelen creert een structurele kloof tussen sandboxdeelnemers en niet-deelnemers. Naarmate de regelgevingsomgeving rijpt, wordt die kloof groter.

Wat mkb-bedrijven tegenhoudt

Sandboxen zijn toegankelijk, voordelig en wettelijk geprioriteerd voor mkb-bedrijven. De barrieres gaan niet over toegang. Ze gaan over informatie.

Bewustzijn. De belangrijkste barriere is simpele onwetendheid. De overgrote meerderheid van EU mkb-bedrijven met 50-250 werknemers is niet op de hoogte van het bestaan van AI-regelgevingssandboxen. Van degenen die dat wel zijn, geloven de meesten dat sandboxen “alleen voor grote bedrijven of tech-startups” zijn. De regelgevingsinformatiepijplijn bereikt brancheorganisaties, juridische kantoren en complianceteams van grote bedrijven. Het bereikt niet de operationeel directeur van een fabrikant van 120 personen in Linz.

Waargenomen complexiteit. Mkb-bedrijven die op de hoogte zijn van sandboxen, gaan er vaak vanuit dat het aanvraagproces buitensporig complex is. Voor sommige lidstaten is deze perceptie achterhaald — vroege sandboxprogramma’s hadden complexe aanvragen, en meerdere hebben ze sindsdien vereenvoudigd. Voor andere is de perceptie juist, en heeft de lidstaat nog niet voldaan aan de eis van artikel 57(9) voor proportionele toegang. Het landschap is ongelijk.

Omgekeerde risicoperceptie. Mkb-bedrijven ervaren sandboxdeelname als risicovol — hun AI-systeem blootstellen aan regelgevingstoetsing, aandacht uitnodigen, mogelijk non-compliance ontdekken. Deze perceptie is omgekeerd. Het werkelijke risico is het tegenovergestelde: een AI-systeem ontwikkelen zonder regelgevingsinput, non-compliance ontdekken na implementatie, en handhavingsacties onder ogen zien zonder de gedocumenteerde goede-trouwgeschiedenis die sandboxdeelname biedt. De sandbox is geen blootstelling aan risico. Het is beheerste risicoreductie.

Timingverwarring. Veel mkb-bedrijven gaan ervan uit dat ze moeten wachten tot de volledige bepalingen van de AI-verordening van kracht zijn voordat ze met sandboxen in zee gaan. Dit is omgekeerd. Sandboxen zijn ontworpen voor de pre-handhavingsperiode. Ze bestaan specifiek om bedrijven te helpen zich voor te bereiden. Na volledige handhaving instappen is mogelijk maar levert minder waarde op — de compliance-architectuur zou dan al op orde moeten zijn.

Hoe je een sandbox betreedt

De praktische stappen voor een EU mkb-bedrijf:

Stap 1: Identificeer jouw nationale sandbox. De Europese Commissie houdt via het AI-bureau een lijst bij van gevestigde en geplande sandboxen. Op dit moment, begin 2026, wordt deze lijst nog bijgewerkt terwijl lidstaten hun sandboxprogramma’s afronden. Jouw nationale digitale autoriteit of gegevensbeschermingsautoriteit kan de status en het aanvraagproces voor jouw lidstaat bevestigen.

Stap 2: Definieer jouw use case. Sandboxaanvragen vereisen een specifiek AI-systeem en een specifieke use case — geen algemene “wij willen AI verkennen”-aanvraag. Hoe specifieker de use case, hoe sterker de aanvraag. “Wij ontwikkelen een classificatiesysteem voor klantvragen op basis van een gefinetuned taalmodel dat persoonsgegevens van EU-klanten verwerkt” is een haalbare aanvraag. “Wij willen AI gebruiken in ons bedrijf” is dat niet.

Stap 3: Classificeer jouw risiconiveau. De AI-verordening van de EU classificeert AI-systemen in vier risiconiveaus: onaanvaardbaar, hoog, beperkt en minimaal. Sandboxdeelname is het meest waardevol voor hoog-risicosystemen (artikel 6), waar compliancevereisten het zwaarst zijn. Maar ook systemen met beperkt en minimaal risico profiteren van regelgevingsbegeleiding, met name over transparantieverplichtingen en gegevensverwerkingsvereisten.

Stap 4: Bereid een proportionele aanvraag voor. Onder artikel 62 mag het aanvraagproces geen disproportionele barrieres opwerpen voor mkb-bedrijven. Als de sandbox van jouw nationale lidstaat documentatie vereist die je niet kunt produceren, zeg dat dan — de verordening staat aan jouw kant. Meerdere lidstaten hebben vereenvoudigde aanvraagtrajecten gecreeerd specifiek voor mkb-bedrijven met minder dan 250 werknemers.

Stap 5: Reserveer interne tijd. Sandboxdeelname is niet passief. Het vereist regelmatige interactie met de regelgevingsautoriteit — voortgangsrapportages, testresultaten, compliancedocumentatie. Voor een bedrijf van 50-250 personen vereist dit doorgaans dat een persoon 4-8 uur per week besteedt gedurende de sandboxperiode. Die persoon hoeft geen jurist te zijn. Ze moeten het AI-systeem dat getest wordt begrijpen en de werking ervan duidelijk kunnen communiceren.

Het grensoverschrijdende voordeel

Er is een dimensie van sandboxdeelname die bijzonder relevant is voor bedrijven die actief zijn in meerdere EU-lidstaten: wederzijdse erkenning.

Artikel 58 van de AI-verordening van de EU specificeert dat nationale bevoegde autoriteiten moeten samenwerken en best practices moeten delen met betrekking tot sandboxresultaten. Hoewel volledige wederzijdse erkenning van sandboxresultaten nog niet is vastgesteld (de uitvoeringshandelingen worden nog afgerond), is de richting duidelijk: sandboxdeelname in een lidstaat zal gewicht hebben bij regelgevingsinteracties met andere lidstaten.

Voor een mkb-bedrijf dat actief is in meerdere EU-markten — wat gebruikelijk is onder klanten van Bluewaves, die klanten bedienen in drie tot vijf landen — creert sandboxdeelname in een markt een regelgevingsfundament dat zich gedeeltelijk uitstrekt naar andere markten. De documentatie, de risicobeoordeling, de compliance-architectuur die binnen de sandbox is ontwikkeld — dit alles is overdraagbaar.

Dit is geen garantie van compliance in andere rechtsgebieden. Nationale bevoegde autoriteiten behouden onafhankelijke handhavingsbevoegdheid. Maar een bedrijf dat kan aantonen “wij hebben dit AI-systeem ontwikkeld binnen de Franse CNIL-sandbox, onder regelgevingstoezicht, met deze compliancedocumentatie” staat sterker in een Duits of Nederlands regelgevingsgesprek dan een bedrijf dat geen enkele regelgevingsbetrokkenheid kan aantonen.

Het grensoverschrijdende voordeel stapelt zich op: een sandboxdeelname levert compliance-activa op die relevant zijn in tot 26 andere rechtsgebieden. De investering is in een markt. Het rendement is EU-breed.

De praktische werkelijkheid

Laat me direct zijn over hoe sandboxdeelname er in de praktijk uitziet, want de formele beschrijvingen doen het bureaucratischer klinken dan het is.

In essentie is een sandbox een gestructureerd gesprek tussen jouw bedrijf en jouw nationale toezichthouder over een specifiek AI-systeem. Het gesprek heeft een begin (de aanvraag), een midden (de testperiode) en een eind (het compliancerapport). Gedurende het midden bouw je het AI-systeem met regelgevingsinput — niet regelgevingsgoedkeuring bij elke stap, maar regelgevingsbegeleiding die je helpt de compliance-architectuur in een keer goed te bouwen.

De toezichthouders waarmee ik heb samengewerkt — in Portugal, Frankrijk en Duitsland — zijn niet adversariaal. Ze doen wat toezichthouders doen in sandboxprogramma’s: bedrijven helpen de vereisten te begrijpen en institutionele kennis opbouwen over hoe de verordening van toepassing is op praktijksystemen. De sandbox is een leerproces voor beide kanten. De toezichthouder leert hoe AI-systemen in de praktijk werken. Het bedrijf leert hoe de verordening in de praktijk van toepassing is. Beide verlaten de sandbox met kennis die daarvoor niet bestond.

De formaliteit van het proces hangt af van de lidstaat. Sommige programma’s zijn sterk gestructureerd — formele aanvragen, mijlpaalbeoorderlingen, kwartaalrapportages. Andere zijn meer conversationeel — regelmatige vergaderingen, iteratieve feedback, informele begeleiding. De gemene deler is dat de betrokkenheid direct, specifiek en gericht is op jouw daadwerkelijke AI-systeem, niet op abstracte regelgevingstheorie.

Voor een mkb-bedrijf is de praktische last bescheiden: een persoon die een paar uur per week besteedt aan het regelgevingsproces. Het rendement is disproportioneel: compliance-architectuur, regelgevingsrelatie en institutionele kennis die tienduizenden euro’s zouden kosten als ze via externe consultants werden verworven.

Het venster

De periode tussen nu en 2 augustus 2026 is een venster. Na augustus gelden de volledige bepalingen, verschuiven de sandboxen van ontwikkelingsgericht naar toezichtgericht, en nemen de compliance-inhaalkosten toe.

Elke maand sandboxdeelname voor augustus is een maand compliance-architectuur gebouwd onder toezicht in plaats van zelfstandig. Elke interactie met de nationale bevoegde autoriteit voor handhaving is een interactie die niets kost behalve tijd.

De bedrijven die sandboxen nu gebruiken, zijn compliant in augustus. De bedrijven die wachten, zullen in paniek zijn.

De sandbox is gratis. De begeleiding is gratis. De voorrangstoegang is wettelijk verplicht.

De enige kosten zijn de tijd die het kost om aan te vragen. De kosten van niet aanvragen zijn de volledige compliancelast, vanaf nul opgebouwd, onder handhaving, zonder regelgevingsbegeleiding.

De sandbox is geen risico. Het niet gebruiken ervan wel.