AI Act : la Commission fixe les règles des bacs à sable réglementaires de l'IA, avec l'autorité de protection des données dans la boucle

· Par Edouard Schlumberger
👈 les autres actualités

La Commission européenne a adopté le 10 novembre 2026 le règlement d'exécution (UE) 2026/2487, publié au Journal officiel le 11 novembre. Il fixe les règles communes des bacs à sable réglementaires de l'IA prévus par l'AI Act : candidature, sélection, plan du bac à sable et rapport de sortie. Pour un DPO, un point domine : chaque plan doit dire si le système d'IA traite des données personnelles et si l'autorité de protection des données doit intervenir.

Ce que fixe le règlement d'exécution 2026/2487

Le texte est pris sur le fondement de l'article 58, paragraphe 1, de l'AI Act. Il entre en vigueur le vingtième jour suivant sa publication, soit le 1er décembre 2026, et s'applique à tous les bacs à sable créés au titre de l'article 57 de l'AI Act.

  • Éligibilité : la candidature vient d'un fournisseur ou d'un fournisseur potentiel, le cas échéant avec des déployeurs. Elle porte sur un système d'IA pas encore mis sur le marché, sur un système qui fera l'objet d'une modification substantielle, ou sur un système devenu à haut risque par la façon dont il a été mis en service (art. 3).
  • Sélection : au moins cinq critères, dont les difficultés réglementaires à lever, la maturité du projet et son caractère innovant. Réponse au plus tard trois mois après le dépôt d'un dossier complet, avec un droit de recours (art. 3, § 3 et § 7).
  • Coût : accès prioritaire et gratuit pour les PME et les jeunes pousses, hors coûts exceptionnels annoncés à l'avance. Les autres entreprises peuvent être facturées au coût réel (art. 2).
  • Sortie : une preuve écrite et un rapport de sortie, remis au plus tard 45 jours ouvrables après la fin de la participation, reconnus par les autorités de surveillance du marché et les organismes notifiés de tous les États membres (art. 6).

Le considérant 6 attend au moins un bac à sable national dans chaque État membre au plus tard le 2 août 2027. La version de 2024 de l'AI Act (art. 57, § 1) visait le 2 août 2026.

Pourquoi c'est important pour un DPO

Le plan du bac à sable, convenu entre le fournisseur et l'autorité compétente, doit indiquer si le système d'IA suppose un traitement de données à caractère personnel et s'il faut faire intervenir l'autorité chargée de la protection des données (art. 5, § 2, e). Selon le considérant 11, ces autorités sont associées au bac à sable et supervisent les traitements liés au développement, à l'entraînement et aux essais. En France, la répartition des rôles entre autorités est détaillée dans notre guide sur les autorités compétentes de l'AI Act.

L'article 59 de l'AI Act autorise, dans un bac à sable, la réutilisation de données collectées à d'autres fins, mais seulement pour des systèmes d'IA d'intérêt public (santé, environnement, énergie, transports et infrastructures critiques, administration publique) et sous des conditions cumulatives : données nécessaires faute de pouvoir utiliser des données anonymisées ou synthétiques, environnement séparé et isolé, aucune décision prise à l'égard des personnes, suppression en fin de participation. Il exige aussi un suivi des risques élevés au sens de l'article 35 du RGPD.

Deux limites sont écrites noir sur blanc. La preuve écrite et le rapport de sortie n'ont pas le statut d'une déclaration de conformité au sens de l'article 47 de l'AI Act (art. 6, § 2 et § 5). Et les participants restent responsables du respect du droit de l'Union (art. 2, § 6) : l'article 57, § 12, de l'AI Act écarte les amendes au titre de l'AI Act pour qui suit le plan de bonne foi, pas la responsabilité pour un préjudice causé à des tiers.

Ce que ça change pour les organisations

  • Recenser les projets où l'organisation est fournisseur d'un système d'IA, ou s'apprête à modifier substantiellement un système existant : ce sont les seuls éligibles. Notre guide de conformité AI Act aide à qualifier les rôles.
  • Pour un projet candidat qui traite des données personnelles, préparer en amont la fiche de registre, la base légale et l'analyse d'impact : le plan devra en rendre compte. Voir notre méthode pour réaliser une AIPD en cinq étapes.
  • Désigner dans le plan, dès le départ, les informations confidentielles (art. 5, § 3) : faute de mention, l'autorité peut publier les conclusions non confidentielles du rapport de sortie, même sans l'accord du participant (art. 6, § 8).
  • Ne pas présenter le rapport de sortie comme une attestation de conformité, ni en interne, ni auprès des clients.

Ce que Leto en pense

Le bac à sable n'est pas une zone hors RGPD : c'est un traitement supervisé, qui demande la même documentation qu'un projet classique, avec un régulateur en face dès le premier jour. Les DPO qui tiennent déjà un registre et des AIPD à jour sur leurs projets d'IA arriveront prêts, dans un calendrier de l'AI Act déjà remanié par l'accord sur l'omnibus numérique. Pour structurer cette documentation IA et RGPD au même endroit, voir une démo de Leto.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo