Conformité · IA · Août 2026 · ~12 min de lecture

Espace contrôlé de tests IA en Espagne : comment votre entreprise peut participer

Pour participer au sandbox IA espagnol, il faut attendre qu'une autorité compétente publie un appel à candidatures et soumettre une demande incluant le système d'intelligence artificielle que vous souhaitez tester. Deux cadres coexistent actuellement : l'environnement pilote du Décret royal 817/2023, dont les appels sont approuvés par résolution du Secrétariat d'État à la Numérisation et à l'Intelligence Artificielle, et l'espace contrôlé de tests prévu à l'article 57 du Règlement (UE) 2024/1689 (l'EU AI Act), qui sera géré en Espagne par l'AESIA une fois que la loi de gouvernance de l'IA sera adoptée — encore en cours d'examen parlementaire. Ce guide explique ce qu'est chaque dispositif, ce qu'une entreprise y gagne, qui peut y entrer et comment préparer la candidature.

Qu'est-ce exactement que le sandbox IA espagnol

Un espace contrôlé de tests (terme officiel en espagnol ; « sandbox » est l'appellation courante) est un environnement supervisé par une autorité publique dans lequel une entreprise développe, entraîne, teste et valide un système d'IA innovant avant sa mise sur le marché ou sa mise en service. L'article 57.5 de l'EU AI Act le définit ainsi : un environnement contrôlé favorisant l'innovation sur une période limitée, conformément à un plan spécifique convenu entre le fournisseur et l'autorité compétente.

Le sandbox n'est pas une zone hors droit. Les pouvoirs de surveillance des autorités restent intacts à l'intérieur de l'environnement (article 57.11), et si pendant les tests apparaît un risque considérable pour la santé, la sécurité ou les droits fondamentaux qui ne peut être atténué, l'autorité peut suspendre le projet ou exclure le participant.

Ce n'est pas non plus une formalité décorative. Le plan de tests est négocié avec l'autorité, la participation est limitée dans le temps à la complexité du projet (prorogeable selon l'article 58.2) et à la sortie, l'entreprise reçoit une documentation ayant des effets juridiques réels.

Base juridique : du Règlement européen au Décret royal espagnol

Le cadre européen figure aux articles 57 à 59 de l'EU AI Act, dans le chapitre consacré aux mesures de soutien à l'innovation. L'article 57 oblige chaque État membre à disposer d'au moins un espace contrôlé de tests à l'échelle nationale ; l'article 58 renvoie à des actes d'exécution de la Commission pour les détails d'admission, de fonctionnement et de sortie ; l'article 59 régit un cas particulier de réutilisation de données personnelles à l'intérieur de l'environnement.

L'Espagne a anticipé le Règlement. Le Décret royal 817/2023, du 8 novembre (BOE du 9 novembre 2023, entré en vigueur le lendemain), a créé un espace contrôlé de tests pour pratiquer le respect de ce qui n'était alors qu'une proposition de Règlement européen. L'organe compétent est le Secrétariat d'État à la Numérisation et à l'Intelligence Artificielle, et les appels à candidatures sont approuvés par résolution de son titulaire (article 6.1 du décret royal). Il s'agit d'une norme avec date de caducité : sa disposition finale lui donne une durée maximale de trente-six mois à compter de l'entrée en vigueur, ou jusqu'à ce que le Règlement européen soit applicable en Espagne.

Le relais sera pris par le projet de loi de gouvernance de l'intelligence artificielle (dossier 121/000096 du Congrès des députés). Son chapitre III réglemente les espaces contrôlés de tests : il confie à l'AESIA le sandbox national obligatoire de l'article 57.1 du Règlement, permet à d'autres autorités compétentes de créer des sandboxes supplémentaires dans leur domaine et abroge expressément le Décret royal 817/2023.

La pièce la plus récente est le Règlement (UE) 2026/1744, dit Omnibus numérique sur l'IA, en vigueur depuis le 27 juillet 2026. Il modifie les articles 57, 58 et 60 de l'EU AI Act, avec trois changements majeurs :

1. Reporte la date limite du sandbox national au 2 août 2027 (auparavant fixée au 2 août 2026).
2. Habilite le Bureau IA de la Commission à créer un espace contrôlé de tests à l'échelle de l'Union, avec accès prioritaire pour les PME et les startups.
3. Permet d'intégrer le plan d'essai en conditions réelles dans le plan du sandbox lui-même, pour éviter la duplication de démarches.

Ce que votre entreprise y gagne

La liste des avantages n'est pas théorique — chacun a son article de référence.

Orientation réglementaire directe. À l'intérieur du sandbox, l'autorité compétente guide sur la manière de respecter les exigences du Règlement et supervise l'identification des risques et l'efficacité des mesures d'atténuation (articles 57.6 et 57.7). Pour une PME qui ne peut pas se payer un département réglementaire, avoir l'autorité à la table pendant le développement est un moyen de réduire l'incertitude difficile à obtenir autrement.

Rapport de sortie avec effets réels. À la fin, l'autorité remet un rapport de sortie indiquant les activités menées et leurs résultats, et, si le fournisseur le demande, une attestation écrite de ce qui a été accompli avec succès. L'article 57.7 impose aux autorités de surveillance du marché et aux organismes notifiés de tenir compte positivement de cette documentation pour accélérer l'évaluation de conformité « dans une mesure raisonnable ». Ce n'est pas un certificat de conformité, mais c'est un actif documentaire qui pèse.

Protection contre les amendes. Tant que le participant respecte le plan convenu et suit de bonne foi les orientations de l'autorité, aucune amende administrative pour infraction au Règlement ne lui sera imposée (article 57.12). La bonne foi est la condition qui soutient tout le mécanisme.

Gratuité pour les PME. L'article 58.2 exige que l'accès soit gratuit pour les PME, y compris les startups, sans préjudice de coûts exceptionnels que l'autorité pourrait récupérer de manière juste et proportionnée. Le même article impose que les procédures soient simples et compréhensibles, précisément pour ne pas exclure les entreprises disposant de faibles capacités juridiques et administratives.

Effets dans toute l'Union. La participation à un sandbox d'un État membre doit être reconnue mutuellement et uniformément, et produire les mêmes effets juridiques dans toute l'UE (article 58.2, lettre g). Tester en Espagne vaut pour vendre en France.

Services préalables au déploiement. L'article 58.3 prévoit pour les participants, notamment les PME, des services tels que l'aide à la documentation de normalisation et certification ou l'accès à des installations d'essai et à des centres européens d'innovation numérique.

Qui peut participer (et qui ne le peut pas)

Peuvent soumettre une candidature les fournisseurs et fournisseurs potentiels de systèmes d'IA : quiconque développe un système pour le mettre sur le marché sous son nom ou sa marque, ou envisage de le faire. Il n'est pas nécessaire d'y aller seul : l'article 58.2, lettre b, admet des demandes en association avec des responsables du déploiement et d'autres tiers, par exemple le client qui va utiliser le système ou un centre de recherche.

Les critères d'admissibilité et de sélection doivent être transparents et équitables, et l'autorité doit communiquer sa décision dans un délai de trois mois à compter de la demande. Les PME et startups bénéficient d'un double avantage : gratuité dans les sandboxes nationaux et accès prioritaire dans le futur sandbox du Bureau IA à l'échelle de l'Union.

Qui est exclu ? Le sandbox est conçu pour les systèmes avant leur mise sur le marché ou leur mise en service. Si votre système est déjà commercialisé et que vous avez besoin de régulariser sa conformité, la voie n'est pas le sandbox mais la mise en conformité ordinaire. Ce n'est pas non plus la voie pour des systèmes sans composante innovante réelle : la sélection valorise précisément cela.

Comment entrer : appel à candidatures et demande étape par étape

La procédure concrète sera fixée par chaque appel à candidatures (et, à l'échelle européenne, par les actes d'exécution que la Commission doit adopter en vertu de l'article 58). Sur la base de ce qui est déjà publié, le parcours type est le suivant :

1. Surveillez le canal officiel. Dans le cadre du Décret royal 817/2023, les appels sont approuvés par résolution du Secrétariat d'État à la Numérisation et à l'IA. Lorsque la loi de gouvernance sera adoptée, la référence passera à l'AESIA. Le nouvel espace de l'article 57 n'a pas encore fait l'objet d'un appel à candidatures.
2. Préparez le dossier avant l'ouverture des délais. Les délais des appels sont souvent courts par rapport au travail de documentation. Établissez un inventaire des systèmes d'IA, la classification des risques de chacun et une ébauche de documentation technique du système candidat.
3. Définissez avec qui vous vous présentez. Si le système sera exploité par un client précis, envisagez une demande conjointe fournisseur plus responsable du déploiement : le cadre européen le prévoit expressément.
4. Soumettez la demande et attendez la décision. Le cadre européen fixe un maximum de trois mois pour que l'autorité réponde.
5. Négociez le plan de l'espace contrôlé. C'est le document qui gouverne toute la participation : ce qui est testé, avec quelles garanties, pendant combien de temps. Si le projet inclut des tests en conditions réelles, après l'Omnibus le plan de ces tests peut être intégré dans le plan du sandbox lui-même.
6. Exécutez avec supervision et documentez tout. Ce qui est documenté pendant la participation alimente le rapport de sortie, qui est l'actif que vous emportez.
7. Clôturez avec le rapport de sortie et, si cela vous intéresse, demandez également l'attestation écrite des activités accomplies avec succès.

Ce qui se passe à l'intérieur du sandbox

La participation n'est pas un simple enregistrement. L'autorité oriente, supervise et peut intervenir. L'article 57.11 lui permet de suspendre temporairement ou définitivement les tests si elle détecte des risques considérables sans atténuation possible, en en informant le Bureau IA. La durée s'adapte à la complexité et à l'échelle du projet et peut être prorogée.

L'environnement peut accueillir des tests en conditions réelles supervisées, c'est-à-dire avec des utilisateurs et des données réelles, dans le cadre des garanties prévues dans le plan. En contrepartie de transparence : les autorités publient des rapports annuels sur le fonctionnement de leurs sandboxes, avec les meilleures pratiques, les incidents et les leçons apprises (article 57.16), et le Bureau IA tient une liste publique des espaces existants et prévus dans l'Union.

Responsabilité et protection des données à l'intérieur de l'environnement

Il convient de dissiper un malentendu fréquent : le sandbox atténue le risque de sanctions, pas la responsabilité civile. L'article 57.12 l'énonce sans ambiguïté : les participants répondent, conformément au droit de l'Union et national, de tout préjudice causé à des tiers à la suite de l'expérimentation. Ce qui disparaît, si l'on agit de bonne foi et conformément au plan, ce sont les amendes administratives du Règlement.

En matière de données personnelles, l'article 59 ouvre une porte étroite : réutiliser des données collectées licitement à d'autres fins, uniquement pour développer, entraîner et tester dans le sandbox des systèmes d'IA servant un intérêt public essentiel dans des domaines énumérés (santé et sécurité publiques, environnement, durabilité énergétique, transports et infrastructures critiques, et efficacité de l'administration publique). Les conditions sont cumulatives et exigeantes : environnement de traitement fonctionnellement séparé et protégé, interdiction que les données générées sortent du sandbox, suppression à la fin, registres de traitement et publication d'une synthèse du projet sur le site de l'autorité. Par ailleurs, lorsque des données personnelles sont en jeu, les autorités de protection des données sont associées au fonctionnement de l'espace (article 57.10) — en Espagne, l'AEPD aura son mot à dire.

Sandbox espagnol et EU AI Act : dates qui comptent

• 9 novembre 2023 : publication au BOE du Décret royal 817/2023 ; entrée en vigueur le lendemain.
• 27 juillet 2026 : entrée en vigueur du Règlement (UE) 2026/1744 (Omnibus numérique sur l'IA), qui modifie les articles 57, 58 et 60.
• 2 août 2026 : c'était la date limite originale de l'article 57.1 pour que le sandbox national soit opérationnel. Elle ne s'applique plus : l'Omnibus l'a repoussée six jours avant son échéance.
• 2 septembre 2026 : fin, pour l'heure, du délai d'amendements du projet de loi de gouvernance de l'IA au Congrès des députés. Un délai prorogé peut l'être à nouveau.
• Novembre 2026 : horizon de la durée maximale de trente-six mois du Décret royal 817/2023 (ou avant, si le Règlement européen devient applicable en Espagne sur ce qui concerne l'environnement).
• 2 août 2027 : nouvelle date limite pour que le sandbox national de l'article 57.1 soit opérationnel.

Si votre entreprise envisage le sandbox comme voie d'entrée sur le marché, la fenêtre de préparation est précisément celle-ci : celle qui va de l'adoption de la loi espagnole à la mise en place de l'espace de l'AESIA.

Questions fréquentes