Vormvoorstel Nederlandse “regulatory sandbox” onder de AI-verordening

Publicatie | 25-03-2025

Op basis van de uitkomsten van de verkenning 2023 en de pilot 2024

Datum: 12 maart 2025

De AI-verordening is productregelgeving die eisen aan verschillende categorieën van AI-systemen stelt, afhankelijk van het risico. Voordat een AI-systeem op de markt mag worden gebracht, moet aan deze eisen voldaan worden. De aankomende AI-verordening verplicht lidstaten tot het oprichten van ten minste één AI regulatory sandbox vanaf augustus 2026 (zie ook Eindadvies inrichting AI-toezicht AP & RDI). Binnen een regulatory sandbox bieden toezichthouders ondersteuning aan aanbieders van AI-systemen die tijdens de ontwikkeling vragen hebben over hoe zij aan de AI-verordening kunnen voldoen zodat zij hun product conform de regels op de markt kunnen brengen. De uitleg van toezichthouders moet de regels uit de AI-verordening verhelderen zodat het voor aanbieders makkelijker wordt om hieraan te voldoen.  Daarnaast krijgen toezichthouders beter inzicht in innovatieve AI-systemen en de vraagstukken die AI-aanbieders tegenkomen. Toezichthouders stellen zich binnen de sandbox innovatievriendelijk en flexibel op, maar er is geen mogelijkheid om regels buiten werking te stellen.

Dit stuk is een vormvoorstel voor de Nederlandse invulling van de regulatory sandbox, gepubliceerd namens de AP en RDI. Het voorstel beschrijft de gewenste uitgangspunten van de NL sandbox en een aangewezen procesinrichting. Het is het resultaat van een intensieve samenwerking tussen verschillende toezichthouders en ministeries, onder coördinatie van het ministerie Economische Zaken, de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI). Binnen deze samenwerking is een pilot doorlopen waarbinnen 40 vragen van 25 verschillende organisaties zijn doorlopen, en zijn er gesprekken gevoerd met stakeholders uit het Nederlandse AI-ecosysteem. Dit gepubliceerde vormvoorstel betreft een vereenvoudigde en ingekorte versie van het eindrapport dat voor de departementen is opgesteld.

Het doel van dit voorstel is om een stevige basis te leggen voor de verdere samenwerking en afstemming die nodig is om uiterlijk in augustus 2026 met een definitieve sandbox te starten.

De voorgestelde vorm sluit nauw aan op het Nederlandse eindadvies inrichting AI-toezicht (Artikel 58(1) AI-verordening). Ook is in het voorstel rekening gehouden met de verschillende toezichtsrollen die uit de verordening voortvloeien. In de Nederlandse context is het te verwachten dat de uiteindelijke uitvoeringswet verschillende markttoezichthouders aanwijst voor de verschillende deelgebieden in het toezicht op naleving van de AI-verordening. Om de samenwerking te bevorderen wordt bovendien verwacht dat hierbij ook coördinerende markttoezichthouders worden aangewezen. Tot slot heeft het AI-toezicht vaak een overlap met bestaand sectoraal, domeinspecifiek en grondrechtentoezicht, die daarom ook voor een rol binnen het AI-toezicht kunnen worden aangewezen.

Dit Nederlandse voorstel is opgesteld terwijl de uitvoeringshandelingen (implementing acts) voor de sandbox vanuit de Europese Commissie nog niet bekend zijn. Deze uitvoeringshandelingen zullen principes uiteenzetten over de selectiecriteria, procedures voor aanmelding en deelname en de voorwaarden die van toepassing zijn op deelnemers. NL is via de AI Board betrokken bij deze uitvoeringshandelingen en zal langs de lijnen van de uitgangspunten in dit voorstel hieraan bijdragen. Mochten deze uitvoeringshandelingen desondanks gevolgen hebben voor bepaalde onderdelen van dit voorstel, moet de definitieve sandbox daarmee in lijn gebracht.

1. Voorgestelde uitgangspunten NL Sandbox

De regulatory sandbox onder de AI-verordening moet bijdragen aan het verbeteren van rechtszekerheid, innovatie en betere wetgeving, en de ontwikkeling van good practices. Het is belangrijk dat dit nieuwe instrument waarin toezichthouders en AI-ontwikkelaars elkaar treffen goed functioneert, en dat iedereen vanuit zijn eigen rol bijdraagt aan de doelen van de sandbox. Daarom worden de volgende uitgangspunten voorgesteld voor de NL sandbox:

1. Elke toezichthouder onder de AI-verordening doet mee aan de NL sandbox (Gelet op de onafhankelijkheid van de rechtspraak en de mogelijke gevolgen hiervan voor het markttoezicht op de AI-verordening is het mogelijk dat voor de rechtspraak een uitzonderlijk regime moet worden opgezet. Hier kan tijdens het schrijven van dit voorstel echter nog geen verdere duiding over worden gegeven.). De AI-verordening raakt een groot aantal sectoren- en domeinen, waardoor een brede groep toezichthouders straks een rol in het toezicht zal krijgen (zie ook Eindadvies toezicht op AI: sectoraal en centraal gecoördineerd | Autoriteit Persoonsgegevens). Het voorstel is om één regulatory sandbox op te richten waar alle relevante toezichthouders (die toezicht houden op aanbieders van AI op basis van de AI-verordening) aan deelnemen, zodat vragen uit alle sectoren op een efficiënte manier beantwoord worden. Algemene vragen over de AI-verordening worden centraal opgepakt en vragen waarvoor specifieke expertise nodig is worden door de relevante toezichthouder beantwoord.
2. Nederland krijgt één multi-sectorale sandbox. Alle relevante (markttoezicht)autoriteiten bij de AI-verordening zijn bij deze sandbox betrokken. Toegang tot de sandbox wordt zodoende verleend via één toegangspunt. De sandbox en haar processen moeten gemakkelijk toegankelijk zijn voor de samenleving. Door betrokkenheid van alle relevante toezichthouders hoeven AI-aanbieders niet zelf uit te zoeken met wie contact moet worden opgenomen. Door deze opzet komen toezichthouders ook gezamenlijk tot uitleg van de AI-verordening.
3. Rollen binnen de sandbox staan in verhouding met de rol die een toezichthouder in het toezicht op de AI-verordening heeft. De rol die een toezichthouder in het kader van de AI-verordening vervult, is leidend voor zijn rol binnen de sandbox. Toezichthouders met een coördinerende rol in het toezicht op de AI-verordening vervullen die rol ook in de sandbox. Markttoezichthouders* die verantwoordelijk zijn voor het toezicht op een specifiek product of toepassingsgebied, zullen in de sandbox ook verantwoordelijk zijn voor de beantwoording van vragen over dit product of toepassingsgebied. Toezichthouders die in het toezicht aanvullende horizontale- of domeinspecifieke perspectieven inbrengen, zullen dit ook bij de sandbox inbrengen.
   * De autoriteit die de activiteiten verricht en maatregelen neemt als bedoeld in Verordening (EU) 2019/1020. Met het begrip ‘markttoezichtautoriteit’ wordt aangesloten bij de terminologie uit artikel 3, punt 26 van de AI-verordening. In dit document verwijst het tevens naar de ‘nationale bevoegde autoriteiten’ zoals bedoeld in afdeling VI van de AI-verordening, die belast zullen worden met het opzetten en opereren van een sandbox.
4. De NL sandbox richt zich op ondersteuning met betrekking tot naleving van de AI-verordening. AI-aanbieders blijven echter zelf verantwoordelijk voor de uiteindelijke productconformiteit. De NL sandbox richt zich primair op ondersteuning op het gebied van regelgeving, omdat dit aansluit bij de rollen van toezichthouders en een efficiënte besteding van middelen is. Deze ondersteuning bevat ook het bieden van juridisch en/of technisch advies bij activiteiten die een aanbieder uitvoert om een AI-systeem aan de eisen uit de AI-verordening te laten voldoen, zoals testen of valideren. Toezichthouders adviseren, maar helpen aanbieders niet om het AI-systeem daadwerkelijk aan de eisen te laten voldoen, omdat de aanbieder altijd zelf verantwoordelijk blijft om de compliance van het AI-systeem met de AI-verordening te realiseren (Naast het feit dat zulke vergaande ondersteuning niet past bij de rol van toezichthouders, zou dit ook voor concurrentie kunnen zorgen met bestaande private juridische dienstverlening). De NL Sandbox biedt ook geen vorm van certificering.
5. Toezichthouders helpen ontwikkelaars vanuit hun expertise en bieden zelf geen fysieke of technische infrastructuur aan. Het opzetten van een dergelijke infrastructuur is kapitaalintensief, beïnvloed de selectie en helpt slechts een beperkt aantal partijen. De AI-verordening verplicht het ook niet om dit aan te bieden. Bovendien zijn er al meerdere bestaande instrumenten die deze diensten aanbieden, zoals de Testing and Experimentation Facilities (zie uitgangspunt 6).
6. De sandbox moet zo goed als mogelijk linken met instrumenten die in andere behoeften van AI-aanbieders voorzien, maar staat hier zelf los van. De sandbox voorziet in een specifieke rol ten opzichte van andere innovatie bevorderende instrumenten zoals de Testing and Experimentation Facilities of de European Digital Innovation Hubs. Ook kan verder verkend worden in hoeverre deze instrumenten bepaalde diensten kunnen verlenen die toezichthouders zelf niet aanbieden, zoals technische of fysieke infrastructuur. Het is belangrijk om dit naar de buitenwereld duidelijk te communiceren en waar nodig door te verwijzen naar andere instrumenten.
7. De NL sandbox beantwoordt ook vragen die niet in aanmerking komen voor een intensief traject. De minimale vereiste vanuit de AI-verordening is dat AI-aanbieders een intensief sandboxtraject met een toezichthouder doorlopen, waarin toezichthouders en vraagstellers elkaar meermaals treffen om vragen verder uit te diepen. Zo’n traject is geschikt voor vragen die complex genoeg zijn om een ruime tijdsbesteding te rechtvaardigen. Tijdens de verkenning en pilot is echter geconcludeerd dat er (a) bij organisaties ook een grote behoefte is om antwoorden op vragen te krijgen die niet in aanmerking komen voor een sandbox traject, (b) deze beantwoording ook nuttig is voor toezichthouders vanuit hun algemene voorlichtingsrol en om te weten welke vragen er leven en (c) de extra tijd die dit kost te rechtvaardigen is vanwege de extra opbrengst voor vraagstellers, toezichthouders en het bredere AI-ecosysteem. Verder is het om te bepalen welke vragen relevant zijn voor een intensief sandbox-traject, voor markttoezichtautoriteiten sowieso al nodig een selectie uit te voeren. De NL sandbox zal daardoor ook een deel van de ‘niet-intensief-sandboxtraject’ vragen beantwoorden. Hiervoor is het wel van belang dat de antwoorden op deze vragen waar mogelijk publiekelijk teruggekoppeld worden. Dit zal bijdragen aan de verantwoorde ontwikkeling van AI  en het voldoen aan de wet voor AI-aanbieders vergemakkelijken. Bovendien sluit de NL Sandbox hierdoor aan bij de bredere doelen van (toekomstig) markttoezichtautoriteiten rondom het geven van voorlichting over de AI-verordening.
8. Vragen kunnen doorlopend worden ingediend in de Nederlandse sandbox, maar het is daarbij van belang om blijvend te kunnen voldoen aan verwachtingen. Als de bij de toezichthouders beschikbare capaciteit wordt overvraagd, moet het mogelijk zijn om inkomende vragen te limiteren door de sandbox bijvoorbeeld tijdelijk te sluiten, of een vraaglimiet in te stellen.
9. Vanuit de sandbox wordt duidelijkheid gegeven binnen welke termijn vragen beantwoord kunnen worden, al naar gelang de complexiteit. Aan deze ingeschatte termijnen kunnen geen rechten worden ontleend. Het Kernteam zal enkele indieningsvereisten stellen om doeltreffende beantwoording van vragen richting vraagstellers te kunnen garanderen (Hier worden de bij de sandbox betrokken toezichthouders bij mee genomen. Daarnaast is dit afhankelijk van de uitvoeringshandelingen van de Europese Commissie.)
10. De Nederlandse sandbox is behoefte gestuurd. Bij de start van de sandbox wordt zoveel mogelijk opengehouden welk soort vragen ingestuurd kunnen worden, en hoe complex deze vragen zijn.
11. De sandbox richt zich op voorafgaande ondersteuning bij naleving van de AI-verordening. Vragen over andere wetgeving worden in beginsel alleen meegenomen indien ze relevant zijn in de context van de AI-verordening, of als de AI-verordening daartoe verplicht (Dit is het geval voor de ondersteuning in de sandbox bij naleving van het gegevensbeschermingsrecht, waarvoor specifieke extra ruimte moet worden ingericht, in lijn met de hiertoe in de AI Act opgenomen verplichting).
12. Na verloop van tijd kan de inrichting van de sandbox zich aanpassen aan de behoefte en expertise van de markt en toezichthouders. Na een eerste operationele periode wordt de werking van de sandbox (periodiek) geëvalueerd en, zo nodig, aangepast. Naar verwachting ontwikkelen behoeften en expertise zich aan beide kanten, en de sandbox kan op basis daarvan worden aangepast.

2. Voorgestelde procesinrichting NL sandbox

Op basis van bovenstaande uitgangspunten en aanvullende inzichten stellen de toezichthouders het in dit hoofdstuk omschreven proces voor, bestaande uit drie pijlers: een (i) Kernteam voor de coördinatie en beantwoording van relatief eenvoudige vragen, (ii) een deskundigenpool voor de beantwoording van expertvragen, en (iii) sandboxtrajecten waarin toezichthouders en vraagstellers elkaar meermaals treffen om vragen verder uit te diepen. Binnen dit proces kent de gehele NL sandbox zes fasen:

1. Pre-aanmelding
   De Nederlandse sandbox voorziet via een loket in de mogelijkheid om vragen in te sturen.
2. Aanmelding, selectie en eerste beantwoording
   Vragen komen binnen bij de toezichthouders, triage vindt plaats om verschillende soorten vragen te identificeren, en eenvoudigere vragen worden schriftelijk afgedaan.
3. Voorbereiding
   Vraagsteller en de relevante toezichthouder(s) bereiden een intensief sandboxtraject voor.
4. Deelname sandboxtraject
   Vraagsteller en de relevante toezichthouder(s) gaan het traject aan om een vraag over naleving van de AI-verordening verder uit te diepen.
5. Evaluatie & afronding
   De toezichthouder stelt in samenspraak met de aanbieder het einddocument met de leerresultaten op en neemt een over de vorm van openbaarmaking van de resultaten.
6. Post-deelname
   De toezichthouders maken de leerresultaten inzichtelijk en deelbaar waar mogelijk.

Schematisch weergegeven ziet het voorstel voor de NL sandbox er zoals in onderstaande figuur uit.

In het vervolg van dit hoofdstuk worden de fases verder toegelicht. Onderstaand voorbeeld (Box 1) geeft reeds een beeld van de wijze waarop een vraag binnen de NL sandbox kan worden opgepakt.

Voorbeeld: hoe wordt een vraag in de verschillende sandbox-fases opgepakt? Een AI-ontwikkelaar maakt een AI-systeem voor een scheepsmaatschappij om voorspellingen over het onderhoud van hun schepen te kunnen doen. Pre-aanmelding De ontwikkelaar dient bij het loket een vraag in. Het loket beoordeelt of de vraag volledig is, over de AI-verordening gaat en of het antwoord niet al publiekelijk beschikbaar is. Als het een relevante vraag is, stuurt het loket deze door naar het Kernteam. Aanmelding, selectie & eerste beantwoording Het Kernteam kijkt of zij de vraag zelf kunnen beantwoorden omdat deze algemeen is, dat sectorinhoudelijke kennis nodig is om de vraag te beantwoorden of dat de vraag interessant is voor een sandboxtraject. Indien zij de vraag  classificeren als expertvraag, benaderen zij de relevante markttoezichthouder en domein- of sectorspecifieke toezichthouder(s). In dit geval benadert het Kernteam hiervoor de Inspectie Leefomgeving en Transport (ILT). De ILT kan de vraag vervolgens zelf beantwoorden en hiervoor, indien nodig, via het Kernteam contact opnemen met de vraagsteller voor verduidelijking. De ILT formuleert de beantwoording schriftelijk waarna het Kernteam de beantwoording deelt met de vraagsteller. Voorbereiding en deelname sandboxtraject, evaluatie en afronding  & post-deelname Indien de vraag geschikt wordt geacht voor een sandbox-traject, betrekt het Kernteam de relevante toezichthouder(s) (in dit geval in ieder geval de ILT) en wordt er contact opgenomen met de vraagsteller. Vervolgens zullen zij gezamenlijk, aan de hand van een plan van aanpak, een intensief sandbox traject uitvoeren. Achteraf worden de geleerde lessen vastgelegd in een eindverslag.

Box 1: Voorbeeld proces vraag regulatory sandbox

1. Pre-aanmelding

Deze (loket)fase dient ertoe dat AI-aanbieders de Nederlandse sandbox en begeleidende informatie kunnen vinden. Er is een website met informatie over de sandbox, de AI-verordening, alle reeds beschikbare richtsnoeren en beschikbare FAQ’s. Deze website (het loket) wordt niet per se beheerd door de toezichthouders, en past mogelijk bij een uitvoeringsorganisatie. Toezichthouders verwijzen ook via hun eigen communicatiekanalen door naar de sandbox. Daarnaast wordt de sandbox gepromoot om een ​​divers scala aan stakeholders te betrekken. Deze activiteiten zijn gericht op het vergroten van de bekendheid van de sandbox en deelname van een breed spectrum aan ontwikkelaars, met extra aandacht voor MKB'ers en start-ups.

Ook het insturen van vragen door AI-aanbieders via de website valt onder de pre-aanmelding fase. De vragen komen namelijk niet direct voor beantwoording bij de toezichthouders binnen. Eerst kunnen herhaalvragen, of vragen die evident niet binnen de NL sandbox passen er nog uit worden gefilterd. Dit zijn bijvoorbeeld vragen die over andere wetgeving gaan of niet duidelijk genoeg gerelateerd zijn aan specifieke AI-toepassing(en) die worden ontwikkeld. Vragen die wel relevant zijn, worden naar het Kernteam van toezichthouders doorgestuurd.

Voor vraagstellers zijn in principe geen financiële kosten verbonden aan het insturen van vragen en het doorlopen van een intensief sandboxtraject. Om behandeld te worden moet een vraag wel aan bepaalde indieningsvereisten voldoen. Want alhoewel de insteek is om de sandbox laagdrempelig te houden, zijn enkele minimumvereisten nodig om de kwaliteit en efficiëntie van de sandbox te borgen, zie box 2.

2. Aanmelding, selectie en eerste beantwoording

Vragen komen via het loket binnen bij het Kernteam, waarin de coördinerende toezichthouders plaatsnemen. Kenmerkend voor de NL sandbox is de uitgebreidheid van de aanmelding en selectie fase, waarbinnen de vragen die door het loket zijn gefilterd, maar die niet in aanmerking komen voor een intensief sandboxtraject, alsnog schriftelijk worden beantwoord door de toezichthouders (zie figuur 1 voor een schematische weergave). Wanneer vragen binnenkomen bij het Kernteam, verzorgt dit team een direct antwoord op vragen die geschikt zijn voor eenvoudige beantwoording. Bij geen bezwaar door andere betrokken toezichthouders gaat het antwoord terug naar de vraagsteller. Soms blijkt een vraag echter niet geschikt voor directe beantwoording, dit geldt voor twee soorten vragen:

1. Expertvragen: Sommige vragen behoeven meer tijd of sector- of domeinspecifieke kennis. Dit kan door experts bij aangehaakte toezichthouders te raadplegen. Expertvragen worden vervolgens nog steeds volledig schriftelijk afgedaan. Contact met de vraagsteller kan onderdeel zijn van het beantwoordingsproces.
2. Sandboxtrajectvragen: Sommige vragen zijn dermate complex en maatschappelijk relevant dat het waardevol is deze te beantwoorden binnen een sandboxtraject. De vraag wordt dan in meerdere sessies met de vraagsteller besproken en uitgewerkt. Hiervoor in aanmerking komende vragen gaan door naar de in het volgende onderdeel beschreven fase voorbereiding.

Een expertvraag kan tijdens de behandeling toch geschikt blijken voor verdere uitdieping in een sandboxtraject. Als dat geval gaan de toezichthouders hierover in gesprek met elkaar en de vraagsteller. Verder kunnen beantwoorde schriftelijke vragen later gebruikt worden om in geanonimiseerde vorm via het loket te publiceren, bijvoorbeeld door er FAQ’s van te maken.

Het proces binnen de fase aanmelding, selectie en eerste beantwoording is een vorm van triage door het Kernteam dat volgens een vast ritme bij elkaar komt. Vragen die niet in aanmerking komen voor een sandboxtraject worden geïdentificeerd en klaargezet voor schriftelijke behandeling. Vragen die wél in aanmerking komen voor een intensiever sandboxtraject worden ook geselecteerd. Binnen de triage van vragen gelden indienings- en selectiecriteria, zie onderstaande box 2. 

Indieningsvereisten Om behandeld te worden moet een vraag wel aan bepaalde indieningsvereisten voldoen. Dit borgt de kwaliteit en efficiëntie van de sandbox. De indieningsvereisten zijn proportioneel en moeten de toegankelijkheid tot de sandbox zo eerlijk mogelijk houden. De eisen kunnen na verloop van tijd veranderen in lijn met trends en AI-verordening-basiskennis van vraagstellers. Te allen tijde dienen de indieningsvereisten echter in lijn te zijn met de nog te verwachten uitvoeringshandelingen van de Europese Commissie. Van AI-aanbieders kan bijvoorbeeld worden gevraagd een duidelijke omschrijving van het AI-systeem en de gebruikscontext mee te geven. Een tweede vereiste kan zijn dat vraagstellers de link met de AI-verordening ook eerst zelf uitwerken, en aangeven hoe de vraag volgens het van toepassing is op het bij hun in ontwikkeling zijnde AI-systeem. Selectiecriteria Naast indieningsvereisten voor het in aanmerking komen voor beantwoording binnen de NL Sandbox, zijn ook selectieprincipes nodig voor situaties waarin de hoeveelheid vragen de beschikbare capaciteit van de toezichthouders overstijgt. Eenmalige beantwoording of expertvraag Vragen voor schriftelijke behandeling, worden in beginsel behandeld op basis van volgorde van binnenkomst. In het geval van een stuwmeer aan vragen kunnen toezichthouders prioriteit geven aan vragen aan de hand van de selectiecriteria die ook gelden voor het doorlopen van een sandboxtraject. De sandbox kan tijdelijk sluiten als het aantal vragen de beschikbare capaciteit bij de toezichthouders overstijgt. Sandboxtraject Toezichthouders hebben de vrijheid om hun inspanningen te baseren op basis van transparante selectieprincipes die gepubliceerd worden op de website van de Nederlandse sandbox. De selectieprincipes zijn de doelen van de regulatory sandbox zoals geformuleerd in artikel 57, lid 9 van de AI-verordening, en de mogelijke aanvullingen daarop in de uitvoeringshandeling van de Europese Commissie. Daarbij kunnen toezichthouders op basis van artikel 62, eerste lid prioritaire toegang verlenen aan in de Unie gevestigde MKB’ers, inclusief start-ups. In een sandboxtraject behandelde vragen moeten gaan over AI-systemen die onder de AI-verordening (mogelijk) aan eisen moet voldoen. Dit gaat om hoog-risico AI, AI met transparantierisico’s en AI-systemen voor algemene doeleinden (voor zover deze laatste systemen niet onder het toezicht van de AI Office vallen). Daarnaast dienen de toezichthouders rekening te kunnen houden met de volwassenheid van het AI-systeem in relatie tot de activiteiten in het sandboxtraject, zoals het assisteren bij de definitieve vraagarticulatie tijdens het opstellen van het sandboxplan. Het stellen van een goede vraag, door deze te matchen aan de maturiteit van het product, is een voorwaarde voor het effectief doorlopen van het traject. Van aanbieders kan bijvoorbeeld gevraagd worden om de technische en operationele capaciteit te beschikken om het traject te doorlopen, en inspanningen te (willen) leveren om naleving van wettelijke verplichtingen te waarborgen.

Box 2: Indieningsvereisten & selectiecriteria

1. Voorbereiding 

Deze derde fase dient als voorbereiding voor het starten van een sandboxtraject. Hiertoe neemt de behandelend toezichthouder contact op met de vraagsteller ter kennismaking, verdere uitdieping van de vraag en om te bespreken hoe het sandboxtraject eruit kan zien.

Na het eerste gesprek kan worden besloten om een sandboxtraject op te starten. In dat geval stellen de behandelend toezichthouder en de vraagsteller een sandboxplan op, zoals gedefinieerd in de AI-verordening. Het sandboxplan bevat in ieder geval de doelstellingen, de voorwaarden, het tijdschema, de methode en de vereisten voor de uit te voeren activiteiten. Het sandboxplan kan ook benut worden voor verdere uitwerking en aanscherping van de gestelde vraag om tot een waardevol traject te komen voor zowel vraagsteller, toezichthouder als het bredere AI-ecosysteem. Daarnaast kan een link met andere faciliteiten uit AI-ecosysteem worden gemaakt (zie box 3). Ook worden afspraken gemaakt over het openbaar maken van opgedane inzichten.

Evengoed kan worden besloten dat een vraag niet geschikt is voor een sandboxtraject, of dat deze zonder intensief traject schriftelijk kan worden afgedaan.

Link met andere initiatieven in AI-ecosysteem  Bij het opzetten van de definitieve sandbox wordt verkend welke andere organisaties incidenteel of structureel betrokken kunnen worden bij de regulatory sandboxes. Voorbeelden zijn de Testing and Experimentation Facilities, European Digital Innovation Hubs, European Data Spaces, de ELSA-labs, of de zogeheten notified bodies. Een dergelijke link geeft voor vraagstellers de kans om, binnen of buiten de sandbox, ook geholpen te worden met zaken buiten bereik van de sandbox vallen. Bijvoorbeeld door technische infrastructuur of data te bieden via andere initiatieven.

Box 3: Link met andere initiatieven in AI-ecosysteem

2. Deelname Sandboxtraject

In de vierde fase doorlopen vraagsteller en toezichthouder(s) een sandboxtraject, in overeenstemming met het gezamenlijke sandboxplan om tot een eindrapport te kunnen komen waarin de gestelde vraag zo ver als mogelijk is beantwoord.

De toezichthouder kan met juridische en technische expertise ondersteunen bij het testen van het AI-systeem aan de eisen van de AI-verordening. Het testen aan technische specificaties wordt niet door de toezichthouder gedaan. Daarnaast valt het testen aan technische specificaties die niet te maken hebben met de AI-verordening in alle gevallen buiten de sandbox.

De regulatory sandbox geeft geen uitzonderingen op wettelijke verplichtingen. Toezichthouders zijn wel verplicht zich innovatievriendelijk op te stellen. Op basis van dit vertrekpunt wordt van vraagstellers verwacht dat zij eventuele spanningen met regelgeving die binnen de sandbox naar boven komen corrigeren. Indien dit niet naar tevredenheid van de toezichthouder gebeurt, kan het sandboxtraject worden afgebroken. Deze afspraak wordt ook altijd vastgelegd in het sandboxplan.

Testen onder reële omstandigheden De AI-verordening maakt het wel mogelijk om in bijlage III vermelde AI-systemen met een hoog risico te testen in reële omstandigheden, zonder dat het systeem wordt aangemerkt als in de handel gebracht of in gebruik gesteld. Het doel hiervan is om betrouwbare en robuuste data te verzamelen en te beoordelen en verifiëren of het AI-systeem werkt volgens de eisen uit de AI-verordening, voordat het officieel op de markt wordt gebracht. Indien het testen in reële omstandigheden binnen het kader van een sandbox-traject plaatsvindt, spreken de deelnemer en de verantwoordelijke toezichthouder voorwaarden en passende waarborgen af ter bescherming van de grondrechten, de gezondheid en de veiligheid. Met oog op de voorwaarden die de AI-verordening buiten een sandbox-traject voorschrijft aan testen in reële omstandigheden, moet ook het testen in reële omstandigheden binnen een sandbox-traject dezelfde mate van bescherming bieden.

Box 4: Testen onder reële omstandigheden

3. Evaluatie & Afronding

De vijfde fase wordt gebruikt om de einddocumenten voor een sandboxtraject op te stellen. Dit omvat in ieder geval het eindverslag waarin de uitgevoerde activiteiten, de resultaten en de eventuele leerresultaten worden beschreven. Ook kan een schriftelijk bewijs van de in sandbox uitgevoerde activiteiten worden opgesteld ten behoeve van de latere conformiteitsbeoordeling voor een product.

4. Post-deelname

De zesde fase voorziet dat de toezichthouders de leerresultaten van de sandbox inzichtelijk en deelbaar maken. Dit ondersteunt het bredere AI-ecosysteem. Toezichthouders spannen zich ertoe in om de leerresultaten van de schriftelijk beantwoorde vragen in geanonimiseerde vorm te delen, bijvoorbeeld door FAQ’s op te stellen. Van de sandboxtrajecten worden de eindrapporten gepubliceerd indien overeengekomen met de deelnemer. Een alternatief is een geanonimiseerde publiekssamenvatting met geleerde lessen.

3. Voorgestelde rollen NL sandbox

Voor een goed functioneren van de Nederlandse sandbox is in elke fase een andere inzet van de betrokken partijen vereist. Het uitgangspunt is om aan te sluiten bij de verdeling van toezichtsbevoegdheden die in de nog vast te leggen uitvoeringswet zullen worden vastgesteld. Dit betekent dat alle partijen voldoende capaciteit moeten krijgen, en vrijmaken, om hun rol effectief te kunnen vervullen.

Betrokken toezichthouders expertvragen & sandboxtrajecten In beginsel stelt het Kernteam, in overleg, voor welke organisatie een expertvraag of sandboxtraject oppakt als behandelend toezichthouder. De behandelend toezichthouder is de hoofdverantwoordelijke partij voor het opstellen van een antwoord en de daarbij benodigde coördinatie. In het geval van een sandboxtraject is het ook het eerste contactpunt naar de vraagsteller. De behandelend toezichthouder zorgt er ook voor dat andere toezichthouder(s) bij de beantwoording betrokken worden indien andere domeinspecifieke kennis nodig blijkt. Het Kernteam ondersteunt hierbij. Voor het toewijzen van de rol van behandelend toezichthouder kijkt het Kernteam naar de bevoegdheden zoals deze onder de AI-verordening, en andere wetten zijn vastgelegd. Degene wiens bevoegdheden het beste aansluiten op de vraag, krijgt ook de taak van behandelend toezichthouder. In de praktijk betekent dit dat onder de AI-verordening als markttoezichtautoriteit aangewezen toezichthouders kunnen worden aangewezen als behandelend toezichthouder. Sector- of domeinspecifieke toezichthouders kunnen ter ondersteuning worden betrokken als hun specifieke kennis de markttoezichtautoriteiten kan helpen bij het geven van hun uitleg over de wet, mits zij hier capaciteit voor hebben. Voor alle soorten vragen, ook de door het Kernteam beantwoorde vragen, geldt dat de daarop gegeven antwoorden vóór versturing naar de vraagsteller voor een bepaalde periode inzichtelijk zijn voor andere bij de sandbox betrokken toezichthouders. Deze toezichthouders kunnen dan nog op- of aanmerkingen meegeven en om aanpassing vragen. Dit is belangrijk om de kwaliteit en consistentie van gegeven antwoorden te waarborgen. Verder geldt dat het Kernteam in alle gevallen contact op kan nemen met vraagstellers.

Box 5: Bij beantwoording betrokken toezichthouders

Hieronder worden de verschillende rollen binnen de sandbox verder toegelicht. Ook wordt beschreven hoe deze zich verhouden tot het advies van de toezichthouders over de inrichting van het AI-toezicht. Zie ook Eindadvies toezicht op AI: sectoraal en centraal gecoördineerd | Autoriteit Persoonsgegevens.

Kernteam

Het Kernteam bestaat uit de beoogde coördinerende markttoezichtautoriteiten. Zij beantwoorden de eenvoudige vragen, coördineren de toebedeling van expertvragen en de start van sandboxtrajecten. Daarnaast vervullen zij, vanuit hun coördinerende rol, een spilfunctie binnen de sandbox. Het Kernteam heeft ook een belangrijke kennisrol, zowel richting toezichthouders als richting de buitenwereld: de tijdens sandboxtrajecten opgedane kennis wordt actief gedeeld. Bovendien is het Kernteam verantwoordelijk voor de jaarlijkse (publieke) rapportage over de sandboxes. Binnen het Kernteam is permanent zowel juridische als technische AI-expertise aanwezig om deze samenwerking effectief te faciliteren.

Markttoezichtautoriteit

Binnen het advies van de toezichthouders wordt voor specifieke productgroepen (zoals vermeld in Annex I en III van de AI-verordening) een markttoezichtautoriteit aangewezen. Zie ook Eindadvies toezicht op AI: sectoraal en centraal gecoördineerd | Autoriteit Persoonsgegevens. Om zo dicht mogelijk bij dat advies te blijven, krijgen binnen de sandbox dezelfde markttoezichtautoriteiten de verantwoordelijkheid voor de beantwoording van expertvragen en het begeleiden van sandboxtrajecten ((Coördinerende) markttoezichtautoriteiten zijn ook de bevoegde autoriteiten zoals deze worden genoemd in afdeling VI van de AI-verordening.) Zij nemen contact op met vraagstellers, begeleiden sandboxtrajecten en lezen mee met alle schriftelijke antwoorden om kwaliteit en consistentie te borgen.

Van elke betrokken markttoezichtautoriteit wordt verwacht dat zij een aanspreekpunt benoemen voor het Kernteam. Deze contactpersoon kan vervolgens zelf aan de slag met de vragen of deze intern uitzetten.

Sectorale & domein specifieke toezichthouders

Ook bestaande sectorale en domeinspecifieke toezichthouders spelen een belangrijke rol in het AI-verordening toezicht, omdat zij (mogelijk) al toezicht houden op (de effecten van) AI-producen binnen hun sector of domein. In de sandbox sluiten ze aan waar zij relevante kennis kunnen toevoegen voor de beantwoording van een vraag. Zo kunnen markttoezichtautoriteiten hen raadplegen als de beantwoording van een vraag om specifieke sector- of domeinkennis vraagt. De uiteindelijke betrokkenheid in de sandbox is dus een afspiegeling van hun bredere rol binnen het AI-verordening toezicht. Daarom is de mate waarin deze toezichthouders betrokken kunnen worden afhankelijk van de rol die zij ook krijgen binnen het bredere AI-verordening toezicht.

Loket-team

Het loket-team beheert de webpagina van de sandbox, is verantwoordelijk voor het opzetten en beheren van een CRM systeem en doet de eerste grove selectie van vragen. Er wordt onderzocht door welke organisatie het loket het beste kan worden ingevuld, bijvoorbeeld door een uitvoeringsorganisatie.

Grondrechtentoezichthouders

De AI-verordening kent ook een bijzondere rol toe aan cf. artikel 77 van de verordening geïdentificeerde grondrechtentoezichthouders. Voor de versterking van deze grondrechttoezichthouders zijn informatieverplichtingen opgenomen en dienen markttoezichtautoriteiten hun medewerking te verlenen aan hen te verlenen als zich risico’s voordoen voor de bescherming van grondrechten. Zo kunnen grondrechtentoezichthouders aan markttoezichtautoriteiten verzoeken een AI-systeem, waar zich mogelijk grondrechtrisico’s voordoen, te onderzoeken. Verder dienen markttoezichtautoriteiten de grondrechtentoezichthouders te informeren indien deze risico’s voor grondrechten vaststelt, of meldingen binnenkrijgt van ernstige incidenten. Bij het schrijven van deze evaluatie is de precieze rol van de binnen het Nederlandse AI-toezicht echter nog niet uitgekristalliseerd. Uitgangspunt is dat de uiteindelijke betrokkenheid in de sandbox een afspiegeling wordt van hun bredere rol binnen het AI-verordening toezicht.

Gegevensbeschermingsautoriteit

Uit hoofde van de AI-verordening is de Nederlandse gegevensbeschermingsautoriteit bij de sandbox betrokken als deelnemende AI-systemen betrekking hebben op de verwerking van persoonsgegevens (Artikel 57(10).)

Interdisciplinaire expertise

Verder verdient het nog de aandacht dat voor een doeltreffende inzet van de beschikbare capaciteit interdisciplinaire expertise nodig is. Hoewel een groot deel van de capaciteit juridisch van aard is, vraagt de Nederlandse sandbox om een goede balans tussen juridische en technische (AI) kennis. In het sandboxtraject is technische (AI) kennis vanaf het eerste gesprek noodzakelijk om als goede gesprekspartner met de vraagsteller het AI-product en gerelateerde vraag te doorgronden. En ook bij eenvoudige en expertvragen kan technische (AI) expertise nodig zijn om de vraag vanuit de AI-ontwikkelaar te duiden.