Regelgevingssandbox: veilig experimenteren met nieuwe technologie binnen de wet
Een regelgevingssandbox is een tijdelijke, afgebakende testomgeving waarin bedrijven een nieuw product of een nieuwe dienst mogen uitproberen onder versoepeld of aangepast toezicht, terwijl een overheidsinstantie meekijkt. De naam is een leenvertaling van het Engelse regulatory sandbox: net als een zandbak op een speelplein een veilige plek is om te bouwen en te experimenteren zonder dat het meteen gevolgen heeft voor de rest van de tuin, biedt een sandbox bedrijven ruimte om iets nieuws te testen zonder meteen aan alle bestaande regels te hoeven voldoen.
Denk aan een fintech-startup die een nieuwe manier van geld overmaken heeft bedacan, maar botst op regels die zijn geschreven voor traditionele banken. In plaats van jarenlang te wachten op wetswijzigingen, of het idee helemaal niet te proberen, kan de toezichthouder toestemming geven om het product een tijdje te testen bij een beperkte groep echte klanten, onder extra toezicht en met vangnetten voor als het misgaat. Zo ontstaat er praktijkervaring die zowel het bedrijf als de wetgever verder helpt.
Wat is het precies?
Een regelgevingssandbox is geen technologie op zich, maar een bestuurlijk instrument: een proces dat een toezichthouder (zoals een financiële waakhond, een privacytoezichthouder of een marktautoriteit) organiseert. Het verloopt meestal in een aantal stappen.
Eerst dient een bedrijf een aanvraag in, waarin het uitlegt welk product of welke dienst het wil testen, waarom bestaande regels dat in de weg staan, en hoe het consumenten wil beschermen tijdens de test. De toezichthouder beoordeelt of het idee daadwerkelijk vernieuwend is en of het risico beheersbaar is.
Wordt de aanvraag goedgekeurd, dan krijgt het bedrijf toegang tot de sandbox: een periode, vaak zes maanden tot twee jaar, waarin het mag werken met een beperkt aantal echte gebruikers of klanten, onder voorwaarden die zijn afgestemd op de specifieke situatie. Dat kan betekenen dat bepaalde vergunningseisen tijdelijk vervallen, dat er een lager kapitaalvereiste geldt, of dat er extra rapportageverplichtingen bijkomen zodat de toezichthouder precies kan volgen wat er gebeurt.
Na afloop volgt een evaluatie. Werkte het idee, en bleven de risico's beheersbaar? Dan kan het bedrijf doorstromen naar een volledige vergunning of naar de gewone markt. Bleek het product schadelijk of niet levensvatbaar, dan stopt het traject. Belangrijk is dat de toezichthouder de opgedane inzichten ook gebruikt om te bepalen of de bestaande regels eigenlijk aanpassing behoeven, ook voor andere partijen dan de sandbox-deelnemer.
Wat wil men ermee bereiken?
Het achterliggende probleem is dat wetgeving meestal reageert op techniek die er al is, terwijl nieuwe technologie soms sneller verandert dan wetten kunnen worden aangepast. Een strikte toepassing van verouderde regels kan innovatie in de kiem smoren, terwijl helemaal geen regels toepassen consumenten, patiënten of het financiële stelsel onnodig blootstelt aan risico's.
Een sandbox probeert dit dilemma te doorbreken door niet in te zetten op minder regels, maar op slimmer toezicht: gecontroleerd experimenteren, met een beperkte groep, gedurende een beperkte tijd, met intensieve monitoring. Toezichthouders krijgen zo praktijkkennis over technologie die ze anders alleen op papier zouden beoordelen, en bedrijven krijgen duidelijkheid en begeleiding in plaats van jarenlange onzekerheid.
Daarnaast is er een concurrentiemotief. Landen willen aantrekkelijk zijn voor innovatieve bedrijven en voorkomen dat veelbelovende start-ups uitwijken naar rechtsgebieden met soepelere regels. Een goed functionerende sandbox kan gelden als visitekaartje: hier kun je vernieuwen zonder dat de wet meteen een blok aan het been is, maar wel met behoud van bescherming voor gebruikers.
Voorbeelden uit de praktijk
De Britse financiële toezichthouder Financial Conduct Authority (FCA) opende in 2016 als eerste ter wereld een regelgevingssandbox voor financiële technologie. Bedrijven werden in groepen, zogeheten cohorten, toegelaten om nieuwe betaal-, verzekerings- en beleggingsdiensten te testen bij echte klanten onder toezicht. Het model werd wereldwijd een voorbeeld.
In Nederland werken de Autoriteit Financiële Markten (AFM) en De Nederlandsche Bank (DNB) sinds 2016 samen in de InnovationHub, waar fintech-bedrijven advies krijgen over hoe regelgeving op hun product van toepassing is en, in specifieke gevallen, maatwerkafspraken kunnen maken om iets tijdelijk te testen.
Ook buiten de financiële sector bestaat het instrument. Sinds 2015 kent de Nederlandse Elektriciteitswet een experimenteerbepaling die lokale energie-initiatieven, zoals energiecoöperaties die samen zonnestroom opwekken en delen, de ruimte geeft om tijdelijk af te wijken van standaardregels over bijvoorbeeld het net beheren of energie leveren, om te onderzoeken of decentrale energiesystemen goed werken.
Spanje liep in de Europese Unie voorop met een pilot voor een AI-sandbox, gestart in 2022, waarin bedrijven en de overheid samen verkenden hoe risicobeoordelingen voor kunstmatige intelligentie in de praktijk zouden kunnen werken. Deze pilot heeft mede als voorbeeld gediend bij het opstellen van de Europese AI-verordening.
Singapore's Monetary Authority of Singapore (MAS) introduceerde eveneens in 2016 een fintech-sandbox en geldt sindsdien, samen met het Verenigd Koninkrijk, als een van de meest actieve landen op dit gebied.
Hoe ver is de techniek?
Regelgevingssandboxen zijn inmiddels geen experiment meer, maar een geaccepteerd beleidsinstrument dat door tientallen toezichthouders wereldwijd wordt gebruikt, vooral in de financiële sector. De aanpak breidt zich nu uit naar andere domeinen, met kunstmatige intelligentie als het meest actuele voorbeeld.
De Europese AI-verordening, die in augustus 2024 in werking trad, verplicht elke EU-lidstaat om uiterlijk augustus 2026 minstens één nationale AI-sandbox operationeel te hebben. Nederland en andere lidstaten zijn dit traject aan het inrichten, onder meer via de instanties die zijn aangewezen om toezicht te houden op de AI-verordening. Op het moment van schrijven is dit proces in de meeste landen nog volop in ontwikkeling, en het is nog niet overal duidelijk hoe streng of soepel de nationale invulling zal zijn.
Tegelijk klinkt er ook kritiek. Onderzoek van onder meer de Organisatie voor Economische Samenwerking en Ontwikkeling (OESO) wijst erop dat sandboxen vaak maar een handvol bedrijven per ronde toelaten, wat de vraag oproept hoeveel algemene impact ze werkelijk hebben. Bovendien hebben vooral grotere, juridisch goed onderlegde bedrijven de middelen om een aanvraag succesvol rond te krijgen, wat kleinere spelers kan benadelen. Deelname aan een sandbox garandeert ook geen toegang tot de reguliere markt na afloop, en de opgedane inzichten leiden niet automatisch tot aanpassing van wetgeving. Ten slotte waarschuwen sommige experts voor risico's van zogeheten regulatory arbitrage, waarbij bedrijven vooral op zoek gaan naar het land met de soepelste sandboxregels in plaats van naar de beste technologie.
Wie werken eraan?
Naast de FCA in het Verenigd Koninkrijk en de AFM en DNB in Nederland houden ook de Australische toezichthouder ASIC, de Hongkongse en Maleisische centrale banken, en het financiële centrum Abu Dhabi Global Market met zijn RegLab zich actief bezig met sandboxen voor financiële innovatie.
Op het gebied van kunstmatige intelligentie coördineert de Europese Commissie het beleidskader via de AI-verordening, terwijl de daadwerkelijke uitvoering bij de lidstaten ligt. In Nederland is de Rijksinspectie Digitale Infrastructuur aangewezen als coördinerend toezichthouder voor de AI-verordening en dus betrokken bij de opzet van een Nederlandse AI-sandbox. Ook Frankrijk, met zijn privacytoezichthouder CNIL, en Spanje, met zijn digitaliseringsagentschap, behoren tot de landen die relatief vroeg met AI-sandboxen zijn begonnen.