Regulatory sandbox: veilig experimenteren met nieuwe regels
Stel je een rijschoolauto voor met een extra rem aan de kant van de instructeur. De leerling rijdt echt op de openbare weg, tussen het overige verkeer, maar met iemand naast zich die kan ingrijpen zodra het misgaat. Een regulatory sandbox (letterlijk: regelgevende zandbak, in het Nederlands ook wel "proeftuin voor regelgeving" genoemd) werkt volgens hetzelfde principe. Een bedrijf met een nieuw product mag dat product echt op de markt testen, met echte klanten, terwijl een toezichthouder meekijkt en tijdelijk soepelere of aangepaste regels toestaat.
Dat klinkt misschien als een technische kwestie voor juristen, maar de sandbox duikt steeds vaker op in nieuwsberichten over nieuwe technologie: van zelfrijdende auto's die op afgebakende routes mogen rijden, tot kunstmatige intelligentie in de zorg die onder toezicht wordt uitgeprobeerd. De sandbox is het instrument waarmee overheden proberen te voorkomen dat innovatie vastloopt in wetten die nog niet op de nieuwe technologie zijn toegesneden, zonder daarbij de veiligheid van consumenten helemaal los te laten.
Wat is het precies?
Een regulatory sandbox is geen technologie maar een bestuurlijk instrument: een tijdelijk, afgebakend kader waarbinnen een toezichthouder een bedrijf toestaat om van bepaalde regels af te wijken of ze op maat toe te passen. Het proces verloopt meestal in een aantal vaste stappen.
Eerst dient een bedrijf een aanvraag in bij de toezichthouder, met een beschrijving van het product of de dienst en uitleg waarom de bestaande regelgeving een belemmering vormt of geen duidelijk antwoord geeft. Toezichthouders selecteren daarna een beperkt aantal deelnemers, vaak in "cohorten" van een tiental bedrijven per ronde, omdat intensieve begeleiding nu eenmaal capaciteit kost.
Geselecteerde bedrijven krijgen een tijdelijke, voorwaardelijke vergunning of ontheffing. Ze mogen hun product echt aanbieden, maar meestal met beperkingen: een maximumaantal klanten, verplichte waarschuwingen, een compensatieregeling als het misgaat, of extra rapportageverplichtingen aan de toezichthouder. Gedurende de testperiode, die doorgaans zes maanden tot twee jaar duurt, houdt de toezichthouder nauwlettend de vinger aan de pols.
Na afloop volgt een evaluatie. De uitkomst kan zijn dat het bedrijf mag doorgroeien onder de gewone regels, dat de regelgever de regels aanpast op basis van de opgedane ervaring, of dat het experiment wordt stopgezet omdat de risico's te groot bleken. Belangrijk is dat een sandbox geen vrijbrief is om regels te omzeilen: consumentenbescherming, privacywetgeving en veiligheidseisen blijven in de kern gewoon gelden, alleen de manier waarop een bedrijf daaraan voldoet, wordt tijdelijk op maat gemaakt.
Wat wil men ermee bereiken?
De kern van het idee is dat wetgeving altijd achterloopt op technologische ontwikkeling. Wetten voor bijvoorbeeld financiële dienstverlening of medische hulpmiddelen zijn geschreven met een bepaalde technologie in gedachten; wanneer een compleet nieuw soort dienst ontstaat, past die vaak niet netjes in de bestaande hokjes. Zonder aanpassing lopen innovatieve bedrijven het risico dat ze illegaal bezig zijn, terwijl toezichthouders het risico lopen dat ze iets verbieden dat eigenlijk onschuldig of zelfs waardevol is.
Een sandbox lost dit spanningsveld gedeeltelijk op door toezichthouders de kans te geven om te leren van een klein, gecontroleerd experiment voordat ze definitieve regels vaststellen. In plaats van wetgeving te baseren op aannames, kunnen beleidsmakers echte gegevens gebruiken: hoeveel klanten gebruiken de dienst, gaat er iets mis, en zo ja, hoe ernstig is dat?
Voor bedrijven, met name kleinere start-ups en scale-ups, verlaagt een sandbox de drempel om te innoveren. Volledige compliance met alle bestaande regels kan voor een klein bedrijf onbetaalbaar zijn, terwijl grote, gevestigde spelers dat wel kunnen opbrengen. Een sandbox kan dus ook een instrument zijn om de concurrentiepositie van nieuwkomers te versterken. Toezichthouders benadrukken daarbij vaak dat het doel niet is om regels af te schaffen, maar om ze slimmer en op bewijs gebaseerd te maken.
Voorbeelden uit de praktijk
De Britse Financial Conduct Authority (FCA) opende in 2016 de eerste bekende regulatory sandbox ter wereld, gericht op fintech-bedrijven die nieuwe betaal- en beleggingsdiensten wilden testen. Sindsdien hebben honderden bedrijven in opeenvolgende cohorten meegedaan, van betaalapps tot blockchain-gebaseerde diensten.
In Nederland startten De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) in 2016 het initiatief "Maatwerk voor Innovatie", waarbij fintech-bedrijven persoonlijke begeleiding kregen om binnen de bestaande financiële regelgeving te opereren, aangevuld met een gezamenlijk InnovationHub voor vragen van start-ups.
De Noorse privacytoezichthouder Datatilsynet lanceerde in 2020 een sandbox specifiek voor kunstmatige intelligentie, waarin bedrijven en publieke organisaties onder begeleiding onderzochten hoe AI-toepassingen te verenigen zijn met de Europese privacywetgeving (AVG/GDPR). Dit initiatief gold als voorbeeld voor latere Europese regelgeving.
In de Verenigde Staten kregen zelfrijdende auto's vanaf 2015 in staten als Arizona en Californië tijdelijke ontheffingen om op de openbare weg te testen, buiten de normale kaders voor bestuurderslicenties en verkeersregels om, zij het onder strikte veiligheidsvoorwaarden en met een menselijke toezichthouder aan boord.
Meer recent verplicht de Europese AI-verordening (formeel vastgesteld in 2024) alle EU-lidstaten om uiterlijk in augustus 2026 minstens één nationale AI-sandbox op te zetten, zodat bedrijven AI-systemen onder toezicht kunnen testen voordat de volledige verordening op hen van toepassing wordt.
Hoe ver is de techniek?
Als bestuurlijk instrument is de regulatory sandbox inmiddels volwassen: sinds de introductie in het Verenigd Koninkrijk in 2016 hebben tientallen landen wereldwijd, van Singapore tot Abu Dhabi en Litouwen, vergelijkbare initiatieven opgezet, aanvankelijk vrijwel uitsluitend voor financiële technologie. De afgelopen jaren is het toepassingsgebied breder geworden: naast fintech duiken sandboxes nu op rond kunstmatige intelligentie, mobiliteit, energie en gezondheidszorg.
Toch blijft de praktijk beperkt van schaal. Sandboxes draaien doorgaans met kleine cohorten van enkele tientallen bedrijven per jaar, simpelweg omdat intensieve, individuele begeleiding door toezichthouders veel capaciteit kost. Onderzoek naar de effectiviteit van sandboxes, onder meer door de Wereldbank en academische instellingen, laat gemengde resultaten zien: er zijn aanwijzingen dat deelnemende bedrijven makkelijker kapitaal ophalen en sneller naar de markt gaan, maar hard bewijs dat sandboxes op grote schaal tot betere regelgeving leiden, is nog schaars.
Er klinkt ook kritiek. Sommige waarnemers noemen sandboxes vooral een pr-instrument ("sandbox theatre") dat toezichthouders innovatievriendelijk laat overkomen zonder dat de onderliggende regels wezenlijk veranderen. Anderen wijzen op het risico van ongelijke toegang: alleen bedrijven met voldoende juridische en financiële middelen weten een sandboxaanvraag succesvol te doorlopen, waardoor kleinere spelers alsnog achterblijven. Ook is grensoverschrijdende afstemming lastig: een sandboxvergunning in het ene land geldt niet automatisch in een ander land, wat voor internationaal opererende technologiebedrijven een obstakel blijft.
Wie werken eraan?
Regulatory sandboxes worden opgezet en beheerd door nationale toezichthouders en centrale banken, zoals de FCA in het Verenigd Koninkrijk, DNB en AFM in Nederland, de Monetary Authority of Singapore, Lietuvos bankas in Litouwen en de Abu Dhabi Global Market in de Verenigde Arabische Emiraten.
Op internationaal niveau coördineert het in 2019 opgerichte Global Financial Innovation Network (GFIN), een samenwerkingsverband van tientallen toezichthouders wereldwijd, gezamenlijke grensoverschrijdende sandboxexperimenten. Organisaties als de OESO en de Wereldbank publiceren richtlijnen en vergelijkende studies over de werking van sandboxes in verschillende landen.
Binnen de Europese Unie trekt de Europese Commissie de kar voor de AI-sandboxverplichting uit de AI-verordening, terwijl de daadwerkelijke uitvoering bij nationale toezichthouders in elke lidstaat ligt. Academische onderzoeksgroepen op het snijvlak van recht, bestuurskunde en technologie bestuderen daarnaast doorlopend of en hoe sandboxes daadwerkelijk bijdragen aan betere regelgeving.