Le Sandkëscht de la CNPD — Le bac à sable luxembourgeois de protection des données pour l'IA, deux ans d'existence

La Commission nationale pour la protection des données (CNPD), autorité luxembourgeoise de protection des données, a lancé « Sandkëscht » le 21 mai 2024, avec des candidatures ouvertes dès le 14 juin 2024, anticipant une future exigence formelle de bac à sable au titre de l'AI Act européen ; la participation dure de 9 à 18 mois, répartie en trois phases.
La CNPD n'a publié aucun chiffre de participants ou de candidatures sur ses propres canaux. Une étude indépendante de 2026 réalisée pour la Chambre de commerce autrichienne (JOANNEUM RESEARCH) a recensé deux pilotes publiquement mentionnés à la mi-2025 — analyse vocale assistée par IA pour l'interaction client, et modèles algorithmiques de risque dans la finance — et a noté que le bac à sable fonctionne sur le budget annuel ordinaire de la CNPD, soit 10,3 millions d'euros, et ses 67 agents, plutôt que sur un financement dédié.
Chaque projet est censé se conclure par un « rapport de sortie » interne (analyse des écarts), et la CNPD a annoncé un processus d'examen systématique à partir de l'automne 2025, mais en août 2026 aucun rapport de sortie ni résultat agrégé n'a été rendu public ; le bac à sable ne dispose par ailleurs d'aucune base légale dédiée au-delà des pouvoirs généraux de coopération du RGPD.
À titre de réserve, avec seulement deux pilotes recensés en plus de deux ans, et sans données de participation ou de résultats publiées par l'autorité elle-même, il s'agit d'un dispositif plus ancien mais moins transparent que ceux de la Lettonie ou de la Colombie — un cas de contraste utile sur les pratiques de transparence.