Qui contrôle l'application du règlement sur l'IA en Belgique ?

Publié 2026-08-11· 6 min de lecturePouls réglementaire

Vous avez vu passer une actualité sur le règlement sur l'IA et une amende possible, et une question très concrète surgit aussitôt : qui viendrait réellement vérifier, chez vous, en Belgique ? Est-ce l'Autorité de protection des données (APD/GBA), la même qui contrôle déjà le RGPD ? Un autre organisme fédéral ? Un régulateur sectoriel que vous connaissez déjà pour d'autres raisons ? La réponse n'est pas unique, et c'est précisément ce qui rend la question légitime : la Belgique, comme la plupart des États membres, ne crée pas un régulateur unique dédié à l'IA, elle répartit la compétence entre des autorités existantes. Voici comment s'y retrouver.

Ce que le règlement impose aux États membres : désigner des autorités avant le 2 août 2025

L'article 70 du règlement sur l'IA (règlement (UE) 2024/1689) oblige chaque État membre à désigner au moins une autorité notifiante, chargée d'évaluer et de surveiller les organismes qui certifient certains systèmes d'IA à haut risque, et au moins une autorité de surveillance du marché, chargée de contrôler que les systèmes d'IA mis sur le marché ou utilisés respectent effectivement les obligations du règlement. L'échéance fixée par le texte européen était le 2 août 2025. Le règlement laisse toutefois aux États membres une large marge de manœuvre sur le choix concret : créer une structure entièrement nouvelle, comme l'a fait l'Espagne avec son agence dédiée AESIA, ou confier la mission à des autorités déjà en place. La Belgique a clairement fait ce second choix, en s'appuyant en priorité sur des régulateurs existants plutôt que sur une agence IA autonome.

L'APD/GBA : compétente dès que des données personnelles sont en jeu

L'Autorité de protection des données, aussi connue sous son nom néerlandais Gegevensbeschermingsautoriteit (APD/GBA), est l'autorité belge qui contrôle déjà l'application du RGPD depuis 2018. Dès qu'un système d'IA traite, même indirectement, des données à caractère personnel — recrutement, scoring client, chatbot RH, vidéosurveillance augmentée par IA, notation de crédit — l'APD/GBA a vocation à intervenir, que ce soit au titre du RGPD, du règlement sur l'IA, ou des deux textes combinés. C'est un point que nous détaillons dans notre article sur les recoupements entre RGPD et règlement sur l'IA pour les entreprises belges : les deux textes se chevauchent largement pour toute PME qui traite des données de personnes physiques via un outil d'IA.

Un pays fédéral : une coordination entre niveaux de pouvoir plutôt qu'un guichet unique

La Belgique a une particularité que n'ont pas la plupart de ses voisins : sa structure fédérale. Une réglementation horizontale comme le règlement sur l'IA, qui touche à la fois à l'économie, à la recherche, à l'emploi et à des compétences régionales et communautaires (Flandre, Wallonie, Bruxelles, Communauté germanophone), appelle structurellement une coordination entre le niveau fédéral et les entités fédérées, en plus de la désignation des autorités prévue par l'article 70. Au moment de la rédaction de cet article, le paysage institutionnel belge pour l'IA continue de se stabiliser, et nous préférons rester prudents plutôt que d'affirmer une liste figée d'organismes et de mandats confirmés. Ce qui est solide, en revanche, c'est le principe général : pour une PME, le point de contact le plus probable reste l'APD/GBA pour tout ce qui touche aux données personnelles, complété selon les cas par un régulateur sectoriel ou par une coordination interministérielle pour les aspects plus transversaux de gouvernance de l'IA.

Les régulateurs sectoriels : la règle du "qui contrôlait déjà, continue"

Le règlement sur l'IA ne remplace pas les régulateurs sectoriels : il ajoute une couche à leurs missions existantes. En pratique, l'autorité qui encadrait déjà un secteur avant l'arrivée du règlement conserve généralement ce rôle, avec l'IA en plus dans son périmètre de contrôle.

Système d'IA utilisé dans un contexte financier, un crédit, une assurance ou un service d'investissement : la FSMA (Autorité des services et marchés financiers) est le point de contact naturel, aux côtés de la Banque nationale de Belgique pour le secteur bancaire.
Système d'IA intégré à un dispositif médical ou utilisé dans le diagnostic, le suivi ou le traitement d'un patient : l'AFMPS (Agence fédérale des médicaments et des produits de santé) reste compétente, en lien avec les règles européennes sur les dispositifs médicaux.
Système d'IA traitant des données personnelles, quel que soit le secteur : l'APD/GBA.
Pratique commerciale trompeuse, publicité générée par IA, information du consommateur : le SPF Économie, via son rôle de surveillance du marché et de protection des consommateurs.
Aucune de ces situations ne s'applique clairement : c'est souvent le signe que votre système d'IA est peu ou pas risqué au sens du règlement — notre article sur le règlement sur l'IA pour les PME belges détaille les niveaux de risque et les sanctions applicables.

Ce que cela change concrètement pour une PME belge

Concrètement, il n'y a pas un numéro de téléphone unique à composer en cas de doute. Pour la grande majorité des PME belges qui utilisent l'IA — service client, recrutement, marketing, analyse de données — l'APD/GBA reste l'interlocuteur le plus probable, parce que la quasi-totalité des usages d'IA en entreprise touchent d'une façon ou d'une autre à des données personnelles. Le réflexe utile n'est donc pas de mémoriser un organigramme institutionnel encore mouvant, mais de documenter, pour chaque système d'IA utilisé, sa finalité, les données traitées et le niveau de risque associé. C'est ce document, plus que la connaissance exacte du bon régulateur, qui vous protège en cas de contrôle — quel que soit l'organisme qui se présente.

Une checklist pour savoir à qui vous auriez affaire

Le système traite-t-il, même indirectement, des données concernant une personne identifiée ou identifiable ? Si oui, l'APD/GBA est concernée.
Le système est-il utilisé dans un contexte financier, de crédit ou d'assurance ? Pensez FSMA.
Le système touche-t-il à un dispositif médical ou à une décision de santé ? Pensez AFMPS.
Le système influence-t-il une décision commerciale visible du consommateur (prix, publicité, recommandation) ? Le SPF Économie peut être concerné.
Le système est-il fourni par un tiers établi hors de Belgique ? La coopération entre autorités de surveillance du marché des différents États membres peut s'appliquer.
Vous ne savez toujours pas répondre à ces questions ? C'est le signal qu'il manque un inventaire clair de vos systèmes d'IA — un point de départ que la plupart des PME belges n'ont pas encore formalisé.

Information générale, pas un conseil juridique

Ce qui précède est une information générale destinée à clarifier un paysage institutionnel encore en mouvement ; ce n'est pas un conseil juridique, et la situation propre à votre entreprise peut justifier une analyse individualisée, notamment si votre activité touche à plusieurs secteurs régulés à la fois. Chez Komplya, nous distinguons clairement le contenu qui a été revu juridiquement de celui qui reste un document de travail, et nous actualisons cet article à mesure que le paysage institutionnel belge se précise.

La question la plus utile n'est pas "qui va me contrôler", mais "est-ce que je pourrais répondre si on me le demandait". Notre questionnaire en ligne vous aide à identifier, en quelques minutes, les systèmes d'IA que vous utilisez déjà, leur niveau de risque probable, et les points à documenter en priorité — sans attendre qu'un régulateur, quel qu'il soit, vous pose la question en premier.