Règlement sur l'IA en Belgique : ce qu'une PME doit vérifier

Quelqu'un dans votre équipe a commencé à utiliser ChatGPT pour rédiger des propositions commerciales, ou un logiciel que vous payez depuis des années a soudain reçu une fonction d'intelligence artificielle intégrée sans qu'on vous demande votre avis. Puis, lors d'une réunion avec un client ou un partenaire — peut-être une institution basée à Bruxelles, peut-être un grand groupe qui répond lui-même à des appels d'offres européens — quelqu'un a prononcé les mots « règlement sur l'IA » d'un air entendu, comme si votre entreprise devait déjà tout savoir sur le sujet. Cette page est faite pour clarifier la situation, sans jargon et sans dramatiser.

Un règlement européen qui s'applique directement en Belgique, sans loi belge à voter d'abord

Le règlement (UE) 2024/1689, dit règlement sur l'IA ou AI Act, est un règlement européen et non une directive. Il s'applique donc tel quel en Belgique, comme dans les 26 autres États membres, sans qu'une loi fédérale doive d'abord le transposer en droit belge — contrairement à ce qui se passe pour certains textes européens qui laissent une marge de manœuvre nationale. Ce que la Belgique doit organiser, en revanche, c'est la désignation des autorités chargées de surveiller son application sur le territoire et de sanctionner les manquements. Ce travail institutionnel avance, à l'échelle de l'Union, à des rythmes différents selon les États membres, et la Belgique ne fait pas exception à ce flottement encore observable début 2027.

Qui contrôle réellement l'application du règlement en Belgique

En matière de protection des données, l'autorité de référence en Belgique est l'Autorité de protection des données (APD), aussi appelée GBA côté néerlandophone pour Gegevensbeschermingsautoriteit — une autorité officiellement bilingue qui a succédé en 2018 à l'ancienne Commission de la protection de la vie privée. L'APD s'intéresse déjà aux usages de l'IA qui touchent aux données personnelles, ce qui concerne une bonne partie des outils qu'une PME utilise au quotidien : CRM, recrutement, service client. Pour le règlement sur l'IA proprement dit en revanche, la désignation formelle de l'autorité ou des autorités belges compétentes pour la surveillance du marché n'était pas encore totalement stabilisée au moment de la rédaction de cet article — un flou que la Belgique partage avec plusieurs autres États membres. La structure fédérale du pays, avec des compétences économiques partiellement régionalisées entre la Wallonie, la Flandre et la Région de Bruxelles-Capitale, pourrait ajouter une couche de coordination supplémentaire ; nous ne pouvons pas affirmer aujourd'hui quelle répartition précise des rôles sera retenue, et nous mettrons cette page à jour dès que le dispositif belge sera clarifié.

Ce qui est déjà concret, en revanche, c'est la pression indirecte propre à la Belgique : Bruxelles héberge la Commission européenne, une partie du Parlement européen, de nombreuses représentations permanentes des États membres et un écosystème dense de cabinets de conseil, d'affaires publiques et de lobbying qui travaillent pour ou avec ces institutions. Ces donneurs d'ordre sont souvent les premiers à intégrer des clauses liées au règlement sur l'IA dans leurs appels d'offres et leurs contrats de sous-traitance. Une PME belge qui travaille, même indirectement, pour une institution européenne ou pour un grand groupe déjà soumis à ces exigences peut donc se voir demander des garanties bien avant que la surveillance officielle du marché belge ne soit pleinement opérationnelle.

Ce qu'il vous en coûte de vous tromper

Le règlement prévoit trois paliers de sanctions administratives, définis à l'article 99 :

• Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu, pour les pratiques d'IA interdites (notation sociale, manipulation cognitive, certains usages de reconnaissance biométrique).
• Jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel pour le non-respect des obligations applicables aux systèmes d'IA à haut risque et à certains fournisseurs de modèles à usage général.
• Jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial annuel pour la transmission d'informations inexactes, incomplètes ou trompeuses aux autorités.

Ce qu'une PME belge doit vérifier concrètement

• Votre entreprise fournit-elle un système d'IA (éditeur, intégrateur) ou se contente-t-elle de l'utiliser (déployeur) ? Les obligations diffèrent fortement selon le rôle.
• L'un de vos outils IA sert-il à évaluer, noter ou filtrer des personnes — candidats à l'embauche, clients pour un crédit, salariés pour une promotion ? C'est le terrain le plus susceptible de basculer dans le « haut risque ».
• Un client, en particulier une institution européenne, un pouvoir public belge ou un grand groupe, vous a-t-il déjà demandé une attestation ou une clause liée au règlement sur l'IA dans un contrat ou un appel d'offres ?
• Savez-vous quels outils d'IA sont réellement utilisés dans votre entreprise aujourd'hui, y compris ceux adoptés spontanément par une équipe sans validation IT ?
• Avez-vous une personne ou un rôle clairement identifié comme responsable du suivi de ces sujets, même à temps partiel ?

Information générale, pas un conseil juridique

Tout ce qui précède est une information générale destinée à vous orienter, pas un conseil juridique adapté à votre situation particulière — le règlement sur l'IA comporte des exceptions et des cas limites que seul un examen concret de vos outils et de vos contrats peut trancher. Chez Komplya, nous distinguons toujours clairement ce qui a été revu et validé juridiquement de ce qui reste un contenu de travail encore en cours d'affinage, et cette page relève de la seconde catégorie tant que le paysage institutionnel belge n'est pas pleinement stabilisé.

Le moyen le plus rapide d'y voir clair pour votre PME n'est pas de lire l'intégralité du règlement, mais de partir de votre propre usage réel de l'IA. Répondez à un court questionnaire sur les outils que votre entreprise utilise déjà et obtenez une lecture en langage simple de votre situation probable, avec les points à vérifier en priorité.