RGPD et règlement sur l'IA en Belgique : les obligations des entreprises

Publié 2026-08-10· 6 min de lectureRGPD et IA

Votre entreprise a probablement déjà un registre des traitements RGPD, peut-être même une analyse d'impact relative à la protection des données (AIPD) classée quelque part dans un dossier de conformité. Puis quelqu'un — un client, un partenaire, un article de presse — a mentionné que le règlement sur l'intelligence artificielle s'applique aussi à votre outil de tri de CV, à votre chatbot de service client ou à votre système de scoring de crédit. Le réflexe est de se demander s'il faut tout reprendre à zéro. Ce n'est pas le cas : une bonne partie du travail RGPD déjà réalisé sert de socle au règlement IA. Mais les deux textes ne posent pas exactement les mêmes questions, et traiter l'un comme un simple doublon de l'autre laisse des trous dans la conformité.

Un même outil d'IA, deux textes qui s'appliquent en parallèle

Dès qu'un système d'intelligence artificielle traite des données personnelles — ce qui est le cas de la quasi-totalité des outils de recrutement, de relation client ou de scoring utilisés par les PME belges — le RGPD s'applique, comme il s'applique depuis 2018 sous le contrôle de l'Autorité de protection des données (APD/GBA). Le règlement sur l'IA s'ajoute à cette base sans la remplacer : il encadre le système en tant que tel, indépendamment du fait qu'il traite ou non des données personnelles, dès lors qu'il entre dans une catégorie de risque définie par le texte. Notre article sur le règlement sur l'IA pour les PME belges détaille les niveaux de risque et les sanctions applicables ; ici, l'angle est différent : comment ces deux textes se répondent, se recoupent et, parfois, imposent des obligations distinctes pour un seul et même outil.

Article 22 du RGPD et annexe III du règlement IA : deux tests, pas un seul

C'est le point de confusion le plus fréquent. L'article 22 du RGPD encadre les décisions individuelles automatisées, y compris le profilage, qui produisent des effets juridiques ou affectent une personne de façon significative — refus de crédit automatique, licenciement décidé par algorithme, etc. Ce test porte sur l'effet produit sur la personne, quel que soit le secteur. L'annexe III du règlement IA, elle, dresse une liste de domaines considérés comme à haut risque — recrutement, notation de crédit, accès à des services essentiels, entre autres — indépendamment du degré d'automatisation de la décision finale. Un outil de tri de CV qui se contente de classer des candidatures pour qu'un recruteur humain tranche ensuite peut échapper à l'article 22 du RGPD, la décision restant humaine, tout en relevant de l'annexe III du règlement IA, le recrutement y figurant explicitement. À l'inverse, un système de notation de crédit entièrement automatisé peut déclencher les deux régimes en même temps. Il faut donc faire les deux vérifications séparément pour chaque outil, pas une seule.

AIPD (article 35 du RGPD) et analyse d'impact sur les droits fondamentaux (article 27) : compléter, pas refaire

Si votre outil d'IA traite des données personnelles à risque élevé pour les personnes concernées, l'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD), sous le contrôle de l'APD/GBA. Le règlement IA introduit, à son article 27, une analyse d'impact sur les droits fondamentaux — mais son champ est nettement plus étroit : elle vise principalement les organismes de droit public, certains acteurs privés fournissant des services publics, ainsi que les banques et assureurs qui déploient des systèmes d'IA à haut risque au sens de l'annexe III. La plupart des PME belges ne seront donc pas concernées par cette analyse en tant que telle, sauf si elles opèrent dans ces secteurs précis. Quand les deux obligations coexistent, l'article 27§4 du règlement IA permet explicitement de s'appuyer sur une AIPD déjà réalisée pour remplir une partie des exigences de l'analyse d'impact sur les droits fondamentaux, plutôt que de repartir de zéro. L'enjeu pratique n'est donc pas de produire deux documents indépendants, mais de vérifier que l'AIPD existante couvre déjà les questions posées par le règlement IA et de compléter les points manquants.

Ce que l'APD/GBA a déjà balisé

L'APD/GBA dispose de ressources dédiées à l'intelligence artificielle et participe aux travaux de coordination européenne sur l'articulation entre RGPD et règlement IA, notamment via le Comité européen de la protection des données. Le sujet évolue vite et les guides pratiques sont régulièrement mis à jour : mieux vaut vérifier l'état le plus récent des publications de l'APD/GBA au moment de la lecture plutôt que se fier à une référence figée. Ce qui reste constant, en revanche, c'est le principe : le règlement IA ne dispense d'aucune obligation RGPD existante. Point spécifiquement belge à surveiller — quand un outil d'IA touche aux marchés financiers, par exemple un système de scoring d'investissement ou un robo-advisor, ou aux dispositifs médicaux et médicaments, les compétences de l'APD/GBA peuvent se recouper avec celles de la FSMA ou de l'AFMPS. Dans ces cas, la conformité RGPD et règlement IA ne suffit pas à elle seule : des obligations sectorielles s'ajoutent, et il vaut mieux identifier tôt quel régulateur est compétent sur quel aspect plutôt que de le découvrir lors d'un contrôle.

Ce qu'il faut vérifier, système par système

Le système traite-t-il des données personnelles ? Si oui, le RGPD s'applique déjà, sous le contrôle de l'APD/GBA.
La décision produite affecte-t-elle une personne de façon juridique ou significative sans intervention humaine réelle ? Si oui, l'article 22 du RGPD s'applique.
Le domaine d'usage figure-t-il à l'annexe III du règlement IA (recrutement, crédit, accès à des services essentiels, entre autres) ? Si oui, le système est probablement à haut risque au sens du règlement IA, que la décision soit automatisée ou non.
Une AIPD au titre de l'article 35 du RGPD existe-t-elle déjà pour ce traitement ? Si oui, elle peut servir de base à l'analyse d'impact sur les droits fondamentaux de l'article 27, sans repartir de zéro, conformément à l'article 27§4.
Votre organisme relève-t-il du champ étroit de l'article 27 (organisme public, acteur privé assurant un service public, banque, assureur) ? Si non, cette analyse d'impact spécifique ne s'impose probablement pas, même si le système reste à haut risque.
L'activité touche-t-elle aussi les marchés financiers ou le secteur des médicaments et dispositifs médicaux ? Si oui, vérifiez si la FSMA ou l'AFMPS a une compétence complémentaire à celle de l'APD/GBA.

Information générale, pas un conseil juridique

Ce qui précède est une information générale destinée à vous orienter dans l'articulation entre RGPD et règlement IA ; ce n'est pas un conseil juridique adapté à votre situation, qui dépend de vos traitements, de votre secteur et de la version la plus récente des textes et des lignes directrices de l'APD/GBA. Quand Komplya publie ce type de contenu, nous distinguons ce qui a été revu juridiquement de ce qui reste un document de travail, et nous vous invitons à faire vérifier tout point sensible par un professionnel avant de figer une décision.

Le moyen le plus rapide de savoir concrètement où vous en êtes, système par système, est de passer en revue votre situation actuelle plutôt que de deviner. Répondez à un court questionnaire sur vos outils d'IA et vos traitements de données : vous obtiendrez une vue claire de ce qui relève déjà de votre AIPD existante, de ce qui doit être complété pour le règlement IA, et des points à surveiller du côté de l'APD/GBA, voire de la FSMA ou de l'AFMPS si votre secteur est concerné.