La Belgique dispose désormais d’un cadre européen pour limiter certains risques liés à l’intelligence artificielle. Mais la présence d’un règlement ne suffit pas à garantir, à elle seule, une protection complète des citoyens.
La réponse dépendra de trois éléments très concrets : la portée des règles, la capacité des autorités à les faire respecter et la possibilité, pour les personnes concernées, de comprendre une décision automatisée et d’obtenir un recours. Pour les entreprises belges, notamment les TPE et PME, cette évolution impose aussi de mieux encadrer les usages internes de l’IA.
Un cadre européen pour réduire les risques intelligence artificielle
Le règlement européen sur l’intelligence artificielle, souvent appelé AI Act, est entré en vigueur le 1er août 2024. Il constitue le socle principal de la réglementation IA Europe et organise les obligations selon le niveau de risque présenté par chaque système.
Cette approche évite de traiter de la même manière un outil de génération de texte, un logiciel utilisé dans le recrutement ou une application intervenant dans un domaine sensible. Plus les conséquences possibles pour les droits, la sécurité ou les libertés sont importantes, plus les exigences deviennent strictes.
Des pratiques interdites et des obligations renforcées
Certaines pratiques considérées comme inacceptables sont interdites. Le cadre européen vise notamment les manipulations, l’exploitation de vulnérabilités et certaines pratiques biométriques susceptibles de porter gravement atteinte aux personnes.
Les systèmes classés à haut risque doivent, quant à eux, respecter des exigences renforcées. Elles concernent notamment :
- la gestion et la réduction des risques ;
- la qualité et la traçabilité de la documentation ;
- la supervision humaine ;
- la robustesse et la cybersécurité ;
- le suivi du fonctionnement du système dans son contexte d’utilisation.
Ce dispositif peut contribuer à la protection des citoyens IA, mais il ne supprime pas le risque d’erreur, de biais ou de mauvais usage. Il déplace aussi une partie de la responsabilité vers les fournisseurs et les organisations qui déploient ces outils.
Une application progressive qui retarde certaines garanties
Les premières obligations, notamment l’interdiction de certaines pratiques et l’obligation de développer une culture de l’IA, s’appliquent depuis le 2 février 2025. D’autres règles deviennent applicables progressivement, ce qui rend le calendrier difficile à suivre pour les organisations.
Les obligations de transparence doivent notamment s’appliquer à partir du 2 août 2026 pour certains systèmes. Elles concernent, selon les cas, l’information des utilisateurs lorsqu’ils interagissent avec une IA ainsi que l’identification de certains contenus générés ou modifiés artificiellement.
Le cas particulier des systèmes à haut risque
Le calendrier n’est pas identique pour toutes les catégories de systèmes. Les règles visant certains systèmes à haut risque relevant de l’annexe III sont prévues à partir du 2 décembre 2027, tandis que les systèmes à haut risque intégrés dans des produits réglementés peuvent être concernés à partir du 2 août 2028.
Ce phasage laisse du temps aux entreprises pour se préparer, adapter leurs procédures et documenter leurs usages. Il signifie aussi que certaines garanties concrètes n’entrent pas en application immédiatement, alors que les outils d’IA sont déjà utilisés dans la vie professionnelle et quotidienne.
Pour une PME wallonne, attendre la date limite peut donc être une stratégie fragile. Un inventaire des outils utilisés, une vérification des données traitées et des règles internes simples permettent déjà de réduire les risques sans attendre l’échéance réglementaire.
La Belgique doit encore rendre le contrôle réellement opérationnel
Le principal défi belge ne réside pas uniquement dans l’existence des règles européennes. Il concerne leur mise en œuvre nationale : quelle autorité intervient, comment un citoyen introduit-il une plainte et quelles sanctions peuvent effectivement être appliquées ?
En juillet 2026, le dispositif belge de contrôle n’était pas encore pleinement opérationnel et la procédure nationale permettant aux citoyens de déposer une plainte n’était pas disponible. Le BIPT était appelé à jouer un rôle central comme autorité belge de surveillance, avec l’intervention d’autres autorités selon les secteurs concernés.
Éviter les zones grises entre autorités
Un même système peut toucher plusieurs domaines à la fois. Un outil de recrutement peut soulever une question de discrimination, de protection des données et de droit du travail. Une application destinée aux consommateurs peut aussi concerner les télécommunications, la sécurité ou la transparence commerciale.
Une protection efficace suppose donc une coordination réelle entre les autorités compétentes en matière de données personnelles, de consommation, d’emploi, de télécommunications et de secteurs réglementés. Sans cette coordination, une entreprise peut ne pas savoir à qui s’adresser et un citoyen peut rencontrer des difficultés pour faire valoir ses droits.
La crédibilité du dispositif dépendra également des moyens humains et techniques disponibles. Une règle difficile à contrôler, ou une plainte qui reste sans suite, protège moins efficacement qu’un cadre plus simple mais effectivement appliqué.
Les dangers de l’intelligence artificielle dépassent la conformité
L’AI Act répond à une partie des dangers de l’intelligence artificielle, mais il ne couvre pas mécaniquement toutes les menaces. La sécurité d’un système ne dépend pas uniquement de son classement réglementaire : elle dépend aussi de son intégration dans une organisation, de ses accès aux données et de la manière dont les utilisateurs interprètent ses résultats.
Les risques peuvent prendre plusieurs formes :
- discrimination résultant de données incomplètes ou de critères mal choisis ;
- atteinte à la vie privée par une collecte ou une réutilisation excessive des données ;
- fraude, usurpation et contenus artificiels trompeurs ;
- désinformation et amplification de contenus difficiles à vérifier ;
- cyberattaques visant les modèles, les interfaces ou les données ;
- dépendance économique et stratégique envers des fournisseurs étrangers.
Cette dernière dimension est souvent sous-estimée. La sécurité IA Union européenne dépend aussi de la capacité de l’Europe à développer ses propres compétences, infrastructures et capacités technologiques. Une organisation qui repose entièrement sur un fournisseur externe peut être exposée à des changements de conditions, à des interruptions de service ou à des enjeux de souveraineté des données.
Ce que les entreprises peuvent faire dès maintenant
La conformité ne devrait pas être traitée comme une formalité administrative isolée. Dans une petite structure, elle commence par une vision claire des usages réels : outils de rédaction, assistants commerciaux, analyse de documents, automatisations, recrutement ou traitement de données clients.
Mettre en place une première gouvernance pratique
Une démarche proportionnée peut s’appuyer sur quelques décisions simples. L’objectif n’est pas de bloquer l’innovation, mais de savoir où l’IA intervient et quelles précautions sont nécessaires.
- Recenser les outils d’IA utilisés par l’entreprise et les équipes.
- Identifier les données introduites dans chaque outil, notamment les informations confidentielles ou personnelles.
- Déterminer si l’outil influence une décision concernant un collaborateur, un candidat, un client ou un fournisseur.
- Définir les usages autorisés, les usages interdits et les validations humaines obligatoires.
- Conserver une trace des décisions importantes, des contrôles effectués et des incidents rencontrés.
- Former les utilisateurs à la vérification des résultats, à la confidentialité et aux limites des systèmes.
Cette base aide aussi à répondre à l’obligation de culture de l’IA. Une équipe formée identifie plus facilement une hallucination, un biais, une fuite de données ou une recommandation qui ne devrait pas être suivie automatiquement.
La protection des citoyens dépendra du recours
Une réglementation protège réellement lorsqu’une personne peut comprendre qu’elle est concernée, savoir quelle règle s’applique et obtenir une réponse lorsqu’un problème survient. La transparence sur l’interaction avec une IA constitue donc un premier niveau de protection, mais elle ne suffit pas toujours.
Dans les situations sensibles, les citoyens doivent aussi pouvoir contester une décision, demander une intervention humaine et obtenir réparation lorsqu’un dommage est établi. Cette protection nécessite des procédures accessibles, des autorités identifiables et des entreprises capables de reconstituer le fonctionnement de leurs outils.
Pour les organisations, cela implique de ne pas considérer l’IA comme une boîte noire externalisée. Même lorsqu’un outil est fourni par un prestataire, l’entreprise doit connaître son usage, ses limites, les données transmises et les contrôles prévus.
Une protection possible, mais jamais automatique
La Belgique peut protéger ses citoyens contre une partie des risques de l’intelligence artificielle grâce au cadre européen, aux obligations imposées aux fournisseurs et à la coopération entre autorités. L’AI Act crée une base importante pour interdire certaines pratiques, encadrer les systèmes à haut risque et améliorer la transparence.
Il ne garantit toutefois pas une protection complète. Les effets réels dépendront de la rapidité de la mise en œuvre belge, de la capacité de contrôle, de l’accès aux plaintes et de la préparation des entreprises. La réglementation IA Europe réduit les risques ; elle ne remplace ni la vigilance humaine, ni la gouvernance interne, ni la responsabilité des organisations.
Pour une indépendante, une TPE ou une PME de Wallonie et du Brabant wallon, la prochaine étape consiste à passer d’un usage spontané à un usage maîtrisé : cartographier les outils, protéger les données, former les équipes et vérifier les décisions influencées par l’IA.