AI Act entreprises belges : guide complet (édition 2026)

Le Règlement européen sur l'intelligence artificielle — l'AI Act — est entré en vigueur le 1er août 2024 et s'applique progressivement jusqu'en 2027. Toute entreprise belge qui développe, déploie ou utilise des outils d'IA (ChatGPT, Copilot, outils de recrutement automatique, scoring crédit, etc.) doit se préparer. Ce guide détaille les obligations concrètes, le calendrier, les sanctions et les actions immédiates.

En résumé : l'AI Act classe les systèmes d'IA en 4 niveaux de risque. La majorité des PME belges utilisent des outils d'IA à risque limité ou général, qui imposent des obligations légères mais réelles : transparence, documentation, supervision humaine. Les outils à haut risque (recrutement, évaluation, scoring) sont soumis à des exigences strictes.

Qu'est-ce que l'AI Act et pourquoi concerne-t-il ma PME ?

L'AI Act (règlement UE 2024/1689) est le premier cadre juridique mondial dédié à l'intelligence artificielle. Il s'applique à :

• Les fournisseurs qui mettent sur le marché un système d'IA
• Les déployeurs qui utilisent un système d'IA dans leur activité
• Les importateurs et distributeurs
• Les utilisateurs d'outils d'IA généralistes (ex : ChatGPT, Microsoft Copilot)

Exemples concrets d'usage d'IA dans une PME belge

Règle simple : si l'IA prend une décision ou influence significativement une décision qui affecte une personne (embauche, crédit, évaluation, accès à un service), c'est probablement du haut risque.

Les 4 niveaux de risque de l'AI Act

1. Risque inacceptable (interdit)

Ces pratiques sont strictement interdites dès le 2 février 2025 :

• Manipulation cognitive ou comportementale subliminale
• Exploitation des vulnérabilités de certaines catégories de personnes (enfants, personnes handicapées)
• Évaluation sociale à l'échelle de la population par les autorités publiques (social scoring)
• Utilisation de la biométrie à distance en temps réel dans des espaces publics (sauf exceptions sécurité nationale)

Impact PME : peu de chance que vous fassiez du social scoring, mais soyez vigilants si vous travaillez dans le marketing persuasif ou l'analyse comportementale.

2. Haut risque (exigences strictes)

S'applique aux systèmes d'IA utilisés dans :

• Recrutement et RH : tri de CV, évaluation de candidats, surveillance des employés
• Éducation : notation automatique, admission
• Accès à des services essentiels : crédit bancaire, assurance, logement social
• Justice et démocratie : aide à la décision judiciaire, vote électronique
• Santé : diagnostic, aide à la prescription
• Transport : pilotage automatisé

Obligations pour les systèmes à haut risque

• Système de gestion des risques (analyse des risques tout au long du cycle de vie)
• Jeu de données de haute qualité (représentativité, absence de biais)
• Documentation technique (conception, architecture, performances)
• Enregistrement dans la base de données UE (annonce à l'autorité de marché)
• Transparence : information des utilisateurs finaux que l'IA est utilisée
• Supervision humaine : une personne doit pouvoir intervenir, corriger ou invalider la décision
• Exactitude, robustesse, cybersécurité (tests, audits, mise à jour)

Calendrier : obligations applicables à partir du 2 août 2026.

3. Risque limité (obligations de transparence)

Concerne les chatbots, les outils de génération de texte/image/audio, et les systèmes qui interagissent avec des humains :

• Chatbots : informer l'utilisateur qu'il interagit avec une machine
• Deepfakes : marquer clairement le contenu comme généré par IA
• IA générative (ChatGPT, Midjourney, Copilot) :
  • Transparence sur le fait que le contenu est généré par IA
  • Documentation du modèle (capacités, limites)
  • Respect du droit d'auteur dans les données d'entraînement
  • Mise en place de mesures contre la génération de contenu illégal

Calendrier : obligations applicables à partir du 2 août 2025.

4. Risque minimal (aucune obligation spécifique)

Les systèmes d'IA basiques (filtres spam, jeux vidéo, recommandations non personnalisées) ne sont pas soumis à des obligations supplémentaires.

Calendrier de mise en conformité pour les entreprises belges

Conseil pratique : ne pas attendre août 2026 pour préparer les systèmes à haut risque. L'audit, la documentation et la mise en place d'une supervision humaine prennent 6 à 12 mois.

Guide de conformité pratique par type d'entreprise

PME qui utilise ChatGPT / Copilot / outils d'IA générative

Statut : déployeur d'IA généraliste (risque limité/général)

Actions immédiates :

1. Inventaire : lister tous les outils d'IA utilisés par les collaborateurs (avec ou sans autorisation)
2. Politique interne : rédiger une charte d'usage de l'IA (données confidentielles interdites dans ChatGPT public, vérification des résultats, pas de décision automatique sans validation humaine)
3. Formation : sensibiliser les équipes aux risques (hallucinations, fuites de données, biais)
4. Marquage : si vous publiez du contenu généré par IA (images, texte), le mentionner explicitement
5. Contrats : vérifier que vos fournisseurs d'IA (OpenAI, Microsoft, Google) respectent l'AI Act et le RGPD

PME qui utilise l'IA pour le recrutement ou les RH

Statut : déployeur d'IA à haut risque

Actions prioritaires (dès maintenant) :

1. Déclaration : enregistrer le système d'IA dans la base de données UE (via le portail national)
2. Documentation : rédiger un dossier technique décrivant le système, ses objectifs, ses limites et ses biais potentiels
3. Audit de biais : tester le système sur des jeux de données diversifiés pour détecter les discriminations (genre, âge, origine)
4. Supervision humaine : garantir qu'un recruteur humain prend la décision finale et peut invalider la recommandation de l'IA
5. Information : informer les candidats que leur profil est analysé par une IA, de quelle manière et comment contester
6. Registre : tenir un registre des décisions prises avec l'aide de l'IA et des motifs de rejet

PME qui développe un outil d'IA

Statut : fournisseur de système d'IA

Actions critiques :

1. Classification : déterminer le niveau de risque de votre système (inacceptable, haut, limité, minimal)
2. Conformité par construction : intégrer les exigences de l'AI Act dès la phase de conception (privacy by design, fairness by design)
3. Tests et validation : réaliser des tests de robustesse, d'exactitude et de résilience avant mise sur le marché
4. CE marking : pour les systèmes à haut risque, obtenir la certification CE via un organisme notifié
5. Monitoring post-commercialisation : surveiller les performances et les incidents après le déploiement

Sanctions en cas de non-conformité

L'AI Act prévoit des sanctions financières proportionnées au chiffre d'affaires :

Bon à savoir : pour les PME et start-ups, le montant de l'amende est calculé en priorité sur le pourcentage du CA, mais le seuil absolu peut être réduit si la sanction proportionnée serait disproportionnée.

Le rôle des autorités belges

En Belgique, la supervision de l'AI Act est partagée :

• Autorité de protection des données (APD) : responsable de la conformité pour les systèmes d'IA utilisant des données personnelles (RGPD + AI Act)
• SPF Économie : autorité de marché pour les produits et services, en charge de l'enregistrement et du suivi des systèmes d'IA
• CCB (Centre pour la Cybersécurité Belgique) : accompagnement et conseil en cas d'incident lié à l'IA

Outils et ressources pour se conformer

• Module AI Act Quick Check d'Obsiden : évalue en 5 minutes le niveau de risque de vos usages d'IA et génère un plan d'action priorisé
• Portail européen AI Act : base de données des systèmes d'IA enregistrés
• Guides de l'APD belge : interprétation nationale du RGPD et de l'AI Act
• Templates de documentation : checklists et modèles de registre pour PME

Passer à l'action

L'AI Act n'est pas une menace : c'est une opportunité de structurer l'usage de l'IA dans votre entreprise, d'éviter les biais, de protéger vos données et de rassurer vos clients.

• Évalue ton niveau de risque IA en 5 minutes avec notre module AI Act Quick Check
• Consulte notre checklist cybersécurité PME pour sécuriser tes données
• Contacte-nous pour un audit IA sur mesure

FAQ — AI Act entreprises belges

L'AI Act s'applique-t-il à toutes les PME belges ?

Oui. Toute entreprise belge qui utilise, développe ou distribue un système d'intelligence artificielle est concernée, quelle que soit sa taille. La différence réside dans le niveau d'exigence : une PME qui utilise ChatGPT pour rédiger des emails a des obligations légères (transparence), tandis qu'une PME qui automatise le tri de CV a des obligations strictes (documentation, audit de biais, supervision humaine).

Quelle est la date butoir pour se conformer à l'AI Act ?

Il n'y a pas une seule date. Le calendrier est progressif : 2 février 2025 pour les interdictions (risque inacceptable), 2 août 2025 pour les obligations de transparence (IA génératives), et 2 août 2026 pour les systèmes à haut risque. Une entreprise qui utilise l'IA pour le recrutement a donc jusqu'au 2 août 2026 pour être pleinement conforme.

Utiliser ChatGPT ou Microsoft Copilot rend-il mon entreprise soumise à l'AI Act ?

Oui, mais avec des obligations légères. ChatGPT et Copilot sont classés comme systèmes d'IA à usage général (GPAI). En tant qu'utilisateur (déployeur), vous devez informer vos collaborateurs et clients que du contenu peut être généré par IA, vérifier que le fournisseur respecte le droit d'auteur, et mettre en place une charte d'usage interne. Aucune certification ou enregistrement n'est requis pour un usage standard.

Quels sont les risques si je ne me conforme pas à l'AI Act ?

Les sanctions vont jusqu'à 35 000 000 € ou 7 % du chiffre d'affaires mondial pour les pratiques interdites. Pour les obligations non respectées sur les systèmes à haut risque, c'est jusqu'à 15 000 000 € ou 3 % du CA. Pour les obligations légères (transparence), le plafond est de 7 500 000 € ou 1,5 % du CA. Pour une PME, c'est le pourcentage du CA qui s'applique généralement.

Je développe un outil d'IA : suis-je fournisseur ou déployeur ?

Vous êtes fournisseur si vous concevez ou développez le système d'IA et le mettez sur le marché. Vous êtes déployeur si vous utilisez un système d'IA développé par un tiers dans votre activité. Vous pouvez être les deux si vous adaptez un outil existant à un usage spécifique. Les obligations du fournisseur sont plus lourdes (documentation, tests, certification CE pour le haut risque).

Comment savoir si mon système d'IA est à haut risque ?

Posez-vous cette question : « L'IA influence-t-elle significativement une décision qui affecte une personne dans son accès à l'emploi, à l'éducation, au crédit, à la justice, à la santé ou au logement ? » Si oui, c'est probablement du haut risque. Les cas typiques : tri de CV, scoring crédit, évaluation des employés, diagnostic médical assisté, aide à la décision judiciaire.

Faut-il un DPO spécifique pour l'AI Act ?

Non. Le DPO (Délégué à la protection des données) désigné pour le RGPD peut également couvrir les questions liées à l'AI Act, car les deux réglementations traitent de données personnelles et de traitements automatisés. En revanche, si votre entreprise développe des systèmes d'IA à haut risque, il est recommandé de nommer une personne ou une équipe dédiée à la conformité IA.

Où puis-je enregistrer mon système d'IA ?

En Belgique, l'enregistrement des systèmes d'IA se fera via le portail de l'autorité de marché (SPF Économie) et la base de données européenne. Le portail n'est pas encore pleinement opérationnel pour tous les systèmes, mais les premiers enregistrements pour les systèmes à haut risque devraient débuter en 2026. Obsiden vous accompagne dans cette démarche.

---

Lectures complémentaires

• Checklist complète de cybersécurité PME : socle de sécurité indispensable à toute conformité IA.

• Guide complet de l'audit informatique PME : pour cadrer l'inventaire de vos systèmes IA et données.

• Sécuriser Microsoft 365 dans une PME belge : gouvernance Copilot et données IA dans M365.

• Quick Check AI Act gratuit : évaluez votre exposition au règlement en 5 minutes.

• Audit IT gratuit : score sur 100 sur la maturité de votre infrastructure.

• Infogérance & cybersécurité PME : pilotez conformité IA et sécurité en continu.

• Contactez nos experts AI Act pour un accompagnement personnalisé.

• Infogérance PME Belgique : guide complet — modèles de contrat, coûts réels et critères de choix