IA et RGPD en Belgique : ce que dit l'APD en 2026

La catégorie IA et RGPD couvre les cadres réglementaires de l'ensemble des pays francophones. En Belgique, l'autorité de référence est l'APD.

L'Autorité de protection des données belge (APD / Gegevensbeschermingsautoriteit en néerlandais) est l'autorité nationale de contrôle du RGPD pour la Belgique. Depuis 2024, son mandat s'est élargi pour intégrer les questions d'IA, en anticipation de la mise en application de l'AI Act.

En septembre 2025, l'APD a signé avec 20 autres autorités nationales de protection des données mondiales la déclaration conjointe de la Global Privacy Assembly de Séoul, intitulée « Joint Statement on Trustworthy Data Governance for AI ». Cette prise de position internationale illustre l'engagement de l'APD pour une IA innovante mais respectueuse de la vie privée — et signale que la coordination internationale sur ce sujet s'accélère.

Sur le plan documentaire, l'APD a publié une brochure officielle intitulée « Les systèmes d'intelligence artificielle et le RGPD », qui détaille les obligations RGPD applicables aux systèmes d'IA et constitue la référence pratique pour les entreprises belges. Elle a également publié une synthèse sur les interactions entre AI Act et RGPD, en anticipation de la pleine application du règlement européen sur l'IA.

L'article pilier IA et RGPD dans la francophonie pose le cadre commun UE. En Belgique, les obligations sont identiques à celles de la France et du Luxembourg sur le fond — même RGPD, même AI Act — mais le contexte institutionnel et sectoriel mérite quelques précisions.

La spécificité institutionnelle belge. La Belgique est un État fédéral avec trois régions (Flandre, Wallonie, Bruxelles-Capitale) et deux communautés linguistiques principales. Cette organisation a des implications pour le déploiement de l'IA dans certains secteurs réglementés au niveau régional, comme la santé ou l'enseignement. Les entreprises qui opèrent dans plusieurs régions doivent tenir compte de ces spécificités pour leurs AIPD.

Les points de vigilance de l'APD en 2026. L'APD a identifié deux catégories d'IA qui font l'objet d'une attention particulière : la reconnaissance faciale dans les espaces semi-publics ou les systèmes de contrôle d'accès, et l'IA générative (chatbots, outils de contenu automatisé) dont le fondement légal pour la collecte des données d'entraînement est souvent insuffisant.

Sur ce dernier point, l'APD est saisie de plaintes contre des chatbots commerciaux déployés en Belgique, dont l'instruction est en cours en 2026. Ces plaintes portent principalement sur l'absence de base légale documentée pour le traitement des données de conversation, et sur l'insuffisance de l'information donnée aux utilisateurs.

Les enjeux sectoriels. La Belgique accueille d'importants acteurs des secteurs pharmaceutique, bancaire et de l'assurance. Ces secteurs sont particulièrement concernés par l'AI Act : les outils d'aide au diagnostic, de scoring d'assurance ou de détection de fraude entrent souvent dans la catégorie « haut risque ». Pour ces entreprises, le 2 août 2026 est une date de conformité à ne pas manquer.

La brochure « Les systèmes d'intelligence artificielle et le RGPD » publiée par l'APD constitue le document de référence pratique pour les entreprises belges. Elle couvre quatre domaines.

• La minimisation des données dans les systèmes d'IA. L'APD rappelle que l'entraînement d'un modèle d'IA doit respecter le principe de minimisation : seules les données nécessaires à la finalité poursuivie peuvent être utilisées. Les organisations qui entraînent des modèles sur des bases de données clients doivent documenter pourquoi chaque type de donnée est nécessaire.
• L'évaluation des risques et les garanties à mettre en œuvre. La brochure recommande de conduire une évaluation des risques avant tout déploiement, en s'appuyant sur les critères du RGPD et de l'AI Act. Elle insiste sur la qualité des données d'entraînement — erreurs de corrélation, biais, représentativité — comme source principale de risque.
• Les droits des personnes face à l'IA. L'APD rappelle que les droits RGPD (accès, rectification, opposition, explication) s'appliquent pleinement aux traitements automatisés par IA. Les systèmes d'IA doivent être conçus pour permettre l'exercice effectif de ces droits, ce qui implique une traçabilité des décisions et une possibilité de révision humaine.
• La gouvernance interne. L'APD recommande de désigner un responsable interne de la conformité IA (qui peut être le DPO existant), de tenir un registre des systèmes IA en production, et de prévoir des revues périodiques de conformité.

Pour les entreprises qui opèrent également au Luxembourg, les obligations comparables sont décrites dans l'article IA et RGPD au Luxembourg. Pour le cadre UE complet, voir IA et RGPD dans l'Union européenne.

L'APD belge combine une posture pédagogique (brochure, synthèse AI Act/RGPD) et une posture de contrôle (enquêtes en cours sur des chatbots). Pour les entreprises belges, cela signifie que la conformité IA n'est plus un horizon lointain mais une priorité opérationnelle.

Trois actions concrètes pour les directions marketing belges : documenter la base légale de chaque outil IA en production, réaliser une AIPD pour les systèmes à risque élevé si ce n'est pas encore fait, et vérifier que l'information donnée aux utilisateurs sur l'utilisation de l'IA est conforme aux exigences RGPD — notamment sur les chatbots et les outils de personnalisation.

L'IA agentique — agents autonomes qui automatisent des workflows complets — est la prochaine frontière réglementaire. Voir comment structurer une architecture d'agents IA conformes.