AI Act PME Belgique : la checklist avant le 2 août 2026

Le calendrier réel de l’AI Act

Le Règlement (UE) 2024/1689, plus connu sous le nom d’AI Act, est entré en vigueur le 1er août 2024. Son application est échelonnée jusqu’au 2 août 2027. Beaucoup de PME pensent qu’elles ont jusqu’à 2027 pour s’en occuper. Ce n’est pas exact.

1. 2 février 2025
   Pratiques IA interdites + littératie IA Interdictions des usages inacceptables (scoring social, manipulation cognitive, biométrie à des fins policières non encadrées) et obligation de littératie IA pour le personnel.
2. 2 août 2025
   Modèles à usage général (GPAI) Obligations pour les fournisseurs de modèles fondationnels (OpenAI, Anthropic, Mistral, etc.). Sans effet direct sur la majorité des PME.
3. 2 août 2026
   Cœur de l'AI Act Obligations principales pour les systèmes IA à haut risque (article 6 + Annexe III) et obligations de transparence pour les contenus générés par IA (article 50). C'est l'échéance qui concerne le plus de PME.
4. 2 août 2027
   Systèmes haut risque pré-existants Obligations restantes pour les systèmes IA à haut risque déjà sur le marché avant août 2026.

AI Act - Implementation timeline, vérifié le 17 mai 2026

Pour 90 % des PME belges qui n’utilisent pas d’IA dans les domaines listés à l’Annexe III (santé, justice, infrastructure critique, recrutement, éducation, etc.), l’enjeu principal de 2026 est l’article 50 sur la transparence, et l’article 4 sur la littératie.

Ce qui concerne directement votre PME en 2026

1. Littératie IA pour vos collaborateurs (déjà en application depuis février 2025)

L’article 4 vous oblige à prendre des mesures pour que vos collaborateurs qui utilisent ou exploitent des systèmes IA aient un niveau de compétence suffisant. En clair : si votre équipe utilise ChatGPT, Copilot, ou un agent IA développé par un prestataire, vous devez documenter une démarche de formation.

Ce qui est concrètement attendu :

• Une politique d’usage écrite (peut tenir en deux pages).
• Une formation interne courte (1-2h) couvrant : ce qu’est l’IA générative, ses limites, les risques (hallucinations, fuites de données confidentielles, RGPD), les bons usages dans l’entreprise.
• Une trace formelle (signature, attestation, capture LMS) que chaque collaborateur concerné l’a suivie.

Coût réaliste : 1 500 à 4 000 € pour une PME de 20-50 personnes en passant par un prestataire, ou 1-2 jours en interne avec une personne compétente.

2. Transparence sur les contenus générés par IA (article 50, applicable août 2026)

Si votre PME publie du contenu généré ou substantiellement modifié par IA (texte, image, audio, vidéo) à destination du public, vous devez l’indiquer de manière claire et lisible. Cela couvre :

• Articles de blog rédigés majoritairement par IA.
• Images marketing générées par IA.
• Voix off synthétiques sur vos vidéos.
• Chatbots qui doivent indiquer qu’ils sont des chatbots dès le premier message.

Ce qui ne compte pas (et donc pas besoin de mention) :

• Texte humain corrigé par grammarly ou un outil de relecture IA.
• Code corrigé par Copilot ou Cursor.
• Documents internes générés ou assistés par IA.

3. Si vous utilisez l’IA en recrutement, scoring crédit ou autres usages haut risque (Annexe III)

Articulation avec le RGPD

L’AI Act ne remplace pas le RGPD. Il s’y ajoute. Concrètement, si votre système IA traite des données personnelles :

• Vous restez soumis au RGPD (base légale, minimisation, droits des personnes).
• L’AIPD (analyse d’impact RGPD) reste obligatoire pour les traitements à risque.
• L’AI Act ajoute des obligations spécifiques en plus.

La bonne nouvelle : une AIPD bien faite couvre une bonne partie du travail documentaire requis par l’AI Act pour les systèmes à haut risque. Mauvaise nouvelle : si vous n’avez jamais fait d’AIPD, vous accumulez deux dettes réglementaires.

Autorité belge de Protection des Données, position IA / RGPD, consultée le 17 mai 2026

Checklist pratique pour août 2026

Niveau 1 - toutes les PME qui utilisent de l'IA, même juste ChatGPT

• Politique d'usage IA interne rédigée et diffusée
• Formation de base IA pour les collaborateurs concernés
• Traces formelles de la formation (signature, attestation, capture LMS)
• Inventaire des outils IA utilisés dans l'entreprise (qui les utilise, pour quoi)

Niveau 2 - PME qui publient du contenu généré par IA

• Mention « contenu généré ou modifié par IA » sur les pages concernées
• Chatbots affichant clairement leur nature dès le 1er message
• Watermark ou métadonnée sur les images / vidéos synthétiques

Niveau 3 - PME qui déploient de l'IA en recrutement, scoring, biométrie

• Analyse pour confirmer la classification haut risque
• Accompagnement par un avocat IT et un consultant technique
• AIPD complète
• Documentation technique conforme aux annexes du règlement
• Journalisation automatique active
• Procédure de surveillance humaine documentée

Qui peut vous accompagner en Belgique

Plusieurs profils selon le besoin :

• Avocats IT belges spécialisés en RGPD et désormais en AI Act : Lexing Belgium, Crowell & Moring Brussels, Loyens & Loeff. Pour les PME, des cabinets plus accessibles à Liège, Namur ou Gand.
• DPO externalisés qui ont monté en compétence sur l’AI Act : recherche « DPO + AI Act » sur LinkedIn Belgique.
• Cabinets de conseil belges (PwC, EY, Deloitte) pour les structures avec gouvernance déjà mature.
• Agences IA pour la partie technique de mise en conformité (journalisation, audit de modèle, gouvernance des données) : Digispire, Faktion, ML6, In The Pocket, ainsi qu’ARCKONE, éditeur de ce site. Les agences ne sont pas juristes ; la qualification juridique du risque doit être validée par un avocat.

Erreurs à éviter

1. Attendre 2027 en pensant qu’il n’y a rien à faire en 2026. L’article 4 (littératie) s’applique déjà depuis février 2025, et l’article 50 entre en application en août 2026.
2. Confondre AI Act et RGPD. Les deux s’appliquent. Faire l’un ne dispense pas de l’autre.
3. Surdimensionner sa réponse. Beaucoup de cabinets vendent des prestations à 50 000 € pour des PME dont l’exposition réelle ne justifie pas ça. La majorité des PME ont besoin du niveau 1 et parfois du niveau 2.
4. Sous-dimensionner pour les usages haut risque. À l’inverse, déployer une IA de recrutement sans s’occuper de la conformité est risqué.
5. Ne pas documenter. Tout l’AI Act repose sur la preuve documentaire. Faire les choses sans les écrire, c’est ne pas les faire aux yeux d’un contrôle.