IA générative en Belgique : APD, NIS2 et gouvernance au niveau du board

En Belgique, une même équipe peut écrire en français le matin, en néerlandais l'après-midi et en anglais pour le siège européen. L'IA générative est vite devenue l'outil préféré pour passer d'une langue à l'autre : traduire un contrat, reformuler un courriel client, résumer un rapport technique. C'est pratique. C'est aussi une porte de sortie discrète pour des données qui ne devraient pas quitter l'entreprise.

Pour les conseils d'administration et les comités de direction, le sujet n'est plus seulement technique. Entre le RGPD, contrôlé par l'Autorité de protection des données, et la loi NIS2 belge, suivie par le Centre pour la Cybersécurité Belgique, la gouvernance de l'IA remonte au niveau du board.

Une économie multilingue, un usage intensif de l'IA

Dans une entreprise belge, la traduction n'est pas un détail. Un groupe de distribution répond à des clients flamands, wallons et bruxellois. Un acteur logistique du port d'Anvers échange avec des partenaires du monde entier. Un cabinet de conseil bruxellois travaille avec les institutions européennes. Copier un texte dans un assistant IA pour obtenir une version propre dans une autre langue est devenu un réflexe.

Le problème, c'est ce que contient ce texte. Une lettre de licenciement, un dossier client, une offre commerciale ou un rapport d'incident partent alors vers un service externe, souvent sans contrat, sans contrôle et sans trace. C'est exactement ce que décrit notre anatomie d'une fuite de données par l'IA.

Ce que dit l'Autorité de protection des données

L'Autorité de protection des données (APD), appelée Gegevensbeschermingsautoriteit (GBA) en néerlandais, veille au respect du RGPD en Belgique. En septembre 2024, elle a publié une brochure d'information sur les systèmes d'intelligence artificielle et le RGPD, disponible en français, en néerlandais et en anglais, et a ouvert une section dédiée à l'IA sur son site.

Ce document rappelle que les principes du RGPD s'appliquent pleinement à l'IA : une base légale pour chaque traitement, la transparence envers les personnes, la limitation des finalités, la minimisation des données et la sécurité du traitement. Il insiste aussi sur la responsabilité : l'entreprise doit pouvoir documenter ses choix et ses analyses de risque. Pour un board, le message est clair : utiliser l'IA ne déplace pas la responsabilité vers le fournisseur.

NIS2 en Belgique : la direction en première ligne

La Belgique a transposé la directive NIS2 par la loi du 26 avril 2024, entrée en vigueur le 18 octobre 2024. Le Centre pour la Cybersécurité Belgique (CCB) est l'autorité compétente et gère aussi le CSIRT national. Les entités concernées devaient s'enregistrer via Safeonweb@Work, au plus tard le 18 mars 2025 pour la plupart d'entre elles.

Le point qui concerne directement les dirigeants est le suivant. Les organes de direction doivent :

• approuver les mesures de gestion des risques de cybersécurité ;

• superviser leur mise en œuvre ;

• suivre une formation pour comprendre les risques et leur impact ;

• répondre des manquements de l'entité à ces obligations.

Les assistants IA font partie de la surface de risque. Un outil non maîtrisé qui reçoit des données internes, c'est un fournisseur de plus dans la chaîne, et parfois une source d'incident. Pour aller plus loin, lisez notre article sur NIS2 et le traitement des données par l'IA.

Notification d'incident : des délais très courts

Sous NIS2, un incident significatif doit être signalé au CCB en plusieurs étapes : une alerte précoce dans les 24 heures, une notification dans les 72 heures, puis un rapport final au plus tard un mois après. Si des données personnelles sont touchées, la notification à l'APD prévue par le RGPD s'ajoute, en principe dans les 72 heures.

Ces délais supposent de savoir ce qui s'est passé. Or, quand un salarié colle un fichier client dans un chatbot public, l'entreprise ne voit souvent rien. Sans journalisation, impossible de mesurer l'ampleur d'une fuite ni de répondre avec précision à l'autorité.

Gouverner l'IA au niveau du board

Un conseil d'administration n'a pas besoin de devenir expert en IA. Il doit en revanche poser les bonnes questions et exiger des réponses documentées :

1. Inventaire : quels outils d'IA sont utilisés, par quels services, avec quelles données ?

2. Politique : quels usages sont permis, dans quelles langues et pour quels types de documents ?

3. Contrats : les fournisseurs sont-ils couverts par un contrat de sous-traitance et des garanties sur les transferts ?

4. Contrôle : comment l'entreprise sait-elle que la politique est respectée au quotidien ?

5. Preuve : quelles traces peut-on montrer à l'APD ou au CCB en cas de question ?

Le règlement européen sur l'IA ajoute une obligation de maîtrise de l'IA pour le personnel, applicable depuis le 2 février 2025. Former les équipes est donc nécessaire, mais la formation seule ne garantit pas le comportement.

Mettre en place un contrôle qui parle toutes les langues

Dans un pays à trois langues officielles, un contrôle efficace doit reconnaître les données sensibles quelle que soit la langue du texte. Un numéro de registre national, un IBAN, un nom de patient ou une clause confidentielle restent sensibles en français, en néerlandais, en allemand ou en anglais.

Une solution de DLP pour l'IA agit au moment où le texte part vers l'assistant. Elle détecte les données sensibles, les remplace par des valeurs fictives grâce à l'anonymisation qui préserve le format, avertit ou bloque selon la règle, et garde une trace exploitable. Les équipes continuent à traduire et à rédiger, sans exposer ce qui doit rester interne.

À retenir

En Belgique, l'IA générative sert souvent de pont entre les langues, et c'est par là que les données sortent. L'APD rappelle que le RGPD s'applique pleinement à l'IA. La loi NIS2 place la direction en responsabilité directe. Un board bien informé exige un inventaire, une politique claire, des contrats solides et un contrôle qui produit des preuves.

Vous voulez voir comment ZeusLock protège les échanges de vos équipes avec l'IA, dans toutes leurs langues ? Demandez une démo.