Cabinets d'avocats en droit du numérique et des technologies en Belgique

L'AI Act repose sur une classification par niveau de risque. Certaines pratiques sont interdites, les systèmes à haut risque sont soumis à des obligations lourdes de gestion des risques, de qualité des données, de documentation technique, de journalisation, de transparence et de contrôle humain, et les systèmes à risque limité à des obligations d'information. Les obligations s'appliquent différemment selon que vous êtes fournisseur ou déployeur d'un système. Le calendrier d'application est échelonné : la première étape utile est un inventaire des systèmes d'IA utilisés dans l'entreprise et leur classification.

NIS2 a été transposée en droit belge en 2024, avec le Centre pour la Cybersécurité Belgique comme autorité nationale. La démarche commence par déterminer si l'entité est essentielle ou importante au sens du texte, ce qui dépend du secteur et de la taille. Suivent l'enregistrement auprès du CCB, la mise en place de mesures de gestion des risques, l'obligation de notification des incidents significatifs selon un calendrier en plusieurs étapes, et la responsabilisation explicite de l'organe de direction. Le référentiel CyFun développé par le CCB sert de cadre de mise en œuvre et de certification.

Un transfert vers un pays tiers n'est licite que s'il repose sur une base du chapitre V du RGPD : décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes, ou une dérogation d'application stricte. Depuis l'arrêt Schrems II, les clauses contractuelles types ne suffisent pas seules : elles supposent une évaluation d'impact du transfert, documentant la législation du pays destinataire et, le cas échéant, des mesures supplémentaires techniques ou organisationnelles. Cette analyse doit être écrite et conservée.

Les premières réactions engagent la suite. Il faut identifier la nature de la saisine, plainte individuelle ou enquête d'initiative, vérifier le périmètre exact des informations demandées, et répondre dans les délais sans élargir spontanément le champ. La documentation de conformité existante, registre des traitements, analyses d'impact, politiques internes, constitue la principale ligne de défense. Une entreprise qui produit un registre à jour se trouve dans une position radicalement différente de celle qui le reconstitue après coup.

Le RGPD impose de notifier à l'autorité de contrôle toute violation susceptible d'engendrer un risque pour les droits et libertés des personnes, dans les soixante-douze heures dès que vous en avez connaissance. En pratique, la séquence est : contenir l'incident, documenter les faits et l'heure de découverte, évaluer le risque, notifier l'APD même si l'analyse est incomplète, puis informer les personnes concernées si le risque est élevé. Toute violation doit être consignée dans un registre interne, même celles qui ne sont pas notifiées.

Cherchez une équipe qui a déjà négocié du côté client et du côté fournisseur : elle sait où sont les vrais points de friction. Les clauses qui comptent sont la réversibilité et la sortie, les niveaux de service et leurs pénalités, la propriété des données et des développements spécifiques, la limitation de responsabilité rapportée au préjudice réel, et l'accord de sous-traitance annexe. Un contrat SaaS non négocié sur la sortie est une dépendance, pas un contrat.

Une fintech belge cumule le droit du numérique et un socle réglementaire financier : agrément ou exemption auprès de la FSMA ou de la Banque nationale selon l'activité, obligations de lutte contre le blanchiment, DORA pour la résilience opérationnelle numérique, et le régime MiCA pour les crypto-actifs. Vérifiez que le cabinet couvre à la fois le volet technologique et le volet réglementaire financier, ou qu'il travaille avec une équipe interne dédiée, car un conseil qui ne couvre qu'une moitié du sujet crée un faux sentiment de sécurité.

Les deux textes ne visent pas les mêmes acteurs. Le règlement sur les services numériques s'applique à tous les intermédiaires en ligne, avec des obligations graduées selon la taille : conditions générales lisibles, mécanisme de notification et d'action sur les contenus illicites, motivation des décisions de modération, voie de recours interne, et pour les très grandes plateformes une analyse annuelle des risques systémiques et un audit indépendant. Le règlement sur les marchés numériques, lui, ne concerne qu'un petit nombre de contrôleurs d'accès désignés par la Commission, avec des interdictions précises d'auto-préférence et de couplage. En Belgique, le coordinateur pour les services numériques est l'IBPT. La première question à trancher est donc de savoir dans quelle catégorie vous tombez : la plupart des plateformes belges relèvent du DSA sans être concernées par le DMA.

L'essentiel figure dans le Code de droit économique. Avant la commande : information précontractuelle complète sur le prix toutes taxes comprises, les frais de livraison, l'identité du vendeur et les modalités de rétractation. Au moment de commander : un bouton dont le libellé indique sans ambiguïté l'obligation de payer. Après : un droit de rétractation de quatorze jours pour la plupart des ventes à distance, assorti d'exceptions limitées, et la garantie légale de conformité. S'y ajoutent l'interdiction des pratiques commerciales déloyales, l'encadrement des avis en ligne et des réductions de prix annoncées, et les règles applicables aux abonnements à reconduction tacite. Les manquements les plus sanctionnés en pratique sont l'information précontractuelle incomplète et l'affichage de prix de référence non justifiés.

Legal 500, pas nous. Les tiers affichés sur cette page sont ceux que Legal 500 publie pour la Belgique en ICT, numérique & technologies, repris tels quels, sans modification de l'ordre ni de la composition. Nous n'avons pas mené les entretiens de praticiens et de clients qui permettraient de hiérarchiser nous-mêmes des cabinets : plutôt que d'inventer une échelle maison qui aurait l'air d'une évaluation sans en être une, nous citons la publication qui a fait ce travail.

Par nos soins, et sur un critère unique : le nombre de domaines de pratique belges dans lesquels Legal 500 recense le cabinet. Ce chiffre figure sur chaque carte et n'importe qui peut le recompter. Legal 500 ne départage pas les cabinets d'un même tier ; nous introduisons donc cet ordre pour rendre la lecture possible, en sachant ce qu'il vaut. Il mesure l'étendue d'une pratique, pas la qualité d'un travail : dans un même tier, une boutique et un cabinet full-service sont considérés comme équivalents par le classement, et c'est le classement qui fait foi.

Ce sont les deux références les plus utilisées du marché belge, et elles ont une valeur réelle : leurs équipes interrogent des praticiens et des clients, année après année, sur des dossiers concrets. Leur limite tient à leur mode de collecte. Le référencement part d'une soumission du cabinet : une structure qui ne dépose pas de dossier n'apparaît pas, ce qui sous-représente mécaniquement les boutiques et les cabinets qui ne font pas de démarche commerciale. Un Tier 1 vous dit qu'un cabinet est reconnu par ses pairs et ses clients sur l'ensemble d'un domaine ; il ne vous dit pas qu'il est le bon pour votre dossier.

De l'index Legal 500 pour la Belgique, relevé domaine par domaine pour l'édition 2026 : un cabinet figure ici en ICT, numérique & technologies s'il y est classé, et à son tier. Conséquence directe et assumée : un cabinet absent de Legal 500 est absent d'ici, sans que cela dise quoi que ce soit de sa qualité. Si vous en connaissez un qui devrait y figurer, écrivez-nous. Ni Legal 500 ni Chambers ne sont partenaires de ce site et aucun des deux n'en approuve le contenu.