Administration numérique | Programme HART, point 27

Principe fondamental

L'État travaille pour le citoyen. Pas l'inverse. La Belgique possède une infrastructure d'identité numérique de classe mondiale : l'eID a été la première en Europe à être déployée obligatoirement pour tous les citoyens, itsme touche plus de 7 millions d'utilisateurs, et MyMinfin fonctionne. Mais derrière cette façade se cache un paysage fragmenté de 6 gouvernements, 10 provinces et 581 communes qui construisent chacun leurs propres systèmes, collectent leurs propres données et paient leurs propres consultants IT. Sans architecture commune, sans normes d'interopérabilité contraignantes, et sans principe once only opposable à tous les niveaux de pouvoir. Résultat : la Belgique se classe 56e à l'E-Government Development Index de l'ONU (2024), alors que le Danemark est 1er, l'Estonie 2e et Singapour 3e. L'Estonie, un pays de 1,3 million d'habitants et sans fonds pétrolier, fournit 100 % de ses services publics par voie numérique. Le Danemark économise 296 millions d'euros par an en rendant la communication numérique obligatoire. La Belgique, avec 11,5 millions d'habitants et un PIB de plus de 500 milliards d'euros, dépense plus et fournit moins. HART choisit le modèle estonien et danois : une architecture numérique contraignante qui relie tous les niveaux de pouvoir, le once only inscrit dans la loi, le numérique par défaut, et des talents techniques internes plutôt qu'une dépendance structurelle à des consultants coûteux. Qui ne peut pas suivre le virage numérique reçoit une alternative physique garantie par la loi. Pas d'exclusion, mais pas davantage d'excuse pour ralentir la numérisation.

Faits et chiffres

Fait	Chiffre	Source
Belgique, E-Government Index de l'ONU (EGDI) 2024	56e (± 0,81), loin derrière le Danemark (1er), l'Estonie (2e), Singapour (3e)	ONU EGDI 2024
eGovernment Benchmark de l'UE 2023	15e sur 35 pays européens (77 points) ; Malte 96, Estonie 92	Commission européenne
Classement DESI de la Belgique	16e dans l'UE (2022), pilier le plus faible = services publics numériques	DESI 2022 / Commission européenne
eID belge	Première en Europe à déploiement obligatoire pour tous les citoyens de 12 ans et plus (pilote 2003, national 2004), 28+ millions de cartes délivrées	KU Leuven / Thales
Utilisateurs itsme®	7+ millions, 473 millions d'actions d'identification en 2024 (± 1,3 million/jour)	Rapport annuel itsme® 2024
Usage de l'e-gouvernement par les citoyens	88 % utilisent des services publics en ligne (moyenne UE ± 70 %)	Statbel / Eurostat
Belges en situation de vulnérabilité numérique	40 % des 16-74 ans sont vulnérables numériquement (8 % sans internet, 32 % de faibles compétences)	Fondation Roi Baudouin 2024
Open Data Maturity de la Belgique	Catégorie « Follower » (74-80 %), sous la moyenne UE-27 (83 %) ; France 100 %	EU Open Data Maturity 2024
Projet IT i-Police	Contrat de 299 M€ avec Sopra Steria ; résilié en déc. 2025 après 75,8 M€ de dépenses, aucun système pleinement opérationnel livré	Belga / Cour des comptes
Marché belge de l'outsourcing IT	3,45 Mds $ (2024), en croissance vers 5,12 Mds $ d'ici 2028	Statista
Tarif journalier d'un consultant IT pour l'État	500-1.200 €/jour (100.000-250.000+ €/an), 2 à 3 fois le coût d'un collaborateur fixe	Rapports sectoriels
Pénurie de travailleurs IT en Belgique	± 21.000 d'ici 2026	Digital Skills & Jobs Platform
Loi belge Only Once	Loi fédérale du 5 mai 2014 ; ne s'applique qu'au fédéral, non contraignante pour les Régions/communes	Moniteur belge
X-Road en Estonie	929 institutions, 1.887 systèmes, ± 295 millions de requêtes/mois, open source (MIT)	e-Estonia / NIIS
Économies numériques en Estonie	± 1.345 années de travail/an économisées via X-Road ; les signatures numériques font gagner 5 jours ouvrables/citoyen/an	e-Estonia
Déclaration fiscale en Estonie	3 minutes en moyenne ; 98 % par voie électronique	e-Estonia
Digital Post au Danemark	94 % de la population de 15 ans et plus ; 251,5 millions de messages (2024) ; courrier papier -90 % depuis 2000	Gouvernement danois
MitID au Danemark	5,5 millions d'utilisateurs enregistrés, ± 20 millions de transactions/semaine	Digitaliseringsstyrelsen
Économie annuelle du Danemark	296 M€/an ; 30 % de réduction du temps de traitement	Gouvernement danois
Singpass à Singapour	5 millions d'utilisateurs (97 % des 15 ans et plus), 41 millions+ de transactions/mois	GovTech Singapore
Personnel de GovTech Singapour	± 4.000 technologues en interne	GovTech Singapore
GOV.UK au Royaume-Uni	1.882 sites web remplacés par une seule plateforme ; ± 23.000 fonctionnaires du numérique (DDaT)	UK GDS
Économies au Royaume-Uni	353 millions de livres économisés en 2018/19 grâce aux spend controls	UK GDS
Ransomware à Anvers (déc. 2022)	Groupe PLAY : 557 Go de données volées, systèmes hors ligne pendant des semaines, 18 maisons de repos et de soins touchées	Bleeping Computer / The Record
DDoS Belnet (mai 2021)	La plus grande attaque DDoS de l'histoire belge : 200 institutions hors ligne	The Record
Piratage de la VSSE (2021-2023)	Des hackers chinois ont intercepté 5-10 % du trafic e-mail externe via une faille zero-day Barracuda	Médias belges / Cyberlands
Dommages totaux pour la Ville d'Anvers	± 95 millions d'euros au total (11 M€ de réparation directe + 84 M€ de budget de numérisation réorienté vers la cybersécurité) : l'une des attaques par ransomware les plus coûteuses contre une ville européenne	Médias belges / Digipolis / Sirris
Score NCSI de la Belgique	94,17/100 (5e mondial) ; mais vulnérable sur le plan opérationnel	NCSI/ega.ee
Smals (société IT semi-publique)	574 M€ de chiffre d'affaires/an ; la part d'externes est passée de 18 % à 36 % ; ± 1.800 collaborateurs	Rapport annuel Smals
Consultance IT du Forem	265 M€ engagés en consultance IT en 6 ans (2019-2024) ; un seul contrat (NRB/Uptime/NSI) de 47,9 M€. Plus que les 23 autres entités wallonnes réunies	Cour des comptes / Parlement
Projets IT ratés (total)	350+ M€ de projets dont l'échec est avéré : i-Police 75 M€, JustCase 40 M€, Phenix 28 M€, Persona 16 M€, plus des centaines de millions de consultance sans résultat	Sources diverses (Cour des comptes, Belga)
Intégrateurs de services en Belgique	6 intégrateurs parallèles : FSB (BOSA), BCSS, MAGDA (Digitaal Vlaanderen), BCED (eWBS), Fidus (CIRB/Paradigm), eHealth. Chacun avec sa propre plateforme, ses propres standards et sa propre gouvernance	Belgif / BOSA
Transposition de NIS2 en Belgique	Loi du 26 avril 2024, applicable depuis le 18 octobre 2024 ; cadre CyberFundamentals	CCB
Affaire des allocations aux Pays-Bas (toeslagenaffaire)	26.000-35.000 parents accusés à tort par un algorithme ; chute du gouvernement Rutte (jan. 2021)	Sources diverses
AI Act de l'UE	Règlement 2024/1689, pleinement applicable en août 2026 ; IA publique = haut risque	UE
Bac à sable réglementaire de l'AI Act	Articles 57-58 : chaque État membre doit disposer d'au moins 1 sandbox d'ici août 2026. Espagne (AESIA) opérationnelle depuis 2022, Pays-Bas depuis 2023. Belgique : aucune sandbox créée (avril 2026)	EU AI Act / AESIA
Simplex au Portugal	1.000+ mesures de simplification depuis 2006 ; de la 11e à la 3e place au DGI de l'OCDE (2023→2025)	OCDE / Gouvernement portugais
Coût guichet physique vs numérique	Physique : 8,62 £/transaction contre 0,15 £ en numérique. Rapport de 57:1	Étude britannique

Position 1 : le once only comme loi contraignante pour tous les niveaux de pouvoir

Les faits

La Belgique dispose depuis 2014 d'une loi fédérale Only Once qui oblige les services publics à réutiliser les données issues des sources authentiques au lieu de redemander les mêmes informations aux citoyens. Mais cette loi ne s'applique qu'aux services fédéraux. Les Régions, les Communautés et les communes opèrent sous des cadres distincts. Un accord de coopération de 2006 qui engage tous les niveaux à des standards communs est, près de deux décennies plus tard, toujours en cours d'implémentation. Résultat : les citoyens communiquent à répétition leur adresse, leur composition de ménage et leurs revenus à différentes instances. Fédérales, régionales et communales.

L'Estonie interdit par la loi la constitution de bases de données parallèles pour les mêmes données. Aucune institution publique ne peut demander une information qui figure déjà dans un autre registre. Les registres de base belges, le Registre national (1983), la Banque-Carrefour des Entreprises (BCE, 2003), la Banque Carrefour de la Sécurité sociale (BCSS, 1990), sont individuellement solides mais collectivement fragmentés. La Flandre a MAGDA (190 agences), Bruxelles a Fidus, la Wallonie a la BCED. Chacun est une île. Il n'existe aucun registre d'adresses uniforme et pleinement interopérable à tous les niveaux.

Une étude de l'UE de 2014 estimait que le once only permettrait d'économiser 5 milliards d'euros par an à l'échelle de l'UE. Les entreprises fournissent leurs données de chiffre d'affaires et de personnel en moyenne 10 à 15 fois aux services publics. Le règlement européen Single Digital Gateway (2018) impose aux États membres 21+ procédures entièrement numériques et un Once-Only Technical System (OOTS) : mais fin 2024, seuls 12 États membres avaient atteint le stade de la mise en production. La Belgique n'en faisait pas partie.

Ce que nous allons faire

Une loi Once Only contraignante pour tous les niveaux : pas un accord de coopération sans engagement, mais une loi qui oblige les 6 gouvernements, les 10 provinces et les 581 communes à la collecte unique des données. Sur le modèle estonien : il est interdit de constituer une base de données pour des données qui existent déjà dans une source authentique.
Un numéro d'identification unique par citoyen et par entreprise comme clé pour tous les services publics. Le numéro de Registre national et le numéro BCE existent déjà, mais leur usage doit devenir légalement obligatoire à tous les niveaux de pouvoir.
Renforcer le point de contact Kafka : kafka.be existe déjà mais n'a pas de mordant. Les infractions au principe once only reçoivent un mécanisme de sanction. Les services publics qui demandent deux fois les mêmes données sont signalés publiquement et tenus de corriger dans les 6 mois.
Respecter l'échéance européenne OOTS : la Belgique implémente le Once-Only Technical System intégralement et dans les délais.

Éprouvé : Estonie (once only légalement obligatoire depuis 2007 ; interdiction des bases de données parallèles ; la déclaration fiscale moyenne prend 3 minutes), Danemark (communication numérique légalement obligatoire depuis 2014 ; 94 % d'adoption). Problème belge : la loi fédérale Only Once (2014) ne s'applique pas aux Régions et aux communes ; l'accord de coopération de 2006 n'est toujours pas pleinement implémenté après près de 20 ans.

Position 2 : une seule architecture numérique, la X-Road belge

Les faits

La X-Road estonienne est en substance le modèle de la BCSS étendu à tous les services publics. Pas de base de données centrale, mais une couche d'échange de données sécurisée, chiffrée et horodatée entre des systèmes d'information indépendants. Les données restent auprès de l'institution source ; la plateforme route les requêtes, exactement comme la BCSS le fait depuis 35 ans pour la sécurité sociale. Plus de 929 institutions et 1.887 systèmes sont connectés, avec ± 295 millions de requêtes par mois. X-Road est open source (licence MIT), gérée par le Nordic Institute for Interoperability Solutions (NIIS), et adoptée dans plus de 20 pays, dont la Finlande, le Japon et le Brésil.

La Belgique possède les briques, mais elles ne sont pas connectées. Le SPF BOSA gère l'intégrateur de services fédéral (FSB) et CSAM. La Banque Carrefour de la Sécurité sociale (BCSS) relie 3.000+ acteurs du secteur social via un seul protocole. Depuis plus de 35 ans. La Flandre a MAGDA (Digitaal Vlaanderen, l'agence numérique flamande), Bruxelles a Fidus (CIRB/Paradigm), la Wallonie a la BCED (eWBS), et eHealth relie le secteur des soins de santé. Six intégrateurs au total. Chacun avec sa propre plateforme, ses propres standards, sa propre gouvernance. Ils ne se parlent pas. Il n'y a pas de couche d'interopérabilité uniforme.

L'Interoperable Europe Act (règlement 2024/903, applicable depuis juillet 2024) rend les évaluations d'interopérabilité obligatoires avant l'implémentation de nouveaux systèmes IT publics. Le premier cadre européen contraignant. La Belgique dispose de BELGIF (Belgian Government Interoperability Framework), qui souscrit aux principes de l'EIF et publie des directives d'API REST sur GitHub, mais le monitoring de 2019 a révélé des lacunes en matière d'interopérabilité juridique et de partage externe de l'information.

L'Autriche, un pays fédéral comparable, offre un modèle pertinent : une législation précoce (eGovernment Act 2004), un Federal ICT Board qui coordonne tous les niveaux, l'identité numérique ID Austria, et des plateformes de gouvernance formelles. La Suisse a créé en 2022 Digital Public Services Switzerland, une organisation commune à la Confédération et aux cantons, avec la plateforme d'interopérabilité I14Y.

Ce que nous allons faire

La X-Road belge. De 6 à 0 intégrateurs de services : les six intégrateurs existants (FSB/BOSA, BCSS, MAGDA/Digitaal Vlaanderen, BCED/eWBS, Fidus/CIRB, eHealth) sont absorbés en 6 ans dans une seule X-Road nationale. La X-Road belge est le modèle de la BCSS mis à l'échelle : les données restent auprès de l'institution source, la plateforme route des requêtes sécurisées entre les systèmes. Pas une connexion par-dessus six silos, mais une seule couche commune d'échange de données qui rend les intégrateurs superflus. La BCSS prouve depuis 35 ans que cette architecture fonctionne en Belgique : 3.000+ acteurs de la sécurité sociale communiquent via un seul protocole, sans que chaque institution construise sa propre couche d'intégration. Ce que la BCSS fait pour la sécurité sociale, la X-Road le fait pour tout.
Implémentation par phases (6 ans) :
- Années 1-2 : noyau X-Road opérationnel, open source, géré par un nouvel opérateur indépendant. Tous les nouveaux systèmes publics passent obligatoirement par X-Road. L'architecture de la BCSS comme plan directeur.
- Années 3-4 : migration des connexions existantes. Les connexions de la BCSS en premier (architecture éprouvée). Plus aucun nouvel investissement dans les six plateformes d'intégration existantes.
- Années 5-6 : migration complète. Les six intégrateurs sont progressivement démantelés. Le personnel technique rejoint l'agence GovTech (position 4) et l'opérateur X-Road. Pas de licenciements, mais une réaffectation.
L'architecture API-first comme standard : chaque application publique propose une API ouverte. Les nouveaux systèmes qui ne sont pas interopérables ne sont pas approuvés (conformément à l'Interoperable Europe Act).
L'open source par défaut : les nouveaux systèmes IT publics sont par défaut développés et publiés en open source. Sur le modèle estonien. Pas de vendor lock-in, pas de dépendance à un seul fournisseur.
Une seule plateforme de crise : en cas de catastrophe, de pandémie ou de situation d'urgence, tous les services publics doivent pouvoir partager des données immédiatement. L'attaque DDoS contre Belnet en 2021 (200 institutions hors ligne) a prouvé que c'est impossible aujourd'hui.

Éprouvé : Estonie (X-Road : 929 institutions, 1.887 systèmes, ± 295 millions de requêtes/mois, open source, adoptée dans 20+ pays), la Belgique elle-même (BCSS : 3.000+ acteurs du secteur social via un seul protocole depuis 1990. La preuve qu'une couche nationale d'interopérabilité fonctionne en Belgique). Problème belge : 6 intégrateurs parallèles (FSB/BOSA, BCSS, MAGDA, BCED, Fidus, eHealth) qui ont chacun leur propre plateforme, leurs propres standards et leur propre gouvernance. Alors que la BCSS prouve depuis 35 ans qu'on peut faire autrement.

Position 3 : le numérique par défaut, avec une garantie légale d'inclusion

Les faits

Le Danemark a rendu la communication publique numérique légalement obligatoire en 2012 (lois L 159 et L 160). Depuis le 1er novembre 2014, tous les citoyens à partir de 15 ans sont tenus d'utiliser Digital Post. Les messages numériques ont la même force juridique que les courriers papier. Aujourd'hui, 94 % de la population danoise de 15 ans et plus utilise Digital Post ; le courrier postal a diminué de plus de 90 % depuis 2000. L'économie : 296 millions d'euros par an et 30 % de réduction du temps de traitement.

En même temps, le Danemark a inscrit une inclusion robuste dans la loi : les citoyens présentant un handicap cognitif ou physique, sans internet, sans abri, avec des difficultés linguistiques ou en détention peuvent demander une dispense auprès de leur centre Borgerservice local. Seuls ± 5 % des Danois se sont désinscrits. Depuis juin 2023, les citoyens dispensés de Digital Post sont automatiquement dispensés du libre-service numérique obligatoire. Un Réseau pour l'inclusion numérique de ± 95 organisations soutient les groupes vulnérables.

En Belgique, 40 % des 16-74 ans sont en situation de vulnérabilité numérique. Seuls 39 % des pensionnés et 38 % des inactifs disposent de compétences numériques de base. Une part considérable des ménages à bas revenus n'a pas d'accès à internet à domicile, ou un accès limité. Les transactions publiques physiques coûtent 57 fois plus que les transactions numériques (8,62 £ contre 0,15 £ par transaction au Royaume-Uni). La Belgique n'a pas d'obligation légale de communication numérique, mais pas davantage de garantie légale d'une alternative physique.

Ce que nous allons faire

La communication numérique par défaut : toute la communication publique passe par le numérique via My eBox/eBox Enterprise, avec la même force juridique qu'un courrier recommandé. Sur le modèle danois : le numérique est la norme, pas l'option.
Une alternative physique garantie par la loi : qui ne peut pas passer par le numérique a droit à un guichet analogique à part entière. Ce n'est pas une faveur, mais un droit légal. Inscrit dans la même loi qui impose le numérique par défaut. Dispense via une procédure simple à la maison communale.
Une administration proactive : l'administration informe les citoyens des droits auxquels ils peuvent prétendre. Ce n'est pas au citoyen de chercher. L'octroi automatique des droits sociaux (comme la BCSS le fait déjà pour certaines allocations d'assistance) devient la norme pour tous les services publics.
Renforcer la coalition pour l'inclusion numérique : DigitAll (100+ organisations) reçoit un financement structurel. Les CPAS des 581 communes font office d'aidants numériques. Les bibliothèques offrent une assistance numérique gratuite.
Un seul portail public : tous les services publics sont entièrement accessibles via un seul login et un seul tableau de bord. Étendre MijnOverheid/MonBelgique en une plateforme réellement universelle sur le modèle du borger.dk danois (111 millions de visiteurs en 2024, 92 % de satisfaction).

Éprouvé : Danemark (communication numérique légalement obligatoire depuis 2014 ; 94 % d'adoption ; ± 5 % de dispensés ; 296 M€/an d'économies ; centres Borgerservice dans les 98 communes ; réseau d'inclusion numérique de 95 membres), Singapour (Singpass : 97 % d'adoption chez les 15 ans et plus ; l'app LifeSG regroupe 70+ services). Avertissement : Belgique (40 % de vulnérabilité numérique ; ni obligation légale ni garantie légale d'une alternative).

Position 4 : une agence GovTech, des talents techniques internes plutôt que des consultants

Les faits

Les pouvoirs publics belges dépendent structurellement de consultants IT externes. Les tarifs journaliers vont de 500 à 1.200 euros. Deux à trois fois le coût d'un collaborateur fixe aux mêmes qualifications. Le marché belge total de l'outsourcing IT a atteint 3,45 milliards de dollars en 2024. Le projet i-Police illustre l'échec de ce modèle : un contrat de 299 millions d'euros avec Sopra Steria a été résilié en décembre 2025 après 75,8 millions d'euros de dépenses, sans un seul projet entièrement livré.

Les leaders internationaux construisent délibérément une capacité interne. GovTech Singapour compte ± 4.000 technologues en interne avec des salaires alignés sur le secteur privé, un Smart Nation Fellowship pour les experts en milieu de carrière, et un Smart Nation Scholarship pour les meilleurs talents. Le cadre DDaT du Royaume-Uni gère ± 23.000 fonctionnaires du numérique avec un cadre de rémunération spécifique qui offre des suppléments pour les fonctions difficiles à pourvoir. Résultat : le Royaume-Uni a économisé 353 millions de livres en un an grâce aux spend controls sur les contrats IT.

Le modèle estonien est hybride : les organisations publiques collaborent étroitement avec un écosystème d'entreprises locales (Nortal a implémenté 40 % de la transformation numérique de l'Estonie, Cybernetica a développé X-Road). Cela crée un échange fluide de talents entre l'administration et le monde de l'entreprise. La Belgique a Smals (± 1.800 collaborateurs) comme société IT semi-interne pour la sécurité sociale et les soins de santé. Un modèle partiellement réussi, mais insuffisant pour l'ensemble des pouvoirs publics.

La Belgique fait face à une pénurie de ± 21.000 travailleurs IT d'ici 2026. Les barèmes rigides de la fonction publique ne peuvent pas rivaliser avec ceux des architectes cloud, des data engineers ou des spécialistes en cybersécurité dans le secteur privé.

Ce que nous allons faire

Créer une agence GovTech belge : une agence centrale comptant au moins 1.000 ingénieurs, spécialistes des données et experts en cybersécurité en interne. Des salaires conformes au marché avec un cadre de rémunération IT spécifique. Sur le modèle du DDaT britannique. Les collaborateurs techniques des six intégrateurs de services à démanteler (position 2) forment la base de départ : pas de licenciements, mais une réaffectation des talents existants vers une seule organisation efficace.
Réduire de moitié la dépendance aux consultants en 5 ans : un objectif concret de réduction des dépenses IT externes. Chaque service public rapporte chaque année la part de personnel IT interne par rapport au personnel externe.
Collaboration avec les universités belges et le secteur technologique : pas d'outsourcing exclusif vers de grands cabinets de conseil étrangers. Des fellowships GovTech pour les technologues en milieu de carrière (sur le modèle singapourien), des stages à l'agence, et des projets de R&D communs.
Des spend controls sur les contrats IT : aucun projet IT public de plus de 10 millions d'euros sans revue d'architecture indépendante et évaluation obligatoire à chaque jalon. La débâcle i-Police (75,8 M€ sans système opérationnel) ne doit plus jamais se reproduire.
Une communauté open source : la Belgique construit un écosystème d'entreprises locales qui développent et maintiennent l'IT publique. Sur le modèle estonien. Le savoir reste en Belgique, pas dans des cabinets de conseil internationaux.

Éprouvé : Singapour (GovTech : ± 4.000 technologues en interne, Smart Nation Fellowship, salaires conformes au marché), Royaume-Uni (DDaT : ± 23.000 fonctionnaires du numérique, les spend controls ont économisé 353 millions de livres/an), Estonie (modèle hybride : administration + entreprises locales comme Nortal et Cybernetica). Avertissement : Belgique (i-Police : 75,8 M€ dépensés, aucun système opérationnel livré ; la dépendance structurelle aux consultants coûte 2 à 3 fois un collaborateur fixe).

Position 5 : la cybersécurité comme infrastructure critique

Les faits

La Belgique obtient 94,17/100 au National Cyber Security Index (5e mondial) et a été l'un des premiers pays de l'UE à transposer NIS2 (loi du 26 avril 2024). Le Centre pour la Cybersécurité Belgique (CCB), créé en 2014 sous l'autorité du Premier ministre, coordonne la cybersécurité nationale avec le cadre CyberFundamentals.

Mais la réalité opérationnelle est alarmante. En décembre 2022, le groupe de ransomware PLAY a chiffré des systèmes essentiels de la Ville d'Anvers via Digipolis et volé 557 Go de données. Passeports, documents financiers. Les applications Windows, l'e-mail, la téléphonie et les systèmes IT sont passés hors ligne. Dix-huit maisons de repos et de soins ont perdu leur suivi de médication. La remise en état a pris des mois. En mai 2021, la plus grande attaque DDoS de l'histoire belge a paralysé le réseau Belnet. 200 institutions connectées hors ligne, dont le Parlement, MyMinfin, les portails de vaccination et la police. Des hackers d'État chinois ont intercepté 5-10 % du trafic e-mail externe de la Sûreté de l'État (VSSE) via une faille zero-day Barracuda. Seul le serveur de messagerie externe a été touché, pas les systèmes internes classifiés. Le ministère belge de la Défense a été frappé par Log4Shell. Le premier ministère de la Défense d'un pays de l'OTAN dont le piratage via Log4j a été confirmé.

La réaction de l'Estonie aux cyberattaques de 2007, 22 jours de DDoS contre l'administration, les banques et les médias, offre un modèle. L'Estonie a créé le CCDCOE de l'OTAN à Tallinn (2008, aujourd'hui 39 nations participantes), implémenté la Keyless Signature Infrastructure (blockchain) pour l'intégrité des données, développé le concept d'ambassade de données, et intégré la cybersécurité dans l'identité nationale.

Ce que nous allons faire

L'architecture zero trust comme standard pour tous les systèmes publics : ne faire confiance à rien, tout vérifier. Sur le modèle de l'Executive Order 14028 des États-Unis (2021), qui a imposé le zero trust à toutes les agences fédérales.
Des audits de sécurité annuels obligatoires pour toutes les plateformes publiques. Fédérales, régionales et communales. Pas d'exception pour les petites communes ; des services partagés via l'agence GovTech.
Mutualiser la cybersécurité communale : les 581 communes protègent individuellement leurs systèmes IT. Une tâche impossible pour la plupart. Des Security Operations Centers (SOC) partagés pour des groupes de communes, coordonnés par le CCB.
Créer une cyber-réserve : un pool d'experts spécialisés en cybersécurité mobilisables lors d'incidents majeurs. Sur le modèle de la Cyber Defence Unit estonienne.
Évaluer le concept d'ambassade de données : l'ambassade de données de l'Estonie au Luxembourg (opérationnelle depuis 2018) stocke des données publiques critiques sous juridiction estonienne dans un centre de données à l'étranger. La Belgique étudie un concept comparable pour la continuité numérique en cas de menaces graves.

Éprouvé : Estonie (après les cyberattaques de 2007 : CCDCOE de l'OTAN à Tallinn avec 39 nations participantes, blockchain pour l'intégrité des données, ambassade de données au Luxembourg, la cybersécurité comme identité nationale), États-Unis (Executive Order 14028 : zero trust obligatoire pour toutes les agences fédérales). Avertissement : Belgique (Anvers : 557 Go volés, ± 95 M€ de dommages totaux ; Belnet : 200 institutions paralysées ; VSSE : 5-10 % des e-mails externes interceptés par des hackers chinois ; Défense : premier ministère de l'OTAN piraté via Log4j).

Position 6 : l'open data par défaut

Les faits

La Belgique est classée « Follower » (74-80 %) à l'European Open Data Maturity Index 2024. Sous la moyenne UE-27 de 83 % et loin derrière la France (100 %, Trendsetter), la Pologne (98 %), l'Estonie (± 95 %) et l'Espagne (± 94 %). Le portail fédéral data.gov.be contient plus de 10.000 jeux de données, mais le monitoring de l'impact, la mesure de la réutilisation effective, est la dimension la plus faible. Les portails régionaux de la Flandre, de la Wallonie et de Bruxelles opèrent de manière indépendante, avec des standards et une qualité de métadonnées incohérents.

La valeur économique de l'open data est substantielle. L'UE estime le marché de l'open data à 184-334 milliards d'euros. L'open data pourrait sauver chaque année 1.425 vies en Europe (5,5 % de morts sur les routes en moins) et épargner 629 millions d'heures d'attente inutile sur la route. McKinsey estime que l'open data peut libérer 3 à 5 billions de dollars par an dans le monde, dans sept secteurs.

Ce que nous allons faire

L'open data comme standard légal : toutes les données publiques non sensibles sur le plan de la vie privée sont publiques et disponibles gratuitement, sauf raison explicite de ne pas le faire (renversement de la charge de la preuve). Aucun service public ne peut placer des données derrière un mur payant (comme le fait actuellement l'IRM).
Un seul portail fédéral d'open data qui regroupe tous les jeux de données de tous les niveaux de pouvoir. Avec des standards, des métadonnées et des exigences de qualité uniformes. Fini les quatre portails parallèles.
Monitoring de l'impact : la Belgique mesure systématiquement la réutilisation de l'open data et publie chaque année un rapport d'impact.
Marchés publics, permis et budgets : publics et consultables, chaque euro d'argent public est traçable. Sur le modèle du programme Simplex portugais et en cohérence avec le chapitre sur la lutte contre la corruption (ch. 23).
Un accès API pour les développeurs : tous les jeux de données ouverts sont disponibles via des API standard, pas seulement sous forme de fichiers téléchargeables. Le secteur privé et les chercheurs peuvent directement construire dessus.

Éprouvé : France (100 % à l'EU Open Data Maturity, Trendsetter), Estonie (± 95 %), Portugal (Simplex : simplifier d'abord, numériser ensuite), UE (valeur estimée du marché de l'open data : 184-334 Mds €). Problème belge : score de 74-80 % (« Follower »), sous la moyenne de l'UE, 4 portails parallèles, point le plus faible = le monitoring de l'impact.

Position 7 : l'IA dans l'administration, transparente, auditable, sous contrôle humain

Les faits

Partout dans le monde, les administrations déploient l'IA avec des résultats mesurables. Le PACC autrichien a analysé 6,5 millions de dossiers fiscaux en 2023 et détecté 185 millions d'euros de recettes supplémentaires. Malte a rapporté 650 millions d'euros de prévention de la fraude à la TVA pilotée par l'IA. 29 des 38 pays de l'OCDE utilisent l'IA dans l'administration fiscale. Le chatbot grec mAigov a répondu à 1,6 million de questions en 25 langues. Ask Jamie à Singapour a réduit de moitié le volume du centre d'appels.

Mais les risques sont existentiels. L'affaire néerlandaise des allocations (toeslagenaffaire) est le récit d'avertissement ultime : entre 2005 et 2019, le fisc néerlandais (Belastingdienst) a utilisé un algorithme auto-apprenant qui traitait la nationalité comme facteur de risque de fraude aux allocations de garde d'enfants. Environ 26.000-35.000 parents ont été accusés à tort, contraints de rembourser des dizaines de milliers d'euros, et plongés dans de lourdes dettes. Plus de 2.000 enfants ont été placés hors de leur famille. Le gouvernement Rutte est tombé en janvier 2021. Les Pays-Bas ont formellement reconnu un « racisme institutionnel » en mai 2022. Ce scandale a directement influencé les négociations de l'AI Act européen.

L'AI Act européen (règlement 2024/1689, pleinement applicable en août 2026) classe les applications d'IA publiques comme « à haut risque » : traitement des dossiers migratoires, profilage policier, prestations sociales, aide à la décision judiciaire. Les déployeurs publics doivent réaliser des analyses d'impact sur les droits fondamentaux. Les Pays-Bas disposent entre-temps d'un registre des algorithmes comptant 1.000+ inscriptions. Le Royaume-Uni a rendu l'Algorithmic Transparency Recording Standard (ATRS) obligatoire pour tous les départements de l'administration centrale en 2024. La Belgique n'a pas de cadre équivalent.

Ce que nous allons faire

Déployer l'IA pour l'efficience : détection de la fraude fiscale et sociale, traitement automatisé des dossiers, chatbots pour le service aux citoyens. Des projets pilotes concrets dans les 2 ans.
Une décision humaine obligatoire pour les choix lourds de conséquences : aucun algorithme ne décide de manière autonome d'allocations, de permis, d'amendes ou de restrictions de liberté. L'IA assiste le fonctionnaire, elle ne le remplace pas.
Un registre des algorithmes obligatoire : tous les algorithmes publics qui influencent des décisions sont enregistrés publiquement, avec une explication lisible de leur fonctionnement, de leurs sources de données et de leurs risques. Sur le modèle néerlandais et britannique.
Une analyse d'impact obligatoire : chaque application d'IA publique fait l'objet d'une analyse d'impact sur les droits fondamentaux avant son déploiement. Conformément à l'AI Act européen, mais aussi pour les applications que l'Act ne couvre pas explicitement.
Pas de profilage sur la nationalité, l'ethnicité ou l'origine : le scandale néerlandais des allocations ne doit jamais se répéter en Belgique. Interdiction légale d'utiliser des caractéristiques protégées comme facteur de risque dans les algorithmes publics.
Une auditabilité publique : des audits indépendants des algorithmes publics, au moins une fois par an, avec rapport public. Pas de boîtes noires qui décident de la vie des citoyens.

Éprouvé : Autriche (PACC : 6,5 millions de dossiers fiscaux, 185 M€ de recettes supplémentaires), Singapour (Ask Jamie a réduit de moitié le volume du centre d'appels), Pays-Bas (registre des algorithmes : 1.000+ inscriptions ; ATRS obligatoire au Royaume-Uni). Avertissement : Pays-Bas (affaire des allocations : 26.000-35.000 parents accusés à tort, 2.000+ enfants placés, gouvernement tombé. À cause d'un racisme algorithmique sans contrôle humain).

Position 8 : un bac à sable réglementaire pour l'IA publique

Les faits

L'AI Act européen (règlement 2024/1689, articles 57-58) oblige chaque État membre à créer, au plus tard en août 2026, au moins un bac à sable réglementaire pour l'IA (regulatory sandbox). Une sandbox est un environnement de test délimité où les services publics peuvent développer et tester des applications d'IA sous des règles assouplies, mais sous la supervision d'une autorité compétente. L'objectif : rendre l'innovation possible sans supporter d'emblée toute la charge de conformité, mais en protégeant les droits des citoyens.

L'Espagne a été en 2022 le premier État membre de l'UE à créer une sandbox nationale pour l'IA via l'AESIA (Agencia Española de Supervisión de la Inteligencia Artificial). Lors du premier appel, 8 des 26 candidatures ont été sélectionnées, dont des applications dans les soins de santé, le secteur financier et l'administration publique. Les Pays-Bas ont lancé en 2023 une sandbox réglementaire pour les systèmes algorithmiques de l'administration. La France et l'Allemagne préparent leurs sandboxes.

En avril 2026, la Belgique n'a toujours pas créé de sandbox et risque de manquer l'échéance européenne. Sans sandbox, le risque juridique est trop élevé pour que les services publics testent l'IA avec des données réelles. Conséquence : l'administration n'expérimente pas, tandis que le secteur privé et les pays voisins prennent de l'avance. En même temps, l'affaire néerlandaise des allocations montre qu'un déploiement incontrôlé de l'IA peut avoir des conséquences catastrophiques. La sandbox offre précisément le juste milieu : expérimenter sous supervision.

Ce que nous allons faire

Créer une sandbox belge pour l'IA avant août 2026 : conformément à l'obligation de l'AI Act européen. Gérée par une autorité indépendante (candidat logique : l'agence GovTech, en collaboration avec le CCB et l'Autorité de protection des données).
Priorité à l'IA publique : dans la première phase, la sandbox se concentre spécifiquement sur les applications publiques. Détection de la fraude, traitement des dossiers, chatbots de service aux citoyens, classification des risques. Précisément les applications que l'AI Act européen classe comme « à haut risque ».
Des tests contrôlés avec des données réelles : les services publics participants peuvent tester dans la sandbox avec des données anonymisées ou synthétiques, et dans des phases ultérieures avec des données réelles sous des conditions strictes de protection de la vie privée. Pas de politique d'IA fondée sur des modèles théoriques.
Une évaluation obligatoire avant le déploiement : chaque application d'IA qui quitte la sandbox fait l'objet d'une évaluation indépendante de sa précision, de ses biais, de son impact sur les droits fondamentaux et de son explicabilité avant de pouvoir passer en production.
Un rapport public : les résultats des expérimentations en sandbox sont publiés. Ce qui marche, ce qui ne marche pas, et pourquoi. La transparence par défaut.

Éprouvé : Espagne (AESIA : première sandbox IA de l'UE, 8 projets sélectionnés au premier appel, opérationnelle depuis 2022), Pays-Bas (sandbox algorithmique pour les applications publiques depuis 2023). Obligation européenne : les articles 57-58 de l'AI Act imposent à chaque État membre au moins une sandbox d'ici août 2026. Problème belge : aucune sandbox créée, l'échéance européenne risque d'être manquée, les services publics n'osent pas expérimenter.

Position 9 : participation citoyenne numérique et référendums numériques contraignants

Les faits

Le fossé entre le citoyen et l'État se creuse, mais les instruments pour le combler sont pratiquement inexistants en Belgique. Il n'existe aucun cadre légal pour des initiatives citoyennes contraignantes au niveau fédéral. L'article 33 de la Constitution dispose que tous les pouvoirs sont exercés « de la manière établie par la Constitution », ce que la Cour constitutionnelle interprète jusqu'ici comme une interdiction des référendums fédéraux contraignants. En même temps, la recherche internationale montre que les citoyens ne veulent pas moins de représentation, mais une autre manière de travailler. Pas moins de démocratie, mais plus d'implication directe dans les décisions qui les concernent.

L'Estonie a construit la plateforme de démocratie numérique la plus avancée au monde. Rahvaalgatus (rahvaalgatus.ee) permet aux citoyens de déposer des propositions de loi qui, à 1.000 signatures numériques, vont directement au parlement. 51 % des Estoniens ont voté en ligne aux élections législatives de 2023, via un système opérationnel depuis 2005 qui a traversé 19 élections sans fraude avérée. La base technique est l'i-Voting : vérification via la puce eID ou Mobile-ID, chiffrement à double enveloppe, et possibilité de modifier son vote jusqu'à la clôture du scrutin (ce qui rend toute contrainte impossible). Pas de blockchain, mais une cryptographie éprouvée.

La Suisse organise en moyenne quatre fois par an des référendums fédéraux contraignants. Les citoyens peuvent imposer une modification constitutionnelle via une initiative populaire (100.000 signatures en 18 mois), ou bloquer n'importe quelle loi via un référendum facultatif (50.000 signatures en 100 jours). La participation oscille entre 40 % et 60 %, selon le sujet. Ce n'est pas une anomalie ; c'est un système qui fonctionne depuis 1848 et soumet régulièrement des décisions majeures au citoyen.

Taïwan a développé avec la plateforme Join (join.gov.tw) un système où les propositions politiques recueillant 5.000 soutiens exigent une réponse officielle du gouvernement. La plateforme a été utilisée pour plus de 300 initiatives politiques et génère un dialogue structuré entre le citoyen et l'État avant la décision, pas après.

La Communauté germanophone de Belgique a créé en 2019 un Bürgerrat permanent (conseil citoyen) : un panel de citoyens tirés au sort qui sélectionne des thèmes politiques et adresse des recommandations au parlement. Le modèle d'Ostbelgien est reconnu internationalement comme un travail de pionnier en démocratie délibérative et prouve que des mécanismes participatifs sont juridiquement et pratiquement réalisables en Belgique.

Ce que nous allons faire

Une consultation citoyenne numérique obligatoire avant chaque décision de l'Organe de concertation intergouvernemental (IGO) qui touche aux compétences des entités fédérées. Sur le modèle taïwanais : une plateforme numérique où les citoyens peuvent déposer des positions, des arguments et des alternatives. L'IGO est tenu de publier une réponse motivée aux propositions les plus soutenues. Cela répond au risque en matière de transparence que les universitaires pointent pour les organes de concertation purement exécutifs : les citoyens ne voient pas seulement ce qui a été décidé, ils peuvent donner leur avis avant la décision. (Voir aussi : proposition HART Organe de concertation intergouvernemental.)
Une initiative citoyenne numérique contraignante au niveau fédéral et au niveau des entités fédérées. Une initiative citoyenne recueillant 50.000 signatures numériques vérifiées (via eID ou itsme) au niveau fédéral, ou 25.000 au niveau d'une entité fédérée, oblige le parlement compétent à l'examiner et à la mettre au vote dans les 6 mois. Sur le modèle estonien Rahvaalgatus, mais avec un seuil plus élevé et une obligation d'examen. L'infrastructure technique existe déjà : itsme touche plus de 7 millions d'utilisateurs et traite 1,3 million d'actions d'identification par jour.
Un référendum numérique contraignant pour les révisions constitutionnelles et les grandes réformes institutionnelles. Sur le modèle suisse, mais entièrement numérique. Toute révision de la Constitution approuvée par la Chambre est soumise à la population via un référendum numérique contraignant. Techniquement basé sur le système estonien i-Voting : vérification via eID/itsme, double chiffrement, possibilité de modifier son vote jusqu'à la clôture du scrutin, résultats de dépouillement publiquement vérifiables. Pas de blockchain, pas d'urnes physiques. Le seuil minimal de participation est de 25 % des électeurs ; sous ce seuil, le résultat n'est pas contraignant. Cela exige une révision de l'article 33 de la Constitution, actuellement interprété comme une interdiction des référendums fédéraux contraignants. La déclaration de révision de mai 2024 ouvre la possibilité d'emprunter cette voie.
Une plateforme de participation numérique comme infrastructure publique : une seule plateforme centrale, open source, pour toutes les formes de participation citoyenne numérique, consultation, initiative citoyenne et référendum. Intégrée à la X-Road belge (voir Position 2) et à l'infrastructure eID/itsme. Pas une plateforme distincte par niveau de pouvoir, mais un seul système qui fonctionne du communal au fédéral.
Une analyse d'impact scientifique et des parties prenantes obligatoire pour chaque décision de l'IGO ayant un impact budgétaire ou sociétal. Le Bureau fédéral du Plan renforcé (le CPB belge, voir le chapitre HART Pouvoirs publics) fournit au préalable une analyse indépendante. Les organes consultatifs concernés (Conseil national du Travail, Conseil central de l'Économie, Conseil Supérieur de la Santé, etc.) reçoivent un droit d'avis formel assorti d'une obligation d'examen : l'IGO doit répondre de manière motivée à chaque avis et le publier. Sur le modèle suédois du « remiss », où chaque modification législative est obligatoirement soumise aux institutions scientifiques et aux parties prenantes. Ce qui change : aujourd'hui, les conseils consultatifs sont sans effet contraignant et sont régulièrement ignorés. Dans le modèle IGO, ils sont structurellement intégrés dans la phase de décision, pas dans la phase d'implémentation.

Éprouvé : Estonie (51 % ont voté en ligne en 2023 ; i-Voting opérationnel depuis 2005, 19 élections sans fraude avérée ; Rahvaalgatus : les initiatives citoyennes de 1.000 signatures vont au parlement), Suisse (en moyenne 4 référendums fédéraux contraignants par an depuis 1848 ; les citoyens ont voté sur l'adhésion à l'UE, l'immigration, le nucléaire, le salaire minimum), Taïwan (plateforme Join : 5.000 soutiens imposent une réponse officielle du gouvernement ; plus de 300 initiatives politiques), Communauté germanophone de Belgique (Bürgerrat permanent depuis 2019, travail de pionnier reconnu internationalement en démocratie délibérative). Problème belge : l'article 33 de la Constitution est interprété comme une interdiction des référendums fédéraux contraignants ; aucun cadre légal pour les initiatives citoyennes numériques ; une infrastructure d'identité numérique de classe mondiale (eID, itsme) utilisée exclusivement à des fins administratives, pas pour la participation démocratique.

Résumé

Le programme de HART pour l'administration numérique part d'un fait indéfendable : la Belgique est 56e à l'E-Government Index de l'ONU alors que le Danemark est 1er, l'Estonie 2e et Singapour 3e. Ce n'est pas un problème technique. La Belgique a une eID de classe mondiale, itsme avec 7 millions d'utilisateurs, et la Banque Carrefour de la Sécurité sociale comme travail de pionnier reconnu internationalement. Le problème est structurel : 6 gouvernements construisent chacun leurs propres systèmes sans architecture commune, sans obligation once only contraignante, et sans la volonté politique de centraliser ce qui doit l'être.

La première position rend le once only contraignant pour tous les niveaux de pouvoir. Pas comme accord de coopération sans engagement, mais comme loi, sur le modèle estonien où il est interdit de constituer des bases de données parallèles. Le point de contact Kafka gagne du mordant. La deuxième position construit une X-Road belge qui remplace en 6 ans les six intégrateurs existants (FSB/BOSA, BCSS, MAGDA, BCED, Fidus, eHealth) par une seule couche nationale d'échange de données. Pas une connexion par-dessus six silos, mais rendre les silos eux-mêmes superflus. La BCSS prouve depuis 35 ans que c'est possible en Belgique : 3.000+ acteurs via un seul protocole. La X-Road estonienne relie 929 institutions et économise ± 1.345 années de travail par an. Pour un pays de 1,3 million d'habitants.

La troisième position fait du numérique le standard pour toute la communication publique, avec une garantie légale d'alternative physique pour qui ne peut pas suivre. Le Danemark a atteint 94 % d'adoption de Digital Post dans la population de 15 ans et plus, avec seulement 5 % de dispenses. La quatrième position rompt avec l'addiction aux consultants : une agence GovTech belge avec au moins 1.000 technologues en interne, des salaires conformes au marché, et un objectif concret de réduire de moitié la dépendance IT externe. Les collaborateurs techniques des six intégrateurs à démanteler forment la base de départ. Pas de licenciements, mais une réaffectation. La débâcle i-Police, 75,8 millions d'euros versés à Sopra Steria sans un seul système opérationnel, illustre pourquoi c'est urgent.

La cinquième position traite la cybersécurité comme une infrastructure critique. Le score NCSI de la Belgique, 94/100, masque une réalité opérationnelle faite de ransomware à Anvers (± 95 M€ de dommages totaux), de DDoS contre le Parlement, d'espionnage chinois à la Sûreté de l'État, et d'un ministère de la Défense piraté. L'architecture zero trust, les audits obligatoires et la cybersécurité communale mutualisée sont la réponse. La sixième position fait de l'open data le standard légal. La Belgique se situe sous la moyenne de l'UE en maturité open data alors que le marché européen représente 184-334 milliards d'euros de valeur.

La septième position déploie l'IA pour l'efficience. Détection de la fraude, traitement des documents, chatbots. Mais avec des garanties fermes : un registre des algorithmes obligatoire, une décision humaine pour les choix lourds de conséquences, et une interdiction légale du profilage sur la nationalité ou l'ethnicité. L'affaire néerlandaise des allocations, 26.000+ parents accusés à tort, gouvernement tombé, est le récit d'avertissement que la Belgique doit retenir.

La huitième position crée une regulatory sandbox belge pour l'IA, conformément à l'obligation de l'AI Act européen (articles 57-58, échéance août 2026). Les services publics peuvent tester des applications d'IA avec des données réelles sous supervision, au lieu soit de ne pas expérimenter (trop prudent), soit de déployer sans contrôle (affaire des allocations). L'Espagne et les Pays-Bas ont déjà leurs sandboxes opérationnelles. La Belgique risque de manquer l'échéance européenne.

La neuvième position construit la participation citoyenne numérique et les référendums numériques contraignants comme contrepoids démocratique aux gains d'efficience de l'administration numérique. Une consultation numérique obligatoire avant les décisions de l'IGO, une initiative citoyenne numérique contraignante (50.000 signatures via eID/itsme), et un référendum numérique contraignant pour les révisions constitutionnelles. Purement numérique, sur le modèle technique estonien. L'infrastructure d'identité existante (eID, itsme, plus de 7 millions d'utilisateurs) est enfin mise au service de la participation démocratique aussi, pas seulement des processus administratifs. La Suisse organise quatre fois par an des référendums contraignants. L'Estonie a fait voter 51 % des électeurs en ligne en 2023. La Communauté germanophone de Belgique a un Bürgerrat permanent depuis 2019. Les instruments existent. La Belgique ne les utilise pas.

L'État travaille pour le citoyen. Pas l'inverse. L'Estonie a construit un État numérique avec une fraction du budget belge. Le Danemark économise 296 millions d'euros par an. Singapour traite 41 millions de transactions numériques par mois. La Belgique dépense plus et fournit moins, parce qu'elle tolère la fragmentation là où l'unité est nécessaire. Les solutions techniques existent. Les preuves internationales sont écrasantes. Ce qui reste, c'est la décision politique d'agir.