arrow_back Tous les points du programme
Point 27 sur 30

Administration numérique

Une loi Once Only contraignante pour tous les niveaux : pas un accord de coopération sans engagement, mais une loi qui oblige chaque autorité à la collecte unique des données : la fédération, les concordats, les douze entités fédérées et toutes les communes (art. 44 de la Constitution HART).

Principe fondamental

L'État travaille pour le citoyen. Pas l'inverse. La Belgique possède une infrastructure d'identité numérique de classe mondiale : la Belgique a été l'un des premiers pays à donner une carte d'identité électronique à tous les citoyens dès 12 ans, itsme compte plus de 8 millions d'utilisateurs (2025), et MyMinfin fonctionne. Mais derrière cette façade se cache un paysage fragmenté de 6 gouvernements, 10 provinces et 565 communes qui construisent chacun leurs propres systèmes, collectent leurs propres données et paient leurs propres consultants IT. Sans architecture commune, sans normes d'interopérabilité contraignantes, et sans principe once only opposable à tous les niveaux de pouvoir. Résultat : la Belgique se classe 56e à l'E-Government Development Index de l'ONU (2024), alors que le Danemark est 1er, l'Estonie 2e et Singapour 3e. L'Estonie, un pays de moins de 1,4 million d'habitants et sans fonds pétrolier, propose depuis décembre 2024 tous ses services publics en ligne. Le Danemark a rendu le courrier public numérique obligatoire et a estimé l'économie à environ 1 milliard de couronnes danoises (environ 130 millions d'euros) par an. La Belgique, avec près de 12 millions d'habitants et un PIB de 642 milliards d'euros (2025), dispose de bien plus de moyens et fournit moins. HART choisit le modèle estonien et danois : une architecture numérique contraignante qui relie tous les niveaux de pouvoir, le once only inscrit dans la loi, le numérique par défaut, et des talents techniques internes plutôt qu'une dépendance structurelle à des consultants coûteux. Qui ne peut pas suivre le virage numérique reçoit une alternative physique garantie par la loi. Pas d'exclusion, mais pas davantage d'excuse pour ralentir la numérisation.

Faits et chiffres

Fait Chiffre Source
Belgique, E-Government Index de l'ONU (EGDI) 2024 56e sur 193 (0,81), loin derrière le Danemark (1er), l'Estonie (2e), Singapour (3e) ONU EGDI 2024
eGovernment Benchmark de l'UE 2026 16e sur 27 États membres de l'UE (75,6 points ; moyenne UE 76,6) ; Finlande 91,0, Estonie 90,6, Malte 90,4 Commission européenne
Classement DESI de la Belgique 16e dans l'UE (DESI 2022) ; services publics numériques également 16e, connectivité 27e DESI 2022 / Commission européenne
eID belge L'un des premiers pays dotés d'une carte d'identité électronique pour tous les citoyens dès 12 ans (pilote 2003, généralisée depuis 2004) KU Leuven
Utilisateurs itsme® 8+ millions ; 594 millions d'actions en 2025 (± 1,6 M/jour) Chiffres annuels itsme® 2025
Usage de l'e-gouvernement par les citoyens 85 % des 16-74 ans ont utilisé un site web ou une application des pouvoirs publics (2025 ; moyenne UE 72 %) Eurostat
Belges en situation de vulnérabilité numérique 40 % des 16-74 ans sont vulnérables numériquement (5 % n'utilisent pas internet, 35 % de faibles compétences numériques) (2023) Fondation Roi Baudouin 2024
Open Data Maturity de la Belgique Catégorie « Follower » (73-84 %), sous la moyenne UE-27 (86 %) ; France 100 % (2025) EU Open Data Maturity 2025
Projet IT i-Police Programme d'environ 300 M€ (226 M€ initialement pour Sopra Steria) ; contrat résilié fin 2025 après 75,8 M€ de factures payées, sans système utilisable Chambre / VRT NWS
Consultance de l'autorité fédérale 2,52 Mds € (TVA comprise) sur 2020-2022, dont 2,03 Mds € en IT ; 78 % de 101 contrats examinés insuffisamment motivés Cour des comptes 2025
Tarif journalier d'un spécialiste IT externe En moyenne de 672 € (junior) à 923 € (expert) par jour TVA comprise, pointes jusqu'à 2.128 € ; par heure, 1,35 à 1,7 fois le coût d'un informaticien détaché de Smals Cour des comptes 2025
Pénurie de travailleurs IT en Belgique 63 % des entreprises qui recherchaient des spécialistes TIC avaient des postes difficiles à pourvoir (2023 ; UE 58 %) Eurostat
Loi belge Only Once Loi fédérale du 5 mai 2014 ; ne s'applique qu'au fédéral, non contraignante pour les Régions/communes Moniteur belge
X-Road en Estonie 957 organisations, 1.965 sous-systèmes, ± 3,7 Mds de requêtes en 2025 (± 310 M/mois), open source (MIT) RIA / NIIS
Économies numériques en Estonie ± 1.345 années de travail/an économisées via X-Road (estimation du gouvernement estonien, 2025) Gouvernement estonien
Déclaration fiscale en Estonie 98 % déposées par voie électronique (2026) ; selon l'agence estonienne d'investissement, une déclaration prend quelques minutes EMTA / Invest in Estonia
Digital Post au Danemark 95 % des citoyens raccordés, 4,7 % dispensés (2026) ; 254 M de messages (2025) ; courrier papier -90 % depuis 2000 Digitaliseringsstyrelsen / PostNord
MitID au Danemark 5,3 M d'utilisateurs enregistrés ; en moyenne 94,4 M de transactions par mois (2025) Digitaliseringsstyrelsen
Économie annuelle du Danemark Digital Post : estimée à environ 1 Md de couronnes danoises (± 130 M€) par an Digitaliseringsstyrelsen / Rigsrevisionen
Singpass à Singapour 5 M d'utilisateurs ; 97 % des citoyens et résidents permanents de 15 ans et plus (2022) ; 41 M+ de transactions/mois GovTech Singapore
Personnel de GovTech Singapour Plus de 3.000 collaborateurs en interne, surtout des technologues GovTech Singapore
GOV.UK au Royaume-Uni Plus de 1.880 sites web publics remplacés par une seule plateforme (depuis 2012) ; plus de 26.000 fonctionnaires du numérique (DDaT, 2023) UK GDS / Cabinet Office
Économies au Royaume-Uni 353 millions de livres économisés en 2018/19 grâce aux spend controls UK GDS
Ransomware à Anvers (déc. 2022) Groupe PLAY : selon les auteurs, 557 Go de données volées, systèmes hors ligne pendant des semaines, les maisons de repos et de soins ont dû enregistrer la médication manuellement Bleeping Computer / Zorgbedrijf Antwerpen
DDoS Belnet (mai 2021) Grande attaque DDoS : plus de 200 organisations publiques touchées, dont le Parlement, MyMinfin et le portail de vaccination The Record / Belnet
Piratage de la VSSE (2021-2023) Des hackers chinois ont intercepté environ un e-mail sur dix à destination ou en provenance de la Sûreté de l'État via une faille dans un logiciel Barracuda Le Soir / Belga
Coût de l'attaque pour la Ville d'Anvers ± 11 M€ de réparation, puis 84 M€ d'investissement supplémentaire en cybersécurité Computable / De Tijd
Score NCSI de la Belgique 81,67/100 (37e mondial, mise à jour d'août 2026) ; Estonie 94,17 (5e) NCSI/ega.ee
Smals (société IT semi-publique) 579 M€ de chiffre d'affaires (2025) ; la part des spécialistes TIC externes dans le chiffre d'affaires est passée de 18 % (2014) à 36 % (2024) ; 2.350 collaborateurs (2025) Rapport d'activité Smals / Cour des comptes
Consultance IT du Forem 265 M€ engagés en consultance en 6 ans (2019-2024), dont 250 M€ en IT ; un seul contrat (NRB/Uptime/NSI, 2023) de 47,9 M€. Environ 70 % des budgets de consultance des institutions wallonnes, plus que les 23 autres réunies La Libre (2025)
Projets IT ratés Plus de 120 M€ pour quatre projets : i-Police 75,8 M€ payés, Phenix 28 M€ jamais récupérés, Persona 16 M€ (projet suspendu), JustSign 3,9 M€ (jamais mis en service) Chambre, Parlement flamand, VRT NWS
Intégrateurs de services en Belgique 6 intégrateurs parallèles : FSB (BOSA), BCSS, MAGDA (Digitaal Vlaanderen), BCED (eWBS), Fidus (Paradigm), eHealth. Chacun avec sa propre plateforme et sa propre gouvernance ; Belgif émet des recommandations communes, pas de standards contraignants Belgif / BOSA
Transposition de NIS2 en Belgique Loi du 26 avril 2024, applicable depuis le 18 octobre 2024 ; cadre CyberFundamentals CCB
Affaire des allocations aux Pays-Bas (toeslagenaffaire) 26.000-35.000 parents traités à tort en fraudeurs, notamment par un modèle de risque utilisant la nationalité ; chute du gouvernement Rutte (jan. 2021) Sources diverses
AI Act de l'UE Règlement 2024/1689 ; les règles pour l'IA à haut risque (annexe III, notamment prestations, migration, application de la loi) s'appliquent après report à partir du 2 décembre 2027 UE
Bac à sable réglementaire de l'AI Act Article 57 : chaque État membre doit disposer d'au moins 1 sandbox, après report d'ici le 2 août 2027. Espagne : arrêté royal 817/2023, 12 systèmes d'IA sélectionnés (2025). Belgique : en juillet 2026, aucune autorité de contrôle de l'IA désignée EU AI Act / AESIA / VRT NWS
Simplex au Portugal 1.000+ mesures de simplification depuis 2006 ; de la 11e à la 3e place au DGI de l'OCDE (2023→2025) OCDE / Gouvernement portugais
Coût guichet physique vs numérique Physique : 8,62 £/transaction contre 0,15 £ en numérique (Royaume-Uni, 2012). Rapport de 57:1 UK Cabinet Office

Position 1 : le once only comme loi contraignante pour tous les niveaux de pouvoir

Les faits

La Belgique dispose depuis 2014 d'une loi fédérale Only Once qui oblige les services publics à réutiliser les données issues des sources authentiques au lieu de redemander les mêmes informations aux citoyens. Mais cette loi ne s'applique qu'aux services fédéraux. Les Régions, les Communautés et les communes opèrent sous des cadres distincts. Un accord de coopération de 2006 qui engage tous les niveaux à des standards communs n'est toujours pas pleinement exécuté. Résultat : les citoyens communiquent à répétition leur adresse, leur composition de ménage et leurs revenus à différentes instances. Fédérales, régionales et communales.

L'Estonie interdit par la loi la constitution de bases de données parallèles pour les mêmes données (loi sur l'information publique, depuis 2008). Les institutions publiques doivent réutiliser les données qui figurent déjà dans un autre registre au lieu de les redemander. Les registres de base belges, le Registre national (1983), la BCE (2003), la Banque Carrefour de la Sécurité sociale (BCSS, 1990), sont individuellement solides mais collectivement fragmentés. La Flandre a MAGDA, Bruxelles a Fidus, la Wallonie a la BCED : chacun avec sa propre plateforme et sa propre gouvernance. Il n'existe aucun registre d'adresses uniforme et pleinement interopérable à tous les niveaux.

Une étude de l'UE de 2014 estimait que le once only rapporterait net environ 5 milliards d'euros par an à l'échelle de l'UE. Les entreprises fournissent souvent les mêmes données à différents services publics. Le règlement européen Single Digital Gateway (2018) impose aux États membres 21 procédures entièrement numériques et le raccordement à un Once-Only Technical System (OOTS), qui devait fonctionner à partir de décembre 2023. Après cette échéance, les États membres étaient encore en plein raccordement de leurs services compétents.

Ce que nous allons faire

  • Une loi Once Only contraignante pour tous les niveaux : pas un accord de coopération sans engagement, mais une loi qui oblige chaque autorité à la collecte unique des données : la fédération, les concordats, les douze entités fédérées et toutes les communes (art. 44 de la Constitution HART). Sur le modèle estonien : il est interdit de constituer une base de données pour des données qui existent déjà dans une source authentique.
  • Un numéro d'identification unique par citoyen et par entreprise comme clé pour tous les services publics. Le numéro de Registre national et le numéro BCE existent déjà, mais leur usage doit devenir légalement obligatoire à tous les niveaux de pouvoir.
  • Renforcer le point de contact Kafka : kafka.be existe déjà mais n'a pas de mordant. Les infractions au principe once only reçoivent un mécanisme de sanction. Les services publics qui demandent deux fois les mêmes données sont signalés publiquement et tenus de corriger dans les 6 mois.
  • Mettre pleinement en œuvre l'OOTS de l'UE : la Belgique raccorde tous les services compétents au Once-Only Technical System.

Éprouvé : Estonie (once only légalement obligatoire depuis 2008 ; interdiction des bases de données parallèles ; 98 % des déclarations fiscales par voie électronique), Danemark (communication numérique légalement obligatoire depuis 2014 ; 95 % des citoyens raccordés). Problème belge : la loi fédérale Only Once (2014) ne s'applique pas aux Régions et aux communes ; l'accord de coopération de 2006 n'est toujours pas pleinement exécuté.

Position 2 : une seule architecture numérique, la X-Road belge

Les faits

La X-Road estonienne est en substance le modèle de la BCSS étendu à tous les services publics. Pas de base de données centrale, mais une couche d'échange de données sécurisée, chiffrée et horodatée entre des systèmes d'information indépendants. Les données restent auprès de l'institution source ; la plateforme route les requêtes, exactement comme la BCSS le fait depuis 1990 pour la sécurité sociale. Fin 2025, 957 organisations et 1.965 systèmes étaient connectés, pour environ 3,7 milliards de requêtes en 2025 (plus de 300 millions par mois). X-Road est open source (licence MIT), gérée par le Nordic Institute for Interoperability Solutions (NIIS), et adoptée dans plus de 20 pays, dont la Finlande, l'Islande et le Brésil.

La Belgique possède les briques, mais elles ne sont pas reliées en un tout. Le SPF BOSA gère l'intégrateur de services fédéral (FSB) et CSAM. La Banque Carrefour de la Sécurité sociale (BCSS) relie environ 3.000 acteurs du secteur social via un seul protocole, depuis 1990. La Flandre a MAGDA (Digitaal Vlaanderen), Bruxelles a Fidus (Paradigm), la Wallonie a la BCED (eWBS), et eHealth relie le secteur des soins de santé. Six intégrateurs au total, chacun avec sa propre plateforme et sa propre gouvernance. Ils sont partiellement reliés entre eux, mais il n'y a pas de couche d'interopérabilité uniforme.

L'Interoperable Europe Act (règlement 2024/903, applicable depuis juillet 2024) rend obligatoires, depuis janvier 2025, des évaluations d'interopérabilité avant les services publics numériques transfrontaliers nouveaux ou modifiés. Le premier cadre européen contraignant. La Belgique dispose de BELGIF (Belgian Government Interoperability Framework), qui souscrit aux principes de l'EIF et publie des directives d'API REST sur GitHub, mais qui fonctionne par recommandations et n'impose pas de standards contraignants.

L'Autriche, un pays fédéral comparable, offre un modèle pertinent : une législation précoce (eGovernment Act 2004), un Federal ICT Board qui coordonne tous les niveaux, l'identité numérique ID Austria, et des plateformes de gouvernance formelles. La Suisse a créé en 2022 Digital Public Services Switzerland, une organisation commune à la Confédération et aux cantons, avec la plateforme d'interopérabilité I14Y.

Ce que nous allons faire

  • La X-Road belge. De 6 à 0 intégrateurs de services : les six intégrateurs existants (FSB/BOSA, BCSS, MAGDA/Digitaal Vlaanderen, BCED/eWBS, Fidus/Paradigm, eHealth) sont absorbés en 6 ans dans une seule X-Road nationale. La X-Road belge est le modèle de la BCSS mis à l'échelle : les données restent auprès de l'institution source, la plateforme route des requêtes sécurisées entre les systèmes. Pas une connexion par-dessus six silos, mais une seule couche commune d'échange de données qui rend les intégrateurs superflus. La BCSS prouve depuis 1990 que cette architecture fonctionne en Belgique : environ 3.000 acteurs de la sécurité sociale communiquent via un seul protocole, sans que chaque institution construise sa propre couche d'intégration. Ce que la BCSS fait pour la sécurité sociale, la X-Road le fait pour tout.
  • Implémentation par phases (6 ans) :
    • Années 1-2 : noyau X-Road opérationnel, open source, exploité par un nouvel opérateur indépendant placé sous la direction du SPF BOSA. Tous les nouveaux systèmes publics passent obligatoirement par X-Road. L'architecture de la BCSS comme plan directeur.
    • Années 3-4 : migration des connexions existantes. Les connexions de la BCSS en premier (architecture éprouvée). Plus aucun nouvel investissement dans les six plateformes d'intégration existantes.
    • Années 5-6 : migration complète. Les six intégrateurs sont démantelés. Le personnel technique rejoint l'agence GovTech (position 4) et l'opérateur X-Road. Pas de licenciements, mais une réaffectation.
  • L'architecture API-first comme standard : chaque application publique propose une API ouverte. Les nouveaux systèmes qui ne sont pas interopérables ne sont pas approuvés (conformément à l'Interoperable Europe Act).
  • L'open source par défaut : les nouveaux systèmes IT publics sont par défaut développés et publiés en open source. Sur le modèle estonien. Pas de vendor lock-in, pas de dépendance à un seul fournisseur.
  • Une seule plateforme de crise : en cas de catastrophe, de pandémie ou de situation d'urgence, tous les services publics doivent pouvoir partager des données immédiatement et en toute sécurité. L'attaque DDoS contre Belnet en 2021 (plus de 200 organisations publiques touchées, dont le Parlement et le portail de vaccination) a montré combien l'infrastructure partagée est vulnérable.

Éprouvé : Estonie (X-Road : 957 organisations, 1.965 systèmes, ± 3,7 Mds de requêtes en 2025, open source, adoptée dans 20+ pays), la Belgique elle-même (BCSS : environ 3.000 acteurs du secteur social via un seul protocole depuis 1990 : la preuve qu'une couche nationale d'interopérabilité fonctionne en Belgique). Problème belge : 6 intégrateurs parallèles (FSB/BOSA, BCSS, MAGDA, BCED, Fidus, eHealth) qui ont chacun leur propre plateforme et leur propre gouvernance, sans standards communs contraignants. Alors que la BCSS prouve depuis 1990 qu'on peut faire autrement.

Position 3 : le numérique par défaut, avec une garantie légale d'inclusion

Les faits

Le Danemark a rendu la communication publique numérique légalement obligatoire en 2012. Depuis le 1er novembre 2014, tous les citoyens à partir de 15 ans sont tenus d'utiliser Digital Post. Les messages numériques ont la même force juridique que les courriers papier. Début 2026, 95 % des citoyens danois étaient raccordés à Digital Post, qui a envoyé près de 254 millions de messages en 2025 ; le courrier postal a diminué de plus de 90 % depuis 2000. Le service danois de la numérisation a estimé l'économie à environ 1 milliard de couronnes danoises (environ 130 millions d'euros) par an.

En même temps, le Danemark a inscrit une inclusion robuste dans la loi : les citoyens présentant un handicap cognitif ou physique, sans internet, sans abri, avec des difficultés linguistiques ou en détention peuvent demander une dispense auprès de leur centre Borgerservice local. Seuls 4,7 % des citoyens danois sont dispensés (2026). Depuis juin 2023, les citoyens dispensés de Digital Post sont automatiquement dispensés du libre-service numérique obligatoire. Un Réseau pour l'inclusion numérique d'environ 100 organisations soutient les groupes vulnérables.

En Belgique, 40 % des 16-74 ans sont en situation de vulnérabilité numérique (2023). Une part considérable des ménages à bas revenus n'a pas d'accès à internet à domicile, ou un accès limité. Les transactions publiques physiques coûtent environ 57 fois plus que les transactions numériques (8,62 £ contre 0,15 £ par transaction au Royaume-Uni, 2012). La Belgique n'a pas d'obligation légale de communication numérique, et une garantie légale d'une alternative physique n'existe qu'à Bruxelles (décret et ordonnance Digitaal Brussel, 2024), pas pour tous les pouvoirs publics.

Ce que nous allons faire

  • La communication numérique par défaut : toute la communication publique passe par défaut par le numérique (art. 44 de la Constitution HART), via une seule boîte aux lettres par citoyen et par entreprise, avec la même force juridique qu'un courrier recommandé. Sur le modèle danois : le numérique est la norme, pas l'option. Le papier reste possible, mais qui peut passer par le numérique et choisit quand même le papier en supporte les coûts.
  • Une alternative physique garantie par la loi : qui ne peut pas passer par le numérique a droit à un guichet analogique à part entière. Ce n'est pas une faveur, mais un droit légal. Inscrit dans la même loi qui impose le numérique par défaut. Dispense gratuite via une procédure simple à la maison communale.
  • Une administration proactive : l'administration informe les citoyens des droits auxquels ils peuvent prétendre. Ce n'est pas au citoyen de chercher. L'octroi automatique des droits sociaux (comme la BCSS le fait déjà pour certaines allocations d'assistance) devient la norme pour tous les services publics.
  • Renforcer la coalition pour l'inclusion numérique : DigitAll (120+ organisations) reçoit un financement structurel. Les CPAS de toutes les communes font office d'aidants numériques. Les bibliothèques offrent une assistance numérique gratuite.
  • Un seul portail public : tous les services publics sont entièrement accessibles via un seul login et un seul tableau de bord. Une seule application et un seul site web pour tous les pouvoirs publics, gérés par une entreprise publique dont l'autorité fédérale et les entités fédérées sont actionnaires : une plateforme réellement universelle sur le modèle du borger.dk danois (115,6 millions de visites en 2025).

Éprouvé : Danemark (communication numérique légalement obligatoire depuis 2014 ; 95 % de raccordés ; 4,7 % de dispensés ; économie estimée à environ 130 M€/an ; centres Borgerservice dans les 98 communes ; réseau d'inclusion numérique d'environ 100 organisations), Singapour (Singpass : 97 % des citoyens et résidents permanents de 15 ans et plus). Avertissement : Belgique (40 % de vulnérabilité numérique ; ni obligation légale ni, sauf à Bruxelles, garantie légale d'une alternative).

Position 4 : une agence GovTech, des talents techniques internes plutôt que des consultants

Les faits

Les pouvoirs publics belges dépendent structurellement de consultants IT externes. L'autorité fédérale a dépensé entre 2020 et 2022 2,52 milliards d'euros (TVA comprise) en consultance, dont 2,03 milliards d'euros en IT ; pour 78 % des contrats examinés, le recours n'était pas suffisamment motivé (Cour des comptes, 2025). Un spécialiste IT externe coûte en moyenne de 670 à 920 euros par jour TVA comprise, avec des pointes à plus de 2.100 euros. Par heure, un programmeur externe coûte 1,7 fois plus qu'un informaticien détaché de Smals, un analyste 1,35 fois. Le projet i-Police illustre l'échec de ce modèle : le contrat avec Sopra Steria, au sein d'un programme d'environ 300 millions d'euros, a été résilié fin 2025 après 75,8 millions d'euros de factures payées, sans système utilisable.

Les leaders internationaux construisent délibérément une capacité interne. GovTech Singapour compte plus de 3.000 collaborateurs en interne, surtout des technologues, avec des salaires alignés sur le secteur privé, un Smart Nation Fellowship pour les experts en milieu de carrière, et un Smart Nation Scholarship pour les meilleurs talents. La fonction DDaT du gouvernement britannique comptait en 2023 plus de 26.000 fonctionnaires du numérique, avec un cadre de rémunération spécifique qui offre des suppléments pour les fonctions difficiles à pourvoir. Le Royaume-Uni a en outre économisé 353 millions de livres en un an (2018/19) grâce aux spend controls sur les contrats IT.

Le modèle estonien est hybride : les organisations publiques collaborent étroitement avec un écosystème d'entreprises locales (Nortal a, selon ses propres dires, fourni 40 % de l'administration en ligne estonienne, Cybernetica a développé X-Road). Cela crée un échange fluide de talents entre l'administration et le monde de l'entreprise. La Belgique a Smals (2.350 collaborateurs en 2025) comme société IT partagée pour la sécurité sociale, les soins de santé et d'autres services publics. Un modèle partiellement réussi, mais insuffisant pour l'ensemble des pouvoirs publics : la part des spécialistes TIC externes dans le chiffre d'affaires de Smals a doublé, de 18 % (2014) à 36 % (2024).

Les entreprises belges peinent à trouver des spécialistes TIC : 63 % des entreprises qui en recherchaient avaient des postes difficiles à pourvoir (2023 ; UE 58 %). Les barèmes rigides de la fonction publique ne peuvent pas rivaliser avec ceux des architectes cloud, des data engineers ou des spécialistes en cybersécurité dans le secteur privé.

Ce que nous allons faire

  • Créer une agence GovTech belge : une agence centrale comptant au moins 1.000 ingénieurs, spécialistes des données et experts en cybersécurité en interne. Des salaires conformes au marché avec un cadre de rémunération IT spécifique. Sur le modèle du DDaT britannique. Les collaborateurs techniques des six intégrateurs de services à démanteler (position 2) forment la base de départ : pas de licenciements, mais une réaffectation des talents existants vers une seule organisation à forte capacité d'action.
  • Réduire de moitié la dépendance aux consultants en 5 ans : un objectif concret de réduction des dépenses IT externes. Chaque service public rapporte chaque année la part de personnel IT interne par rapport au personnel externe.
  • Collaboration avec les universités belges et le secteur technologique : pas d'outsourcing exclusif vers de grands cabinets de conseil étrangers. Des fellowships GovTech pour les technologues en milieu de carrière (sur le modèle singapourien), des stages à l'agence, et des projets de R&D communs.
  • Des spend controls sur les contrats IT : aucun projet IT public à partir de 5 millions d'euros sans contrôle indépendant préalable par la division des projets IT du conseil de contrôle, évaluation obligatoire à chaque jalon et nouveau contrôle en cas de dépassement de budget de plus de 25 %. L'avis est public. La débâcle i-Police (75,8 M€ payés sans système utilisable) ne doit plus jamais se reproduire.
  • Une communauté open source : la Belgique construit un écosystème d'entreprises locales qui développent et maintiennent l'IT publique. Sur le modèle estonien. Le savoir reste en Belgique, pas dans des cabinets de conseil internationaux.

Éprouvé : Singapour (GovTech : plus de 3.000 collaborateurs en interne, Smart Nation Fellowship, salaires conformes au marché), Royaume-Uni (DDaT : plus de 26.000 fonctionnaires du numérique en 2023, les spend controls ont économisé 353 M£ en 2018/19), Estonie (modèle hybride : administration + entreprises locales comme Nortal et Cybernetica). Avertissement : Belgique (i-Police : 75,8 M€ payés, aucun système utilisable livré ; 2,52 Mds € de consultance fédérale en trois ans ; un informaticien externe coûte par heure jusqu'à 1,7 fois un informaticien détaché).

Position 5 : la cybersécurité comme infrastructure critique

Les faits

La Belgique obtient 81,67/100 au National Cyber Security Index (37e mondial après la mise à jour d'août 2026 ; Estonie 94,17) et a été l'un des premiers pays de l'UE à transposer NIS2 (loi du 26 avril 2024). Le Centre pour la Cybersécurité Belgique (CCB), créé en 2014 sous l'autorité du Premier ministre, coordonne la cybersécurité nationale avec le cadre CyberFundamentals.

Mais la réalité opérationnelle est alarmante. En décembre 2022, le groupe de ransomware PLAY a chiffré des systèmes essentiels de la Ville d'Anvers via son partenaire IT Digipolis et affirmé avoir volé 557 Go de données, dont des passeports et des documents financiers. Les applications Windows, l'e-mail, la téléphonie et les systèmes IT sont passés hors ligne. Les maisons de repos et de soins de la ville ont dû enregistrer la médication manuellement pendant des semaines. La remise en état a pris des mois. En mai 2021, une grande attaque DDoS a paralysé le réseau Belnet : plus de 200 organisations publiques ont été touchées, dont le Parlement, MyMinfin et le portail de vaccination. Des hackers chinois ont intercepté entre 2021 et 2023 environ un e-mail sur dix à destination ou en provenance de la Sûreté de l'État (VSSE) via une faille dans un logiciel de sécurité de Barracuda. Seul le serveur de messagerie externe a été touché, pas les systèmes internes classifiés. Le ministère belge de la Défense a été frappé en décembre 2021 par la faille Log4j : le premier ministère de la Défense de l'OTAN connu à avoir été attaqué par cette faille.

La réaction de l'Estonie aux cyberattaques de 2007 (plus de trois semaines de DDoS contre l'administration, les banques et les médias) offre un modèle. L'Estonie a créé le CCDCOE de l'OTAN à Tallinn (2008, 39 nations participantes en 2026), implémenté la Keyless Signature Infrastructure (blockchain) pour l'intégrité des données, développé le concept d'ambassade de données, et intégré la cybersécurité dans l'identité nationale.

Ce que nous allons faire

  • L'architecture zero trust comme standard pour tous les systèmes publics : ne faire confiance à rien, tout vérifier. Sur le modèle de l'Executive Order 14028 des États-Unis (2021), qui a imposé le zero trust à toutes les agences fédérales.
  • Des audits de sécurité annuels obligatoires pour toutes les plateformes publiques. Fédérales, des entités fédérées et communales. Pas d'exception pour les petites communes ; des services partagés via la société informatique commune des communes et des entités fédérées.
  • Mutualiser la cybersécurité communale : les 565 communes protègent individuellement leurs systèmes IT. Une tâche impossible pour la plupart. Un seul Security Operations Center (SOC) partagé au sein de la société informatique commune des communes et des entités fédérées, coordonné par le CCB.
  • Créer une cyber-réserve : un pool d'experts spécialisés en cybersécurité mobilisables lors d'incidents majeurs. Sur le modèle de la Cyber Defence Unit estonienne.
  • Évaluer le concept d'ambassade de données : l'ambassade de données de l'Estonie au Luxembourg (opérationnelle depuis 2018) stocke des données publiques critiques sous juridiction estonienne dans un centre de données à l'étranger. La Belgique étudie un concept comparable pour la continuité numérique en cas de menaces graves.

Éprouvé : Estonie (après les cyberattaques de 2007 : CCDCOE de l'OTAN à Tallinn avec 39 nations participantes, blockchain pour l'intégrité des données, ambassade de données au Luxembourg, la cybersécurité comme identité nationale), États-Unis (Executive Order 14028 : zero trust obligatoire pour toutes les agences fédérales). Avertissement : Belgique (Anvers : selon les auteurs, 557 Go volés, 11 M€ de remise en état puis 84 M€ d'investissement supplémentaire en sécurité ; Belnet : plus de 200 organisations touchées ; VSSE : environ un e-mail sur dix intercepté par des hackers chinois ; Défense : premier ministère de l'OTAN connu attaqué via Log4j).

Position 6 : l'open data par défaut

Les faits

La Belgique est classée « Follower » (73-84 %) à l'European Open Data Maturity Index 2025 : sous la moyenne UE-27 de 86 % et loin derrière la France (100 %), la Lituanie (98 %) et la Pologne (98 %) ; l'Estonie et l'Espagne font aussi partie du peloton de tête (« Trendsetters », 94-100 %). Le portail fédéral data.gov.be contient plus de 30.000 jeux de données (2026), mais l'impact, la mesure de la réutilisation effective, est la dimension la plus faible : la Belgique n'a aucune méthode pour mesurer l'impact de l'open data (2025). Les portails régionaux de la Flandre, de la Wallonie et de Bruxelles opèrent de manière indépendante, avec des standards et une qualité de métadonnées incohérents.

La valeur économique de l'open data est substantielle. Une étude pour la Commission européenne a estimé le marché européen de l'open data à 184 milliards d'euros (2019), avec une prévision de 200 à 334 milliards d'euros pour 2025. Une étude antérieure pour le portail européen des données (2015) estimait que l'open data pourrait sauver chaque année 1.425 vies en Europe (5,5 % de morts sur les routes en moins) et épargner 629 millions d'heures d'attente inutile sur la route. McKinsey estimait (2013) que l'open data peut libérer 3 à 5 billions de dollars par an dans le monde, dans sept secteurs.

Ce que nous allons faire

  • L'open data comme standard légal : toutes les données publiques non sensibles sur le plan de la vie privée sont publiques et disponibles gratuitement, sauf raison explicite de ne pas le faire (renversement de la charge de la preuve). Aucun service public ne peut placer des données derrière un mur payant.
  • Un seul portail fédéral d'open data qui regroupe tous les jeux de données de tous les niveaux de pouvoir. Avec des standards, des métadonnées et des exigences de qualité uniformes. Fini les quatre portails parallèles.
  • Monitoring de l'impact : la Belgique mesure systématiquement la réutilisation de l'open data et publie chaque année un rapport d'impact.
  • Marchés publics, permis et budgets : publics et consultables : chaque euro d'argent public est traçable. Sur le modèle du programme Simplex portugais et en cohérence avec le chapitre Corruption et intégrité.
  • Un accès API pour les développeurs : tous les jeux de données ouverts sont disponibles via des API standard, pas seulement sous forme de fichiers téléchargeables. Le secteur privé et les chercheurs peuvent directement construire dessus.

Éprouvé : France (100 % à l'EU Open Data Maturity, Trendsetter), Estonie (Trendsetter, 94-100 %), Portugal (Simplex : simplifier d'abord, numériser ensuite), UE (marché de l'open data de 184 Mds € en 2019). Problème belge : « Follower » (73-84 %), sous la moyenne de l'UE de 86 % (2025), 4 portails parallèles, point le plus faible = le monitoring de l'impact.

Position 7 : l'IA dans l'administration, transparente, auditable, sous contrôle humain

Les faits

Partout dans le monde, les administrations déploient l'IA avec des résultats mesurables. Avec les modèles de risque du PACC autrichien, environ 6,5 millions de dossiers fiscaux ont été contrôlés en 2023, pour 185 millions d'euros de recettes fiscales supplémentaires. 29 des 38 pays de l'OCDE utilisent l'IA dans leur administration fiscale (2024). Le chatbot grec mAigov a mené plus de 1,6 million de conversations en 25 langues. Pour le chatbot Ask Jamie de Singapour, 58 % des utilisateurs ont déclaré qu'il leur avait évité un appel au centre d'appels.

Mais les risques sont existentiels. L'affaire néerlandaise des allocations (toeslagenaffaire) est le récit d'avertissement ultime : entre 2005 et 2019, des parents ont été massivement traités en fraudeurs, et le fisc néerlandais (Belastingdienst) a utilisé à cet effet un modèle de risque auto-apprenant qui prenait la nationalité comme facteur de risque. Environ 26.000-35.000 parents ont été accusés à tort, contraints de rembourser des dizaines de milliers d'euros, et plongés dans de lourdes dettes. Plus de 2.000 enfants de parents lésés ont été placés hors de leur famille. Le gouvernement Rutte est tombé en janvier 2021. Les Pays-Bas ont formellement reconnu un « racisme institutionnel » en mai 2022. Ce scandale a directement influencé les négociations de l'AI Act européen.

L'AI Act européen (règlement 2024/1689) classe une série d'applications publiques comme « à haut risque » : traitement des dossiers migratoires, profilage dans l'application de la loi, prestations sociales, aide à la décision judiciaire. Après un report européen, ces règles s'appliquent à partir du 2 décembre 2027. Les déployeurs publics doivent réaliser des analyses d'impact sur les droits fondamentaux. Les Pays-Bas disposent d'un registre des algorithmes comptant plus de 1.000 inscriptions (2025). Le Royaume-Uni a rendu l'Algorithmic Transparency Recording Standard (ATRS) obligatoire pour tous les départements de l'administration centrale en 2024. La Belgique n'a pas de cadre équivalent.

Ce que nous allons faire

  • Déployer l'IA pour l'efficience : détection de la fraude fiscale et sociale, traitement automatisé des dossiers, chatbots pour le service aux citoyens. Des projets pilotes concrets dans les 2 ans.
  • Une décision humaine obligatoire pour les choix lourds de conséquences : l'octroi automatique est permis, mais un refus, une récupération ou une sanction est toujours décidé par un humain (art. 44 de la Constitution HART). Aucun algorithme ne refuse de manière autonome une allocation ou un permis, ne récupère de l'argent, n'inflige une amende ou ne restreint la liberté de quelqu'un. L'IA assiste le fonctionnaire, elle ne le remplace pas.
  • Un registre des algorithmes obligatoire : tous les algorithmes publics qui influencent des décisions sont enregistrés publiquement, avec une explication lisible de leur fonctionnement, de leurs sources de données et de leurs risques. Sur le modèle néerlandais et britannique.
  • Une analyse d'impact obligatoire : chaque application d'IA publique fait l'objet d'une analyse d'impact sur les droits fondamentaux avant son déploiement. Conformément à l'AI Act européen, mais aussi pour les applications que l'Act ne couvre pas explicitement.
  • Pas de profilage sur la nationalité, l'ethnicité ou l'origine : le scandale néerlandais des allocations ne doit jamais se répéter en Belgique. Interdiction légale d'utiliser des caractéristiques protégées comme facteur de risque dans les algorithmes publics.
  • Une auditabilité publique : des audits indépendants des algorithmes publics, au moins une fois par an, avec rapport public. Pas de boîtes noires qui décident de la vie des citoyens.

Éprouvé : Autriche (PACC : 6,5 M de dossiers fiscaux, 185 M€ de recettes supplémentaires en 2023), Singapour (Ask Jamie : 58 % des utilisateurs ont évité un appel au centre d'appels), Pays-Bas (registre des algorithmes : 1.000+ inscriptions ; ATRS obligatoire au Royaume-Uni). Avertissement : Pays-Bas (affaire des allocations : 26.000-35.000 parents accusés à tort, 2.000+ enfants placés, gouvernement tombé, notamment à cause d'un racisme algorithmique sans contrôle humain).

Position 8 : un bac à sable réglementaire pour l'IA publique

Les faits

L'AI Act européen (règlement 2024/1689, articles 57-58) oblige chaque État membre à créer au moins un bac à sable réglementaire pour l'IA (regulatory sandbox). Le délai initial était août 2026 ; après un report européen, il est fixé au 2 août 2027. Une sandbox est un environnement de test délimité où les services publics peuvent développer et tester des applications d'IA sous des règles assouplies, mais sous la supervision d'une autorité compétente. L'objectif : rendre l'innovation possible sans supporter d'emblée toute la charge de conformité, mais en protégeant les droits des citoyens.

L'Espagne a été l'un des premiers États membres à disposer d'une sandbox nationale pour l'IA : un projet pilote avec la Commission européenne en 2022, une base légale en 2023 (arrêté royal 817/2023) et en 2025 une première cohorte de 12 systèmes d'IA à haut risque. Les Pays-Bas ont testé en 2024 une sandbox pilote dans laquelle les autorités de contrôle ont traité 40 questions de 25 organisations, et mettent en place une seule sandbox multisectorielle dans laquelle toutes les autorités de contrôle concernées collaborent.

En juillet 2026, la Belgique n'avait toujours pas désigné d'autorité de contrôle de l'IA, et donc pas d'autorité compétente capable de gérer une sandbox nationale. Sans sandbox, le risque juridique est trop élevé pour que les services publics testent l'IA avec des données réelles. Conséquence : l'administration n'expérimente pas, tandis que le secteur privé et les pays voisins prennent de l'avance. En même temps, l'affaire néerlandaise des allocations montre qu'un déploiement incontrôlé de l'IA peut avoir des conséquences catastrophiques. La sandbox offre précisément le juste milieu : expérimenter sous supervision.

Ce que nous allons faire

  • Créer sans délai une sandbox belge pour l'IA : conformément à l'obligation de l'AI Act européen, et pas seulement le dernier jour du délai européen. Gérée par une autorité indépendante (candidat logique : l'agence GovTech, en collaboration avec le CCB et l'Autorité de protection des données).
  • Priorité à l'IA publique : dans la première phase, la sandbox se concentre spécifiquement sur les applications publiques. Détection de la fraude, traitement des dossiers, chatbots de service aux citoyens, classification des risques. Précisément les applications que l'AI Act européen classe comme « à haut risque ».
  • Des tests contrôlés avec des données réelles : les services publics participants peuvent tester dans la sandbox avec des données anonymisées ou synthétiques, et dans des phases ultérieures avec des données réelles sous des conditions strictes de protection de la vie privée. Pas de politique d'IA fondée sur des modèles théoriques.
  • Une évaluation obligatoire avant le déploiement : chaque application d'IA qui quitte la sandbox fait l'objet d'une évaluation indépendante de sa précision, de ses biais, de son impact sur les droits fondamentaux et de son explicabilité avant de pouvoir passer en production.
  • Un rapport public : les résultats des expérimentations en sandbox sont publiés. Ce qui marche, ce qui ne marche pas, et pourquoi. La transparence par défaut.

Éprouvé : Espagne (AESIA : l'une des premières sandboxes nationales pour l'IA, 12 systèmes d'IA sélectionnés dans la première cohorte de 2025), Pays-Bas (sandbox pilote des autorités de contrôle en 2024, une seule sandbox multisectorielle de toutes les autorités de contrôle concernées). Obligation européenne : l'article 57 de l'AI Act impose à chaque État membre au moins une sandbox (après report, d'ici le 2 août 2027). Problème belge : aucune autorité de contrôle de l'IA et aucune sandbox à l'échéance initiale d'août 2026, les services publics n'osent pas expérimenter.

Position 9 : participation citoyenne numérique et référendums numériques contraignants

Les faits

Le fossé entre le citoyen et l'État se creuse, mais les instruments pour le combler sont pratiquement inexistants en Belgique. Il n'existe aucun cadre légal pour des initiatives citoyennes contraignantes au niveau fédéral. L'article 33 de la Constitution dispose que tous les pouvoirs sont exercés « de la manière établie par la Constitution » ; combiné à l'article 36 (le pouvoir législatif fédéral appartient au Roi, à la Chambre et au Sénat), il est lu comme une interdiction des référendums fédéraux contraignants. En même temps, la recherche internationale montre que les citoyens ne veulent pas moins de représentation, mais une autre manière de travailler. Pas moins de démocratie, mais plus d'implication directe dans les décisions qui les concernent.

L'Estonie a construit la plateforme de démocratie numérique la plus avancée au monde. Rahvaalgatus (rahvaalgatus.ee) permet aux citoyens de déposer des propositions de loi qui, à 1.000 signatures numériques, vont directement au parlement. Aux élections législatives de 2023, 51 % des voix ont été exprimées en ligne, via un système utilisé à toutes les élections depuis 2005, sans fraude avérée. La base technique est l'i-Voting : vérification via la puce eID ou Mobile-ID, chiffrement à double enveloppe, et possibilité de modifier son vote jusqu'à la clôture du scrutin (ce qui rend toute contrainte impossible). Pas de blockchain, mais une cryptographie éprouvée.

La Suisse organise jusqu'à quatre jours de vote fédéraux par an, avec des votations populaires contraignantes. Les citoyens peuvent imposer une modification constitutionnelle via une initiative populaire (100.000 signatures en 18 mois), ou bloquer n'importe quelle loi via un référendum facultatif (50.000 signatures en 100 jours). La participation oscille le plus souvent entre 40 % et 60 %, selon le sujet. Ce n'est pas une anomalie ; c'est un système qui fonctionne depuis 1848 et soumet régulièrement des décisions majeures au citoyen.

Taïwan a développé avec la plateforme Join (join.gov.tw) un système où les propositions politiques recueillant 5.000 soutiens en 60 jours exigent une réponse officielle du gouvernement, motivée point par point. La plateforme génère un dialogue structuré entre le citoyen et l'État avant la décision, pas après.

La Communauté germanophone de Belgique a créé en 2019 un Bürgerrat permanent (conseil citoyen) : un panel de citoyens tirés au sort qui sélectionne des thèmes politiques et adresse des recommandations au parlement. Le modèle d'Ostbelgien est reconnu internationalement comme un travail de pionnier en démocratie délibérative et prouve que des mécanismes participatifs sont juridiquement et pratiquement réalisables en Belgique.

Ce que nous allons faire

  • Une consultation citoyenne numérique obligatoire avant chaque décision du Conseil des entités fédérées qui touche aux compétences des entités fédérées. Sur le modèle taïwanais : une plateforme numérique où les citoyens peuvent déposer des positions, des arguments et des alternatives. Le Conseil est tenu de publier une réponse motivée aux propositions les plus soutenues. Cela répond au risque en matière de transparence que les universitaires pointent pour les organes de concertation purement exécutifs : les citoyens ne voient pas seulement ce qui a été décidé, ils peuvent donner leur avis avant la décision. (Voir aussi : chapitre Réforme de l'État de HART, Conseil des entités fédérées.)
  • Une initiative citoyenne numérique contraignante au niveau fédéral et au niveau des entités fédérées. Une initiative citoyenne recueillant 25.000 soutiens numériques vérifiés (via eID ou itsme) au niveau fédéral est inscrite à l'ordre du jour de la Chambre, qui en débat et la vote dans les 6 mois (art. 37 de la Constitution HART). Avec 80.000 signatures dans les cent jours suivant la publication d'une loi, les électeurs demandent un veto populaire : la loi n'entre en vigueur que s'ils ne la rejettent pas. Les votes citoyens ont lieu lors de quatre jours de vote fixes au maximum par an, sans nombre minimum de participants. Dans une entité fédérée, les seuils sont proportionnels à la population : 0,21 % de soutiens pour une initiative d'agenda et 0,67 % de signatures pour un veto populaire. Sur le modèle estonien Rahvaalgatus, mais avec un seuil plus élevé et une obligation d'examen. L'infrastructure technique existe déjà : itsme comptait en 2025 plus de 8 millions d'utilisateurs et en moyenne 1,6 million d'actions par jour.
  • Un référendum numérique contraignant pour les révisions constitutionnelles et les grandes réformes institutionnelles. Sur le modèle suisse, mais numérique par défaut. Toute révision de la Constitution approuvée par la Chambre est soumise à la population via un référendum numérique contraignant. Techniquement basé sur le système estonien i-Voting : vérification via eID/itsme, double chiffrement, possibilité de modifier son vote jusqu'à la clôture du scrutin, résultats de dépouillement publiquement vérifiables. Pas de blockchain. Qui ne peut pas passer par le numérique vote à la maison communale (art. 37 de la Constitution HART). Une révision constitutionnelle est adoptée à la majorité des suffrages valables et à la majorité des entités fédérées (7 sur 12), sans seuil de participation (art. 37 et 63 de la Constitution HART). L'article 33 de la Constitution actuelle (combiné à l'article 36) est lu comme une interdiction des référendums fédéraux contraignants ; la Constitution HART remplace cette réglementation.
  • Une plateforme de participation numérique comme infrastructure publique : une seule plateforme centrale, open source, pour toutes les formes de participation citoyenne numérique, consultation, initiative citoyenne et référendum. Intégrée à la X-Road belge (voir Position 2) et à l'infrastructure eID/itsme. Pas une plateforme distincte par niveau de pouvoir, mais un seul système qui fonctionne du communal au fédéral.
  • Une analyse d'impact scientifique et des parties prenantes obligatoire pour chaque décision du Conseil des entités fédérées ayant un impact budgétaire ou sociétal. Le Bureau du Plan renforcé/CPB belge (voir le chapitre Pouvoirs publics de HART) fournit au préalable une analyse indépendante. Les organes consultatifs concernés (SER belge, Conseil Supérieur de la Santé, etc.) reçoivent un droit d'avis formel assorti d'une obligation d'examen : le Conseil doit répondre de manière motivée à chaque avis et le publier. Sur le modèle suédois du « remiss », où chaque modification législative est obligatoirement soumise aux institutions scientifiques et aux parties prenantes. Ce qui change : dans le système existant, les conseils consultatifs sont sans effet contraignant et sont régulièrement ignorés. Dans le modèle de HART, ils sont structurellement intégrés dans la phase de décision, pas dans la phase d'implémentation.

Éprouvé : Estonie (51 % des voix exprimées en ligne en 2023 ; i-Voting depuis 2005 à toutes les élections, sans fraude avérée ; Rahvaalgatus : les initiatives citoyennes de 1.000 signatures vont au parlement), Suisse (jusqu'à 4 jours de vote fédéraux par an, référendum obligatoire depuis 1848 ; les citoyens ont voté sur l'adhésion à l'UE, l'immigration, le nucléaire, le salaire minimum), Taïwan (plateforme Join : 5.000 soutiens en 60 jours imposent une réponse officielle du gouvernement), Communauté germanophone de Belgique (Bürgerrat permanent depuis 2019, travail de pionnier reconnu internationalement en démocratie délibérative). Problème belge : l'article 33 de la Constitution est interprété comme une interdiction des référendums fédéraux contraignants ; aucun cadre légal pour les initiatives citoyennes numériques ; une infrastructure d'identité numérique de classe mondiale (eID, itsme) utilisée exclusivement à des fins administratives, pas pour la participation démocratique.

Résumé

Le programme de HART pour l'administration numérique part d'un fait indéfendable : la Belgique est 56e à l'E-Government Index de l'ONU (2024) alors que le Danemark est 1er, l'Estonie 2e et Singapour 3e. Ce n'est pas un problème technique. La Belgique a une eID de classe mondiale, itsme avec plus de 8 millions d'utilisateurs, et la Banque Carrefour de la Sécurité sociale comme travail de pionnier reconnu internationalement. Le problème est structurel : 6 gouvernements construisent chacun leurs propres systèmes sans architecture commune, sans obligation once only opposable, et sans la volonté politique de centraliser ce qui doit l'être.

La première position rend le once only contraignant pour tous les niveaux de pouvoir. Pas comme accord de coopération sans engagement, mais comme loi, sur le modèle estonien où il est interdit de constituer des bases de données parallèles. Le point de contact Kafka gagne du mordant. La deuxième position construit une X-Road belge qui remplace en 6 ans les six intégrateurs existants (FSB/BOSA, BCSS, MAGDA, BCED, Fidus, eHealth) par une seule couche nationale d'échange de données. Pas une connexion par-dessus six silos, mais rendre les silos eux-mêmes superflus. La BCSS prouve depuis 1990 que c'est possible en Belgique : environ 3.000 acteurs via un seul protocole. La X-Road estonienne relie 957 organisations et économise, selon le gouvernement estonien, environ 1.345 années de travail par an, dans un pays de moins de 1,4 million d'habitants.

La troisième position fait du numérique le standard pour toute la communication publique, avec une garantie légale d'alternative physique pour qui ne peut pas suivre. Au Danemark, 95 % des citoyens sont raccordés à Digital Post, avec seulement 4,7 % de dispenses. La quatrième position rompt avec l'addiction aux consultants : une agence GovTech belge avec au moins 1.000 technologues en interne, des salaires conformes au marché, et un objectif concret de réduire de moitié la dépendance IT externe. Les collaborateurs techniques des six intégrateurs à démanteler forment la base de départ. Pas de licenciements, mais une réaffectation. La débâcle i-Police, 75,8 millions d'euros payés sans système utilisable, illustre pourquoi c'est urgent.

La cinquième position traite la cybersécurité comme une infrastructure critique. Un score correct au National Cyber Security Index (81,67/100 en 2026) masque une réalité opérationnelle faite de ransomware à Anvers (11 M€ de remise en état puis 84 M€ de sécurité supplémentaire), de DDoS contre le Parlement, d'espionnage chinois à la Sûreté de l'État, et d'un ministère de la Défense attaqué. L'architecture zero trust, les audits obligatoires et la cybersécurité communale mutualisée sont la réponse. La sixième position fait de l'open data le standard légal. La Belgique se situe sous la moyenne de l'UE en maturité open data alors que le marché européen de l'open data valait déjà 184 milliards d'euros en 2019.

La septième position déploie l'IA pour l'efficience : détection de la fraude, traitement des documents, chatbots. Mais avec des garanties fermes : un registre des algorithmes obligatoire, une décision humaine pour les choix lourds de conséquences, et une interdiction légale du profilage sur la nationalité ou l'ethnicité. L'affaire néerlandaise des allocations, 26.000+ parents accusés à tort et un gouvernement tombé, est le récit d'avertissement que la Belgique doit retenir.

La huitième position crée sans délai une regulatory sandbox belge pour l'IA, conformément à l'obligation de l'AI Act européen (article 57 ; après report, au plus tard en août 2027). Les services publics peuvent tester des applications d'IA avec des données réelles sous supervision, au lieu soit de ne pas expérimenter (trop prudent), soit de déployer sans contrôle (affaire des allocations). L'Espagne a intégré en 2025 une première cohorte de systèmes d'IA dans sa sandbox nationale ; la Belgique n'avait pas, en juillet 2026, peu avant l'échéance européenne initiale, ne fût-ce qu'une autorité de contrôle de l'IA.

Ce que la réforme numérique fait économiser aux pouvoirs publics, avec moins de systèmes en double et moins de consultants, figure dans le total de la réforme de l'État. La mise en place de la X-Road et de l'agence GovTech demande d'abord un investissement : le programme de transition est estimé à 0,5-1 milliard d'euros par an pendant la transition (voir Impôts §6).

La neuvième position construit la participation citoyenne numérique et les référendums numériques contraignants comme contrepoids démocratique aux gains d'efficience de l'administration numérique. Une consultation numérique obligatoire avant les décisions du Conseil des entités fédérées, une initiative citoyenne numérique contraignante (25.000 soutiens via eID/itsme portent une proposition à un vote de tous les électeurs), et un référendum numérique contraignant pour les révisions constitutionnelles. Le numérique par défaut, sur le modèle technique estonien ; qui ne peut pas passer par le numérique vote à la maison communale. L'infrastructure d'identité existante (eID, itsme, plus de 8 millions d'utilisateurs) est enfin mise au service de la participation démocratique aussi, pas seulement des processus administratifs. La Suisse organise jusqu'à quatre fois par an des votes contraignants. En Estonie, 51 % des voix ont été exprimées en ligne en 2023. La Communauté germanophone de Belgique a un Bürgerrat permanent depuis 2019. Les instruments existent. La Belgique ne les utilise pas.

L'État travaille pour le citoyen. Pas l'inverse. L'Estonie a construit un État numérique avec une fraction du budget belge. Le Danemark estime l'économie de Digital Post à environ 130 millions d'euros par an. Singapour traite 41 millions de transactions numériques par mois. La Belgique dispose de bien plus de moyens et fournit moins, parce qu'elle tolère la fragmentation là où l'unité est nécessaire. Les solutions techniques existent. Les preuves internationales sont écrasantes. Ce qui reste, c'est la décision politique d'agir.