Conformité IA au Maroc : loi 09-08, CNDP, DGSSI, Bank Al-Maghrib

Déployer un assistant IA qui lit des e-mails clients, un copilote RH qui consulte des dossiers de collaborateurs ou un agent connecté à votre ERP : dans chacun de ces cas, vous traitez des données à caractère personnel, parfois des données sensibles, et vous les faites souvent transiter par des serveurs situés hors du Maroc. Ce n'est pas un détail technique. C'est un traitement de données encadré par la loi 09-08, contrôlé par la CNDP et, selon votre secteur, soumis aux exigences de la DGSSI, de Bank Al-Maghrib ou de l'ACAPS.

Ce guide passe en revue les textes applicables, les formalités à accomplir et les questions à poser à vos fournisseurs avant de mettre un système d'IA en production au Maroc. Il ne remplace pas un avis juridique — chaque projet mérite une analyse propre — mais il vous donne la carte du terrain, secteur par secteur.

Pourquoi la conformité IA devient-elle un sujet de direction générale ?

L'IA générative change l'échelle du problème. Un traitement de données classique concerne un périmètre défini : un fichier clients, un logiciel de paie. Un assistant IA, lui, peut potentiellement lire, résumer et croiser tout ce à quoi on le connecte — messageries, contrats, dossiers RH, historiques de ventes. Chaque nouvelle connexion est un nouveau traitement, avec sa finalité, sa base légale et ses risques propres.

S'ajoute la question de la localisation. Les grands modèles sont majoritairement servis depuis des infrastructures cloud situées aux États-Unis ou en Europe. Or la loi 09-08 encadre strictement les transferts de données personnelles vers l'étranger, et certains secteurs — banques, infrastructures d'importance vitale — sont soumis à des exigences de résidence des données encore plus fortes.

Enfin, les régulateurs marocains observent le sujet de près. La CNDP a publié plusieurs délibérations et prises de position sur les technologies émergentes, et les superviseurs sectoriels intègrent progressivement l'IA dans leurs référentiels de gestion des risques. Attendre que le cadre se précise pour s'en préoccuper est la stratégie la plus coûteuse : les projets construits sans gouvernance se refont, rarement à moindre prix.

Qu'est-ce que la loi 09-08 ?

La loi 09-08, adoptée en 2009, est le texte marocain de référence sur la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Elle impose aux organismes qui traitent des données personnelles des formalités préalables auprès de la CNDP, des obligations de sécurité et de confidentialité, et encadre les transferts de données vers l'étranger.

Le texte repose sur des principes que tout projet d'IA doit respecter : une finalité déterminée et légitime (on ne collecte pas « au cas où »), la proportionnalité des données traitées, une durée de conservation limitée, et les droits des personnes concernées — information, accès, rectification, opposition. Son décret d'application et les délibérations de la CNDP en précisent la mise en œuvre.

Déclaration ou autorisation : quelle formalité pour votre projet ?

La loi 09-08 distingue deux régimes de formalités préalables, et la différence est structurante pour un projet d'IA :

• La déclaration préalable est le régime général : avant de mettre en œuvre un traitement de données personnelles, l'organisme le déclare auprès de la CNDP, en précisant sa finalité, les catégories de données, les destinataires et les mesures de sécurité.
• L'autorisation préalable s'applique aux cas les plus sensibles : traitement de données dites sensibles (santé, opinions politiques ou religieuses, appartenance syndicale, origine raciale ou ethnique), utilisation de données à d'autres fins que celles déclarées, et transfert de données vers un État qui n'assure pas un niveau de protection jugé suffisant.

Ce dernier point concerne directement l'IA : si votre assistant envoie des données personnelles vers un modèle hébergé dans un pays ne figurant pas parmi ceux reconnus comme offrant une protection adéquate, le transfert relève du régime d'autorisation. La formalité n'est pas une case à cocher a posteriori — elle conditionne la légalité du déploiement.

Ce que cela implique concrètement pour un projet d'IA

Quelques situations types permettent de fixer les idées :

• Un chatbot de support client qui traite noms, e-mails et historiques de commandes : traitement à déclarer, information claire des personnes, durée de conservation des conversations à définir.
• Un copilote RH qui résume des entretiens annuels ou analyse des candidatures : vigilance renforcée sur la finalité et la proportionnalité, et sur tout ce qui peut toucher à des données sensibles.
• Un assistant médical ou de mutuelle qui manipule des données de santé : régime d'autorisation, avec un dossier solide sur la sécurité et l'hébergement.
• N'importe lequel de ces cas servi par un modèle cloud hors du Maroc : la question du transfert international se pose systématiquement et doit être traitée avant la mise en production, pas après.

La réforme en cours : cap sur le RGPD

Une refonte du cadre marocain de protection des données est engagée, avec un objectif affiché de convergence vers le RGPD européen : logique de responsabilisation (accountability) plutôt que de formalités systématiques, analyses d'impact pour les traitements à risque, registre des traitements, délégué à la protection des données. À la date de publication de cet article, le nouveau texte n'était pas encore adopté ; le régime de la loi 09-08 reste donc applicable.

La conséquence pratique est claire : construisez dès aujourd'hui vos projets d'IA au standard RGPD. Vous serez conforme au droit actuel, prêt pour le droit qui vient, et aligné avec les exigences de vos partenaires européens — un point loin d'être théorique pour les entreprises marocaines qui traitent des données de clients européens et relèvent déjà, à ce titre, du RGPD.

Quel rôle joue la CNDP au quotidien ?

La CNDP — Commission nationale de contrôle de la protection des données à caractère personnel — est l'autorité qui reçoit les déclarations et délivre les autorisations, via son portail dédié. Mais son rôle ne s'arrête pas aux formalités : elle publie des délibérations sectorielles qui font référence (biométrie, vidéosurveillance, prospection commerciale), instruit les plaintes des personnes concernées, et peut diligenter des contrôles.

Pour un projet d'IA, trois réflexes s'imposent : vérifier si une délibération de la CNDP couvre déjà votre cas d'usage, désigner en interne un responsable qui suit les formalités et tient la documentation à jour, et traiter la CNDP comme un interlocuteur — la solliciter en amont sur un cas ambigu coûte toujours moins cher qu'un redressement en aval.

Infrastructures d'importance vitale : loi 05-20, DGSSI et DNSSI

Deuxième pilier du cadre marocain : la cybersécurité. La loi 05-20 relative à la cybersécurité, complétée par ses textes d'application et par la Directive nationale de la sécurité des systèmes d'information (DNSSI), fixe les obligations des administrations, des organismes publics et des opérateurs privés désignés comme infrastructures d'importance vitale (IIV) — typiquement les banques, les télécoms, l'énergie, l'eau, le transport ou la santé.

Le dispositif est piloté par la DGSSI, la Direction générale de la sécurité des systèmes d'information, rattachée à l'Administration de la défense nationale. Pour les entités concernées, les obligations incluent notamment :

• la cartographie et la classification de leurs systèmes d'information, avec identification des systèmes d'information sensibles ;
• des mesures de sécurité conformes à la DNSSI et l'homologation des systèmes sensibles ;
• des audits réguliers menés par des prestataires qualifiés ;
• la déclaration des incidents de sécurité aux équipes nationales de réponse (maCERT) ;
• et — point décisif pour l'IA — l'hébergement des données sensibles sur le territoire national.

La conséquence pour un projet d'IA est directe : si vous êtes une IIV, connecter un modèle cloud hébergé à l'étranger à un système d'information sensible n'est pas une option. C'est précisément le scénario pour lequel les architectures d'IA souveraine — modèles ouverts servis on-premise ou dans un cloud marocain, voire en environnement totalement isolé — ont été conçues.

Banques : les directives de Bank Al-Maghrib sur l'externalisation et le cloud

Les établissements de crédit cumulent tous les régimes précédents et y ajoutent la supervision de Bank Al-Maghrib. Le superviseur bancaire encadre de longue date l'externalisation des activités, et a précisé ses attentes pour le recours au cloud. Or utiliser un service d'IA générative en mode SaaS, c'est externaliser un traitement — le régime s'applique.

Concrètement, une banque qui veut déployer un assistant IA doit s'attendre à devoir démontrer :

• une analyse de risques préalable couvrant la confidentialité, la localisation des données, la continuité d'activité et le risque de concentration sur un fournisseur ;
• une information du superviseur pour l'externalisation de fonctions importantes, selon les modalités prévues par ses textes ;
• des clauses contractuelles garantissant le droit d'audit, la réversibilité, la localisation et la restitution des données, et l'encadrement de la sous-traitance en cascade ;
• l'intégration du dispositif dans le plan de continuité d'activité, avec un scénario de sortie testable ;
• et le respect du secret bancaire, qui interdit d'exposer des données de clientèle à des tiers non habilités — ce qu'un prompt mal gouverné peut faire en une seconde.

En pratique, cela oriente les banques marocaines vers des architectures maîtrisées : offres entreprise avec engagements contractuels forts et non-utilisation des données pour l'entraînement, régions d'hébergement choisies, passerelles de filtrage et de journalisation entre les utilisateurs et le modèle, et, pour les cas les plus sensibles, modèles déployés dans leur propre infrastructure.

Assurance : les attentes de l'ACAPS

Le secteur des assurances suit une logique proche sous le contrôle de l'ACAPS, l'Autorité de contrôle des assurances et de la prévoyance sociale. Ses référentiels de gouvernance et de gestion des risques couvrent l'externalisation et les systèmes d'information ; s'y ajoute la nature des données manipulées — les données de santé des assurés relèvent du régime d'autorisation de la CNDP.

Un assureur qui automatise le tri des déclarations de sinistres ou l'assistance à la souscription doit donc traiter le sujet sur deux fronts à la fois : le dossier CNDP pour les données sensibles, et la démonstration au superviseur que le dispositif d'externalisation est maîtrisé, documenté et réversible.

Checklist de conformité par secteur

Tous secteurs

• Cartographier les traitements de données personnelles induits par chaque cas d'usage IA (finalité, catégories de données, destinataires, durées).
• Accomplir les formalités CNDP — déclaration, ou autorisation pour les données sensibles et les transferts hors du Maroc.
• Informer les personnes concernées et outiller leurs droits (accès, rectification, opposition).
• Encadrer contractuellement le fournisseur d'IA : confidentialité, localisation, non-utilisation des données pour l'entraînement, sous-traitance, réversibilité.
• Écrire une politique d'usage de l'IA et former les équipes — le principal risque de fuite reste le collaborateur qui colle un document confidentiel dans un outil grand public.
• Journaliser les usages et prévoir une revue périodique du dispositif.

Banques et établissements de crédit

• Qualifier le projet au regard du dispositif d'externalisation de Bank Al-Maghrib et informer le superviseur selon les modalités applicables.
• Documenter l'analyse de risques cloud : localisation, concentration, continuité, réversibilité.
• Protéger le secret bancaire par des contrôles techniques (filtrage, masquage, habilitations), pas seulement par une charte.
• Intégrer le dispositif IA au plan de continuité et tester le scénario de sortie.

Assurances

• Croiser les exigences ACAPS (externalisation, gestion des risques SI) et CNDP (autorisation pour les données de santé).
• Isoler les traitements impliquant des données médicales dans des environnements dédiés et habilités.
• Documenter la supervision humaine des décisions assistées par IA (tarification, sinistres).

Opérateurs d'importance vitale

• Vérifier votre statut IIV et le périmètre de vos systèmes d'information sensibles auprès du référentiel DGSSI.
• Exclure tout hébergement à l'étranger pour les données sensibles ; privilégier on-premise ou cloud localisé au Maroc.
• Homologuer le système d'IA comme tout SI sensible : audit, durcissement, déclaration d'incidents.
• Prévoir des mises à jour de modèles compatibles avec un environnement maîtrisé, voire isolé.

Santé et données sensibles

• Régime d'autorisation CNDP systématique pour les données de santé.
• Minimiser et pseudonymiser avant tout envoi vers un modèle, quand le cas d'usage le permet.
• Garantir une supervision humaine réelle sur tout ce qui touche au parcours de soins.

Comment une IA d'entreprise se met-elle en conformité ?

Choisir où résident les données

Le premier arbitrage est architectural. Les offres entreprise d'OpenAI et d'Anthropic apportent des garanties contractuelles sérieuses — chiffrement, non-utilisation des données pour l'entraînement, options de résidence des données — qui suffisent à une large part des cas d'usage, une fois les formalités CNDP accomplies. Pour les données relevant du secret bancaire, des SI sensibles d'une IIV ou du régime d'autorisation, la réponse passe par des architectures où les données ne quittent pas votre périmètre : modèles ouverts servis on-premise, cloud localisé, ou déploiement isolé. Entre les deux, des architectures hybrides routent chaque requête vers le bon environnement selon la sensibilité des données.

Gouverner l'usage, pas seulement l'outil

La conformité ne se joue pas uniquement dans le contrat du fournisseur. Elle exige un cadre interne : une politique d'usage qui dit ce que les équipes peuvent soumettre à l'IA et ce qui est interdit, des habilitations alignées sur les droits d'accès existants, une journalisation des requêtes, des analyses d'impact pour les cas à risque, et une instance qui arbitre les nouveaux usages. Le référentiel ISO/IEC 42001 fournit une structure éprouvée pour organiser tout cela sans réinventer la roue.

Verrouiller les contrats

Enfin, les clauses. Avant toute signature, exigez de votre fournisseur d'IA : la liste des lieux de traitement et de stockage, l'engagement écrit de non-utilisation de vos données pour l'entraînement des modèles, les modalités de suppression et de restitution, la chaîne complète de sous-traitance, le droit d'audit, et un engagement de notification des incidents. Ce sont exactement les points que la CNDP, Bank Al-Maghrib ou vos auditeurs examineront.

Par où commencer ?

La conformité IA au Maroc n'est pas un mur : c'est une série d'arbitrages qui se prennent d'autant mieux qu'ils se prennent tôt. La démarche raisonnable tient en trois temps — cartographier vos cas d'usage et leurs données, qualifier le régime applicable (CNDP, DNSSI, superviseur sectoriel), puis choisir l'architecture d'hébergement qui rend le tout défendable.

C'est précisément le travail de notre offre de gouvernance IA : audit de conformité, cadre de gouvernance aligné ISO/IEC 42001 et dossiers réglementaires. Et quand vos données ne peuvent pas quitter votre périmètre, nos architectures d'IA souveraine — y compris déployées au Maroc — apportent la réponse technique. Pour situer votre organisation en trente minutes, planifiez un échange avec nos consultants.