Quel est le droit de l’intelligence artificielle au Maroc ? Cadre légal et enjeux

Au Maroc, il n’existe pas encore de loi spécifique à l’intelligence artificielle. Le cadre juridique actuel repose sur des textes existants : la loi 09-08 sur la protection des données personnelles, la loi 53-05 sur l’échange électronique, et des régulations sectorielles. Des travaux législatifs sont en cours, portés notamment par un livre blanc publié en 2025 qui trace les contours d’un modèle marocain inclusif et souverain.

Un vide juridique, mais pas un vide total

Quand un DRH me demande si son entreprise risque quelque chose en déployant un outil d’IA au Maroc, ma réponse est toujours la même : le risque existe, mais il vient moins d’une loi IA que des textes déjà en vigueur.

La loi 09-08 encadre le traitement des données personnelles. Elle impose des obligations de déclaration à la Commission Nationale de contrôle de la Protection des Données à caractère Personnel (CNDP), le consentement des personnes concernées, et des règles strictes sur les transferts de données hors du territoire. Un système d’IA qui traite des données de salariés ou de clients marocains tombe sous cette loi, qu’il soit développé à Casablanca ou hébergé à Amsterdam.

La loi 53-05 régit les échanges électroniques et la signature numérique. Elle pose des bases sur la valeur juridique des actes dématérialisés, ce qui devient pertinent dès qu’un processus décisionnel est automatisé.

Ces deux textes ont été conçus bien avant l’ère des grands modèles de langage. Ils s’appliquent, mais avec des lacunes évidentes.

Ce que le livre blanc de 2025 change concrètement

En 2025, le Maroc a publié un livre blanc sur l’IA qui trace la voie d’un modèle inclusif et souverain. Ce document n’est pas une loi. Mais il signale une direction politique claire.

Pour les entreprises marocaines qui exportent vers l’Europe ou qui travaillent avec des partenaires européens, le dialogue stratégique lancé entre le Maroc et l’UE sur la souveraineté numérique et l’IA crée une pression d’alignement réelle. L’AI Act européen devient une contrainte indirecte pour les entreprises exposées au marché européen, même sans équivalent local.

J’ai construit un cadre de diagnostic en 6 dimensions pour aider les dirigeants à évaluer leur exposition réglementaire IA, entre Casablanca et Bruxelles. Téléchargez le Board Pack IA 2026.

Les risques réels pour les entreprises aujourd’hui

Un signal récent mérite l’attention des dirigeants : selon des données publiées par Kaspersky et relayées par Medias24, 42 % des utilisateurs d’IA en entreprise au Maroc importent des documents complets dans des outils externes non contrôlés.

Ce comportement crée une exposition directe sous la loi 09-08. Si des données personnelles sont impliquées, la CNDP est susceptible d’intervenir dans le cadre de ses attributions. Et au-delà du risque légal, c’est un risque de confidentialité que la plupart des conseils d’administration n’ont pas encore formellement intégré à leur agenda.

Devoteam Maroc et Inteqy ont récemment formalisé un partenariat pour déployer des solutions d’IA sous contrôle humain dans les grandes entreprises. C’est un signal de marché : la demande de garde-fous opérationnels existe, et elle précède souvent la régulation formelle.

Comme je l’expliquais dans mon analyse sur l’IA en entreprise pour les PME, les risques ne sont pas théoriques. Ils se matérialisent dans des processus quotidiens que personne n’a encore cartographiés.

Ce qui arrive dans les 18 à 24 prochains mois

Le Maroc travaille sur plusieurs fronts simultanément.

Premier front : l’infrastructure. Le projet Nexus AI Factory, doté d’une enveloppe de 12 milliards de dirhams, est un signal d’investissement structurant. Par ailleurs, selon Yabiladi, un projet de data center au Maroc a franchi l’étape du foncier. Deux signaux distincts qui montrent que la souveraineté numérique se construit physiquement.

Deuxième front : la régulation sectorielle. Avant une loi générale sur l’IA, attendez-vous à des textes sectoriels : finance, santé, administration publique. C’est le chemin qu’ont suivi la plupart des pays avant d’adopter un cadre horizontal.

Troisième front : l’alignement avec l’UE. Le dialogue stratégique Maroc-UE sur l’IA crée une pression d’harmonisation. Les entreprises qui anticipent les exigences de l’AI Act européen aujourd’hui auront une longueur d’avance demain.

Pour les dirigeants qui veulent comprendre comment les meilleurs outils IA disponibles en 2026 s’inscrivent dans ce cadre réglementaire, la question n’est plus “est-ce que j’ai le droit ?” mais “comment je documente ma conformité ?”

Ce que doit faire un dirigeant maintenant

Trois actions concrètes, dans l’ordre.

Premièrement, cartographier les cas d’usage IA déjà actifs dans votre organisation. Pas ceux que vous avez officiellement déployés. Ceux que vos équipes utilisent sans que vous le sachiez. L’IA non encadrée est votre premier risque légal.

Deuxièmement, vérifier votre conformité à la loi 09-08 pour chaque traitement de données impliquant un système automatisé. Si vous n’avez pas fait cette revue depuis deux ans, elle est probablement obsolète.

Troisièmement, désigner un responsable interne de la gouvernance de l’IA. Pas un titre honorifique. Une personne avec un mandat, un budget, et une ligne directe vers le conseil d’administration.

Si vous êtes CEO ou DRH et que vous voulez structurer votre approche face au cadre réglementaire IA marocain, demandez un diagnostic gratuit.

FAQ

Existe-t-il une loi spécifique sur l’IA au Maroc ?

Non. Au 1er trimestre 2026, le Maroc ne dispose pas encore d’une loi dédiée à l’intelligence artificielle. Le cadre juridique applicable repose sur la loi 09-08 (protection des données), la loi 53-05 (échanges électroniques), et des régulations sectorielles. Un livre blanc publié en 2025 pose les bases d’une future régulation orientée vers un modèle inclusif et souverain.

La CNDP peut-elle sanctionner l’usage d’outils IA ?

Indirectement, oui. Si un outil d’IA traite des données personnelles de citoyens ou résidents marocains sans respecter les obligations de la loi 09-08 (déclaration, consentement, sécurité des données), la CNDP est susceptible d’intervenir dans le cadre de ses attributions légales.

L’AI Act européen s’applique-t-il aux entreprises marocaines ?

Pas directement. Mais si une entreprise marocaine fournit des services ou des produits à des clients ou partenaires dans l’Union européenne, l’AI Act peut créer une pression d’alignement réelle. Le dialogue stratégique Maroc-UE en cours renforce cette convergence progressive.

Qu’est-ce que l’IA non encadrée et pourquoi est-ce un risque légal ?

L’IA non encadrée désigne l’usage d’outils d’intelligence artificielle par des collaborateurs sans politique interne, sans contrôle des données transmises, et sans traçabilité. Au Maroc, cela crée une exposition directe sous la loi 09-08 dès lors que des données personnelles sont impliquées. C’est aujourd’hui le risque légal le plus immédiat pour la majorité des entreprises.