Cadre juridique de l’intelligence artificielle au Maroc : ce que les entreprises doivent savoir

Le cadre juridique de l’intelligence artificielle au Maroc est en construction. Il n’existe pas encore de loi spécifique à l’IA, mais plusieurs textes existants s’appliquent déjà : la loi 09-08 sur la protection des données personnelles et les orientations du livre blanc IA publié en 2025. Les entreprises opèrent donc dans un espace partiellement encadré, avec des risques réels.

Ce qui existe aujourd’hui

Le Maroc n’a pas encore adopté de législation dédiée à l’IA. Mais dire qu’il n’y a pas de cadre serait inexact.

La loi 09-08 relative à la protection des données à caractère personnel encadre tout traitement automatisé de données. Si votre système d’IA traite des données de salariés, de clients, ou de candidats, vous êtes déjà soumis à cette loi. La Commission Nationale de contrôle de la Protection des Données à caractère Personnel (CNDP) est l’autorité compétente en matière de contrôle des traitements de données personnelles.

En 2025, un livre blanc sur l’IA a été publié au Maroc. Il trace les contours d’un modèle marocain souverain et inclusif. Ce n’est pas une loi. Mais c’est un signal fort sur la direction que prend la régulation. Les entreprises qui lisent ces signaux ont une longueur d’avance.

Le risque réel : des usages internes sans politique claire

Selon Kaspersky, relayé par Medias24, les entreprises marocaines ont recours à l’IA de manière massive et peu encadrée. EcoActu.ma a documenté le même constat : l’absence de politique interne sur l’IA représente un risque opérationnel et juridique concret.

De quoi parle-t-on concrètement ? Des salariés qui utilisent des outils d’IA grand public pour traiter des données clients. Des recruteurs qui font passer des CV dans des outils non certifiés. Des équipes commerciales qui alimentent des agents conversationnels avec des données contractuelles sensibles.

Ces pratiques exposent l’entreprise à trois types de risques :

• Violation de la loi 09-08 si des données personnelles transitent par des serveurs hors du contrôle de l’entreprise.
• Responsabilité contractuelle si une décision automatisée non encadrée en interne cause un préjudice à un tiers.
• Risque réputationnel si un incident devient public.

Le problème n’est pas l’IA. Le problème est l’absence de politique interne claire sur son usage.

J’ai construit un cadre de diagnostic en 6 dimensions pour évaluer exactement l’exposition juridique et opérationnelle de votre entreprise face à l’IA. Téléchargez le Board Pack IA 2026.

Ce que le dialogue Maroc-UE change pour vous

Le Maroc et l’Union européenne ont lancé un dialogue stratégique sur la souveraineté numérique et l’IA. Ce n’est pas anecdotique.

Le Règlement européen sur l’intelligence artificielle (dit Règlement IA de l’UE) est en cours d’application progressive. Il concerne toute entreprise qui fournit ou utilise des systèmes d’IA sur le marché européen, quelle que soit sa localisation. Une entreprise marocaine qui travaille avec des clients français, belges, ou néerlandais doit analyser son exposition à ce texte.

Le dialogue stratégique Maroc-UE signifie que la convergence réglementaire est en marche. Les entreprises marocaines qui anticipent ces exigences se positionnent mieux pour les marchés export. Celles qui attendent une loi marocaine spécifique pour agir prennent du retard.

Comme je l’expliquais dans mon analyse sur les outils IA pour les RH, le choix d’un outil n’est pas qu’une question de performance. C’est aussi une question de conformité et de localisation des données.

Les bonnes pratiques à adopter maintenant

Vous n’avez pas besoin d’attendre une loi pour agir. Voici ce que font les entreprises sérieuses.

Cartographier les usages IA existants

Avant de déployer quoi que ce soit, sachez ce qui existe déjà dans vos équipes. Des outils sans politique ni garde-fous sont souvent déjà en place. Un audit interne simple révèle l’exposition réelle.

Mettre à jour la politique de traitement des données

Votre politique de confidentialité et vos contrats de traitement de données doivent mentionner explicitement les traitements automatisés. La CNDP peut demander ces documents lors d’un contrôle.

Désigner un référent IA interne

Pas nécessairement un juriste. Quelqu’un qui comprend les outils utilisés et qui peut faire le lien entre les équipes métier et la direction juridique. Dans les projets que j’accompagne, ce rôle est souvent sous-estimé au départ et devient critique au moment du passage à l’échelle.

Documenter les décisions automatisées

Si votre IA prend ou influence des décisions qui affectent des personnes (recrutement, crédit, accès à un service), documentez la logique. C’est une exigence de la loi 09-08 et une protection en cas de litige.

Pour aller plus loin sur la question des compétences internes, voir mon article sur les métiers qui résistent à l’IA. La gouvernance de l’IA est précisément l’un des domaines où le jugement humain reste irremplaçable.

Ce qui arrive dans les 18 prochains mois

Le livre blanc marocain sur l’IA pose les bases d’une future régulation. Le dialogue avec l’UE accélère la convergence. Le projet Nexus AI Factory, dont Le Desk a révélé les contours pour un montant de 12 milliards de dirhams, illustre l’ampleur des investissements en jeu dans l’écosystème IA au Maroc.

Une loi spécifique à l’IA au Maroc est probable à horizon 2027. Elle s’inspirera probablement du Règlement IA de l’UE, avec des adaptations au contexte local. Les entreprises qui auront déjà structuré leur gouvernance de l’IA n’auront pas à tout reconstruire.

Celles qui attendent seront en mode rattrapage.

Si vous êtes DRH, CEO ou membre d’un conseil d’administration et que vous voulez structurer votre approche avant que la régulation ne vous y oblige, demandez un diagnostic gratuit.

FAQ

Existe-t-il une loi spécifique sur l’IA au Maroc en 2026 ?

Non. Il n’existe pas encore de loi dédiée à l’intelligence artificielle au Maroc. La loi 09-08 sur la protection des données personnelles s’applique déjà à de nombreux usages de l’IA. Un livre blanc publié en 2025 trace les orientations d’une future régulation.

Le Règlement IA de l’UE s’applique-t-il aux entreprises marocaines ?

Potentiellement oui. Ce texte s’applique à toute entreprise qui fournit ou déploie des systèmes d’IA sur le marché européen, indépendamment de son siège social. Une entreprise marocaine avec des clients en France ou en Belgique doit analyser son exposition.

Quels sont les risques concrets d’une utilisation non encadrée de l’IA au Maroc ?

Trois risques principaux : violation de la loi 09-08 si des données personnelles transitent par des outils non contrôlés, responsabilité contractuelle en cas de décision automatisée préjudiciable, et risque réputationnel en cas d’incident public. Kaspersky et plusieurs médias économiques marocains ont documenté ces risques récemment.

Par où commencer pour se mettre en conformité ?

Par un audit des usages IA existants dans vos équipes. Ensuite : mettre à jour votre politique de traitement des données, désigner un référent interne, et documenter les décisions automatisées. Ces quatre étapes couvrent l’essentiel de l’exposition actuelle sans attendre une loi spécifique.