Quel est le droit de l’intelligence artificielle au Maroc ? Cadre légal et enjeux
Le Maroc ne dispose pas encore d’une loi spécifique sur l’intelligence artificielle. Le cadre légal applicable repose sur des textes existants : la loi 09-08 sur la protection des données personnelles, la loi 05-20 sur la cybersécurité, et les orientations de la Stratégie Maroc Digital 2030. Des travaux réglementaires sont en cours, mais aucun texte dédié à l’IA n’est encore en vigueur.
Ce qui existe aujourd’hui
Le Maroc n’est pas dans le vide juridique. Plusieurs textes encadrent déjà les usages de l’IA, même sans la nommer explicitement.
La loi 09-08 sur les données personnelles
C’est le texte le plus directement applicable. Toute solution d’IA qui collecte, traite ou analyse des données personnelles de citoyens marocains tombe sous cette loi. La Commission Nationale de contrôle de la Protection des Données à caractère Personnel (CNDP) est l’autorité de contrôle. Elle a déjà publié des recommandations sur l’usage des données dans les systèmes automatisés.
Pour un DRH qui déploie un outil de tri de CV ou un système d’évaluation de candidats, cette loi s’applique. Le consentement, la finalité du traitement, et le droit d’accès des personnes concernées sont des obligations réelles, pas théoriques.
La loi 05-20 sur la cybersécurité
Adoptée en 2020, elle crée un cadre pour la sécurité des systèmes d’information des opérateurs d’importance vitale. Les entreprises qui intègrent l’IA dans des infrastructures critiques, qu’il s’agisse d’énergie, de finance ou de télécommunications, ont des obligations de sécurité renforcées. La Direction Générale de la Sécurité des Systèmes d’Information (DGSSI) est l’autorité compétente.
La Stratégie Maroc Digital 2030
Ce n’est pas une loi. C’est un cadre d’orientation gouvernemental. Il fixe des ambitions sur la numérisation de l’administration, le développement des compétences numériques, et l’attractivité du Maroc pour les investissements technologiques. L’IA y est mentionnée comme levier, sans régulation spécifique associée.
Ce qui est en construction
Le Maroc observe. Et il n’est pas seul à tâtonner.
Au niveau africain, peu de pays ont adopté une législation IA dédiée. Des pays comme le Rwanda ou le Kenya ont avancé plus vite sur des cadres spécifiques. L’Égypte a publié une stratégie nationale IA avec des mécanismes de gouvernance plus détaillés. Le Maroc est dans la moyenne haute du continent : il dispose d’une autorité de protection des données opérationnelle, d’une loi cybersécurité récente, et d’une stratégie numérique nationale. Il lui manque encore l’étage réglementaire dédié à l’IA.
En Europe, le règlement sur l’IA (AI Act) est désormais en vigueur. Les entreprises marocaines qui opèrent avec des partenaires européens ou qui exportent des services vers l’UE sont déjà concernées indirectement. Si votre client est belge ou français, son fournisseur marocain doit s’aligner.
C’est ce que j’observe directement dans les projets que je conduis entre Casablanca et Bruxelles : la conformité à l’AI Act européen devient une exigence contractuelle, même pour des prestataires hors UE.
J’ai structuré un cadre de diagnostic pour aider les dirigeants à évaluer leur exposition réglementaire IA, côté marocain et côté européen. Téléchargez le Board Pack IA 2026.
Ce que ça change concrètement pour votre entreprise
Trois risques réels aujourd’hui
Premier risque : l’IA non encadrée. Des équipes qui utilisent des outils d’IA grand public pour traiter des données clients ou RH sans politique interne. La CNDP peut intervenir. Ce n’est pas hypothétique.
Deuxième risque : la responsabilité et la redevabilité en cas de décision automatisée. Si un système d’IA refuse un crédit, écarte un candidat, ou génère une recommandation médicale, qui est responsable ? Le droit marocain actuel ne répond pas clairement à cette question. En cas de litige, c’est le droit commun qui s’applique, avec toute l’incertitude que ça implique.
Troisième risque : le décalage avec vos partenaires européens. Comme je l’expliquais dans mon analyse sur le rôle de l’IA dans les entreprises, les exigences de gouvernance de l’IA remontent désormais dans les chaînes contractuelles. Votre client européen vous demandera bientôt une politique IA documentée.
Ce que vous devez faire maintenant
Premièrement, cartographier vos cas d’usage IA actuels et identifier lesquels traitent des données personnelles. Deuxièmement, vérifier votre conformité à la loi 09-08 pour ces usages. Troisièmement, si vous avez des clients européens, lire les catégories de risque de l’AI Act et vérifier où se situent vos outils.
Ce n’est pas un chantier de six mois. Un premier diagnostic peut se faire en quelques semaines.
Si vous voulez structurer cette démarche rapidement, demandez un diagnostic réglementaire IA.
Maroc vs autres pays africains : où en est-on ?
Le Maroc a les fondations. Les signaux récents montrent que les usages s’accélèrent : des acteurs comme Maroc Cloud déploient des outils IA en entreprise, et des partenariats d’infrastructure se nouent pour préparer les capacités de calcul nécessaires. La réglementation devra suivre ce rythme.
Comme je l’analysais dans mon article sur les outils IA pour les entreprises en 2026, la question n’est plus de savoir si l’IA entre dans les organisations marocaines. Elle y est déjà. La question est de savoir si les dirigeants ont un cadre pour la gouverner.
FAQ
Existe-t-il une loi spécifique sur l’IA au Maroc ?
Non. En août 2026, le Maroc ne dispose pas d’une loi dédiée à l’intelligence artificielle. Les usages sont encadrés par la loi 09-08 sur les données personnelles, la loi 05-20 sur la cybersécurité, et le droit commun des contrats et de la responsabilité civile.
L’AI Act européen s’applique-t-il aux entreprises marocaines ?
Pas directement. Mais si votre entreprise fournit des services à des clients établis dans l’Union européenne, ou si vos outils IA traitent des données de résidents européens, vous êtes indirectement concerné. Vos clients européens peuvent vous imposer des exigences contractuelles alignées sur l’AI Act.
Quel est le rôle de la CNDP dans la régulation de l’IA ?
La CNDP est l’autorité compétente pour tout ce qui touche aux données personnelles, y compris dans les systèmes d’IA. Elle peut contrôler, sanctionner, et émettre des recommandations. C’est aujourd’hui l’institution la plus active sur les questions d’IA au Maroc, même si son mandat ne couvre pas l’IA dans sa globalité.
Quand le Maroc aura-t-il une loi IA ?
Aucune date officielle n’a été annoncée. La dynamique régionale africaine et les engagements internationaux du Maroc, notamment ses partenariats avec l’UE, devraient accélérer ce travail dans les prochaines années. En attendant, c’est le cadre existant qui s’applique.