Quel est le droit de l’intelligence artificielle au Maroc ?

Au Maroc, il n’existe pas encore de loi spécifique sur l’intelligence artificielle. Le cadre juridique actuel repose sur des textes existants : la loi 09-08 sur la protection des données personnelles, le Code pénal pour les infractions numériques, et la loi 53-05 sur l’échange électronique. Les entreprises opèrent donc dans un vide partiel, comblé par des règles sectorielles et des engagements volontaires.

Un cadre juridique en construction

Le Maroc n’a pas attendu une loi IA pour réguler. La CNDP joue un rôle central. Elle encadre tout traitement automatisé de données personnelles, ce qui inclut de facto les systèmes d’IA qui collectent, analysent ou décident à partir de données d’individus.

La loi 09-08 impose des obligations concrètes : déclaration préalable des traitements, droit d’accès et de rectification pour les personnes concernées, interdiction de certains traitements sensibles sans consentement explicite. Un système de recrutement automatisé qui analyse des CV, un outil d’évaluation crédit, un agent conversationnel qui collecte des données clients : tous tombent sous cette loi.

Le Code pénal marocain couvre les atteintes aux systèmes informatiques, la fraude, la diffamation. Il s’applique aux usages malveillants de l’IA, même si les textes n’ont pas été rédigés avec l’IA en tête.

La responsabilité : qui répond quand l’IA se trompe ?

C’est la question que tout dirigeant devrait poser à son conseil juridique avant de déployer un système d’IA.

Au Maroc, la responsabilité suit les principes généraux du droit civil. L’entreprise qui déploie un système d’IA est responsable des dommages causés par ce système, au même titre qu’elle serait responsable d’un employé ou d’un prestataire. Il n’existe pas de régime de responsabilité spécifique à l’IA, contrairement à ce que prépare l’Union européenne avec son AI Act.

Concrètement : si un algorithme de recrutement écarte systématiquement des candidats sur des critères discriminatoires, c’est l’entreprise qui déploie cet algorithme qui est exposée. Pas l’éditeur du logiciel, sauf clause contractuelle contraire.

Cette zone grise crée un risque réel. Selon un article de CIO-Mag, 42 % des utilisateurs d’IA en entreprise au Maroc importeraient des documents complets dans des outils externes non contrôlés. Des données clients, des contrats, des informations RH. Sans politique interne claire, l’entreprise s’expose à des violations de la loi 09-08 sans même le savoir.

Pour structurer votre approche avant qu’un incident ne force la question, téléchargez le Board Pack IA 2026.

Ce que les entreprises doivent faire aujourd’hui

Faute de loi IA spécifique, la prudence opérationnelle est la seule protection réelle disponible.

Cartographier les usages IA existants

Beaucoup d’entreprises marocaines déploient de l’IA sans inventaire formel. Des outils de génération de contenu, des agents conversationnels, des systèmes d’analyse RH. Tout outil qui traite des données personnelles dans le cadre d’un traitement automatisé est susceptible d’être soumis aux obligations de déclaration ou de conformité prévues par la loi 09-08. Le périmètre exact dépend de la nature du traitement et des données concernées.

Définir des garde-fous internes

Les garde-fous ne sont pas une contrainte bureaucratique. Une politique d’utilisation acceptable de l’IA, des clauses contractuelles avec les fournisseurs d’outils IA, une formation minimale des équipes : ces mesures sont accessibles même pour une PME, et elles protègent l’entreprise en cas de litige.

Comme je l’expliquais dans mon analyse sur les avantages de l’IA dans le recrutement, les outils IA apportent une valeur réelle. Mais cette valeur ne se matérialise que si le déploiement est maîtrisé.

Anticiper la réglementation à venir

Le Maroc observe de près l’AI Act européen, entré en vigueur en 2024 et dont les obligations s’appliquent progressivement jusqu’en 2027. Les entreprises marocaines qui exportent vers l’Europe ou qui travaillent avec des partenaires européens peuvent être concernées par certaines de ses dispositions, notamment pour les systèmes d’IA à haut risque. Ce point mérite une vérification au cas par cas avec un conseil juridique spécialisé.

Comparaison internationale : où se situe le Maroc ?

L’Union européenne a l’AI Act, le texte le plus complet au monde. Les États-Unis avancent par décrets exécutifs et régulation sectorielle. La Chine a des règles spécifiques sur les algorithmes de recommandation et les deepfakes.

Le Maroc est dans une position similaire à la plupart des pays africains : pas encore de loi IA dédiée, mais des textes existants qui s’appliquent partiellement. Lors de l’AI Impact Summit, le Sénégal a formulé une déclaration dans le cadre du GPAI (Global Partnership on AI). Le Maroc participe à ces discussions internationales sans avoir encore traduit cela en droit positif.

Pour les dirigeants qui recrutent des profils IA ou qui structurent des équipes data, la question juridique est indissociable de la question des compétences. Mon guide sur les métiers qui survivront à l’IA donne un éclairage complémentaire sur ce que les équipes doivent maîtriser.

Si vous êtes DRH ou CEO et que vous voulez évaluer votre exposition juridique avant de déployer de l’IA, demandez un diagnostic gratuit.

FAQ

Existe-t-il une loi sur l’IA au Maroc en 2026 ?

Non. Il n’existe pas de loi spécifique à l’intelligence artificielle au Maroc en 2026. Le cadre applicable repose sur la loi 09-08 sur la protection des données personnelles, la loi 53-05 sur l’échange électronique, et le droit commun civil et pénal.

La CNDP peut-elle sanctionner une entreprise qui utilise de l’IA ?

Oui, si l’usage de l’IA implique un traitement de données personnelles non déclaré ou non conforme à la loi 09-08. Les sanctions incluent des amendes et, dans les cas graves, des poursuites pénales.

L’AI Act européen s’applique-t-il aux entreprises marocaines ?

Partiellement, selon les cas. Une entreprise marocaine qui fournit des systèmes d’IA à des clients européens, ou dont les systèmes traitent des données de résidents européens, peut être soumise à certaines obligations de l’AI Act. C’est un point à vérifier avec un conseil juridique spécialisé.

Que risque une entreprise qui utilise de l’IA sans politique interne ?

Elle s’expose à des violations de la loi 09-08 (données personnelles), à des risques de responsabilité civile en cas de dommage causé par un système automatisé, et à des risques réputationnels. Sans cadre interne, c’est l’entreprise qui porte la responsabilité, et ses dirigeants peuvent être mis en cause selon la nature de l’infraction.