Quel est le droit de l’intelligence artificielle au Maroc ? Guide complet 2026

Au Maroc, il n’existe pas encore de loi spécifique sur l’intelligence artificielle. Le cadre repose sur la loi 09-08 relative à la protection des données personnelles, le Code pénal pour les infractions numériques, et des orientations publiques en matière d’IA dont le périmètre exact reste à préciser. Les entreprises opèrent donc dans un vide partiel, avec des obligations réelles mais une réglementation sectorielle encore fragmentée.

Un cadre existant, mais pas conçu pour l’IA

Le Maroc n’a pas attendu une loi IA pour avoir des obligations légales sur le sujet. Plusieurs textes s’appliquent déjà, directement ou indirectement.

La loi 09-08 est le texte central. Elle encadre la collecte, le traitement et le stockage des données personnelles. La Commission Nationale de contrôle de la Protection des Données à caractère Personnel (CNDP) en est l’autorité de contrôle. Les systèmes d’IA qui traitent des données de personnes physiques — outils de recrutement automatisé, agents conversationnels, systèmes de profilage client — entrent dans son périmètre. La portée exacte de cette obligation selon les types de traitement mérite d’être vérifiée directement auprès de la CNDP ou d’un conseil juridique spécialisé.

Un signal récent illustre l’enjeu : selon une étude citée par CIO Mag, 42 % des utilisateurs d’IA en entreprise au Maroc importent des documents complets dans des outils externes non contrôlés. Le contexte exact de cette étude n’est pas précisé, mais la tendance qu’elle décrit est cohérente avec ce que j’observe dans les projets que j’accompagne. C’est un risque de conformité que peu d’entreprises ont formalisé.

Le Code pénal marocain couvre les atteintes aux systèmes informatiques et la fraude numérique. Ces dispositions s’appliquent aux dommages causés par des systèmes d’IA, même si le texte ne mentionne pas l’IA explicitement.

Les orientations publiques sur l’IA : ambition sans contrainte légale

Le Maroc a exprimé des ambitions publiques en matière d’intelligence artificielle dans le cadre de sa vision de développement. Mais les documents d’orientation stratégique disponibles ne constituent pas une loi. Ils fixent des directions, pas des obligations. Ils ouvrent des financements publics et des partenariats, sans créer de responsabilité juridique pour les entreprises.

C’est là que le dirigeant doit être lucide : les orientations publiques créent des opportunités d’accès à des marchés et à des programmes d’accompagnement. Elles ne protègent pas contre les risques liés à un déploiement d’IA mal encadré.

Si vous êtes DRH ou CEO et que vous voulez structurer votre approche de la gouvernance de l’IA avant que la réglementation ne vous y oblige, demandez un diagnostic gratuit.

Ce que les entreprises doivent faire aujourd’hui

En l’absence de loi IA spécifique, la responsabilité et la redevabilité reposent sur les dirigeants. Voici ce qui est exigible maintenant.

Vérifier les obligations de déclaration auprès de la CNDP

La loi 09-08 prévoit des obligations de déclaration ou d’autorisation préalable pour certains traitements de données personnelles. Les systèmes d’IA qui analysent des CV, des comportements clients, ou des données sensibles entrent potentiellement dans ce périmètre. La nature exacte de l’obligation dépend du type de traitement : il est recommandé de consulter la CNDP ou un conseil juridique pour chaque cas d’usage.

Documenter les décisions algorithmiques

La loi 09-08 prévoit des droits pour les personnes dont les données sont traitées, y compris face aux décisions automatisées. Si votre système d’IA prend des décisions qui affectent des personnes — refus de crédit, sélection de candidats, tarification — vous devez être en mesure d’expliquer et de contester ces décisions. C’est une obligation, pas une option.

Encadrer l’usage des outils externes

Le signal CIO Mag est un avertissement concret. Quand un collaborateur charge un contrat client dans ChatGPT ou un outil similaire, les données quittent le périmètre de l’entreprise. La responsabilité en matière de gouvernance interne et de conformité des usages reste celle de l’organisation. Une politique interne d’usage de l’IA n’est plus un luxe.

Comme je l’expliquais dans mon analyse sur l’intégration de l’IA dans le recrutement, les risques dans les processus RH sont souvent les premiers à se matérialiser, précisément parce que les données traitées sont sensibles.

Ce qui arrive : le règlement IA européen comme signal

Le Maroc n’est pas dans l’Union européenne. Mais les entreprises marocaines qui traitent des données de résidents européens peuvent être concernées par le RGPD, selon les conditions de ciblage et d’établissement applicables à leur situation. Le règlement européen sur l’IA (AI Act), dont l’application est progressive, va dans le même sens.

Les entreprises marocaines de l’offshoring, qui servent des donneurs d’ordre européens, vont se retrouver sous pression contractuelle pour démontrer leur conformité aux exigences de l’AI Act. C’est déjà dans certains appels d’offres.

Le Maroc devra tôt ou tard aligner sa législation. Les entreprises qui anticipent cette convergence auront un avantage concurrentiel réel sur les marchés européens.

Pour aller plus loin sur les compétences à développer dans ce contexte, lisez mon analyse sur les formations pour travailler avec l’IA en 2026.

Pour un cadre complet sur la gouvernance de l’IA adapté aux dirigeants, téléchargez le Board Pack IA 2026.

FAQ

Existe-t-il une loi spécifique sur l’IA au Maroc en 2026 ?

Non. Il n’existe pas de loi dédiée à l’intelligence artificielle au Maroc à ce jour. Le cadre applicable repose sur la loi 09-08 sur la protection des données personnelles, le Code pénal pour les infractions numériques, et des textes sectoriels. Des orientations publiques existent, mais elles ne constituent pas une réglementation contraignante.

Quelle autorité contrôle l’usage de l’IA au Maroc ?

La CNDP (Commission Nationale de contrôle de la Protection des Données à caractère Personnel) est l’autorité compétente pour tout ce qui concerne les traitements de données personnelles, y compris les traitements automatisés. Elle peut sanctionner les entreprises qui ne respectent pas la loi 09-08.

Une entreprise marocaine peut-elle être soumise au RGPD européen ?

Cela dépend de sa situation. Une entreprise marocaine qui cible activement des résidents de l’Union européenne ou qui traite leurs données dans un contexte d’offshoring peut être concernée par le RGPD, selon les conditions d’application définies par le règlement. Un avis juridique spécialisé est recommandé pour évaluer chaque situation.

Que risque une entreprise qui utilise l’IA sans encadrement au Maroc ?

Elle s’expose à des sanctions de la CNDP en cas de traitement non conforme de données personnelles, à des recours en cas de décision automatisée contestée, et à des pénalités contractuelles de la part de donneurs d’ordre européens soumis à l’AI Act. Le risque réputationnel s’ajoute au risque juridique.