Le 18 mars 2025, la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) a publié un communiqué rappelant que les traitements d'intelligence artificielle utilisant des données personnelles relèvent pleinement de la loi 09-08. Un rappel juridique, certes, mais l'esquisse aussi du modèle de gouvernance de l'IA qui s'impose. C'est un signal qui a été noyé dans le tumulte de la veille de l'Aïd. Le 18 mars 2025, la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) a publié un communiqué qui change la donne pour tous les projets d'intelligence artificielle au Maroc. L'institution rappelle le principe fondamental selon lequel l'IA n'est pas hors-la-loi. Dès lors qu'un système d'IA repose sur des données à caractère personnel, il doit respecter les principes de la loi 09‐08, à savoir la transparence, la loyauté, la finalité déterminée, la proportionnalité, la sécurité, ainsi que le droit d'accès et de recours des personnes. Mais ce qui change dans le communiqué du CNDP, c'est l'insistance sur le fait que les décisions automatisées doivent pouvoir être contestées par les citoyens, ce qui implique une lisibilité et une traçabilité des traitements. Une démarche méthodique La CNDP annonce une démarche structurée. Elle a d'abord réalisé un benchmark international et consulté des autorités étrangères de protection des données. Elle prévoit désormais d'auditionner des experts nationaux et internationaux, des organisations scientifiques, des organisations professionnelles, des institutions ainsi que des associations de la société civile. Cette méthode montre une volonté d'adopter une délibération cadre sur l'IA, qui viendrait préciser les attentes de la Commission en matière de conformité. Pour les entreprises, cela signifie que les règles du jeu sont en train de se formaliser, et qu'il ne s'agira plus seulement d'appliquer la loi 09‐08 de manière générale, mais de répondre à des exigences spécifiques aux systèmes algorithmiques. Vers un encadrement inspiré du droit comparé En Europe, l'AI Act impose une approche par niveau de risque. Sans copier mécaniquement ce modèle, la CNDP semble s'en inspirer en termes de transparence, supervision humaine, documentation technique, analyse d'impact relative à la protection des données (AIPD) pour les systèmes à risque. L'enjeu pour les organisations marocaines est d'anticiper un standard de conformité qui pourrait combiner les principes de la loi 09‐08, les futures orientations de la CNDP, et les bonnes pratiques internationales comme la norme ISO/IEC 42001 ou le référentiel de l'AI Act. Ce que cela change concrètement pour les entreprises Beaucoup d'entreprises marocaines abordent encore l'IA comme un projet technique ou une expérimentation. Le message de la CNDP impose un changement de paradigme. Les organisations devront identifier tous les systèmes d'IA qui utilisent des données personnelles, documenter les finalités, la base légale, les mesures de sécurité, les mécanismes d'information et de recours. Elles devront intégrer la conformité dès la conception – le principe de privacy by design – et non en fin de projet. Enfin, il leur faudra associer systématiquement le délégué à la protection des données (DPO), le responsable de la sécurité des systèmes d'information (RSSI) et les équipes métier aux projets IA. Pour les DPO et RSSI, c'est une opportunité de passer d'une posture de contrôle à une posture de conseil stratégique. Notons que le communiqué s'inscrit dans une tendance mondiale. Les autorités de protection des données, comme la CNIL en France ou l'EDPB au niveau européen, multiplient les prises de position sur l'IA. La CNDP, en initiant ses propres travaux, envoie un signal aux acteurs économiques. La conformité IA devient ainsi un facteur de compétitivité pour ces entreprises, notamment celles qui opèrent avec des partenaires européens ou qui souhaitent s'inscrire dans des chaînes de valeur internationales. Sommes-nous prêts ? La question centrale est bien celle de la gouvernance. Être prêt, ce n'est pas seulement avoir un DPO ou un RSSI. C'est avoir une cartographie des IA utilisées, des procédures claires pour évaluer leur conformité, une culture partagée entre métiers, data scientists, juridique et sécurité, et une capacité à démontrer cette conformité en cas de contrôle. Or, force est de constater que dans de nombreuses organisations, ces sujets sont encore éparpillés. L'innovation court devant la conformité et les projets IA sont souvent pilotés sans revue juridique ni sécurité préalable. Sami Nemli / Les Inspirations ECO
