Le Maroc a misé sur Mistral pour asseoir sa doctrine de "non-alignement technologique". Un geste politiquement fort, mais qui ne couvre qu'une fraction de la chaîne de la donnée. Cloud d'exécution, infrastructures physiques, progiciels embarqués… autant de strates qui échappent encore à la mainmise de la tutelle. Sept mois après la signature du partenariat entre Rabat et Mistral, présenté comme l'acte fondateur d'une stratégie d'autonomie face à l'hégémonie des géants de l'IA, la doctrine de non-alignement technologique pleinement assumée par Amal El Fallah Seghrouchni, ministre déléguée chargée de la Transition numérique et de la Réforme de l'administration, semble tenir le cap. Elle ne vaut cependant que pour un maillon de la chaîne, celui des modèles d'IA. En amont comme en aval, la donnée traverse des strates dont l'architecture est adossée à des juridictions sur lesquelles le Maroc n'a aucune emprise. Dans l'esprit du grand public, la souveraineté numérique renvoie encore à une question d'hébergement. Savoir où se trouvent les serveurs, sous quelle juridiction. L'avènement de l'intelligence artificielle déplace la ligne de front. En pratique, l'accès aux technologies cognitives présuppose un empilement de briques technologiques, du datacenter indispensable à l'hébergement, au modèle qui raisonne en passant par le cloud qui l'exécute. Chaque brique est fournie par un acteur différent, et relève d'un droit qui lui est propre. D'où le choix de Mistral sur la partie la plus visible de l'iceberg. Quid de la partie immergée, et des différentes strates qui la composent ? Données sensibles La première strate est celle du cloud. Le Maroc y a vu débarquer, en quelques mois, les géants américains du cloud computing. Oracle, AWS et Google Cloud opèrent désormais sur le territoire via des partenariats noués avec les opérateurs et datacenters locaux, à l'image d'Oracle avec N+ONE, d'Orange Maroc avec AWS ou de Maroc Telecom avec Google Cloud. L'argument commercial est celui de la souveraineté, donnée hébergée sur le sol national, conformément à la loi 09-08 et à la loi 05-20 sur la cybersécurité. La réalité juridique est plus nuancée. Un fournisseur sous pavillon américain reste tenu de répondre aux réquisitions prévues par le Cloud Act, quelle que soit la localisation physique des serveurs. Autrement dit, héberger une donnée à Casablanca ne suffit pas à la soustraire au droit américain dès lors que le prestataire qui l'exploite relève de cette juridiction. «En cherchant une alternative européenne comme Mistral, le Maroc tente justement de limiter ce risque et de s'assurer que ses données sensibles restent sous une juridiction plus alignée sur ses propres intérêts», relève Hachim Ohlale, consultant en IA et head of Analytics and Data Science chez Synechron. Un principe qui vaut pour la couche modèle, mais qui peine à se propager aux strates inférieures. Vient ensuite l'infrastructure physique. Datacenters, systèmes de refroidissement, chaînes d'alimentation électrique. Interrogés en marge du Gitex 2026, les équipementiers européens affirment que leur périmètre se cantonne à la gestion des infrastructures et à la fourniture de l'énergie. «En tant qu'équipementier, notre rôle est d'apporter l'infrastructure, la partie gestion de l'énergie et l'architecture du data center. Nous n'intervenons ni sur la donnée elle-même, ni sur la partie serveur, ni sur le volet stockage», confie Amine Benchekroun, vice-président Secure Power & Data Center de Schneider Electric Maroc. Un argument plausible, à condition que le cloud qui exploite cette infrastructure soit lui-même aligné sur la doctrine nationale, ce qui n'est, a priori, pas toujours le cas. Cela dit, la couche la plus opaque est celle des progiciels applicatifs. Ces ERP qui font tourner la comptabilité, les ressources humaines, les achats ou la paie des administrations et des grandes entreprises. SAP, Oracle et Microsoft se partagent l'essentiel du marché, avec une IA désormais nativement embarquée dans leurs solutions. «Acheter une solution SAP aujourd'hui, c'est acheter de l'IA», concède Emmanuel Lempert, vice-président de SAP pour le Moyen-Orient, l'Afrique et la France. Une IA entraînée et hébergée sous d'autres cieux, dont les mécanismes de raisonnement échappent pour l'essentiel aux administrateurs. Interrogé sur l'existence d'un partenaire local susceptible de porter une offre de confiance de rang équivalente à celle nouée avec Mistral en France, Lempert concède qu'un tel acteur reste à identifier sur le marché marocain. Extradition des données Jusqu'ici, la souveraineté numérique se discute sur sa couche la plus médiatisée. Les alliances conclues avec les hyperscalers américains prévoient la localisation des données sur le sol marocain, rarement l'extraction juridique de l'entité qui les exploite. Or, le Cloud Act, adopté en mars 2018 à Washington, autorise les autorités fédérales américaines, sur simple mandat, à contraindre un prestataire relevant de leur juridiction à livrer des données, quelle que soit la terre qui les abrite. À Bruxelles, la riposte ne s'est pas fait attendre. Dès 2019, la Commission a chargé l'Agence de l'Union européenne pour la cybersécurité de bâtir un schéma de certification baptisé EUCS. Sept ans plus tard, il demeure à l'arrêt... De même, le Royaume ne dispose pas à ce jour d'un référentiel équivalent permettant de distinguer une offre cloud réellement étanche d'une offre simplement implantée. Le débat public s'est focalisé sur les grands modèles de langage, partie la plus médiatique de l'intelligence artificielle. Dans les administrations, l'enjeu est de parvenir à avoir un minimum de maîtrise sur les IA professionnelles embarquées au coeur des ERP. Ces outils, entraînés sous d'autres cieux, brassent des volumes de données métier dont la sensibilité n'a rien à envier à celle des données régaliennes. Ayoub Ibnoulfassih / Les Inspirations ECO
