IA y datos personales en Marruecos: Ley n.º 09-08, transferencias, orientaciones de la CNDP

Nota de análisis

Asmaa EL FORKANI 6 min de lectura

No se había identificado, a 21 de octubre de 2026, ningún texto marroquí propio de la inteligencia artificial que regule el uso de los datos personales por estas herramientas. En consecuencia, el Derecho aplicable es el de la Ley n.º 09-08. Esta ley abarca cada etapa de un uso de la IA: finalidad, información, trámites, seguridad, subcontratación, transferencia al extranjero y decisión automatizada. La Comisión Nacional de Control de la Protección de Datos Personales (CNDP) anunció en 2025 una deliberación específica. Sin embargo, su publicación no se había identificado a 21 de octubre de 2026.

datos personales – Sistemas de información & transformación digital

Constatación: la IA como tratamiento de datos personales

Las organizaciones marroquíes utilizan la IA para redactar, sintetizar, responder a los clientes, seleccionar candidaturas o analizar datos. Cada uno de estos usos se convierte en un tratamiento de datos personales en cuanto se refiere a una persona física identificada o identificable. Así ocurre en la mayoría de los usos de gestión.

En un comunicado de 18 de marzo de 2025, la CNDP recordó que estos tratamientos se rigen por la Ley n.º 09-08. Recordó asimismo que requieren una atención particular en cuanto, entre otros aspectos, a su integridad, su transparencia, su lealtad y su inteligibilidad. Esa atención se extiende a la existencia de vías de recurso en caso de decisiones automáticas. Anunció también audiencias con vistas a una deliberación. En su comunicado de 3 de agosto de 2026 relativo a las operaciones electorales, solicitó además que se señalara todo contenido producido por la IA.

Análisis: la Ley n.º 09-08 y los datos personales tratados por la IA

La calidad de los datos (artículo 3) exige, en primer lugar, una finalidad determinada. Exige también datos adecuados y no excesivos en relación con esa finalidad, exactos y conservados durante un plazo limitado. Así, un uso de la IA cuya finalidad no está definida, o que moviliza ficheros enteros cuando bastan unos pocos elementos, se aparta de estas exigencias.

La legitimidad del tratamiento (artículo 4) se basa en el consentimiento del interesado o en una de las excepciones previstas. Estas excepciones son la obligación legal, la ejecución de un contrato o de medidas precontractuales y la salvaguarda de los intereses vitales de una persona física o jurídicamente incapaz de dar su consentimiento. Comprenden también la misión de interés público o el ejercicio de la autoridad pública, así como el interés legítimo que no prevalezca sobre los derechos y libertades del interesado.

La información previa (artículo 5) se refiere a la identidad del responsable, las finalidades, los destinatarios y los derechos. Por su parte, los derechos de acceso, rectificación y oposición (artículos 7 a 9) se ejercen sobre los datos tratados por la herramienta como sobre cualquier otro dato.

Análisis: trámites, seguridad y decisiones automatizadas

Los trámites (artículo 12) adoptan la forma de una declaración previa, salvo para los tratamientos sujetos a autorización. Estos últimos se refieren a los datos sensibles, a los datos genéticos fuera del tratamiento por el personal sanitario con fines médicos y a los datos relativos a infracciones, condenas y medidas de seguridad. Comprenden asimismo los datos que incluyen el número de la tarjeta nacional de identidad, la utilización de datos para fines distintos de los de la recogida y la interconexión de ficheros en los casos previstos. Por consiguiente, una herramienta de IA alimentada con tales datos hace que el tratamiento pase al régimen de autorización.

La seguridad y la subcontratación (artículo 23) exigen medidas técnicas y organizativas apropiadas y un contrato que vincule al prestador a las instrucciones del responsable. Así, el editor de un servicio de IA que trata datos por cuenta de una organización es un encargado del tratamiento. En consecuencia, sus condiciones contractuales y su contrato de tratamiento condicionan su uso.

El artículo 11 limita las decisiones basadas exclusivamente en un tratamiento automatizado destinado a definir el perfil o la personalidad de una persona. Esta limitación se aplica cuando dichas decisiones producen efectos jurídicos respecto de ella, sin perjuicio de las excepciones previstas. Por tanto, una herramienta que clasifica candidaturas, asigna una puntuación de riesgo o propone una denegación debe seguir siendo un apoyo a una decisión humana.

Análisis: la transferencia de datos personales al extranjero

La mayoría de los servicios de IA se explotan fuera de Marruecos. El artículo 43 solo autoriza la transferencia hacia un Estado que garantice un nivel de protección suficiente. La lista establecida por la CNDP, modificada por la deliberación n.º 236-2015, incluye treinta y dos Estados. Se trata de veintisiete de los veintiocho Estados entonces miembros de la Unión Europea, entre ellos el Reino Unido, sin que figure Croacia. Figuran también Islandia, Liechtenstein, Noruega, Suiza y Canadá. En cambio, los Estados Unidos no figuran en ella.

Fuera de esa lista, el artículo 44 admite la transferencia, en particular, cuando el interesado ha dado su consentimiento expreso o cuando es necesaria para la ejecución de un contrato. También la admite previa autorización expresa y motivada de la CNDP. La elección de un servicio cuyo tratamiento se localiza en un Estado de la lista simplifica el análisis. Sin embargo, no exime de los trámites. En efecto, la transferencia prevista se menciona en la declaración del tratamiento (artículo 15, e). Además, el procedimiento de la CNDP prevé a tal efecto un formulario de transferencia de datos al extranjero (F-118).

Implicaciones para los usos de la IA

Un uso de la IA que se refiera a datos personales requiere cuatro verificaciones antes de su puesta en práctica. Se trata, en primer lugar, de la finalidad y de los datos estrictamente necesarios, y después de la base jurídica y de la información a los interesados. Deben verificarse asimismo el trámite aplicable (declaración o autorización), el lugar de tratamiento y el fundamento de la transferencia. Los usos que no necesiten datos personales deben realizarse con datos anonimizados.

La deliberación anunciada por la CNDP podrá precisar estas normas. Mientras tanto, los principios recordados en 2025 (integridad, transparencia, lealtad, inteligibilidad, vías de recurso en caso de decisiones automáticas) indican su orientación. Pueden, además, estructurar desde ahora la documentación de los tratamientos.

Puntos de atención

  • Definir para cada uso de la IA la finalidad y los datos estrictamente necesarios.
  • Informar a los interesados cuando sus datos se traten mediante una herramienta de IA.
  • Verificar si el tratamiento está sujeto a declaración o a autorización, en particular en presencia de datos sensibles.
  • Identificar el lugar de tratamiento de cada servicio y el fundamento de la transferencia a la luz de los artículos 43 y 44.
  • Mantener una decisión humana para toda decisión que produzca efectos jurídicos respecto de una persona.
  • Seguir la publicación de la deliberación de la CNDP relativa a los tratamientos de inteligencia artificial.

Referencias

Véase también: Herramientas de IA gratuitas: lo que paga el usuario en datos; Lista de control – Cumplimiento de los usos de la IA; Registro de usos de la IA. Departamento de Sistemas de Información y Transformación Digital.

Compartir

Documento de información general; no constituye ni asesoramiento jurídico ni un dictamen sobre una situación particular. Las referencias a los textos deben comprobarse en su redacción vigente en la fecha de utilización.

Firma de consultoría no inscrita en el Colegio de Abogados; ninguna representación ante los tribunales ni acto reservado a las profesiones jurídicas reguladas.