IA et données personnelles au Maroc : loi n° 09-08, transferts, orientations de la CNDP

Note d'expertise

Asmaa EL FORKANI 6 min de lecture

Aucun texte marocain propre à l’intelligence artificielle encadrant l’usage des données personnelles par ces outils n’a été identifié au 21 octobre 2026. Le droit applicable est ainsi celui de la loi n° 09-08. Ce texte saisit chaque étape d’un usage de l’IA : finalité, information, formalités, sécurité, sous-traitance, transfert à l’étranger et décision automatisée. La Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) a annoncé en 2025 une délibération spécifique. Au 21 octobre 2026, sa publication demeurait toutefois non identifiée.

CNDP – Systèmes d'Information & Transformation Numérique

Constat : les usages de l’IA et les communiqués de la CNDP

Les organisations marocaines utilisent l’IA pour rédiger, synthétiser, répondre aux clients, trier des candidatures ou analyser des données. Chacun de ces usages devient un traitement de données à caractère personnel dès qu’il porte sur une personne physique identifiée ou identifiable. Tel est le cas de la plupart des usages de gestion.

Dans un communiqué du 18 mars 2025, la CNDP a rappelé que ces traitements relèvent de la loi n° 09-08. Selon ce communiqué, ils appellent une attention particulière quant, entre autres, à leur intégrité, leur transparence, leur loyauté et leur lisibilité. Cette attention porte aussi sur l’existence de voies de recours en cas de décisions automatiques. La CNDP a en outre annoncé des auditions en vue d’une délibération. Elle a par ailleurs publié, le 3 août 2026, un communiqué relatif aux opérations électorales. Elle y a demandé de signaler tout contenu produit par l’IA.

Analyse : les règles de la loi n° 09-08 appliquées à l’IA

La qualité des données (article 3) impose d’abord une finalité déterminée. Elle exige en outre des données adéquates et non excessives au regard de cette finalité. Ces données doivent aussi être exactes et conservées pendant une durée limitée. Un usage de l’IA sans finalité définie s’écarte de ces exigences. Il en va de même d’un usage qui mobilise des fichiers entiers lorsque quelques éléments suffisent.

La légitimité du traitement (article 4) repose sur le consentement de la personne ou sur l’une des exceptions prévues. Il s’agit de l’obligation légale et de l’exécution d’un contrat ou de mesures précontractuelles. Il peut aussi s’agir de la sauvegarde des intérêts vitaux d’une personne physiquement ou juridiquement incapable de consentir. S’y ajoutent la mission d’intérêt public ou l’exercice de l’autorité publique, ainsi que l’intérêt légitime ne prévalant pas sur les droits et libertés de la personne.

L’information préalable (article 5) porte sur l’identité du responsable, les finalités, les destinataires et les droits. Les droits d’accès, de rectification et d’opposition (articles 7 à 9) s’exercent sur les données traitées par l’outil comme sur toute autre donnée.

Analyse : formalités, sécurité et décisions automatisées

Les formalités (article 12) prennent la forme d’une déclaration préalable, sauf pour les traitements soumis à autorisation. Ce régime d’autorisation vise les données sensibles et les données génétiques hors traitement par le personnel de santé à des fins médicales. Il vise aussi les données relatives aux infractions, condamnations et mesures de sûreté, ainsi que les données comportant le numéro de la carte nationale d’identité. L’utilisation de données à d’autres fins que celles de la collecte en relève également, de même que l’interconnexion de fichiers dans les cas prévus. Un outil d’IA alimenté par de telles données fait ainsi basculer le traitement dans le régime de l’autorisation.

La sécurité et la sous-traitance (article 23) imposent des mesures techniques et organisationnelles appropriées. Elles exigent également un contrat liant le prestataire aux instructions du responsable. L’éditeur d’un service d’IA qui traite des données pour le compte d’une organisation a la qualité de sous-traitant. Ses conditions contractuelles et son contrat de traitement en conditionnent donc l’usage.

L’article 11 limite les décisions fondées exclusivement sur un traitement automatisé destiné à définir le profil ou la personnalité d’une personne. Cette limite vaut lorsque ces décisions produisent des effets juridiques à son égard, sous réserve des exceptions prévues. Ainsi, un outil qui classe des candidatures, attribue une note de risque ou propose un refus doit rester un appui à une décision humaine.

Analyse : le transfert vers l’étranger et l’autorisation de la CNDP

L’exploitation de la plupart des services d’IA a lieu hors du Maroc. Or l’article 43 n’autorise le transfert que vers un État assurant un niveau de protection suffisant. La CNDP a établi la liste de ces États, que la délibération n° 236-2015 a modifiée. Cette liste retient trente-deux États. Elle comprend vingt-sept des vingt-huit États alors membres de l’Union européenne, dont le Royaume-Uni, la Croatie n’y figurant pas. S’y ajoutent l’Islande, le Liechtenstein, la Norvège, la Suisse et le Canada. En revanche, les États-Unis n’y figurent pas.

Hors de cette liste, l’article 44 admet notamment le transfert lorsque la personne y a consenti expressément. Il l’admet également lorsqu’il est nécessaire à l’exécution d’un contrat ou sur autorisation expresse et motivée de la CNDP. Le choix d’un service dont le traitement se situe dans un État de la liste simplifie l’analyse. Il ne dispense pas pour autant des formalités. La déclaration du traitement mentionne en effet le transfert envisagé (article 15, e). La procédure de la CNDP prévoit à cet effet un formulaire de transfert des données à l’étranger (F-118).

Implications : vérifications préalables et délibération de la CNDP

Un usage de l’IA portant sur des données personnelles suppose quatre vérifications avant sa mise en œuvre. La première porte sur la finalité et les données strictement nécessaires. Viennent ensuite la base légale et l’information des personnes. La troisième vise la formalité applicable (déclaration ou autorisation). Il faut enfin examiner le lieu de traitement et le fondement du transfert. Les usages qui n’ont pas besoin de données personnelles doivent porter sur des données anonymisées.

La délibération annoncée par la CNDP pourra préciser ces règles. Les principes rappelés en 2025 (intégrité, transparence, loyauté, lisibilité, voies de recours en cas de décisions automatiques) en indiquent la direction. Ces principes peuvent ainsi, dès à présent, structurer la documentation des traitements.

Points de vigilance

  • Définir pour chaque usage de l’IA la finalité et les données strictement nécessaires.
  • Informer les personnes concernées lorsqu’un outil d’IA traite leurs données.
  • Vérifier si le traitement relève de la déclaration ou de l’autorisation, notamment en présence de données sensibles.
  • Identifier le lieu de traitement de chaque service et le fondement du transfert au regard des articles 43 et 44.
  • Maintenir une décision humaine pour toute décision produisant des effets juridiques à l’égard d’une personne.
  • Suivre la publication de la délibération de la CNDP relative aux traitements d’intelligence artificielle.

Références

Voir aussi : Outils d’IA gratuits : ce que paie l’utilisateur en données ; Checklist – Conformité des usages de l’IA ; Registre des usages de l’IA. Département Systèmes d’Information & Transformation Numérique.

Partager

Document d'information générale ; il ne constitue ni une consultation juridique ni un avis sur une situation particulière. Les références aux textes sont à vérifier dans leur rédaction en vigueur à la date d'utilisation.

Cabinet de conseil non inscrit au barreau ; aucune représentation devant les juridictions ni acte réservé aux professions réglementées du droit.