conformité réglementaire : nouvelles directives 2026 pour projets IA

La conformité réglementaire (Commission Nationale de contrôle de la protection des Données à caractère Personnel) accompagne depuis plusieurs années la montée en puissance du numérique au Maroc. Avec l'accélération des projets d'intelligence artificielle en 2025-2026, ses orientations se précisent. Toute entreprise marocaine qui déploie un chatbot, un scoring automatisé ou un traitement algorithmique doit désormais intégrer ces exigences dès la conception. Panorama pratique.

Le cadre général : la loi 09-08

La loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel constitue le socle. Elle impose notamment :

• Une base légale claire pour tout traitement.
• Une déclaration ou autorisation préalable auprès de la réglementation applicable selon les cas.
• Le respect des droits des personnes concernées (information, accès, rectification, opposition).
• Un encadrement strict des transferts hors du Maroc.

Les orientations récentes précisent l'application de ces principes aux systèmes d'IA, notamment conversationnels.

Les points d'attention spécifiques aux projets IA

1. Information renforcée

Les personnes doivent être informées qu'elles interagissent avec un système automatisé. Un chatbot doit se présenter comme tel dès le premier échange. Les décisions produites (par exemple un scoring, une pré-qualification, une orientation) doivent être expliquées de manière compréhensible.

2. Base légale à documenter

Chaque usage doit être adossé à une base légale claire : consentement, exécution d'un contrat, obligation légale, intérêt légitime. Le consentement doit être libre, spécifique, éclairé et univoque — le classique bouton "j'accepte tout" est de plus en plus contesté.

3. Minimisation des données

Un système IA doit se limiter aux données strictement nécessaires à sa finalité. Collecter "au cas où" pour entraîner d'autres modèles plus tard n'est pas conforme.

4. Décisions entièrement automatisées

Une décision produisant des effets juridiques ou significatifs pour la personne (par exemple refus de crédit, résiliation) ne peut pas être entièrement automatisée sans droit d'intervention humaine. Le client doit pouvoir demander une révision.

5. Explicabilité

Le responsable de traitement doit être capable d'expliquer, à un niveau raisonnable, comment un modèle a produit une décision : quelles données, quels critères, quels poids relatifs.

6. Sécurité et journalisation

Les logs des interactions IA doivent être sécurisés, avec des durées de conservation définies, une politique d'accès restreint et des mesures contre l'altération.

Transferts internationaux : un sujet clé pour les LLM

De nombreux modèles de langage sont hébergés hors du Maroc (États-Unis, Europe). Cela soulève la question du transfert international de données. Points à vérifier :

• Le pays d'hébergement offre-t-il un niveau de protection adéquat ?
• Existe-t-il des clauses contractuelles types avec le fournisseur ?
• Une autorisation spécifique de la réglementation applicable est-elle nécessaire ?
• Est-il possible de rester dans une région respectant les engagements pris (par exemple une région européenne conforme RGPD) ?

Certains projets sensibles (santé, finance) doivent envisager des modèles hébergés au Maroc ou dans un cloud souverain compatible.

Impact sur les chatbots conversationnels

Un chatbot IA déployé pour une banque, une assurance ou un opérateur télécom marocain doit intégrer :

• Une mention claire en début de conversation ("Vous discutez avec un assistant automatique").
• Un opt-in explicite si les échanges sont utilisés pour améliorer le modèle.
• Un accès facile à un agent humain à tout moment.
• Un mécanisme d'export ou d'effacement des conversations à la demande.
• Une politique de rétention publiée et respectée.

Bonnes pratiques de gouvernance interne

Nommer un référent

Même sans obligation formelle de responsable de la protection des données, désigner un responsable de la conformité réglementaire est essentiel. Ce référent participe aux comités projet dès la conception.

Analyse d'impact

Pour tout traitement IA à risque significatif, mener une analyse d'impact : finalités, données, risques pour les personnes, mesures d'atténuation. Ce document sert à la fois de guide interne et de preuve en cas de contrôle.

Registre des traitements

Tenir à jour un registre décrivant chaque traitement IA : finalités, catégories de données, destinataires, durée de conservation, mesures de sécurité.

Formation des équipes

Développeurs, product managers, équipes métier : chacun doit comprendre les bases de la conformité pour éviter les décisions incompatibles en cours de projet.

Ce que risque une entreprise non conforme

Au-delà des sanctions administratives prévues par la loi 09-08, la non-conformité expose à des risques réputationnels majeurs : révélation publique d'un incident, perte de confiance client, difficulté à convaincre les grands comptes qui exigent des garanties. Sur un marché où la confiance est un actif rare, c'est souvent le risque le plus dommageable.

Conclusion

Les orientations conformité réglementaire applicables aux projets IA en 2026 ne sont pas un frein à l'innovation — elles en sont un cadre structurant. Les entreprises marocaines qui les intègrent en amont de leurs projets déploient plus sereinement, gagnent la confiance de leurs clients et se protègent contre des remises en cause futures. La conformité devient un vrai avantage compétitif.