AI Act et gouvernance de l'IA en entreprise : ce que les dirigeants marocains doivent savoir

# AI Act et gouvernance de l'IA en entreprise : ce que les dirigeants marocains doivent savoir

---

Un mythe dangereux persiste dans les comités de direction : "Si l'IA se trompe, c'est la faute de l'algorithme ou du fournisseur." Cette croyance est juridiquement intenable. Et le compte à rebours est enclenché : le Règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act) s'applique pleinement aux systèmes à haut risque depuis le 2 août 2026.

Ce que l'AI Act impose réellement

Le calendrier d'entrée en vigueur structure les obligations :

• Mars 2024 : adoption officielle
• Février 2025 : interdiction des pratiques inacceptables (police prédictive, détection d'émotions au travail sans encadrement strict)
• Août 2025 : règles pour les IA à usage général (GPAI)
• 2 août 2026 : obligations pour les systèmes à haut risque — recrutement, évaluation des performances, licenciement, accès aux services essentiels

Pour les systèmes à haut risque, l'absence de supervision humaine, de documentation ou de traçabilité expose désormais les dirigeants à une double responsabilité.

Sur le plan administratif : des sanctions pouvant atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial, selon la nature de l'infraction (article 99 du Règlement).

Sur le plan civil : réparation des dommages causés, avec une présomption défavorable si la chaîne de supervision n'est pas documentée.

Ne pas savoir "comment l'IA a décidé" n'est plus une ligne de défense valable. Ce n'est plus un sujet technique — c'est un risque juridique de premier rang.

La due diligence IA : un mythe à déconstruire

Mythe répandu : "La due diligence IA, c'est l'affaire des développeurs de technologie."

Le 19 février 2026, l'OCDE a publié son Due Diligence Guidance for Responsible AI — un cadre pratique en 6 étapes qui s'adresse non seulement aux développeurs, mais à toute entreprise qui utilise l'IA dans ses opérations, quel que soit son secteur.

Ce texte articule pour la première fois de manière opérationnelle les Principes OCDE sur l'IA avec les Lignes directrices pour les entreprises multinationales sur la conduite responsable des affaires. Il prolonge l'AI Act et la CS3D. Le Maroc y est partie depuis 2009 à travers la Déclaration OCDE sur l'investissement international.

Les 6 étapes de la Guidance :

1. Intégration de la due diligence dans les politiques de l'entreprise
2. Identification des impacts potentiels de l'IA sur les parties prenantes
3. Cessation, prévention ou atténuation des impacts négatifs identifiés
4. Suivi continu de la mise en œuvre et des résultats
5. Communication transparente sur les usages et impacts
6. Remédiation en cas de préjudice avéré

Deux mois après la publication de la Guidance, un constat s'impose dans l'écosystème marocain : le texte reste connu des initiés et absent des pratiques. Pas de communication publique d'entreprise marocaine. Pas de doctrine du PCN marocain. Pas de positionnement de la CGEM. Pas de circulaire de l'ANGSPE à destination des EEP.

"La Guidance OCDE est volontaire. Nous ne sommes pas tenus de l'appliquer." Cette formule rassure les directions qui n'ont pas encore ouvert le texte. Elle est à courte vue.

Les risques concrets sont immédiats : le mécanisme des Points de contact nationaux (51 PCN dans les pays adhérents) permet à tout syndicat, ONG ou individu de saisir publiquement un PCN contre une entreprise. Procédure non judiciaire, mais réputationnelle et documentée. Les conditions de financement de la BEI, la BERD, la SFI et la BAD s'alignent progressivement sur les standards OCDE. Une entreprise marocaine qui exporte vers l'UE ou sollicite un bailleur multilatéral découvrira la Guidance dans ses contrats avant de la découvrir dans ses obligations légales.

Un standard volontaire aujourd'hui est une clause contractuelle demain.

La gouvernance des usages IA : cinq piliers

Une erreur d'analyse revient souvent dans les débats sur l'AI Act : réduire l'IA à un sujet technique ou à un simple enjeu de conformité documentaire. C'est une vision réductrice — et juridiquement risquée.

L'IA n'est pas un outil neutre. C'est un système décisionnel autonome qui impacte les droits, les obligations et la responsabilité des entreprises. La conformité ne suffit pas : c'est la gouvernance des usages qui structure la protection du dirigeant.

• Sans cartographie des usages, impossible de savoir quelles IA sont réellement déployées dans l'entreprise
• Sans classification juridique, on ignore quels systèmes relèvent du régime "usage général" (août 2025) ou "haut risque" (août 2026)
• Sans supervision humaine organisée, on laisse la boîte noire agir sans filet de protection
• Sans reporting au Conseil, le devoir de vigilance du top management est engagé

L'absence de gouvernance IA crée un risque juridique systémique — même si les solutions technologiques sont a priori conformes.

Les cinq piliers d'une architecture robuste :

Registre des usages IA : centraliser tous les cas d'usage, internes et via prestataires. Recrutement assisté, scoring fournisseurs, détection de fraude, chatbots, usages d'IA générative dans les fonctions support — tout ce qui était toléré sans inventaire deviendra documentable sous peine de sanction.

Classification juridique : trier les systèmes selon les niveaux de risque du règlement (GPAI, haut risque, risque limité). La classification conditionne les obligations de documentation, de supervision et d'audit.

Supervision humaine documentée : définir par écrit qui supervise quoi, avec quelles informations, à quelle fréquence, et avec quelle marge de contradiction réelle. La supervision passive n'est pas une supervision.

Reporting régulier au Conseil d'administration : intégrer l'IA au dispositif de remontée des risques et au plan d'audit. Le CA doit valider la cartographie, la classification et l'évaluation des cas d'usage IA — pas seulement en prendre acte.

Lien avec le contrôle interne : aligner les dispositifs IA avec les cartographies des risques opérationnels, juridiques et SI. Une gouvernance IA qui ne parle pas au contrôle interne n'est pas une gouvernance — c'est une procédure isolée.

Ce que les dirigeants doivent faire maintenant

Quatre décisions concrètes à inscrire à l'agenda du CA :

Cartographier la double exposition — réglementaire (AI Act, OCDE, loi 09-08) et contractuelle (clauses de diligence dans les MSA des donneurs d'ordre européens) — pour chaque système IA utilisé.

Instaurer un reporting trimestriel distinguant risque d'amende et risque de perte de marché. La sanction marché arrive avant la sanction réglementaire — et elle ne se rattrape pas en procédure contradictoire.

Former le conseil d'administration aux obligations de supervision et de remédiation. On ne supervise pas ce qu'on ne comprend pas.

Désigner un point de contact IA interne au niveau du directeur compliance ou du secrétaire général — l'organe qui produira les éléments d'audit lorsque la certification de 2027 sera demandée par un client, un investisseur ou un régulateur.

Le cas marocain : un vide qui ne protège pas

Le Maroc ne dispose pas encore d'un cadre réglementaire spécifique sur l'IA. Mais la loi 09-08 encadre depuis 2009 la collecte et le traitement des données, y compris par des systèmes algorithmiques. La loi 05-20 impose depuis 2020 des obligations de sécurisation et de notification d'incidents. Le communiqué CNDP du 18 mars 2025 a clarifié que les traitements d'IA relèvent pleinement de la 09-08, avec des exigences renforcées de transparence et de contestabilité des décisions automatisées.

Les filiales de groupes européens sont rattrapées en parallèle par les obligations extraterritoriales de l'AI Act et du RGPD via leurs maisons mères.

Digital X.0 ne créera pas un droit nouveau. Elle systématisera et durcira un droit qui existe. Anticiper coûte moins cher que subir.

Il ne s'agit plus de savoir si vous utilisez de l'IA. Il s'agit de savoir comment vous la gouvernez. Une décision automatisée reste une responsabilité humaine. L'UE ne cible pas la technologie — elle cible l'absence de pilotage.

---

Cet article est la version développée et enrichie de cinq publications LinkedIn originales.

Publications LinkedIn sources :

• AI Act — dans 6 mois, les obligations pour les systèmes à haut risque — Février 2026
• AI Act — la gouvernance des usages, seule protection réelle des dirigeants — Février 2026
• AI Act — gouvernance du Conseil d'administration et registre des usages — Mars 2026
• L'OCDE vient de publier un texte qui va changer la façon dont les entreprises gèrent leur responsabilité en matière d'IA — Février 2026
• Deux mois après la Guidance OCDE — le silence de l'écosystème marocain — Avril 2026

Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.