AI Act après l'Omnibus : la check-list de conformité d'une ETI marocaine exportatrice

Le règlement (UE) 2026/1744 du 8 juillet 2026, dit Digital Omnibus sur l'IA, a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et il est entré en vigueur le 27 juillet. Il modifie le règlement (UE) 2024/1689, l'AI Act. Sa mesure la plus commentée tient en une date : les obligations applicables aux systèmes d'IA à haut risque relevant de l'annexe III ne s'appliqueront plus le 2 août 2026 mais le 2 décembre 2027, soit seize mois plus tard ; celles des systèmes intégrés à des produits réglementés (annexe I), le 2 août 2028.

Dans de nombreux comités de direction marocains, cette date a été lue comme une pause générale. C'est une erreur de lecture. Le report vise un bloc précis, les sections 1 à 3 du chapitre III pour les systèmes de l'annexe III. Il ne suspend pas le règlement : plusieurs obligations structurantes sont déjà applicables, y compris à des entreprises établies hors de l'Union. Cet article prolonge le premier volet publié le 1er octobre et propose une méthode pour une ETI qui travaille avec le marché européen.

Ce que l'Omnibus n'a pas reporté

Quatre séries d'obligations échappent au report.

L'essentiel des pratiques interdites de l'article 5 s'applique depuis le 2 février 2025. Parmi elles, l'article 5, paragraphe 1, point f), vise l'inférence des émotions d'une personne sur le lieu de travail et dans les établissements d'enseignement, sauf raisons médicales ou de sécurité. L'Omnibus a ajouté deux interdictions, applicables à compter du 2 décembre 2026 : la génération d'images intimes non consenties et celle de contenus pédopornographiques.

Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Seul le marquage de l'article 50, paragraphe 2, bénéficie d'une période transitoire jusqu'au 2 décembre 2026, et uniquement pour les systèmes génératifs mis sur le marché avant le 2 août 2026.

L'article 4 sur la maîtrise de l'IA, applicable depuis février 2025, a été réécrit. Les fournisseurs et déployeurs doivent désormais prendre des mesures pour favoriser le développement de la maîtrise de l'IA de leur personnel, sans avoir à garantir un niveau déterminé pour chaque individu. C'est une obligation de moyens, mais elle demeure.

Enfin, le champ d'application territorial n'a pas bougé. L'article 2, paragraphe 1, point c), soumet au règlement les fournisseurs et les déployeurs établis dans un pays tiers lorsque le résultat produit par le système d'IA est utilisé dans l'Union.

Le critère du résultat, angle mort des exportateurs

Ce dernier point concentre le risque pour une ETI marocaine. Le rattachement ne dépend ni du lieu d'hébergement du système ni de la nationalité de l'éditeur, mais de l'endroit où le résultat est utilisé.

Trois situations ordinaires imposent de tester ce critère. Une direction des ressources humaines qui présélectionne depuis Casablanca, par algorithme, les candidats d'une filiale commerciale en France. Un outil qui évalue les performances de commerciaux basés en Espagne. Un service client qui répond aux acheteurs allemands par un agent conversationnel. Dans chaque cas, le fait que le traitement soit réalisé au Maroc ne suffit pas à écarter l'AI Act.

Encore faut-il distinguer les étapes. Le critère de l'article 2 détermine le champ territorial ; il ne dit rien, à lui seul, des obligations matérielles. Les deux premiers exemples relèvent de l'annexe III, point 4 (recrutement, évaluation des performances des travailleurs), donc du haut risque à compter du 2 décembre 2027. Le troisième relève de la transparence de l'article 50, déjà applicable. À l'inverse, un scoring de solvabilité appliqué à un distributeur, personne morale, n'entre pas dans l'annexe III, point 5 b), qui ne vise que les personnes physiques.

L'exposition financière est fixée par l'article 99 : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour une pratique interdite, jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements, dont ceux relatifs à l'article 50. Pour les PME, le plus faible des deux montants constitue le plafond. L'Omnibus a par ailleurs créé une catégorie de « petites entreprises à capitalisation moyenne » (moins de 750 salariés, chiffre d'affaires d'au plus 150 millions d'euros ou bilan d'au plus 129 millions d'euros), qui bénéficie d'allègements, dont des plafonds d'amende adaptés. Toute ETI a intérêt à tester ces seuils.

Une méthode en trois temps

Premier temps : la cartographie

La cartographie précède tout. Elle consiste à recenser chaque système d'IA utilisé par l'entreprise, ce qui inclut les outils achetés comme tels mais aussi, et surtout, les fonctions d'IA intégrées dans des logiciels de gestion : présélection dans les ATS, scoring dans les CRM, prévision dans les ERP. Faute de décision d'achat distincte, elles échappent aux inventaires.

Pour chaque système, la fiche doit tracer le flux de résultats : qui utilise la sortie, dans quel pays, pour quelle décision. C'est ce champ qui permet de trancher l'applicabilité de l'article 2.

Deuxième temps : la classification

La classification commence par une question souvent négligée : l'entreprise est-elle fournisseur ou déployeur ? Développer en interne ou commercialiser sous son nom en fait un fournisseur, au régime nettement plus lourd ; utiliser un outil tiers sous sa propre autorité, un déployeur.

Le système est ensuite rangé dans l'une des catégories du règlement : pratique interdite, haut risque, obligation de transparence, risque minimal. Pour une ETI, les rubriques de l'annexe III les plus fréquemment concernées sont l'emploi et la gestion des travailleurs (recrutement, sélection, décisions sur la relation de travail, attribution des tâches, évaluation des performances) et, lorsque la clientèle comprend des particuliers, l'évaluation de la solvabilité des personnes physiques.

L'article 6, paragraphe 3, permet d'écarter la qualification de haut risque pour un système de l'annexe III qui ne présente pas de risque important de préjudice, notamment parce qu'il n'influence pas de manière significative le résultat de la décision. Cette dérogation a un coût : selon l'article 6, paragraphe 4, le fournisseur doit documenter son appréciation avant la mise sur le marché ou la mise en service du système, et la communiquer aux autorités sur demande.

Troisième temps : le socle documentaire

Les obligations des déployeurs de systèmes à haut risque, fixées par l'article 26, font partie du bloc reporté : pour les systèmes de l'annexe III, elles ne s'appliqueront qu'au 2 décembre 2027. Les préparer maintenant relève de l'anticipation, non d'une obligation exigible. Cette anticipation s'impose pourtant, car une partie du travail dépend des éditeurs.

Il faut obtenir de chaque fournisseur la notice d'utilisation que l'article 26, paragraphe 1, imposera de suivre. Il faut désigner nommément les personnes chargées du contrôle humain et s'assurer qu'elles disposeront de la compétence, de la formation et de l'autorité nécessaires (paragraphe 2). Il faut organiser la conservation des journaux générés automatiquement, lorsqu'ils sont sous le contrôle du déployeur, pendant au moins six mois (paragraphe 6). L'employeur devra enfin informer les représentants des travailleurs et les travailleurs concernés avant la mise en service d'un système à haut risque sur le lieu de travail (paragraphe 7).

Ces exigences se négocient au moment du contrat : accès à la documentation technique, conservation des journaux et notification des modifications substantielles ont leur place dans les prochains renouvellements de licences.

L'angle marocain : une cartographie à double usage

Le droit marocain n'est pas silencieux. L'article 11 de la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel interdit qu'une décision produisant des effets juridiques à l'égard d'une personne soit prise sur le seul fondement d'un traitement automatisé destiné à définir son profil ou à évaluer certains aspects de sa personnalité. Le texte prévoit des exceptions, notamment pour les décisions prises dans le cadre de la conclusion ou de l'exécution d'un contrat lorsque la personne a pu présenter ses observations. Un outil de présélection ou d'évaluation de salariés opéré depuis le Maroc doit déjà être examiné sous cet angle.

Le projet de loi-cadre Digital X.0, présenté en novembre 2025 par le ministère délégué chargé de la Transition numérique et de la Réforme de l'administration et alors à l'examen au Secrétariat général du gouvernement, fait de la gouvernance des données l'un de ses piliers. Son contenu définitif reste à connaître.

L'inventaire construit pour l'AI Act sert donc aussi au Maroc : cartographier pour Bruxelles, c'est documenter du même geste ses traitements au regard de la loi 09-08.

Conclusion

Le report au 2 décembre 2027 n'a de valeur que pour les entreprises capables de dire, aujourd'hui, quels systèmes d'IA elles utilisent, dans quel rôle et avec quels résultats exploités dans l'Union. Pour les autres, le délai gagné sera absorbé par l'inventaire qu'elles n'ont pas encore commencé.

Sources

Règlement (UE) 2026/1744 du 8 juillet 2026 (Digital Omnibus sur l'IA), JOUE du 24 juillet 2026, considérants 38 et 40, article 1er point 5 : https://eur-lex.europa.eu/eli/reg/2026/1744/oj

Règlement (UE) 2024/1689 (AI Act), articles 2, 4, 5, 6, 26, 50, 99 et annexe III : https://eur-lex.europa.eu/eli/reg/2024/1689/oj

Loi n° 09-08 promulguée par le dahir n° 1-09-15 du 18 février 2009, BO n° 5714 du 5 mars 2009, article 11 : https://bdj.mmsp.gov.ma/Fr/Document/8974-Loi-n-09-08-promulgu%C3%A9e-par-le-dahir-n-1-09-15-du.aspx

Agence Ecofin, « Le Maroc avance sur la loi-cadre Digital X.0 dédiée à l'intelligence artificielle », 4 novembre 2025.