Cadre marocain de l'IA : ce que le droit dit déjà — et ce que Digital X.0 va changer
Quand le Maroc aura-t-il une loi sur l'IA ? C'est la mauvaise question. La loi 09-08, la loi 05-20 et la doctrine CNDP encadrent déjà la plupart des cas d'usage IA. Et pour les entreprises liées à l'Europe, l'AI Act arrive par le contrat avant d'arriver par la loi.
# Cadre marocain de l'IA : ce que le droit dit déjà — et ce que Digital X.0 va changer
---
Une question revient souvent de la part des conseils juridiques internationaux qui structurent des opérations avec des contreparties marocaines : quand le Maroc aura-t-il une loi sur l'IA ? C'est la mauvaise question. Et dans l'écosystème marocain, une autre erreur symétrique se répand : "Il n'y a pas encore de loi sur l'IA au Maroc. On verra quand le texte sortira." Cette posture d'attente est juridiquement coûteuse.
Ce que le droit marocain dit déjà sur l'IA
L'absence d'une loi dédiée à l'IA ne signifie pas l'absence de régulation. Trois textes existants encadrent déjà la plupart des cas d'usage IA qui touchent des données personnelles.
La loi 09-08, enforcée par la CNDP, couvre le recrutement par algorithme, le scoring client, l'analyse comportementale, le traitement biométrique. Le bilan de l'enforcement a été discret par rapport aux standards européens — mais la doctrine se durcit. Le communiqué CNDP du 18 mars 2025 a clarifié que les traitements d'IA relèvent pleinement de la 09-08, avec des exigences renforcées de transparence, de lisibilité et de contestabilité des décisions automatisées. La CNDP exige désormais une autorisation préalable pour les traitements sensibles et a commencé à publier des décisions sur les décisions automatisées.
La loi 05-20 sur la cybersécurité, opérée par la DGSSI, s'applique à tout système d'IA traité sur une infrastructure critique. Le périmètre réglementaire est plus large qu'il n'y paraît à première lecture.
Le droit de la responsabilité contractuelle (DOC 1913, articles 77-78) encadre les préjudices causés par des décisions algorithmiques mal supervisées — sans qu'aucun texte spécifique sur l'IA ne soit nécessaire.
La CNDP a également évolué institutionnellement. En janvier 2023, elle a publié un communiqué public nominatif contre un prestataire de services de visa pour transfert d'images de vidéosurveillance hors Maroc sans notification — signal fort de willingness to enforce. Les articles 43 et 44 de la loi 09-08 conditionnent le transfert transfrontalier de données à un niveau de protection adéquat ou à une autorisation expresse. Le schéma ressemble à la phase précoce d'enforcement des autorités européennes après Schrems II : tardif, mais en accélération.
Le vecteur de conformité réel : l'Europe, pas le Maroc
Pour une entreprise marocaine qui opère en lien avec l'Europe, le vecteur de conformité IA réel n'est pas encore le droit marocain — c'est le droit européen.
Le Règlement UE 2024/1689 (AI Act) a une portée extraterritoriale sur les filiales marocaines de groupes européens, et touche de plus en plus les prestataires marocains via des cascades contractuelles imposées par les clients de l'UE (les sorties utilisées dans l'Union déclenchant l'article 2). Pour une opération marocaine qui fournit un donneur d'ordre européen, l'AI Act arrivera par le contrat avant d'arriver par un texte marocain. Cela change le lieu où le travail de conformité s'effectue et la fonction juridique qui doit s'en emparer.
Les filiales de groupes européens sont rattrapées en parallèle par les obligations extraterritoriales de l'AI Act et du RGPD via leurs maisons mères. Ce n'est pas une perspective — c'est une réalité contractuelle dans les groupes industriels, financiers et de services aujourd'hui.
Le dialogue numérique UE-Maroc : une asymétrie à gouverner
Le 8 avril 2026, à Marrakech, en marge du GITEX Africa, l'Union européenne et le Maroc ont officiellement lancé le dialogue numérique UE-Maroc. La communication officielle parle d'une vision commune sur l'IA, les infrastructures numériques, l'interopérabilité des services publics et l'écosystème des start-ups.
Le communiqué de presse conjoint mérite une seconde lecture. Cinq axes y sont listés, dont la coopération avancée avec les AI Factories européennes (BSC, CINECA, GENCI et LUMI ont signé une lettre d'intention avec l'UM6P) et, point décisif, "l'interopérabilité entre les solutions et les cadres européens et marocains". Le terme est anodin. Sa portée pratique ne l'est pas. L'interopérabilité conduit à un alignement progressif des standards — et quand un seul des deux corpus est stabilisé, cet alignement tend à prendre une seule direction.
Le risque n'est pas dans la coopération. Il est dans l'asymétrie. L'UE négocie depuis un corpus dense et stabilisé (AI Act, RGPD, NIS2, Data Act, DORA), pensé pour ses propres rapports économiques. Le Maroc négocie depuis un corpus en construction. Si les convergences se matérialisent, l'essentiel du coût d'adaptation reviendra au secteur privé marocain.
L'asymétrie appelle une réponse de gouvernance : doter DGSSI, CNDP, ADD, ANRT et Bank Al-Maghrib d'une capacité de négociation technique permanente ; anticiper les convergences au lieu de les subir ; porter une position propre via la CGEM et les fédérations sectorielles.
Ce que Digital X.0 va changer — et ne pas changer
La loi-cadre Digital X.0, actuellement examinée au Secrétariat Général du Gouvernement, articule trois axes : gouvernance des données, identité numérique et interopérabilité. Elle prépare le terrain à un Framework IA, une certification et un label de confiance dès 2027.
Combinée avec l'arrangement administratif sur les écosystèmes IA signé lors du dialogue numérique UE-Maroc du 8 avril 2026, Morocco signale une posture distincte sur la souveraineté des données, l'identité et la certification. Les labels locaux et les évaluations de conformité nationales deviendront des différenciateurs d'ici 2027, particulièrement pour les marchés publics et les secteurs régulés.
Ce que Digital X.0 ne fera pas : créer un droit nouveau. Elle systématisera et durcira un droit qui existe. Trois décisions ne peuvent plus attendre :
La cartographie des traitements IA internes (recrutement assisté, scoring fournisseurs, détection de fraude, chatbots, IA générative dans les fonctions support). Ce qui était toléré sans inventaire deviendra documentable sous peine de sanction.
La relecture des contrats cloud et SaaS. Les principes d'interopérabilité et de standardisation annoncés rendront fragiles certaines clauses signées avant 2024 — notamment celles qui transfèrent des données hors du Royaume sans encadrement précis.
La gouvernance interne. Un point de contact IA dans l'organigramme n'est plus une bonne pratique. C'est l'organe qui devra produire les éléments d'audit lorsque la certification de 2027 sera demandée par un client, un investisseur ou un régulateur.
La vraie question à poser aujourd'hui n'est pas "quand le Maroc régulera l'IA". C'est : quelle réglementation s'applique déjà à votre opération marocaine ?
---
Cet article est la version développée et enrichie de quatre publications LinkedIn originales, dont deux rédigées en anglais pour un public de conseils juridiques internationaux.
Publications LinkedIn sources :
- A pattern keeps showing up — the CNDP is not a 2015 regulator — Juin 2026 (EN)
Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.
Cet article est la version développée d'une publication originale sur LinkedIn. Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.
Articles liés
IA en RH : ATS, recrutement algorithmique et droit à la déconnexion au Maroc
Le mythe de la validation humaine dans le recrutement algorithmique. Trois textes encadrent déjà les ATS marocains — sans loi spécifique. Et l'absence de politique de déconnexion documentée expose déjà les employeurs marocains, sans attendre la réforme du Code du travail.
AI Act et gouvernance de l'IA en entreprise : ce que les dirigeants marocains doivent savoir
Un mythe dangereux persiste : si l'IA se trompe, c'est la faute de l'algorithme. Cette croyance est juridiquement intenable. AI Act, Guidance OCDE, loi 09-08 : ce que les dirigeants marocains doivent gouverner maintenant.
Réutilisation des données juridiques par l'intelligence artificielle : entre liberté d'accès, protection des investissements et nouveaux risques
Article publié dans la revue Artémis n°35. Entre accès libre aux données publiques et protection des bases enrichies, l'IA juridique soulève des tensions profondes. Thomson Reuters v. Ross, Artémis v. Simulator, CJUE : la jurisprudence converge vers une régulation renforcée.