Maroc Digital 2030 : test de maturité de gouvernance pour le secteur privé

# Maroc Digital 2030 : test de maturité de gouvernance pour le secteur privé — et protection des mineurs en ligne

---

"Maroc Digital 2030, c'est l'affaire de l'État. Le secteur privé attend que les infrastructures soient prêtes." Et ChatControl, c'est un débat européen. Ces deux postures sont confortables. Elles sont également fausses.

Maroc Digital 2030 : un test de maturité, pas une feuille de route technologique

La stratégie Maroc Digital 2030 prévoit explicitement des subventions à la digitalisation, un label PME Tech, et un accompagnement des TPME. Le problème n'est pas l'absence d'invitation. C'est qu'une partie du tissu privé se comporte encore en suiveur, en attendant une obligation légale là où une décision de gouvernance suffirait.

La réalité juridique. Maroc Digital 2030 n'est pas seulement une feuille de route technologique. Elle s'appuie sur un cadre normatif existant qui produit des effets directs sur les opérateurs privés :

La loi 05-20 impose des obligations de sécurité pour les entités d'importance vitale, sous supervision DGSSI. La loi 09-08 : toute collecte ou traitement de données engage la responsabilité de l'entreprise devant la CNDP. Le décret 2-24-921 + Arrêté 3-17-25 : chaîne de conformité cloud souverain, à effet indirect sur les donneurs d'ordre privés. Les objectifs officiels — 240 000 emplois numériques, 100 milliards MAD de contribution au PIB, dématérialisation quasi-totale des services publics d'ici 2030 — signalent une montée en charge réglementaire continue pour le secteur privé.

Digitaliser sans gouvernance, c'est s'exposer simultanément à : des sanctions CNDP au titre de la loi 09-08, une qualification IIV inattendue dans un contexte de pression normative croissante (RGPD, Malabo), et un signal d'alerte en due diligence pour tout conseil qui n'intègre pas le numérique à sa cartographie des risques.

Ce que Maroc Digital 2030 change concrètement pour le privé

Quatre changements structurels sont en cours, sans attendre de nouvelles obligations légales :

Standards numériques généralisés dans les marchés publics. Les appels d'offres publics intègreront des exigences de maturité numérique, de traçabilité et d'interopérabilité. Une entreprise privée qui vend à l'État devra démontrer sa conformité.

Exigences cybersécurité renforcées pour les opérateurs privés. La Stratégie Nationale de Cybersécurité 2030, adossée à la loi 05-20 et à la DNSSI, transfère de facto la responsabilité vers les organes dirigeants.

Interopérabilité et traçabilité comme conditions d'accès. Les entreprises qui travaillent avec des partenaires publics ou des donneurs d'ordre internationaux devront démontrer leur compatibilité avec des standards qui se durcissent.

Pression normative directe sur la gouvernance IT. Le numérique n'est plus un choix stratégique. C'est un standard de conformité. Ne pas s'aligner pourrait demain être qualifié de faute de gestion.

ChatControl : quand la protection des enfants interroge la souveraineté numérique

Imaginez qu'en déplacement demain dans un pays européen, chaque message que vous tapez, chaque photo envoyée à vos proches, chaque fichier partagé avec un collaborateur soit analysé, inspecté, filtré — non par les destinataires, mais par une intelligence artificielle, directement sur votre téléphone, avant même que vous ayez cliqué sur "envoyer".

Ce n'est pas de la fiction. C'est l'esprit du projet européen ChatControl, qui a fait l'objet d'un vote décisif en octobre 2025. Ce règlement vise, officiellement, à lutter contre les contenus pédopornographiques et les abus sexuels sur mineurs — un objectif légitime, urgent et indiscutable. Mais le mécanisme envisagé suscite une inquiétude profonde dans les milieux juridiques, technologiques et de défense des libertés.

Le projet pose une équation redoutable : comment protéger sans profiler ? Prévenir sans surveiller ? Sécuriser sans déshumaniser ? Il interroge plusieurs principes fondamentaux : proportionnalité des mesures de surveillance, respect de la vie privée et des communications, liberté d'expression, fiabilité technique et recours effectifs pour les citoyens faussement signalés.

Le Maroc, bien qu'externe à l'Union, ne peut rester à l'écart. Par effet d'harmonisation technique : les plateformes appliqueront des standards communs sur l'ensemble des marchés. Par effet d'influence réglementaire : comme on l'a vu avec le RGPD, l'Europe reste un modèle pour les cadres de protection des données personnelles. Par enjeu souverain : la généralisation de ces outils pourrait aussi être tentante pour certains États souhaitant renforcer le contrôle informationnel, sans cadre de garanties aussi strict que celui de l'UE.

La protection des mineurs en ligne : un chantier structurant pour le Maroc

L'Australie a franchi un cap historique : à compter de mars 2026, le pays impose des codes de conduite obligatoires aux géants du numérique, avec des exigences strictes en matière d'authentification d'âge, d'encadrement des contenus sensibles, et de protection active des utilisateurs mineurs. Le non-respect pourra entraîner des sanctions allant jusqu'à 49,5 millions de dollars australiens.

Ce sera, à ce jour, l'initiative la plus aboutie au monde en matière de gouvernance numérique des droits de l'enfant. Elle appelle un débat similaire au Maroc, articulé autour de quatre axes : une régulation ciblée des contenus préjudiciables aux mineurs ; des obligations de vigilance algorithmique pour les plateformes diffusant du contenu aux jeunes publics ; un cadre clair de responsabilité des fournisseurs de services numériques à l'égard des mineurs ; une gouvernance collective où la protection des enfants devient un pilier de la souveraineté numérique.

Il ne s'agit pas d'imiter pour imiter, mais de construire un modèle de régulation responsable, à l'écoute de nos réalités mais connecté aux meilleures pratiques mondiales.

La réponse de gouvernance en trois niveaux

Au niveau du Conseil. Gouvernance numérique à l'ordre du jour, rapport annuel de maturité digitale, nomination d'un administrateur référent numérique.

Au niveau juridique et conformité. Cartographie des données, audit des contrats cloud, vérification de la conformité DGSSI, intégration des obligations de protection des mineurs dans les politiques numériques.

Au niveau opérationnel. Plan de continuité d'activité cyber, Politique de Sécurité des Systèmes d'Information formalisée, simulation de crise cyber au niveau exécutif.

L'intention est juste. Mais le mécanisme peut être dévoyé. À force de vouloir prévenir tous les risques, prenons garde à ne pas en créer de nouveaux, plus insidieux : celui d'une société surveillée par défaut, où la présomption de bonne foi devient l'exception.

Ce sujet a cessé d'être une affaire de DSI ou de stratégie d'État. Il est devenu un enjeu de gouvernance d'entreprise. Les dirigeants qui anticipent structureront leur avantage. Les autres subiront la régulation.

---

Cet article est la version développée et enrichie de quatre publications LinkedIn originales.

Publications LinkedIn sources :

• Maroc Digital 2030 — ce que le secteur privé doit comprendre — Mars 2026
• Maroc Digital 2030 — la réalité juridique et les risques concrets — Mars 2026
• ChatControl — souveraineté numérique et vie privée face à la lutte contre les abus — Septembre 2025
• Protection des mineurs en ligne — l'exemple australien et le chantier marocain — Octobre 2025

Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.