Maroc : l'émergence d'une exigence de transparence de l'IA sans loi IA

À l'approche des législatives du 23 septembre 2026, la CNDP a publié dix impératifs de traitement des données personnelles. L'un d'eux, presque passé inaperçu, révèle comment le régulateur marocain encadre déjà l'IA générative sans loi IA dédiée — et ce que cela signale pour l'entreprise.

À l'approche des législatives du 23 septembre 2026, la CNDP a publié dix impératifs à respecter durant les opérations et consultations électorales. Le cinquième d'entre eux, isolé des neuf autres, demande de signaler tout contenu produit par l'intelligence artificielle, en s'appuyant sur l'article 447-2 du Code pénal et sur les articles 39, 51 et 53 de la loi organique 53-25 relative à la Chambre des représentants. Ce point mérite d'être lu au-delà de son objet électoral immédiat : il montre comment le régulateur marocain articule le droit pénal, le droit électoral et le droit des données pour produire une exigence opérationnelle de transparence sur l'IA, sans qu'aucun de ces trois corpus ne s'appelle "loi IA".

Le mythe du vide juridique

L'idée reçue, répétée depuis l'essor des outils génératifs, veut que le Maroc n'ait "rien" pour encadrer les deepfakes et contenus synthétiques, faute d'un texte qui porterait ce nom. Cette lecture confond l'absence d'un texte horizontal avec l'absence de règles. Sans créer de droit nouveau, la CNDP mobilise des textes existants et en tire une instruction concrète. Comprendre pourquoi suppose de regarder chaque texte séparément, puis la manière dont la CNDP les articule.

Trois corpus, trois fonctions distinctes

L'article 447-2 du Code pénal, introduit en 2018 par la loi 103-13 dans le cadre de la réforme sur la lutte contre les violences faites aux femmes, ne mentionne à aucun moment l'intelligence artificielle. Il sanctionne, indépendamment de l'outil technique utilisé, la diffusion d'un montage composé de paroles ou d'images d'une personne sans son consentement, ainsi que la diffusion de fausses allégations destinées à porter atteinte à la vie privée ou à diffamer, d'un emprisonnement d'un an à trois ans et d'une amende de 2.000 à 20.000 dirhams. C'est une disposition générale de protection de la vie privée et de l'image. Ce que fait la CNDP est notable : elle mobilise cet article comme référence pour un impératif spécifiquement dédié aux contenus IA, sans pour autant démontrer que tout contenu généré par un système d'IA remplirait automatiquement les éléments constitutifs de l'infraction. La technologie change, la qualification pénale ne bouge pas — mais elle reste à vérifier au cas par cas.

La loi organique 53-25, qui modifie la loi organique 27-11 relative à la Chambre des représentants, est un texte propre au contexte électoral. Selon la CNDP, ses articles 39, 51 et 53 fondent l'exigence de signalement des contenus IA dans ce cadre précis. La même réforme va, sur un point vérifiable, plus loin : elle introduit un nouvel article 51 bis qui sanctionne expressément la diffusion, sans consentement, d'un montage de paroles ou d'images, ainsi que la diffusion de fausses informations, allégations ou documents falsifiés portant atteinte à un électeur ou un candidat, lorsque ces contenus sont produits ou diffusés au moyen de réseaux sociaux, de systèmes informatiques ou d'outils d'intelligence artificielle — la peine, deux à cinq ans d'emprisonnement et 50.000 à 100.000 dirhams d'amende, est nettement plus lourde que celle de l'article 447-2. Le législateur électoral a donc, cette fois, nommé expressément l'IA parmi les moyens de commission d'une infraction. Cela ne crée pas pour autant une obligation générale d'étiquetage de tout contenu IA : c'est la CNDP, dans son communiqué, qui formule cette instruction.

La loi 09-08, enfin, structure les neuf autres impératifs du communiqué : notification des traitements avant leur mise en œuvre (article 12), finalité et durée de conservation (article 3), régime renforcé applicable aux données sensibles dont les opinions politiques, pour lequel la CNDP rappelle l'exigence de consentement explicite (article 21, alinéas 1 et 2), interdiction du démarchage direct sans consentement (article 10), droits des personnes concernées (chapitre II, articles 5 à 9), encadrement contractuel de la sous-traitance (articles 23 et 25), conditions de transfert (articles 15, 18, et chapitre V, articles 43 et 44). Dès lors que la production, la personnalisation ou le ciblage d'un contenu mobilise des données personnelles — notamment relatives aux électeurs — la loi 09-08 s'ajoute au dispositif, indépendamment de la question du signalement du contenu lui-même.

Ces trois corpus n'ont donc en commun ni leur objet, ni leur philosophie : protection de la vie privée, sincérité électorale, protection des données. C'est leur articulation par la CNDP, dans une instruction opérationnelle unique, qui produit un résultat proche d'une exigence de transparence sur l'IA.

Un écho, pas un hasard, avec l'AI Act européen

Cette approche par assemblage n'est pas propre au Maroc. Depuis le 2 août 2026, l'article 50 du règlement européen sur l'IA (AI Act, règlement 2024/1689) impose plusieurs obligations de transparence, dont le marquage détectable de certains contenus générés ou manipulés par IA et la divulgation de l'origine artificielle des deepfakes, selon les lignes directrices publiées par la Commission européenne le 20 juillet 2026. Le non-respect expose à des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial, sous réserve de seuils réduits pour les PME. Ce régime ne lie directement que les fournisseurs et déployeurs opérant sur le marché européen, pas une entreprise marocaine sans activité dans l'UE. La comparaison s'arrête là où elle doit s'arrêter : l'AI Act est un texte horizontal unique conçu pour l'IA, quand le Maroc procède par assemblage de textes préexistants. La finalité converge néanmoins : permettre au destinataire d'un contenu d'identifier son caractère artificiellement généré ou manipulé.

Ce que cette doctrine électorale signale pour l'entreprise

Le champ d'application immédiat du communiqué reste électoral. Il serait toutefois imprudent d'y voir un cadre isolé, sans portée pour l'entreprise. Une direction communication qui produit des visuels ou des voix de synthèse, une direction marketing qui personnalise des contenus à partir de données clients, ou une direction RH qui utilise l'IA générative pour des supports de formation, se trouvent devant la même question de fond que celle posée aux partis politiques : d'où viennent les données utilisées, et le contenu produit doit-il être signalé.

Hors contexte électoral, la loi organique 53-25 ne s'applique pas. Mais la loi 09-08 reste applicable dès qu'une donnée personnelle entre dans la chaîne de production du contenu, et l'article 447-2 du Code pénal reste applicable si ses éléments constitutifs sont réunis, quel que soit le secteur. Aucun texte n'impose aujourd'hui, hors contexte électoral, un étiquetage systématique de tout contenu IA commercial. Mais le signal envoyé par la CNDP — associer un usage de l'IA à des obligations de transparence existantes — indique la direction dans laquelle une doctrine plus large pourrait se construire, par extension progressive plutôt que par grand texte fondateur.

Grille de lecture pour une direction juridique ou conformité

Sans attendre un texte dédié, une direction juridique peut d'ores et déjà cartographier ses usages internes d'IA générative au regard des logiques dégagées par le communiqué CNDP.

| Usage IA générative | Corpus juridique à vérifier | Question de conformité | |---|---|---| | Visuel ou voix reproduisant une personne identifiable | Art. 447-2 du Code pénal si ses éléments constitutifs sont réunis ; loi 09-08 si des données personnelles sont mobilisées | Consentement, provenance, finalité, risque d'atteinte à la vie privée | | Contenus marketing personnalisés à partir de données clients | Loi 09-08 | Base légale du traitement, information, consentement, contrat de sous-traitance | | Chatbots et supports RH générés par IA | Loi 09-08, et droit du travail selon l'usage | Données utilisées, information des personnes, droits d'accès et de rectification | | Tout contenu à diffusion publique large | Pas d'obligation générale de labellisation au Maroc hors régimes particuliers identifiés ; écho possible avec l'article 50 de l'AI Act pour les entreprises actives sur le marché européen | Politique interne de transparence et signalement volontaire |

Cette cartographie n'a pas vocation à créer une obligation qui n'existe pas. Elle a pour fonction d'anticiper une lecture croisée que le régulateur a déjà, concrètement, pratiquée dans un autre contexte.

Une conviction

Le Maroc n'attend pas une loi horizontale sur l'intelligence artificielle pour produire de la règle applicable. Avant même l'adoption éventuelle d'un cadre dédié, le droit pénal, le droit électoral et le droit des données personnelles encadrent déjà plusieurs usages de l'IA. La nouveauté du communiqué de la CNDP du 31 août 2026 réside ailleurs : pour la première fois de manière aussi explicite, une autorité marocaine transforme cette dispersion normative en instruction opérationnelle. Pour une entreprise marocaine qui utilise déjà l'IA générative, le message n'est pas qu'une obligation générale de labellisation existerait déjà. Il est qu'attendre une loi IA pour commencer sa cartographie de conformité serait une erreur.

---

Sources

• CNDP, "Les dix impératifs à respecter durant les opérations et les consultations électorales", publié le 31 août 2026 — https://www.cndp.ma/les-dix-imperatifs-a-respecter-durant-les-operations-et-les-consultations-electorales/
• Telquel.ma, "Législatives 2026 : la CNDP fixe les impératifs à respecter...", 31 août 2026 — https://telquel.ma/instant-t/2026/08/31/elections-legislatives-2026-la-cndp-fixe-les-imperatifs-a-respecter-dans-le-traitement-des-donnees-a-caractere-personnel_2004710
• Le Matin.ma, "Élections 2026 : données personnelles, IA, prospection… la CNDP fixe les règles", 31 août 2026 — https://lematin.ma/nation/elections-2026-donnees-personnelles-ia-prospection-cndp-fixe-les-regles/362528
• La Vie Éco, "Législatives : jusqu'à 100.000 DH d'amende et 5 ans de prison pour les fake news" — https://www.lavieeco.com/au-royaume/legislatives-jusqua-100-000-dh-damende-et-5-ans-de-prison-pour-les-fake-news
• Femmes du Maroc, "Législatives 2026 : des candidates ciblées par des violences numériques avant la campagne" — https://femmesdumaroc.com/femmes/legislatives-2026-des-candidates-ciblees-par-des-violences-numeriques-avant-la-campagne
• Article19.ma, sur la portée et les peines de l'article 447-2 du Code pénal (loi 103-13, 2018)
• Commission européenne, DG CNECT, "Transparency obligations under Article 50 of the AI Act" — https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
• Commission européenne, "Guidelines on transparency obligations for providers and deployers of certain AI systems", 20 juillet 2026 — https://digital-strategy.ec.europa.eu/en/policies/guidelines-transparency-ai-generated-content