IA et protection des données au Maroc : ce que dit la loi 09-08 et la CNDP

Le cadre légal de la protection des données au Maroc

Au Maroc, la protection des données personnelles est régie par la loi 09-08 promulguée en 2009 et son décret d’application 2-09-165. La CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) est l’autorité de supervision.

Avec le déploiement croissant de systèmes d’IA qui traitent des données personnelles, la conformité à cette loi n’est plus optionnelle.

Principes fondamentaux de la loi 09-08

Finalité déterminée : toute collecte de données doit avoir un objectif précis et légitime. Vous ne pouvez pas collecter des données « au cas où » pour une future utilisation IA.

Consentement préalable : le traitement de données personnelles nécessite le consentement informé de la personne concernée. Pour les systèmes IA, ce consentement doit mentionner explicitement l’utilisation algorithmique.

Proportionnalité : ne collectez que les données strictement nécessaires à votre finalité. Un système IA de recommandation n’a pas besoin d’accéder à l’historique médical des utilisateurs.

Sécurité : vous devez mettre en place des mesures techniques et organisationnelles pour protéger les données. Les modèles IA entraînés sur des données sensibles sont particulièrement exposés.

Droit d’accès et de rectification : tout citoyen marocain peut demander à voir et corriger ses données. Vos systèmes IA doivent permettre cette traçabilité.

Obligations spécifiques pour les systèmes IA

La CNDP a émis des recommandations sur l’IA en 2024 :

• Déclaration préalable pour tout traitement automatisé incluant des décisions impactant des personnes (scoring, profilage, recommandations personnalisées)
• Autorisation spéciale pour les traitements sensibles (santé, biométrie, données financières)
• Interdiction de prises de décision entièrement automatisées sans possibilité de recours humain pour les décisions importantes

Bonnes pratiques de conformité IA

1. Privacy by Design : intégrer la protection des données dans la conception de votre système IA, pas en post-production
2. Anonymisation vs pseudonymisation : distinguer les deux approches — l’anonymisation irréversible exclut les données du champ de la loi
3. Registre des traitements : documenter tous vos traitements IA avec finalité, données utilisées, durée de conservation
4. DPO ou référent données : nommer un responsable protection des données dans votre organisation

Ce qui change avec l’AI Act européen

Le Maroc observe de près l’AI Act européen entré en application en 2025. Comme la loi 09-08 s’inspire du RGPD, il est probable qu’un cadre marocain spécifique à l’IA soit adopté dans les 2-3 prochaines années, reprenant les principes de classification des risques IA.

Mohammed TETO accompagne les entreprises marocaines dans la mise en conformité de leurs projets IA avec la réglementation locale — audit, documentation et formation des équipes.

Conformité IA & CNDP pour entreprises marocaines : mohammedteto.com

Conclusion

Déployer l’IA au Maroc sans respecter la loi 09-08 et les recommandations de la CNDP, c’est construire sur un terrain instable. La conformité n’est pas un frein à l’innovation — c’est ce qui lui permet de durer. Les entreprises qui intègrent la protection des données dès la conception de leurs systèmes IA gagnent en confiance, en crédibilité et en sécurité juridique.