IA et données personnelles au Maroc : loi 09-08, CNDP et bonnes pratiques

Le cadre : loi 09-08 et CNDP

La loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel est le texte de référence au Maroc. Son application est contrôlée par la CNDP (Commission nationale de contrôle de la protection des données à caractère personnel). Une réforme du cadre est en discussion ; tant qu'elle n'est pas adoptée, la loi 09-08 reste la base.

Si vous travaillez avec des clients européens, le RGPD peut aussi s'appliquer. Et si vous fournissez des systèmes d'IA sur le marché européen, le règlement européen sur l'IA (AI Act) entre progressivement en application.

Cet article est une information générale et ne remplace pas l'avis d'un juriste. Pour votre situation précise, consultez la CNDP ou un conseil spécialisé.

Les principes qui comptent pour un projet d'IA

• Finalité déterminée. L'agent est conçu pour une mission précise : qualifier un lead, répondre au support. Ses données ne doivent pas être réutilisées pour autre chose sans base légale.
• Minimisation. L'agent n'accède qu'aux champs utiles. Un agent de prise de rendez-vous n'a pas besoin du dossier complet d'un patient.
• Information des personnes. Vos clients savent qu'un assistant automatisé traite leur demande, et comment exercer leurs droits.
• Droits d'accès, de rectification et d'opposition. Votre dispositif doit permettre de retrouver et corriger les données d'une personne.
• Sécurité. Accès restreints, chiffrement, journalisation, durée de conservation définie.

Le point sensible : les transferts hors du Maroc

La plupart des grands modèles d'IA sont hébergés aux États-Unis ou en Europe. Envoyer le message d'un client marocain à ces serveurs constitue un transfert de données vers l'étranger, encadré par la loi 09-08. Selon le pays de destination et les garanties offertes, une autorisation de la CNDP peut être nécessaire.

Trois options permettent de réduire ce risque :

1. Anonymiser ou pseudonymiser les données avant de les envoyer au modèle, quand la mission le permet.
2. Choisir des API professionnelles dont les conditions excluent l'utilisation de vos données pour l'entraînement et précisent la localisation.
3. Héberger localement : n8n et un modèle open source sur un serveur au Maroc ou sur votre infrastructure.

La checklist avant de lancer un agent IA

1. La finalité de l'agent est écrite en une phrase.
2. La liste des données traitées est établie, et chacune est justifiée.
3. La formalité auprès de la CNDP (déclaration ou demande d'autorisation) est faite ou planifiée.
4. Les transferts hors du Maroc sont identifiés et encadrés.
5. Les personnes sont informées (mentions sur le site, premier message de l'assistant).
6. Les sous-traitants (éditeur d'automatisation, fournisseur d'IA, hébergeur) sont listés avec leurs engagements.
7. Les accès sont nominatifs et l'activité de l'agent est journalisée.
8. Une durée de conservation est fixée et appliquée automatiquement.

Comment AAAS intègre la conformité

Chaque projet commence par une fiche de traitement : finalité, données, destinataires, localisation, durée. Nous choisissons l'architecture en conséquence, jusqu'au déploiement sur votre propre infrastructure quand c'est nécessaire, comme pour cette ESN qui garde 100 % de ses données en interne. Nous vous fournissons ensuite la documentation utile à vos démarches auprès de la CNDP.

Questions fréquentes

NISSOUL Hamza

Co-fondateur & directeur des opérations, AAAS

Spécialiste IT et business analysis, Hamza pilote l'architecture et la livraison des agents IA et workflows déployés par AAAS.

Voir le profil →