IA et données personnelles au Maroc : loi 09-08 et CNDP

Le cadre : la loi 09-08 et la CNDP face à l'IA

Le texte de référence est la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Elle a été promulguée par le dahir n° 1-09-15 du 18 février 2009 et publiée au Bulletin officiel n° 5714 du 5 mars 2009.

Elle a institué la CNDP, Commission nationale de contrôle de la protection des données à caractère personnel, instituée auprès du Premier ministre (article 27).

La loi ne cite pas l'IA. Dans son communiqué du 18 mars 2025, la CNDP précise que lorsqu'ils utilisent des données personnelles, les traitements d'IA sont encadrés par la loi 09-08. Elle demande une attention particulière aux décisions automatiques : intégrité, transparence, loyauté, lisibilité. Elle a aussi annoncé des travaux en vue d'une délibération sur les traitements d'IA. Au 19 octobre 2026, sa liste de délibérations publiées n'en contient pas encore.

Données personnelles et données sensibles

Une donnée personnelle est toute information concernant une personne physique identifiée ou identifiable, quel que soit son support, y compris le son et l'image (article 1). Un nom, un téléphone, un matricule, une photo, une note vocale.

Les données sensibles révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ou concernent la santé, y compris les données génétiques (article 1).

Un traitement suppose le consentement indubitable de la personne, sauf exceptions comme l'exécution d'un contrat ou l'intérêt légitime de l'entreprise (article 4). Les données doivent aussi être collectées pour des finalités déterminées et rester adéquates et non excessives au regard de ces finalités (article 3).

Déclaration ou autorisation auprès de la CNDP

Tout traitement de données personnelles fait l'objet d'une déclaration préalable auprès de la CNDP (article 12). La CNDP délivre un récépissé dans les 24 heures, et le traitement peut démarrer dès sa réception (article 19).

Une autorisation préalable est exigée dans plusieurs cas. Trois comptent pour un projet d'IA :

• Les données sensibles, par exemple un outil qui analyse des arrêts maladie.
• L'utilisation de données à d'autres fins que celles de leur collecte. Reprendre votre fichier clients pour entraîner ou alimenter un modèle peut entrer dans ce cas.
• Les données comportant le numéro de carte d'identité nationale, fréquentes dans les dossiers clients et RH.

La déclaration indique notamment les finalités, les données, les destinataires, la durée de conservation et les transferts envisagés vers l'étranger (article 15). Si la CNDP estime qu'un traitement déclaré présente des dangers manifestes pour la vie privée, elle peut le soumettre à autorisation (article 20).

Outils d'IA hébergés à l'étranger

La plupart des grands outils d'IA générative sont hébergés hors du Maroc. Y coller des données personnelles revient à les envoyer à l'étranger.

La loi n'autorise un transfert que vers un État assurant un niveau de protection suffisant de la vie privée et des libertés (article 43). La CNDP établit la liste des États qui répondent à ces critères. Pour un État hors liste, l'article 44 prévoit des exceptions, dont :

• le consentement exprès des personnes concernées ;
• la nécessité du transfert pour exécuter un contrat avec la personne ;
• une autorisation expresse et motivée de la CNDP, lorsque des clauses contractuelles ou des règles internes garantissent une protection suffisante.

Le site de la CNDP propose une démarche pour notifier une demande de transfert à l'étranger.

IA en ressources humaines : les décisions automatisées

Tri de CV, scoring de candidats : l'article 11 pose une limite nette. Aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé destiné à définir son profil ou à évaluer certains aspects de sa personnalité.

En pratique, l'outil peut proposer un classement. Un recruteur relit et décide. La personne concernée a aussi le droit de connaître la logique qui sous-tend un traitement automatisé de ses données (article 7).

Prestataires et sécurité des données

L'éditeur d'un outil d'IA qui traite des données pour votre compte est un sous-traitant au sens de la loi. Vous devez choisir un sous-traitant qui apporte des garanties suffisantes de sécurité, et un contrat doit prévoir qu'il agit sur vos seules instructions (article 23).

Un compte gratuit personnel ouvert par un salarié échappe à ce contrôle. Les offres entreprise comportent en général des engagements sur l'usage des données : lisez-les avec votre DSI.

Les sanctions prévues par la loi 09-08

Le chapitre VII de la loi prévoit des sanctions pénales. Quelques exemples :

• mettre en œuvre un traitement sans la déclaration ou l'autorisation exigée : amende de 10 000 à 100 000 DH (article 52) ;
• traiter des données sans les mesures de sécurité prévues : trois mois à un an d'emprisonnement et 20 000 à 200 000 DH d'amende, ou l'une des deux peines (article 58) ;
• transférer des données vers un État étranger en violation des articles 43 et 44 : mêmes peines (article 60) ;
• traiter des données sensibles sans le consentement exprès des personnes : six mois à deux ans d'emprisonnement et 50 000 à 300 000 DH d'amende, ou l'une des deux peines (article 57).

Quand l'auteur est une personne morale, les amendes sont portées au double (article 64). Elles doublent aussi en cas de récidive (article 65).

Mettre vos usages de l'IA en conformité, étape par étape

1. Recenser les usages réels

Demandez aux équipes quels outils elles utilisent, et avec quelles données.

2. Classer les données

Tâches sans donnée personnelle, avec données ordinaires, avec données sensibles ou numéro de CIN.

3. Valider les outils avec la DSI

Comptes entreprise, hébergement, usage des données, contrat de sous-traitance.

4. Faire les formalités

Mettez à jour vos déclarations auprès de la CNDP, demandez les autorisations nécessaires, y compris pour les transferts.

5. Écrire une charte d'usage

Une ou deux pages. Trois règles de base :

• ne jamais coller de nom, numéro de téléphone, CIN, salaire ou donnée de santé dans un outil non validé ;
• remplacer les éléments identifiants par « Client A » ou « Salarié B » ;
• relire et vérifier tout texte produit par l'IA avant de l'envoyer.

6. Former les équipes

Une charte que personne ne connaît ne protège rien. Voyez les usages de ChatGPT par métier et notre méthode pour former ses équipes à l'IA. Pour l'Afrique de l'Ouest, voyez les règles équivalentes en Côte d'Ivoire.

Chez ANA Studio, la méthode suit quatre temps : une conférence d'ouverture, un diagnostic des usages avec OrgScan, des ateliers pratiques par métier jusqu'à 35 personnes, puis un suivi sur WhatsApp avec ANA Companion. Chez Bamotors Maroc, la formation IA en cours a commencé par le comité de direction, puis se poursuit avec 6 groupes de 35 personnes dans plusieurs villes. Le détail est sur notre page formation IA à Casablanca.

Questions fréquentes