Données & IA : la loi 09-08, la CNDP et l'IA, sans peur ni jargon

La loi 09-08 du 18 février 2009 protège les personnes physiques à l'égard du traitement de leurs données. Elle est en vigueur et la CNDP en contrôle l'application. Ce guide résume les obligations, les droits et les démarches.

7 min de lecture

La gouvernance de l'IA regroupe les règles, les rôles et les contrôles qui rendent un système d'intelligence artificielle fiable, traçable et responsable sur tout son cycle de vie. Pour une entreprise marocaine, trois cadres comptent : la loi 09-08 dès que l'IA traite des données personnelles, l'AI Act européen dès que ses résultats sont utilisés dans l'Union européenne, et la norme ISO/IEC 42001 pour organiser l'ensemble dans un système de management certifiable.

4 min de lecture

L'AI Act européen s'applique aux centres d'appels et BPO marocains lorsque les résultats de leurs systèmes d'IA sont utilisés dans l'Union européenne, par exemple un chatbot ou un voicebot qui répond à des clients français. Depuis le 2 août 2026, ces systèmes doivent informer les personnes qu'elles échangent avec une IA. Les obligations applicables aux systèmes à haut risque ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744.

6 min de lecture

La loi 09-08 prévoit des sanctions pénales allant de 10 000 à 300 000 DH d'amende selon l'infraction, avec des peines d'emprisonnement de trois mois à un an pour la plupart des manquements. Les amendes sont doublées pour les personnes morales (article 64) et en cas de récidive (article 65). La CNDP peut en outre retirer un récépissé ou une autorisation.

4 min de lecture

Depuis le 2 février 2025, l'article 5(1)(f) de l'AI Act interdit d'utiliser l'IA pour déduire les émotions des personnes sur le lieu de travail, sauf raisons médicales ou de sécurité. En centre d'appels, cela vise l'analyse vocale ou vidéo des émotions des conseillers. L'analyse des émotions des clients n'est pas interdite, mais elle impose une information depuis le 2 août 2026 et sera traitée comme un usage à haut risque à partir du 2 décembre 2027.

7 min de lecture

ISO/IEC 42001:2023 est la première norme internationale certifiable pour un système de management de l'intelligence artificielle. Elle s'applique à toute organisation qui développe, fournit ou utilise l'IA. Elle exige une politique IA, une évaluation des risques et des impacts, une déclaration d'applicabilité et un plan de traitement, appuyés sur 38 mesures de référence réparties en neuf domaines.

4 min de lecture

Depuis le 2 août 2026, l'article 50 de l'AI Act impose que toute personne qui échange avec un chatbot ou un voicebot soit informée qu'elle parle à une IA, au plus tard lors de la première interaction, de façon claire et accessible. Un centre d'appels marocain est concerné lorsque les résultats de ses agents conversationnels sont utilisés dans l'Union : directement s'il est fournisseur de l'outil, et en pratique, comme déployeur, en vérifiant que l'information n'a pas été désactivée. L'exception du caractère « évident » s'interprète de manière restrictive.

7 min de lecture

Le cycle de vie d'un système d'IA va de sa conception à son retrait. La norme ISO/IEC 22989 en propose un modèle générique : conception initiale, conception et développement, vérification et validation, déploiement, exploitation et surveillance, revalidation continue, réévaluation et retrait. ISO/IEC 42001 impose de définir des exigences et des contrôles documentés pour chaque étape.

4 min de lecture

Les données relatives à la santé sont des données sensibles au sens de l'article 1 de la loi 09-08. En principe, leur traitement exige une autorisation préalable de la CNDP. L'article 22 prévoit toutefois une simple déclaration lorsque le traitement sert à la prévention, au diagnostic, aux soins ou à la gestion des services de santé et qu'il est effectué par un professionnel soumis au secret. Dans tous les cas, cliniques, cabinets, laboratoires et plateformes doivent accomplir la bonne formalité, informer les patients et sécuriser strictement l'accès aux dossiers.

5 min de lecture

Depuis le 11 août 2026, la loi française n° 2025-594 interdit d'appeler un consommateur pour le démarcher sans son consentement préalable, sauf dans le cadre d'un contrat en cours ou pour un abonnement de presse. Le décret n° 2026-662 limite la validité du consentement à un an et impose d'en conserver la preuve trois ans. L'interdiction vise aussi les appels passés par un tiers, donc par un centre situé au Maroc.

7 min de lecture

L'article 4 de l'AI Act s'applique depuis le 2 février 2025. Modifié par le règlement (UE) 2026/1744, en vigueur le 27 juillet 2026, il impose aux fournisseurs et déployeurs de prendre des mesures pour soutenir le développement de la littératie en IA de leur personnel, sans niveau à garantir, sans certificat ni responsable désigné. Une entreprise marocaine est concernée dès que les résultats de ses systèmes d'IA sont utilisés dans l'Union.

7 min de lecture

Au sens de l'AI Act, le fournisseur est celui qui développe un système d'IA et le met sur le marché sous son nom (article 3(3)) ; le déployeur est celui qui l'utilise sous sa propre autorité (article 3(4)). Un centre d'appels marocain est le plus souvent déployeur, mais il devient fournisseur s'il développe ou commercialise son propre outil, ou s'il place son nom sur un système à haut risque (article 25).

7 min de lecture

Dans la banque et l'assurance, l'IA intervient dans des décisions aux effets importants : octroi de crédit, tarification, détection de fraude. Au Maroc, l'article 11 de la loi 09-08 limite les décisions fondées sur le seul traitement automatisé. L'AI Act classe à haut risque l'évaluation de la solvabilité des personnes et la tarification de l'assurance vie et santé, avec des obligations applicables à partir du 2 décembre 2027 lorsque le règlement s'applique.

4 min de lecture

L'IA dans le service client présente six risques principaux : réponses inexactes, biais, manque de transparence, fuite de données, absence de relais humain et faiblesse dans les langues locales. Les garde-fous essentiels sont un périmètre limité, des réponses fondées sur une base validée, l'information du client, un relais humain facile, des tests en français, en arabe et en darija, une journalisation et une procédure d'incident.

4 min de lecture

L'IA peut trier, classer, résumer les réclamations et préparer des brouillons de réponse. Les risques principaux sont une réclamation réglementaire mal classée qui échappe aux délais, une réponse qui promet ce que l'entreprise n'a pas décidé, des écarts selon la langue et une fuite de données. Au Maroc, la loi 09-08 et son article 11 s'appliquent ; depuis le 2 août 2026, l'AI Act impose d'informer les clients de l'UE qu'ils échangent avec une IA.

7 min de lecture

La loi 09-08 n'impose pas la désignation d'un délégué à la protection des données (DPO). Une entreprise marocaine peut toutefois y être tenue par le RGPD si elle cible des personnes situées dans l'Union européenne et remplit les critères de l'article 37. Dans tous les cas, désigner un référent chargé de la protection des données est une bonne pratique, et la CNDP a demandé en 2025 une désignation claire des responsables en interne.

4 min de lecture

La loi 09-08 et le RGPD partagent les mêmes principes de base (finalité, proportionnalité, sécurité, droits des personnes), mais diffèrent profondément dans leur logique. La loi marocaine repose sur des formalités préalables auprès de la CNDP et des sanctions pénales. Le RGPD repose sur la responsabilisation des organisations, la documentation interne et des amendes administratives pouvant atteindre 4 % du chiffre d'affaires mondial.

4 min de lecture

Au 25 septembre 2026, le Maroc n'a pas de loi spécifique à l'intelligence artificielle en vigueur. L'IA reste encadrée par les textes existants, en premier lieu la loi 09-08 sur les données personnelles, dont l'article 11 limite les décisions automatisées. Un projet de loi-cadre numérique, Digital X.0, est en préparation, et la feuille de route Maroc IA 2030 a été présentée en janvier 2026.

4 min de lecture

Depuis le 11 août 2026, le professionnel pour le compte duquel un centre d'appels démarche des consommateurs en France doit pouvoir prouver un consentement préalable donné par un acte positif, nommant la marque et l'objet de l'appel, datant de moins d'un an ; en pratique, il exige du centre cette preuve pour chaque numéro. Le décret n° 2026-662 impose de conserver cette preuve au moins trois ans et de la mettre à disposition du consommateur. Sans preuve, le professionnel ne peut pas démontrer la licéité de l'appel, puisque la charge de la preuve pèse sur lui.

7 min de lecture

Un formulaire collecte souvent trop de données et informe mal. Concevoir la protection dès le départ coûte moins cher que de corriger ensuite. Ce guide applique la loi 09-08 aux formulaires et aux outils de rendez-vous.

6 min de lecture

Les banques et les assureurs traitent parmi les données les plus sensibles : identité, revenus, transactions, santé pour l'assurance. La loi 09-08 s'y applique pleinement, en plus du secret professionnel et des obligations de connaissance client. Les points de vigilance sont les données de santé, soumises en principe à autorisation, les transferts vers le cloud, la prospection commerciale, les décisions automatisées et le partage de données entre banque et assureur.

4 min de lecture

Un centre marocain qui traite des données pour un client européen agit le plus souvent comme sous-traitant au sens du RGPD. Faute de décision d'adéquation pour le Maroc, le transfert repose sur les clauses contractuelles types de 2021 (module 2 si le client est responsable du traitement, module 3 s'il est lui-même sous-traitant), complétées par une analyse d'impact des transferts en six étapes. La loi 09-08 continue de s'appliquer au traitement réalisé au Maroc.

7 min de lecture

Au Maroc, un transfert de données personnelles vers l'étranger n'est permis que vers un pays figurant sur la liste des États assurant une protection adéquate (délibération CNDP n° 236-2015), ou dans l'un des cas d'exception de l'article 44 de la loi 09-08. En dehors de ces cas, le transfert exige une autorisation de la CNDP, demandée au moyen du formulaire F118.

5 min de lecture

Un cabinet assujetti à la loi 43-05 doit identifier ses clients ; la loi 09-08 lui impose de le faire sans excès. La base du traitement est l'obligation légale (article 4 de la loi 09-08), le client doit être informé (article 5) et le traitement du numéro de CIN exige une autorisation préalable de la CNDP (article 12). On collecte ce que la loi exige, on le conserve dix ans, puis on le supprime.

7 min de lecture

Évaluer un système d'IA suppose de distinguer trois exercices : l'audit du système de management (ISO/IEC 42001, certifié par des organismes accrédités selon ISO/IEC 42006), l'évaluation technique du modèle (biais, robustesse, exactitude, avec ISO/IEC TR 24027 et TS 12791) et l'étude d'impact sur les personnes (ISO/IEC 42005). Pour les systèmes à haut risque de l'annexe III, les exigences de l'AI Act s'appliqueront à partir du 2 décembre 2027.

8 min de lecture