Avant de brancher un assistant IA sur vos données, la loi 09-08 vous impose quatre choses : une finalité précise appuyée sur une base légale de l'article 4, une formalité auprès de la CNDP (déclaration ou autorisation selon les données), un cadre pour le transfert si le modèle ou ses journaux sont hébergés hors du Maroc, et un contrat qui oblige le fournisseur à n'agir que sur vos instructions. Le reste en découle, en particulier la durée de conservation des prompts, puisque la déclaration doit la préciser (article 15).
Aucun texte propre à l'IA ne complète encore cette loi. Dans un communiqué du 18 mars 2025, la CNDP a écrit que les traitements d'IA utilisant des données personnelles « sont encadrés par la loi 09-08 », puis elle a programmé des auditions de juin à décembre 2025 en vue d'une délibération. Cela dit, au 1er novembre 2026, cette délibération figure encore parmi les « délibérations en cours » de son site, et aucune ligne directrice sur l'IA n'a été publiée. Ce guide ne remplace pas l'avis de votre juriste.
Votre fournisseur d'IA vous a-t-il remis son annexe sur les données ?
Demandez l'annexe de son contrat consacrée au traitement des données, souvent appelée DPA (data processing agreement), avec la liste de ses sous-traitants. Cette annexe dit dans quel pays les requêtes et les journaux sont traités, combien de temps ils sont gardés, s'ils servent à entraîner un modèle et si le fournisseur n'agit que sur vos instructions, comme l'exige l'article 23. L'obtenir peut prendre quelques jours, alors que ces quatre points se lisent vite.
Que risquez-vous à lancer l'assistant avant ces vérifications ?
La première perte se compte en semaines. Une déclaration produit un récépissé sous 24 heures (article 19), mais la CNDP peut, dans les huit jours, soumettre le traitement à autorisation (article 20). Pour une autorisation ou un transfert, elle annonce une réponse sous deux mois, prorogeables une fois. Un assistant terminé avant le dépôt attend donc sans servir.
La CNDP peut aussi interdire un traitement (article 30). La loi punit le traitement sans déclaration ni autorisation d'une amende de 10 000 à 100 000 DH (article 52) et le transfert irrégulier de trois mois à un an d'emprisonnement et de 20 000 à 200 000 DH d'amende, ou de l'une des deux peines (article 60), amendes doublées pour une personne morale (article 64). Or, pour un assistant ouvert à vos clients, une interdiction revient à couper le service.
La loi 09-08 s'applique-t-elle vraiment à un assistant IA ?
Oui, dès qu'il touche une donnée personnelle. L'article premier vise toute information concernant une personne identifiable, et tout traitement, consultation, extraction et conservation comprises. Ainsi, le message d'un client collé dans un prompt, l'extrait de contrat retrouvé par le moteur et le journal de la conversation sont trois traitements au sens de la loi.
Le président de la CNDP, Omar Seghrouchni, le résume dans TelQuel en décembre 2025 : pour les données personnelles, « l'IA est un traitement parmi d'autres ». Dès 2018, le secrétaire général de la CNDP évoquait une révision rapprochant la loi du RGPD, mais nous n'avons trouvé aucun texte de remplacement adopté au 1er novembre 2026.
Quelles sont les douze vérifications avant le lancement ?
Le tableau se lit en réunion avec la DSI, le métier et votre juriste, et une ligne n'est fermée qu'une fois sa preuve rangée au dossier.
| Vérification | Ancrage légal | Question à trancher | Preuve à garder |
|---|---|---|---|
| 1. Finalité et base légale | Art. 3-1 b), art. 4 | Que fait l'assistant, pour qui, et sur quel fondement de l'article 4 ? | Fiche de finalité signée par le métier |
| 2. Réutilisation de données | Art. 12-1 b) | Chaque source sert-elle la finalité pour laquelle ses données ont été collectées ? | Tableau source, finalité d'origine, récépissé |
| 3. Données qui atteignent le modèle | Art. 1, 3-1 c), 12-1 a) et e) | Quelles données entrent dans les prompts, les documents retrouvés et les journaux (données sensibles, CIN) ? | Inventaire par flux, règles de masquage |
| 4. Formalité CNDP | Art. 12 à 15, 19 et 20 | Déclaration, autorisation, ou modification d'une déclaration existante ? | Récépissé ou autorisation |
| 5. Transfert hors du Maroc | Art. 43, 44, délibération n° 236-2015 | Où tournent le modèle, l'index et les journaux, et ce pays est-il sur la liste de la CNDP ? | Formulaire F118 et réponse de la CNDP |
| 6. Information des personnes | Art. 5 | Salariés et clients savent-ils ce que l'assistant fait de leurs données, et sous quel récépissé ? | Mention, note interne, bandeau |
| 7. Droits des personnes | Art. 7, 8 et 9 | Pouvez-vous extraire, corriger ou effacer ce que l'assistant garde sur une personne ? | Procédure testée sur un cas fictif |
| 8. Conservation | Art. 3-1 e), 15 f) | Combien de temps vous et le fournisseur gardez-vous prompts, index et journaux ? | Tableau des durées, preuve de purge |
| 9. Sécurité | Art. 23 (et 24 pour les données sensibles) | Qui accède à la console et aux journaux, et ces accès sont-ils tracés ? | Note de sécurité, résultats de tests |
| 10. Contrat fournisseur | Art. 23-2 à 23-4, 25 | Le fournisseur agit-il sur vos seules instructions, sans réutiliser vos données ni sous-traiter sans accord ? | Clauses signées, liste des sous-traitants |
| 11. Habilitations | Art. 23-1, 25 et 61 | Un utilisateur voit-il dans l'assistant plus que dans le système d'origine ? | Tests par profil |
| 12. Contrôle humain | Art. 11, 7 c) | L'assistant décide-t-il seul d'une mesure qui produit des effets juridiques pour une personne ? | Circuit et journal de validation |
Un audit gratuit de votre projet d'assistant passe ces douze lignes en revue avec votre équipe avant le dépôt ; nos pages transformation IA et gouvernance IA décrivent notre façon de travailler.
Les lignes 1 à 3 se tranchent en premier, parce qu'elles déterminent la formalité et le transfert, les deux démarches aux délais les plus longs. Le registre national de la CNDP affiche les récépissés de votre société. Notre comparatif déclaration ou autorisation CNDP aide à trancher la ligne 4, et notre article sur les habilitations d'un assistant IA développe la ligne 11.
Pourquoi le transfert hors du Maroc demande-t-il le plus d'anticipation ?
Dès que le modèle, son index ou ses journaux sont hébergés hors du Maroc, l'article 43 limite le transfert aux États qui assurent un niveau de protection suffisant. La liste de la CNDP (délibération n° 236-2015) en compte trente-deux, soit vingt-six États de l'Union européenne (la Croatie n'y figure pas), le Royaume-Uni, la Suisse, la Norvège, l'Islande, le Liechtenstein et le Canada. Les États-Unis n'y sont pas, si bien qu'un modèle hébergé là-bas relève des exceptions de l'article 44. Même vers un pays de la liste, la délibération exige en outre que tout transfert soit notifié à la CNDP.
Parmi ces exceptions, l'article 44 admet le consentement exprès de la personne ou une autorisation motivée de la CNDP fondée sur des clauses contractuelles. Le consentement de chaque client cité étant rarement praticable, la voie réaliste passe en général par l'autorisation, donc par des clauses signées avec le fournisseur. Enfin, la CNDP n'accorde le transfert que si le traitement sous-jacent est déjà déclaré ou autorisé.
Les prompts et les journaux sont-ils des données personnelles ?
Ils le sont dès qu'ils permettent d'identifier quelqu'un, ce qui est presque inévitable puisqu'un journal utile garde l'auteur, la question et la réponse. Or l'article 3 limite la conservation à la durée nécessaire à la finalité, l'article 15 impose de la déclarer et l'article 55 punit son dépassement.
La personne citée dans un journal garde aussi ses droits : accès sans délai et gratuit (article 7), rectification ou effacement des données traitées de façon non conforme dans un délai franc de dix jours (article 8). Avec des journaux qui ne se cherchent que par date, ces délais sont intenables. Prévoyez donc une recherche par personne et une durée par type de journal, alignée chez le fournisseur.
Peut-on brancher l'assistant sur des données collectées pour autre chose ?
La question est facile à manquer, parce que rien ne la signale dans l'architecture. L'article 12 soumet à autorisation préalable « l'utilisation de données à caractère personnel à d'autres fins que celles pour lesquelles elles ont été collectées ». Ainsi, les données de consommation d'un fichier déclaré pour la facturation changent de finalité si l'assistant s'en sert pour proposer des offres commerciales aux abonnés. Le même article vise les données sensibles et le numéro de CIN, fréquents dans les pièces jointes.
Deux voies restent ouvertes : restreindre l'assistant aux usages déjà déclarés en masquant CIN et données sensibles avant le modèle, ou assumer la nouvelle finalité et demander l'autorisation. Comme cette frontière se tranche au cas par cas, faites valider ce choix par votre juriste.
Qui doit valider quand l'assistant touche une décision sur une personne ?
Un humain identifié, et l'article 11 dit pourquoi. Aucune décision produisant des effets juridiques à l'égard d'une personne ne peut reposer sur le seul traitement automatisé destiné à définir son profil ou à évaluer certains aspects de sa personnalité. La loi exclut deux cas : la décision prise pour conclure ou exécuter un contrat lorsque la personne a pu présenter ses observations, et celle qui satisfait sa propre demande. Nous recommandons dès lors de garder l'assistant au rang de proposition, de journaliser chaque validation avec son auteur et de pouvoir expliquer la logique du traitement, que l'article 7 permet à la personne de connaître.
Que perd un opérateur qui dépose son dossier après la réalisation ?
Ce cas sert d'illustration, avec un opérateur télécom fictif et des valeurs hypothétiques. L'opérateur ouvre à 120 conseillers de son service client un assistant qui retrouve une clause d'abonnement ou explique une ligne de facture à partir des contrats et de la facturation, sur un modèle hébergé en Irlande.
L'équipe relit 500 dossiers d'abonnés tirés au hasard et trouve un numéro de CIN dans 470 d'entre eux, soit 94 %. Elle les masque avant tout envoi au modèle, avec l'accord de son juriste. L'Irlande figure sur la liste de la CNDP, mais le transfert doit être notifié, si bien que le formulaire F118 part avec la déclaration.
La réalisation dure huit semaines, et l'équipe retient le délai annoncé de deux mois (environ neuf semaines), hors prorogation. Déposé en semaine 1, le dossier obtient sa réponse vers la semaine 10, deux semaines après la fin des travaux. Déposé en semaine 8, il l'obtient vers la semaine 17. L'ordre des tâches ajoute ainsi sept semaines d'attente à un outil déjà prêt. En cas de prorogation, les deux dates reculent d'autant, et l'écart de sept semaines demeure.
Côté conservation, l'équipe garde trois mois de conversations complètes, le temps de régler une réclamation sur facture, puis douze mois d'un journal réduit (qui, quand, quelles sources) classé par numéro de contrat pour répondre aux demandes d'accès. Elle déclare ces deux durées.
FAQ
- Nos équipes utilisent déjà ChatGPT avec des données clients, que faire ?
Considérez-le comme un traitement qui existe déjà sans cadre, et commencez par recenser les usages. Arrêtez ensuite la copie de données personnelles vers des comptes individuels et proposez un outil sous contrat d'entreprise, à la conservation réglée et à l'hébergement connu, puis déposez la formalité. L'outil de remplacement compte autant que l'arrêt, car une interdiction seule tient rarement.
- Faut-il nommer un DPO avant de lancer un assistant IA ?
La loi 09-08 ne prévoit pas d'obligation générale de désigner un DPO, et nous n'avons trouvé aucun texte de la CNDP qui en impose un pour l'IA. Quelqu'un doit pourtant porter le dossier, car la déclaration désigne le service où les personnes exercent leurs droits (article 15). Un juriste interne peut s'en charger.
- Un modèle installé sur nos serveurs au Maroc nous dispense-t-il de la CNDP ?
Il vous dispense du transfert si rien ne quitte le territoire, journaux, sauvegardes et télémaintenance du fournisseur compris. La formalité, l'information des personnes, le respect de leurs droits et les durées de conservation s'appliquent quand même, car la loi vise le traitement, où qu'il tourne.
- La délibération de la CNDP sur l'IA va-t-elle changer ces règles ?
Personne ne peut le dire avant sa publication. Les thèmes rapportés par la presse (documentation technique, analyse d'impact, contrôle humain) recoupent toutefois ce tableau, et un dossier tenu avec ses preuves n'aura qu'à être complété.
Sources
- Loi n° 09-08, texte officiel (PDF)
- CNDP, communiqué « IA et protection des données à caractère personnel », 18 mars 2025 (PDF)
- Délibération n° 236-2015 de la CNDP, liste des États (PDF)
- CNDP, transfert à l'étranger, déclaration et autorisation préalable
- CNDP, IA et protection des données et délibérations en cours
- TelQuel, entretien avec Omar Seghrouchni, décembre 2025
- TelQuel, IA et données, avril 2026
- Finances News Hebdo, entretien avec Lahoussine Aniss, juin 2018
Dernière vérification : 1er novembre 2026.
Au 1er novembre 2026, la CNDP ne fait courir son délai qu'une fois les documents demandés fournis : le calendrier le plus court consiste à déposer un dossier complet dès que l'hébergement est arrêté, avant le premier sprint de réalisation.
