Par Mhamed Bouamar, Fondateur de KamaWeb — Publié le 13 juillet 2026 — Temps de lecture : 11 minutes
En résumé
Au Maroc, utiliser ChatGPT, Copilot ou Gemini en entreprise revient à transférer des données vers l’étranger — un acte encadré par la loi 09-08 et contrôlé par la CNDP. Cinq points à retenir : (1) saisir le nom, l’email ou le salaire d’une personne dans une IA est un traitement de données personnelles soumis à la loi ; (2) ces outils stockent les données sur des serveurs aux États-Unis, pays jugé non adéquat par la CNDP, ce qui rend obligatoire une autorisation préalable de transfert (formulaire F118) ; (3) les versions gratuites (ChatGPT Free/Plus) entraînent leurs modèles sur vos données et sont non conformes — seules les versions Enterprise/Team offrent les garanties contractuelles requises ; (4) les sanctions vont de 300 000 MAD à 1 200 000 MAD, avec peines de prison pour transfert illicite (art. 60) ; (5) avant tout déploiement, un dirigeant doit cartographier ses traitements, déclarer à la CNDP, anonymiser, rédiger une charte IA et former ses équipes.
Vous avez probablement déjà des collaborateurs qui collent des contrats clients, des fichiers RH ou des emails dans ChatGPT pour gagner du temps. C’est efficace, c’est silencieux — et c’est exactement là que se cache le risque. Ce phénomène, appelé « shadow IA », expose votre entreprise à une fuite de données et à une violation de la loi sans que vous l’ayez jamais autorisée.
La bonne nouvelle : l’IA générative n’est pas interdite au Maroc, loin de là. Elle est simplement encadrée. Cet article vous explique, sans jargon juridique inutile, ce que vous devez savoir et surtout faire avant de généraliser l’usage de l’IA dans votre PME.
1. La loi 09-08 et l’IA : pourquoi ça vous concerne directement
La loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel est le texte de référence au Maroc depuis 2009. Son champ d’application est très large, et c’est précisément ce que beaucoup de dirigeants sous-estiment.
Une donnée à caractère personnel, au sens de la loi 09-08, c’est tout élément qui permet d’identifier une personne physique, directement ou indirectement : un nom, un email, un numéro de téléphone, un RIB, un matricule salarié, une adresse, un numéro de CIN. Dès qu’une de ces informations entre dans un outil d’IA, vous réalisez un traitement de données personnelles régi par la loi.
La CNDP a tranché : l’IA n’est pas une zone de non-droit
La CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) a clarifié sa doctrine dans une communication du 18 mars 2025 : la loi 09-08 s’applique pleinement aux traitements réalisés par une intelligence artificielle. Les principes cardinaux restent les mêmes que pour n’importe quel traitement : transparence (informer les personnes), loyauté, proportionnalité, sécurité et respect de la finalité. Concrètement, vous ne pouvez pas réutiliser une base de données constituée pour un objectif A afin d’entraîner ou d’alimenter une IA pour un objectif B sans consentement spécifique.
Le 11 septembre 2025, la CNDP et le ministère de la Transition numérique ont signé une convention pour développer un cadre national d’IA souveraine, dans le but de réduire la dépendance aux solutions étrangères et de garantir la conformité locale. C’est un signal clair : la souveraineté des données est devenue une priorité réglementaire au Maroc.
Qui est concerné ?
Toute entreprise marocaine qui utilise un outil d’IA externe traitant des données de salariés, de clients ou de partenaires. Que vous soyez une TPE de e-commerce à Casablanca, un cabinet comptable à Rabat ou une PME industrielle à Tanger : si vos équipes utilisent ChatGPT avec de vraies données, vous êtes dans le champ de la loi 09-08.
Ce sujet est d’autant plus concret que des outils comme WhatsApp Business couplé à l’IA permettent déjà d’automatiser des interactions clients — et chaque automatisation qui traite des données personnelles tombe sous ce même régime. C’est exactement le cas d’un agent IA WhatsApp Business pour le service client ou des voicebots IA dans les centres d’appels, deux usages qui déclenchent le transfert transfrontalier et l’obligation F118.
2. ChatGPT = un transfert de données hors du Maroc : la CNDP l’a tranché
C’est le point le plus mal compris — et le plus risqué. Utiliser ChatGPT ne se résume pas à « traiter des données » : cela revient à les envoyer hors du territoire marocain.
2.1 Pourquoi l’utilisation de ChatGPT constitue juridiquement un transfert transfrontalier
Les articles 43 et 44 de la loi 09-08 définissent le transfert international de données : tout flux de données personnelles vers un pays tiers. Or, lorsque vous saisissez un prompt dans ChatGPT, ces données partent vers les serveurs d’OpenAI situés aux États-Unis. La même logique s’applique à Copilot (Microsoft) et Gemini (Google).
Le problème est le suivant : les États-Unis ne figurent pas sur la liste des pays présentant un niveau de protection adéquat reconnu par la CNDP. Quand le pays de destination n’est pas « adéquat », la loi exige une autorisation préalable avant tout transfert. Vous ne pouvez pas vous contenter d’une simple déclaration.
2.2 L’autorisation préalable : le formulaire F118
Voici la mécanique concrète, en deux temps :
- Déclarer le traitement de base auprès de la CNDP (le traitement RH, clients, etc., qui alimente l’IA).
- Déposer le formulaire F118, qui est la demande d’autorisation de transfert international de données.
Le délai d’instruction est de 2 mois, prorogeable à 4 mois. Point essentiel à connaître : le silence de la CNDP vaut refus. Autrement dit, si vous n’obtenez pas de réponse positive, vous n’êtes pas autorisé à transférer. Cette même procédure F118 s’applique à tout outil d’IA SaaS étranger : Copilot, Gemini, Claude en version standard, et les autres.
Le formulaire F118 et les modèles officiels sont disponibles sur le site de la CNDP : cndp.ma.
3. Les sanctions : ce que risque votre entreprise concrètement
Beaucoup de dirigeants pensent que la non-conformité est un risque « théorique ». Les montants prévus par la loi 09-08 montrent le contraire.
- Article 57 (personne physique) : amende pouvant atteindre 300 000 MAD.
- Article 64 (personne morale) : amende pouvant atteindre 600 000 MAD.
- Article 65 (récidive) : amende pouvant atteindre 1 200 000 MAD.
- Article 60 (transfert illicite sans autorisation CNDP) : pour tout transfert vers un pays non adéquat (ex : États-Unis) sans autorisation préalable, 3 mois à 1 an d’emprisonnement et 20 000 à 200 000 DH d’amende, montant doublé pour une personne morale.
- Injonction de cesser immédiatement l’usage de l’outil — ce qui peut paralyser un processus métier devenu critique.
Au-delà des chiffres, retenez ceci : le transfert de données sans autorisation engage la responsabilité pénale du dirigeant, pas seulement celle de l’entreprise.
Un régulateur de plus en plus actif
La CNDP n’est pas restée passive. Le 28 novembre 2025, elle a publié deux délibérations importantes : la D-939 (encadrant les cookies) et la D-940 (encadrant les newsletters), sous forme de modèles de déclaration simplifiée. C’est le signe d’un activisme réglementaire croissant : la CNDP industrialise ses procédures et clarifie ses attentes. Mieux vaut anticiper que subir un contrôle.
4. Versions gratuites vs versions Enterprise : la différence qui change tout
C’est sans doute le levier le plus simple à actionner immédiatement. La distinction entre une version grand public et une version professionnelle d’un outil d’IA est fondamentale sur le plan juridique.
Les versions gratuites ou grand public — ChatGPT Free, ChatGPT Plus, Claude Pro à titre individuel — utilisent par défaut vos données pour entraîner les modèles. C’est une violation potentielle de la loi 09-08, car vos données échappent à votre contrôle et servent une finalité que vous n’avez jamais consentie.
À l’inverse, les versions Enterprise/Team offrent un engagement contractuel de non-utilisation des données pour l’entraînement : ChatGPT Enterprise/Team, Claude Enterprise/Team (offre commerciale d’Anthropic), et Microsoft Copilot avec Enterprise Data Protection (EDP). Selon la documentation officielle de ces éditeurs consultée en juin 2026, les prompts, fichiers importés et réponses ne sont jamais utilisés pour entraîner les modèles de base.
| Critère | Version grand public (Free/Plus) | Version Enterprise / Team |
|---|---|---|
| Entraînement sur vos données | Oui, par défaut | Non (garantie contractuelle) |
| Confidentialité des prompts | Faible | Élevée |
| Localisation des données | Serveurs étrangers (USA) | Serveurs étrangers, mais encadré contractuellement |
| Garanties pour la loi 09-08 | Insuffisantes | Base de conformité (avec F118) |
Attention : souscrire une version Enterprise ne vous dispense pas du formulaire F118. Les données partent toujours à l’étranger. La version Enterprise règle la question de l’entraînement, mais le transfert transfrontalier reste à autoriser.
5. Checklist conformité avant de déployer l’IA en entreprise
Voici, dans l’ordre, ce qu’un dirigeant doit valider avant d’autoriser ses équipes à utiliser l’IA.
5.1 Cartographier les traitements (registre)
Commencez par savoir ce qui se passe réellement. Identifiez quels départements utilisent l’IA (marketing, RH, support, juridique), pour quels types de données (clients, salariés, finances), et où ces données transitent. Ce registre des traitements est la pierre angulaire de toute démarche de conformité — sans lui, vous pilotez à l’aveugle.
5.2 Déclarer à la CNDP et obtenir l’autorisation F118
Deux étapes concrètes : déclarez d’abord le traitement de base auprès de la CNDP, puis déposez le formulaire F118 pour autoriser le transfert vers les serveurs étrangers de votre fournisseur d’IA. Anticipez le délai de 2 à 4 mois et n’oubliez pas que le silence vaut refus.
5.3 Anonymiser systématiquement les données avant tout prompt
La règle d’or : zéro donnée identifiante dans les prompts. Interdisez formellement l’insertion de noms réels, emails, numéros de téléphone, RIB, salaires ou données de santé. Formez vos équipes à « nettoyer » un document avant de le soumettre à l’IA — remplacer « M. Karim Alaoui, salaire 18 000 DH » par « Salarié A, salaire X » suffit souvent à neutraliser le risque. C’est la pseudonymisation : un réflexe simple, à coût nul, qui protège énormément.
5.4 Rédiger une charte IA interne
Formalisez un document signé par chaque collaborateur qui précise :
- La liste blanche des outils autorisés (par exemple : ChatGPT Enterprise uniquement).
- Les types de données interdites (RH, clients, contrats, codes sources).
- L’obligation de supervision humaine : jamais de décision automatisée (recrutement, scoring de crédit) sans validation humaine. Toute décision automatisée affectant une personne doit rester explicable et contestable.
- La responsabilité de chaque collaborateur en cas de fuite.
5.5 Former les équipes (lutte contre le « shadow IA »)
La meilleure charte du monde ne sert à rien si personne ne la comprend. Sensibilisez vos équipes aux risques de fuite et au principe de finalité. Et un avertissement essentiel : si vous traitez des données sensibles (biométrie, santé, données judiciaires), une Analyse d’Impact relative à la Protection des Données (AIPD) est vivement recommandée avant toute mise en œuvre. En cas de doute sérieux, la meilleure pratique reste la non-utilisation de l’IA pour ce traitement précis.
6. Alternatives conformes : héberger l’IA au Maroc
Et si vous vous épargniez purement et simplement la question du transfert ? C’est possible.
L’option la plus robuste est l’IA « on-premise » ou en cloud souverain : utiliser des modèles open-source (comme Llama ou Mistral) hébergés sur des serveurs physiquement situés au Maroc. Dans ce scénario, aucune donnée ne quitte le territoire : le formulaire F118 n’est plus nécessaire. En revanche, vous devez toujours déclarer le traitement à la CNDP via le formulaire F211 (déclaration normale) ou F112 (si données sensibles, profilage ou scoring). L’hébergement local supprime uniquement le risque de transfert transfrontalier — il ne dispense pas de l’obligation déclarative. C’est la voie qui s’aligne le mieux avec le cap de l’IA souveraine porté par la CNDP et le ministère de la Transition numérique.
Pour les aspects techniques de l’hébergement local, notre guide sur l’hébergement web et cloud au Maroc aborde les critères de choix d’une infrastructure marocaine conforme.
Entre les deux options, il existe une solution intermédiaire pour les outils SaaS incontournables : mettre en place des clauses contractuelles types approuvées pour encadrer le transfert, en complément de l’autorisation F118.
Chez KamaWeb, nous aidons les PME marocaines à choisir entre ces options en fonction de leur budget et de la sensibilité de leurs données — parce qu’une TPE e-commerce et un cabinet de santé n’ont pas les mêmes contraintes.
FAQ
Faut-il demander une autorisation à la CNDP avant d’utiliser ChatGPT en entreprise au Maroc ?
Oui, dès que des données personnelles sont concernées. Vous devez d’abord déclarer le traitement de base, puis obtenir une autorisation de transfert via le formulaire F118, car ChatGPT envoie les données vers des serveurs aux États-Unis, un pays jugé non adéquat par la CNDP. Le délai d’instruction est de 2 mois, prorogeable à 4, et le silence vaut refus.
La version gratuite de ChatGPT est-elle légale pour un usage professionnel au Maroc ?
Non, pas pour traiter des données réelles. Les versions Free et Plus utilisent par défaut vos données pour entraîner les modèles d’OpenAI, ce qui constitue une violation potentielle de la loi 09-08. Pour un usage professionnel conforme, seules les versions Enterprise/Team conviennent — et encore, accompagnées de l’autorisation F118.
Quelles données ne doit-on jamais saisir dans un outil d’IA génératif ?
Aucune donnée identifiante ou sensible. Cela inclut les noms, emails, numéros de téléphone, CIN, RIB, salaires, données de santé, contrats clients et codes sources propriétaires. La bonne pratique est d’anonymiser ou pseudonymiser systématiquement tout document avant de le soumettre à l’IA.
Quelles sont les amendes prévues par la loi 09-08 en cas de transfert de données non autorisé ?
Les amendes vont de 300 000 MAD (personne physique, art. 57) à 600 000 MAD (personne morale, art. 64), et jusqu’à 1 200 000 MAD en cas de récidive (art. 65). Le transfert illicite sans autorisation expose en outre, en vertu de l’article 60, à 3 mois à 1 an de prison et 20 000 à 200 000 DH d’amende, doublée pour une personne morale.
Comment une PME marocaine peut-elle utiliser l’IA en restant conforme sans se ruiner en procédures ?
En combinant trois réflexes peu coûteux : anonymiser systématiquement les prompts (coût nul), adopter une version Enterprise d’un seul outil plutôt que multiplier les abonnements, et rédiger une charte IA interne signée. Pour aller plus loin, envisagez un modèle open-source hébergé au Maroc, qui évite la procédure F118 — tout en conservant l’obligation de déclaration CNDP (formulaire F211 ou F112 selon le type de traitement).
Qu’est-ce que le formulaire F118 de la CNDP et comment le soumettre ?
Le F118 est la demande d’autorisation de transfert international de données prévue par la loi 09-08. Il se soumet auprès de la CNDP après avoir déclaré le traitement de base. Le formulaire officiel et la procédure sont disponibles sur cndp.ma. Comptez un délai d’instruction de 2 à 4 mois.
Passez à l’action : KamaWeb sécurise votre déploiement IA
Chez KamaWeb, nous transformons l’IA d’un risque juridique en un avantage compétitif maîtrisé : choix des bons outils, cartographie de vos traitements, accompagnement sur la déclaration CNDP et le formulaire F118, rédaction de votre charte IA et formation de vos équipes. Notre équipe basée à Casablanca a déjà accompagné plus de 100 projets clients.
👉 Découvrez nos métiers ou contactez-nous pour échanger sur votre projet.