Dans de nombreux cabinets et directions juridiques, l’intelligence artificielle n’est pas arrivée par une décision formelle de la direction. Elle est entrée par les collaborateurs, un outil à la fois : résumer une décision, reformuler une note, traduire un contrat ou préparer une première version de document.
Cette adoption silencieuse pose une question simple : savez-vous ce qui a été partagé, avec quel outil, où les données sont traitées et quelles garanties existent ?
Des usages installés, mais rarement décidés. Un collaborateur fait résumer un jugement. Un autre demande une reformulation d’une note. Un troisième colle un projet de contrat dans un outil grand public pour le traduire.
Aucun ne cherche à créer un risque. Tous cherchent à gagner du temps. Le problème n’est pas l’outil en lui-même : c’est l’absence de visibilité sur ce qui est envoyé, à quel fournisseur, depuis quel compte, vers quel pays et avec quelles garanties.
Le jour où un client pose la question — et cette question apparaît déjà dans certains questionnaires de conformité — il faut pouvoir répondre avec précision.
À la date de publication, il n’existe pas de loi marocaine spécifiquement consacrée à l’intelligence artificielle. Cela ne signifie pas qu’il n’y a aucune règle applicable.
Dès qu’un système traite des données personnelles, la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel s’applique. Selon la nature du traitement, cela peut emporter des formalités auprès de la CNDP, des obligations d’information des personnes concernées et un encadrement spécifique des transferts de données hors du Royaume.
La CNDP a par ailleurs rappelé que les systèmes d’IA ne constituent pas une zone de non-droit. Un projet de cadre législatif est annoncé, mais en attendant, le droit existant s’applique déjà.
Le secret professionnel et la confidentialité. L’usage d’un outil d’IA ne dispense pas un cabinet de ses obligations déontologiques et de sécurité.
Soumettre un dossier confidentiel à un service grand public, surtout depuis un compte personnel, peut créer un risque difficile à maîtriser : méconnaissance du traitement des données, absence de journalisation, transfert hors du Royaume, conservation prolongée ou utilisation des contenus pour améliorer le service.
La question n’est pas d’interdire toute utilisation. C’est de savoir qui peut utiliser quoi, avec quel type de données, selon quelles règles et avec quelles traces.
Cela dépend de sa situation. Un cabinet ou un prestataire marocain peut être directement concerné dans certaines hypothèses, notamment selon le rôle qu’il exerce, le lieu de mise sur le marché ou d’utilisation du système et l’usage dans l’Union européenne des résultats produits.
Dans d’autres cas, les exigences européennes lui sont transmises indirectement, par contrat, par un client ou un groupe européen. Le cabinet n’est alors pas nécessairement assujetti au règlement, mais il est soumis aux obligations contractuelles que son client lui impose.
Il faut donc distinguer deux niveaux : l’applicabilité directe du règlement et les exigences contractuelles transmises par les clients.
Non, ce n’est pas exact de parler d’un report général. Le règlement (UE) 2026/1744, entré en vigueur fin juillet 2026, a modifié certains calendriers d’application.
Les obligations applicables aux systèmes à haut risque classés au titre de l’annexe III sont notamment fixées au 2 décembre 2027, et celles visées à l’annexe I au 2 août 2028. En revanche, d’autres obligations continuent de s’appliquer selon leur calendrier propre, notamment certaines règles de transparence.
Il ne faut donc pas interpréter ces ajustements comme une dispense. C’est une fenêtre pour organiser l’inventaire des outils, qualifier les usages, documenter la gouvernance et préparer la conformité.
Quatre clauses à exiger d’un fournisseur d’IA
Avant de confier des documents professionnels à un fournisseur, quatre points doivent être contractualisés.
- L’usage des contenus : interdire expressément l’utilisation des documents du cabinet ou de ses clients pour entraîner, améliorer ou affiner le modèle, sauf accord spécifique.
- La localisation et les transferts : identifier où les données sont traitées et stockées, quels sous-traitants interviennent et comment les transferts hors du Royaume sont encadrés au regard de la loi n° 09-08.
- La journalisation : prévoir la capacité d’établir qui a soumis quel document, à quelle date, avec quel outil et dans quel cadre. Sans journal exploitable, aucune réponse sérieuse n’est possible face à un client ou à un régulateur.
- La sortie des données : prévoir la récupération des données dans un format exploitable, l’effacement certifié et le sort des historiques de conversation, des copies techniques et des index dérivés.
Le test à faire aujourd’hui
La question à poser n’est pas : « Utilisons-nous l’IA ? » La réponse est presque toujours oui.
La vraie question est : « Si un client nous demande si son dossier a été soumis à un outil d’IA, pouvons-nous répondre, pièces à l’appui ? »
Si la réponse est non, il est temps d’établir une politique d’usage, de cartographier les outils, de définir les données autorisées et de revoir les contrats fournisseurs.
Recevez nos décryptages en avant-première
Neybras Magazine publie des analyses juridiques et financières à destination des décideurs au Maroc et en Afrique francophone.
S'abonner à la newsletter