La construction d’un droit de l’IA au Maroc.

Alors que l’Union européenne applique déjà les premières obligations de son AI Act et que la France transpose ses propres textes sectoriels, le Maroc a fait le choix de construire patiemment son propre cadre, texte après texte et institution après institution, plutôt que de légiférer dans la précipitation. Cette architecture normative est appelée à encadrer demain une technologie déjà à l’œuvre dans ses banques, son administration et ses entreprises.

«  Légiférer sur l’intelligence artificielle : c’est lancer un chantier déjà ouvert et existant  ».

Entre le droit commun actuel mobilisé et le futur cadre - loi-cadre «  Digital X.0  », future Direction générale de l’intelligence artificielle et rayonnement international croissant -, l’avocat d’affaires doit apprendre à conseiller ses clients sur un droit en construction plutôt que sur un droit stabilisé. Décryptage d’un chantier normatif et des recommandations qu’il appelle dès aujourd’hui.

Le marché marocain de la technologie n’est plus en phase d’observation. L’intégration de l’intelligence artificielle dans l’offshoring, la multiplication des outils d’automatisation bancaire et administrative et le lancement, en janvier 2026, de la feuille de route «  Maroc IA 2030  » redéfinissent la gestion du risque en entreprise. Cette feuille de route prolonge une stratégie plus ancienne : « Maroc Digital », amorcée par un discours royal de Sa Majesté Mohammed VI devant le Parlement en 2016 [1]. Pour l’avocat comme pour le responsable juridique, la question n’est plus de savoir si l’intelligence artificielle sera un jour réglementée au Maroc, mais comment sécuriser dès à présent les actifs des entreprises pendant que le texte appelé à l’encadrer prend forme.

Cette double exigence - comprendre ce qui s’applique déjà, anticiper ce qui s’annonce - commande le plan du présent article juridique. Il conviendra d’examiner, dans un premier temps, l’état du droit positif que le praticien mobilise aujourd’hui en l’absence de texte spécial (I), avant d’envisager, dans un second temps, le chantier normatif engagé pour doter le Royaume d’un droit dédié à l’intelligence artificielle, et les recommandations opérationnelles nécessaires (II).

En l’absence de loi spéciale, le praticien ne travaille pas dans le vide : il structure sa matrice de risques autour de plusieurs strates du droit positif, mobilisées par extension pour couvrir une technologie pour laquelle elles n’ont pas été initialement conçues. Ces strates se répartissent en deux ensembles complémentaires : un socle numérique qui donne sa valeur juridique aux actes et aux systèmes eux-mêmes (A), et des piliers de conformité sectoriels qui encadrent les données et la responsabilité qu’ils génèrent (B).

L’intelligence artificielle n’irrigue pas un système juridique vierge de toute régulation numérique. Elle s’inscrit dans une architecture construite par strates depuis le début des années 2000, dont trois textes forment le socle silencieux.

1.- La loi n° 53-05, relative à l’échange électronique de données juridiques. [2], a consacré, dès sa promulgation le 30 novembre 2007, la force probante de l’écrit électronique et la validité de la signature électronique. C’est elle - et non un texte propre à l’intelligence artificielle - qui fonde, en cas de contestation, la recevabilité devant le juge marocain d’un contrat négocié, rédigé ou signé avec l’assistance d’un outil d’IA.

2.- La loi n° 07-03, promulguée en 2003, qui a la première introduit dans le Code pénal les infractions relatives aux systèmes de traitement automatisé de données [3], demeure l’instrument de qualification pénale de l’intrusion non autorisée dans un système d’intelligence artificielle ou de l’exfiltration frauduleuse de ses données d’entraînement. Elle complète, sur le terrain répressif, le volet préventif que porte aujourd’hui la Direction générale de la sécurité des systèmes d’information (DGSSI).

3.- Ce socle a été substantiellement modernisé par la loi n° 43-20, promulguée en 2020, relative aux services de confiance pour les transactions électroniques [4], qui a abrogé le chapitre préliminaire et le titre II de la loi n° 53-05 tout en préservant son titre premier. Le nouveau texte élargit le régime probatoire à la signature électronique qualifiée, au cachet électronique et à l’horodatage, sous le contrôle de la DGSSI. Il constitue, comme on le verra (II.A), le socle sur lequel pourra s’appuyer le futur volet « identité numérique » du droit spécial de l’intelligence artificielle.

Ce triptyque - répression, preuve, confiance - ne mentionne jamais l’intelligence artificielle. Il n’en est pas moins le premier filtre juridique que rencontre, aujourd’hui, tout projet d’IA déployé au Maroc.

Au-delà de ce socle probatoire et pénal, quatre piliers plus directement mobilisés structurent la matrice de risques du praticien.

1.- La protection des données personnelles. La Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) applique une interprétation stricte : tout système d’intelligence artificielle traitant des données à caractère personnel est pleinement assujetti à la loi n° 09-08, promulguée en 2009, et à son décret d’application [5].

Trois points de vigilance s’imposent au praticien lors du déploiement d’une IA : le web scraping et l’entraînement de modèles sans consentement préalable ni respect du principe de finalité ; le flux transfrontalier de données inhérent à l’usage des grands modèles de langage (LLM), qui suppose en principe l’autorisation préalable de la CNDP dès lors que le pays destinataire n’offre pas un niveau de protection reconnu adéquat ; et l’intelligibilité des décisions automatisées : le droit d’accès et d’opposition impose d’être en mesure d’expliquer la logique d’un algorithme de scoring produisant des effets juridiques sur une personne. Le Conseil économique, social et environnemental recommande d’ailleurs, dans son avis du 27 juin 2024, de réviser la loi n° 09-08 pour y intégrer les exigences propres aux données utilisées et générées par l’IA.

2.- La cybersécurité. Dès lors qu’une solution d’intelligence artificielle est intégrée par une administration publique ou par un opérateur d’importance vitale (banque, assurance, énergie et télécoms), elle doit respecter les directives de la DGSSI, fondées sur la loi n° 05-20, promulguée en 2020, relative à la cybersécurité, et son décret d’application [6]. Trois exigences sont à vérifier : l’hébergement sur des serveurs homologués par l’État, la preuve que les bases d’apprentissage n’ont pas fait l’objet d’un empoisonnement de données (data poisoning) et l’existence d’audits de vulnérabilité réguliers.

3.- La responsabilité contractuelle. En l’absence de régime de responsabilité spécifique à l’intelligence artificielle, c’est le Dahir de 1913 formant Code des obligations et des contrats (D.O.C.) [7] qui s’applique. Côté prestataire, il est impératif de stipuler une obligation de moyens renforcée, excluant expressément de la garantie les « hallucinations » et les biais exogènes contenus dans les données fournies par le client. Côté déployeur, des clauses d’indemnisation et des accords de niveau de service (SLA) doivent couvrir la responsabilité civile de ce dernier envers les tiers.

4.- La propriété intellectuelle. Sur ce même terrain contractuel, la loi n° 2-00, promulguée en 2000 [8], protège les œuvres issues de la création humaine, mais laisse ouverte la question des contenus générés par l’IA : les contrats de travail comme les contrats de prestation IT doivent intégrer des clauses de cession de droits couvrant explicitement ces productions et les prompts à forte valeur ajoutée. Une réforme de ce texte est d’ailleurs en cours : le projet de loi n° 13-26, modifiant et complétant la loi 2-00, a été adopté par la Chambre des représentants (7 juillet 2026) puis par la Chambre des conseillers (14 juillet 2026), mais n’était pas encore promulgué à la date de rédaction du présent article. Il introduit une définition légale du piratage numérique et renforce les pouvoirs du Bureau marocain des droits d’auteur, sans toutefois trancher la question spécifique des œuvres générées par l’IA.

Ce dispositif de droit commun n’est pas destiné à durer. Sur l’Africa AI Governance Index 2026, indice publié par le think tank panafricain Lawyers Hub [9] à partir de 80 indicateurs, le Maroc occupe la cinquième place continentale : un classement honorable, que le Royaume entend consolider. C’est dans cette perspective que le ministère de la Transition numérique et de la Réforme de l’administration a engagé, en concertation avec la CNDP, la DGSSI et l’Agence de développement du digital, la construction d’un cadre légal spécifique à l’intelligence artificielle et à la gouvernance des données. Il convient d’en présenter les grandes lignes (A) avant d’en tirer les recommandations qui s’imposent dès aujourd’hui au praticien (B).

1.- Une loi-cadre en préparation. Selon les déclarations publiques de la ministre déléguée chargée de la Transition numérique, Amal El Fallah Seghrouchni, un projet de loi sur le digital - désigné «  Digital X.0  » [10] - était, au premier semestre 2026, à l’examen au Secrétariat général du gouvernement. Le texte articule la gouvernance des données autour de deux dispositifs : une identité numérique fondée sur des identifiants sectoriels, limitant l’accès aux seules données nécessaires à chaque domaine d’activité, et une interopérabilité reposant sur un consentement traçable entre administrations et acteurs privés. Ce volet « identité numérique » ne naît pas ex nihilo : il prolonge le socle déjà posé par la loi n° 43-20 (I.A), qui a doté le Maroc d’un régime de signature électronique et de services de confiance sur lequel les identifiants sectoriels annoncés pourront s’appuyer. Le futur texte mettrait par ailleurs l’accent sur la transparence des algorithmes, le droit à l’explication et à la contestation des décisions automatisées, ainsi que sur la lutte contre les discriminations algorithmiques, trois exigences qui s’appuient d’ores et déjà sur une lecture extensive et rigoureuse de la loi n° 09-08, dans l’attente de leur consécration explicite.

2.- Une institution dédiée en gestation. Pour porter cette stratégie, le ministère a annoncé la création prochaine d’une Direction générale de l’intelligence artificielle (DGIA) [11], chargée de coordonner les politiques publiques liées à l’IA et aux technologies émergentes, d’élaborer le cadre légal et réglementaire, de favoriser les partenariats public-privé et de développer une infrastructure de données souveraine. Sa mise en place, annoncée en parallèle du réseau des instituts « Jazari » déployés dans les douze régions du Royaume, esquisse une gouvernance à deux niveaux : une norme nationale en cours d’écriture et une administration dédiée à sa mise en œuvre. Cette dynamique institutionnelle se double d’une mobilisation de terrain : le Rally IA Future Lab, tenu à Merzouga du 16 au 20 juin 2026 sous le Haut Patronage royal de Sa Majesté Mohammed VI, a réuni chercheurs, entrepreneurs, ingénieurs et étudiants autour de la même ambition de souveraineté technologique que souhaite le Royaume. Signe que ce mouvement gagne aussi les régulateurs sectoriels, Bank Al-Maghrib a annoncé, dans son rapport annuel de supervision bancaire de juillet 2026, la création d’un groupe de travail dédié à l’IA dans le secteur bancaire.

3.- Convergence et rayonnement à l’international. Le futur droit marocain de l’IA ne s’écrit pas en vase clos. Le règlement européen sur l’intelligence artificielle, du 13 juin 2024 [12], pèse sur les entreprises marocaines opérant sur le marché européen - offshoring, sous-traitance, filiales françaises - dès qu’un système d’IA y produit des résultats utilisés, même si l’Omnibus IA, entré en vigueur le 27 juillet 2026, a reporté les obligations les plus lourdes sur les systèmes à haut risque au 2 décembre 2027 et au 2 août 2028. Un mémorandum Maroc-Commission européenne sur l’IA a par ailleurs été annoncé, signe d’une convergence recherchée et active. Avec le Programme des Nations unies pour le développement (PNUD), le Royaume a également lancé le Hub D4SD (Digital for Sustainable Development) [13], le 26 septembre 2025 à New York, en marge de l’Assemblée générale des Nations unies : plateforme régionale arabo-africaine dédiée à l’IA et aux données, diplomatie technologique désormais pleinement assumée. Cette convergence n’est d’ailleurs pas récente : dès mars 2022, le Maroc s’était aligné sur la Recommandation de l’UNESCO sur l’éthique de l’intelligence artificielle [14] (2021, 193 États membres), devenant en 2023 le premier pays d’Afrique et du monde arabe à achever son diagnostic national de préparation à l’IA. Cet ancrage est aussi institutionnel : dès novembre 2023, le centre « AI Movement » de l’Université Mohammed VI Polytechnique (UM6P), dirigé par la ministre Amal El Fallah Seghrouchni avant son entrée au gouvernement, est devenu le premier centre de catégorie II de l’UNESCO en Afrique dédié à l’intelligence artificielle. Pour l’avocat, cette dimension transfrontalière conditionne la rédaction des clauses de conformité imposées par un donneur d’ordre à son sous-traitant [15].

Dans l’attente de la promulgation de « Digital X.0  », le rôle du praticien ne se limite pas à observer ce chantier : il consiste à sécuriser, dès à présent, les opérations de ses clients sur la base du droit positif, en anticipant l’esprit du texte à venir. Six recommandations se dégagent de cette analyse, organisées selon le cycle de vie d’un projet d’IA : de la donnée d’entrée à la gouvernance transversale de l’entreprise.

1.- Sécuriser la licéité et la traçabilité des données d’entrée. Avant tout déploiement, il convient de vérifier que les données utilisées pour entraîner ou alimenter le système respectent les finalités déclarées à la CNDP et de conserver une traçabilité documentée de leur origine, condition de la défense de l’entreprise en cas de contrôle.

2.- Encadrer les flux et l’hébergement transfrontaliers. L’usage de modèles de langage hébergés hors du Maroc doit être audité au regard de l’article 43 de la loi n° 09-08 : privilégier, chaque fois que possible, un hébergement local ou une solution certifiée par la CNDP, et documenter systématiquement l’autorisation ou l’exemption applicable.

3.- Répartir contractuellement la responsabilité avec le prestataire d’IA. Il est recommandé de stipuler une obligation de moyens renforcée excluant expressément les hallucinations et les biais exogènes de la garantie, assortie d’une clause d’audit permettant au client de vérifier a posteriori la conformité du prestataire, ainsi que de clauses d’indemnisation couvrant la responsabilité civile du déployeur envers les tiers.

4.- Verrouiller la propriété intellectuelle des productions génératives. Les contrats de travail et de prestation IT doivent stipuler expressément à qui reviennent les contenus, codes et prompts générés par l’IA : à défaut, le silence contractuel laisse la question ouverte au regard de la loi n° 2-00.

5.- Anticiper le droit à l’explication des décisions automatisées. Pour tout système produisant des effets juridiques sur une personne - scoring de crédit, recrutement, tarification -, il convient de documenter dès à présent la logique de décision et d’organiser un canal de recours humain, en anticipation du droit d’accès et d’opposition déjà consacré par la loi n° 09-08 et annoncé comme un axe du futur texte « Digital X.0 ».

6.- Formaliser une gouvernance interne de l’intelligence artificielle. Une charte d’utilisation, interdisant le partage de secrets d’affaires et de données clients sur des modèles de langage publics, doit être adoptée et diffusée à l’ensemble des collaborateurs, en particulier dans les secteurs sensibles : banque, assurance et santé.

Ces recommandations ne sont pas de simples précautions transitoires : rédigées avec soin, elles anticipent l’esprit du futur texte plutôt que sa lettre, et resteront pertinentes après son entrée en vigueur. C’est là, précisément, la position que doit occuper le conseil juridique face à un droit en construction : ne pas attendre la norme pour agir, mais agir de manière à ne pas avoir à se corriger lorsqu’elle paraîtra.

Pour conclure, l’intelligence artificielle au Maroc n’a pas attendu sa loi pour produire des effets juridiques, et l’avocat ne peut attendre la promulgation de « Digital X.0 » pour conseiller ses clients. Le droit positif examiné en première partie - socle numérique historique et actuel, protection des données, cybersécurité, droit des obligations et propriété intellectuelle - offre, en l’état, un cadre contraignant mais protecteur, à condition d’être mobilisé avec rigueur.

Le chantier normatif engagé par le ministère de la Transition numérique, entre loi-cadre et future Direction générale de l’intelligence artificielle, dessine les contours d’un droit spécial qui viendra consolider plutôt que renverser cette pratique. Pour le praticien, la maîtrise de cette double temporalité - sécuriser sous l’empire du droit existant, anticiper le droit à venir - représente un levier majeur de conseil stratégique et de sécurisation des affaires.

Cet article juridique est également disponible sur le Village de la justice : https://www.village-justice.com/articles/construction-droit-maroc,58914.html

Notes de bas de page de l'artcile :

[1] Discours de Sa Majesté le Roi Mohammed VI à l’occasion de l’ouverture de la première session de la première année législative de la 10e législature, 14 octobre 2016, qui a lancé la stratégie « Maroc Digital 2020 », prolongée depuis par «  Maroc Digital 2030  » (cité par le Conseil Économique, Social et Environnemental, avis n° 52/2021, « Vers une transformation digitale responsable et inclusive », 2021) ; voir également, sur « Maroc IA 2030 », L’Economiste : « Maroc IA 2030 : feuille de route en janvier 2026  », 29 décembre 2025, et Le Desk : « Maroc IA 2030 : le gouvernement dévoile sa feuille de route et affiche ses ambitions », 12 janvier 2026.

[2] Loi n° 53-05 relative à l’échange électronique de données juridiques, promulguée par le Dahir n° 1-07-129 du 19 kaada 1428 (30 novembre 2007) (Bulletin officiel n° 5584 du 6 décembre 2007).

[3] Loi n° 07-03 complétant le Code pénal en ce qui concerne les infractions relatives aux systèmes de traitement automatisé des données, promulguée par le Dahir n° 1-03-197 du 11 novembre 2003 (Bulletin officiel n° 5184 du 5 février 2004).

[4] Loi n° 43-20 relative aux services de confiance pour les transactions électroniques, promulguée par le Dahir n° 1-20-100 du 16 joumada I 1442 (31 décembre 2020) (Bulletin officiel n° 6970 du 18 mars 2021).

[5] Loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, promulguée par le Dahir n° 1-09-15 du 22 safar 1430 (18 février 2009) (Bulletin officiel n° 5714), notamment son article 43 relatif au transfert de données à caractère personnel vers l’étranger ; complétée par le décret n° 2-09-165 du 25 joumada I 1430 (21 mai 2009) pris pour son application (Bulletin officiel n° 5744 du 18 juin 2009) ; pour une présentation générale de ce texte (définitions, consentement, droits des personnes concernées, sanctions), voir notre étude : Brahim Ouhdi et Noriane Outaami, « Le cadre juridique de la protection des données personnelles au Maroc  », Village de la Justice, 30 août 2022.

[6] Loi n° 05-20 relative à la cybersécurité, promulguée par le Dahir n° 1-20-69 du 4 hija 1441 (25 juillet 2020) (Bulletin officiel n° 6906 du 16 hija 1441 [6 août 2020], édition en langue française ; édition en langue arabe publiée au Bulletin officiel n° 6904 du 9 hija 1441 [30 juillet 2020]) ; complétée par le décret n° 2-21-406 du 4 hija 1442 (15 juillet 2021) pris pour son application (Bulletin officiel du 9 août 2021).

[7] Dahir du 9 ramadan 1331 (12 août 1913) formant Code des obligations et des contrats, notamment ses articles 77 et suivants relatifs à la responsabilité de droit commun.

[8] Loi n° 2-00 relative aux droits d’auteur et droits voisins, promulguée par le Dahir n° 1-00-20 du 9 kaada 1420 (15 février 2000) (Bulletin officiel n° 4810).

[9] Lawyers Hub, Africa AI Governance Index (AAIGI) 2026, rapport inaugural, juillet 2026 ; voir également Agence Ecofin : «  Gouvernance de l’IA : classement des pays africains les plus matures en 2026 (Lawyers Hub) », août 2026.

[10] Le360 : « Digital X.0 : le Maroc trace sa voie vers une intelligence artificielle souveraine et inclusive », octobre 2025 ; voir également Agence Ecofin : « Le Maroc avance sur la loi-cadre Digital X.0 dédiée à l’intelligence artificielle », novembre 2025.

[11] Le360 : « Amal El Fallah Seghrouchni : "Le Maroc prépare un cadre légal et une direction générale dédiés à l’IA"  », 24 octobre 2025 ; voir également Acteurs Publics : « Le Maroc va créer une direction générale de l’intelligence artificielle », octobre 2025, et le site du ministère de la Transition numérique et de la Réforme de l’administration (mmsp.gov.ma).

[12] Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (règlement sur l’intelligence artificielle), tel que modifié par le règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026, dit « Omnibus IA  », publié au Journal officiel de l’Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, qui a reporté l’application des obligations relatives aux systèmes à haut risque au 2 décembre 2027 (systèmes autonomes) et au 2 août 2028 (systèmes intégrés à des produits) ; sur les conséquences pratiques de ce report pour les entreprises, voir notre étude : Brahim Ouhdi, « AI Act et Digital Omnibus : le report réglementaire ne solde pas le risque contentieux de l’entreprise », Village de la Justice, 6 août 2026.

[13] Programme des Nations unies pour le développement (PNUD) : « D4SD : en partenariat avec le PNUD, le Royaume du Maroc lance une nouvelle initiative pour accélérer la transformation numérique dans la région des États arabes et en Afrique  », communiqué officiel, New York, 26 septembre 2025.

[14] UNESCO : « Le Maroc trace la voie d’un futur éthique en IA avec l’UNESCO », unesco.org ; Recommandation sur l’éthique de l’intelligence artificielle, adoptée par la 41e session de la Conférence générale de l’UNESCO, novembre 2021 ; MAP Express : « Éthique et IA : le Maroc s’aligne officiellement sur les recommandations de l’UNESCO », 23 mars 2022.

[15] Sur cette problématique appliquée spécifiquement au secteur de la relation client, voir notre étude : Brahim Ouhdi, « Le secteur de la relation-client transfrontalière France-Maroc : le double couperet de l’IA Act et de l’Opt-in téléphonique  », Village de la Justice, 26 août 2026.