Chaque matin, des millions de Marocains ouvrent leur smartphone, utilisent des applications de navigation, regardent des vidéos en streaming, consultent leur banque en ligne ou demandent un conseil à un assistant vocal. Derrière chacun de ces gestes anodins, une infrastructure invisible capte, trie et traite des données personnelles. Et la grande question — celle que peu de gens osent poser clairement — est la suivante : qui décide de ce qu’il advient de ces données au Maroc ?
La montée en puissance de l’intelligence artificielle a bouleversé l’équation. Ce n’est plus seulement une question de stockage ou de confidentialité : c’est une question de souveraineté numérique, de pouvoir économique, et même de sécurité nationale. Le Maroc, engagé dans une transformation digitale ambitieuse, se retrouve au croisement de ces enjeux avec une urgence croissante.
Un cadre juridique en construction permanente
Le Maroc dispose depuis 2009 d’une loi dédiée à la protection des données personnelles : la loi 09-08. Elle a représenté une avancée réelle, créant la Commission Nationale de contrôle de la Protection des Données à caractère Personnel, mieux connue sous l’acronyme CNDP. Pendant plus d’une décennie, cet organisme a joué un rôle de régulateur, traitant les plaintes, délivrant les autorisations et sensibilisant les entreprises.
Mais l’IA a changé la donne à une vitesse que la loi de 2009 n’avait pas anticipée. Les systèmes d’apprentissage automatique peuvent aujourd’hui analyser des comportements, prédire des préférences, identifier des individus à partir de données agrégées qui, prises isolément, semblaient anodines. Face à ce défi, le législateur marocain a engagé un chantier de révision législative. En 2023 et 2024, plusieurs avant-projets ont circulé pour moderniser le dispositif et l’aligner davantage sur le RGPD européen, devenu la référence mondiale en matière de protection des données.
La CNDP face aux défis de l’intelligence artificielle
La CNDP n’est pas restée passive. Elle a multiplié les avis, les recommandations et les initiatives de sensibilisation. En 2023, elle a publié des lignes directrices spécifiques sur le traitement automatisé des données, insistant sur le droit à l’explication — c’est-à-dire le droit de savoir pourquoi un algorithme prend une décision qui vous concerne. Ce droit, pourtant fondamental, reste largement méconnu du grand public marocain.
Le problème est structurel : la CNDP dispose de ressources humaines et budgétaires limitées pour surveiller un écosystème numérique qui explose. Des milliers d’applications collectent des données d’utilisateurs marocains, mais seule une fraction d’entre elles a réellement fait l’objet d’un contrôle approfondi. Le régulateur fait ce qu’il peut, mais l’IA avance plus vite que les institutions.
Les géants technologiques au cœur du débat
Voilà la réalité que beaucoup préfèrent éviter : une part considérable des données produites par les Marocains transite par des serveurs qui ne se trouvent pas sur le sol marocain. Google, Meta, Microsoft, Amazon — ces entreprises fournissent les infrastructures cloud, les systèmes d’exploitation, les réseaux sociaux et les moteurs de recherche utilisés quotidiennement. Leurs centres de données sont en Europe, aux États-Unis, en Asie. Les données marocaines y voyagent sans que les utilisateurs en aient pleinement conscience.
En 2024, une étude menée par un cabinet de conseil casablancais estimait que plus de 78 % des applications mobiles populaires au Maroc transmettaient des données vers des serveurs étrangers, souvent sans mécanisme de chiffrement bout-en-bout. Ce chiffre, difficile à vérifier de manière indépendante, illustre néanmoins une tendance que les experts en cybersécurité observent depuis des années.
Le cloud souverain, un chantier encore embryonnaire
Face à cette dépendance, certains pays ont misé sur le développement d’une infrastructure cloud nationale — ce que l’on appelle le cloud souverain. La France a lancé son initiative, l’Inde a renforcé ses exigences de localisation des données. Le Maroc, lui, en est aux premières étapes de cette réflexion. Plusieurs acteurs, dont Maroc Telecom et des opérateurs privés, proposent des solutions d’hébergement local. Mais leur adoption reste limitée, notamment dans le secteur public, où les marchés de cloud sont parfois remportés par des fournisseurs internationaux.
Ce n’est pas une question de mauvaise volonté. C’est une question d’économie : les tarifs des géants américains restent souvent plus compétitifs, leurs outils plus performants, leurs écosystèmes plus matures. Choisir le cloud souverain, c’est parfois accepter un surcoût ou une moindre fonctionnalité. Un arbitrage difficile pour des administrations sous contrainte budgétaire.
Les secteurs les plus exposés
Tous les secteurs ne sont pas égaux face à ce risque. Certains domaines concentrent des données particulièrement sensibles et méritent une attention renforcée :
- La santé : les dossiers médicaux numérisés, les applications de suivi de santé et les plateformes de télémédecine génèrent des données ultra-sensibles, encore insuffisamment protégées par un cadre sectoriel clair.
- La finance : les fintechs et les banques numériques collectent des données comportementales très précises. Bank Al-Maghrib surveille le secteur, mais l’IA intégrée dans les systèmes de scoring de crédit pose des questions de transparence algorithmique.
- L’éducation : les plateformes d’e-learning utilisées par des millions d’élèves et d’étudiants captent des données comportementales et pédagogiques, souvent hébergées hors du pays.
- La sécurité publique : le déploiement de systèmes de reconnaissance faciale dans les espaces publics soulève des questions qui n’ont pas encore trouvé de réponse législative satisfaisante.
- Le commerce électronique : les habitudes d’achat, les données bancaires, les adresses — tout cela circule dans des pipelines souvent mal sécurisés.
L’IA made in Morocco, une réponse possible
Il serait réducteur de ne voir dans tout cela qu’un tableau sombre. Le Maroc dispose d’un vivier de talents numériques en pleine expansion. Des startups comme IntelliWaveMa, DataAtlas ou encore les spin-offs des grandes écoles d’ingénieurs de Rabat et Casablanca développent des solutions d’IA conçues localement, avec une sensibilité aux réalités marocaines — linguistiques, culturelles, réglementaires.
Le programme Digital Morocco 2030, qui structure la feuille de route numérique du pays, consacre une place croissante à l’IA. Des partenariats ont été noués avec des universités européennes et africaines. Et surtout, une nouvelle génération de développeurs marocains formés à l’éthique de la donnée commence à peser dans les débats. Ce n’est pas encore suffisant pour renverser les rapports de force avec les géants mondiaux, mais c’est un point de départ sérieux.
Le rôle clé des entreprises marocaines
Au-delà de l’État, ce sont les entreprises elles-mêmes qui peuvent faire basculer la situation. Celles qui intègrent dès la conception de leurs produits les principes de privacy by design — minimisation des données collectées, durées de conservation limitées, accès restreint — contribuent à bâtir un écosystème numérique plus sain. Quelques grands groupes marocains, notamment dans la banque et les télécoms, ont commencé à investir sérieusement dans la gouvernance des données. Mais pour les PME et les startups, la mise en conformité reste souvent perçue comme une contrainte secondaire.
La culture de la donnée — comprendre ce que l’on collecte, pourquoi, et avec quelles conséquences — est encore à construire. Des initiatives comme les data hackathons, les formations certifiantes en cybersécurité ou les campagnes de sensibilisation de la CNDP participent de cet effort. Mais l’ampleur du défi est immense.
Vers une souveraineté numérique africaine
La question des données au Maroc ne peut pas être traitée en vase clos. Le pays occupe une position stratégique entre l’Europe, l’Afrique subsaharienne et le monde arabe. Il pourrait jouer un rôle moteur dans l’émergence d’une gouvernance africaine de l’IA, aux côtés de pays comme le Kenya, le Sénégal ou l’Afrique du Sud, qui avancent également sur ce terrain.
L’Union Africaine a adopté en 2022 sa propre convention sur la cybersécurité et la protection des données. Le Maroc, qui l’a ratifiée, s’est engagé dans cette dynamique continentale. La vraie question n’est pas de savoir si le Maroc peut contrôler ses données — c’est de décider collectivement ce que cela signifie. Quels compromis est-on prêt à accepter entre efficacité et souveraineté ? Entre innovation rapide et protection robuste ? Entre attractivité pour les investisseurs étrangers et maîtrise nationale des infrastructures critiques ?
Ces questions n’ont pas de réponses simples. Elles demandent un débat public éclairé, une réglementation agile, des investissements durables et une volonté politique de long terme. Le Maroc dispose des ingrédients nécessaires. Ce qui reste à construire, c’est le consensus autour d’une vision partagée de ce que doit être l’IA marocaine : performante, inclusive et souveraine.
FAQ — Questions fréquentes sur le cadre numérique au Maroc
Existe-t-il une loi spécifique à l’IA au Maroc ?
À ce jour, il n’existe pas encore de loi dédiée exclusivement à l’intelligence artificielle au Maroc. La principale référence reste la loi 09-08 sur la protection des données personnelles, dont la révision est en cours pour intégrer les enjeux liés aux systèmes algorithmiques et à l’apprentissage automatique. Des textes sectoriels dans la finance ou la santé apportent des compléments, mais un cadre global et unifié fait encore défaut.
Mes données sont-elles en sécurité si j’utilise des apps marocaines ?
Pas nécessairement. L’origine géographique d’une application ne garantit pas la sécurité de vos données. Ce qui compte, c’est la politique de confidentialité, les pratiques de chiffrement, la localisation des serveurs et la conformité aux exigences de la CNDP. Une application développée au Maroc peut très bien héberger ses données à l’étranger — et inversement, une app internationale peut proposer des garanties solides.
Que fait la CNDP concrètement pour protéger les citoyens ?
La CNDP instruit les plaintes des particuliers, contrôle les traitements effectués par les organisations publiques et privées, délivre des autorisations pour les traitements sensibles et publie des recommandations sectorielles. Elle dispose également d’un pouvoir de sanction, bien que celui-ci soit encore peu souvent mis en œuvre. Depuis 2022, la Commission a renforcé sa communication publique pour mieux informer les citoyens de leurs droits.
Le Maroc peut-il vraiment aspirer à une souveraineté numérique ?
La souveraineté numérique totale est un objectif difficile à atteindre pour tout pays — même les plus puissants dépendent partiellement d’infrastructures ou de composants étrangers. Pour le Maroc, l’objectif réaliste est une souveraineté maîtrisée : connaître les flux de données, encadrer juridiquement les transferts, favoriser les solutions nationales dans les secteurs stratégiques et nouer des partenariats équilibrés. C’est ambitieux mais atteignable avec une stratégie cohérente sur dix à quinze ans.
