ChatGPT et Copilot au travail : conformité IA CNDP Maroc 2026

Oui, l’usage quotidien de ChatGPT, Copilot ou Gemini par vos équipes relève de la loi 09-08 dès qu’un nom, un e-mail, un numéro de CIN ou une fiche de paie transite par ces outils. Et dans la plupart des PME marocaines, c’est déjà le cas : la RH résume des CV, le commercial reformule un e-mail client, la comptabilité demande d’expliquer une ligne de relevé bancaire.

Le problème n’est pas l’IA. C’est que ces données quittent le Maroc vers des serveurs que vous ne contrôlez pas, sans déclaration, sans consentement et souvent sans que la direction le sache. Cet article vous aide à mesurer le risque réel, à encadrer l’usage existant en quelques semaines et à poser les bonnes questions avant de commander un projet IA.

Il ne remplace pas un avis juridique : pour les textes et les formulaires officiels, vérifiez toujours sur le site de la CNDP.

Pourquoi l’usage de l’IA au bureau pose un problème de conformité en 2026

En 2026, l’IA générative n’est plus un projet, c’est une habitude. Dans les PME que nous accompagnons, il est rare de trouver une équipe de bureau où personne n’utilise un assistant IA chaque semaine, le plus souvent avec un compte personnel gratuit. Personne ne l’a décidé ; c’est arrivé.

Ce « shadow AI » cumule trois faiblesses vis-à-vis de la CNDP :

• Un traitement non déclaré. La loi 09-08 impose une déclaration préalable (ou une autorisation pour les données sensibles) pour chaque traitement de données personnelles. Un assistant IA qui reçoit des données clients est un traitement comme un autre.
• Un transfert hors du Maroc. Les serveurs des versions grand public de ces outils sont à l’étranger, principalement aux États-Unis.
• Une perte de contrôle. Vous ne savez ni ce qui a été collé, ni par qui, ni si cela entraîne un modèle.

Ajoutez la stratégie Maroc Digital 2030 et une CNDP de plus en plus attentive à l’IA : le risque n’est plus théorique. Si vous partez de zéro, notre checklist de conformité CNDP loi 09-08 couvre les bases ; ici, nous nous concentrons sur le cas particulier de l’IA.

ChatGPT, Copilot, Gemini : où vont réellement vos données quand vos équipes les utilisent

La réponse dépend moins de l’outil que de la version. Un même logo peut cacher un compte gratuit personnel qui conserve et peut réutiliser les conversations, et une offre entreprise avec un contrat, un chiffrement et une clause d’exclusion de l’entraînement. Avant toute décision, listez les versions réellement utilisées chez vous.

ChatGPT (OpenAI)

Les comptes gratuits et Plus sont des comptes personnels : les conversations sont stockées sur des serveurs d’OpenAI hors du Maroc et peuvent, par défaut, être utilisées pour améliorer les modèles, sauf si l’utilisateur désactive l’option dans ses réglages. Les offres Team et Enterprise excluent l’entraînement par défaut et proposent un contrat de traitement des données, mais l’hébergement reste à l’étranger.

Copilot (Microsoft)

Le Copilot grand public intégré à Windows ou à Edge se comporte comme un assistant personnel. Microsoft 365 Copilot, lui, fonctionne dans le périmètre de votre tenant, avec les engagements contractuels de Microsoft 365. Cela améliore nettement la situation, à condition que la licence soit bien celle-là et que vos données Microsoft 365 soient déjà déclarées comme hébergées à l’étranger.

Gemini (Google)

Même logique : le Gemini grand public associé à un compte Gmail personnel peut faire relire des conversations par des humains ; Gemini intégré à Google Workspace s’appuie sur les garanties contractuelles de Workspace. Là encore, le lieu d’hébergement reste hors du Maroc.

Ces conditions changent plusieurs fois par an : archivez la version que vous avez lue et relisez-la à chaque renouvellement.

IA CNDP Maroc : ce que dit la loi 09-08 sur le transfert de données à l’étranger

La loi 09-08 est antérieure à l’IA générative, mais ses principes s’appliquent sans ambiguïté. Quatre points concernent directement l’usage des assistants IA :

1. Le transfert vers l’étranger est encadré. Il n’est libre que vers les pays reconnus par la CNDP comme assurant un niveau de protection suffisant ; ailleurs, il faut une autorisation de la CNDP ou une exception prévue par la loi (consentement exprès de la personne, exécution d’un contrat, etc.). À notre connaissance, les États-Unis ne figurent pas sur cette liste ; vérifiez la liste à jour sur le site de la CNDP.
2. Toute finalité nouvelle est un nouveau traitement. Vos données clients ont été déclarées pour la facturation ou le marketing, pas pour être envoyées à un modèle de langage. Un nouvel usage appelle une mise à jour de la déclaration.
3. Les données sensibles exigent une autorisation préalable. Santé, opinions, appartenance syndicale, données génétiques : elles ne peuvent pas être traitées sur simple déclaration, encore moins par un outil que vous ne maîtrisez pas.
4. Le responsable de traitement, c’est vous. Pas OpenAI, pas Microsoft, pas le salarié qui a collé le fichier. L’entreprise répond de la sécurité et de la licéité du traitement.

Les sanctions prévues vont d’amendes de plusieurs dizaines à plusieurs centaines de milliers de dirhams selon l’infraction, avec des peines d’emprisonnement pour les cas les plus graves. Une réforme de la loi est en discussion depuis plusieurs années pour la rapprocher du RGPD européen ; suivez son avancement sur le site de la CNDP, car elle pourrait alourdir les obligations liées à l’IA.

Les données et métiers les plus exposés : RH, clients, santé, finance

Tous les usages ne présentent pas le même risque. Rédiger un post LinkedIn ou corriger une présentation interne sans données personnelles n’engage rien. Le risque se concentre sur quatre fonctions :

• Ressources humaines. Tri de CV, résumé d’entretiens, rédaction d’avertissements, calcul de soldes de tout compte. Un CV contient un numéro de CIN, une adresse, parfois une situation familiale ou un état de santé.
• Commercial et service client. Reformulation d’e-mails avec nom, téléphone et historique d’achats ; analyse de réclamations ; export CRM collé « pour faire un tableau ».
• Santé et assurance. Cliniques, laboratoires, courtiers : les dossiers médicaux sont des données sensibles au sens de la loi. Un seul compte-rendu collé dans un chatbot grand public est une faute.
• Finance et comptabilité. Relevés bancaires, fiches de paie, déclarations CNSS. Au-delà de la loi 09-08, vous exposez aussi votre secret des affaires.

Un exercice simple : demandez à chaque responsable de service de lister les trois tâches pour lesquelles son équipe utilise l’IA. Presque toujours, au moins une implique des données personnelles.

IA souveraine hébergée au Maroc ou IA généraliste à l’étranger : l’arbitrage réel

Trois voies s’offrent à vous ; la bonne dépend de vos données et de vos moyens.

1. Bloquer

Filtrer les domaines des assistants IA sur le réseau et sur les postes. Efficace pendant quelques semaines, puis les équipes passent par leur téléphone. Le blocage ne tient que s’il est accompagné d’une alternative.

2. Passer aux offres entreprise

Licences Team, Enterprise ou Microsoft 365 Copilot : comptez de l’ordre de 250 à 350 MAD par utilisateur et par mois selon l’éditeur et le taux de change. Vous obtenez un contrat, l’exclusion de l’entraînement et des journaux d’audit. Vous n’obtenez pas l’hébergement au Maroc : le transfert existe toujours et doit être couvert (autorisation CNDP ou exception légale). Pour des usages bureautiques, c’est un compromis acceptable si le transfert est documenté.

3. Déployer une IA souveraine hébergée au Maroc

Modèles ouverts (Llama, Mistral, Qwen et leurs dérivés) déployés dans un datacenter marocain, connectés à vos documents, vos e-mails ou votre ERP. Les données ne sortent pas du pays, le traitement se déclare normalement, et vous maîtrisez la journalisation. Nous comparons les hébergeurs disponibles dans notre article sur le cloud souverain au Maroc. Côté budget, un assistant interne sur documents hébergé au Maroc se situe généralement entre 120 000 et 400 000 MAD de mise en place, plus 6 000 à 30 000 MAD par mois d’hébergement et de maintenance selon la charge et le besoin de GPU. C’est pertinent dès que vous manipulez des données sensibles, que vous avez des volumes réguliers, ou que vos clients (banques, assureurs, donneurs d’ordre publics) vous imposent la localisation des données.

En pratique, la combinaison la plus fréquente : offres entreprise pour la bureautique générale, IA souveraine pour les flux qui touchent aux données clients, RH ou santé.

La checklist pour encadrer l’usage de l’IA en interne dès maintenant

Voici ce que vous pouvez faire en quatre à six semaines, seul ou avec un accompagnement léger :

1. Inventorier les outils IA réellement utilisés, par service, avec le type de compte (personnel ou entreprise).
2. Classer les usages en trois niveaux : sans données personnelles (autorisé) ; avec données personnelles non sensibles (autorisé uniquement sur l’outil entreprise ou souverain) ; avec données sensibles (interdit hors solution hébergée au Maroc).
3. Rédiger une charte IA d’une à deux pages, en français et en arabe si nécessaire, annexée au règlement intérieur : ce qui est permis, ce qui est interdit, qui contacter en cas de doute. Faites-la signer.
4. Fermer les comptes personnels pour les usages professionnels et migrer vers des comptes entreprise administrés par la DSI, avec l’entraînement désactivé.
5. Mettre à jour vos déclarations CNDP : nouvelle finalité, nouveaux destinataires, transfert à l’étranger. Les formulaires sont sur le site de la CNDP.
6. Vérifier vos contrats : le contrat de l’éditeur inclut-il une clause de traitement des données compatible avec la loi 09-08 ? Vos contrats clients vous interdisent-ils tout transfert ?
7. Former les équipes ; une heure suffit, avec des exemples concrets : ce CV, cet e-mail, cette facture, que fait-on ?
8. Désigner un référent IA et données, souvent le DSI ou le responsable conformité, et prévoir un point trimestriel.

Ces étapes s’intègrent naturellement dans une feuille de route de transformation digitale : l’IA n’est qu’un chantier parmi d’autres, mais c’est celui qui avance le plus vite sans vous.

Ce qu’il faut vérifier avant de lancer un projet IA avec un prestataire

Une fois l’usage existant encadré, l’étape suivante est souvent un assistant sur mesure ou une automatisation documentaire. Le budget est traité dans notre guide sur le prix d’un projet IA au Maroc ; ici, ce sont les questions de conformité à poser dès le cahier des charges.

• Où tourne le modèle ? Au Maroc, en Europe, aux États-Unis ? Par l’API d’un éditeur étranger ou en hébergement dédié ? Exigez une réponse écrite, pas « dans le cloud ».
• Les données servent-elles à entraîner quelque chose ? Chez le prestataire, chez l’éditeur du modèle ? La réponse doit être non, et elle doit figurer dans le contrat.
• Qui rédige le dossier CNDP ? Un bon prestataire fournit la description technique du traitement (finalité, données, durée de conservation, mesures de sécurité) pour votre déclaration, sans se substituer à votre conseil juridique.
• Quelle journalisation ? Vous devez pouvoir savoir qui a interrogé quoi, et purger les données à l’échéance prévue.
• Quelle réversibilité ? Modèle, index de documents, prompts : tout doit être récupérable si vous changez de prestataire.
• Quelle minimisation ? Un assistant RH n’a pas besoin des numéros de CIN pour classer des CV. Un prestataire sérieux propose d’anonymiser ou de pseudonymiser en amont.

Méfiez-vous des promesses de conformité « clés en main » : la conformité reste votre responsabilité. Le prestataire ne fournit que l’architecture et la documentation qui la rendent possible.

Et maintenant ?

L’IA au travail n’est pas interdite au Maroc ; elle est encadrée. Un inventaire, une charte, des comptes administrés et des déclarations à jour suffisent à la plupart des PME ; l’IA souveraine devient nécessaire dès que vous touchez à la santé, à la finance ou aux données de vos clients.

Arrowlancer conçoit et déploie des solutions IA pour les PME marocaines : assistants internes, automatisation, analyse de documents, avec l’option d’une IA souveraine hébergée au Maroc, et vous aide à cadrer l’usage existant avant de lancer un projet. Découvrez nos services IA, ou parlons directement de votre situation : contactez-nous pour un premier échange sans engagement.