Utiliser l'IA avec les données de ses clients : les bases de la loi 09-08

La plupart des services décrits sur ce site manipulent des données personnelles : numéros de téléphone, conversations WhatsApp, CV, avis clients, fichiers de prospects, parfois données de santé. Au Maroc, la loi 09-08 encadre ces traitements, sous le contrôle de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP). Ce guide présente les principes à connaître lorsqu'on utilise des outils d'IA. Il ne constitue pas un avis juridique.

Responsable de traitement ou sous-traitant ?

Lorsque vous travaillez pour un commerce ou une PME, c'est en général votre client qui est responsable du traitement : il décide pourquoi et comment les données sont utilisées. Vous agissez comme sous-traitant, pour son compte et selon ses instructions.

Formalisez cette relation dans votre contrat : finalité, données concernées, mesures de sécurité, durée de conservation, interdiction de réutiliser les données pour vos propres besoins, restitution ou suppression en fin de mission.

Déclaration ou autorisation auprès de la CNDP

La loi prévoit deux régimes :

• une déclaration préalable pour les traitements de données non sensibles (fichier clients, prospection, gestion des rendez-vous) ;
• une autorisation préalable pour certains traitements, notamment les données sensibles, les données liées à la carte d'identité nationale, certaines interconnexions de fichiers et les transferts vers des pays qui n'offrent pas un niveau de protection suffisant.

Vérifiez avec votre client que ses traitements sont déclarés. Les formalités se font auprès de la CNDP, qui publie des formulaires et des guides.

Les données sensibles : prudence maximale

Les données de santé, les opinions politiques ou religieuses, l'appartenance syndicale ou encore les données génétiques sont des données sensibles. Leur traitement est en principe interdit sauf exceptions prévues par la loi, et nécessite une autorisation.

Pour un prestataire, la règle pratique est simple : ne faites pas entrer de données sensibles dans vos outils d'IA. Pour un cabinet médical, limitez-vous aux informations administratives (nom, date et heure de rendez-vous), sans motif de consultation.

Outils d'IA hébergés à l'étranger

La plupart des outils d'IA générative sont hébergés hors du Maroc. Envoyer des données personnelles à ces outils peut constituer un transfert à l'étranger. La loi l'autorise vers les pays offrant un niveau de protection suffisant ; dans les autres cas, une autorisation de la CNDP est nécessaire, accordée si des garanties suffisantes sont apportées.

Bonnes pratiques :

• anonymisez les données avant de les soumettre à un outil (remplacez noms, numéros, adresses) ;
• utilisez les versions professionnelles des outils, dont les conditions excluent généralement l'utilisation de vos données pour entraîner les modèles ; lisez ces conditions ;
• documentez quels outils vous utilisez et pour quelles données.

Les droits des personnes

Les personnes dont les données sont traitées doivent être informées de l'identité du responsable, de la finalité et de leurs droits. Elles disposent notamment d'un droit d'accès, de rectification et d'opposition, en particulier à la prospection commerciale, sans frais.

Concrètement : une liste de diffusion WhatsApp ou e-mail ne doit contenir que des personnes qui l'ont acceptée, et chaque message doit permettre de se désinscrire.

Les risques en cas de manquement

La loi prévoit des sanctions administratives (avertissement, mise en demeure, retrait du récépissé ou de l'autorisation), des amendes et, pour certains manquements comme le traitement sans déclaration ou le transfert illicite, des sanctions pénales. Au-delà du risque légal, une fuite de données détruit la confiance de vos clients.

Sources

Pour aller plus loin : le site officiel de la CNDP et ses publications, ainsi que le texte de la loi 09-08 et de son décret d'application. Ce guide s'appuie notamment sur la synthèse publiée par Upsilon Consulting.