Automatisation par l’IA au Maroc : un cadre responsable pour les services professionnels

Pour un cabinet de conseil, une équipe comptable ou un prestataire de recrutement au Maroc, mieux vaut commencer par une tâche délimitée que par un assistant autonome. Préparer un compte rendu ou extraire des informations à vérifier constitue un point de départ plus prudent que laisser un système envoyer des messages, modifier des dossiers ou intervenir dans des décisions concernant des personnes.

La démarche proposée ici repose sur quatre choix : préciser le travail attendu, vérifier les obligations relatives aux données, limiter les pouvoirs du système et mesurer le résultat de bout en bout. Les exemples sont des pistes de mise en œuvre, pas des promesses de productivité.

Choisir une tâche dont le résultat peut être contrôlé

Un premier pilote devrait avoir des données d’entrée définies, un résultat vérifiable et un responsable de validation. Voici quelques usages à envisager :

• Conseil : préparer une synthèse de projet à partir de notes approuvées, en permettant de retrouver les passages utilisés.
• Opérations comptables : extraire les champs d’une facture pour vérification, tout en confiant les calculs à un logiciel classique.
• Administration du recrutement : préparer l’organisation des entretiens ou vérifier la présence des pièces demandées, sans classer ni écarter automatiquement des candidats.

Avant de retenir l’IA générative, comparez-la à une automatisation par règles. Pour un calcul ou un circuit de validation fixe, prenez le logiciel déterministe comme référence. Réservez l’IA aux tâches où la diversité des formulations justifie de tester cette approche.

Intégrer la protection des données dès le cadrage

Dans son communiqué du 18 mars 2025, la CNDP rappelle que les traitements d’IA utilisant des données personnelles sont encadrés par la loi 09-08. Le caractère expérimental d’un projet ne le place donc pas hors du cadre de protection des données.

La loi 09-08 prévoit notamment des exigences de finalité, de proportionnalité, de conservation, d’information, de sécurité et de respect des droits. Avant de connecter des dossiers clients, précisez les champs nécessaires, les destinataires, la durée de conservation et le fondement du traitement. Examinez séparément les engagements contractuels et les obligations de confidentialité propres à votre activité.

Déterminez aussi la formalité CNDP applicable. La procédure d’autorisation préalable vise notamment les données sensibles, le numéro de CIN et les changements de finalité. Une déclaration existante ne doit pas être présumée suffisante pour un nouvel usage : vérifiez le traitement envisagé et les exceptions éventuelles.

Identifier les transferts, au-delà du lieu d’hébergement

La page de la CNDP sur les transferts à l’étranger expose les cas admis et la démarche utilisant le formulaire F118. Elle précise que l’autorisation de transfert dépend de l’approbation de la déclaration ou de la demande d’autorisation du traitement sous-jacent.

Demandez au fournisseur une cartographie couvrant l’exécution du modèle, le stockage, les sauvegardes, les journaux techniques, les sous-traitants et les accès du support. Faites examiner les éventuels transferts avant tout envoi de données personnelles. Une assurance générale de confidentialité ne remplace pas cette vérification.

Évaluer le dispositif complet, pas seulement le modèle

Les conditions présentées par la CNDP insistent sur la sécurité, la confidentialité et le contrôle des sous-traitants par les contrats et les audits. Pour sélectionner un prestataire, traduisez ces principes en questions concrètes :

• Les instructions, pièces jointes ou réponses peuvent-elles être réutilisées pour l’entraînement ou d’autres finalités ?
• Quelles données sont conservées, pendant combien de temps et selon quelles modalités de suppression, sauvegardes comprises ?
• Qui peut y accéder, y compris chez les sous-traitants ?
• Peut-on séparer les accès par client et exporter des traces utiles au contrôle ?
• Que prévoit le contrat en cas d’incident, d’indisponibilité ou de changement de fournisseur ?

Appliquez cette grille aussi bien à un service hébergé qu’à une solution exploitée en interne. Comparez les responsabilités d’exploitation, l’intégration, la maintenance de sécurité et les conditions de sortie, plutôt que le seul abonnement ou coût d’infrastructure.

Donner au contrôle humain les moyens de fonctionner

Le profil du NIST consacré à l’IA générative décrit notamment les réponses erronées formulées avec assurance et les risques liés à une confiance humaine excessive. Un texte convaincant ne constitue pas un travail professionnel vérifié.

Dans le pilote, donnez au relecteur accès aux documents justificatifs et la possibilité de corriger ou de refuser la proposition. Maintenez une validation obligatoire pour les conseils adressés aux clients, les paiements et les décisions importantes. Prévoyez une réponse « éléments insuffisants » plutôt que d’exiger systématiquement un résultat.

La sécurité ne peut pas non plus reposer sur une simple consigne. OWASP décrit les injections d’instructions provenant de documents ou de sites externes et précise que la génération augmentée par recherche ne les élimine pas. Commencez en lecture seule, appliquez les permissions hors du modèle et soumettez les actions importantes à une approbation explicite.

Prévoir dès le départ les critères de poursuite du pilote

Le cœur du cadre AI RMF du NIST recommande des tests avant déploiement et un suivi en exploitation. Il s’agit d’un référentiel de gestion des risques, non d’une loi marocaine ni d’une certification de conformité.

Pour votre tableau de bord, nous proposons quatre axes :

• Qualité : erreurs factuelles, champs manquants et affirmations sans justification.
• Effort total : temps de traitement, de relecture et de correction, comparé à la méthode actuelle.
• Langues : résultats distincts pour le français, l’arabe, la darija ou les documents mixtes, selon les besoins réels.
• Maîtrise : tentatives d’accès interdit, contournements de validation et tests d’arrêt ou de retour au fonctionnement précédent.

Fixez les seuils d’acceptation avant les essais. Commencez avec des exemples synthétiques, puis utilisez des documents représentatifs dans un cadre approuvé. Désignez un responsable, consignez les incidents et renouvelez les tests après toute modification importante du modèle ou du processus.

Conclusion : automatiser la préparation avant de déléguer la décision

Retenez une tâche vérifiable, clarifiez les conditions d’utilisation des données et conservez une responsabilité professionnelle identifiable. Élargissez le dispositif uniquement si la qualité et l’effort réellement mesurés le justifient. Si la vérification absorbe les gains, simplifiez le processus plutôt que d’accorder davantage d’autonomie au système.

Cet article apporte des repères opérationnels et ne constitue pas un conseil juridique. Faites confirmer les exigences propres à votre traitement et à votre profession par des conseils qualifiés et, si nécessaire, par la CNDP.

Pour échanger sur votre projet, contactez Altweeb.