Utiliser l’IA sans exposer les données de votre entreprise : bonnes pratiques et loi 09-08

Vos équipes utilisent déjà l’IA pour rédiger un e-mail, résumer un contrat ou remettre en forme un tableau de clients. C’est souvent utile, mais chaque copier-coller fait sortir des informations de l’entreprise, parfois vers des serveurs situés à l’étranger. Voici comment profiter de l’IA tout en respectant la protection des données au Maroc, et en particulier la loi 09-08.

Ce que deviennent les données saisies dans un outil IA

Quand vous collez un texte dans un assistant IA, il quitte votre ordinateur. Il est traité sur les serveurs du fournisseur, souvent hors du Maroc. La suite dépend de l’outil et de ses réglages.

• De nombreux outils grand public conservent l’historique des conversations. Selon les paramètres, ces échanges peuvent servir à améliorer les modèles du fournisseur.
• Les offres entreprise des principaux fournisseurs s’engagent en général à ne pas entraîner leurs modèles sur vos données. Elles ajoutent des contrôles d’administration : gestion des comptes, durée de conservation, journaux d’activité.
• Dans les deux cas, ce sont les conditions d’utilisation et les paramètres du compte qui comptent, pas l’impression que donne l’interface.

Avant d’autoriser un outil, posez-vous trois questions :

• Où les données sont-elles traitées et stockées ?
• Combien de temps sont-elles conservées ?
• Peuvent-elles servir à entraîner un modèle, et comment le désactiver ?

Un cas fréquent : un commercial colle dans un chatbot gratuit un export Excel avec les noms, les téléphones et les montants dus par ses clients, pour « faire une relance propre ». La relance est réussie. Mais le fichier se trouve maintenant chez un tiers, et personne dans l’entreprise ne sait où, ni pour combien de temps.

Ce que dit la loi 09-08, sources CNDP à l’appui

La loi n° 09-08 du 18 février 2009 encadre la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Son respect est contrôlé par la Commission nationale de contrôle de la protection des données à caractère personnel, la CNDP. Son site présente le texte de la loi et les démarches à suivre.

Une donnée personnelle, c’est toute information qui concerne une personne physique identifiée ou identifiable : un nom, un numéro de téléphone, une adresse e-mail, un numéro de CIN, une photo. Une liste de clients, un fichier de paie ou un historique WhatsApp avec des prospects en contiennent presque toujours.

Les grands principes à retenir :

• Licéité et loyauté : les données sont collectées et traitées de manière licite et loyale.
• Finalité déterminée : vous les traitez pour un objectif précis, sans les détourner vers un usage incompatible.
• Proportionnalité : seules les données nécessaires à cet objectif sont utilisées.
• Durée limitée : elles ne sont pas conservées plus longtemps que nécessaire.
• Sécurité : vous prenez des mesures techniques et organisationnelles pour les protéger.

Les personnes concernées ont aussi des droits : être informées du traitement, accéder à leurs données, les faire rectifier et s’opposer au traitement.

Côté démarches, un traitement de données personnelles doit en général faire l’objet d’une déclaration préalable auprès de la CNDP. Certains traitements sensibles demandent une autorisation préalable. Enfin, le transfert de données personnelles vers un pays étranger est encadré : selon le niveau de protection offert par le pays de destination, il peut nécessiter une autorisation de la CNDP.

Ce dernier point concerne directement l’IA. Quand un salarié colle des données clients dans un outil hébergé hors du Maroc, l’entreprise peut se retrouver à transférer des données personnelles à l’étranger sans l’avoir prévu.

Ce résumé n’est pas un avis juridique : pour votre cas précis, renseignez-vous auprès de la CNDP ou d’un conseiller juridique.

Règles simples pour vos équipes

Quelques règles claires, connues de tous, évitent la plupart des erreurs.

Ce que vous pouvez faire :

• Utiliser l’IA pour reformuler, résumer ou structurer un texte sans données personnelles ni informations confidentielles.
• Remplacer les noms et les identifiants par des repères neutres avant de coller un texte (« Client A », « Fournisseur B »).
• Travailler avec les comptes validés par l’entreprise, pas avec des comptes personnels.
• Relire chaque réponse avant de l’envoyer à un client ou de vous en servir pour décider.

Ce qu’il vaut mieux éviter :

• Coller des exports de clients, de salariés ou de patients, même « juste pour tester ».
• Envoyer des bulletins de paie, des pièces d’identité, des contrats signés ou des données de santé dans un outil grand public.
• Copier des conversations WhatsApp avec des clients sans les anonymiser.
• Partager des mots de passe, des accès ou des informations bancaires.
• Activer sans validation une extension IA qui lit votre messagerie ou vos dossiers partagés.

Une question à se poser avant chaque usage : « Serais-je à l’aise si ce texte était lu par une personne extérieure à l’entreprise ? » Si la réponse est non, ne le collez pas tel quel.

Outils grand public ou solutions d’entreprise

Les deux ont leur place. La différence porte surtout sur le contrôle que vous gardez.

Point à vérifier	Outil grand public	Offre entreprise
Entraînement sur vos données	Possible selon les réglages	En général exclu par contrat
Comptes	Personnels, gérés par chaque salarié	Centralisés, gérés par l’entreprise
Conservation des conversations	Fixée par le fournisseur	Souvent paramétrable
Départ d’un salarié	Accès difficile à retirer	Compte désactivé
Cadre contractuel	Conditions générales standard	Engagements écrits sur les données

Un outil grand public convient pour des tâches sans données sensibles : trouver un titre, corriger une tournure, expliquer une formule Excel. Dès que des données clients, RH ou financières entrent en jeu, une offre entreprise bien configurée est le choix raisonnable.

Attention, une offre entreprise ne règle pas tout. Si des données personnelles sont traitées hors du Maroc, la question du transfert à l’étranger reste à examiner au regard de la loi 09-08.

Pour des données très sensibles, la confidentialité se pense dès la conception du logiciel. C’est l’approche que nous suivons pour Vertus Health, notre plateforme pour les professionnels de la santé mentale, dont les notes cliniques sont chiffrées de bout en bout.

Mettre en place une charte d’usage

Une charte d’usage de l’IA tient en quelques pages. Elle dit ce qui est permis, ce qui ne l’est pas et à qui s’adresser. Elle contient en général :

1. Les outils autorisés, avec les comptes à utiliser et les réglages à appliquer (historique, entraînement désactivé quand l’option existe).
2. Les catégories de données, par exemple publiques, internes et sensibles, avec pour chacune ce que l’on peut faire ou non avec l’IA.
3. Les usages interdits, illustrés par des exemples tirés de votre activité.
4. La relecture humaine : toute production de l’IA destinée à un client ou à une décision est vérifiée par une personne.
5. Un référent, qui répond aux questions, valide les nouveaux outils et fait le lien avec vos démarches auprès de la CNDP.
6. La conduite à tenir en cas d’erreur : qui prévenir si des données ont été partagées par mégarde.
7. Une date de révision, car les outils et leurs conditions évoluent souvent.

Une charte ne sert que si elle est comprise. Présentez-la en équipe, avec des cas concrets de votre quotidien, plutôt que de l’envoyer en pièce jointe.

Passer à la pratique avec vos équipes

Utiliser l’IA sans exposer vos données, c’est d’abord une affaire d’habitudes : savoir ce que l’on colle, où, et pourquoi. L’équipe Aisobotics accompagne les entreprises sur ce sujet, au Maroc comme à l’étranger : choix des outils, rédaction de la charte et ateliers interactifs, en ligne ou sur site.

Découvrez notre offre de conseil et d’ateliers IA, puis réservez un appel découverte gratuit pour en parler avec nous.