Télécoms, cloud et réglementation de l'IA au Maroc : ce que les entreprises tech et de nearshoring doivent savoir
L'essentiel : La position du Maroc en tant que hub de nearshoring pour les opérations européennes de tech, de télécoms et de BPO repose sur un cadre réglementaire en voie de maturation mais en évolution rapide. Les entreprises qui construisent des infrastructures cloud, déploient de l'IA ou fournissent des services d'ingénierie externalisés depuis le Maroc doivent naviguer entre des lois marocaines qui se chevauchent et, de plus en plus, des règles européennes à portée extraterritoriale. Ce guide cartographie les principaux régimes applicables.
Licences de télécommunications : loi 24-96 et ANRT
Le secteur des télécommunications au Maroc est régi par la loi n° 24-96 relative à la poste et aux télécommunications, promulguée en 1997 et modifiée à plusieurs reprises, la dernière fois par la loi n° 121-12 en 2019. L'Agence Nationale de Réglementation des Télécommunications (ANRT), créée en 1998 en vertu de cette loi, est le régulateur sectoriel chargé de l'octroi des licences, de la gestion du spectre, de l'interconnexion et de la surveillance de la concurrence.
Licences vs. déclarations
La loi 24-96 établit un régime d'autorisation à deux niveaux. Les opérateurs de télécommunications à part entière — ceux qui établissent et exploitent des réseaux publics de télécommunications — doivent obtenir une licence délivrée par l'ANRT selon un cahier des charges détaillé. Les fournisseurs d'accès à Internet (FAI), en revanche, ne sont pas classés comme opérateurs de télécommunications et n'ont qu'à déposer une déclaration auprès de l'ANRT, bien qu'ils restent soumis aux obligations générales de la loi 24-96. L'exploitation d'un réseau de télécommunications sans licence est passible de peines d'un mois à deux ans d'emprisonnement et d'amendes de 10 000 à 200 000 MAD en vertu de l'article 83.
VoIP, OTT et MVNO
Les services VoIP occupent une zone grise juridique. Le directeur général de l'ANRT a rendu une décision le 6 avril 2004 estimant que les appels VoIP nécessitent une licence de télécommunications en vertu de l'article 2 de la loi 24-96. Toutefois, des commentateurs soulignent que la loi 24-96, rédigée au milieu des années 1990, n'a pas été conçue pour régir les services internet over-the-top, ce qui rend juridiquement contestable l'application de ses dispositions aux fournisseurs OTT et aux utilisateurs de VPN. Il n'existe pas de cadre réglementaire dédié aux MVNO ; les opérateurs virtuels doivent négocier l'accès par le biais d'accords commerciaux avec les opérateurs de réseau licenciés, sous la supervision de l'ANRT.
Réformes 2024–2026 et 5G
Dans le cadre de la stratégie Maroc Digital 2030, le Maroc a fixé un calendrier pour l'introduction de la 5G : 25 % de couverture territoriale d'ici 2026 et 70 % d'ici 2030. La co-organisation de la Coupe du Monde FIFA 2030 a accéléré le processus, et l'ANRT prépare les spécifications pour l'attribution des licences 5G, notamment un modèle de Neutral Host prévu pour les sites tels que les stades.
Hébergement de données, cloud et transferts transfrontaliers
Loi 09-08 et CNDP
Le régime marocain de protection des données repose sur la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, appliquée par la Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel (CNDP). Tout traitement de données doit être déclaré à la CNDP avant son lancement ; les données sensibles, les données biométriques et les interconnexions de bases de données nécessitent une autorisation préalable et non une simple notification.
Transferts transfrontaliers et adéquation UE
En vertu des articles 43 et 44 de la loi 09-08, les données à caractère personnel ne peuvent être transférées vers un pays étranger que si celui-ci assure un niveau de protection adéquat, tel qu'évalué par la CNDP. En l'absence d'adéquation, le transfert nécessite une autorisation préalable de la CNDP, qui peut être accordée lorsque des garanties suffisantes existent, telles que des clauses contractuelles types ou des règles d'entreprise contraignantes. Point crucial : le Maroc ne bénéficie pas encore d'une décision d'adéquation au titre du RGPD de l'UE, bien qu'il ait ratifié la Convention 108 du Conseil de l'Europe en septembre 2019 et travaille à l'adhésion à la Convention 108+. La CNDP reconnaît une liste limitée de juridictions bénéficiant d'une reconnaissance d'adéquation, incluant l'UE, la Suisse, le Canada, l'Islande, la Norvège et le Liechtenstein. Le non-respect de ces règles expose les entreprises à des amendes administratives de 10 000 à 300 000 MAD par infraction et à des peines pouvant aller jusqu'à deux ans d'emprisonnement.
Cloud souverain et exigences de la DGSSI
Le décret n° 2-24-921 établit un cadre de qualification des prestataires de services cloud traitant des systèmes d'information sensibles au titre de la loi 05-20. Ce cadre s'articule autour de deux niveaux : la qualification de niveau 1 est requise lorsque des entités responsables et des infrastructures critiques ont recours à des services cloud pour héberger ou gérer des systèmes d'information sensibles. Le niveau 2 impose des conditions juridiques et techniques supplémentaires et est obligatoire pour le traitement de données sensibles — garantissant que ces données sont traitées sur des infrastructures contrôlées par des entités exclusivement soumises à la législation nationale. Les déploiements d'hyperscalers (AWS, Azure, SaaS étrangers) hébergeant des données de l'État marocain ou d'infrastructures critiques doivent se conformer à ce cadre.
Cybersécurité : loi 05-20
La loi n° 05-20 relative à la cybersécurité, promulguée en 2020, prescrit des règles de sécurité pour les administrations de l'État, les établissements publics et les opérateurs d'infrastructures d'importance vitale (OIV) disposant de systèmes d'information sensibles. La Direction Générale de la Sécurité des Systèmes d'Information (DGSSI), autorité nationale de cybersécurité du Maroc opérant sous l'Administration de la Défense Nationale, assure l'application de la loi et de la directive d'implémentation DNSSI.
Les principales obligations des OIV comprennent : la tenue d'un inventaire des systèmes d'information mis à la disposition de la DGSSI, la réalisation d'audits des systèmes sensibles au moins une fois tous les deux ans par des auditeurs qualifiés par la DGSSI, la désignation d'un responsable dédié de la sécurité des systèmes d'information (RSSI), et l'élaboration de plans de continuité d'activité et de reprise après sinistre. Les opérateurs de télécommunications, les FAI, les prestataires de services de cybersécurité, les fournisseurs de services numériques et les fournisseurs de plateformes en ligne sont également soumis aux obligations de la loi 05-20. Les sanctions en cas de non-conformité peuvent atteindre 1 000 000 MAD.
Réserver un premier échange gratuit
IA : politique émergente du Maroc et portée extraterritoriale de l'AI Act de l'UE
Stratégie nationale d'IA du Maroc
Le Maroc ne dispose pas encore d'une loi spécifique à l'IA, mais le cadre se construit rapidement. La feuille de route « Maroc IA 2030 », lancée à la suite de la Conférence Nationale sur l'Intelligence Artificielle de juillet 2025, vise à positionner le Maroc comme hub régional de l'IA, en se concentrant sur la souveraineté des données, le développement des compétences et l'intégration de l'IA dans les secteurs clés. Une Agence Nationale de Gouvernance de l'IA est attendue fin 2026, et le déploiement d'une Architecture Nationale de Cloud Souverain introduira de nouvelles exigences de conformité pour les développeurs d'IA en matière de résidence des données. La CNDP a publié un communiqué en mars 2025 signalant que le traitement par l'IA nécessite une attention particulière aux principes de transparence, d'équité et de non-discrimination au titre de la loi 09-08 existante.
AI Act de l'UE : portée extraterritoriale vers le Maroc
En vertu de l'article 2(1)(c), l'AI Act de l'UE s'applique aux fournisseurs et déployeurs de systèmes d'IA établis dans un pays tiers lorsque les résultats produits par le système d'IA sont utilisés dans l'Union. Cela a des conséquences directes pour les prestataires marocains de nearshoring et de BPO servant des clients européens.
Les fournisseurs mettant des systèmes d'IA sur le marché de l'UE ou les mettant en service doivent se conformer quel que soit leur lieu d'établissement. Les fournisseurs de pays tiers de systèmes d'IA à haut risque doivent désigner un mandataire dans l'UE.
Les déployeurs établis en dehors de l'UE sont concernés lorsque les résultats du système d'IA sont utilisés sur le territoire de l'UE.
Les fournisseurs de modèles GPAI doivent publier un résumé des données d'entraînement, fournir une documentation technique au Bureau de l'IA et se conformer au droit d'auteur de l'UE — indépendamment du lieu où l'entraînement du modèle est effectué. Les exigences relatives aux modèles GPAI sont entrées en vigueur le 2 août 2025.
Répartition contractuelle dans les accords de BPO/ingénierie
Les prestataires de nearshoring doivent traiter la répartition des risques liés à l'AI Act de l'UE dans leurs contrats de services. Les clauses clés doivent préciser : si le prestataire marocain agit en tant que fournisseur ou déployeur ; qui assume le coût de l'évaluation de conformité et de l'enregistrement pour les systèmes à haut risque ; la répartition de l'obligation de mandataire ; et comment les responsabilités de documentation des modèles GPAI et de conformité au droit d'auteur sont réparties entre les parties. Lorsqu'un déployeur modifie substantiellement un système d'IA à haut risque ou y appose son nom, il devient fournisseur et doit assumer les obligations correspondantes.
Signature électronique et commerce en ligne
Loi 43-20 (remplaçant la loi 53-05)
La loi n° 43-20 relative aux services de confiance pour les transactions électroniques, en vigueur depuis le 13 juillet 2023, abroge et remplace la loi 53-05 relative à l'échange électronique de données juridiques. Inspirée du règlement européen eIDAS, elle reconnaît trois niveaux de signature électronique — simple, avancée et qualifiée — ainsi que les cachets électroniques, les horodatages et les services d'envoi recommandé électronique. La DGSSI est désormais l'autorité nationale pour les services de confiance (en remplacement de l'ANRT dans ce rôle), chargée d'agréer les prestataires de services de confiance qualifiés (PSCo). Une signature électronique qualifiée a la même valeur juridique qu'une signature manuscrite.
Check-list de conformité pour les entreprises tech et de nearshoring
Ce guide est fourni à titre informatif uniquement et ne constitue pas un avis juridique. Les évolutions réglementaires au Maroc sont en cours — les entreprises devraient consulter un conseil qualifié avant de prendre des décisions en matière de conformité.
