Gouvernance de l’IA au Maroc : encadrer les usages sans bloquer l’innovation

La gouvernance de l’IA au Maroc ne consiste pas à ralentir les projets par une couche de validation supplémentaire. Elle donne aux équipes un cadre commun pour savoir quels systèmes existent, qui en répond, quelles données ils utilisent, quels contrôles sont nécessaires et comment réagir lorsqu’un résultat devient incertain. Sans ce socle, un prototype convaincant peut entrer en production sans propriétaire clair, sans seuil d’acceptation ni procédure d’incident.

La gouvernance de l’IA est un modèle opérationnel

Une gouvernance utile relie la stratégie, le métier, la technologie, la sécurité, la protection des données et l’exploitation. Elle ne se réduit ni à un comité central ni à une charte générique. Elle transforme des principes en décisions vérifiables : autoriser un usage, demander une évaluation complémentaire, limiter certaines données, imposer une supervision humaine ou retirer un système.

Le NIST AI Risk Management Framework organise cette démarche autour de quatre fonctions complémentaires — gouverner, cartographier, mesurer et gérer — tandis que son Playbook propose des actions adaptables. La norme ISO/IEC 42001 apporte, elle, une logique de système de management et d’amélioration continue. Ces références sont volontaires : elles servent de cadre de travail, pas de substitut aux obligations applicables.

Commencer par un inventaire vivant des systèmes

Impossible de piloter ce que l’organisation ne voit pas. Le premier livrable de la gouvernance de l’IA au Maroc est donc un registre couvrant les modèles développés en interne, les API externes, les fonctionnalités intégrées aux logiciels métier et les usages autonomes d’outils génératifs. Chaque entrée devrait préciser :

• la finalité métier, les utilisateurs et le propriétaire responsable ;
• les données d’entrée et de sortie, leur sensibilité et leur provenance ;
• le modèle, le fournisseur, la version et l’environnement utilisé ;
• les personnes ou processus affectés par la décision produite ;
• les évaluations, contrôles, incidents, changements et date de révision ;
• les conditions de suspension, de remplacement ou de retrait.

Ce registre prolonge naturellement une démarche d’audit IA et de priorisation des cas d’usage. Il inclut aussi le « shadow AI » : un abonnement individuel ou une fonction automatique dans un outil existant peut exposer des données ou modifier une décision sans avoir été qualifié comme projet IA.

Classer les usages selon leur contexte et leur impact

Une même technologie ne porte pas le même risque lorsqu’elle résume une note interne, recommande une action commerciale ou influence une décision concernant une personne. La classification doit donc considérer la finalité, l’autonomie, la réversibilité, la sensibilité des données, l’exposition externe et la gravité d’une erreur.

Le résultat n’a pas besoin d’être une matrice complexe. Trois ou quatre niveaux peuvent suffire s’ils déclenchent des exigences explicites : documentation minimale, tests renforcés, revue spécialisée, validation humaine, journalisation ou interdiction. Cette approche évite de soumettre un assistant de rédaction interne aux mêmes contrôles qu’un système participant à une décision sensible.

Attribuer des rôles qui correspondent aux décisions réelles

Un comité ne remplace pas les responsables opérationnels. Chaque système doit avoir au moins un propriétaire métier, un responsable technique et un canal d’escalade. Selon le contexte, la sécurité, les données, la protection de la vie privée, le juridique, les achats et le contrôle interne participent à la revue.

Une matrice RACI concise peut préciser qui propose, qui évalue, qui autorise, qui exploite et qui suspend. La direction fixe l’appétence au risque et les usages interdits ; le métier définit le résultat attendu ; l’équipe technique documente les limites ; les fonctions de contrôle vérifient les exigences ; l’exploitation suit les signaux en production. Notre offre de conseil et stratégie aide à articuler ces rôles avec les processus existants, sans créer une organisation parallèle.

Protéger les données et encadrer les fournisseurs

Au Maroc, les traitements de données personnelles s’inscrivent notamment dans le cadre de la loi n° 09-08 et de la CNDP. La CNDP mène aussi des travaux sur l’intelligence artificielle et la protection des données. La gouvernance doit donc relier chaque usage aux finalités, bases de traitement, catégories de données, destinataires, durées de conservation et mesures de sécurité pertinentes. Cette présentation reste opérationnelle et ne constitue pas un avis juridique.

Pour un service d’IA tiers, la revue doit couvrir la conservation des requêtes, leur éventuelle utilisation pour l’entraînement, la localisation des traitements, les sous-traitants, les journaux disponibles, les changements de modèle, les engagements de disponibilité et la capacité de sortie. Le contrat ne remplace pas les tests : un fournisseur peut modifier un modèle sans que la qualité sur les données métier reste identique.

Ces contrôles gagnent à s’appuyer sur une gouvernance des données déjà structurée : catalogues, droits d’accès, qualité, traçabilité et règles de conservation.

Installer des portes de décision sur tout le cycle de vie

La gouvernance de l’IA au Maroc devient concrète lorsqu’elle accompagne le cycle de vie. Avant le développement, l’équipe cadre la finalité, les utilisateurs concernés et les scénarios d’échec. Pendant la construction, elle contrôle les données, les accès, les dépendances et les versions. Avant la mise en production, elle vérifie les résultats d’évaluation, les limites connues, le dispositif humain et le plan de retour arrière.

Une évaluation de l’IA générative doit partir de cas réels et de critères définis avant le choix du modèle. Pour les systèmes industrialisés, le MLOps assure la reproductibilité, le déploiement et la surveillance ; la gouvernance décide quels seuils et quelles preuves rendent une version acceptable.

Prévoir la supervision humaine et les incidents

L’intervention humaine doit être conçue, pas simplement mentionnée. Il faut préciser quand l’utilisateur peut corriger une sortie, quand une décision est bloquée, quelle information lui permet d’évaluer la réponse et vers qui escalader un cas ambigu. Une approche human-in-the-loop est utile lorsque le jugement, la sensibilité ou les conséquences exigent une validation contextualisée.

Le plan d’incident couvre les réponses inexactes, les fuites de données, les usages abusifs, les biais observés, les indisponibilités et les dérives de performance. Il définit le signalement, la qualification, le gel éventuel, la communication, l’analyse de cause, la correction et le retour d’expérience. Les journaux doivent être proportionnés : assez précis pour reconstruire une décision, sans collecter inutilement des données sensibles.

Suivre des indicateurs qui aident à décider

Les indicateurs pertinents décrivent la maîtrise réelle : part des systèmes inventoriés, présence d’un propriétaire, couverture des évaluations, revues échues, incidents ouverts, ancienneté des mesures correctives, fréquence des dérogations et évolution des résultats métier. Il n’existe pas de seuil universel valable pour toutes les organisations. Chaque métrique doit être reliée à une décision, à un responsable et à une cadence de revue.

Pour un assistant documentaire, par exemple, la traçabilité des sources, le taux de réponses escaladées et les erreurs sur un jeu de référence sont plus utiles qu’un score générique. Les principes décrits dans notre guide sur le RAG fiable montrent comment relier architecture, évaluation et contrôle opérationnel.

Une feuille de route progressive pour les entreprises marocaines

1. Établir le périmètre

Recenser les usages existants, y compris les outils achetés par les équipes, et identifier les propriétaires. Commencer par les systèmes déjà en production et ceux qui touchent des données sensibles ou des décisions importantes.

2. Définir la politique minimale

Écrire les usages autorisés, interdits ou soumis à revue, les règles de données, les responsabilités et le canal d’incident. Une politique courte, appliquée et révisée vaut mieux qu’un document exhaustif que personne n’utilise.

3. Piloter sur quelques systèmes

Tester le registre, la classification, les évaluations et les portes de décision sur un petit portefeuille représentatif. Les retours des équipes révèlent les contrôles inutiles et les angles morts.

4. Intégrer aux processus existants

Ajouter les questions IA aux achats, à la sécurité, à la gestion des changements, aux revues de données et aux mises en production. La gouvernance devient durable lorsqu’elle s’insère dans le travail quotidien.

5. Réviser régulièrement

Un changement de modèle, de données, d’usage ou de fournisseur peut modifier le niveau de risque. Le registre et les évaluations doivent donc suivre les versions réellement exploitées.

Gouverner pour accélérer les bonnes décisions

Une gouvernance de l’IA au Maroc bien conçue donne de la visibilité aux dirigeants et de l’autonomie encadrée aux équipes. Elle transforme les questions abstraites — « peut-on utiliser cette IA ? » — en critères concrets : pour quelle finalité, avec quelles données, sous quelle responsabilité, avec quelles preuves et quel plan d’arrêt.

Kanteek peut vous aider à cartographier les usages, définir les rôles et politiques, concevoir les contrôles et relier la gouvernance aux pratiques data, sécurité et MLOps. Échangeons sur votre portefeuille IA pour construire un cadre proportionné à vos activités.