ChatGPT au travail : respecter la loi 09-08 et le secret professionnel

Utiliser ChatGPT, Claude, Gemini ou Copilot au travail n'a rien d'interdit au Maroc. Le problème, c'est ce que vous y collez. Dès qu'un prompt contient le nom d'un client, son numéro de CIN, son téléphone ou son dossier, vous traitez des données personnelles au sens de la loi 09-08, et vous les confiez à un fournisseur le plus souvent situé hors du Maroc. La bonne nouvelle : la plupart des tâches de bureau se font très bien sans ces données.

Ce guide s'adresse aux petites entreprises, cabinets comptables, cabinets d'avocats, services RH et commerciaux qui utilisent déjà l'IA, parfois sans règle écrite.

La loi 09-08 et la CNDP en deux minutes

La loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel a été promulguée par le dahir n° 1-09-15 du 18 février 2009. Son décret d'application est le décret n° 2-09-165 du 21 mai 2009. Elle a institué la Commission nationale de contrôle de la protection des données à caractère personnel, la CNDP, qui informe le public, reçoit les déclarations et les demandes d'autorisation, contrôle les traitements et peut saisir la justice ou sanctionner.

Sur l'IA, la CNDP a publié le 18 mars 2025 un communiqué qui rappelle que les traitements d'intelligence artificielle utilisant des données personnelles relèvent de la loi 09-08, et qui annonce des travaux pour préciser ce cadre. Les textes évoluent : consultez cndp.ma pour connaître ce qui a été publié depuis.

Trois notions suffisent pour comprendre la suite :

• Donnée à caractère personnel : toute information, quel que soit son support (texte, son, image), qui concerne une personne physique identifiée ou identifiable, directement ou par recoupement.
• Traitement : presque toute opération sur ces données, de la collecte à la conservation, en passant par la consultation, l'utilisation et la communication. Coller un dossier client dans un chatbot en fait partie.
• Responsable du traitement : celui qui décide pourquoi et comment les données sont traitées. Pour les données de vos clients, c'est votre entreprise ou votre cabinet, pas l'outil d'IA.

Qu'est-ce qu'une donnée personnelle, concrètement ?

La notion est plus large qu'on ne le pense. Un nom suffit, mais une combinaison de détails anodins aussi.

La loi protège les personnes physiques. La raison sociale ou l'ICE d'une SARL ne sont donc pas des données personnelles, mais les contrats, les marges ou les chiffres non publiés d'une entreprise restent confidentiels. Dans une petite ville comme Tiznit, "la gérante de l'agence de voyages près de la place" identifie quelqu'un aussi bien qu'un nom.

Pourquoi coller des données clients dans une IA grand public pose problème

Le geste paraît anodin : copier, coller, obtenir une réponse. Juridiquement, il pose cinq questions.

1. Les données sortent de votre contrôle. Elles partent sur les serveurs du fournisseur, en général hors du Maroc, et y sont conservées selon ses propres règles.
2. Elles peuvent servir à l'entraînement. Sur beaucoup d'offres grand public, vos conversations peuvent être utilisées pour améliorer les modèles, selon vos réglages. Certains fournisseurs indiquent aussi que des conversations peuvent être relues par des personnes.
3. La loi encadre les transferts à l'étranger. En principe, un transfert de données personnelles vers un pays étranger suppose que ce pays assure un niveau de protection suffisant. À défaut, il faut une autorisation de la CNDP ou l'une des exceptions prévues par la loi. Le site de la CNDP détaille les démarches.
4. Vous restez responsable. La loi impose au responsable du traitement de protéger les données qu'il détient et de choisir des prestataires qui offrent des garanties suffisantes. Elle prévoit des sanctions, y compris pénales.
5. Le secret professionnel s'ajoute. L'article 446 du Code pénal réprime la révélation d'un secret par les personnes qui en sont dépositaires par état ou par profession. Un dossier couvert par le secret n'a rien à faire dans un outil grand public.

Ce qu'il ne faut jamais coller dans un assistant IA

Gardez cette liste près de votre écran :

• Numéros de CIN, de passeport, d'immatriculation CNSS.
• Téléphones, adresses, e-mails personnels.
• RIB, numéros de carte, relevés bancaires.
• Données de santé : certificats médicaux, arrêts maladie, dossiers de mutuelle.
• Salaires, bulletins de paie, sanctions disciplinaires.
• Données de candidats : CV complets, notes d'entretien, appréciations.
• Identifiants, mots de passe, codes d'accès, clés d'API.
• Documents couverts par le secret professionnel ou par un accord de confidentialité.
• Données d'enfants et d'élèves.

Anonymiser en pratique : la méthode en trois gestes

1. Remplacez les noms par des rôles : "le client", "la salariée A", "le fournisseur B", "la partie adverse".
2. Supprimez ou arrondissez les numéros : CIN, téléphone et RIB disparaissent ; montants et dates deviennent approximatifs quand leur valeur exacte ne change rien à la tâche.
3. Gardez la structure : le type de document, le problème, les étapes, le ton voulu. C'est tout ce dont l'IA a besoin.

Exemple : une relance de facture, avant et après

Le prompt final devient : "Rédige une relance courtoise mais ferme pour une cliente, gérante d'une petite entreprise, dont une facture est impayée depuis deux mois. Propose un paiement en trois échéances. Français, 120 mots maximum, sans menace." Vous ajoutez ensuite vous-même le nom, le montant et la référence de facture dans votre messagerie. L'outil n'a jamais vu le dossier.

Attention au recoupement : retirer le nom ne suffit pas si le reste du texte désigne une seule personne. Relisez votre prompt en vous demandant si un collègue reconnaîtrait le client.

Régler vos comptes : entraînement, historique, chats temporaires

Les menus changent souvent, donc pas de chemin de clics ici. Cherchez dans les paramètres une rubrique du type Confidentialité, Données ou Contrôle des données, et lisez la page de confidentialité du fournisseur.

• ChatGPT : une option des paramètres permet de ne plus utiliser vos conversations pour améliorer les modèles, et un mode de chat temporaire existe.
• Claude : les paramètres de confidentialité indiquent si vos conversations peuvent servir à améliorer les modèles.
• Gemini : l'activité des applications Gemini se gère depuis votre compte Google ; un compte Google Workspace professionnel suit d'autres règles.
• Copilot : la version grand public a ses propres réglages de confidentialité ; Microsoft 365 Copilot utilisé avec un compte professionnel relève des engagements pris envers l'entreprise cliente.

Deux nuances importantes. Désactiver l'entraînement ne veut pas dire que rien n'est conservé : les fournisseurs gardent souvent les conversations un certain temps, par exemple pour détecter les abus. Et un chat temporaire évite l'historique, pas l'envoi des données au fournisseur.

Compte personnel ou compte entreprise ?

Quand chaque salarié utilise son compte gratuit personnel, l'entreprise ne sait ni ce qui est collé, ni où, ni ce qui reste après un départ.

Un abonnement individuel payant n'est pas une offre entreprise : il reste en général soumis aux conditions grand public. Et même une offre professionnelle ne règle pas tout : les données partent toujours chez un prestataire étranger, donc les questions de transfert et d'information des personnes demeurent. Avant de traiter des données personnelles avec un outil d'IA, faites valider le montage par un juriste ou renseignez-vous auprès de la CNDP.

La checklist en 6 points avant que quoi que ce soit sorte du bureau

1. Ai-je besoin de tout ce texte ? Ne collez que l'extrait utile, jamais le dossier entier.
2. Noms et numéros retirés ? Rôles à la place des noms, aucun CIN, téléphone, RIB ou adresse.
3. Aucune donnée sensible ni secret ? Pas de santé, pas de salaire, rien qui relève du secret professionnel.
4. Personne n'est reconnaissable par recoupement ? Poste, lieu et date ne désignent pas une seule personne.
5. Le bon compte, les bons réglages ? Compte professionnel autorisé, entraînement désactivé si l'option existe.
6. Un humain relit la réponse ? Chiffres, noms, références juridiques vérifiés avant tout envoi.

Une politique d'usage de l'IA d'une page pour une petite structure

Une entreprise de cinq personnes n'a pas besoin d'un document de trente pages. Une page claire, signée par chacun, suffit pour commencer :

• Outils autorisés : la liste des assistants permis, et avec quel compte.
• Liste rouge : les catégories de données qu'on ne colle jamais (reprenez la liste ci-dessus).
• Règle d'anonymisation : rôles à la place des noms, aucun numéro, extraits plutôt que documents entiers.
• Réglages obligatoires : entraînement désactivé, historique géré, comptes rattachés à l'entreprise.
• Validation humaine : l'IA rédige des brouillons, elle n'envoie, ne signe et ne décide rien.
• Un référent : une personne qui répond aux questions et tient à jour la politique.
• Erreur de collage : supprimer la conversation, prévenir le référent, noter ce qui s'est passé et voir avec un juriste s'il faut faire davantage.
• Révision : relire la politique tous les six mois, car les outils et leurs conditions changent.

Pour les métiers soumis au secret, ajoutez une ligne simple : aucun document client n'entre dans un outil d'IA sans accord écrit de l'associé responsable.

Aller plus loin selon votre métier

Chaque métier a ses usages utiles et ses pièges. Pour les cabinets comptables, voir l'IA pour les comptables au Maroc. Pour les avocats et juristes, où le secret professionnel pèse le plus, voir l'IA pour les avocats et juristes au Maroc. Et pour des consignes prêtes à l'emploi, déjà pensées sans données personnelles, voir nos prompts IA pour gagner du temps au bureau.

Si vous débutez, notre guide pour apprendre l'intelligence artificielle en débutant pose les bases du prompting. Pour la sécurité des comptes et des mots de passe, voir débuter en cybersécurité au Maroc.

Cet article donne des informations générales, ce n'est pas un avis juridique : pour une situation précise, consultez un juriste ou la CNDP.

À Tiznit, la formation L'IA au travail d'ApexTiz s'ouvre sur ces règles : confidentialité, loi 09-08 et contrôle des sources, avant de passer au navigateur, aux connecteurs et aux agents. Les connecteurs s'y pratiquent sur des comptes de démonstration préparés par le centre, sans aucune donnée réelle. Les participants repartent notamment avec une fiche des règles et leur projet final.

Questions fréquentes

Est-il interdit d'utiliser ChatGPT au travail au Maroc ?

Non. Aucune loi n'interdit ces outils. Ce qui est encadré, c'est le traitement des données personnelles que vous y mettez : la loi 09-08 s'applique dès qu'une personne est identifiable.

Puis-je coller un contrat dans ChatGPT pour le résumer ?

Seulement après avoir retiré les noms, les numéros et tout ce qui identifie les parties. Si le document est couvert par le secret professionnel ou par un accord de confidentialité, ne le collez pas dans un outil grand public.

Désactiver l'entraînement suffit-il ?

Non. Les données sont quand même envoyées au fournisseur et peuvent être conservées un certain temps. Le réglage limite un risque, il ne remplace pas l'anonymisation.

Un abonnement payant protège-t-il mieux mes données ?

Pas forcément. Un abonnement individuel payant suit en général les conditions grand public. Ce sont les offres équipe ou entreprise, avec un contrat, qui apportent des engagements écrits sur les données.

Que faire si j'ai collé des données clients par erreur ?

Supprimez la conversation, prévenez le responsable de votre structure et notez ce qui a été collé. Selon la gravité, demandez conseil à un juriste.