Qui est concerné hors de l’Union ?
L’AI Act s’applique aux fournisseurs qui mettent un système d’IA sur le marché européen, où qu’ils soient établis. Il s’applique aussi aux fournisseurs et aux utilisateurs professionnels, appelés déployeurs, situés hors de l’Union, lorsque les résultats produits par le système sont utilisés dans l’Union.
Une entreprise marocaine peut donc être concernée si elle vend à des clients européens un logiciel qui intègre de l’IA, si elle leur fournit des résultats produits par l’IA (analyses, documents, décisions), ou si un donneur d’ordre européen lui demande par contrat de respecter ses propres obligations.
Ce qui s’applique déjà
- Depuis février 2025 : les pratiques interdites, et l’obligation de littératie IA. Depuis la révision de 2026, cette obligation consiste à prendre des mesures pour développer les compétences des personnes qui utilisent l’IA, sans niveau minimal imposé.
- Depuis août 2025 : les obligations des fournisseurs de modèles d’IA à usage général.
- Depuis août 2026 : les obligations de transparence, comme informer une personne qu’elle échange avec un système d’IA, ou signaler les contenus générés. Les systèmes génératifs déjà sur le marché ont jusqu’au 2 décembre 2026 pour le marquage lisible par machine.
Ce qui a été repoussé
Le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, publié au Journal officiel le 24 juillet 2026, a décalé les obligations des systèmes à haut risque :
- au 2 décembre 2027 pour les usages listés à l’annexe III, comme le recrutement, l’éducation ou l’accès au crédit ;
- au 2 août 2028 pour l’IA intégrée à des produits réglementés, comme les dispositifs médicaux ou les machines.
Par où commencer
- Faire l’inventaire des systèmes d’IA utilisés ou fournis, y compris les outils grand public utilisés par les équipes.
- Pour chacun, établir votre rôle : fournisseur ou déployeur. Les obligations en dépendent.
- Repérer les usages qui pourraient relever du haut risque, pour les préparer avant fin 2027.
- Documenter ce que vous faites déjà pour former vos équipes : c’est la première preuve demandée.
Côté marocain, la loi 09-08 sur la protection des données personnelles s’applique en parallèle, avec ses propres formalités auprès de la CNDP.
La plupart des entreprises n’ont pas besoin d’un audit lourd. Elles ont besoin de savoir quels systèmes elles utilisent, et dans quel rôle.
À noter
Cette note n’est pas un avis juridique. L’interprétation de votre situation relève de votre conseil.
Vous voulez savoir quels systèmes sont concernés chez vous ? Notre évaluation de conformité vous donne la réponse.
Voir l’évaluationAutres notes