Le jour où votre donneur d’ordre européen vous enverra son « questionnaire IA »

Vous connaissez déjà le scénario. Un matin, votre principal client européen vous transmet un nouveau formulaire fournisseur. Pas pour la qualité, pas pour la sécurité de l’information cette fois — pour l’IA. Quels outils d’intelligence artificielle utilisez-vous dans la production de nos livrables ? Les contenus que vous générez sont-ils signalés comme tels ? Qui valide les sorties avant de nous les transmettre ? Pouvez-vous le prouver ?

Si ce scénario vous semble familier, c’est qu’il a déjà eu lieu une fois — avec le RGPD. À partir de 2018, les groupes européens ont répercuté leurs obligations de protection des données sur l’ensemble de leur chaîne de sous-traitance, Maroc inclus. Les entreprises qui avaient anticipé ont signé. Les autres ont passé six mois à rattraper le retard, sous pression, en urgence, en perdant des appels d’offres au passage.

Le règlement européen sur l’IA — l’AI Act — est en train de produire exactement le même effet de cascade. Et cette fois, vous pouvez voir la vague arriver.

L’AI Act, en clair, pour qui exporte vers l’Europe

L’AI Act est le premier cadre juridique complet au monde sur l’intelligence artificielle. Il a été adopté par l’Union européenne et entre en application par étapes successives, ses obligations s’échelonnant sur plusieurs années. Son principe : classer les usages de l’IA par niveau de risque et imposer des obligations proportionnées à ce risque.

Vous n’êtes pas une entreprise européenne, et vous vous dites peut-être que ce règlement ne vous concerne pas. C’est l’erreur classique. L’AI Act, comme le RGPD, a une portée extraterritoriale : il s’applique dès lors que les sorties d’un système d’IA sont utilisées dans l’Union européenne. Si vous produisez pour un client européen un livrable touché par de l’IA — un document, une analyse, du code, un visuel, une traduction — vous êtes déjà dans le périmètre, indirectement mais réellement.

Deux articles vous concernent au premier chef.

Article 50 — la transparence des contenus générés par IA

L’article 50 impose que les contenus générés ou manipulés par une IA soient identifiables comme tels. Texte de synthèse, image, audio, vidéo : l’utilisateur final doit pouvoir savoir qu’il a affaire à une production d’IA et non à un travail purement humain. Ces obligations de transparence deviennent applicables autour de décembre 2026.

Pour vous, exportateur, cela ne reste pas une obligation lointaine pesant sur Bruxelles. Votre donneur d’ordre européen, lui, devra prouver la traçabilité de ses contenus. Il ne pourra le faire que si vous lui fournissez l’information : « cette partie a été produite avec assistance IA, validée par tel intervenant ». La transparence ne s’arrête pas à la frontière du client final.

Article 14 — la supervision humaine

L’article 14 exige que les systèmes d’IA à haut risque restent sous supervision humaine effective. Pas un humain symbolique qui clique « OK » sans regarder : un humain qui comprend les limites du système, qui peut interpréter ses sorties, et qui garde le pouvoir de décider autrement — voire d’arrêter le système.

Traduit pour votre métier : l’IA peut proposer, accélérer, pré-rédiger. Mais une personne identifiée doit valider avant que la sortie n’engage l’entreprise — et il faut pouvoir montrer où, quand et par qui cette validation a eu lieu.

Pourquoi cela va remonter jusqu’à vous (la mécanique RGPD, encore une fois)

Le mécanisme est simple et il a déjà été éprouvé. L’obligation pèse juridiquement sur l’acteur européen. Mais cet acteur ne peut pas honorer son obligation sans la coopération de ses fournisseurs. Alors il la contractualise : clauses dans les contrats, questionnaires d’audit fournisseur, exigences ajoutées aux cahiers des charges, conditions d’entrée dans les appels d’offres.

C’est exactement ce qui s’est produit avec la protection des données. Aucune loi marocaine ne vous a imposé le RGPD — ce sont vos clients européens qui l’ont fait, ligne par ligne, dans leurs contrats. Pour l’IA, le même chemin se dessine, avec un avantage de taille : vous le savez à l’avance.

Et n’oubliez pas que le Maroc avance en parallèle. La loi 09-08 et la CNDP encadrent déjà le traitement des données personnelles — y compris lorsque ce traitement passe par un outil d’IA. Faire transiter des données clients ou salariés par une IA sans cadre, c’est un risque juridique présent, pas seulement un risque européen futur.

Comment vous y préparer : quatre chantiers concrets

Bonne nouvelle : se préparer à l’AI Act ne demande pas de réinventer votre organisation. Il s’agit surtout de rendre visible et traçable ce qui se passe déjà.

1. Faites l’inventaire de vos usages d’IA — y compris les « sauvages »

Vous ne pouvez pas gouverner ce que vous ne voyez pas. Recensez chaque outil d’IA utilisé dans la production de vos livrables : assistants de rédaction, générateurs d’images, outils de traduction, de transcription, de génération de code. Un simple questionnaire interne révèle presque toujours deux fois plus d’outils que la direction n’en soupçonnait. C’est désagréable sur le moment, salutaire ensuite.

2. Mettez en place une traçabilité des contenus générés par IA

Pour répondre à l’article 50, vous devez pouvoir dire, pour chaque livrable sensible : quelle part a été produite ou assistée par IA, avec quel outil, à partir de quelles données. Ce n’est pas une bureaucratie — c’est l’information exacte que votre donneur d’ordre vous réclamera. Mieux vaut un dispositif léger en place aujourd’hui qu’une reconstitution dans l’urgence en décembre 2026.

3. Définissez et documentez votre supervision humaine

Pour chaque usage d’IA significatif, écrivez noir sur blanc : qui valide la sortie, à quel moment, sur quels critères, et dans quels cas l’humain doit obligatoirement reprendre la main. C’est le cœur de l’article 14. La norme ne demande pas que l’humain refasse tout — elle demande que les points de contrôle soient définis, pas improvisés.

4. Rattachez le tout à un cadre reconnu : ISO 42001

C’est là que les chantiers précédents trouvent leur colonne vertébrale. La norme ISO/IEC 42001:2023 est la première norme certifiable de management de l’intelligence artificielle. Inventaire des systèmes, politique d’IA, analyses d’impact, supervision humaine, gestion des fournisseurs d’IA : son Annexe A recouvre très exactement ce que l’AI Act vous demandera de prouver.

L’intérêt stratégique est double. D’abord, ISO 42001 vous donne une structure prête à l’emploi pour répondre aux exigences réglementaires. Ensuite, une certification est une réponse opposable : au lieu de remplir au cas par cas chaque questionnaire IA de chaque client, vous présentez un certificat reconnu internationalement. Comme l’ISO 27001 est devenue la réponse standard aux questionnaires sécurité, l’ISO 42001 deviendra la réponse standard aux questionnaires IA.

Soyons honnêtes : un logiciel ne vous mettra pas en conformité tout seul

Disons-le clairement, parce que c’est important. Aucun outil — le nôtre compris — ne vous rendra conforme à l’AI Act à votre place. La politique d’IA, les arbitrages de risque, la décision de valider ou non une sortie : cela reste entre des mains humaines, les vôtres. Un logiciel n’est pas un certificateur de conformité, et il ne garantit pas l’absence de manquement.

Ce qu’un bon outil fait, en revanche, c’est s’assurer que rien ne se perd et que tout se prouve. Et c’est précisément la zone où les entreprises trébuchent le jour de l’audit : non pas sur l’intention, mais sur la preuve.

Là où Betterfly entre en jeu — et ce qu’il ne fera pas à votre place

Betterfly intègre un module ISO 42001 qui suit chaque contrôle de l’Annexe A, gère votre déclaration d’applicabilité (SoA) et relie directement chaque contrôle à ses preuves. C’est le squelette qui transforme vos quatre chantiers en dossier auditable.

Côté IA, notre copilote BetterAssist illustre concrètement les principes que l’AI Act met en avant. Il est conçu conforme-by-design et reste cantonné au périmètre QSE/ISO — ce n’est pas une IA généraliste. L’humain reste dans la boucle : aux points sensibles — publication, signature, clôture — c’est une personne qui valide, jamais l’IA seule. Notre formule, nous l’assumons telle quelle : « BetterAssist augmente l’expert, il ne le remplace pas. La machine propose et prouve ; l’humain décide et engage. » C’est, mot pour mot, l’esprit de l’article 14.

Sur la transparence, chaque réponse de l’IA porte une trace — un identifiant, les sources citées, le modèle utilisé — via un module de traçabilité, et cette couverture s’étend en continu. Enfin, point qui rassure les directions conformité : Betterfly n’entraîne aucun modèle d’IA sur vos données. L’inférence passe par l’API Azure OpenAI sur des modèles déjà entraînés ; vos données métier sont seulement injectées comme contexte, dans une architecture où les données d’un client ne fuient jamais vers un autre. Le tout hébergé sur Microsoft Azure, région France Central.

Et nous nous appliquons à nous-mêmes ce que nous outillons : Betterfly est éditée par E-Quality Engineering, certifiée ISO/IEC 27001:2022 et ISO/IEC 42001:2023. On vit ce qu’on vend. Quand un client nous interroge sur la gouvernance de notre IA, nous ne récitons pas une brochure — nous montrons notre propre dossier.

L’AI Act n’est pas une menace pour les exportateurs marocains. C’est, comme le RGPD en son temps, un filtre. Ceux qui s’y préparent maintenant transformeront une contrainte réglementaire en argument commercial — celui d’un partenaire sur qui les groupes européens peuvent compter sans risque.

Pour aller plus loin :

Lisez notre dossier complet ISO 42001 au Maroc : qui est concerné, ce que la norme exige, et le retour d’expérience d’une double certification 27001 + 42001
Découvrez notre page Confiance & Sécurité pour voir comment nous gouvernons l’IA, la traçabilité et l’isolation des données