Droits humains au Maroc : Pièces du puzzle 4 — Qui garde les clés ? Souveraineté numérique, outils étrangers et données

Le rapport d’Amnesty parle de surveillance, de journalistes, de défenseurs des droits. Mais il laisse apparaître autre chose, une question plus large qui concerne toute la nation, pas seulement ceux qu’on écoute : qui garde les clés ?

Presque tous les outils décrits sont achetés à l’étranger. Les données des citoyens, elles, sont de plus en plus hébergées sur des infrastructures dont le contrôle n’est pas toujours clair. Et l’intelligence artificielle, qui s’installe dans l’administration, les entreprises et les écoles, repose sur des modèles, des puces et des clouds conçus ailleurs. Ce quatrième volet du dossier « Pièces du puzzle » (pièce 1, pièce 2) déplace donc le regard : de la surveillance des opposants à la souveraineté numérique du pays.

Qui fournit quoi ?

Le chapitre 6 du rapport dresse la liste : le Maroc a acquis, depuis vingt ans, des outils de surveillance venus d’au moins six pays. Voici ce que dit Amnesty ; chaque entreprise concernée y répond ou non, comme l’indique le rapport.

Ce tableau n’est pas propre au Maroc : beaucoup d’États achètent ces outils. Mais il montre une dépendance précise : pour ses capacités les plus sensibles, le pays compte sur des logiciels, des mises à jour et des contrats qui dépendent d’entreprises étrangères. Quand Verint dit s’être séparée de son activité en 2021, ou quand Memento Labs affirme n’avoir aucun contrat actif, c’est une décision prise ailleurs qui change ce qu’un service peut faire ici.

Et nos données, elles sont où ?

Là, le Maroc a bougé. Le décret n° 2-24-921, adopté en conseil de gouvernement le 22 octobre 2024, encadre l’usage du cloud par les entités qui manipulent des données sensibles (ministères, établissements publics, opérateurs télécoms, banques, entreprises stratégiques). Pour ces entités, il impose, d’après le texte et la presse spécialisée :

• un hébergement exclusivement au Maroc ;
• des fournisseurs de cloud à capital majoritairement marocain (pour la qualification de niveau 2) ;
• une administration des systèmes assurée par des Marocains.

C’est la logique de la politique « Cloud First » de Maroc Digital 2030. Mais des questions restent ouvertes. Les spécialistes relèvent l’absence de définition claire de ce qui est « sensible », la difficulté pour les entreprises de classer leurs données, et le risque que des règles très strictes découragent les grands acteurs mondiaux.

Le 7 avril 2026, Oracle a ouvert à Casablanca la première région de cloud public d’un « hyperscaler » en Afrique du Nord, avec N+ONE Datacenters comme partenaire d’hébergement. L’entreprise promet un hébergement et un traitement des données « dans les frontières nationales ». Cela règle la localisation. Cela ne règle pas, à lui seul, la question de qui contrôle : un centre de données au Maroc, opéré par une entreprise étrangère, n’est pas la même chose qu’un système contrôlé localement. Nous ne disons pas que l’un viole l’autre ; nous disons que la question mérite d’être posée.

Pendant ce temps, le 8 avril 2025, la CNSS a subi une fuite massive : des données de 1 996 026 salariés, employés par près de 500 000 entreprises, ont été diffusées par un groupe qui se présente comme algérien, selon la presse. L’État a dénoncé un « acte criminel ». La loi 09-08 sur les données personnelles, vieille de 2009, est en cours de révision pour se rapprocher du RGPD européen, selon la presse spécialisée.

L’IA change-t-elle l’échelle du problème ?

Les constatations d’Amnesty soulèvent une interrogation préoccupante : si de tels niveaux de surveillance étaient possibles avec les technologies d’hier, l’intégration progressive de systèmes fondés sur l’intelligence artificielle pourrait accroître encore davantage les capacités de suivi, d’analyse et de profilage des individus. Le rapport évoque, en citant des médias, des dépenses de plusieurs millions de dollars pour la reconnaissance faciale et comportementale avant la Coupe du monde 2030 (voir la pièce 2).

Mais l’IA pose aussi une question plus quotidienne, que tout le monde peut se poser : où vont les données quand un employé, un élève ou un fonctionnaire utilise un outil d’IA étranger ? Dans quel pays sont stockées les requêtes, qui peut y accéder, sous quel droit ? La réponse n’est pas la même pour un modèle hébergé à Casablanca, à Paris ou en Californie.

Avons-nous les moyens de faire nous-mêmes ?

C’est la question que pose cette pièce, et la réponse n’est ni oui ni non.

Ce qui existe. Le 12 janvier 2026, le ministère de la Transition numérique a lancé Maroc IA 2030, sous le label « AI Made in Morocco », avec la souveraineté technologique parmi ses piliers et le but de réduire la « dépendance structurelle à des systèmes technologiques extérieurs ». Il a créé JAZARI ROOT, noyau d’un réseau national de centres d’excellence en IA (formation, recherche appliquée, expérimentation), et un laboratoire commun avec Mistral AI. À Benguérir, l’UM6P héberge depuis 2021 le supercalculateur Toubkal, annoncé à 3,5 pétaflops, premier d’Afrique à l’époque.

Ce qui manque ou reste flou. À notre connaissance, aucun budget chiffré n’a été rendu public pour Maroc IA 2030. Et les talents partent, mais personne ne sait vraiment combien. Devant le Parlement, le 15 janvier 2019, le ministre Saïd Amzazi parlait de plus de 600 ingénieurs par an, et disait que jusqu’à 80 % des récents diplômés de l’ENSIAS, l’école d’informatique de Rabat, étaient recrutés par des entreprises européennes. Son successeur, Abdellatif Miraoui, évoquait en décembre 2022, à l’université Mohammed V, 700 médecins et entre 2 000 et 3 000 ingénieurs par an (plus 30 000 travailleurs du tourisme). Du simple au quintuple : les deux chiffres ne mesurent sans doute pas la même chose, et nous n’avons trouvé aucun chiffre officiel plus récent. Le premier a même été repris en 2022 par un acteur du secteur, qui estime à environ 2,5 millions de dirhams le coût de formation d’un ingénieur.

Le constat d’Amzazi en 2019 était lucide : « le Maroc ne présente pas d’incitations visant à séduire ses compétences ». Un chercheur qui rentre d’Europe devait repartir au bas de l’échelle, comme assistant. Depuis, le décret n° 2.23.545 de 2023, sur le statut des enseignants-chercheurs, permet aux compétences marocaines de l’étranger (doctorat et dix ans d’expérience) de passer les concours. Reste à savoir ce que cela change dans les faits.

Et le discours royal du 9 octobre ?

Le discours d’ouverture du Parlement appelle à lancer une nouvelle génération de stratégies sur l’eau, l’énergie, la sécurité alimentaire, l’industrie, le numérique et l’intelligence artificielle, et demande d’accélérer la constitution de réserves stratégiques. Il rappelle aussi que le partenariat avec les partenaires du Maroc est un choix souverain. Notre lecture du discours.

C’est exactement le cadre de cette pièce. Pour le numérique, cela pose trois questions simples :

• Que sera une « réserve stratégique » dans le numérique : de la capacité de calcul, des données, des compétences ?
• Que veut dire « choix souverain » quand les outils de surveillance, une partie du cloud et les modèles d’IA viennent de l’étranger ?
• Une nouvelle génération de stratégies a besoin de chiffres fiables : qui les produit, et sous quel contrôle ? Nous posions la même question à propos de la statistique.

Pourquoi cette question appartient à ce dossier ?

Parce que le contrôle de la surveillance et la souveraineté numérique sont deux faces du même sujet. Un pays qui dépend d’outils étrangers qu’il ne maîtrise pas, et dont les données sont mal protégées, ne protège ni ses citoyens ni ses secrets. Et un pays qui bâtit des outils puissants sans cadre légal ni contrôle indépendant risque de reproduire, en plus efficace, ce que décrit Amnesty. La souveraineté, ce n’est pas seulement « produire chez nous » ; c’est aussi « décider chez nous, sous contrôle démocratique ».

Pour les Marocains du monde, qui confient chaque jour leurs données à des plateformes étrangères et à des services marocains, la question se pose des deux côtés de la Méditerranée et de l’Atlantique.

Rabat a-t-il répondu ?

Non, pas sur ces points. Amnesty a écrit aux autorités le 1er septembre 2026 sans recevoir de réponse. Le Maroc a toujours nié utiliser Pegasus contre ses citoyens. Notre ligne reste la même : nos pages sont ouvertes aux autorités, aux entreprises et aux établissements cités.

Ce que demande Amnesty

À lire aussi sur Jisr.media :

• Pièces du puzzle 1 — Pegasus, DGST, Maroc Telecom : ce que dit Amnesty
• Pièces du puzzle 2 — Neuf noms, un même schéma
• Discours royal : du concret, des résultats, et des élus attendus au tournant
• Rentrer au pays, la peur au ventre ? Deux affaires qui interpellent les Marocains du monde
• Maroc à deux vitesses : la vitrine du Trône, la fuite de la jeunesse
• Le nouveau Conseil de la presse naît dans la contestation

Questions fréquentes

Quels pays fournissent les outils de surveillance du Maroc, selon Amnesty ?
Selon Amnesty International, des outils viennent d’Israël (Pegasus, Cellebrite, Interionet), d’Italie (Hacking Team/Memento Labs), de France (Amesys), des États-Unis (Verint, Cognyte), d’Allemagne (FinSpy) et des Émirats arabes unis (courtier Al Fahad).

Que dit la règle marocaine sur l’hébergement des données sensibles ?
Le décret 2-24-921, adopté en conseil de gouvernement le 22 octobre 2024, impose pour les entités sensibles un hébergement exclusivement au Maroc, des fournisseurs de cloud à capital majoritairement marocain et une administration des systèmes assurée par des Marocains.

Qu’est-ce que « Maroc IA 2030 » ?
C’est la feuille de route nationale d’intelligence artificielle lancée le 12 janvier 2026 par le ministère de la Transition numérique, sous le label « AI Made in Morocco » : souveraineté technologique, compétences, innovation, équilibre territorial, avec le réseau JAZARI et un laboratoire commun avec Mistral AI.

Sources : Amnesty International, « We start with the verdict: Inside Morocco's surveillance machine » (1er octobre 2026), chapitres 3 et 6 ; décret n° 2-24-921 (DGSSI) ; ministère de la Transition numérique, lancement de Maroc IA 2030 (12 janvier 2026) ; UM6P, supercalculateur Toubkal ; communiqué d'Oracle du 7 avril 2026 ; presse marocaine et internationale sur la fuite de la CNSS (avril 2025) ; déclarations d'Amzazi devant le Parlement (15 janvier 2019) et de Miraoui (décembre 2022) sur le départ des ingénieurs ; décret n° 2.23.545 (2023). Les autres informations viennent d'Amnesty et de la presse spécialisée ; elles n'ont pas été tranchées par une juridiction.