Guide
Former ses équipes sans exposer les données de l’entreprise
Ce que la loi 09-08 impose depuis le communiqué CNDP du 18 mars 2025, ce qui se décide avant une séance, et ce qu’un formateur honnête ne peut pas vous promettre.
Réponse directe
La CNDP a établi le 18 mars 2025 que les traitements d’intelligence artificielle portant sur des données personnelles relèvent pleinement de la loi 09-08. Une formation menée sur vos propres documents en manipule donc par construction, et ce qui entre dans un outil se décide avant la séance — pas pendant.
Repère 01
Ce que dit le cadre marocain
La loi 09-08 encadre le traitement des données à caractère personnel, et la CNDP en est le régulateur. Son communiqué du 18 mars 2025 ferme une zone grise que beaucoup d’acteurs entretenaient : l’usage d’un outil d’intelligence artificielle sur des données personnelles est un traitement comme un autre.
Ce n’est pas un sujet à régler après la formation. Une équipe formée à un usage que l’entreprise ne peut pas garder a appris quelque chose qu’il faudra lui faire désapprendre.
Repère 02
Ce qui se décide avant la séance
Trois choses, et elles s’écrivent : quels documents sont apportés en séance, ce qui en est retiré avant, et quels outils sont utilisés. Un atelier peut se tenir intégralement sur des documents dont les noms ont été remplacés — la compétence acquise est la même.
Nous disons aussi quels services sont appelés et où ils sont hébergés. Pour ce que nous construisons nous-mêmes, l’hébergement retenu est européen — ce qui, pour le secteur public marocain, constitue une limite que nous écrivons plutôt que de la découvrir en cours de marché.
Repère 03
Ce qu’un formateur ne peut pas vous promettre
Qu’un outil du marché « ne conserve rien ». Ce que conserve un fournisseur dépend de son offre et de ses conditions, elles changent, et personne d’extérieur ne peut l’attester à sa place.
Ce qui se promet, en revanche : que nous vous disions quel outil envoie quoi et où, et que nous ne conservions rien de ce que vous apportez en séance.
Repère 04
Ce qui s’écrit, et ce qui se dit
Ce qui s’écrit : les outils utilisés en séance, ce que nous conservons — rien, une fois la formation terminée —, et la règle appliquée aux documents qui contiennent des données personnelles.
Ce qui se dit, en séance et devant tout le monde : les cas où l’outil ne doit pas être consulté chez vous. C’est plus efficace qu’une clause, parce que ce sont les participants qui l’appliqueront.
Vos questions
Questions fréquentes
Faut-il anonymiser les documents avant l’atelier ?
Souvent, oui, et c’est simple : les cas que nous retenons sont ceux qui n’ont pas besoin d’identifier une personne pour fonctionner. Un courrier type se travaille aussi bien avec un nom remplacé.
Quand un document en contient malgré tout, la règle est écrite au cadrage : ce qui est transmis, ce qui est retiré avant, et où le traitement a lieu.
Est-ce plus strict dans certains métiers ?
Oui. Une donnée de santé est une donnée sensible, et elle ne sort pas — voir la page santé et médico-social. Le secret professionnel joue le même rôle chez les professions libérales.
Dans les deux cas, la frontière est posée avant l’offre sur la page du secteur, pas négociée au moment de vendre.
Et après la formation, qui surveille l’usage ?
Personne, si rien n’est prévu — et c’est là que les usages dérivent. Ce qui traite ce point est un service au mois : la conduite du changement, avec son relevé d’usage mensuel.
Le relevé sert autant à voir ce qui sert qu’à repérer ce qui sort du cadre décidé au départ.
Pour continuer