La portée extraterritoriale du Règlement de l'UE sur l'IA : Analyse de l'impact sur les entreprises au Maroc et dans d'autres pays tiers

Synthèse exécutive

Le Règlement de l'UE sur l'IA étend son champ d'application réglementaire aux entreprises de pays tiers qui fournissent des services à des clients européens, qu'elles aient ou non une présence physique au sein de l'UE. Le cas du Maroc illustre une structure où une entreprise acquiert le statut de « fournisseur » dès l'instant où elle vend un logiciel de scoring à une société française, exposant ainsi toute l'industrie francophone des centres d'appels et de l'externalisation des processus métier (BPO) à la double pression de l'automatisation par l'IA et de la conformité réglementaire. L'UE étend son application progressive, en se concentrant sur les grands opérateurs par l'application des obligations de transparence à partir d'août 2026 et la désignation de Très Grandes Plateformes en Ligne comme ChatGPT. Ceci ne doit pas être considéré comme une période de grâce, mais comme le prélude à un champ d'application réglementaire plus large. Les entreprises coréennes doivent évaluer de manière proactive leur statut de « fournisseur » pour les services destinés à l'UE et gérer les risques de conformité des partenaires locaux comme s'il s'agissait des leurs lorsqu'elles pénètrent le marché via des pays tiers. Une approche stratégique est nécessaire pour transformer la conformité réglementaire d'un coût en un avantage concurrentiel auprès des clients européens.

I. Analyse de la situation

L'application extraterritoriale du Règlement de l'UE sur l'IA et son impact sur les entreprises au Maroc et dans d'autres pays tiers : Une analyse de la situation

1. Contexte et développements

Depuis son entrée en vigueur en 2024, le Règlement de l'UE sur l'IA a progressivement étendu son champ d'application. À compter du 2 août 2026, la Commission européenne a commencé à appliquer de nouvelles obligations de transparence. Les systèmes d'IA conversationnelle tels que les chatbots doivent informer les utilisateurs qu'ils interagissent avec une IA, et des exigences d'étiquetage ont été imposées sur le contenu de type deepfake [2]. Le cœur de ce règlement est sa clause d'application extraterritoriale : les entreprises sont soumises au Règlement si elles fournissent des services à des clients européens, même sans établissement commercial au sein de l'UE.

Le média marocain Le Matin du Sahara a abordé cette question directement du point de vue des entreprises nationales, en présentant le cas spécifique d'une société marocaine vendant un logiciel de scoring à une entreprise française [1]. Dans ce scénario, la société marocaine pourrait être classée comme « fournisseur » en vertu du Règlement sur l'IA [1]. Le média a noté que cette logique s'étend également à certains utilisateurs professionnels, ce qui signifie que non seulement les développeurs d'IA marocains, mais toutes les entreprises B2B fournissant des services externalisés à des clients européens sont potentiellement soumises à la réglementation [1].

Cela a des répercussions importantes compte tenu de la structure économique du Maroc. En tant que plaque tournante de l'industrie francophone des centres d'appels et de l'externalisation des processus métier (BPO), le Maroc gère depuis longtemps un grand volume de tâches de back-office pour les entreprises européennes. La fédération nationale du secteur des centres d'appels et de l'externalisation, sous l'égide de l'Union Marocaine du Travail (UMT), a averti dans une lettre officielle au gouvernement que l'industrie se trouve à un « tournant décisif » [17]. Elle a soutenu que des milliers d'emplois sont menacés par l'impact combiné des nouvelles réglementations étrangères et de la propagation de l'IA et de l'automatisation [17]. Dans le même temps, la fédération a ajouté qu'avec un soutien politique proactif et équitable, cette crise pourrait être transformée en opportunité [17].

2. Situation actuelle

Parallèlement à la mise en œuvre du Règlement sur l'IA, la Commission européenne renforce également l'application du Règlement sur les Services Numériques (DSA). Le 31 août 2026, l'UE a désigné pour la première fois ChatGPT comme une « Très Grande Plateforme en Ligne » (VLOP) [9][12][14]. Reddit et Roblox ont été désignés en même temps [9][10]. Le critère de désignation est d'avoir plus de 45 millions d'utilisateurs actifs mensuels dans l'UE [10]. Ces services sont désormais tenus d'évaluer et d'atténuer les risques systémiques liés au contenu illicite, à la protection des mineurs, aux processus électoraux et à la sécurité publique dans les quatre mois suivant la notification, c'est-à-dire d'ici janvier 2027 [10]. Henna Virkkunen, la Vice-présidente exécutive de l'UE pour le numérique, a déclaré : « ChatGPT, Reddit et Roblox seront désormais soumis à un niveau plus élevé de surveillance et de normes de responsabilité, proportionné à leur impact significatif sur les citoyens et la société » [9].

Au Maroc, les réglementations sur la protection des données sont également renforcées, indépendamment du Règlement sur l'IA. En prévision des élections générales du 23 septembre, la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) du Maroc a notifié aux partis politiques leurs obligations de conformité pour le traitement des données personnelles [5]. Cet avis incluait également l'exigence d'étiqueter le contenu généré par l'IA [5]. Cette situation illustre que le gouvernement et les entreprises marocains font face à une double pression de conformité, les réglementations menées par l'UE se superposant aux règles nationales régissant les données électorales.

3. Acteurs clés et positions

Commission européenne (DG CONNECT)opère le Règlement sur l'IA et le DSA comme un ensemble réglementaire unique, manifestant clairement son intention de les appliquer à l'encontre des opérateurs hors de l'UE [2][10]. Du point de vue de la Commission, l'application extraterritoriale n'est pas une exception mais un principe de conception fondamental. Sa logique veut que l'emplacement d'une entreprise n'est pas pertinent tant qu'elle fournit des services aux citoyens européens.

Entreprises et associations industrielles marocainesperçoivent cela comme un fardeau soudain. Comme l'illustre le cas du logiciel de scoring mis en évidence par Le Matin du Sahara, les entreprises marocaines de l'informatique et de la fintech au service de clients européens ont désormais besoin d'examens juridiques pour déterminer si elles se qualifient comme « fournisseurs » [1]. La fédération des centres d'appels sous l'égide de l'UMT présente la question comme une menace pour l'emploi et exige une intervention gouvernementale pour protéger l'industrie [17].

Gouvernement marocain (Régulateurs nationaux comme la CNDP)applique ses lois nationales sur la protection des données indépendamment des réglementations de l'UE [5]. Cependant, il n'est pas encore clair, d'après les informations disponibles, si ces efforts font partie d'une stratégie nationale plus large pour répondre au Règlement sur l'IA.

Gouvernements des pays voisins non membres de l'UE comme la Libyerépondent en participant à des discussions internationales sur la gouvernance de l'IA. Le ministre d'État libyen à l'Économie numérique et à l'IA, Ziad Al-Hajaji, a assisté au Dialogue international sur la gouvernance de l'IA à Genève, déclarant l'engagement de son pays en faveur d'une coopération internationale alignée sur les Objectifs de Développement Durable [16]. Cela représente une stratégie d'engagement dans l'établissement de normes intergouvernementales, distincte des réponses de conformité au niveau des entreprises.

Grandes entreprises technologiques américaines (par ex., OpenAI)font face à des coûts de conformité croissants alors qu'elles sont intégrées dans le double cadre réglementaire du DSA et du Règlement sur l'IA de l'UE [9][12][14]. Cependant, avec une base d'utilisateurs trop importante pour renoncer à l'accès au marché de l'UE, ces entreprises ont des alternatives limitées à l'acceptation de la réglementation.

4. Enjeux clés

Le premier enjeu clé est l'ambiguïté dans la détermination du statut de « fournisseur ». Comme l'illustre le cas marocain, le précédent juridique n'a pas encore établi si le simple fait de vendre un service basé sur un algorithme à un client européen est suffisant pour placer une entreprise sous le champ d'application du Règlement sur l'IA [1]. Cela crée une incertitude pour toutes les entreprises non-européennes fournissant des services d'externalisation à l'Europe, et pas seulement celles du Maroc.

Le deuxième enjeu est l'asymétrie entre l'impact sur l'emploi et la capacité de réponse réglementaire. Les industries qui dépendent de tâches répétitives et à bas salaire, comme le secteur des centres d'appels et du BPO au Maroc, doivent maintenant supporter le double fardeau de l'avancée de l'automatisation par l'IA et de la conformité réglementaire de l'UE [17]. Contrairement aux grandes entreprises multinationales, les petites et moyennes entreprises d'externalisation manquent souvent de personnel dédié à la conformité, ce qui signifie que les exigences réglementaires elles-mêmes peuvent agir comme une barrière à l'entrée.

Le troisième enjeu est le potentiel pour les réglementations de l'UE de devenir des normes internationales de facto. La combinaison du Règlement sur l'IA et du DSA consolide une structure où toute entreprise mondiale souhaitant accéder au marché européen doit se conformer aux normes de l'UE, quel que soit son emplacement [2][9][10]. C'est une version IA de l'« Effet Bruxelles », ajoutant un troisième axe de compétition réglementaire menée par l'UE à la rivalité technologique sino-américaine [7]. Les pays tiers comme le Maroc, qui ne sont alignés ni sur les États-Unis ni sur la Chine, resteront probablement des preneurs de règles, exclus du processus d'établissement des normes.

II. Analyse approfondie

L'application extraterritoriale du Règlement de l'UE sur l'IA et son impact sur les entreprises au Maroc et dans d'autres pays tiers : Une analyse approfondie

1. Analyse des causes profondes

La clause d'application extraterritoriale du Règlement sur l'IA n'est pas un accident législatif. Depuis le RGPD, l'UE a explicitement utilisé l'« Effet Bruxelles » comme stratégie pour exporter ses normes, utilisant la taille de son marché comme levier pour contraindre les entreprises des pays tiers à adopter les normes de l'UE. Le Règlement sur l'IA poursuit cet héritage. La structure dans laquelle une entreprise marocaine devient un « fournisseur » dès l'instant où elle vend un logiciel de scoring à une société française [1] est le résultat direct d'une réglementation basée sur l'accès au marché de l'UE, plutôt que sur la présence physique en son sein.

Cette conception est ancrée dans les calculs de politique industrielle interne de l'UE. L'UE se perçoit comme étant en retard sur les États-Unis et la Chine en matière de compétitivité des modèles d'IA. Au lieu d'essayer de gagner la course au développement de modèles, elle a choisi une stratégie consistant à façonner les règles du marché en s'emparant préventivement du pouvoir réglementaire [7]. La désignation de ChatGPT comme VLOP en utilisant le seuil de 45 millions d'utilisateurs est une extension de cette logique [10]. Dans un marché où les grandes entreprises technologiques américaines ont une domination écrasante, une réglementation basée sur le nombre d'utilisateurs cible efficacement les entreprises américaines [12][14].

Dans le cas du Maroc, il existe une cause profonde supplémentaire : la dépendance structurelle de l'économie à la fourniture de services à l'Europe. Tirant parti de sa maîtrise de la langue française et de ses coûts de main-d'œuvre compétitifs, l'industrie marocaine des centres d'appels et de l'externalisation gère depuis longtemps les opérations de back-office pour les entreprises françaises et belges. La fédération sous l'égide de l'UMT diagnostique que cette industrie fait désormais face à la double pression de l'automatisation par l'IA et de la réglementation de l'UE [17]. Ainsi, l'impact de la réglementation extraterritoriale découle moins du texte juridique lui-même que de la dépendance de la structure industrielle marocaine vis-à-vis des clients européens.

2. Contexte structurel

Politiquement, la Commission européenne doit appliquer un cadre juridique unique pour prévenir la fragmentation réglementaire entre ses États membres. Si chacun des 27 membres créait ses propres règles en matière d'IA, l'intégrité du marché unique serait menacée. Le Règlement sur l'IA résout ce problème en transférant efficacement ces coûts de coordination aux entreprises non-européennes. L'application des mêmes normes aux entreprises internes et externes est nécessaire pour éviter les accusations de distorsion de la concurrence. Par conséquent, cette logique est appliquée de la même manière aux entreprises des pays non membres comme le Maroc.

La structure économique est asymétrique. En tant que l'un des plus grands marchés uniques au monde, l'UE possède le pouvoir de négociation pour exiger la conformité réglementaire en échange de l'accès au marché. Pour les entreprises marocaines, cependant, abandonner leurs clients de l'UE n'est pas une alternative viable, car la base de revenus de l'industrie de l'externalisation du pays dépend des contrats européens [17]. Cette asymétrie suit un schéma établi lors du déploiement du RGPD, lorsque les entreprises non-européennes qui traitaient les données de clients européens n'avaient d'autre choix que de se conformer.

D'un point de vue sécuritaire, la rivalité technologique sino-américaine forme la toile de fond. Les États-Unis promeuvent l'expansion mondiale de leurs modèles d'IA comme une stratégie nationale, tandis que la Chine cible les marchés en développement avec la distribution gratuite de modèles à poids ouverts [3]. Dans ce contexte, l'UE cherche à affirmer son influence non pas par la compétition sur les modèles, mais par la compétition sur les normes. Les pays d'Afrique et du Moyen-Orient, y compris le Maroc, qui ne sont pas entièrement alignés sur les États-Unis ou la Chine, doivent désormais composer avec les réglementations de l'UE comme une troisième force majeure. La participation de la Libye au dialogue sur la gouvernance de l'IA à Genève [16] peut être interprétée comme une tentative de sécuriser sa position au milieu de ces pressions réglementaires multipolaires.

3. Précédents historiques et comparaison avec des cas similaires

Le précédent le plus direct est le RGPD. Mis en œuvre en 2018, le RGPD a explicitement établi son application extraterritoriale à toutes les entreprises traitant les données des personnes concernées de l'UE. À l'époque, les entreprises multinationales ont fait face à des coûts de conformité substantiels, notamment en nommant des représentants dans l'UE et des délégués à la protection des données. Le Règlement sur l'IA suit ce modèle, en élargissant simplement son champ d'application du traitement des données à la fourniture et à l'utilisation de systèmes d'IA. Cependant, l'impact extraterritorial du Règlement sur l'IA est plus large, car il va un peu plus loin que le RGPD en réglementant potentiellement non seulement les « fournisseurs » mais aussi les « utilisateurs » dans des conditions spécifiques [1].

Le DSA démontre une logique similaire d'expansion extraterritoriale. La désignation de ChatGPT, Reddit et Roblox comme VLOPs [9][10] était basée sur un seul critère : la taille de leur base d'utilisateurs au sein de l'UE, et non le siège social de leur entreprise. Avec TikTok et Meta déjà soumis aux mêmes règles [12], l'UE avait déjà acquis de l'expérience en matière d'application extraterritoriale dans la réglementation des plateformes. Le Règlement sur l'IA transplante essentiellement cette expérience dans le domaine des systèmes d'IA.

Du point de vue des pays en développement, les précédents pertinents sont rares. Lors de la mise en œuvre du RGPD, les entreprises d'Afrique et du Moyen-Orient ont généralement réagi passivement. Le cas du Maroc, où les médias nationaux ont identifié des risques spécifiques pour des industries clés, est relativement inhabituel [1]. Cela reflète la forte dépendance du Maroc aux exportations de services vers l'Europe, une structure dans laquelle les risques réglementaires se traduisent rapidement en problèmes d'emploi tangibles [17].

4. Variables clés façonnant les développements futurs

La première variable est l'intensité de l'application par la Commission européenne. Bien que le texte du Règlement sur l'IA permette une large application extraterritoriale, il n'est pas certain que l'application et les sanctions réelles se concentreront sur les entreprises au sein de l'UE ou s'étendront à leurs partenaires non-européens. Un indicateur clé sera de savoir si les obligations de transparence, appliquées à partir d'août 2026 [2], seront appliquées de manière substantielle aux entreprises non-européennes dans la pratique.

La deuxième variable est le rythme des réponses législatives nationales dans les pays tiers comme le Maroc. La notification de la CNDP aux partis politiques concernant l'étiquetage du contenu généré par l'IA avant les élections générales [5] indique que le Maroc dispose déjà de certains éléments d'un système réglementaire indépendant. Si ce cadre national évolue vers un alignement sur les normes de l'UE, le double fardeau de conformité pour les entreprises marocaines pourrait être allégé. Si, cependant, les deux systèmes restent désalignés, le fardeau s'intensifiera.

La troisième variable est le pouvoir de négociation de l'industrie des centres d'appels et du BPO. La survie du secteur dépend de la question de savoir si les « politiques proactives et équitables » demandées par la fédération affiliée à l'UMT [17] seront traduites en actions gouvernementales concrètes. L'industrie faisant face simultanément aux pressions de la restructuration due à l'automatisation et aux coûts de la conformité à l'UE, un choc sur l'emploi est susceptible de se matérialiser si le gouvernement marocain ne parvient pas à mettre en œuvre des mesures pour soutenir la transition industrielle.

La quatrième variable est la concurrence avec les normes américaines et chinoises. Tant que la Chine poursuivra sa stratégie de distribution gratuite de modèles à poids ouverts sur les marchés africains [3], le modèle de conformité à coût élevé de l'UE pourrait devenir moins attractif. La question de savoir si les entreprises marocaines seront de plus en plus incitées à réorienter leur activité des clients européens vers d'autres marchés aux fardeaux réglementaires plus légers sera un test clé du pouvoir contraignant effectif des réglementations de l'UE.