12Vos données et leur souveraineté

C'est la première question que pose un dirigeant, et elle est légitime : où vont mes documents ?

Elle mérite une réponse précise, pas une phrase rassurante.

Ce qui se joue vraiment

Un système d'IA qui traite les documents d'une entreprise accède à ce qu'elle a de plus sensible : contrats, données du personnel, pièces comptables, informations clients.

Trois questions en découlent, et il faut pouvoir répondre aux trois.

Où sont physiquement les données ? Sur un serveur, dans quel pays, sous quelle juridiction.

Qui peut y accéder ? Le prestataire, ses sous-traitants, les fournisseurs de modèles.

Que deviennent-elles ? Sont-elles conservées, réutilisées, utilisées pour entraîner d'autres systèmes ?

Le cloisonnement par entreprise

Une architecture correcte isole chaque client dans son propre espace. Pas un dossier dans une base commune avec une colonne pour distinguer les entreprises — un espace séparé, avec ses propres accès et ses propres clés.

La différence n'est pas théorique. Dans le premier cas, une erreur de requête suffit à faire apparaître les données d'une entreprise dans celles d'une autre. Dans le second, c'est structurellement impossible.

Les deux modes d'hébergement

Sur infrastructure du prestataire. Les documents sont hébergés dans un espace dédié, accessibles depuis n'importe quel appareil autorisé, sauvegardés automatiquement. C'est le mode le plus souple, et celui qui permet l'accès mobile.

Entièrement chez le client. Le système s'installe sur l'infrastructure de l'entreprise. Les données ne sortent jamais des locaux. Le système continue de fonctionner sans connexion.

Le second mode a un coût — une machine dédiée, des sauvegardes à maîtriser. Il a aussi un avantage décisif pour certains secteurs : la conformité devient constatable, pas seulement contractuelle. On peut montrer la machine.

Le cadre marocain

La loi 09-08 relative à la protection des données personnelles encadre le traitement, et la CNDP en contrôle l'application.

Deux points structurent les projets d'IA en entreprise.

Le transfert transfrontalier. Envoyer des données personnelles hors du Maroc n'est pas interdit, mais cela s'encadre et se documente. Un traitement local supprime purement et simplement la question.

La finalité. Les données collectées pour un usage ne peuvent pas servir à un autre sans base légale. Un prestataire qui utiliserait les documents de ses clients pour améliorer son système sortirait du cadre.

Ce qu'il faut exiger d'un prestataire

Quatre engagements, par écrit :

Où les données sont hébergées, et sous quelle juridiction
Qu'elles ne servent pas à entraîner d'autres systèmes
Comment les accès sont cloisonnés entre clients
Ce que vous récupérez, et sous quel format, si vous partez

La souveraineté des données n'est pas un argument commercial. C'est une condition d'exercice dans certains secteurs.Ce qu'il faut retenir

It is the first question a director asks, and it is a fair one: where do my documents go?

It deserves a precise answer, not a reassuring sentence.

What is really at stake

An AI system that processes a company's documents reaches its most sensitive material: contracts, personnel data, accounting records, customer information.

Three questions follow, and all three need an answer.

Where is the data physically? On which server, in which country, under which jurisdiction.

Who can access it? The provider, its subcontractors, the model vendors.

What becomes of it? Is it retained, reused, used to train other systems?

Partitioning by company

A sound architecture isolates each client in its own space. Not a folder in a shared database with a column to tell companies apart — a separate space, with its own access and its own keys.

The difference is not theoretical. In the first case, one faulty query is enough to make one company's data appear among another's. In the second, it is structurally impossible.

The two hosting modes

On the provider's infrastructure. Documents are hosted in a dedicated space, reachable from any authorised device, backed up automatically. This is the most flexible mode, and the one that allows mobile access.

Entirely at the client's site. The system installs on the company's own infrastructure. Data never leaves the premises. The system keeps running without a connection.

The second mode has a cost — a dedicated machine, backups to manage. It also has a decisive advantage in some sectors: compliance becomes observable, not merely contractual. You can show the machine.

The Moroccan framework

Law 09-08 on the protection of personal data frames the processing, and the CNDP oversees its application.

Two points shape AI projects in companies.

Cross-border transfer. Sending personal data outside Morocco is not forbidden, but it must be framed and documented. Local processing removes the question entirely.

Purpose. Data collected for one use cannot serve another without a legal basis. A provider using its clients' documents to improve its own system would step outside that framework.

What to require from a provider

Four commitments, in writing:

Where the data is hosted, and under which jurisdiction
That it is not used to train other systems
How access is partitioned between clients
What you get back, and in what format, if you leave

Data sovereignty is not a sales argument. In some sectors it is a condition of doing business.What to remember