#

Points clés

• La charte CREST sur l'IA est soutenue par plus de 70 entreprises de cybersécurité.

• Elle définit neuf principes pour les activités de cybersécurité intégrant l'IA.

• Les acheteurs marocains peuvent l'utiliser comme liste de contrôle pour les achats.

• L'accent principal porte sur la responsabilité, la supervision, les données et l'assurance.

• Elle peut aider les banques, les opérateurs télécoms, les organismes publics et les PME à comparer les fournisseurs plus clairement.

Ce qui s'est passé

Infosecurity Magazine a rapporté le 2026-07-09 que la charte CREST sur l'IA bénéficie du soutien de plus de 70 entreprises de cybersécurité. La charte s'articule autour de neuf principes pour les activités de cybersécurité intégrant l'IA. Ceux-ci incluent la responsabilité et la gouvernance, la transparence, la documentation et l'assurance, la supervision humaine, la souveraineté des données, la sécurité et la confidentialité, le développement sécurisé des outils d'IA, l'assurance de la chaîne d'approvisionnement et la résilience.

Pour les lecteurs marocains, l'intérêt est pratique. La charte n'est ni une loi locale ni un programme spécifique au Maroc dans la source. Mais elle peut tout de même aider les acheteurs au Maroc à poser des questions plus précises lorsqu'ils évaluent des produits et services de sécurité augmentés par l'IA.

Pourquoi cela compte pour le Maroc

Les organisations marocaines sont susceptibles de faire face au même défi de base que les autres acheteurs. Elles peuvent vouloir une sécurité renforcée, mais elles ont aussi besoin de garder le contrôle sur les données, les décisions et le risque fournisseur. Cela rend la charte utile comme point de référence pour les achats et la gouvernance interne.

C'est particulièrement pertinent pour les banques, les opérateurs télécoms, les organismes publics et les PME. Ces groupes ont souvent besoin d'une documentation claire avant d'approuver un outil. Ils doivent aussi comprendre qui est responsable lorsqu'un système d'IA soutient une décision de sécurité.

Le vocabulaire de la charte autour de la responsabilité et de la supervision humaine est important ici. Les équipes marocaines peuvent vouloir savoir si un fournisseur peut expliquer le fonctionnement du système, qui examine ses résultats et comment les exceptions sont traitées. Elles peuvent aussi vouloir des preuves que l'outil a été développé et maintenu en tenant compte de la sécurité.

Cas d'usage pratiques au Maroc

Une banque marocaine pourrait utiliser la charte comme liste de contrôle pour les fournisseurs. Elle pourrait demander si le prestataire peut documenter le comportement du modèle, fournir des pistes d'audit et définir des étapes de revue humaine. Elle pourrait aussi demander comment l'outil protège les données confidentielles et comment il gère les dépendances tierces.

Un opérateur télécom peut se concentrer sur la résilience et l'assurance de la chaîne d'approvisionnement. Cela signifie vérifier si la pile de sécurité IA peut continuer à fonctionner sous contrainte et si le fournisseur peut expliquer ses propres dépendances en amont. Pour un secteur qui dépend de la continuité, ces questions comptent.

Les organismes publics peuvent utiliser la charte pour structurer les documents d'achat. Ils peuvent vouloir des réponses claires sur la souveraineté des données, la documentation et la responsabilité avant tout déploiement. Cette approche pourrait réduire la confusion par la suite, surtout lorsque plusieurs équipes partagent la responsabilité.

Les PME n'ont peut-être pas de grandes équipes de sécurité, elles ont donc besoin de contrôles plus simples. La charte peut les aider à demander si un produit est compréhensible, si des journaux sont disponibles et si le fournisseur propose un accompagnement pour une utilisation sûre. C'est utile lorsque les compétences internes sont limitées.

Contexte marocain : ce qu'il faut surveiller

La source ne mentionne ni signataires spécifiques au Maroc ni adoption locale. Toute application locale doit donc être considérée comme une hypothèse, et non comme un fait. Même ainsi, la charte correspond à des préoccupations courantes en matière d'achats au Maroc parce qu'elle met l'accent sur le contrôle et les preuves.

Le mélange des langues est un enjeu pratique. Les équipes marocaines peuvent travailler en arabe, en français et en anglais. Les fournisseurs doivent être capables de fournir une documentation que les décideurs locaux peuvent réellement utiliser. S'ils ne le peuvent pas, l'outil peut être plus difficile à gouverner.

La disponibilité des données est une autre contrainte. Les outils de sécurité intégrant l'IA dépendent souvent des journaux, des étiquettes et des archives historiques. Si ces entrées sont incomplètes, le système peut être moins fiable. Les acheteurs marocains devraient demander quelles données sont nécessaires et ce qui se passe lorsqu'elles manquent.

L'infrastructure compte aussi. Certains outils peuvent nécessiter une connectivité stable, un travail d'intégration important ou des mises à jour régulières. Les organisations marocaines devraient vérifier si leur environnement peut prendre en charge le produit avant de s'engager.

Risques et gouvernance

Les neuf principes de la charte mettent en évidence les principaux risques. Si la responsabilité n'est pas claire, personne ne sait qui assume le résultat. Si la documentation est faible, les audits deviennent difficiles. Si la supervision humaine est absente, les équipes peuvent faire trop vite confiance aux résultats.

La confidentialité et la protection des données sont également centrales. Les outils de sécurité IA peuvent traiter des données opérationnelles sensibles. Les organisations marocaines devraient demander comment les données sont stockées, qui peut y accéder et si elles sont utilisées au-delà du service immédiat. Ces questions sont particulièrement importantes dans les environnements réglementés ou du secteur public.

Le risque cybernétique ne disparaît pas parce qu'un outil est censé améliorer la sécurité. Les outils d'IA peuvent introduire de nouvelles surfaces d'attaque, de nouvelles dépendances et de nouveaux modes de défaillance. Le développement sécurisé et l'assurance de la chaîne d'approvisionnement ne sont donc pas des options. Ils font partie de l'examen central des risques.

La conformité doit également être examinée avec attention. La source ne cite aucune exigence juridique marocaine spécifique. Néanmoins, les décideurs publics et les acheteurs marocains peuvent vouloir des règles d'achat qui exigent des preuves, de la traçabilité et une responsabilité claire. Cela rendrait l'usage de l'IA plus facile à superviser.

Ce que les acheteurs marocains peuvent faire ensuite

Commencez par un questionnaire simple pour les fournisseurs. Demandez les neuf principes de la charte en langage clair. Exigez une documentation sur la gouvernance, la supervision, le traitement des données et la résilience. Si le fournisseur ne peut pas répondre clairement, c'est un signal d'alerte.

Ensuite, testez l'outil dans un cadre limité. Un pilote peut montrer si le système s'intègre aux flux de travail locaux et si le personnel peut comprendre ses résultats. C'est utile au Maroc, où les équipes peuvent devoir concilier rapidité et contrôle.

Enfin, établissez une responsabilité interne. La sécurité, le juridique, les achats et les opérations devraient tous examiner l'outil avant son déploiement. C'est particulièrement important lorsque l'IA influence des décisions sensibles. Un processus d'examen partagé peut réduire les angles morts et améliorer la responsabilité.

En résumé

La charte CREST sur l'IA est un signal mondial, pas une annonce spécifique au Maroc. Mais ses principes correspondent bien aux questions que les organisations marocaines devraient déjà poser. Pour les acheteurs au Maroc, la vraie valeur n'est pas l'étiquette. C'est la liste de contrôle.

Si un fournisseur peut démontrer la responsabilité, la supervision, la documentation et la résilience, il devient plus facile de faire confiance au produit. S'il ne le peut pas, les acheteurs marocains devraient ralentir et demander davantage de preuves. C'est une manière pratique de gérer l'IA dans la cybersécurité sans trop présumer.