Le Matin : La loi-cadre «Digital X.0» est au Secrétariat général du gouvernement. Elle pose des principes de gouvernance des données, d'identité numérique sectorielle et d'interopérabilité fondée sur un consentement traçable. Concrètement, pour une entreprise marocaine, qu'est-ce qui change le jour où ce texte entre en vigueur ?
Omar Seghrouchni, président de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), rappelle dans ses sorties médiatiques que l'intelligence artificielle (IA) n'est qu'un traitement parmi d'autres au sens de la loi 09-08, et qu'une refonte de cette loi est elle aussi dans le circuit législatif. Les entreprises vont donc devoir composer avec deux textes qui avancent en parallèle. Comment les articuler sans avoir à subir deux chantiers de conformité ?
Simplement en industrialisant la gouvernance Data. Il ne faut pas lancer deux projets de conformité séparés : un même inventaire et une même cartographie des données peuvent servir de socle aux deux démarches. La loi 09-08 encadre la protection des données personnelles ; Digital X.0 pourrait élargir les exigences relatives à leur circulation et à l'interopérabilité. En identifiant les données, leurs usages, les responsabilités et les conditions de partage, l'entreprise peut répondre de manière cohérente à ces exigences, puis adapter les contrôles propres à chaque texte.
La CNDP constate que beaucoup de responsables de traitement ne font même pas leurs notifications préalables, et que «les lacunes sont encore importantes». Dans vos missions, quelle proportion des entreprises que vous auditez est réellement en règle sur ce socle minimal ?
Chez Baker Tilly Seven, nous travaillons principalement avec de grandes entreprises marocaines où la protection des données personnelles fait généralement l’objet d’une attention particulière. Ces organisations disposent le plus souvent de dispositifs structurés pour répondre à leurs obligations, notamment de déclaration auprès de la CNDP. Comme notre métier n’est pas d’auditer la conformité réglementaire, nous ne sommes pas en mesure de confirmer ou d’infirmer le constat de la CNDP, ni d’avancer un taux de conformité représentatif de l’ensemble des entreprises marocaines. Mais ce que nous voyons surtout, c’est qu’être en règle sur le papier ne dit pas encore qui répond de la donnée au quotidien.
Quand une direction générale vous demande ce qu'est la gouvernance des données, que lui répondez-vous en une phrase, sans jargon technique ?
La gouvernance des données, c'est organiser et valoriser les données comme un patrimoine commun de l'entreprise, en définissant des règles du jeu partagées pour garantir leur qualité, clarifier les responsabilités et permettre à chacun de les exploiter efficacement.
Vous décrivez des entreprises où coexistent plusieurs versions d'un même indicateur et des tableaux de bord auxquels personne ne se fie. Pouvez-vous raconter un cas marocain précis, même anonymisé, où ce problème a conduit à une mauvaise décision ?
Je pense à un grand groupe financier marocain dont une filiale était considérée par sa maison mère comme insuffisamment rentable. Le problème venait notamment de la manière dont sa performance était évaluée. On mesurait essentiellement sa rentabilité directe, alors que cette filiale contribuait à l'acquisition de nouveaux clients, qui développaient ensuite des relations commerciales rentables avec d'autres entités du groupe. Autrement dit, la maison mère sous-estimait la contribution économique réelle de sa filiale parce qu'elle ne disposait pas d'une vision consolidée de la valeur créée à l'échelle du groupe. Nous avons accompagné ce groupe dans la structuration de ses données, la clarification des règles de gouvernance et la construction de nouveaux indicateurs permettant de mesurer cette contribution globale. Ce travail a conduit la maison mère à revoir son appréciation de la rentabilité de sa filiale et à disposer d'une vision plus juste de sa performance. Cet exemple montre qu'on peut porter un jugement erroné sur la performance d'une activité, même avec des chiffres parfaitement exacts, simplement parce qu'on ne mesure pas toute la valeur qu'elle crée.
Quelle différence faites-vous entre protection des données personnelles, qui est le domaine de la CNDP, et gouvernance des données au sens large ? Les entreprises confondent-elles les deux ?
La conformité à la loi 09-08 ne garantit pas, à elle seule, que les données sont fiables et utilisables. Un fichier client peut être déclaré auprès de la CNDP et contenir malgré tout trois adresses différentes pour une même personne. La protection des données personnelles porte notamment sur la licéité et les conditions de leur traitement ; la gouvernance des données couvre aussi leur qualité, leur définition, leur cohérence entre systèmes, les responsabilités et les usages. Les deux démarches sont complémentaires, mais ne se confondent pas.
Vous affirmez que tant que personne n'est désigné pour définir, contrôler et corriger une donnée, aucun projet d'IA ne tient. Combien de grandes entreprises marocaines, à votre connaissance, ont aujourd'hui un Chief Data Officer ou un équivalent doté d'un vrai pouvoir ?
Dans notre propre portefeuille de grands clients, de l'ordre de 80 à 90% disposent d'un Chief Data Officer (CDO) ou d'une fonction équivalente. Ce constat n'est absolument pas une statistique représentative des entreprises marocaines. Et l'existence du titre ne suffit pas : le vrai sujet est le mandat réel, la capacité à coordonner métiers et IT (technologies de l'information), à arbitrer les définitions et à améliorer de façon mesurable la qualité des données critiques.
Dans la pratique, ce rôle est souvent attribué à la DSI (direction des systèmes d'information), parfois à la direction financière, parfois à personne. Pourquoi ce flou persiste-t-il, et à qui, selon vous, ce poste doit-il être rattaché ?
Le CDO devrait idéalement être rattaché à la direction générale, ou à un niveau lui permettant d'arbitrer entre plusieurs directions. Le flou persiste parce que la donnée est à la fois un sujet métier et un sujet de systèmes d'information : les métiers en connaissent le sens et les usages, tandis que l'IT maîtrise les infrastructures qui la produisent et la diffusent. Ce rattachement ne suffit toutefois pas : il lui faut un mandat transversal, une capacité d'arbitrage et des moyens humains pour agir. Selon les entreprises, le rôle s'est construit autour de l'IT, de la conformité, de la sécurité ou du développement commercial, ce qui explique la diversité de ses positionnements.
La loi 09-08 crée déjà une responsabilité juridique, celle du responsable de traitement. Pourquoi cette responsabilité légale ne s'est-elle pas traduite en responsabilité opérationnelle dans les organisations ?
La responsabilité juridique du traitement des données personnelles incombe à l'organisme responsable de ce traitement ; elle ne désigne pas automatiquement les personnes qui doivent gérer la qualité des données au quotidien. Sur le terrain, il faut attribuer explicitement les responsabilités opérationnelles : qui définit un indicateur, qui contrôle la donnée, qui corrige une anomalie et qui arbitre en cas de désaccord ? Des pratiques existent souvent dans chaque métier ; le défi est de les rendre cohérentes à l'échelle de l'entreprise.
Pouvez-vous mettre un ordre de grandeur sur le coût d'une donnée non gouvernée, en temps perdu, en reporting erroné ou en sanction ?
Le coût le plus visible d’une donnée mal gouvernée est le temps passé à rapprocher, vérifier et corriger des chiffres au lieu de les analyser. S’y ajoutent les erreurs de reporting, les retards opérationnels et les difficultés à déployer certains usages de l’intelligence artificielle. Les conséquences économiques peuvent être considérables. Selon une étude de Forrester, également relayée par IBM, plus d’un quart des professionnels interrogés qui considèrent la mauvaise qualité des données comme un obstacle estiment que leur organisation perd plus de 5 millions de dollars par an à cause de ce problème. Ces chiffres internationaux ne sont évidemment pas directement transposables au Maroc, mais ils donnent un ordre de grandeur. Pour autant, le coût le plus important d’une donnée de mauvaise qualité n’est pas nécessairement celui de sa correction, mais celui de la mauvaise décision qu’elle peut provoquer. Lorsqu’une entreprise évalue un risque, une activité ou un investissement sur la base de données erronées, les conséquences peuvent largement dépasser les coûts opérationnels. C’est pourquoi le coût de la mauvaise qualité des données doit aussi s’apprécier à travers ses conséquences sur les décisions et la performance de l’entreprise.
Les banques et les assurances sont en première ligne, dites-vous. Est-ce parce que Bank Al-Maghrib et l'Acaps (Autorité de contrôle des assurances et de la prévoyance sociale) exigent déjà des reportings prudentiels dont la qualité dépend directement de la donnée, ou parce que ce sont les secteurs les plus exposés en cas de fuite ?
Les banques et les assurances sont en première ligne parce que leurs décisions dépendent directement de la qualité des données : risque, connaissance client, tarification, fraude et reporting prudentiel. Le problème ne se limite pas aux fuites ou à la conformité. Deux directions peuvent, par exemple, présenter des chiffres d’affaires différents pour une même activité, parce qu’elles n’appliquent pas les mêmes règles de calcul ou de rattachement. Les données peuvent être exactes dans chaque système, mais les indicateurs deviennent difficiles à comparer et les décisions de pilotage peuvent en pâtir. Avec l’IA, une définition partagée et une donnée fiable deviennent aussi des leviers de compétitivité et de qualité de service.
Bank Al-Maghrib travaille sur l'open banking, qui suppose de partager des données clients avec des tiers. Une banque dont la donnée interne n'est pas gouvernée peut-elle sérieusement s'y engager ?
Une banque ne peut pas sérieusement s'engager dans l'open banking sans maîtriser les données qu'elle souhaite partager. Cela ne signifie pas qu'elle doit avoir achevé l'ensemble de son programme de gouvernance Data avant de commencer. Elle doit en revanche garantir la fiabilité des données critiques pour les services envisagés : l'identité des clients, les informations relatives aux comptes, les soldes et, selon les usages autorisés, les transactions. Elle doit également savoir précisément qui est responsable de ces données, comment leur qualité est contrôlée et dans quelles conditions elles peuvent être partagées avec des tiers, dans le respect des autorisations des clients. L'open banking ne consiste pas à ouvrir les données à tout le monde, mais à permettre leur circulation dans un cadre de confiance.
La CNDP insiste sur la dimension géopolitique de la donnée et sur la question du cloud étranger. Dans vos missions, la localisation des données fait-elle partie des arbitrages de gouvernance, ou reste-t-elle une question purement technique laissée à la DSI ?
La souveraineté des données est avant tout un enjeu de sécurité et de maîtrise des risques. La question de leur localisation est particulièrement importante pour les données sensibles et les secteurs stratégiques, notamment lorsqu'il s'agit de maîtriser les conditions d'accès aux données et les juridictions auxquelles elles peuvent être soumises. Le recours au cloud, y compris étranger, offre des opportunités considérables et ne doit pas être opposé systématiquement à la souveraineté. L'essentiel est d'évaluer les risques et les garanties offertes en fonction de la sensibilité des données et des exigences réglementaires. La gouvernance Data intervient dans ce cadre pour s'assurer que ces choix sont cohérents avec les usages et les besoins de l'entreprise. Ce sont donc des arbitrages qui doivent associer la sécurité, la conformité, les métiers et la DSI.
Une entreprise qui n'a ni CDO ni budget pour un grand programme, par quoi doit-elle commencer, concrètement, dans les six premiers mois ?
Mieux vaut commencer simplement : partager une vision commune, identifier quelques données critiques pour l'activité, mesurer leur qualité et clarifier qui est responsable de leur définition et de leur correction. Puis tester ces règles sur un ou deux cas d'usage concrets, avec des indicateurs de progrès suivis dans le temps. En s'appuyant sur les collaborateurs et les rôles existants, une entreprise peut installer en six mois une gouvernance proportionnée et utile, sans lancer immédiatement un grand programme.
Le gouvernement forme 200.000 jeunes au numérique et à l'IA, et a signé avec Mistral AI pour des modèles en arabe et en amazighe. Trouve-t-on au Maroc les profils de data stewards et de data owners nécessaires, ou le goulot d'étranglement est-il aussi humain ?
Le principal défi n'est pas tant de trouver des spécialistes techniques que de mobiliser des compétences déjà présentes dans les entreprises. Un Data Owner est un responsable métier qui décide de la définition d'une donnée et des exigences associées. Un Data Steward est un collaborateur qui veille au quotidien à sa qualité. Ces rôles peuvent être confiés à des personnes qui connaissent déjà parfaitement l'activité de l'entreprise, à condition de clarifier leurs responsabilités et de les former. Le véritable goulot d'étranglement n'est pas seulement la disponibilité des compétences : c'est le temps que les entreprises acceptent d'accorder à ces responsabilités métier.
Les cabinets de conseil comme le vôtre vivent de ces chantiers. Comment une entreprise peut-elle distinguer un besoin réel de gouvernance d'une mode vendue par les consultants ?
Une démarche de gouvernance Data doit avant tout répondre à des enjeux métier concrets et démontrer son utilité par des résultats mesurables. Mon premier critère est simple : la qualité des données critiques s'améliore-t-elle réellement ? Le véritable signal d'alerte, ce sont les programmes lancés uniquement pour répondre à une recommandation d'audit ou satisfaire un comité, qui aboutissent à des rapports et des procédures finissant dans un tiroir. Une gouvernance utile se voit sur le terrain : moins d'anomalies, moins de retraitements, des indicateurs plus fiables et des décisions mieux éclairées. Sa réussite se mesure à ce qui change concrètement dans l'entreprise, pas au nombre de livrables produits.
Si vous aviez un amendement à proposer au texte «Digital X.0» avant son passage au Parlement, lequel ?
Si je devais proposer un amendement à Digital X.0, ce serait d’exiger de tout organisme partageant des données qu’il puisse apporter des garanties concrètes sur leur gouvernance et leur qualité. Il devrait notamment être capable de démontrer que les données partagées sont suffisamment fiables, à jour et cohérentes pour les usages auxquels elles sont destinées, à travers des règles de gouvernance clairement établies et des contrôles documentés et vérifiables. Cela suppose également de désigner un responsable clairement identifié, chargé de garantir leur qualité, leur traçabilité et le respect des conditions de partage. On ne peut pas bâtir une économie de la donnée sur le seul principe de son partage ; il faut aussi instaurer la confiance dans les données qui circulent.
Jalal Benabdouh : Digital X.0 pourrait marquer une évolution importante dans la façon dont les données sont utilisées et partagées au Maroc. Au-delà de la transformation numérique des administrations et des entreprises, l’enjeu est de permettre une circulation plus fluide des données dans un cadre sécurisé. On peut regarder ce qui se fait ailleurs : en Estonie, administrations et entreprises, y compris les banques, échangent leurs données sur une plateforme commune, X-Road. Chaque échange est tracé, et la loi interdit de redemander à une entreprise une information déjà enregistrée dans une base publique. Pour les entreprises marocaines, les conséquences dépendront des dispositions qui seront retenues, mais si le texte encourage davantage le partage et la traçabilité des données, elles devront garantir leur fiabilité et préciser qui en est responsable. Dans les entreprises qu’on accompagne, on voit encore des données dispersées, des définitions et des responsabilités parfois différentes d’un service à l’autre. La gouvernance Data devient donc un levier pour rendre les données vraiment utilisables en confiance. Les entreprises qui ont déjà engagé ce travail auront donc une longueur d’avance.
Omar Seghrouchni, président de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), rappelle dans ses sorties médiatiques que l'intelligence artificielle (IA) n'est qu'un traitement parmi d'autres au sens de la loi 09-08, et qu'une refonte de cette loi est elle aussi dans le circuit législatif. Les entreprises vont donc devoir composer avec deux textes qui avancent en parallèle. Comment les articuler sans avoir à subir deux chantiers de conformité ?
Simplement en industrialisant la gouvernance Data. Il ne faut pas lancer deux projets de conformité séparés : un même inventaire et une même cartographie des données peuvent servir de socle aux deux démarches. La loi 09-08 encadre la protection des données personnelles ; Digital X.0 pourrait élargir les exigences relatives à leur circulation et à l'interopérabilité. En identifiant les données, leurs usages, les responsabilités et les conditions de partage, l'entreprise peut répondre de manière cohérente à ces exigences, puis adapter les contrôles propres à chaque texte.
La CNDP constate que beaucoup de responsables de traitement ne font même pas leurs notifications préalables, et que «les lacunes sont encore importantes». Dans vos missions, quelle proportion des entreprises que vous auditez est réellement en règle sur ce socle minimal ?
Chez Baker Tilly Seven, nous travaillons principalement avec de grandes entreprises marocaines où la protection des données personnelles fait généralement l’objet d’une attention particulière. Ces organisations disposent le plus souvent de dispositifs structurés pour répondre à leurs obligations, notamment de déclaration auprès de la CNDP. Comme notre métier n’est pas d’auditer la conformité réglementaire, nous ne sommes pas en mesure de confirmer ou d’infirmer le constat de la CNDP, ni d’avancer un taux de conformité représentatif de l’ensemble des entreprises marocaines. Mais ce que nous voyons surtout, c’est qu’être en règle sur le papier ne dit pas encore qui répond de la donnée au quotidien.
Quand une direction générale vous demande ce qu'est la gouvernance des données, que lui répondez-vous en une phrase, sans jargon technique ?
La gouvernance des données, c'est organiser et valoriser les données comme un patrimoine commun de l'entreprise, en définissant des règles du jeu partagées pour garantir leur qualité, clarifier les responsabilités et permettre à chacun de les exploiter efficacement.
Vous décrivez des entreprises où coexistent plusieurs versions d'un même indicateur et des tableaux de bord auxquels personne ne se fie. Pouvez-vous raconter un cas marocain précis, même anonymisé, où ce problème a conduit à une mauvaise décision ?
Je pense à un grand groupe financier marocain dont une filiale était considérée par sa maison mère comme insuffisamment rentable. Le problème venait notamment de la manière dont sa performance était évaluée. On mesurait essentiellement sa rentabilité directe, alors que cette filiale contribuait à l'acquisition de nouveaux clients, qui développaient ensuite des relations commerciales rentables avec d'autres entités du groupe. Autrement dit, la maison mère sous-estimait la contribution économique réelle de sa filiale parce qu'elle ne disposait pas d'une vision consolidée de la valeur créée à l'échelle du groupe. Nous avons accompagné ce groupe dans la structuration de ses données, la clarification des règles de gouvernance et la construction de nouveaux indicateurs permettant de mesurer cette contribution globale. Ce travail a conduit la maison mère à revoir son appréciation de la rentabilité de sa filiale et à disposer d'une vision plus juste de sa performance. Cet exemple montre qu'on peut porter un jugement erroné sur la performance d'une activité, même avec des chiffres parfaitement exacts, simplement parce qu'on ne mesure pas toute la valeur qu'elle crée.
Quelle différence faites-vous entre protection des données personnelles, qui est le domaine de la CNDP, et gouvernance des données au sens large ? Les entreprises confondent-elles les deux ?
La conformité à la loi 09-08 ne garantit pas, à elle seule, que les données sont fiables et utilisables. Un fichier client peut être déclaré auprès de la CNDP et contenir malgré tout trois adresses différentes pour une même personne. La protection des données personnelles porte notamment sur la licéité et les conditions de leur traitement ; la gouvernance des données couvre aussi leur qualité, leur définition, leur cohérence entre systèmes, les responsabilités et les usages. Les deux démarches sont complémentaires, mais ne se confondent pas.
Vous affirmez que tant que personne n'est désigné pour définir, contrôler et corriger une donnée, aucun projet d'IA ne tient. Combien de grandes entreprises marocaines, à votre connaissance, ont aujourd'hui un Chief Data Officer ou un équivalent doté d'un vrai pouvoir ?
Dans notre propre portefeuille de grands clients, de l'ordre de 80 à 90% disposent d'un Chief Data Officer (CDO) ou d'une fonction équivalente. Ce constat n'est absolument pas une statistique représentative des entreprises marocaines. Et l'existence du titre ne suffit pas : le vrai sujet est le mandat réel, la capacité à coordonner métiers et IT (technologies de l'information), à arbitrer les définitions et à améliorer de façon mesurable la qualité des données critiques.
Dans la pratique, ce rôle est souvent attribué à la DSI (direction des systèmes d'information), parfois à la direction financière, parfois à personne. Pourquoi ce flou persiste-t-il, et à qui, selon vous, ce poste doit-il être rattaché ?
Le CDO devrait idéalement être rattaché à la direction générale, ou à un niveau lui permettant d'arbitrer entre plusieurs directions. Le flou persiste parce que la donnée est à la fois un sujet métier et un sujet de systèmes d'information : les métiers en connaissent le sens et les usages, tandis que l'IT maîtrise les infrastructures qui la produisent et la diffusent. Ce rattachement ne suffit toutefois pas : il lui faut un mandat transversal, une capacité d'arbitrage et des moyens humains pour agir. Selon les entreprises, le rôle s'est construit autour de l'IT, de la conformité, de la sécurité ou du développement commercial, ce qui explique la diversité de ses positionnements.
La loi 09-08 crée déjà une responsabilité juridique, celle du responsable de traitement. Pourquoi cette responsabilité légale ne s'est-elle pas traduite en responsabilité opérationnelle dans les organisations ?
La responsabilité juridique du traitement des données personnelles incombe à l'organisme responsable de ce traitement ; elle ne désigne pas automatiquement les personnes qui doivent gérer la qualité des données au quotidien. Sur le terrain, il faut attribuer explicitement les responsabilités opérationnelles : qui définit un indicateur, qui contrôle la donnée, qui corrige une anomalie et qui arbitre en cas de désaccord ? Des pratiques existent souvent dans chaque métier ; le défi est de les rendre cohérentes à l'échelle de l'entreprise.
Pouvez-vous mettre un ordre de grandeur sur le coût d'une donnée non gouvernée, en temps perdu, en reporting erroné ou en sanction ?
Le coût le plus visible d’une donnée mal gouvernée est le temps passé à rapprocher, vérifier et corriger des chiffres au lieu de les analyser. S’y ajoutent les erreurs de reporting, les retards opérationnels et les difficultés à déployer certains usages de l’intelligence artificielle. Les conséquences économiques peuvent être considérables. Selon une étude de Forrester, également relayée par IBM, plus d’un quart des professionnels interrogés qui considèrent la mauvaise qualité des données comme un obstacle estiment que leur organisation perd plus de 5 millions de dollars par an à cause de ce problème. Ces chiffres internationaux ne sont évidemment pas directement transposables au Maroc, mais ils donnent un ordre de grandeur. Pour autant, le coût le plus important d’une donnée de mauvaise qualité n’est pas nécessairement celui de sa correction, mais celui de la mauvaise décision qu’elle peut provoquer. Lorsqu’une entreprise évalue un risque, une activité ou un investissement sur la base de données erronées, les conséquences peuvent largement dépasser les coûts opérationnels. C’est pourquoi le coût de la mauvaise qualité des données doit aussi s’apprécier à travers ses conséquences sur les décisions et la performance de l’entreprise.
Les banques et les assurances sont en première ligne, dites-vous. Est-ce parce que Bank Al-Maghrib et l'Acaps (Autorité de contrôle des assurances et de la prévoyance sociale) exigent déjà des reportings prudentiels dont la qualité dépend directement de la donnée, ou parce que ce sont les secteurs les plus exposés en cas de fuite ?
Les banques et les assurances sont en première ligne parce que leurs décisions dépendent directement de la qualité des données : risque, connaissance client, tarification, fraude et reporting prudentiel. Le problème ne se limite pas aux fuites ou à la conformité. Deux directions peuvent, par exemple, présenter des chiffres d’affaires différents pour une même activité, parce qu’elles n’appliquent pas les mêmes règles de calcul ou de rattachement. Les données peuvent être exactes dans chaque système, mais les indicateurs deviennent difficiles à comparer et les décisions de pilotage peuvent en pâtir. Avec l’IA, une définition partagée et une donnée fiable deviennent aussi des leviers de compétitivité et de qualité de service.
Bank Al-Maghrib travaille sur l'open banking, qui suppose de partager des données clients avec des tiers. Une banque dont la donnée interne n'est pas gouvernée peut-elle sérieusement s'y engager ?
Une banque ne peut pas sérieusement s'engager dans l'open banking sans maîtriser les données qu'elle souhaite partager. Cela ne signifie pas qu'elle doit avoir achevé l'ensemble de son programme de gouvernance Data avant de commencer. Elle doit en revanche garantir la fiabilité des données critiques pour les services envisagés : l'identité des clients, les informations relatives aux comptes, les soldes et, selon les usages autorisés, les transactions. Elle doit également savoir précisément qui est responsable de ces données, comment leur qualité est contrôlée et dans quelles conditions elles peuvent être partagées avec des tiers, dans le respect des autorisations des clients. L'open banking ne consiste pas à ouvrir les données à tout le monde, mais à permettre leur circulation dans un cadre de confiance.
La CNDP insiste sur la dimension géopolitique de la donnée et sur la question du cloud étranger. Dans vos missions, la localisation des données fait-elle partie des arbitrages de gouvernance, ou reste-t-elle une question purement technique laissée à la DSI ?
La souveraineté des données est avant tout un enjeu de sécurité et de maîtrise des risques. La question de leur localisation est particulièrement importante pour les données sensibles et les secteurs stratégiques, notamment lorsqu'il s'agit de maîtriser les conditions d'accès aux données et les juridictions auxquelles elles peuvent être soumises. Le recours au cloud, y compris étranger, offre des opportunités considérables et ne doit pas être opposé systématiquement à la souveraineté. L'essentiel est d'évaluer les risques et les garanties offertes en fonction de la sensibilité des données et des exigences réglementaires. La gouvernance Data intervient dans ce cadre pour s'assurer que ces choix sont cohérents avec les usages et les besoins de l'entreprise. Ce sont donc des arbitrages qui doivent associer la sécurité, la conformité, les métiers et la DSI.
Une entreprise qui n'a ni CDO ni budget pour un grand programme, par quoi doit-elle commencer, concrètement, dans les six premiers mois ?
Mieux vaut commencer simplement : partager une vision commune, identifier quelques données critiques pour l'activité, mesurer leur qualité et clarifier qui est responsable de leur définition et de leur correction. Puis tester ces règles sur un ou deux cas d'usage concrets, avec des indicateurs de progrès suivis dans le temps. En s'appuyant sur les collaborateurs et les rôles existants, une entreprise peut installer en six mois une gouvernance proportionnée et utile, sans lancer immédiatement un grand programme.
Le gouvernement forme 200.000 jeunes au numérique et à l'IA, et a signé avec Mistral AI pour des modèles en arabe et en amazighe. Trouve-t-on au Maroc les profils de data stewards et de data owners nécessaires, ou le goulot d'étranglement est-il aussi humain ?
Le principal défi n'est pas tant de trouver des spécialistes techniques que de mobiliser des compétences déjà présentes dans les entreprises. Un Data Owner est un responsable métier qui décide de la définition d'une donnée et des exigences associées. Un Data Steward est un collaborateur qui veille au quotidien à sa qualité. Ces rôles peuvent être confiés à des personnes qui connaissent déjà parfaitement l'activité de l'entreprise, à condition de clarifier leurs responsabilités et de les former. Le véritable goulot d'étranglement n'est pas seulement la disponibilité des compétences : c'est le temps que les entreprises acceptent d'accorder à ces responsabilités métier.
Les cabinets de conseil comme le vôtre vivent de ces chantiers. Comment une entreprise peut-elle distinguer un besoin réel de gouvernance d'une mode vendue par les consultants ?
Une démarche de gouvernance Data doit avant tout répondre à des enjeux métier concrets et démontrer son utilité par des résultats mesurables. Mon premier critère est simple : la qualité des données critiques s'améliore-t-elle réellement ? Le véritable signal d'alerte, ce sont les programmes lancés uniquement pour répondre à une recommandation d'audit ou satisfaire un comité, qui aboutissent à des rapports et des procédures finissant dans un tiroir. Une gouvernance utile se voit sur le terrain : moins d'anomalies, moins de retraitements, des indicateurs plus fiables et des décisions mieux éclairées. Sa réussite se mesure à ce qui change concrètement dans l'entreprise, pas au nombre de livrables produits.
Si vous aviez un amendement à proposer au texte «Digital X.0» avant son passage au Parlement, lequel ?
Si je devais proposer un amendement à Digital X.0, ce serait d’exiger de tout organisme partageant des données qu’il puisse apporter des garanties concrètes sur leur gouvernance et leur qualité. Il devrait notamment être capable de démontrer que les données partagées sont suffisamment fiables, à jour et cohérentes pour les usages auxquels elles sont destinées, à travers des règles de gouvernance clairement établies et des contrôles documentés et vérifiables. Cela suppose également de désigner un responsable clairement identifié, chargé de garantir leur qualité, leur traçabilité et le respect des conditions de partage. On ne peut pas bâtir une économie de la donnée sur le seul principe de son partage ; il faut aussi instaurer la confiance dans les données qui circulent.
