--- title: "IA et loi organique n° 2004-63 sur la protection des données personnelles" description: "Ce que la loi organique n° 2004-63 implique pour un projet d'IA en Tunisie : principes, INPDP, données sensibles, transferts à l'étranger." url: https://neuratech-solutions.com/ressources/ia-protection-donnees-tunisie/ lang: fr updated: 2026-10-15 --- Guide # IA et loi organique n° 2004-63 sur la protection des données personnelles Ce que la loi organique n° 2004-63 implique pour un projet d'IA en Tunisie : principes, INPDP, données sensibles, transferts à l'étranger. Par Alaa Nebli Publié le 15 octobre 2026 Mis à jour le 15 octobre 2026 6 min de lecture En bref En Tunisie, tout projet d'IA qui traite des données personnelles est soumis à la **loi organique n° 2004-63 du 27 juillet 2004**, contrôlée par l'**INPDP**. Concrètement, un agent IA doit traiter le minimum de données nécessaire, pour une finalité définie, avec une base légale (souvent le consentement), un hébergement sécurisé, des formalités auprès de l'INPDP lorsque la loi les exige, et une attention particulière aux données sensibles et aux transferts vers l'étranger. Sommaire 1. [Quelle loi encadre les données personnelles en Tunisie ?](#quelle-loi-encadre-les-donnees-personnelles-en-tunisie) 2. [Quel est le rôle de l'INPDP ?](#quel-est-le-role-de-l-inpdp) 3. [Quels principes de la loi s'appliquent à un agent IA ?](#quels-principes-de-la-loi-s-appliquent-a-un-agent-ia) 4. [Quelles formalités prévoir avant de lancer un projet d'IA ?](#quelles-formalites-prevoir-avant-de-lancer-un-projet-d-ia) 5. [Comment traiter les données sensibles, comme les données de santé ?](#comment-traiter-les-donnees-sensibles-comme-les-donnees-de-sante) 6. [Peut-on utiliser un modèle d'IA hébergé à l'étranger ?](#peut-on-utiliser-un-modele-d-ia-heberge-a-l-etranger) 7. [Quelles bonnes pratiques appliquer dès la conception ?](#quelles-bonnes-pratiques-appliquer-des-la-conception) 8. [Quelles questions poser à un prestataire d'IA sur les données ?](#quelles-questions-poser-a-un-prestataire-d-ia-sur-les-donnees) 9. [Que faire si la loi évolue ?](#que-faire-si-la-loi-evolue) ### Sommaire [Quelle loi encadre les données personnelles en Tunisie ?](#quelle-loi-encadre-les-donnees-personnelles-en-tunisie)[Quel est le rôle de l'INPDP ?](#quel-est-le-role-de-l-inpdp)[Quels principes de la loi s'appliquent à un agent IA ?](#quels-principes-de-la-loi-s-appliquent-a-un-agent-ia)[Quelles formalités prévoir avant de lancer un projet d'IA ?](#quelles-formalites-prevoir-avant-de-lancer-un-projet-d-ia)[Comment traiter les données sensibles, comme les données de santé ?](#comment-traiter-les-donnees-sensibles-comme-les-donnees-de-sante)[Peut-on utiliser un modèle d'IA hébergé à l'étranger ?](#peut-on-utiliser-un-modele-d-ia-heberge-a-l-etranger)[Quelles bonnes pratiques appliquer dès la conception ?](#quelles-bonnes-pratiques-appliquer-des-la-conception)[Quelles questions poser à un prestataire d'IA sur les données ?](#quelles-questions-poser-a-un-prestataire-d-ia-sur-les-donnees)[Que faire si la loi évolue ?](#que-faire-si-la-loi-evolue) > Ce guide présente des principes généraux pour aider à cadrer un projet d'IA. Il ne constitue pas un avis juridique : pour un projet donné, consultez un avocat ou l'INPDP, et vérifiez l'état des textes en vigueur à la date de votre projet. ## Quelle loi encadre les données personnelles en Tunisie ? En Tunisie, les données personnelles sont encadrées par la **loi organique n° 2004-63 du 27 juillet 2004** portant sur la protection des données à caractère personnel. La Constitution tunisienne protège également le droit à la vie privée et à la protection des données personnelles. La Tunisie a par ailleurs adhéré en 2017 à la Convention 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel. La loi organique n° 2004-63 s'applique à tout traitement de données permettant d'identifier une personne physique : nom, numéro de téléphone, numéro de CIN, adresse, enregistrement vocal, conversation WhatsApp, dossier médical. Un agent IA qui lit des messages clients, transcrit des appels ou extrait des données de pièces d'identité réalise donc un traitement de données personnelles au sens de cette loi. ## Quel est le rôle de l'INPDP ? L'**INPDP** (Instance nationale de protection des données personnelles), créée par la loi organique n° 2004-63, est l'autorité tunisienne chargée de veiller à l'application de la loi. Elle reçoit les déclarations et les demandes d'autorisation de traitement, instruit les plaintes, contrôle les responsables de traitement et peut prononcer des décisions. Pour un projet d'IA, l'INPDP est l'interlocuteur à consulter lorsque le traitement nécessite une déclaration ou une autorisation préalable, notamment pour les données sensibles et les transferts de données vers l'étranger. ## Quels principes de la loi s'appliquent à un agent IA ? Les principes de la loi organique n° 2004-63 s'appliquent directement à la conception d'un agent IA. Les principaux sont les suivants : | Principe | Ce qu'il signifie pour un projet d'IA | | --- | --- | | Finalité déterminée | L'agent IA traite les données pour un objectif précis et annoncé (prendre un rendez-vous, traiter une commande), pas pour d'autres usages non prévus | | Proportionnalité et minimisation | L'agent ne collecte et ne transmet au modèle d'IA que les données nécessaires à la tâche | | Consentement et information | La personne est informée du traitement ; le consentement est requis dans les cas prévus par la loi | | Exactitude | Les données extraites ou saisies par l'IA sont vérifiables et corrigibles | | Sécurité | Les données sont protégées contre l'accès non autorisé, la perte et la divulgation | | Durée de conservation limitée | Les conversations, enregistrements et documents ne sont pas conservés au-delà du nécessaire | | Droits des personnes | Accès, rectification et opposition doivent pouvoir être exercés | ## Quelles formalités prévoir avant de lancer un projet d'IA ? Avant de lancer un projet d'IA qui traite des données personnelles, l'entreprise responsable du traitement doit vérifier les formalités prévues par la loi organique n° 2004-63. Le régime général prévoit une **déclaration préalable** auprès de l'INPDP, et certains traitements sont soumis à une **autorisation** : c'est le cas notamment de traitements portant sur des données sensibles et des transferts de données vers l'étranger. En pratique, Neuratech Solutions recommande de documenter dès le diagnostic : - la finalité du traitement réalisé par l'agent IA ; - la liste des données traitées et leur source ; - la base légale, notamment le consentement des clients ; - le lieu d'hébergement des données et des modèles ; - les destinataires, y compris les fournisseurs de modèles d'IA ; - la durée de conservation ; - les mesures de sécurité. Ce dossier sert à la fois aux formalités auprès de l'INPDP et aux équipes conformité et sécurité de l'entreprise. ## Comment traiter les données sensibles, comme les données de santé ? Les données sensibles, comme les données de santé, font l'objet d'un régime plus strict dans la loi organique n° 2004-63 : leur traitement est en principe soumis à des conditions renforcées, notamment le consentement exprès de la personne et, selon les cas, une autorisation de l'INPDP. Les données relatives à la santé, aux origines, aux opinions et convictions, ou aux infractions pénales entrent dans cette catégorie. Pour une clinique qui déploie un [agent vocal](https://neuratech-solutions.com/services/agent-vocal-ia/) ou un [agent WhatsApp](https://neuratech-solutions.com/services/agent-whatsapp/), la bonne pratique consiste à limiter l'agent aux informations administratives (rendez-vous, horaires, documents à apporter) et à ne pas lui faire collecter de symptômes ou d'informations médicales détaillées, sauf cadre juridique et technique spécifiquement validé. ## Peut-on utiliser un modèle d'IA hébergé à l'étranger ? Utiliser un modèle d'IA hébergé à l'étranger, comme les API de grands fournisseurs américains ou européens, constitue en principe un **transfert de données vers l'étranger** dès que des données personnelles sont envoyées au modèle. La loi organique n° 2004-63 encadre strictement ces transferts, qui peuvent nécessiter une autorisation de l'INPDP. Trois approches permettent de concilier IA et confidentialité, et Neuratech Solutions les combine selon la sensibilité des données : 1. **Pseudonymiser** les données avant l'envoi au modèle : remplacer les noms, numéros et identifiants par des codes, et ne réinjecter les vraies valeurs qu'après la réponse. 2. **Choisir des offres contractuelles adaptées** : les offres professionnelles des fournisseurs de modèles prévoient en général que les données ne servent pas à l'entraînement et précisent les durées de conservation. 3. **Héberger un modèle open source** en Tunisie ou sur l'infrastructure de l'entreprise, pour que les données ne quittent pas le territoire ou le réseau interne. ## Quelles bonnes pratiques appliquer dès la conception ? Neuratech Solutions applique les bonnes pratiques suivantes à chaque projet d'IA, dès la conception : - **informer** clairement l'utilisateur qu'il échange avec un assistant automatique, et lui permettre de joindre un humain ; - **minimiser** les données transmises au modèle d'IA et masquer les identifiants quand c'est possible ; - **cloisonner** les accès : un agent n'accède qu'aux données nécessaires à sa tâche ; - **chiffrer** les données en transit et au repos ; - **journaliser** les accès et les actions de l'agent, pour pouvoir répondre à une demande ou à un contrôle ; - **fixer des durées de conservation** pour les conversations, enregistrements et documents ; - **signer** un accord de confidentialité et, si nécessaire, un contrat de sous-traitance précisant les obligations de chacun. ## Quelles questions poser à un prestataire d'IA sur les données ? Avant de confier des données personnelles à un prestataire d'IA, une entreprise tunisienne devrait obtenir une réponse écrite et précise aux questions suivantes : 1. **Où les données sont-elles stockées** (pays, fournisseur d'hébergement), et pour combien de temps ? 2. **Quels modèles d'IA sont utilisés**, chez quels fournisseurs, et ces fournisseurs réutilisent-ils les données pour entraîner leurs modèles ? 3. **Quelles données exactes sont envoyées** au modèle à chaque requête, et sont-elles pseudonymisées ? 4. **Qui, chez le prestataire, a accès** aux conversations, aux enregistrements et aux documents, et ces accès sont-ils journalisés ? 5. **Comment sont gérées les demandes d'accès, de rectification et d'opposition** des clients finaux ? 6. **Que deviennent les données à la fin du contrat** : restitution, suppression, délai ? 7. **Quelles formalités** auprès de l'INPDP le prestataire recommande-t-il, et quel accompagnement propose-t-il ? Neuratech Solutions répond à ces questions dans chaque proposition et les reprend dans l'accord de confidentialité ou le contrat de sous-traitance. ## Que faire si la loi évolue ? Le cadre tunisien de protection des données personnelles fait l'objet de discussions de réforme depuis plusieurs années, notamment pour le rapprocher des standards internationaux. Un projet d'IA bien conçu, qui respecte déjà la minimisation, la sécurité, la transparence et la traçabilité, s'adaptera facilement à un cadre plus exigeant. Avant tout lancement, vérifiez auprès de l'INPDP ou d'un conseil juridique l'état des textes applicables à la date de votre projet. ## Sources 1. Loi organique n° 2004-63 du 27 juillet 2004 portant sur la protection des données à caractère personnel (JORT n° 61 du 30 juillet 2004) 2. [INPDP — Instance nationale de protection des données personnelles (présentation par le Conseil de l'Europe)](https://www.coe.int/web/tunis/inpdp) 3. [Conseil de l'Europe, Convention 108 et Tunisie](https://www.coe.int/fr/web/data-protection/convention108-and-protocol) Mis à jour le 15 octobre 2026 · Alaa Nebli, Neuratech Solutions À lire aussi ## Guides et services liés - Guide ### [Combien coûte un agent IA en Tunisie ?](https://neuratech-solutions.com/ressources/prix-agent-ia-tunisie/) Combien coûte un agent IA en Tunisie en 2026 ? Repères du marché en dinars, coûts WhatsApp, voix et OCR, facteurs de prix, et un devis fixe sous 24 h. - Guide ### [Qu'est-ce qu'un agent IA ? Définition, fonctionnement et exemples](https://neuratech-solutions.com/ressources/agent-ia-definition/) Définition claire d'un agent IA, de ses composants (modèle, outils, mémoire, garde-fous) et d'exemples concrets dans les entreprises tunisiennes. - Guide ### [Un agent vocal IA en darija : comment ça marche](https://neuratech-solutions.com/ressources/agent-vocal-darija/) Comment un agent vocal IA comprend et parle la darija tunisienne : reconnaissance vocale, code-switching, synthèse vocale, latence et cas d'usage. - Service ### [Assistant IA sur vos données](https://neuratech-solutions.com/services/assistant-ia-donnees/) Un assistant qui répond à vos équipes à partir de vos procédures, contrats et bases internes, en citant ses sources. - Service ### [Intelligence documentaire](https://neuratech-solutions.com/services/intelligence-documentaire/) Extraction de données depuis factures, contrats, pièces d'identité et formulaires en arabe, français et anglais, avec contrôles d'authenticité. - Service ### [Agent vocal IA](https://neuratech-solutions.com/services/agent-vocal-ia/) Un agent qui décroche, comprend le dialecte de vos clients, répond et agit : rendez-vous, suivi, qualification, transfert vers un humain. [Toutes les ressources](https://neuratech-solutions.com/ressources/)