Entreprise tunisienne travaillant avec des clients européens, société française implantée en Tunisie, prestataire informatique des deux côtés de la Méditerranée : trois textes se combinent désormais. Le RGPD européen, la loi tunisienne sur les données personnelles en cours de refonte et le règlement européen sur l’intelligence artificielle, dit AI Act, s’appliquent souvent en même temps à une même activité. Voici ce qui s’applique concrètement et ce qu’il faut anticiper.
L’essentiel
- Le RGPD s’applique directement à une entreprise tunisienne qui cible des personnes situées dans l’Union européenne ; un sous-traitant tunisien d’un client européen en supporte les exigences par contrat.
- La proposition de loi organique n° 095/2025, examinée par l’Assemblée des représentants du peuple, doit remplacer la loi n° 2004-63 par un régime inspiré du RGPD.
- L’AI Act peut s’appliquer à un fournisseur tunisien dès qu’il commercialise un système d’IA dans l’Union ou que les résultats de ce système y sont utilisés.
Le RGPD peut s’appliquer à une entreprise tunisienne
Le Règlement général sur la protection des données (règlement (UE) 2016/679) ne s’arrête pas aux frontières de l’Union européenne. Son article 3, paragraphe 2, l’applique à une entreprise établie hors de l’Union dès qu’elle offre des biens ou des services à des personnes qui s’y trouvent, ou qu’elle suit leur comportement, par exemple par du profilage en ligne. Une plateforme tunisienne qui vend à des clients français, ou une application qui analyse le comportement d’utilisateurs européens, entre dans ce cas : elle doit respecter le RGPD et, en principe, désigner un représentant dans l’Union (article 27).
La situation du sous-traitant est différente. Une société tunisienne qui traite des données pour le compte d’un donneur d’ordre européen, par exemple un centre de développement ou de support offshore, n’est pas directement soumise au RGPD du seul fait de cette relation, selon les lignes directrices 3/2018 du Comité européen de la protection des données. Elle en supporte pourtant les exigences par ricochet : contrat de sous-traitance conforme à l’article 28, clauses contractuelles types pour encadrer le transfert des données vers la Tunisie, mesures de sécurité, et obligation d’alerter son client sans délai en cas de violation de données, pour que celui-ci puisse notifier l’autorité dans les 72 heures. Beaucoup d’entreprises tunisiennes découvrent ces exigences lors d’un audit de leur client européen, ce qui est le pire moment pour s’en apercevoir.
La Tunisie prépare une refonte de sa loi, inspirée du RGPD
Depuis 2004, la Tunisie dispose de la loi organique n° 2004-63 du 27 juillet 2004, l’un des premiers textes du monde arabe en matière de protection des données personnelles, dont l’application relève de l’Instance nationale de protection des données personnelles (INPDP). Ce texte montre aujourd’hui ses limites face à l’économie numérique : sanctions peu dissuasives, pouvoirs d’enquête limités, régime des transferts internationaux inadapté.
La proposition de loi organique n° 095/2025, déposée en juillet 2025 par dix-sept députés, doit la remplacer. Elle compte 132 articles répartis en six chapitres et reprend une partie de l’architecture du RGPD : création d’une fonction de délégué à la protection des données, autorité de contrôle indépendante dotée de pouvoirs de sanction, encadrement renouvelé des transferts internationaux, dispositions consacrées à la vidéosurveillance et à l’intelligence artificielle, et sanctions renforcées, ses auteurs évoquant des amendes pouvant atteindre 200 000 dinars, en plus de peines d’emprisonnement.
Le texte est examiné par la commission des droits et libertés de l’Assemblée des représentants du peuple. Celle-ci a auditionné en février 2026 ses auteurs, le ministère de la Santé, la présidence du gouvernement et l’instance de protection des données, puis a décidé en mai 2026 d’élargir ses consultations aux experts et aux associations. Sa date d’adoption reste inconnue à ce jour. Notre analyse détaillée de la proposition est disponible dans l’article Tunisie 2025 : nouvelle proposition de loi pour la protection des données personnelles.
L’intelligence artificielle : une réglementation à deux vitesses
Côté européen, le règlement (UE) 2024/1689 sur l’intelligence artificielle, dit AI Act, suit la même logique extraterritoriale que le RGPD. Il s’applique au fournisseur qui met un système d’IA sur le marché de l’Union, où qu’il soit établi, ainsi qu’au fournisseur ou au déployeur établi hors de l’Union dès que les résultats produits par son système sont utilisés dans l’Union (article 2).
Un éditeur tunisien qui commercialise auprès de clients européens un outil de tri de candidatures ou d’évaluation de la solvabilité est ainsi fournisseur au sens du texte. Ces deux usages étant classés à haut risque, le fournisseur établi hors de l’Union doit désigner un mandataire établi dans l’Union (article 22) ; une obligation comparable vise les fournisseurs de modèles d’IA à usage général (article 54). Le calendrier d’application et le détail des obligations sont présentés dans notre article L’IA Act et les obligations pour les entreprises hors UE.
Côté tunisien, il n’existe pas encore de loi dédiée à l’intelligence artificielle. Les grandes lignes d’une stratégie nationale pour l’IA sur la période 2026-2030 ont été présentées en août 2026 lors d’un conseil ministériel : il s’agit d’une orientation politique, non d’un texte contraignant. La proposition de loi n° 095/2025 contient en revanche des dispositions consacrées à l’intelligence artificielle, qui toucheront directement de nombreux usages. Les entreprises ont donc intérêt à anticiper une convergence vers les standards européens plutôt qu’à attendre un texte tunisien spécifique.
Ce qu’il faut anticiper dès maintenant
- Cartographier les traitements de données et les systèmes d’IA utilisés, y compris ceux adoptés sans validation formelle.
- Déterminer, pour chaque activité, si le RGPD s’applique directement (article 3) ou par l’intermédiaire des contrats conclus avec vos clients européens.
- Mettre à jour les contrats de sous-traitance et les clauses de transfert avec les partenaires des deux côtés de la Méditerranée.
- Qualifier les systèmes d’IA au regard de l’AI Act, en particulier ceux qui pourraient relever du haut risque.
- Suivre l’examen de la proposition de loi n° 095/2025, pour ne pas découvrir son entrée en vigueur après coup.
- Documenter les traitements, les bases légales et les décisions automatisées, plutôt que de se contenter d’une politique de confidentialité copiée en ligne.
Un accompagnement des deux côtés de la Méditerranée
Avocat aux barreaux de Paris et de Tunis et DPO certifié, Maître Zied El Air accompagne les entreprises françaises et tunisiennes sur ces trois cadres : diagnostic de conformité RGPD, droit tunisien des données personnelles, qualification au regard de l’AI Act et rédaction des contrats avec les partenaires européens ou tunisiens. Pour un premier échange, contactez le cabinet.
Références
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 3, 27 et 28
- Comité européen de la protection des données, lignes directrices 3/2018 relatives au champ d’application territorial du RGPD (article 3)
- Règlement (UE) 2024/1689 du 13 juin 2024 (AI Act), articles 2, 22 et 54
- Loi organique n° 2004-63 du 27 juillet 2004 portant sur la protection des données à caractère personnel (Tunisie)
- Proposition de loi organique n° 095/2025 relative à la protection des données personnelles, Assemblée des représentants du peuple (Tunisie)