Décrets 25-320 et 25-321 : ce qu'ils changent pour un projet d'IA en Algérie

Signés le 30 décembre 2025, les décrets présidentiels 25-320 et 25-321 ne mentionnent pas l'intelligence artificielle. Ils fixent pourtant les préalables de tout projet d'IA dans le secteur public algérien. Le premier oblige les administrations et les organismes chargés d'un service public à classifier et à cataloguer leurs données, puis à les échanger exclusivement par un système national d'interopérabilité, adossé à un réseau séparé d'internet. Le second approuve la stratégie nationale de sécurité des systèmes d'information pour 2025-2029. Un assistant documentaire, un agent ou un moteur de recherche interne doit désormais savoir quelles données il traite, à quel niveau de sensibilité, et par quel canal elles circulent.

Ce que dit le décret 25-320

Le décret 25-320 porte « mise en place d'un dispositif national de gouvernance des données ». Il organise la gestion et l'échange des données numériques entre administrations, organismes et entreprises chargés d'un service public. L'article 5 le décompose en trois éléments.

Trois dispositions pèsent directement sur l'architecture d'un système d'information. Le système d'interopérabilité devient le cadre exclusif des échanges de données numériques entre institutions publiques (article 10). Il repose sur un réseau dédié, mis en place « de manière séparée du réseau internet » (article 11). Pour y accéder, chaque entité doit d'abord classifier et cataloguer ses données (article 12), et l'utilisateur de données doit obtenir l'accord de l'émetteur avant de les exploiter (article 13).

Le texte confie le pilotage à quatre instances.

Qui est concerné, et qui ne l'est pas

Le dispositif vise les institutions et administrations publiques, ainsi que les organismes et entreprises, publics ou privés, chargés d'un service public. Ces derniers peuvent être intégrés au système d'interopérabilité lorsque leurs données sont nécessaires. Le critère retenu tient donc à la mission de service public. À la lecture du texte, une entreprise publique économique n'est pas visée du seul fait de son capital public, alors qu'un opérateur privé délégataire d'un service public peut l'être.

Une entreprise privée ordinaire n'est pas assujettie directement. Elle sentira pourtant les effets du texte dès qu'elle fournit un logiciel ou un service à une entité concernée, puisque son client devra respecter la classification et les canaux d'échange imposés.

Deux limites complètent ce périmètre. L'article 18 exclut les échanges liés à la défense et à la sécurité nationales, ainsi que les données relevant du pouvoir judiciaire et des enquêtes. L'article 4 rappelle que les données à caractère personnel restent soumises à leur régime propre, la loi 18-07 modifiée et complétée par la loi 25-11.

Le calendrier est fixé par l'article 19. Les obligations courent, pour les administrations, à compter de la publication des deux référentiels, et pour les organismes chargés d'un service public, à compter de leur intégration au système.

Le décret 25-321, un texte court au contenu non publié

Le décret 25-321 approuve la stratégie nationale de la sécurité des systèmes d'information pour la période 2025-2029. Il tient en deux articles. Pris sur rapport du ministre de la Défense nationale, il s'inscrit dans le dispositif national de sécurité des systèmes d'information créé par le décret présidentiel 20-05 de janvier 2020.

Le signal reste clair. La sécurité des systèmes d'information relève d'une trajectoire pluriannuelle pilotée au plus haut niveau, et la classification des données instaurée par le décret 25-320 en constitue la base opérationnelle.

Où en est la mise en œuvre en 2026

Le dispositif a été officiellement lancé le 9 février 2026, lors d'une cérémonie présidée par le Premier ministre, avec l'installation d'une commission nationale chargée du suivi de sa mise en œuvre. La haut-commissaire à la numérisation a indiqué à cette occasion que le référentiel national de catalogage des sources de données et le référentiel national de classification des données étaient publiés. Plus de 55 secteurs et organismes publics étaient alors raccordés au réseau IRIES, et le cloud souverain réservé au secteur public servait 11 secteurs et organismes.

Une instruction du Premier ministre mérite l'attention de tout porteur de projet numérique. Elle demande de recenser les interfaces applicatives et les solutions d'échange de données utilisées en dehors du cadre fixé par le décret 25-320. Les flux de données bâtis hors du système national sont ainsi explicitement identifiés comme à régulariser.

« Un projet d'IA dans une administration commence désormais par une question de gouvernance : quelles données, à quel niveau de sensibilité, par quel canal. »

Ce que cela change pour un projet d'IA

La classification précède l'indexation

Un assistant documentaire de type RAG répond à partir des documents qu'on lui confie. Dans une entité assujettie, chaque document porte désormais un niveau de classification, et ce niveau doit l'accompagner jusque dans l'index. Le filtrage par niveau et par droit d'accès s'applique alors au moment de la recherche, avant que le modèle ne lise le passage. Un filtrage appliqué au seul affichage laisserait le modèle raisonner sur des données que l'utilisateur n'a pas le droit de voir.

Le catalogage devient le premier livrable du cadrage

Tout projet d'IA sérieux commence par l'inventaire des sources de données. Le référentiel de catalogage impose ce travail à l'échelle de l'entité. Un projet bien conduit réutilise ce catalogue au lieu de reconstruire une cartographie parallèle, et évite de créer de nouveaux doublons, que le décret cherche justement à réduire.

Pas de canal d'échange parallèle

Un agent IA qui irait chercher des données chez une autre administration par ses propres connecteurs créerait exactement le type de flux que le recensement ordonné en 2026 vise à identifier. Les données d'une autre entité doivent transiter par le système d'interopérabilité, avec l'accord de l'émetteur. L'outil d'IA travaille ensuite sur ce que l'entité détient ou reçoit par ce canal.

Un environnement séparé d'internet

Le réseau d'échange national est séparé d'internet. Un logiciel dont les fonctions essentielles dépendent d'une API d'IA hébergée à l'étranger s'insère mal dans ce périmètre. Un modèle exécuté sur site, capable de fonctionner sans appel sortant et mis à jour par une procédure contrôlée, correspond mieux à cette architecture. Notre comparatif des options d'IA souveraine en Algérie détaille ces arbitrages, et notre guide de l'infrastructure GPU traite le dimensionnement matériel.

Des accès traçables

Plusieurs instances peuvent être amenées à contrôler la classification et l'usage des données. Un système d'IA déployé dans ce cadre doit journaliser qui a interrogé quoi, sur quelles sources, avec quel niveau d'accès. Ces journaux deviennent la preuve de conformité en cas de contrôle.

Sept questions à poser avant de lancer un projet d'IA

Ces questions s'adressent aux administrations et aux organismes chargés d'un service public. Elles valent aussi pour leurs fournisseurs.

1. Notre entité relève-t-elle du dispositif, comme administration ou comme organisme chargé d'un service public ?
2. Les données du périmètre visé sont-elles classifiées selon le référentiel national ?
3. Les sources sont-elles cataloguées, et le projet risque-t-il de créer des doublons ?
4. Le projet a-t-il besoin de données d'une autre entité, et celles-ci transitent-elles par le système d'interopérabilité avec l'accord de l'émetteur ?
5. Où s'exécutent le modèle, l'index documentaire et les journaux, et l'outil fonctionne-t-il sans appel sortant ?
6. Le niveau de classification est-il appliqué avant la lecture par le modèle, et non au seul affichage ?
7. Qui peut auditer les accès, et sous quel délai les journaux peuvent-ils être produits ?

Ce que ces textes ne disent pas

Ni le décret 25-320 ni le décret 25-321 n'encadrent les modèles d'IA en tant que tels. Ils ne listent pas les niveaux de classification, définis par le référentiel publié par le Haut commissariat. Le contenu détaillé de la stratégie 2025-2029 reste hors du Journal officiel. Cet article présente une lecture opérationnelle des textes publiés et ne constitue pas un avis juridique. La qualification d'une entité, en particulier, relève d'un conseil juridique.

Questions fréquentes

Le décret 25-320 s'applique-t-il aux entreprises privées ?
Seulement à celles qui sont chargées d'un service public. Le dispositif vise les institutions et administrations publiques, ainsi que les organismes et entreprises, publics ou privés, chargés d'un service public. Une entreprise privée ordinaire n'y est pas soumise directement. Elle peut en ressentir les effets comme fournisseur d'une entité assujettie. En cas de doute sur la qualification, un conseil juridique doit trancher.

Que contient le décret 25-321 ?
Le décret 25-321 approuve la stratégie nationale de la sécurité des systèmes d'information pour la période 2025-2029. Il compte deux articles. La stratégie elle-même est annexée à l'original du décret et n'est pas reproduite au Journal officiel, son contenu détaillé n'est donc pas public.

Un projet d'IA doit-il passer par le système national d'interopérabilité ?
Dès que le projet fait circuler des données numériques entre institutions publiques, oui. Le décret fait de ce système le cadre exclusif de ces échanges, et l'utilisateur doit obtenir l'accord de l'entité émettrice. Un outil d'IA qui travaille sur les seules données de l'entité qui l'exploite n'a pas à y transiter, mais ces données doivent avoir été classifiées.

Une administration peut-elle utiliser un service d'IA en ligne ?
Les deux décrets ne visent pas explicitement l'intelligence artificielle. Ils imposent en revanche la classification des données et prévoient un réseau d'échange séparé d'internet, tandis que les données personnelles restent soumises à la loi 18-07. Pour des données sensibles ou classifiées, un modèle exécuté sur site, sans appel sortant, est le choix le plus cohérent avec ce cadre.

Quelles instances encadrent le dispositif de gouvernance des données ?
Le Haut commissariat à la numérisation élabore les référentiels et administre le système d'interopérabilité. Le Conseil national de la sécurité des systèmes d'information statue sur le fonctionnement du dispositif. L'Agence de la sécurité des systèmes d'information statue sur le niveau de sécurité des données. L'Autorité nationale de protection des données à caractère personnel contrôle la classification des données personnelles.

Sources

• Journal officiel n° 87 de 2025, décrets présidentiels 25-320 et 25-321 du 30 décembre 2025
• Décret présidentiel 23-314 portant création du Haut commissariat à la numérisation
• Horizons, « Gouvernance des données : installation d'une commission de suivi », février 2026