Données personnelles : le cadre légal en Afrique francophone

La question tombe presque toujours trop tard. Une entreprise lance son chatbot, branche son IA sur les dossiers clients, automatise le traitement des candidatures, et c'est au moment d'un contrôle ou d'une plainte que surgit la vraie interrogation : avait-on le droit de traiter ces données ainsi ? En Afrique francophone, la réponse n'est plus floue. La plupart des pays disposent désormais d'une loi sur les données personnelles et d'une autorité chargée de la faire appliquer. Un dirigeant qui engage un projet IA a intérêt à connaître ce cadre avant d'écrire la première ligne de code, pas après.

Un paysage réglementaire réel, pays par pays

Longtemps, on a cru que l'Afrique était une zone de vide juridique sur la donnée. C'est faux depuis des années. Les textes existent, et les autorités fonctionnent.

Au Sénégal, la Commission de protection des données personnelles (CDP) a été créée par la loi de 2008. Elle enregistre les traitements déclarés, instruit les plaintes et peut sanctionner. En Côte d'Ivoire, la protection des données relève de l'Autorité de régulation des télécommunications (ARTCI), sur le fondement de la loi de 2013. Au Bénin, l'Autorité de protection des données à caractère personnel (APDP) est l'une des plus actives de la sous-région. Le Burkina Faso, le Mali, le Togo, le Gabon et d'autres ont également leur dispositif. Au Cameroun, le cadre est plus dispersé et plusieurs acteurs se partagent les compétences, ce qui ne dispense pas de se mettre en conformité.

Affirmation clé : en Afrique francophone, la protection des données personnelles est encadrée par des lois nationales et des autorités dédiées, pays par pays, et non par un vide juridique. Pour un dirigeant, cela change la façon d'aborder un projet : la conformité n'est pas une option de luxe importée d'Europe, c'est une obligation locale.

Au-dessus des lois nationales, la Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel, dite Convention de Malabo, adoptée en 2014, est entrée en vigueur en 2023. Elle pousse les États membres à harmoniser leurs règles. Le mouvement de fond est clair : les exigences se renforcent, elles ne s'allègent pas.

Ce que la loi demande concrètement

Les principes se ressemblent d'un pays à l'autre, car beaucoup de textes se sont inspirés du même modèle européen. Cinq obligations reviennent partout.

La finalité : vous ne collectez des données que pour un objectif défini à l'avance, et vous ne les réutilisez pas pour autre chose sans base légale. Un formulaire de devis ne sert pas à nourrir une campagne de prospection non sollicitée.

Le consentement ou une autre base légale : traiter les données d'une personne suppose son accord, ou un fondement légitime (contrat, obligation légale). Le consentement doit être éclairé, pas noyé dans des conditions générales que personne ne lit.

La limitation de conservation : on ne garde pas les données indéfiniment. Chaque type de donnée a une durée de vie justifiée par son usage.

Les droits des personnes : accès, rectification, suppression. Un client doit pouvoir savoir ce que vous détenez sur lui et le faire corriger.

La sécurité : vous êtes tenu de protéger les données contre la perte, le vol et l'accès non autorisé. Une fuite n'est pas seulement un incident technique, c'est un manquement légal.

À cela s'ajoute, dans la plupart des pays, une formalité préalable auprès de l'autorité : déclaration pour les traitements ordinaires, autorisation pour les traitements sensibles comme la santé, la biométrie ou les données judiciaires. Un projet IA tombe presque toujours dans le champ, parce qu'il traite précisément de la donnée identifiante à grande échelle.

Pourquoi l'IA rend le sujet plus sensible

Un projet d'intelligence artificielle concentre tout ce que la loi surveille. Il collecte beaucoup de données, il les croise, il en tire des décisions, et souvent il s'appuie sur des outils hébergés ailleurs.

Le premier point de vigilance est le transfert hors du pays. Beaucoup de solutions IA passent par des serveurs situés en Europe ou aux États-Unis. Or plusieurs lois africaines encadrent, voire restreignent, l'envoi de données personnelles à l'étranger. Un chatbot qui envoie les conversations clients vers un service cloud lointain effectue un transfert transfrontalier qui doit être justifié. C'est l'une des raisons pour lesquelles la question de la souveraineté et de la localisation des données revient systématiquement dans les projets sérieux.

Le deuxième point est la décision automatisée. Quand une IA trie des candidatures, accorde ou refuse un microcrédit, note un risque client, elle produit des effets sur des personnes. Les textes protègent contre les décisions entièrement automatisées prises sans intervention humaine. Un humain doit pouvoir expliquer et contester la décision.

Le troisième point est la minimisation. La tentation, dans un projet data, est de tout collecter au cas où. La loi dit l'inverse : ne traitez que ce dont vous avez besoin pour la finalité annoncée. C'est aussi une bonne pratique d'ingénierie, que nous appliquons dans nos projets de data analytics et d'automatisation : moins de données inutiles, c'est moins de risque et un système plus clair.

Affirmation clé : un projet IA conforme se conçoit dès la phase de cadrage, en intégrant la protection des données dans l'architecture, et non en ajoutant une couche juridique à la fin. Rattraper la conformité après coup coûte toujours plus cher que l'avoir prévue.

La conformité comme atout, pas comme frein

Beaucoup de dirigeants voient la réglementation comme un frein. C'est l'inverse pour qui veut durer. Une entreprise qui traite proprement les données de ses clients inspire confiance, et la confiance est précisément ce qui manque le plus sur un marché où le doute sur le numérique reste fort. Afficher une politique de confidentialité claire, répondre vite à une demande d'accès, savoir où sont stockées les données : ce sont des arguments commerciaux, surtout face à des clients grands comptes ou publics qui exigent ces garanties dans leurs appels d'offres.

La conformité rejoint ici la question plus large de la gouvernance de l'IA en entreprise : qui décide des usages, qui contrôle, qui répond en cas de problème. Les deux sujets avancent ensemble. Une organisation qui sait répondre à "où sont nos données et qui y a accès" est aussi celle qui pilote le mieux ses projets IA.

Concrètement, trois réflexes suffisent à partir du bon pied. Identifier l'autorité compétente dans votre pays et vérifier les formalités applicables à votre traitement. Cartographier les données que votre projet va collecter, leur finalité et leur lieu de stockage. Prévoir, dès la conception, comment une personne pourra exercer ses droits. Ce travail amont évite les mauvaises surprises et rend le projet plus solide.

Pour aller plus loin

ThalerTech Africa intègre la protection des données dans la conception de ses projets d'intelligence artificielle, du cadrage initial au choix d'hébergement, en tenant compte du cadre légal propre à chaque pays d'intervention. L'agence accompagne notamment les entreprises au Sénégal et en Côte d'Ivoire, où les autorités de protection des données sont établies de longue date. Cette approche part d'un principe simple : une IA utile est une IA en qui l'on peut avoir confiance, et la confiance commence par le respect des données des personnes.