Argelia, ley 18-07 e IA generativa: lo que la ANPDP exige a las empresas
Declaración previa, autorización de transferencias y DPO obligatorio: lo que implican la ley 18-07 y la ANPDP cuando sus equipos en Argelia usan la IA.
En muchas empresas argelinas, la IA generativa ha entrado por la puerta de atrás. Un gestor de clientes la usa para redactar una carta, una responsable de RR. HH. para filtrar currículos, un contable para analizar una hoja de cálculo. Nadie lo decidió realmente, y casi nadie lo declaró.
El problema es que Argelia cuenta con uno de los marcos de protección de datos más exigentes de la región. La ley n.º 18-07 de 10 de junio de 2018, modificada por la ley n.º 25-11 de 24 de julio de 2025, impone trámites previos y un control estricto de las transferencias al extranjero. Pegar datos de clientes en un asistente de IA alojado fuera del país choca de lleno con estas reglas.
Una IA ya presente, pero invisible
No existen cifras oficiales sobre el uso de la IA en las empresas argelinas. Un estudio del consultor Arnault Chatel, recogido por Maghreb Émergent en septiembre de 2026, señala que ni los bancos, ni las energéticas, ni la gran distribución han comunicado nada al respecto. Sí cita el informe de Microsoft sobre la difusión de la IA: el 13,2 % de los argelinos de 15 a 64 años usó una herramienta de IA generativa en el primer trimestre de 2026.
El autor cree que la IA probablemente ya está extendida en las oficinas, pero de forma invisible: los empleados usan herramientas de consumo sin formación ni supervisión, a menudo sin que lo sepan sus responsables. Es justo el escenario que la ley 18-07 convierte en un riesgo.
Los datos en juego suelen ser los más sensibles de la empresa: listas de clientes, salarios, expedientes de salud laboral, contratos con proveedores extranjeros. Una vez enviados a un servicio externo, la empresa pierde el control sobre su conservación y su reutilización.
La ANPDP, un regulador muy real
La Autoridad Nacional de Protección de Datos Personales (ANPDP) funciona plenamente desde agosto de 2023. Y no se limita a existir: adopta decisiones. Desde finales de 2025 ha regulado, entre otras cosas, la designación de delegados de protección de datos, los datos de salud, la videovigilancia en el trabajo y el control biométrico de la asistencia.
A finales de diciembre de 2025, la ANPDP fijó las condiciones para designar al DPO, ahora obligatorio para organismos públicos y privados. Este delegado asesora a la dirección, supervisa las evaluaciones de impacto e informa a la autoridad y a los afectados en caso de brecha de datos. Se convierte en el interlocutor natural para cualquier cuestión sobre IA, y conviene consultarlo antes de implantar cualquier asistente de IA.
Declaración, autorización y transferencia: tres cerrojos
La ley 18-07 se basa en una idea sencilla: la ANPDP debe saber qué hace usted con los datos personales antes de que lo haga. Tres mecanismos afectan directamente a la IA:
La declaración previa: todo tratamiento debe declararse a la ANPDP. Usar la IA con datos de clientes o empleados es un tratamiento en sí mismo.
La autorización previa: los tratamientos que presentan riesgos claros para la privacidad y las libertades requieren autorización. La elaboración de perfiles o el análisis de datos sensibles con IA pueden entrar en esta categoría.
La transferencia al extranjero: en principio necesita autorización de la ANPDP, salvo las excepciones previstas en la ley. Y los grandes asistentes de IA tratan los datos en servidores situados fuera de Argelia.
Dicho de otro modo, un empleado que pega en ChatGPT la lista de impagos de una sucursal realiza un tratamiento no declarado y una transferencia no autorizada con un solo gesto. Las sanciones pueden llegar a cinco años de prisión y a multas de hasta 500 000 dinares, según la infracción.
Lo que cambia la ley 25-11
La reforma de julio de 2025 reforzó el sistema. Introduce los conceptos de datos biométricos, elaboración de perfiles, seudonimización y brecha de datos. También exige un registro de actividades de tratamiento y un registro automático de las operaciones, que la ANPDP puede pedir consultar. Para una empresa, también es una ocasión de poner orden en sus usos.
El registro de operaciones es clave para la IA. Ante una inspección, la empresa tendrá que demostrar qué se trató, quién lo hizo y adónde fue. Sin una herramienta que rastree los intercambios con los asistentes de IA, es imposible. Nuestra anatomía de una fuga de datos por IA muestra cómo estas fugas pasan desapercibidas durante meses.
Una hoja de ruta realista
Prohibir la IA no es deseable ni eficaz. A las empresas argelinas les conviene encuadrarla paso a paso:
inventariar las herramientas de IA que realmente se usan, incluidos los navegadores personales;
implicar al DPO e inscribir los usos aprobados en el registro de tratamientos;
declarar los tratamientos afectados y solicitar las autorizaciones necesarias, sobre todo para las transferencias;
impedir técnicamente que los datos personales salgan del equipo sin control, anonimizándolos antes del envío;
conservar un registro de incidentes para responder a la ANPDP.
La sensibilización por sí sola no basta, como explicamos en por qué la formación en seguridad de IA no funciona. Hace falta una barrera en el momento en que el empleado escribe su prompt. La anonimización que preserva el formato mantiene la utilidad de la IA y retira nombres, números de cuenta o números de identidad. Para organizar el despliegue, nuestro manual de despliegue en 90 días propone un calendario concreto.
En resumen
En Argelia, la ley 18-07 y la ley 25-11 convierten la IA generativa en un asunto de cumplimiento en toda regla. La ANPDP está activa, el DPO es obligatorio y las transferencias de datos al extranjero requieren autorización. Las empresas que dejan a sus empleados usar la IA sin control asumen un riesgo que ni siquiera pueden medir.
ZeusLock detecta los datos sensibles en los prompts y archivos enviados a los asistentes de IA, los anonimiza, avisa o bloquea, y conserva un registro útil ante una inspección. Solicite una demo para hablarlo con nuestro equipo.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
