Bancos y fintech en Senegal: IA generativa y secreto bancario

En una sucursal bancaria de Dakar, un asesor tiene que responder a la reclamación de un cliente descontento. Abre ChatGPT, pega el historial de la cuenta, el nombre del cliente y el detalle de las operaciones impugnadas, y pide una respuesta cortés. El problema es que una información protegida por el secreto profesional acaba de salir del banco.

Bancos, instituciones de microfinanzas, emisores de dinero electrónico y fintech: en Senegal, todo el sector financiero está descubriendo la IA generativa. Y lo hace con una exigencia que pocos sectores conocen, porque debe cumplir a la vez las normas bancarias de la UMOA y la Ley n.º 2008-12 sobre datos personales.

Un sector en el que la confidencialidad es una obligación legal

En la zona UMOA, el secreto bancario no es una simple buena práctica. La ley uniforme de regulación bancaria, adoptada por el Consejo de Ministros de la Unión en junio de 2023 y retomada por cada Estado miembro en su propia ley, le dedica un artículo completo. Afecta a los directivos, a los empleados y a cualquier persona con acceso a la información de la entidad. El texto precisa incluso que la obligación se mantiene después de dejar el cargo.

El secreto solo puede levantarse en casos limitados: ante la Comisión Bancaria, el BCEAO, la justicia penal o determinados socios previstos por la ley. Un asistente de IA de uso general no figura, evidentemente, en esa lista.

La Ley 2008-12 añade una segunda capa

A estas normas se suma la Ley n.º 2008-12 sobre la protección de datos personales, supervisada por la Comisión de Protección de Datos Personales (CDP). Un banco o una fintech que envía datos de clientes a un servicio de IA realiza un tratamiento y, casi siempre, una transferencia fuera de Senegal. Ambas operaciones deben respetar las formalidades y garantías previstas por la ley.

La CDP sigue de cerca el sector. En julio de 2023 pidió públicamente a varios bancos del país que declararan sus tratamientos vinculados a la conexión entre cuentas bancarias y servicios de dinero móvil. Para conocer todas las obligaciones, consulte nuestra guía de la Ley 2008-12 ante la IA generativa.

Dinero móvil y fintech: enormes volúmenes de datos

Senegal es uno de los mercados de pago móvil más activos de la región. Los emisores de dinero electrónico, regulados por la Instrucción n.º 008-05-2015 del BCEAO, gestionan cada día una gran cantidad de números de teléfono, saldos e historiales de transacciones. Los equipos de producto, fraude y atención al cliente son también los que adoptan más rápido las herramientas de IA.

Son justamente esos datos los que acaban en los prompts: una exportación de transacciones para entender una anomalía, una lista de agentes para preparar un informe, una conversación con un cliente para redactar una respuesta tipo.

Los usos de riesgo más frecuentes

En un banco, una institución de microfinanzas o una fintech, las situaciones más expuestas suelen ser cotidianas:

• Atención al cliente: pegar una reclamación completa con nombre, número de cuenta e importes.

• Crédito: pedir el resumen de un expediente de préstamo con ingresos, garantías y documentos de identidad.

• Cumplimiento y lucha contra el blanqueo: pedir a una IA que analice una lista de operaciones sospechosas.

• Informática: enviar un extracto de base de datos o un archivo de configuración para corregir un error.

• Dirección y finanzas: reformular un informe interno antes de un comité o de una revisión de la Comisión Bancaria.

Ninguno de estos gestos es malintencionado. Pero cada uno puede suponer a la vez una vulneración del secreto profesional y una transferencia de datos sin control. Explicamos este mecanismo en Anatomía de una fuga de datos por IA.

Por qué el bloqueo no resuelve nada

Muchas entidades reaccionaron bloqueando los sitios de IA en su red interna. El resultado es conocido: los empleados pasan a su teléfono personal, con el mismo archivo y todavía menos control. El banco pierde entonces toda visibilidad. Esta IA en la sombra tiene un coste real, que estimamos en El coste real de la IA en la sombra en 2026.

Los equipos usarán la IA de todos modos. Lo que queda es fijar las condiciones.

Un enfoque pensado para el sector financiero

1. Inventariar las herramientas que realmente se usan, área por área, también en el móvil.

2. Definir los datos prohibidos en un prompt: números de cuenta, datos bancarios, saldos, documentos de identidad, datos de crédito, comunicaciones de operaciones sospechosas.

3. Actualizar las formalidades ante la CDP para los usos de IA que afectan a datos de clientes.

4. Implicar a cumplimiento y control interno, porque el secreto bancario también forma parte de su ámbito.

5. Anonimizar en origen: sustituir automáticamente los datos sensibles antes del envío, sin romper el sentido de la petición.

6. Conservar pruebas para la CDP, la Comisión Bancaria y los auditores.

Lo que ZeusLock aporta a bancos y fintech

ZeusLock funciona directamente en los equipos y navegadores de los empleados. Detecta en tiempo real los datos sensibles en los prompts y archivos enviados a ChatGPT, Copilot, Gemini o Claude. Según sus reglas, los anonimiza preservando su formato, muestra una advertencia o bloquea el envío. El asesor obtiene su respuesta, pero el número de cuenta real nunca sale del banco. Para entender la técnica, lea nuestro artículo sobre la anonimización que preserva el formato.

Cada incidente evitado queda registrado, de modo que dispone de pruebas concretas en caso de inspección.

En resumen

En Senegal, una entidad financiera que utiliza IA generativa debe conciliar dos exigencias: el secreto profesional previsto por la regulación bancaria de la UMOA y la Ley 2008-12 supervisada por la CDP. Prohibir la IA no funciona. La respuesta adecuada es saber qué sale, proteger los datos antes del envío y dejar constancia de cada decisión.

¿Dirige un banco, una institución de microfinanzas o una fintech en Senegal? Solicite una demo de ZeusLock y vea cómo sus equipos pueden usar la IA sin exponer a sus clientes.