Bancos y microfinanzas en Malí: usar la IA sin exponer a los clientes

En una caja de microfinanzas de Bamako, un agente de crédito debe preparar el expediente de una comerciante que pide un préstamo para ampliar su puesto. Tiene sus extractos de ahorro, la copia de su documento de identidad y la opinión de su grupo solidario. Para ir más rápido, pega todo en un asistente de IA y le pide una nota de síntesis para el comité de crédito. Gana veinte minutos. Pero los datos de la clienta acaban de salir de Malí.

Bancos y sistemas financieros descentralizados (SFD, las instituciones de microfinanzas de la región) empiezan a usar la IA generativa, a menudo sin ningún marco. Este artículo propone un enfoque práctico, adaptado a su realidad y a las normas que se les aplican.

Un sector clave para la inclusión financiera

Las microfinanzas tienen un papel central en Malí. Según la asociación profesional de los SFD de Malí (Apsfd-Mali), el país contaba con 116 SFD a 31 de diciembre de 2024, con unos 1,58 millones de clientes, 158 000 millones de francos CFA en depósitos y 191 000 millones en créditos. En septiembre de 2025, el Ministerio de Economía y Finanzas anunció que preparaba una nueva ley para proteger mejor a los depositantes.

Los bancos, por su parte, atienden a empresas, funcionarios y una parte creciente de particulares. En ambos casos, las entidades guardan información muy sensible sobre sus clientes: ingresos, ahorro, deudas, garantías, familia.

Tres capas de normas

Una entidad financiera maliense que usa la IA debe tener en cuenta tres marcos:

• La regulación de la UMOA, bajo la supervisión del BCEAO y de la Comisión Bancaria, que impone entre otras cosas el secreto profesional a los bancos y a su personal.

• La regulación de los SFD, que fija las normas de gobernanza y control propias de las microfinanzas.

• La Ley n.º 2013-015 del 21 de mayo de 2013, modificada en 2017, que protege los datos personales y confía su control a la Autorité de Protection des Données à caractère Personnel (APDP).

Esta ley solo permite transferir datos a otro país si este ofrece un nivel de protección suficiente. Sin embargo, la mayoría de los asistentes de IA de gran público tratan los datos fuera de África. Para conocer el marco y los retos de soberanía, lea nuestro artículo sobre la Ley 2013-015, la APDP y la soberanía de los datos.

Una autoridad que inspecciona

La APDP no es una autoridad de fachada. En 2025 multó con 5 millones de francos CFA a una clínica de Bamako que había obstaculizado una inspección. En octubre de 2025 abrió una sesión extraordinaria para examinar unos 2000 expedientes de declaración, revisando en particular la seguridad de los sistemas de información. Para un banco o un SFD, el uso de la IA con datos de clientes es, por tanto, uno de los temas que puede abordar una inspección.

Los gestos de riesgo en la ventanilla y en la sede

En un banco o una institución de microfinanzas, los usos más expuestos rara vez son exóticos:

• resumir un expediente de crédito con identidad, ingresos y garantías;

• redactar una carta de recordatorio a un cliente con pagos atrasados;

• analizar una cartera de préstamos exportada de Excel para preparar un informe;

• traducir un procedimiento interno que usa nombres de clientes como ejemplo;

• enviar una lista de operaciones sospechosas para redactar una nota de cumplimiento.

Cada uno de estos gestos puede vulnerar el secreto profesional y suponer a la vez una transferencia de datos fuera de Malí. El mecanismo se explica en Anatomía de una fuga de datos por IA.

El enfoque en cinco pasos

1. Observar durante dos o tres semanas qué herramientas de IA se usan realmente, agencia por agencia, también en los teléfonos.

2. Clasificar los datos en tres niveles: libres (textos públicos, plantillas vacías), a anonimizar (nombres, importes, números de cuenta), prohibidos (documentos de identidad, declaraciones de operaciones sospechosas, datos de salud).

3. Escribir una norma de una página, validada por la dirección y el área de cumplimiento, y explicarla en reuniones de agencia en lugar de con un simple correo.

4. Actualizar las declaraciones ante la APDP para los tratamientos que implican IA, e informar al consejo de administración.

5. Proteger automáticamente los datos antes del envío y conservar un registro de los incidentes evitados.

Para planificar estos pasos en el tiempo, nuestro manual de despliegue en 90 días propone un calendario semana a semana.

También las pequeñas entidades

Una caja rural con tres empleados no tiene responsable de seguridad. Es justo ahí donde el riesgo es mayor, porque las herramientas gratuitas son la opción más sencilla. Para estas entidades, la sensibilización por sí sola no basta, como explicamos en Por qué la formación en seguridad de IA no funciona. Necesitan una salvaguarda que actúe en el momento en que el dato sale, sin exigir conocimientos técnicos al empleado.

Lo que aporta ZeusLock

ZeusLock se instala en los equipos y navegadores de los empleados, tanto en la sede como en las agencias. Detecta en tiempo real nombres, números de cuenta, importes y documentos de identidad en los prompts y archivos enviados a ChatGPT, Copilot, Gemini o Claude. Según sus reglas, los anonimiza conservando su formato, avisa al usuario o bloquea el envío. El agente de crédito obtiene su nota de síntesis, pero la identidad real de la clienta se queda en la entidad. Cada evento queda registrado para la APDP, la Comisión Bancaria y los auditores.

En resumen

En Malí, bancos y SFD guardan datos protegidos a la vez por el secreto profesional de la UMOA y por la Ley 2013-015. La IA generativa puede ahorrar un tiempo valioso, siempre que se sepa qué sale y se protejan los datos antes del envío. Un enfoque sencillo en cinco pasos basta para empezar.

¿Dirige un banco o una institución de microfinanzas en Malí? Solicite una demo de ZeusLock.