Congo-Brazzaville: bancos, datos de clientes e IA en la zona CEMAC
Expedientes de crédito, extractos, documentos de identidad: cómo los bancos de Brazzaville pueden usar la IA generativa sin exponer a sus clientes.
En Brazzaville, un gestor de clientes prepara un comité de crédito para una pyme. Tiene a mano los balances, tres meses de extractos, el documento de identidad del gerente y una nota interna sobre sus incidencias de pago. Para ganar tiempo, pide a un asistente de IA que redacte el resumen. El expediente queda limpio y claro. También ha salido del banco.
En las sucursales y en la sede, este gesto se vuelve habitual. Sin embargo, un banco congoleño responde a dos marcos a la vez: la ley nacional de datos personales y la normativa bancaria común a la zona CEMAC. Ambos tienen algo que decir sobre ese prompt.
Un sector bancario regional
La República del Congo forma parte de la Comunidad Económica y Monetaria de África Central (CEMAC), junto con Camerún, Gabón, Chad, la República Centroafricana y Guinea Ecuatorial. La moneda y la política monetaria dependen del Banco de los Estados de África Central (BEAC). La supervisión de los bancos corresponde a la Comisión Bancaria de África Central (COBAC).
Muchos bancos presentes en Brazzaville y Pointe-Noire pertenecen a grupos regionales o internacionales. Sus equipos comparten herramientas, procedimientos y a veces servidores con otros países. Una política de IA mal definida a nivel de grupo llega, por tanto, muy rápido a las sucursales congoleñas.
Lo que espera la COBAC en materia de control interno
El Reglamento COBAC R-2016/04 de 16 de septiembre de 2016 sobre el control interno de las entidades de crédito exige un dispositivo de control que cubra todos los riesgos, incluidos los vinculados a las actividades externalizadas. No menciona la IA generativa, pero su lógica se aplica.
Un asistente de IA de consumo que procesa expedientes de clientes se parece mucho a un proveedor externo no declarado: recibe datos y los trata fuera del banco, sin contrato negociado ni supervisión. Para la inspección y para la auditoría interna, la pregunta será sencilla: ¿sabía el banco que sus datos salían, y qué hizo para evitarlo?
La ley 29-2019 y los datos de clientes
La Ley n.º 29-2019 de 10 de octubre de 2019 sobre la protección de datos personales se aplica plenamente a los bancos. Presentamos sus grandes principios en nuestro artículo sobre la ley 29-2019 y la gobernanza de la IA. Para una entidad de crédito, tres puntos son especialmente importantes:
los datos deben tratarse con una finalidad definida y protegerse con medidas de seguridad adecuadas;
una transferencia fuera del Congo solo es posible hacia un país con una protección comparable, previa información a la futura comisión;
una violación de datos debe notificarse en un plazo de 72 horas.
Un expediente de crédito enviado a una IA alojada en el extranjero puede afectar a los tres puntos a la vez.
Los usos de riesgo en un banco
Los riesgos no vienen solo del crédito. Aparecen en casi todas las áreas:
Crédito: resúmenes de expedientes, análisis de balances, notas de comité.
Cumplimiento: revisiones de clientes, alertas de lucha contra el blanqueo, comunicaciones de operaciones sospechosas.
Atención al cliente: respuestas a reclamaciones con historial de cuenta.
Recursos humanos: evaluaciones, salarios, expedientes disciplinarios.
Las comunicaciones de operaciones sospechosas merecen una atención especial: su confidencialidad es esencial y su contenido nunca debe acabar en una herramienta externa.
Controles concretos
Las herramientas de seguridad clásicas del banco ven poco de lo que ocurre en un navegador cifrado. Lo explicamos en nuestro artículo sobre por qué el DLP de red falla con ChatGPT. Hay que actuar, por tanto, lo más cerca posible del usuario.
Inventariar las herramientas de IA utilizadas, incluidas las del teléfono y las cuentas personales.
Fijar una regla breve: ningún documento de identidad, ningún número de cuenta y ninguna comunicación de operación sospechosa en una herramienta pública.
Tratar la IA como una externalización dentro del dispositivo de control interno, con un responsable designado.
Controlar en el equipo: detectar los datos sensibles en el momento del prompt y después avisar, bloquear o anonimizar.
Conservar pruebas para la auditoría interna, la COBAC y la futura comisión de protección de datos.
La formación sigue siendo útil, pero no basta, como muestra nuestro análisis sobre por qué la formación en seguridad de IA no funciona. La anonimización, en cambio, mantiene la utilidad de la IA: un nombre, un número de cuenta o un importe se sustituye por un valor ficticio con el mismo formato, y el resumen sigue siendo útil. Nuestra guía sobre la anonimización que preserva el formato detalla el método.
Por dónde empezar esta semana
No hace falta esperar a un gran proyecto. Una primera reunión entre el responsable de seguridad, el responsable de cumplimiento y un representante del negocio basta para enumerar los usos conocidos. Justo después, la dirección puede difundir la regla breve descrita más arriba. El control en el equipo se despliega primero en los equipos de crédito y cumplimiento, los más expuestos, antes de extenderse a las sucursales y a la atención al cliente.
Lo esencial
Los bancos congoleños responden a la vez a la ley 29-2019 y a la normativa de la COBAC.
Un asistente de IA sin control se parece a una externalización no supervisada.
Crédito, cumplimiento y atención al cliente son las áreas más expuestas.
Los controles en el equipo y las pruebas de incidentes evitados refuerzan el control interno.
ZeusLock detecta y anonimiza los datos de clientes directamente en el equipo, antes de su envío a ChatGPT, Copilot o Gemini, y registra cada incidente para sus auditorías. Solicite una demo para proteger el uso de la IA en su banco.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
