Congo-Brazzaville, ley 29-2019 e IA: construir una gobernanza sólida
Brazzaville y Pointe-Noire: cómo las empresas de la República del Congo pueden encuadrar el uso de ChatGPT y Copilot con la ley 29-2019 de datos personales.
En Pointe-Noire, la responsable administrativa de una empresa de logística portuaria usa ChatGPT para redactar cartas a los clientes y resumir expedientes de envío. En Brazzaville, un empleado de banca hace lo mismo con sus notas de crédito. Nadie les ha dicho qué pueden introducir ni qué deben guardarse.
Es la situación de muchas organizaciones en la República del Congo. La IA generativa ha llegado a las oficinas más rápido que las normas internas. Sin embargo, el país cuenta desde 2019 con una ley de datos personales que ofrece una base sólida para organizar estos usos.
La ley 29-2019, pilar del marco congoleño
La ley n.º 29-2019 de 10 de octubre de 2019 sobre la protección de datos personales fija las reglas para cualquier organización que recoja o trate datos de personas en el Congo. Se basa en principios conocidos: consentimiento previo y explícito, salvo excepciones, finalidad determinada, seguridad y confidencialidad.
El texto entra en detalle. Prevé la declaración previa de los tratamientos, una autorización para ciertos datos sensibles, la designación de un delegado de protección de datos en varios casos y la notificación de las violaciones de datos en un plazo de 72 horas.
Una autoridad anunciada, obligaciones ya vigentes
La ley confía el control a una comisión nacional de protección de datos personales. En julio de 2024, el Consejo de Ministros aprobó un anteproyecto de ley para crear esta comisión, un paso necesario para que sea operativa.
Ese retraso no suspende la ley. Las obligaciones de seguridad, confidencialidad y limitación de las transferencias se aplican, al igual que las sanciones penales previstas. Las empresas que esperan a la instalación de la comisión para organizarse corren un riesgo: tener que hacerlo todo con prisas, bajo la mirada de un regulador recién creado.
Por qué la IA generativa es un problema de gobernanza
La primera cuestión no es técnica, sino organizativa. En la mayoría de las empresas, nadie es claramente responsable del uso de la IA. Los equipos eligen sus herramientas solos, a menudo con cuentas personales. Hemos cuantificado este fenómeno en nuestro artículo sobre el coste real de la IA en la sombra.
Además, la ley 29-2019 regula de forma estricta las transferencias: los datos solo pueden salir del Congo hacia un país con una protección comparable, con aviso previo a la comisión. Un prompt enviado a un asistente alojado en el extranjero entra en ese marco.
Sin reglas comunes, cada equipo fija sus propios límites, o ninguno. El servicio jurídico no sabe qué herramientas se usan, la dirección de sistemas no ve los flujos y la dirección descubre el problema el día de un incidente. Una gobernanza clara sirve ante todo para repartir los papeles.
El contexto de Brazzaville y Pointe-Noire
Los dos polos económicos del país no tienen exactamente los mismos retos.
Brazzaville concentra la administración, las sedes de los bancos y los operadores de telecomunicaciones. Allí los datos son sobre todo expedientes de clientes, usuarios y funcionarios.
Pointe-Noire vive del petróleo, del puerto y de la logística. Maneja datos del personal, de salud laboral, contratos y documentos de envío, a menudo compartidos con socios extranjeros.
En ambas ciudades, los equipos alternan entre el francés, el lingala y el kituba, y usan la IA para traducir o reformular. Eso multiplica los copiar y pegar de documentos internos.
Cinco pilares para una gobernanza de la IA
Un responsable designado. El delegado de protección de datos, o en su defecto el director de sistemas, lleva la política de uso de la IA y rinde cuentas a la dirección.
Una política escrita y breve. Qué herramientas están autorizadas, para qué usos y qué datos no deben introducirse nunca: identidades, números de cuenta, historias clínicas, datos de los funcionarios.
Un mapa de los tratamientos. Cada uso habitual de la IA se inscribe en el registro, con su base legal y las posibles transferencias fuera del Congo.
Un control técnico en el equipo. La formación sola no basta, como explicamos en por qué la formación en seguridad de la IA no funciona. Hace falta una herramienta que detecte los datos sensibles en el momento del prompt y los anonimice o bloquee el envío.
Pruebas e indicadores. Incidentes evitados, herramientas usadas, equipos afectados. Servirán ante la futura comisión y en caso de una violación que notificar.
Un calendario realista
No hace falta hacerlo todo a la vez. Un primer mes puede bastar para nombrar un responsable, publicar una política y lanzar el inventario. Los dos meses siguientes sirven para desplegar el control en los equipos más expuestos y luego ampliarlo. Nuestro plan de despliegue en 90 días detalla esta progresión. Para comparar con un país francófono cuya autoridad ya está activa, consulte nuestra guía sobre la ley 2008-12 de Senegal.
Lo esencial
La ley 29-2019 ya regula el uso de los datos personales en el Congo, también en la IA.
La comisión nacional está en proceso de creación, pero las obligaciones se aplican desde ya.
Un prompt hacia una IA alojada en el extranjero es una transferencia sujeta a la ley.
Una buena gobernanza combina un responsable, una política, un registro, un control en el equipo y pruebas.
ZeusLock aporta el control en el equipo: detecta y anonimiza los datos sensibles antes de su envío a ChatGPT, Copilot o Gemini, y registra los incidentes para sus auditorías. Solicite una demo para construir su gobernanza de la IA.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
