Gabón, ley 001/2011 e IA: ¿adónde van realmente los datos de sus equipos?

En Port-Gentil, un ingeniero de una empresa de servicios petroleros pide a ChatGPT que resuma un informe de incidente. El documento contiene los nombres de los técnicos presentes, sus teléfonos y extractos de expedientes médicos. En un segundo, esa información ha viajado a servidores situados a miles de kilómetros de Gabón.

Ese trayecto invisible plantea una pregunta sencilla: ¿quién controla los datos de los gaboneses cuando pasan por un asistente de IA? La ley n.º 001/2011 sobre la protección de datos personales, modificada en 2023, y la autoridad que la aplica dan una respuesta clara, todavía poco conocida en las empresas.

Una ley pionera, reforzada en 2023

Gabón fue uno de los primeros países de África Central en dotarse de una ley de datos personales. La ley n.º 001/2011 creó la Comisión Nacional para la Protección de Datos Personales (CNPDCP).

En 2023, una reforma aprobada mediante la ley n.º 025/2023 modificó el texto y transformó la comisión en la Autoridad para la Protección de Datos Personales y de la Vida Privada (APDPVP), con más poderes. Desde entonces la autoridad se ha hecho visible, por ejemplo al convocar a los candidatos a las presidenciales de 2025 sobre el uso de los datos de los electores, o al trabajar con el Ministerio de Economía Digital en el proyecto Gabon Digital.

El país adoptó también en 2023 una ley sobre ciberseguridad y ciberdelincuencia y ratificó en octubre de 2024 el Convenio de la Unión Africana sobre ciberseguridad y protección de datos personales, conocido como Convenio de Malabo.

Transferencias fuera de Gabón: la regla básica

Para la IA generativa, la cuestión central es la transferencia internacional. En principio, los datos personales solo pueden salir de Gabón hacia un país que ofrezca un nivel de protección adecuado. Si no, la transferencia solo es posible en casos limitados: consentimiento explícito de la persona, ejecución de un contrato, protección de la vida, interés público o defensa de un derecho ante la justicia.

La mayoría de los asistentes de IA de uso general tratan los datos fuera del continente. Cuando un empleado pega una lista de clientes en un chatbot, realiza una transferencia internacional sin base jurídica, sin informar a las personas y sin dejar rastro en el registro de la empresa.

Los datos que requieren autorización

La ley gabonesa distingue entre los tratamientos sujetos a simple declaración y los que exigen una autorización previa de la APDPVP. Entre estos últimos están:

• los datos biométricos usados para verificar la identidad;

• los números de identificación nacionales, como el NIP;

• los datos sobre infracciones y condenas;

• los datos genéticos fuera del ámbito médico;

• ciertos tratamientos de elaboración de perfiles.

Una empresa no puede dejar que estos datos circulen libremente por herramientas de IA cuando su tratamiento básico ya necesita el visto bueno de la autoridad.

También hay que pensar en los derechos de las personas. Un cliente o un empleado puede preguntar qué datos suyos se trataron y quién lo hizo. Si su información pasó por una herramienta de IA sin que la empresa lo supiera, no podrá responder correctamente.

Petróleo, banca y sector público: tres perfiles de riesgo

El sector petrolero

Los operadores y subcontratistas de Port-Gentil y Libreville manejan expedientes de personal, datos de salud laboral y contratos sensibles. Muchos equipos trabajan con matrices extranjeras, lo que multiplica los flujos de datos fuera del país.

La banca

Los bancos gaboneses guardan identidades, ingresos e historiales de transacciones. Un analista de crédito que pide a una IA que resuma un expediente de préstamo expone justo el tipo de información que los clientes esperan ver protegida.

La administración

Los organismos públicos deben designar un delegado de protección de datos. Con la digitalización de los servicios públicos y la llegada del NIP, los funcionarios manejan cada vez más datos del registro civil. Un uso descontrolado de la IA en estos servicios afectaría directamente a la confianza ciudadana.

La soberanía se decide en el puesto de trabajo

A menudo se habla de soberanía en términos de centros de datos nacionales. Es útil, pero no basta. Los datos salen primero por el navegador, cuando un empleado escribe o pega un texto. Ahí es donde hay que actuar.

Lo adecuado es detectar los datos personales antes de enviar el prompt y sustituirlos por valores ficticios con el mismo formato. La IA recibe un texto útil, pero ningún dato real sale de Gabón. Nuestro artículo sobre la anonimización preservando el formato explica el método, y nuestro análisis sobre la IA soberana vista por los CISO muestra por qué el alojamiento por sí solo no lo resuelve todo.

Por dónde empezar

1. Inventariar las herramientas de IA que se usan de verdad, también en cuentas personales.

2. Identificar los datos sujetos a autorización y excluirlos de los prompts.

3. Documentar las transferencias hacia los proveedores de IA y su base jurídica.

4. Formar a los equipos con ejemplos concretos de su trabajo.

5. Desplegar un control en el equipo que avise, anonimice o bloquee, y guarde la prueba de los incidentes para la APDPVP.

Para organizar estos pasos, nuestro plan de despliegue en 90 días propone un calendario realista. Los retos son parecidos a los de la región, descritos en nuestro dossier sobre la IA generativa en África Occidental.

Lo esencial

• La ley 001/2011, modificada en 2023, regula los datos personales en Gabón bajo el control de la APDPVP.

• Un prompt enviado a una IA alojada en el extranjero es una transferencia internacional.

• Los identificadores nacionales y los datos biométricos requieren autorización previa.

• La soberanía real empieza en el puesto de trabajo, antes del envío.

ZeusLock detecta y anonimiza los datos personales directamente en el navegador, antes de que salgan de Gabón hacia ChatGPT, Copilot o Gemini. Solicite una demo para mantener el control de sus datos.