Gambia: nueva ley de protección de datos e IA, por qué actuar ya

Durante años, Gambia fue uno de los pocos países de África Occidental sin una ley general de protección de datos personales. Ese vacío se está cerrando. A finales de septiembre de 2025, la Asamblea Nacional aprobó el proyecto de ley de protección de datos personales y privacidad, y su sitio web indica ahora que el texto ha recibido la sanción presidencial.

Aun así, una ley aprobada no es todavía una ley aplicada. Hará falta tiempo para poner en marcha la supervisión, formar a los equipos y publicar directrices. Mientras tanto, la IA generativa se instala en los bancos, los hoteles y las administraciones de Banjul y Serrekunda. Este artículo repasa lo que sabemos y lo que es razonable hacer desde ya.

De dónde parte Gambia

Antes de este texto, los datos personales solo estaban protegidos de forma dispersa, mediante algunas disposiciones sectoriales. Ningún regulador abarcaba el conjunto de los tratamientos. Una empresa podía, por tanto, usar herramientas de IA con datos de clientes sin un marco claro.

El país no estaba, sin embargo, al margen de todo marco regional. Como miembro de la CEDEAO, Gambia está concernida por el Acta Adicional A/SA.1/01/10, de 16 de febrero de 2010, sobre protección de datos personales. Este texto fija principios comunes: finalidad, proporcionalidad, seguridad, derechos de las personas y la creación de una autoridad de protección en cada Estado miembro.

Lo que prevé la nueva ley

Según los análisis publicados tras su aprobación, el texto sigue los estándares internacionales. Para una empresa que usa IA, estos son los puntos que más importan:

• Principios claros. Licitud, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación y seguridad.

• Un delegado de protección de datos para las autoridades públicas y para las organizaciones que vigilan a personas o tratan datos sensibles a gran escala.

• Evaluaciones de impacto para los tratamientos de alto riesgo.

• Notificación de las violaciones a la autoridad en un plazo de 72 horas.

• Transferencias controladas al extranjero, basadas en un nivel de protección adecuado o en garantías apropiadas.

• Derechos amplios, entre ellos el de oponerse a decisiones automatizadas.

Este último punto afecta directamente a la IA. Un modelo que clasifica solicitudes de crédito o candidaturas entra en el ámbito de la ley.

Lo que la investigación nos enseña sobre las fugas ligadas a la IA

Las fugas de datos hacia los asistentes de IA siguen casi siempre el mismo patrón. Nada de ataques espectaculares: un empleado con prisa que copia una hoja de cálculo, un contrato o una conversación con un cliente para ganar tiempo. Describimos este mecanismo en la anatomía de una fuga de datos por IA.

Dos lecciones se repiten en nuestro trabajo. Primero, las prohibiciones generales desplazan el problema a los teléfonos personales en lugar de resolverlo. Segundo, las herramientas de seguridad clásicas, pensadas para el correo y la red, ven muy poco de lo que ocurre dentro de un navegador. Lo explicamos en por qué el DLP de red falla con ChatGPT.

Según nuestra experiencia, los enfoques que funcionan combinan tres elementos: una regla sencilla que todo el mundo entiende, un control técnico en el momento en que el dato sale del equipo y un registro de lo que se ha evitado. Ninguno de ellos depende de que exista un regulador.

Los sectores gambianos más expuestos

• Banca y envíos de dinero. Las remesas de la diáspora tienen un peso importante en la economía. Los empleados manejan identidades, números de cuenta e historiales de transacciones.

• Turismo y hostelería. Copias de pasaportes, reservas y datos de pago de visitantes extranjeros, muchos de ellos europeos y sujetos a su vez al RGPD.

• Telecomunicaciones y dinero móvil. Números de teléfono, datos de localización y documentos de identidad de los abonados.

• Administraciones y ONG. Expedientes de salud, ayuda social o registro civil, a veces tratados con socios internacionales.

En un país donde el inglés convive con el wolof, el mandinga y el fula, los equipos también usan la IA para traducir y resumir. Son usos útiles, pero hacen circular muchos datos.

Por qué actuar antes de que la autoridad esté en marcha

1. Los datos ya están saliendo. Un dato enviado hoy a un servicio externo no podrá recuperarse mañana.

2. Los socios exigen garantías. Bancos corresponsales, turoperadores europeos y financiadores piden pruebas de que los datos están bajo control.

3. Cumplir lleva tiempo. Un registro, evaluaciones de impacto, un procedimiento de 72 horas: mejor construirlos sin presión.

4. Las buenas prácticas ya se conocen. El Acta Adicional de la CEDEAO y las leyes de los países vecinos ofrecen una base sólida. Vea nuestro panorama de África Occidental.

En la práctica, un primer paso realista lleva unas semanas: inventariar las herramientas de IA utilizadas, identificar los datos que nunca deben salir, redactar una regla de una página y designar a un responsable. El resto, evaluaciones de impacto y procedimientos detallados, puede llegar a lo largo de los meses. Nuestro manual de despliegue en 90 días propone un calendario preciso.

Cómo puede ayudar ZeusLock

ZeusLock funciona en los equipos y navegadores de los empleados. Detecta en tiempo real los datos personales en los prompts y archivos enviados a los asistentes de IA y, según sus reglas, los anonimiza conservando su formato, advierte al usuario o bloquea el envío. Cada incidente evitado queda registrado, lo que alimenta su registro de tratamientos y sus futuras pruebas de cumplimiento.

En resumen

Gambia por fin se dota de una ley de datos moderna, inscrita en el marco de la CEDEAO. Su aplicación llevará tiempo, pero los riesgos ligados a la IA ya están aquí. Las empresas que adopten ya buenas prácticas ganarán tiempo, confianza y ventaja.

¿Quiere saber qué datos salen ya de su organización? Solicite una demo de ZeusLock.