Ley L/2016/037 de Guinea: gobernanza de la IA antes que el regulador

En Conakri, en Boké o en Kamsar, la inteligencia artificial ya ha entrado en las oficinas. Un ingeniero pide a ChatGPT que resuma un informe de producción. Una abogada revisa un contrato con Copilot. Un agente de atención al cliente de un operador de telecomunicaciones prepara sus respuestas con Gemini. Nadie esperó una circular de la dirección para empezar.

El marco jurídico avanza más despacio. Guinea cuenta con una ley de protección de datos desde 2016, pero la autoridad encargada de aplicarla todavía no está plenamente instalada. Para una empresa, ese desfase no es motivo para esperar. Al contrario, es el momento adecuado para fijar sus propias reglas.

La ley L/2016/037/AN: lo que dice realmente

La ley n.º L/2016/037/AN, de 28 de julio de 2016, relativa a la ciberseguridad y a la protección de datos personales, es el texto de referencia. No menciona la inteligencia artificial, pero cubre cualquier operación sobre información que permita identificar a una persona. Pegar un fichero de clientes en un asistente de IA es un tratamiento. Enviarlo a servidores situados fuera del país es una transferencia.

Tres puntos importan especialmente para el uso de la IA:

• Las formalidades previas. La ley exige una declaración o una solicitud de autorización antes de iniciar un tratamiento. Los datos de salud, biométricos y genéticos, los números de identificación nacional y los datos sobre infracciones requieren autorización.

• Las transferencias fuera de Guinea. Solo se permiten hacia un país que garantice un nivel de protección igual o superior, bajo el control de la autoridad.

• La seguridad. El responsable del tratamiento debe proteger los datos frente a cualquier divulgación a terceros no autorizados.

Una autoridad prevista, aún sin funcionar del todo

La ley prevé la creación de una autoridad de protección de datos personales, cuya organización debe fijarse por vía reglamentaria. Según los análisis jurídicos disponibles, esta autoridad aún no es plenamente operativa y los decretos sobre los procedimientos de declaración siguen pendientes.

En la práctica, todavía no hay ventanilla donde presentar declaraciones ni directrices sobre IA. Pero la ley está en vigor. Las obligaciones de seguridad y las reglas sobre transferencias ya se aplican, y un litigio civil o penal puede basarse en ellas. Cuando la autoridad esté instalada, también mirará lo que las empresas hicieron antes.

El Estado impulsa la IA y las empresas lo siguen

La señal política es clara. En diciembre de 2025, el ministerio encargado de las tecnologías de la información validó, junto con el PNUD, una hoja de ruta nacional de inteligencia artificial para el periodo 2026 a 2035. Se apoya en un diagnóstico nacional y empieza por construir las bases institucionales, normativas y técnicas antes de integrar la IA en los servicios públicos. En 2025 el país también puso en servicio su primer centro de datos nacional con certificación Tier 3.

En el sector privado, dos industrias están en primera línea:

• La minería. Guinea posee las mayores reservas de bauxita del mundo. Las compañías mineras y sus subcontratistas manejan datos geológicos, contratos, información sobre las comunidades vecinas y expedientes de recursos humanos de miles de empleados. Muchas trabajan con matrices en el extranjero y herramientas en inglés donde la IA ya es habitual.

• Las telecomunicaciones y el dinero móvil. Números de teléfono, historiales de transacciones, documentos de identidad escaneados: justo el tipo de datos que un agente con prisa puede pegar en un chatbot para entender una reclamación.

Por qué construir su gobernanza antes que el regulador

Esperar a que la autoridad publique sus reglas puede parecer prudente. En realidad es arriesgado, por tres motivos.

Primero, las fugas no avisan. Cuando un plano de mina, una lista de empleados o un contrato de concesión ha salido hacia un servicio externo, ya no se puede recuperar. Explicamos este mecanismo en la anatomía de una fuga de datos por IA.

Segundo, sus socios tampoco esperan. Los grupos internacionales, los financiadores y los bancos ya piden a sus proveedores guineanos pruebas de que controlan sus datos.

Tercero, el uso sin control cuesta caro incluso sin multa: tiempo perdido, contratos renegociados, confianza dañada. Lo hemos cuantificado en el coste real de la IA en la sombra.

Cinco frentes para una gobernanza de la IA sólida

1. Hacer inventario. ¿Qué herramientas de IA se usan, en qué equipos y con qué datos? Una encuesta interna de dos semanas basta para empezar.

2. Clasificar los datos. Datos geológicos, contratos, expedientes del personal, datos de abonados: defina lo que nunca debe salir.

3. Nombrar a un responsable. Un referente de datos, del área jurídica o de seguridad, que lleve un registro de tratamientos aunque la autoridad aún no tenga ventanilla.

4. Redactar una regla sencilla. Una página, en francés, con ejemplos de su propio negocio. Lo que está permitido y lo que no.

5. Proteger en origen. Detectar y anonimizar los datos sensibles antes de que lleguen a la IA, y conservar un registro de los incidentes evitados.

Para ampliar el contexto regional, lea nuestro artículo sobre la IA generativa y la protección de datos en África Occidental.

Lo que aporta ZeusLock

ZeusLock funciona en los equipos y navegadores de su plantilla. Detecta en tiempo real los datos sensibles en los prompts y archivos enviados a los asistentes de IA: nombres, números de teléfono, documentos de identidad, datos financieros, información técnica. Según sus reglas, anonimiza conservando el formato, advierte al usuario o bloquea el envío. Cada evento queda registrado, lo que le da pruebas concretas cuando la autoridad o un socio se las pida.

En resumen

Guinea tiene una ley desde 2016, una hoja de ruta de IA desde finales de 2025 y una autoridad aún en construcción. Las empresas mineras, de telecomunicaciones y de servicios que organicen ya su uso de la IA tomarán ventaja. Estarán preparadas cuando llegue el regulador y, mientras tanto, habrán protegido sus datos.

¿Quiere saber qué datos envían ya sus equipos a la IA? Solicite una demo de ZeusLock.