Ley 2008-12 e IA generativa: guía de cumplimiento para las empresas de Senegal
ChatGPT, Copilot, Gemini: sus equipos en Senegal ya usan la IA. Qué exigen la Ley 2008-12 y la CDP, las situaciones de riesgo y un plan de acción concreto.
Desde el lanzamiento del New Deal Technologique en febrero de 2025, Senegal tiene una ambición clara: convertirse en un polo digital de referencia en África. En las empresas, esta ambición ya forma parte del día a día. Los equipos usan ChatGPT, Copilot o Gemini para redactar cartas, analizar hojas de cálculo, preparar ofertas o traducir contratos.
Esta adopción es una buena noticia. Pero plantea una pregunta que muchos directivos aún no han resuelto: ¿qué ocurre con los datos personales de sus clientes y empleados cuando se pegan en un asistente de IA? En Senegal, la respuesta está en un texto concreto, la Ley n.º 2008-12 sobre protección de datos personales.
La Ley 2008-12 también se aplica a la IA
La ley no menciona la inteligencia artificial, ya que data de 2008. Sin embargo, se aplica plenamente. En cuanto una empresa establecida en Senegal trata información que permite identificar a una persona, se convierte en responsable del tratamiento. Copiar un fichero de clientes en una herramienta de IA es un tratamiento. Enviarlo a servidores en el extranjero es una transferencia.
La Commission de protection des Données Personnelles (CDP) vela por el cumplimiento de esta ley. Recibe quejas, publica dictámenes con regularidad y puede imponer sanciones. No es un tema teórico.
Cuatro obligaciones que hay que tener presentes
1. Una finalidad clara
Los datos deben recogerse con un objetivo concreto y no reutilizarse para otra cosa. Un número de teléfono recogido para abrir una cuenta no debería acabar en un prompt para probar una herramienta nueva.
2. Las formalidades ante la CDP
Según su naturaleza, los tratamientos deben declararse a la CDP o ser autorizados por ella. Todo uso de la IA que afecte a datos de clientes o empleados debe incluirse en estas formalidades, igual que un nuevo software de negocio.
3. Seguridad y confidencialidad
El responsable del tratamiento debe adoptar las medidas necesarias para impedir que los datos se comuniquen a terceros no autorizados. Dejar que cada empleado envíe libremente datos sensibles a un servicio externo va en contra de esta exigencia.
4. Las transferencias fuera de Senegal
Es el punto más delicado. Una transferencia a un tercer país solo es posible si ese país garantiza un nivel de protección adecuado, o en las condiciones fijadas por la CDP. La mayoría de los asistentes de IA para el gran público tratan los datos fuera del continente. Sin precauciones, cada prompt con datos personales puede constituir una transferencia irregular.
Para una visión de conjunto de las leyes de la región, lea IA generativa en África Occidental: cómo proteger sus datos sensibles.
Cinco situaciones habituales en las empresas senegalesas
Banca y microfinanzas: un asesor pega el historial de un cliente para redactar la respuesta a una reclamación.
Telecomunicaciones y dinero móvil: un agente envía una exportación de transacciones para entender una anomalía.
Seguros y salud: un gestor resume un expediente médico con un asistente de IA.
Recursos humanos: una responsable de selección compara currículos completos con números de documento de identidad.
Pymes y comercio: un comercial importa todo su fichero de prospectos para generar correos personalizados.
En cada caso, la intención es buena y el ahorro de tiempo es real. El problema es el dato que viaja con la petición. Este fenómeno, a menudo invisible para la dirección, tiene nombre: Shadow AI. Medimos su impacto en El coste real del Shadow AI en 2026.
Prohibir no basta
Ante el riesgo, algunas empresas bloquean los sitios de IA en su red. El resultado rara vez es el esperado. Los empleados pasan a su teléfono personal y la dirección pierde toda visibilidad. La formación por sí sola tampoco basta: con la presión de un expediente urgente, las buenas intenciones se olvidan rápido. Explicamos por qué en Por qué la formación en seguridad de IA no funciona.
El enfoque correcto es dejar que los equipos usen la IA controlando lo que sale de la empresa.
Plan de acción en seis pasos
Mapear los usos. Identifique qué herramientas de IA se usan realmente y en qué departamentos.
Clasificar los datos. Enumere lo que nunca debe ir a una IA externa: identidad, datos bancarios, salud, datos de empleados, secretos técnicos.
Actualizar sus formalidades ante la CDP. Incluya los usos de la IA en sus declaraciones y en su registro de tratamientos.
Redactar una política sencilla. Basta una página, con ejemplos concretos de lo que está permitido y lo que no.
Proteger en origen. Detecte y anonimice automáticamente los datos sensibles antes de que lleguen a la IA. Consulte nuestro artículo sobre la anonimización que preserva el formato.
Conservar pruebas. Registre los incidentes evitados. Ante una inspección de la CDP, es su mejor argumento.
Para la puesta en marcha paso a paso, siga nuestra guía de despliegue en 90 días.
Cómo ayuda ZeusLock a las empresas senegalesas
ZeusLock se instala en los equipos y navegadores de su plantilla. Detecta en tiempo real los datos sensibles en los prompts y archivos enviados a los asistentes de IA, incluidos los números de teléfono senegaleses, los números de documento de identidad CEDEAO y los identificadores de dinero móvil. Según sus reglas, anonimiza, avisa o bloquea. Cada evento queda registrado para respaldar su cumplimiento.
Sus empleados conservan sus herramientas. Usted conserva el control de sus datos.
En resumen
Senegal apuesta por lo digital y la IA, y es una gran noticia. La Ley 2008-12 no impide usar estas herramientas. Solo exige saber qué datos salen, adónde van y cómo se protegen. Las empresas que se organicen desde ahora tomarán ventaja, ante sus clientes y ante el regulador.
¿Quiere medir la exposición de su empresa? Solicite una demo de ZeusLock.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
