Madagascar, ley 2014-038 e IA: proteger los datos en el offshoring

En Antananarivo, una agente atiende a un abonado de un operador francés mientras su compañero gestiona siniestros para una aseguradora europea. Entre llamada y llamada, muchos abren ChatGPT o Copilot para reformular una respuesta, resumir una conversación o traducir una carta. Se gana tiempo. Y es también el momento en que datos que no les pertenecen salen del puesto de trabajo.

Para las empresas de externalización malgaches, la cuestión es muy concreta. Están sujetas a la ley malgache n.º 2014-038 sobre protección de datos personales, y sus clientes europeos siguen obligados por el RGPD. Con la llegada de la IA generativa a las plataformas, ambos marcos se cruzan en cada prompt.

Un sector que vive de los datos de sus clientes

La externalización se ha convertido en uno de los motores del empleo urbano en Madagascar. Según cifras de la Corporación Financiera Internacional citadas por L'Express de Madagascar en 2025, el sector representa unos 45 000 empleos y podría llegar a 100 000 en 2030. Operan en él más de 230 empresas, y más del 80 % de sus clientes son compañías francesas.

El modelo se basa en la confianza. Un cliente entrega a un proveedor de Tana sus ficheros de clientes, sus historiales de reclamaciones y a veces datos bancarios o de salud. El mismo artículo señala que herramientas como ChatGPT, Microsoft Copilot o chatbots internos ya se usan en el sector. En la mayoría de los casos, ese uso no se comunica al cliente ni está previsto en el contrato.

Qué establece la ley 2014-038

La ley n.º 2014-038 recoge principios muy parecidos a los europeos. Se aplica a los tratamientos realizados en Madagascar, también cuando se hacen por cuenta de empresas extranjeras. Entre sus reglas principales:

• la finalidad: los datos solo pueden usarse para el fin con el que se recogieron;

• la proporcionalidad: solo deben tratarse los datos necesarios;

• la seguridad: el responsable y su encargado deben proteger los datos frente al acceso no autorizado y la divulgación;

• el control de las transferencias hacia países que no ofrecen un nivel de protección suficiente.

Pegar la ficha de un cliente en un asistente de IA alojado en el extranjero es, a la vez, un nuevo uso de los datos, una comunicación a un tercero y, muchas veces, una transferencia fuera del país.

La CMIL por fin sale de la sombra

La ley crea una autoridad de control, la Comisión Malgache de Informática y Libertades (CMIL). Durante años solo existió sobre el papel. Todavía en febrero de 2025, la prensa malgache lamentaba que la comisión no se hubiera constituido, durante una misión de evaluación apoyada por la Francofonía.

Eso ha cambiado. En febrero de 2026, la CMIL anunció que había entrado en una fase de puesta en marcha reforzada: estructuración de sus órganos, formación de sus miembros con un experto de la OIF y varias decenas de expedientes ya registrados, sobre todo solicitudes de adecuación. La ley le permite emitir advertencias, imponer multas administrativas y ordenar el embargo de una base de datos.

El RGPD viaja con los expedientes

Madagascar no cuenta con una decisión de adecuación de la Comisión Europea. Por eso los clientes franceses recurren a cláusulas contractuales tipo y a un contrato de encargo del tratamiento conforme al artículo 28 del RGPD. Ese contrato enumera los subencargados autorizados y las medidas de seguridad exigidas.

Un agente que usa un asistente de IA de consumo añade, sin saberlo, un subencargado que nadie ha aprobado. Ante un incidente o una auditoría, será el proveedor malgache quien tenga que explicar qué salió, hacia qué servicio y por qué. Nuestra checklist del Reglamento de IA y el artículo 32 del RGPD resume las pruebas que los clientes europeos piden cada vez más.

Dónde aparece el riesgo en la plataforma

Las fugas casi nunca nacen de la mala fe. Nacen de gestos cotidianos pensados para ir más rápido:

1. pegar una conversación completa con nombre, dirección y número de contrato para obtener una respuesta más cuidada;

2. pedir un resumen de un expediente de siniestro o de un extracto bancario;

3. traducir una reclamación que contiene un IBAN o información médica;

4. subir una exportación de tickets para sacar estadísticas.

Prohibir la IA no funciona: los agentes pasan a usar el móvil, fuera de todo control. Explicamos este fenómeno y lo que cuesta en el coste real de la IA en la sombra.

Mantener la IA, retirar los datos

Lo razonable es dejar que los agentes usen la IA, pero controlar lo que entra en sus prompts. En la práctica, un proveedor puede:

• identificar las herramientas de IA que se usan de verdad en cada plataforma;

• actualizar los contratos y la lista de subencargados con cada cliente;

• detectar automáticamente los datos sensibles antes del envío y anonimizarlos, avisar al agente o bloquearlos;

• llevar un registro de incidentes para responder a las auditorías de los clientes y a las peticiones de la CMIL.

La anonimización que preserva el formato resulta muy útil: un nombre se convierte en otro nombre, un número de contrato conserva su estructura y el asistente sigue dando una respuesta aprovechable. Para una visión más amplia del continente, consulte nuestro análisis sobre la IA generativa y la protección de datos en África Occidental.

Lo esencial

Los BPO y centros de llamadas de Madagascar tratan sobre todo datos de clientes europeos. La ley 2014-038 regula esos tratamientos, la CMIL empieza a funcionar y el RGPD se impone a través de los contratos. La IA generativa ya está en las plataformas. La pregunta ya no es si se usa, sino si se puede demostrar que se usa sin exponer datos.

ZeusLock detecta, anonimiza o bloquea los datos sensibles antes de que lleguen a ChatGPT, Copilot o Gemini, directamente en el equipo del agente, y deja constancia de cada incidente. Solicite una demo para ver cómo aplicarlo en sus plataformas.