Malí: Ley 2013-015, APDP y soberanía de los datos ante la IA
En Malí, cada prompt enviado a una IA puede sacar datos del país. Ley 2013-015, APDP y transferencias: cómo mantener el control de su información.
En Bamako, en una empresa de servicios, un despacho o una dirección administrativa, los asistentes de IA están ahora a un clic. Se usan para redactar una carta, resumir un informe, traducir un documento o preparar una presentación. La herramienta es gratuita, rápida y está disponible en cualquier teléfono.
Lo que se ve menos es el recorrido de los datos. Un texto pegado en ChatGPT o Gemini no se queda en Malí: se procesa en servidores situados en el extranjero, según las reglas del proveedor. Para una organización maliense es una cuestión de cumplimiento, pero también de soberanía sobre su propia información.
El marco legal: la Ley n.º 2013-015
En Malí, la protección de datos personales se basa en la Ley n.º 2013-015 de 21 de mayo de 2013, modificada por la Ley n.º 2017-070 de 18 de diciembre de 2017, que precisó en particular el funcionamiento de la autoridad de control. El texto se aplica a cualquier persona, empresa o administración que trate información que permita identificar a una persona.
La ley creó la Autoridad de Protección de Datos Personales (APDP), una autoridad administrativa independiente. La APDP recibe las declaraciones, emite dictámenes, inspecciona a los organismos y puede imponer sanciones.
Una autoridad activa sobre el terreno
La APDP no se limita a publicar recomendaciones. En 2025 impuso una multa de 5 millones de francos CFA a una clínica de Bamako que había obstaculizado una inspección sobre un sistema de videovigilancia no declarado. Además, más de un centenar de empresas recibieron requerimientos por incumplimiento.
En octubre de 2025, la autoridad abrió una sesión extraordinaria para examinar unos 2.000 expedientes de declaración. Los comisarios verifican la conformidad jurídica, la seguridad de los sistemas de información, los plazos de conservación y el respeto de los derechos de las personas. La ley prevé además una multa de 5 a 20 millones de francos CFA por obstaculizar la labor de la autoridad.
El mensaje es sencillo: las formalidades y las inspecciones son una realidad, también para los usos digitales más recientes.
Los datos que salen del país
La ley maliense regula estrictamente las transferencias. Un responsable del tratamiento solo puede transferir datos personales a otro país si este garantiza un nivel suficiente de protección de la vida privada y de las libertades de las personas.
Sin embargo, la mayoría de los servicios de IA generativa de uso general alojan y procesan los datos fuera de África. Cuando un empleado pega un archivo de clientes, una lista de personal o un expediente administrativo en un asistente en línea, realiza de hecho una transferencia internacional. Sin reglas ni control, la organización deja de saber dónde están sus datos y quién puede acceder a ellos.
Administraciones: una vigilancia especial
El sector público está directamente afectado. La ley exige que los tratamientos realizados por cuenta del Estado cuenten con un dictamen motivado previo de la APDP. Un servicio público que deja a sus agentes usar libremente herramientas de IA externas con expedientes de ciudadanos se expone, por tanto, a un doble riesgo: una fuga de información sensible y un tratamiento que nunca se sometió a la autoridad.
Los casos más frecuentes son muy concretos:
un funcionario que pide resumir un expediente de registro civil o de propiedad;
un servicio de RR. HH. que reformula evaluaciones nominativas;
una dirección financiera que analiza tablas de pagos;
un servicio informático que envía un extracto de base de datos para corregir un error.
La IA avanza en Malí
El país sigue de cerca la inteligencia artificial. Malí cuenta con un Centro de Inteligencia Artificial y Robótica, y el Consejo de Ministros del 23 de abril de 2026 anunció la organización de un foro nacional anual dedicado a la IA, con conferencias, exposiciones de prototipos y competiciones de robótica.
Esta dinámica es positiva. También hace más urgente una pregunta práctica: ¿cómo aprovechar estas herramientas sin exportar, sin saberlo, los datos de clientes, empleados o ciudadanos? Los retos de soberanía van además mucho más allá del continente, como explicamos en IA soberana: lo que deben saber los CISO.
Mantener el control de los datos
Para una empresa o una administración maliense, un enfoque razonable cabe en unos pocos pasos:
Hacer inventario de las herramientas de IA que se usan, oficialmente o no.
Clasificar la información que nunca debe salir: identidad, datos de salud, datos financieros, expedientes administrativos, secretos profesionales.
Revisar sus formalidades ante la APDP e incluir los nuevos usos.
Proteger los datos en origen, antes de que salgan del puesto de trabajo.
Documentar cada incidente evitado para poder responder a una inspección.
Para entender cómo se produce una fuga, lea Anatomía de una fuga de datos por IA. Para la puesta en marcha, nuestro manual de despliegue en 90 días detalla cada etapa. Y para una visión regional, consulte nuestro artículo sobre la IA generativa en África Occidental.
El papel de ZeusLock
ZeusLock actúa directamente en los equipos y navegadores. Antes de que un prompt o un archivo salga hacia ChatGPT, Copilot, Gemini o Claude, detecta los datos sensibles. Según las reglas que usted fije, los anonimiza conservando su formato, avisa al usuario o bloquea el envío. La información real se queda en su organización, y cada evento queda registrado para sus auditorías y sus relaciones con la APDP.
En resumen
En Malí, la Ley 2013-015 y la APDP fijan un marco claro: formalidades, dictamen previo para los tratamientos públicos y transferencias limitadas a países con una protección suficiente. La IA generativa entra en ese marco. Mantener el control de los datos es a la vez cumplir la ley y preservar la soberanía digital.
¿Quiere ver cómo proteger sus datos sin frenar a sus equipos? Solicite una demo de ZeusLock.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
