Nigeria: asistentes de IA para código, claves API y NDPA en startups

Es la una de la madrugada en Yaba. Un desarrollador de una startup de pagos no consigue resolver un fallo de integración. Pega en su asistente de IA el archivo de configuración, un fragmento de logs y el conjunto de datos de prueba. La respuesta llega rápido. Con la pregunta se han ido a un servicio externo una clave API de producción y un centenar de BVN reales, copiados hace meses de la base de clientes.

Es el día a día de muchos equipos técnicos en Lagos, donde los asistentes de código ya forman parte de las herramientas de trabajo. La ley nigeriana, en cambio, no prevé ninguna excepción para los desarrolladores.

Lagos ya programa con IA

De Yaba a Lekki, las startups de fintech, logística o comercio electrónico lanzan productos rápido y con equipos pequeños. Los asistentes integrados en el editor, las herramientas de línea de comandos y los chatbots generalistas ayudan a escribir pruebas, explicar un error o migrar un servicio.

El Estado empuja en la misma dirección. La Estrategia Nacional de Inteligencia Artificial 2025-2029, publicada en septiembre de 2025 por el Ministerio Federal de Comunicaciones, Innovación y Economía Digital, apuesta por la adopción de la IA, y el programa 3MTT forma a miles de jóvenes desarrolladores. Más IA en el código significa también más datos sensibles circulando por estas herramientas.

Tres fugas que aparecen en todas partes

Los secretos

Claves API de pasarelas de pago, tokens de acceso a la nube, contraseñas de bases de datos: viven en los archivos .env, los scripts de despliegue y los mensajes de error. Basta con copiar y pegar para exponerlos.

Datos de prueba que no lo son

Para ir más rápido, un equipo copia un extracto de la base de producción en sus fixtures. Los nombres, teléfonos, BVN y NIN son entonces reales. Cuando ese archivo entra en un prompt, son datos de clientes los que salen de la empresa.

El código fuente

Reglas antifraude, modelos de scoring, lógica de conciliación: para una fintech, el código suele ser su propiedad intelectual más valiosa. Enviarlo a una herramienta de consumo sin contrato ni control es perder el dominio sobre él.

Lo que la NDPA 2023 cambia para un equipo técnico

La Nigeria Data Protection Act de 2023 se aplica a cualquier tratamiento de datos personales, incluido un volcado de base de datos enviado a un asistente de IA. Un BVN, vinculado a los datos biométricos del cliente, o un NIN emitido por la NIMC, no dejan de ser sensibles por estar en un archivo de prueba.

• La ley exige medidas de seguridad adecuadas al riesgo, lo que incluye las herramientas que usan los desarrolladores.

• La directiva general de aplicación (GAID) de la NDPC, en vigor desde septiembre de 2025, exige una evaluación de impacto antes de desplegar IA.

• Una violación de datos debe notificarse a la NDPC en un plazo de 72 horas.

• Para las organizaciones de importancia mayor, la multa puede llegar a 10 millones de nairas o al 2 % de los ingresos brutos anuales, la cifra que sea mayor.

Explicamos este marco en nuestro artículo sobre la NDPA 2023 y la IA generativa en el sector fintech.

Los agentes de línea de comandos, un caso aparte

Un chatbot solo ve lo que se le pega. Un agente de IA que se ejecuta en un terminal puede leer todo el repositorio: archivos de configuración, historial de comandos, variables de entorno y, a veces, claves SSH. Ejecuta comandos y envía el resultado al modelo.

El riesgo cambia de escala. Un desarrollador que pide al agente que «arregle las pruebas» puede, sin saberlo, hacerle leer un archivo .env de producción. Describimos estos escenarios en nuestro análisis sobre las fugas de secretos de los agentes CLI.

Reglas sencillas para el equipo

Prohibir los asistentes no funciona: los desarrolladores pasarían a sus cuentas personales. Es mejor fijar unas pocas reglas claras.

1. Ningún dato real en las pruebas. Generar BVN y NIN ficticios de 11 cifras, nombres y teléfonos inventados.

2. Secretos fuera del código. Un gestor de secretos, claves distintas por entorno y rotación inmediata ante la menor duda.

3. Contexto limitado. Excluir los archivos .env, los volcados y las carpetas sensibles de lo que leen las herramientas de IA.

4. Herramientas aprobadas. Una lista corta de asistentes autorizados, con cuentas de empresa.

5. Evaluación de impacto. Documentar el uso de asistentes de código en la evaluación que exige la GAID, firmada por el DPO.

Controlar en el momento en que el dato sale

Las reglas no bastan a la una de la madrugada, con una entrega pendiente. El control tiene que hacerse en el equipo del usuario, en el momento en que el texto se envía a la IA.

En la práctica, la herramienta detecta una clave API, un BVN o un número de cuenta en el prompt o en el archivo adjunto. Puede avisar, bloquear o sustituir el valor por otro falso con el mismo formato. El modelo sigue entendiendo el código sin ver nunca el dato real. Nuestra guía sobre la anonimización que preserva el formato explica el método. Cada incidente evitado queda registrado, lo que alimenta la auditoría anual y la evaluación de impacto. Estos retos van más allá de Nigeria, como muestra nuestro informe sobre la IA generativa y la protección de datos en África Occidental.

Lo esencial

• Los asistentes de código exponen tres cosas: los secretos, los datos reales ocultos en las pruebas y el código fuente.

• La NDPA 2023 y la GAID también se aplican a los equipos técnicos.

• Los agentes de línea de comandos leen mucho más de lo que se les muestra.

• Unas reglas sencillas y un control en el equipo reducen el riesgo sin frenar a los desarrolladores.

ZeusLock detecta claves API, BVN y otros datos sensibles antes de que lleguen a ChatGPT, Copilot, Claude o Gemini, y guarda el registro de los incidentes evitados. Solicite una demo para proteger a sus equipos técnicos.