Nigeria, NDPA 2023 e IA generativa: lo que debe saber el sector fintech

En Lagos, una analista de cumplimiento de una fintech pega en ChatGPT una exportación de transacciones para entender una serie de pagos rechazados. La hoja contiene nombres, números de cuenta y BVN. La respuesta llega en segundos. Los datos acaban de salir de la empresa sin dejar rastro.

Ese gesto cotidiano ya está muy regulado. Desde la Nigeria Data Protection Act de 2023 y la directiva de aplicación GAID, vigente desde septiembre de 2025, la Nigeria Data Protection Commission (NDPC) espera que las empresas demuestren que controlan sus tratamientos, también cuando un empleado usa un asistente de IA.

El marco: NDPA 2023, NDPC y directiva GAID

La Nigeria Data Protection Act se promulgó en junio de 2023. Creó la NDPC, autoridad independiente encargada de aplicar la ley, y sustituyó el régimen anterior basado en la NDPR de 2019.

En marzo de 2025, la NDPC publicó la General Application and Implementation Directive (GAID), en vigor desde el 19 de septiembre de 2025. Detalla cómo aplicar la ley en el día a día: registro de responsables, auditorías anuales, evaluaciones de impacto y papel del DPO. Con ella, la NDPR y su marco de aplicación de 2020 dejan de ser la referencia regulatoria.

BVN y NIN: identificadores que exigen cuidado

Dos identificadores aparecen en casi todos los expedientes de clientes en Nigeria. El BVN (Bank Verification Number) vincula a cada cliente bancario con sus datos biométricos. El NIN (National Identification Number), emitido por la NIMC, es la clave de identidad para abrir cuentas, registrar tarjetas SIM y acceder a muchos servicios públicos.

Estos números dan acceso a una identidad completa, y una filtración abre la puerta a la suplantación y al fraude. La NDPA incluye los datos biométricos entre los datos sensibles, que requieren garantías reforzadas. En la práctica, un BVN o un NIN dentro de un prompt debe tratarse como un dato de alto riesgo, igual que un informe médico.

Sin embargo, estos identificadores están en todas partes: tickets de soporte, exportaciones KYC, informes de fraude. Es justo lo que los equipos quieren resumir con un asistente de IA.

Lo que cambia la GAID para la IA

La GAID es uno de los pocos textos africanos que aborda directamente las tecnologías emergentes. Antes de desplegar IA, Internet de las cosas o blockchain, la organización debe realizar una evaluación de impacto relativa a la protección de datos (DPIA). La elaboración de perfiles, las decisiones automatizadas y la vigilancia sistemática están entre los desencadenantes.

La evaluación debe cubrir la privacidad desde el diseño, la seguridad, la transparencia y la reducción de riesgos. Debe revisarla un DPO e incluirse en el informe de auditoría. En concreto, una fintech que deja a sus equipos usar ChatGPT, Copilot o Gemini con datos de clientes debe poder demostrar que evaluó ese riesgo y puso salvaguardas.

Registro, auditorías y sanciones

Las organizaciones calificadas como data controllers and processors of major importance deben registrarse ante la NDPC y, según su nivel, presentar cada año un informe de auditoría de cumplimiento (Compliance Audit Return) antes del 31 de marzo, a través de una entidad autorizada. También deben designar un DPO.

Las sanciones son reales. Para estas organizaciones, la ley prevé una multa de hasta la cifra mayor entre 10 millones de nairas y el 2 % de la facturación bruta anual. La NDPC ya ha anunciado multas importantes, entre ellas 555,8 millones de nairas a Fidelity Bank en 2024, que el banco impugnó, y 766 millones de nairas a MultiChoice en 2025.

Además, toda violación de datos debe notificarse a la Comisión en un plazo de 72 horas. Un empleado que pega BVN en una herramienta de IA pública puede activar esa obligación sin que nadie lo sepa.

Por qué las herramientas clásicas no bastan

Muchos bancos nigerianos ya tienen un DLP en el correo o en la red. Estas herramientas apenas ven lo que ocurre en una ventana de navegador cifrada, donde el usuario escribe o pega texto. Lo explicamos en nuestro artículo sobre la anatomía de una fuga de datos hacia la IA.

Prohibir ChatGPT tampoco lo resuelve. Los equipos pasan al móvil o a cuentas personales y la empresa pierde toda visibilidad. Es la IA en la sombra, cuyo coste real para las empresas hemos calculado. Lo mismo ocurre en toda la región, como muestra nuestro panorama sobre la IA generativa y la protección de datos en África Occidental.

Cinco pasos para una fintech

1. Mapear los usos: qué herramientas de IA se usan, en qué equipos y con qué tipos de datos.

2. Clasificar los identificadores: BVN, NIN, números de cuenta, números de tarjeta y datos biométricos en la categoría máxima.

3. Realizar la DPIA que exige la GAID para los usos de IA, validada por el DPO.

4. Proteger en el puesto de trabajo: detectar y anonimizar los datos sensibles antes de enviar el prompt, avisar o bloquear según el caso.

5. Conservar pruebas: registrar los incidentes para el informe de auditoría anual y para responder a la NDPC.

La anonimización suele ser la mejor opción, porque permite seguir trabajando. Sustituir un BVN por un valor ficticio con el mismo formato deja que la IA analice la hoja sin ver nunca el número real. Nuestra guía sobre la anonimización preservando el formato explica el principio.

Lo esencial

• La NDPA 2023 y la GAID, vigente desde septiembre de 2025, son el marco de referencia en Nigeria.

• La GAID exige una DPIA antes de cualquier despliegue de IA.

• BVN y NIN deben protegerse como datos de alto riesgo.

• Las multas de la NDPC y la notificación en 72 horas hacen imprescindible la prevención.

ZeusLock detecta y anonimiza BVN, NIN y otros datos sensibles directamente en el equipo, antes de que lleguen a ChatGPT, Copilot o Gemini, y conserva las pruebas para sus auditorías. Solicite una demo para ver cómo aplicarlo a sus equipos.