RDC, Código Digital de 2023 e IA: las reglas sobre datos personales
Telecomunicaciones, dinero móvil, minería: lo que el Código Digital de 2023 exige a las empresas de la RDC que usan ChatGPT o Copilot con datos de clientes.
En Kinshasa, el equipo de atención al cliente de un operador de telecomunicaciones recibe cada día cientos de reclamaciones sobre dinero móvil. Para ir más rápido, un agente copia el historial de un abonado en un asistente de IA y le pide un borrador de respuesta. El número de teléfono, el nombre y los importes de las transacciones se van con él.
En la República Democrática del Congo, ese gesto ya no está fuera de todo marco. Desde 2023, el Código Digital incluye un verdadero régimen de protección de datos personales. Una parte aún debe ponerse en marcha, pero sus principios ya se aplican a las empresas que adoptan la IA generativa.
El Código Digital de 2023
La ordenanza ley n.º 23/010 de 13 de marzo de 2023 sobre el Código Digital reúne en un solo texto las normas sobre comunicaciones electrónicas, confianza digital, ciberseguridad y protección de datos personales. Es la primera vez que la RDC cuenta con un marco tan completo.
El Código define el dato personal de forma amplia: identidad, datos de contacto, profesionales, bancarios, de facturación, familiares o procedentes de resoluciones judiciales. Aún faltan varios decretos de aplicación, pero las obligaciones básicas están en vigor.
Consentimiento y datos sensibles
El principio del Código es estricto. Recoger y tratar datos personales exige el consentimiento previo y explícito de la persona, que debe poder demostrarse y retirarse en cualquier momento, salvo las excepciones previstas por la ley.
Algunos datos, en principio, no pueden tratarse: origen racial o étnico, opiniones políticas, creencias religiosas y salud. Hay excepciones, por ejemplo con un consentimiento explícito para una finalidad concreta.
El Código prevé además un régimen de declaración para los tratamientos y un régimen de autorización para los más sensibles, como los que afectan a números de identificación nacionales, datos genéticos o antecedentes penales, así como para las transferencias a terceros países.
Una autoridad todavía en construcción
El texto prevé una Autoridad de Protección de Datos (APD), que debe crearse por decreto del primer ministro. Por ahora no se ha constituido. En agosto de 2024, una orden ministerial confió provisionalmente sus funciones a la ARPTIC, el regulador de correos, telecomunicaciones y tecnologías de la información, una solución que parte de los juristas cuestiona.
En marzo de 2026, el Ministerio de Economía Digital lanzó en Kinshasa una red nacional de delegados de protección de datos, presentada como un paso previo a la creación de la autoridad. La señal es clara: el Estado prepara la aplicación del Código, y a las empresas les conviene organizarse antes de los primeros controles.
Tres sectores en primera línea
Telecomunicaciones
Los operadores gestionan decenas de millones de abonados, con sus identidades, ubicaciones y comunicaciones. Sus centros de llamadas y equipos de marketing suelen ser los primeros en probar la IA generativa para clasificar tickets o redactar campañas.
Dinero móvil
El pago móvil se ha convertido en un servicio esencial para gran parte de la población. Un historial de transacciones revela ingresos, hábitos y relaciones familiares. Pegarlo en un chatbot supone exponer un dato financiero sin ninguna garantía.
Minería
En Alto Katanga y Lualaba, alrededor de Lubumbashi y Kolwezi, las empresas mineras tratan expedientes de personal, datos médicos e informes de seguridad. Muchas trabajan con matrices en el extranjero, y sus equipos usan la IA para traducir o resumir documentos.
Lo que la IA generativa cambia en la práctica
Un prompt con datos personales es un tratamiento según el Código. Como la mayoría de los asistentes de IA están alojados en el extranjero, también es una transferencia fuera de la RDC, que el Código solo permite hacia un país con una protección equivalente o superior.
En la práctica, estos envíos se hacen sin consentimiento, sin declaración y sin rastro. Describimos el mecanismo en nuestro artículo sobre la anatomía de una fuga de datos hacia la IA. El riesgo es mayor porque los equipos trabajan en francés, lingala o suajili y usan la IA para pasar de un idioma a otro.
Prepararse antes de que llegue la autoridad
Nombrar un delegado de protección de datos, aunque el Código solo regule la figura de forma general, e inscribirlo en la nueva red nacional.
Inventariar los usos de la IA en atención al cliente, finanzas, recursos humanos y seguridad.
Fijar reglas sencillas: ningún número de abonado, número de cuenta ni expediente médico en una herramienta de IA pública.
Proteger en origen anonimizando automáticamente los datos sensibles antes de enviar el prompt.
Conservar pruebas de los incidentes evitados, útiles ante el futuro regulador.
La anonimización que preserva el formato mantiene un texto útil para la IA mientras sustituye los valores reales, como explica nuestra guía sobre la anonimización preservando el formato. Para planificar el proyecto, nuestro plan de despliegue en 90 días ofrece un marco realista. Las empresas presentes en varios países francófonos pueden comparar con nuestra guía sobre la ley 2008-12 de Senegal.
Lo esencial
La ordenanza ley 23/010 de 2023 establece un verdadero régimen de protección de datos en la RDC.
El consentimiento explícito es la regla y las transferencias al extranjero están limitadas.
La autoridad de protección de datos aún debe crearse, pero el Estado prepara su llegada.
Telecomunicaciones, dinero móvil y minería son los sectores más expuestos ante la IA generativa.
ZeusLock detecta y anonimiza los datos personales directamente en el equipo, antes de que lleguen a ChatGPT, Copilot o Gemini, y guarda el registro de los incidentes. Solicite una demo para preparar a sus equipos ante el Código Digital.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
