Túnez, ley 2004-63 e IA: el reto de los desarrolladores offshore

En Túnez, Susa o Sfax, muchos desarrolladores trabajan a diario sobre el código de bancos, aseguradoras y editores de software europeos. En los dos últimos años su puesto ha cambiado: un asistente de código IA completa funciones, un agente de línea de comandos lanza las pruebas, un chatbot explica un error en producción. Las ganancias de productividad son reales, y los clientes cuentan con ellas.

Pero un repositorio contiene mucho más que código. Hay claves de API, cadenas de conexión y juegos de datos de prueba copiados de producción. Cuando estos elementos llegan a un modelo de IA, salen del perímetro previsto en el contrato. En Túnez, la cuestión se sitúa entre dos textos: la ley orgánica n.º 2004-63 y el RGPD que obliga a los clientes europeos.

Un modelo offshore basado en la confianza

Túnez se ha consolidado como destino de nearshore para la Europa francófona. Muchas empresas francesas tienen allí equipos o filiales, a menudo en desarrollo de software, mantenimiento de aplicaciones, pruebas o ciberseguridad. La cercanía horaria, el idioma y la calidad de los ingenieros formados en el país son sus grandes bazas. Para una consultora, perder la confianza de un gran cliente tras un incidente cuesta mucho más que cualquier herramienta.

Este modelo descansa en una promesa: los datos del cliente siguen bajo control. Sin embargo, las herramientas de IA para desarrollo se han extendido más rápido que las políticas de seguridad. Un desarrollador puede conectar un agente a todo un repositorio en pocos minutos sin que el responsable de seguridad del cliente lo sepa.

Qué dice la ley orgánica 2004-63

Túnez se dotó muy pronto de una ley de datos personales. La ley orgánica n.º 2004-63 de 27 de julio de 2004 encomienda el control a la Instancia Nacional de Protección de Datos Personales (INPDP). Varias obligaciones afectan directamente al uso de la IA:

• la declaración previa de todo tratamiento de datos personales ante la INPDP;

• la autorización para ciertos datos sensibles, como los de salud;

• la prohibición de comunicar datos a terceros sin consentimiento;

• la transferencia al extranjero, sujeta a la autorización de la Instancia y prohibida si puede afectar a la seguridad pública.

Las sanciones no son teóricas. La ley prevé penas de prisión y multas, y la prensa tunecina informó de que en julio de 2023 la Instancia remitió una treintena de expedientes a la fiscalía por falta de declaración.

Una reforma en debate en el Parlamento

La ley de 2004 muestra sus límites, sobre todo ante la IA. Una proposición de ley orgánica de 132 artículos se examina en la Asamblea de Representantes del Pueblo. El 17 de febrero de 2026, la comisión de derechos y libertades escuchó a sus autores. El texto prevé regular el uso de la IA, el derecho a no ser objeto de una decisión totalmente automatizada, evaluaciones de impacto para los tratamientos de riesgo, un delegado de protección de datos y sanciones económicas más disuasorias.

El texto aún no se ha aprobado y su contenido puede cambiar. Pero la dirección es clara: las empresas que documenten ya sus usos de la IA tomarán ventaja. Además, Túnez se adhirió en 2017 al Convenio 108 del Consejo de Europa sobre protección de datos.

El RGPD llega a través de los contratos

Túnez no cuenta con una decisión de adecuación de la Comisión Europea. Por eso los clientes europeos vinculan a sus proveedores tunecinos mediante cláusulas contractuales tipo y contratos de encargo del tratamiento. Esos contratos enumeran las herramientas y subencargados autorizados. Un asistente de IA no aprobado, conectado a un repositorio con datos personales, crea una brecha que el auditor del cliente encontrará tarde o temprano. Nuestra checklist del Reglamento de IA y el artículo 32 del RGPD resume lo que verifican esas auditorías.

Por dónde se fugan los datos en un equipo de desarrollo

Los riesgos son propios del oficio. Los más habituales:

1. un archivo de configuración con claves de API o contraseñas leído por un agente de línea de comandos;

2. un extracto de la base de producción, con nombres y números de cuenta, pegado para depurar una consulta;

3. registros de la aplicación con direcciones de correo enviados a un chatbot para analizar un error;

4. un servidor MCP que da al agente un acceso amplio a las herramientas internas del cliente.

Hemos detallado estos escenarios en los agentes de IA en línea de comandos y la fuga de secretos y en por qué el MCP necesita su propia capa DLP. Las herramientas de red clásicas no ven estos flujos, como explicamos en por qué el DLP de red falla con ChatGPT.

Qué pueden hacer las consultoras tunecinas

• hacer la lista de asistentes y agentes de IA que se usan de verdad en cada proyecto;

• acordar esos usos con cada cliente e incluirlos en los contratos;

• declarar a la INPDP los tratamientos afectados y comprobar el régimen aplicable a las transferencias;

• detectar y ocultar secretos y datos personales antes de que lleguen a un modelo;

• llevar un registro de incidentes, útil tanto para los clientes como para la Instancia.

Estas medidas no frenan a los equipos. Permiten responder con tranquilidad a los cuestionarios de seguridad de los clientes, cada vez más detallados sobre la IA, y convertir el cumplimiento en un argumento comercial frente a otros destinos offshore.

En resumen

El sector offshore tunecino vive de la confianza de sus clientes. La ley 2004-63 y la INPDP ya regulan los tratamientos y las transferencias, se debate una reforma más exigente y el RGPD se aplica a través de los contratos. Los asistentes de código IA han llegado para quedarse. Solo hace falta que vean únicamente lo que deben ver.

ZeusLock detecta y anonimiza secretos y datos personales en los prompts, los archivos y las herramientas de IA, directamente en el equipo del desarrollador, y deja constancia de cada incidente. Solicite una demo para proteger a sus equipos de desarrollo.