Administration au Sénégal et IA générative : protéger les données publiques

Dans un ministère à Dakar, une cheffe de division doit préparer pour le lendemain une note de synthèse sur un dossier de recrutement. Elle a sous la main des dizaines de pages nominatives. Elle ouvre un assistant d'IA sur son téléphone, colle l'ensemble et obtient un résumé propre en quelques secondes. Le travail est fait, mais des informations personnelles sur des candidats viennent de partir vers des serveurs situés hors du Sénégal.

Cette scène est de plus en plus courante dans les administrations. Elle pose une question simple : comment des agents publics peuvent-ils utiliser l'IA générative sans contredire les objectifs de souveraineté numérique que l'État s'est lui-même fixés ?

Le New Deal Technologique place les données au centre

Lancé le 24 février 2025 à Diamniadio par le président Bassirou Diomaye Faye, le New Deal Technologique fixe le cap du numérique sénégalais jusqu'en 2034, pour un coût estimé à 1 105 milliards de francs CFA. Il repose sur quatre piliers : la souveraineté numérique, la digitalisation des services publics, le développement de l'économie numérique et le positionnement du Sénégal parmi les leaders du numérique en Afrique.

Plusieurs objectifs concernent directement l'administration :

• Un cloud national, contrôlé par l'État, pour traiter les données sensibles sans dépendre de technologies étrangères.

• Un guichet unique, pour que l'administration cesse de redemander aux usagers des documents déjà fournis.

• 90 % des procédures administratives en ligne d'ici 2034.

• L'intégration de l'IA pour automatiser les tâches répétitives et aider à la décision.

Le pays dispose aussi d'une stratégie nationale d'intelligence artificielle couvrant la période 2023-2028, qui fait de l'administration un secteur prioritaire.

Un hébergement souverain déjà en place

Le datacenter national de Diamniadio, inauguré en juin 2021, héberge des données et des applications de l'État. Il est exploité par Sénégal Numérique SA (SENUM SA), qui a succédé à l'ADIE.

C'est là que l'usage spontané des outils d'IA grand public crée une tension. Un agent qui colle un dossier dans un assistant en ligne envoie ces informations vers une infrastructure étrangère, sur laquelle l'administration n'a aucune prise. L'effort d'hébergement souverain peut ainsi être contourné par un simple copier-coller.

La loi 2008-12 s'applique aussi aux services publics

La loi n° 2008-12 sur la protection des données à caractère personnel ne fait pas d'exception pour l'administration. Les ministères, les agences et les collectivités sont des responsables de traitement comme les autres, sous le contrôle de la Commission de protection des Données Personnelles (CDP). Ils doivent respecter les principes de finalité et de sécurité, ainsi que les règles sur les transferts hors du pays.

Or les données publiques comptent parmi les plus sensibles : état civil, fiscalité, santé, aides sociales, dossiers fonciers, carrières des agents. Pour le détail des obligations, consultez notre guide de la loi 2008-12 face à l'IA générative.

Ce que les agents envoient réellement à l'IA

Ces usages répondent souvent à une vraie charge de travail. Certains exposent pourtant beaucoup :

• faire résumer un dossier d'usager contenant son identité, son adresse ou sa situation familiale ;

• reformuler un courrier de réponse à une réclamation, avec le nom et le numéro de dossier ;

• analyser un tableau de paiements, de bourses ou d'aides sociales ;

• préparer une note sur des agents, leurs évaluations ou leurs sanctions ;

• demander de l'aide pour corriger une requête sur une base de données de l'État.

Chacun de ces gestes peut constituer un traitement sans formalité et un transfert non maîtrisé. Nous expliquons le mécanisme pas à pas dans Anatomie d'une fuite de données par l'IA.

Interdire ou encadrer ?

Certaines administrations choisissent de bloquer les sites d'IA sur leur réseau. Les agents passent alors par leur téléphone personnel, et la direction perd toute visibilité. À l'inverse, laisser faire sans règle revient à accepter que des données publiques sortent du pays sans trace.

Une voie intermédiaire consiste à autoriser l'IA pour les tâches qui ne touchent pas aux données sensibles, et à protéger automatiquement les informations personnelles lorsqu'elles apparaissent dans un prompt. Les enjeux de souveraineté qui en découlent sont proches de ceux que vivent les responsables sécurité en Europe, comme nous le montrons dans IA souveraine : ce que doivent savoir les RSSI.

Une feuille de route pour les administrations

1. Faire un état des lieux des outils d'IA utilisés par les services, y compris sur mobile.

2. Classer les informations qui ne doivent jamais partir vers un outil externe : état civil, données fiscales et sociales, données de santé, dossiers des agents, documents non publiés.

3. Rédiger une note de service courte, compréhensible par tous, sur les usages autorisés.

4. Associer la CDP et le référent données de chaque structure pour vérifier les formalités.

5. Privilégier les solutions hébergées au Sénégal lorsqu'elles existent, en lien avec SENUM SA.

6. Protéger les données à la source et conserver une trace des incidents évités.

Pour une vue régionale de ces questions, lisez aussi notre article sur l'IA générative et la protection des données en Afrique de l'Ouest.

Le rôle de ZeusLock

ZeusLock s'installe sur les postes et les navigateurs des agents. Il repère en temps réel les données sensibles dans les prompts et les fichiers envoyés à ChatGPT, Copilot, Gemini ou Claude. Selon les règles fixées par l'administration, il les anonymise en conservant leur format, affiche un avertissement ou bloque l'envoi. Les vraies informations des usagers restent ainsi dans le périmètre de l'État. Chaque événement est journalisé, ce qui fournit des éléments concrets pour un contrôle ou un audit.

En résumé

Avec le New Deal Technologique, le Sénégal veut des services publics numériques et des données sous contrôle national. L'usage spontané de l'IA grand public par les agents peut fragiliser cet objectif. La loi 2008-12 et la CDP fixent le cadre. Aux administrations de donner aux agents des règles claires et des outils qui protègent les données sans freiner le travail.

Vous dirigez un service public ou une agence au Sénégal ? Demandez une démo de ZeusLock et voyez comment vos agents peuvent utiliser l'IA en toute sécurité.