Algérie, loi 18-07 et IA générative : ce que l'ANPDP attend des entreprises

Dans beaucoup d'entreprises algériennes, l'IA générative est arrivée par la petite porte. Un chargé de clientèle s'en sert pour rédiger un courrier, une RH pour trier des CV, un comptable pour analyser un fichier Excel. Personne ne l'a vraiment décidé, et presque personne ne l'a déclaré.

Le problème, c'est que l'Algérie dispose d'un cadre de protection des données parmi les plus exigeants de la région. La loi n° 18-07 du 10 juin 2018, modifiée par la loi n° 25-11 du 24 juillet 2025, impose des formalités préalables et un contrôle strict des transferts vers l'étranger. Coller des données de clients dans un assistant IA hébergé hors du pays touche directement à ces règles.

Une IA déjà présente, mais invisible

Il n'existe pas de chiffre officiel sur l'usage de l'IA dans les entreprises algériennes. Une étude du consultant Arnault Chatel, relayée par Maghreb Émergent en septembre 2026, note que ni les banques, ni les énergéticiens, ni la grande distribution n'ont communiqué sur le sujet. Elle cite pourtant le rapport de Microsoft sur la diffusion de l'IA : 13,2 % des Algériens de 15 à 64 ans ont utilisé un outil d'IA générative au premier trimestre 2026.

L'auteur estime que l'IA est sans doute déjà répandue dans les bureaux, mais de façon invisible : des salariés utilisent des outils grand public, sans formation ni encadrement, souvent à l'insu de leur hiérarchie. C'est exactement le scénario que la loi 18-07 rend risqué.

Les données en jeu sont souvent les plus sensibles de l'entreprise : listes de clients, salaires, dossiers de la médecine du travail, contrats avec des fournisseurs étrangers. Une fois envoyées à un service externe, l'entreprise n'a plus la main sur leur conservation ni sur leur réutilisation.

L'ANPDP, un régulateur bien réel

L'Autorité nationale de protection des données à caractère personnel (ANPDP) est pleinement opérationnelle depuis août 2023. Elle ne se contente pas d'exister : elle publie des décisions. Depuis fin 2025, elle a notamment encadré la désignation des délégués à la protection des données, les données de santé, la vidéosurveillance au travail et le contrôle biométrique des présences.

Fin décembre 2025, l'ANPDP a précisé les conditions de désignation du DPO, désormais obligatoire pour les organismes publics et privés. Ce délégué conseille la direction, suit les analyses d'impact et informe l'autorité et les personnes concernées en cas de violation de données. Il devient l'interlocuteur naturel de toute question sur l'IA, et son avis devrait être demandé avant tout déploiement d'un assistant IA.

Déclaration, autorisation, transfert : les trois verrous

La loi 18-07 repose sur un principe simple : l'ANPDP doit savoir ce que vous faites des données personnelles avant que vous le fassiez. Trois mécanismes s'appliquent à l'IA :

1. La déclaration préalable : tout traitement doit être déclaré à l'ANPDP. Un usage de l'IA sur des données de clients ou de salariés est un traitement à part entière.

2. L'autorisation préalable : les traitements qui présentent des risques manifestes pour la vie privée et les libertés exigent une autorisation. Le profilage ou l'analyse de données sensibles par une IA peuvent en relever.

3. Le transfert vers l'étranger : il nécessite en principe une autorisation de l'ANPDP, sauf exceptions prévues par la loi. Or les grands assistants IA traitent les données sur des serveurs situés hors d'Algérie.

Autrement dit, un salarié qui colle la liste des impayés d'une agence dans ChatGPT réalise un traitement non déclaré et un transfert non autorisé, en un seul geste. Les sanctions prévues vont jusqu'à des peines d'emprisonnement de cinq ans et des amendes pouvant atteindre 500 000 dinars selon l'infraction.

Ce que change la loi 25-11

La réforme de juillet 2025 a renforcé le dispositif. Elle introduit les notions de données biométriques, de profilage, de pseudonymisation et de violation de données. Elle impose aussi un registre des activités de traitement et une journalisation automatique des opérations, que l'ANPDP peut demander à consulter. Pour une entreprise, c'est aussi l'occasion de remettre de l'ordre dans ses usages.

La journalisation est essentielle pour l'IA. Face à un contrôle, l'entreprise devra montrer ce qui a été traité, par qui et vers où. Sans outil pour tracer les échanges avec les assistants IA, c'est impossible. Notre anatomie d'une fuite de données par l'IA montre comment ces fuites passent inaperçues pendant des mois.

Une feuille de route réaliste

Interdire l'IA n'est ni souhaitable ni efficace. Les entreprises algériennes ont intérêt à l'encadrer, étape par étape :

• faire l'inventaire des outils d'IA réellement utilisés, y compris sur les navigateurs personnels ;

• associer le DPO et inscrire les usages retenus au registre des traitements ;

• déclarer les traitements concernés et demander les autorisations nécessaires, notamment pour les transferts ;

• empêcher techniquement les données personnelles de quitter le poste sans contrôle, en les anonymisant avant l'envoi ;

• conserver une trace des incidents pour répondre à l'ANPDP.

La sensibilisation seule ne suffit pas, comme nous l'expliquons dans pourquoi la formation à la sécurité IA ne fonctionne pas. Il faut un garde-fou au moment où le salarié tape son prompt. L'anonymisation qui préserve le format permet de garder l'utilité de l'IA tout en retirant les noms, numéros de compte ou NIN. Pour organiser le déploiement, notre playbook de déploiement en 90 jours propose un calendrier concret.

En bref

En Algérie, la loi 18-07 et la loi 25-11 font de l'IA générative un sujet de conformité à part entière. L'ANPDP est active, le DPO est obligatoire, et les transferts de données vers l'étranger demandent une autorisation. Les entreprises qui laissent leurs salariés utiliser l'IA sans contrôle s'exposent à un risque qu'elles ne peuvent même pas mesurer.

ZeusLock détecte les données sensibles dans les prompts et les fichiers envoyés aux assistants IA, les anonymise, avertit ou bloque, et garde un journal exploitable lors d'un contrôle. Demandez une démo pour en parler avec notre équipe.