Code du numérique au Bénin et IA : la checklist pratique des entreprises

Au Bénin, l'administration se numérise vite et les entreprises suivent le mouvement. Dans une banque de Cotonou, une agence d'assurance de Parakou ou une PME de Porto-Novo, des salariés utilisent déjà ChatGPT, Copilot ou Gemini pour rédiger, traduire ou analyser des fichiers. Souvent sans cadre, parfois avec des données de clients.

Le pays dispose pourtant d'un texte précis, le Code du numérique, et d'une autorité active, l'APDP. Cet article ne refait pas la théorie. Il propose une liste de contrôle concrète, pensée pour une entreprise béninoise qui veut utiliser l'IA sans se mettre en faute.

Le cadre en deux minutes

La loi n° 2017-20 portant Code du numérique en République du Bénin, modifiée par la loi n° 2020-35, consacre son livre V à la protection des données à caractère personnel. L'Autorité de protection des données à caractère personnel (APDP), autorité administrative indépendante, veille à son application.

Ce que cela implique pour l'IA :

• Un traitement de données personnelles doit être déclaré à l'APDP ou inscrit au registre tenu par le délégué à la protection des données de l'organisme.

• Les transferts vers un pays qui n'offre pas un niveau de protection adéquat nécessitent des garanties, approuvées par l'APDP.

• Les violations de données doivent être notifiées à l'APDP sans délai.

• Les amendes peuvent atteindre 50 millions de francs CFA, et 100 millions en cas de récidive.

Un État qui montre l'exemple

Le Bénin a fait du numérique un pilier de l'action publique. En 2022, le gouvernement a regroupé plusieurs agences dans l'Agence des systèmes d'information et du numérique (ASIN). De nombreuses démarches administratives se font désormais en ligne. En janvier 2023, le Conseil des ministres a adopté la Stratégie nationale d'intelligence artificielle et des mégadonnées (SNIAM) pour 2023 à 2027.

L'APDP, de son côté, multiplie les sessions de sensibilisation auprès des acteurs de la santé, de la finance, des collectivités et d'autres secteurs. Le message est simple : traiter les données de manière légale, éthique et sécurisée. Les entreprises qui travaillent avec l'État ou qui lui fournissent des services sont les premières concernées. Pour elles, cela veut dire deux choses : leurs interlocuteurs publics attendent des échanges numériques sécurisés, et leurs propres équipes sont déjà habituées à travailler en ligne. L'IA arrive donc sur un terrain préparé.

La liste de contrôle en 10 points

Voici les étapes à suivre, dans l'ordre. Comptez quelques semaines pour une PME, un trimestre pour une grande structure.

1. Recenser les outils d'IA utilisés. Un questionnaire anonyme aux équipes suffit. Vous serez surpris par les réponses.

2. Repérer les données en jeu. Noms, numéros de téléphone, numéros d'identification, comptes Mobile Money, dossiers médicaux, bulletins de paie.

3. Désigner un délégué à la protection des données. Il tient le registre des traitements et devient l'interlocuteur de l'APDP.

4. Inscrire les usages d'IA au registre. Finalité, catégories de données, destinataires, pays de stockage.

5. Vérifier les transferts. Où sont hébergés les serveurs de chaque outil ? Si c'est hors du Bénin, quelles garanties prévoit le contrat ?

6. Choisir des offres professionnelles. Les versions grand public de certains assistants peuvent réutiliser les échanges. Les offres entreprise proposent généralement des engagements contractuels plus clairs.

7. Rédiger une charte d'une page. Avec des exemples concrets : ce qu'on peut coller dans un assistant, ce qu'on ne colle jamais.

8. Anonymiser avant d'envoyer. Remplacer automatiquement les données sensibles par des valeurs fictives de même format.

9. Prévoir la procédure de violation. Qui alerte qui, en combien de temps, et comment on notifie l'APDP.

10. Garder des preuves. Journaliser les incidents évités et les mesures prises. C'est ce que demandera un contrôle.

Trois situations fréquentes au Bénin

Le guichet et le service client

Un agent reçoit une réclamation et colle l'historique du client dans un chatbot pour rédiger une réponse polie. Le numéro de téléphone, le nom et parfois le numéro de pièce d'identité partent avec.

La santé

Une secrétaire médicale demande à l'IA de résumer un compte rendu. Les données de santé font partie des données sensibles, soumises à un régime renforcé par le Code du numérique.

Les ressources humaines

Un recruteur compare des CV complets ou fait reformuler une lettre de licenciement. Ce sont des données personnelles, et l'employeur en reste responsable.

Ces gestes sont banals et c'est bien le problème. Nous expliquons pourquoi les outils classiques ne les voient pas dans pourquoi le DLP réseau échoue face à ChatGPT.

Les erreurs à éviter

• Tout bloquer. Les salariés passent sur leur téléphone personnel et vous perdez toute visibilité.

• Tout miser sur la formation. Utile, mais insuffisante sous la pression du quotidien. Voir pourquoi la formation à la sécurité IA ne suffit pas.

• Croire que la petite taille protège. Le Code du numérique s'applique aussi aux PME, et une fuite de fichier client abîme la confiance quelle que soit la taille de l'entreprise.

• Oublier le registre. Un usage d'IA non documenté est difficile à défendre face à l'APDP.

Pour un calendrier de déploiement détaillé, suivez notre playbook de déploiement en 90 jours.

Comment ZeusLock vous aide à cocher les cases

ZeusLock s'installe sur les postes et navigateurs de vos équipes. Il détecte en temps réel les données sensibles dans les prompts et les fichiers envoyés aux assistants IA, y compris les numéros de téléphone béninois et les identifiants Mobile Money. Selon vos règles, il anonymise en préservant le format, avertit ou bloque. Les points 8 et 10 de la liste sont couverts, et le point 1 devient beaucoup plus simple grâce à la visibilité sur l'IA fantôme.

En résumé

Le Bénin a un cadre clair, une autorité qui se fait entendre et un État qui avance vite sur le numérique. Pour les entreprises, la bonne réponse n'est pas d'interdire l'IA, mais de l'encadrer avec méthode : registre, charte, anonymisation et preuves.

Vous voulez voir ce que vos équipes envoient déjà à l'IA ? Demandez une démo de ZeusLock.