Bénin : e-services publics, données des citoyens et IA souveraine

Au Bénin, on peut aujourd'hui demander un certificat d'identification, un casier judiciaire ou de nombreux actes administratifs sans faire la queue dans un bureau. Derrière ces démarches en ligne, il y a des millions de données de citoyens : noms, dates de naissance, numéros personnels d'identification, adresses, situations familiales.

L'arrivée de l'IA générative dans les administrations et chez leurs prestataires pose une question simple. Que deviennent ces données quand un agent ou un consultant les colle dans ChatGPT pour gagner du temps ? Pour un pays qui a bâti son État numérique avec soin, c'est une question de souveraineté autant que de conformité.

Un État numérique construit pas à pas

Le Bénin a fait des choix clairs depuis plusieurs années. Le portail national des services publics, service-public.bj, a été lancé en 2020 comme point d'entrée unique vers les démarches administratives. Il repose sur une plateforme d'échange sécurisé de données entre administrations, développée avec l'e-Governance Academy estonienne et l'entreprise Cybernetica.

En 2022, le gouvernement a regroupé plusieurs structures au sein de l'Agence des systèmes d'information et du numérique (ASIN), qui pilote une grande partie de ces projets. La même année, l'Agence nationale d'identification des personnes (ANIP) a délivré en ligne plus d'un million de certificats d'identification personnelle en moins d'un an. En 2023, le Conseil des ministres a adopté la Stratégie nationale d'intelligence artificielle et des mégadonnées (SNIAM) pour 2023 à 2027.

Les données des citoyens, un patrimoine national

Un État numérique concentre des données très sensibles. Le numéro personnel d'identification (NPI) relie une personne à son état civil, à ses droits sociaux, parfois à son accès au crédit. Les bases de l'administration fiscale, de la santé ou de l'éducation disent beaucoup de la vie des gens.

Ces données ont été collectées pour des finalités précises, dans le cadre de la loi n° 2017-20 portant Code du numérique, modifiée en 2020. Le livre V de ce code encadre leur traitement, et l'Autorité de protection des données à caractère personnel (APDP) veille à son application. Nous avons détaillé ces règles dans notre checklist IA pour les entreprises béninoises.

Le principe est clair : une donnée collectée pour délivrer un acte ne doit pas finir, sans contrôle, sur les serveurs d'un fournisseur d'IA situé hors du pays.

Où l'IA crée un risque dans le service public

Les usages tentants ne manquent pas, et ils sont souvent bien intentionnés :

• un agent qui résume une pile de réclamations d'usagers avec un assistant grand public ;

• un prestataire informatique qui colle un extrait de base de données dans un outil d'IA pour corriger une requête ;

• un chargé de communication qui fait rédiger une réponse personnalisée à un citoyen, avec son nom et son NPI ;

• un consultant qui analyse un tableau de bénéficiaires d'un programme social pour un rapport.

Dans chacun de ces cas, des données personnelles quittent l'environnement maîtrisé de l'administration. Le Code du numérique soumet les transferts vers un pays sans protection adéquate à des garanties approuvées par l'APDP. Un copier-coller dans un chatbot ne s'accompagne d'aucune de ces garanties.

La souveraineté, au-delà du discours

La souveraineté numérique ne se résume pas à héberger des serveurs sur le territoire. Elle consiste à savoir où vont les données, qui peut y accéder et dans quel cadre juridique. Un pays peut investir dans des centres de données nationaux et perdre le contrôle de ses informations à cause de quelques gestes quotidiens.

Les débats européens sur ce sujet sont instructifs, même si le contexte diffère. Nous les avons résumés dans notre article sur l'IA souveraine vue par les RSSI européens. Pour la région, nous avons aussi publié un panorama sur l'IA générative et la protection des données en Afrique de l'Ouest.

Pour le Bénin, la conclusion est pratique : l'IA peut servir l'administration, à condition que les données des citoyens restent sous contrôle.

Les mesures concrètes pour administrations et prestataires

Voici ce que peuvent mettre en place les services publics et les entreprises qui travaillent pour eux :

1. Une règle écrite. Quelles données ne doivent jamais aller dans un outil d'IA externe : NPI, données de santé, données d'état civil, données fiscales.

2. Des outils autorisés. Proposer une solution validée plutôt que d'interdire tout, sinon les agents passent par leur téléphone.

3. Une anonymisation automatique. Remplacer les noms et identifiants par des valeurs fictives avant l'envoi, en gardant le format. Nous expliquons la méthode dans l'anonymisation préservant le format.

4. Des clauses dans les contrats. Les marchés publics informatiques doivent préciser l'usage autorisé de l'IA par le prestataire.

5. Une traçabilité. Garder un journal des incidents pour pouvoir répondre à l'APDP ou à un audit.

Ce que les prestataires doivent anticiper

Les intégrateurs, éditeurs et cabinets qui accompagnent la transformation numérique de l'État sont en première ligne. Ils manipulent des données réelles pendant les migrations, les tests et le support. Ils utilisent aussi beaucoup les assistants de code et de rédaction.

Un exemple typique : un développeur doit corriger un bug dans le module de demande d'un service en ligne. Pour aller plus vite, il copie de vrais enregistrements, avec noms et NPI, dans un assistant de code. Le bug est trouvé en cinq minutes, mais les données ont quitté le pays sans que personne ne s'en aperçoive.

Montrer qu'ils maîtrisent ces flux devient un argument dans les appels d'offres. À l'inverse, un incident impliquant des données de citoyens peut coûter un contrat, en plus des amendes prévues par le Code du numérique.

En résumé

Le Bénin a construit un État numérique solide, avec un portail unique, une plateforme d'échange sécurisé et une stratégie IA. Les données des citoyens qui circulent dans ces systèmes sont un bien collectif. Les protéger face à l'IA générative demande des règles simples, des outils autorisés et un contrôle au moment où la donnée quitte l'écran.

ZeusLock détecte et anonymise les données personnelles avant qu'elles n'atteignent un assistant IA, et garde une trace de chaque incident. Demandez une démo de ZeusLock pour protéger les données de vos usagers.