Congo-Brazzaville, loi 29-2019 et IA : bâtir une gouvernance qui tient

À Pointe-Noire, la responsable administrative d'une société de logistique portuaire utilise ChatGPT pour rédiger ses courriers aux clients et résumer les dossiers d'expédition. À Brazzaville, un cadre d'une banque fait de même avec ses notes de crédit. Personne ne leur a dit ce qu'ils pouvaient y mettre, ni ce qu'ils devaient garder pour eux.

C'est la situation de beaucoup d'organisations en République du Congo. L'IA générative est entrée dans les bureaux plus vite que les règles internes. Pourtant, le pays dispose depuis 2019 d'une loi sur les données personnelles qui donne une base solide pour organiser ces usages.

La loi 29-2019, socle du cadre congolais

La loi n° 29-2019 du 10 octobre 2019 portant protection des données à caractère personnel fixe les règles applicables à toute organisation qui collecte ou traite des données sur des personnes au Congo. Elle repose sur des principes connus : consentement préalable et explicite, sauf exceptions, finalité déterminée, sécurité et confidentialité.

Le texte va assez loin dans le détail. Il prévoit la déclaration préalable des traitements, une autorisation pour certaines données sensibles, la désignation d'un délégué à la protection des données dans plusieurs cas, et la notification des violations de données dans un délai de 72 heures.

Une autorité annoncée, des obligations déjà là

La loi confie le contrôle à une commission nationale de protection des données à caractère personnel. En juillet 2024, le Conseil des ministres a adopté un avant-projet de loi portant création de cette commission, étape nécessaire pour la rendre opérationnelle.

Ce délai ne suspend pas la loi. Les obligations de sécurité, de confidentialité et de limitation des transferts s'appliquent, et les sanctions pénales prévues aussi. Les entreprises qui attendent l'installation de la commission pour s'organiser prennent un risque : devoir tout mettre en place dans l'urgence, sous le regard d'un régulateur tout neuf.

Pourquoi l'IA générative pose un problème de gouvernance

Le premier sujet n'est pas technique. Il est organisationnel. Dans la plupart des entreprises, personne n'est clairement responsable de l'usage de l'IA. Les équipes choisissent leurs outils seules, souvent sur des comptes personnels. Nous avons chiffré ce phénomène d'IA fantôme dans notre article sur le vrai coût de l'IA fantôme.

Or la loi 29-2019 encadre strictement les transferts : des données ne peuvent sortir du Congo que vers un pays offrant une protection comparable, avec information préalable de la commission. Un prompt envoyé à un assistant hébergé à l'étranger entre dans ce cadre.

Sans règles communes, chaque équipe fixe ses propres limites, ou n'en fixe aucune. Le service juridique ignore quels outils sont utilisés, la DSI ne voit pas les flux, et la direction découvre le problème le jour d'un incident. Une gouvernance claire sert d'abord à répartir les rôles.

Le contexte de Brazzaville et Pointe-Noire

Les deux pôles économiques du pays n'ont pas tout à fait les mêmes enjeux.

• Brazzaville concentre l'administration, les sièges des banques et des opérateurs télécoms. Les données y sont surtout des dossiers de clients, d'usagers et d'agents publics.

• Pointe-Noire vit du pétrole, du port et de la logistique. On y trouve des données du personnel, des données de santé au travail, des contrats et des documents d'expédition, souvent partagés avec des partenaires étrangers.

Dans les deux villes, les équipes jonglent entre le français, le lingala et le kituba, et se servent de l'IA pour traduire ou reformuler. Cela multiplie les copier-coller de documents internes.

Cinq piliers pour une gouvernance de l'IA

1. Un responsable désigné. Le délégué à la protection des données, ou à défaut le DSI, porte la politique d'usage de l'IA et en rend compte à la direction.

2. Une politique écrite et courte. Quels outils sont autorisés, pour quels usages, et quelles données ne doivent jamais être saisies : identités, numéros de compte, dossiers médicaux, données des agents publics.

3. Une cartographie des traitements. Chaque usage régulier de l'IA est inscrit au registre, avec sa base légale et les éventuels transferts hors du Congo.

4. Un contrôle technique sur le poste. La formation seule ne suffit pas, comme nous l'expliquons dans pourquoi la formation à la sécurité de l'IA ne fonctionne pas. Il faut un outil qui détecte les données sensibles au moment du prompt, les anonymise ou bloque l'envoi.

5. Des preuves et des indicateurs. Nombre d'incidents évités, outils utilisés, équipes concernées. Ces éléments serviront face à la future commission et en cas de violation à notifier.

Un calendrier réaliste

Il n'est pas nécessaire de tout faire en même temps. Un premier mois peut suffire pour nommer un responsable, publier une politique et lancer l'inventaire. Les deux mois suivants servent à déployer le contrôle sur les postes les plus exposés, puis à l'étendre. Notre plan de déploiement en 90 jours détaille cette progression. Pour comparer avec un pays francophone où l'autorité de contrôle est déjà active, voyez notre guide sur la loi 2008-12 au Sénégal.

À retenir

• La loi 29-2019 encadre déjà l'usage des données personnelles au Congo, y compris dans l'IA.

• La commission nationale est en cours de création, mais les obligations s'appliquent dès maintenant.

• Un prompt vers une IA hébergée à l'étranger est un transfert soumis à la loi.

• Une bonne gouvernance associe un responsable, une politique, un registre, un contrôle sur le poste et des preuves.

ZeusLock apporte le contrôle sur le poste : détection et anonymisation des données sensibles avant l'envoi à ChatGPT, Copilot ou Gemini, et journal des incidents pour vos audits. Demandez une démo pour bâtir votre gouvernance de l'IA.