Gabon, loi 001/2011 et IA : où vont vraiment les données de vos équipes ?

À Port-Gentil, un ingénieur d'une société de services pétroliers demande à ChatGPT de résumer un rapport d'incident. Le document contient les noms des techniciens présents, leurs numéros de téléphone et des extraits de dossiers médicaux. En une seconde, ces informations sont parties vers des serveurs situés à des milliers de kilomètres du Gabon.

Ce trajet invisible pose une question simple : qui contrôle les données des Gabonais quand elles passent par un assistant d'IA ? La loi n° 001/2011 relative à la protection des données à caractère personnel, modifiée en 2023, et l'autorité qui la fait appliquer donnent une réponse claire, encore trop peu connue dans les entreprises.

Un cadre ancien, renforcé en 2023

Le Gabon fait partie des pays d'Afrique centrale qui se sont dotés tôt d'une loi sur les données personnelles. La loi n° 001/2011 avait créé la Commission nationale pour la protection des données à caractère personnel (CNPDCP).

En 2023, une réforme portée par la loi n° 025/2023 a modifié ce texte et transformé la commission en Autorité pour la protection des données à caractère personnel et de la vie privée (APDPVP), avec des pouvoirs renforcés. L'autorité s'est depuis rendue visible, par exemple en convoquant les candidats à la présidentielle de 2025 sur l'usage des données des électeurs, ou en travaillant avec le ministère de l'Économie numérique dans le cadre du projet Gabon Digital.

Le pays a aussi adopté en 2023 une loi sur la cybersécurité et la lutte contre la cybercriminalité, et ratifié en octobre 2024 la Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel, dite convention de Malabo.

Transferts hors du Gabon : la règle de base

Le point central pour l'IA générative est le transfert international. En principe, des données personnelles ne peuvent quitter le Gabon que vers un pays qui offre un niveau de protection adéquat. À défaut, le transfert n'est possible que dans des cas limités : consentement explicite de la personne, exécution d'un contrat, sauvegarde de la vie, intérêt public ou défense d'un droit en justice.

Or la plupart des assistants d'IA grand public traitent les données hors du continent. Quand un salarié colle une liste de clients dans un chatbot, il réalise un transfert international, sans base juridique, sans information des personnes et sans trace dans le registre de l'entreprise.

Les données qui demandent une autorisation

La loi gabonaise distingue les traitements soumis à simple déclaration et ceux qui exigent une autorisation préalable de l'APDPVP. Parmi ces derniers figurent :

• les données biométriques utilisées pour contrôler l'identité ;

• les numéros d'identification nationaux, comme le NIP ;

• les données relatives aux infractions et condamnations ;

• les données génétiques hors usage médical ;

• certains traitements de profilage.

Une entreprise ne peut donc pas laisser ces données circuler librement dans des outils d'IA, alors même que leur traitement de base demande déjà l'accord de l'autorité.

Il faut aussi penser aux droits des personnes. Un client ou un salarié peut demander quelles données le concernant ont été traitées, et par qui. Si ses informations sont passées dans un outil d'IA sans que l'entreprise le sache, elle ne pourra pas répondre correctement.

Pétrole, banque, secteur public : trois profils de risque

Le secteur pétrolier

Les opérateurs et sous-traitants de Port-Gentil et de Libreville manipulent des dossiers du personnel, des données de santé au travail et des contrats sensibles. Une partie des équipes travaille avec des maisons mères étrangères, ce qui multiplie les flux de données hors du pays.

La banque

Les banques gabonaises détiennent des identités, des revenus et des historiques de transactions. Un analyste crédit qui demande à une IA de résumer un dossier de prêt expose exactement le type d'informations que les clients s'attendent à voir protégées.

L'administration

Les organismes publics doivent désigner un délégué à la protection des données. Avec la numérisation des services publics et l'arrivée du NIP, les agents manipulent de plus en plus de données d'état civil. Un usage non encadré de l'IA dans ces services toucherait directement la confiance des citoyens.

La souveraineté se joue sur le poste de travail

On parle souvent de souveraineté en termes de centres de données nationaux. C'est utile, mais insuffisant. Les données sortent d'abord par le navigateur, au moment où un salarié tape ou colle un texte. C'est là qu'il faut agir.

La bonne approche consiste à repérer les données personnelles avant l'envoi du prompt, puis à les remplacer par des valeurs fictives de même format. L'IA reçoit un texte exploitable, mais aucune donnée réelle ne quitte le Gabon. Notre article sur l'anonymisation préservant le format détaille cette méthode, et notre analyse sur l'IA souveraine vue par les RSSI montre pourquoi l'hébergement seul ne règle pas tout.

Par où commencer

1. Inventorier les outils d'IA réellement utilisés, y compris sur les comptes personnels.

2. Identifier les données soumises à autorisation et les exclure des prompts.

3. Documenter les transferts vers les fournisseurs d'IA et leur base juridique.

4. Former les équipes avec des exemples concrets tirés de leur métier.

5. Déployer un contrôle sur le poste qui avertit, anonymise ou bloque, et garde la preuve des incidents pour l'APDPVP.

Pour organiser ces étapes dans le temps, notre plan de déploiement en 90 jours propose un calendrier réaliste. Les enjeux sont proches de ceux de la sous-région, décrits dans notre dossier sur l'IA générative en Afrique de l'Ouest.

À retenir

• La loi 001/2011, modifiée en 2023, encadre les données personnelles au Gabon, sous le contrôle de l'APDPVP.

• Un prompt envoyé à une IA hébergée à l'étranger est un transfert international.

• Les identifiants nationaux et les données biométriques exigent une autorisation préalable.

• La souveraineté réelle commence sur le poste de travail, avant l'envoi.

ZeusLock détecte et anonymise les données personnelles directement dans le navigateur, avant qu'elles ne quittent le Gabon vers ChatGPT, Copilot ou Gemini. Demandez une démo pour garder la main sur vos données.