Gambie : nouvelle loi sur les données et IA, pourquoi agir sans attendre

Pendant des années, la Gambie a été l'un des rares pays d'Afrique de l'Ouest sans loi générale sur la protection des données personnelles. Ce vide se referme. Fin septembre 2025, l'Assemblée nationale a adopté le projet de loi sur la protection des données personnelles et de la vie privée, et son site indique désormais que le texte a reçu l'assentiment présidentiel.

Pour autant, une loi votée n'est pas une loi appliquée. Il faudra du temps pour installer la supervision, former les équipes et publier des lignes directrices. Pendant ce temps, l'IA générative s'installe dans les banques, les hôtels et les administrations de Banjul et de Serrekunda. Cet article fait le point sur ce que l'on sait, et sur ce qu'il est raisonnable de faire dès maintenant.

D'où part la Gambie

Avant ce texte, les données personnelles n'étaient protégées que de façon dispersée, par quelques dispositions sectorielles. Aucun régulateur ne couvrait l'ensemble des traitements. Une entreprise pouvait donc utiliser des outils d'IA avec des données de clients sans cadre clair.

Le pays n'était pas pour autant hors de tout cadre régional. En tant que membre de la CEDEAO, la Gambie est concernée par l'Acte additionnel A/SA.1/01/10 du 16 février 2010 relatif à la protection des données à caractère personnel. Ce texte fixe des principes communs : finalité, proportionnalité, sécurité, droits des personnes, et la création d'une autorité de protection dans chaque État membre.

Ce que prévoit la nouvelle loi

Selon les analyses publiées après son adoption, le texte reprend les standards internationaux. Pour une entreprise qui utilise l'IA, les points suivants comptent le plus :

• Des principes clairs. Licéité, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, sécurité.

• Un délégué à la protection des données pour les autorités publiques et les organismes qui surveillent des personnes à grande échelle ou traitent des données sensibles à grande échelle.

• Des analyses d'impact pour les traitements à risque élevé.

• Une notification des violations à l'autorité dans les 72 heures.

• Des transferts encadrés vers l'étranger, fondés sur un niveau de protection adéquat ou sur des garanties appropriées.

• Des droits étendus, dont celui de s'opposer aux décisions automatisées.

Ce dernier point touche directement l'IA. Un modèle qui trie des demandes de crédit ou des candidatures entre dans le champ de la loi.

Ce que la recherche nous apprend sur les fuites liées à l'IA

Les fuites de données vers les assistants IA suivent presque toujours le même schéma. Pas de piratage spectaculaire, mais un salarié pressé qui copie un tableau, un contrat ou une conversation client pour gagner du temps. Nous avons décrit ce mécanisme dans l'anatomie d'une fuite de données par l'IA.

Deux enseignements reviennent dans nos travaux. D'abord, les interdictions générales déplacent le problème vers les téléphones personnels au lieu de le régler. Ensuite, les outils de sécurité classiques, pensés pour l'e-mail et le réseau, voient mal ce qui se passe dans un navigateur. Nous l'expliquons dans pourquoi le DLP réseau échoue face à ChatGPT.

D'après notre expérience, les approches qui fonctionnent combinent trois éléments : une règle simple que tout le monde comprend, un contrôle technique au moment où la donnée quitte le poste, et une trace de ce qui a été évité. Aucun de ces éléments ne dépend de l'existence d'un régulateur.

Les secteurs gambiens les plus exposés

• Banque et transferts d'argent. Les transferts de la diaspora jouent un rôle important dans l'économie. Les agents manipulent des identités, des numéros de compte et des historiques de transactions.

• Tourisme et hôtellerie. Copies de passeports, réservations et données de paiement de visiteurs étrangers, souvent européens et soumis eux-mêmes au RGPD.

• Télécoms et mobile money. Numéros de téléphone, données de localisation et pièces d'identité des abonnés.

• Administrations et ONG. Dossiers de santé, d'aide sociale ou d'état civil, parfois traités avec des partenaires internationaux.

Dans un pays où l'anglais côtoie le wolof, le mandinka et le peul, les équipes utilisent aussi l'IA pour traduire et résumer. Ces usages sont utiles, mais ils font circuler beaucoup de données.

Pourquoi agir avant que l'autorité ne soit en place

1. Les données sortent déjà. Une donnée envoyée aujourd'hui à un service externe ne pourra pas être récupérée demain.

2. Les partenaires exigent des garanties. Banques correspondantes, voyagistes européens et bailleurs demandent des preuves de maîtrise des données.

3. La mise en conformité prend du temps. Registre, analyses d'impact, procédure en 72 heures : mieux vaut les construire sans pression.

4. Les bonnes pratiques sont déjà connues. L'Acte additionnel de la CEDEAO et les lois des pays voisins donnent une base solide. Voir notre tour d'horizon de l'Afrique de l'Ouest.

Concrètement, une première étape réaliste tient en quelques semaines : recenser les outils d'IA utilisés, identifier les données qui ne doivent jamais en sortir, rédiger une règle d'une page et désigner une personne responsable. Le reste, analyses d'impact et procédures détaillées, peut suivre au fil des mois. Notre playbook de déploiement en 90 jours propose un calendrier précis.

Comment ZeusLock peut aider

ZeusLock fonctionne sur les postes et navigateurs des collaborateurs. Il repère en temps réel les données personnelles dans les prompts et les fichiers envoyés aux assistants IA, puis les anonymise en conservant leur format, avertit l'utilisateur ou bloque l'envoi selon vos règles. Chaque incident évité est journalisé, ce qui alimente votre registre et vos futures preuves de conformité.

En résumé

La Gambie se dote enfin d'une loi moderne sur les données, inscrite dans le cadre de la CEDEAO. Son application prendra du temps, mais les risques liés à l'IA sont déjà là. Les entreprises qui adoptent dès maintenant de bonnes pratiques gagneront du temps, de la confiance et une longueur d'avance.

Vous voulez savoir quelles données quittent déjà votre organisation ? Demandez une démo de ZeusLock.