IA et salariés en Guinée : pourquoi la formation ne suffit pas

Il est 18 heures dans les bureaux d'une ONG de Kaloum. Une chargée de programme doit rendre un rapport aux bailleurs le lendemain matin. Elle ouvre ChatGPT, colle la liste des bénéficiaires avec leurs noms, leurs villages et leurs numéros de téléphone, puis demande une synthèse propre. Le rapport est prêt en dix minutes. Les données, elles, sont parties sur un serveur à l'étranger.

Cette scène se répète chaque jour à Conakry, dans les banques, les sociétés minières, les opérateurs télécoms et les organisations humanitaires. Personne n'agit par malveillance. C'est justement pour cela que le problème est d'abord une question de comportement, avant d'être une question de technologie.

Comment les équipes guinéennes utilisent vraiment l'IA

Dans la plupart des structures, l'IA générative est arrivée par la petite porte. Un collègue montre l'outil à un autre, on l'installe sur son téléphone, on s'en sert pour un courrier en français ou pour traduire un document en anglais destiné à un partenaire. Puis les usages s'élargissent :

• reformuler un courriel à un client mécontent, avec son nom et son numéro de compte ;

• résumer un contrat de sous-traitance minière ou un procès-verbal de réunion ;

• nettoyer un fichier Excel de paie ou une base de bénéficiaires ;

• préparer une réponse à un appel d'offres avec des chiffres internes.

Beaucoup de salariés utilisent leur compte personnel gratuit, parfois depuis leur propre téléphone et une connexion mobile. L'employeur ne voit rien. Nous avons décrit ce phénomène et son coût dans notre article sur le vrai coût de l'IA fantôme.

Ce que la loi L/2016/037 attend, même sans régulateur actif

La loi n° L/2016/037/AN relative à la cybersécurité et à la protection des données à caractère personnel impose au responsable du traitement de protéger les données contre toute divulgation non autorisée. Elle encadre aussi les transferts hors de Guinée. Coller une liste de bénéficiaires dans un assistant hébergé à l'étranger touche donc à ces deux règles à la fois.

L'autorité prévue par la loi n'est pas encore pleinement installée. Cela ne change rien à la responsabilité de l'organisation. Si une fuite survient, c'est l'employeur qui devra expliquer ce qu'il avait mis en place. Nous détaillons le cadre juridique dans notre guide sur la loi L/2016/037 et la gouvernance de l'IA.

Pourquoi la formation seule ne suffit pas

La réponse classique consiste à organiser une session de sensibilisation. Les participants repartent convaincus. Trois semaines plus tard, sous la pression d'une échéance, ils refont exactement la même chose.

Ce n'est pas un défaut des salariés guinéens, c'est un trait humain. Plusieurs raisons l'expliquent :

• L'oubli. Une règle apprise en salle s'efface vite si elle n'est pas rappelée au bon moment.

• L'urgence. Quand le directeur attend un document, la conformité passe au second plan.

• L'invisibilité du risque. Rien ne se passe à l'écran quand on colle des données sensibles. Pas d'alerte, pas de conséquence immédiate.

• La difficulté de reconnaître la donnée. Un numéro de téléphone, un numéro de passeport ou un identifiant Orange Money ne ressemblent pas toujours à un secret.

Nous avons développé ce point dans pourquoi la formation à la sécurité de l'IA ne fonctionne pas. La formation reste utile, mais elle ne tient pas seule.

Le nudge au moment du risque

L'idée est simple : intervenir à l'instant précis où le salarié s'apprête à envoyer une donnée sensible, et pas trois semaines avant. Un message court apparaît dans le navigateur : « Ce texte contient des numéros de téléphone et des noms de bénéficiaires. Voulez-vous les anonymiser avant l'envoi ? »

Ce petit rappel change le comportement bien plus qu'une longue formation. Il apporte trois choses :

1. Une prise de conscience immédiate, au moment où la décision se prend.

2. Une solution concrète, et pas seulement une interdiction : le texte part, mais sans les données personnelles.

3. Un apprentissage par la répétition : après quelques alertes, le salarié retire de lui-même les noms avant de coller.

Le ton compte beaucoup. Un message qui culpabilise pousse les gens à contourner l'outil. Un message qui aide, en français simple, est accepté.

Adapter l'approche au contexte guinéen

Quelques réalités locales doivent guider le déploiement :

• La langue. Les messages doivent être en français clair. Beaucoup d'équipes travaillent aussi en soussou, en pular ou en malinké à l'oral : les explications de vive voix des managers gagnent à reprendre ces langues.

• Le téléphone. Une politique qui ne couvre que les ordinateurs du bureau laisse de côté une grande partie des usages.

• Les bailleurs et partenaires. Les ONG et les sociétés minières rendent des comptes à des partenaires étrangers qui posent de plus en plus de questions sur la protection des données.

• Les équipes terrain. À Boké, Kamsar ou Nzérékoré, les agents ont souvent moins accès aux formations. Un rappel automatique les touche autant que le siège.

Mesurer le changement de comportement

Un bon dispositif produit des indicateurs simples : nombre d'alertes par semaine, part des envois anonymisés, services les plus exposés, types de données les plus fréquents. Au bout de quelques semaines, la courbe doit baisser. Sinon, il faut retourner dans le service concerné et en discuter.

Ces journaux servent aussi de preuve. Le jour où l'autorité guinéenne de protection des données sera opérationnelle, ou quand un bailleur demandera un audit, l'organisation pourra montrer ce qu'elle a fait. Pour comprendre comment une fuite se produit concrètement, lisez l'anatomie d'une fuite de données par l'IA.

En résumé

En Guinée, les fuites de données vers l'IA viennent rarement d'une attaque. Elles viennent de salariés pressés qui veulent bien faire. La formation pose les bases, mais c'est le rappel au moment du risque, utile et bienveillant, qui change vraiment les habitudes. La loi L/2016/037 s'applique déjà : mieux vaut construire ces réflexes maintenant.

ZeusLock détecte les données sensibles dans les prompts et les fichiers, propose de les anonymiser en un clic et garde une trace de chaque incident. Demandez une démo de ZeusLock pour voir comment accompagner vos équipes sans les freiner.