Loi L/2016/037 en Guinée : bâtir sa gouvernance IA avant le régulateur

À Conakry comme à Boké ou Kamsar, l'intelligence artificielle est déjà entrée dans les bureaux. Un ingénieur demande à ChatGPT de résumer un rapport de production. Une juriste fait relire un contrat par Copilot. Un conseiller clientèle d'un opérateur télécom prépare ses réponses avec Gemini. Personne n'a attendu une note de la direction pour s'y mettre.

Le cadre juridique, lui, avance moins vite. La Guinée dispose d'une loi sur la protection des données depuis 2016, mais l'autorité chargée de la faire appliquer n'est pas encore pleinement installée. Pour une entreprise, ce décalage n'est pas une raison d'attendre. C'est au contraire le bon moment pour poser ses propres règles.

La loi L/2016/037/AN : ce qu'elle dit vraiment

La loi n° L/2016/037/AN du 28 juillet 2016 relative à la cybersécurité et à la protection des données à caractère personnel est le texte de référence. Elle ne parle pas d'intelligence artificielle, mais elle couvre toute opération sur une information qui permet d'identifier une personne. Coller un fichier client dans un assistant IA, c'est un traitement. L'envoyer vers des serveurs situés hors du pays, c'est un transfert.

Trois points comptent particulièrement pour l'usage de l'IA :

• Les formalités préalables. La loi prévoit une déclaration ou une demande d'autorisation avant de mettre en œuvre un traitement. Les données de santé, biométriques, génétiques, les numéros d'identification nationaux ou les données relatives aux infractions exigent une autorisation.

• Les transferts hors de Guinée. Ils ne sont permis que vers un pays qui assure un niveau de protection au moins équivalent, et sous le contrôle de l'autorité.

• La sécurité. Le responsable du traitement doit protéger les données contre toute divulgation à des tiers non autorisés.

Une autorité prévue, pas encore en ordre de marche

La loi prévoit la création d'une autorité de protection des données personnelles, dont l'organisation doit être fixée par voie réglementaire. Selon les analyses juridiques disponibles, cette autorité n'est pas encore pleinement opérationnelle et les décrets sur les procédures de déclaration restent à prendre.

En pratique, il n'existe donc pas encore de guichet où déposer ses déclarations, ni de lignes directrices sur l'IA. Mais la loi est en vigueur. Les obligations de sécurité et les règles sur les transferts s'appliquent déjà, et un contentieux civil ou pénal peut s'appuyer dessus. Le jour où l'autorité sera installée, elle regardera aussi ce que les entreprises ont fait avant.

L'État pousse l'IA, les entreprises suivent

Le signal politique est clair. En décembre 2025, le ministère chargé des technologies de l'information a validé, avec le PNUD, une feuille de route nationale de l'intelligence artificielle pour la période 2026 à 2035. Elle s'appuie sur un diagnostic national et prévoit d'abord de bâtir les fondations institutionnelles, réglementaires et techniques, avant d'intégrer l'IA dans les services publics. Le pays a aussi mis en service en 2025 son premier centre de données national certifié Tier 3.

Dans le privé, deux secteurs sont en première ligne :

• Les mines. La Guinée détient les plus grandes réserves de bauxite au monde. Les compagnies minières et leurs sous-traitants manipulent des données géologiques, des contrats, des informations sur les communautés riveraines et des dossiers RH de milliers de salariés. Beaucoup travaillent avec des maisons mères à l'étranger et des outils en anglais, où l'IA est déjà la norme.

• Les télécoms et le mobile money. Numéros de téléphone, historiques de transactions, pièces d'identité scannées : ce sont exactement les données qu'un agent pressé risque de coller dans un chatbot pour comprendre une réclamation.

Pourquoi construire sa gouvernance avant le régulateur

Attendre que l'autorité publie ses règles peut sembler prudent. C'est en réalité risqué, pour trois raisons.

D'abord, les fuites ne préviennent pas. Une fois qu'un plan de mine, une liste de salariés ou un contrat de concession est parti vers un service externe, il est impossible de le rappeler. Nous détaillons ce mécanisme dans l'anatomie d'une fuite de données par l'IA.

Ensuite, vos partenaires n'attendent pas non plus. Les groupes internationaux, les bailleurs de fonds et les banques demandent déjà des preuves de maîtrise des données à leurs fournisseurs guinéens.

Enfin, l'usage non encadré coûte cher même sans amende : temps perdu, contrats renégociés, confiance entamée. Nous l'avons chiffré dans le vrai coût de l'IA fantôme.

Cinq chantiers pour une gouvernance IA solide

1. Faire l'inventaire. Quels outils d'IA sont utilisés, par quels services, avec quelles données ? Une enquête interne de deux semaines suffit pour commencer.

2. Classer les données. Données géologiques, contrats, dossiers du personnel, données des abonnés : définissez ce qui ne doit jamais sortir.

3. Nommer un responsable. Un référent données, côté juridique ou sécurité, qui tient un registre des traitements, même si la loi n'a pas encore son guichet.

4. Écrire une règle simple. Une page, en français, avec des exemples tirés de vos métiers. Ce qui est permis, ce qui ne l'est pas.

5. Protéger à la source. Détecter et anonymiser les données sensibles avant qu'elles n'atteignent l'IA, et garder une trace des incidents évités.

Pour aller plus loin sur le contexte régional, lisez notre article sur l'IA générative et la protection des données en Afrique de l'Ouest.

Ce que ZeusLock apporte

ZeusLock fonctionne sur les postes et navigateurs de vos équipes. Il repère en temps réel les données sensibles dans les prompts et les fichiers envoyés aux assistants IA : noms, numéros de téléphone, pièces d'identité, données financières, informations techniques. Selon vos règles, il anonymise en conservant le format, avertit l'utilisateur ou bloque l'envoi. Chaque événement est journalisé, ce qui vous donne des preuves concrètes le jour où l'autorité ou un partenaire vous les demande.

En résumé

La Guinée a une loi depuis 2016, une feuille de route IA depuis fin 2025, et une autorité encore en construction. Les entreprises minières, télécoms et de services qui organisent dès maintenant leur usage de l'IA prendront de l'avance. Elles seront prêtes quand le régulateur arrivera, et elles auront protégé leurs données entre-temps.

Vous voulez savoir quelles données vos équipes envoient déjà à l'IA ? Demandez une démo de ZeusLock.