Loi 2008-12 et IA générative : le guide de conformité pour les entreprises au Sénégal

Depuis le lancement du New Deal Technologique en février 2025, le Sénégal affiche une ambition claire : devenir un pôle numérique de référence en Afrique. Dans les entreprises, cette ambition se traduit déjà au quotidien. Les équipes utilisent ChatGPT, Copilot ou Gemini pour rédiger des courriers, analyser des tableaux, préparer des offres ou traduire des contrats.

Cette adoption est une bonne nouvelle. Mais elle pose une question que beaucoup de dirigeants n'ont pas encore tranchée : que deviennent les données personnelles de vos clients et de vos salariés quand elles sont collées dans un assistant IA ? Au Sénégal, la réponse se trouve dans un texte précis, la loi n° 2008-12 sur la protection des données à caractère personnel.

La loi 2008-12 s'applique aussi à l'IA

La loi ne parle pas d'intelligence artificielle, puisqu'elle date de 2008. Elle s'applique pourtant pleinement. Dès qu'une entreprise installée au Sénégal traite des informations qui permettent d'identifier une personne, elle devient responsable de traitement. Copier un fichier clients dans un outil d'IA, c'est un traitement. L'envoyer sur des serveurs à l'étranger, c'est un transfert.

La Commission de protection des Données Personnelles (CDP) veille au respect de ce texte. Elle reçoit des plaintes, publie régulièrement des avis et peut prononcer des sanctions. Le sujet n'a donc rien de théorique.

Les quatre obligations à garder en tête

1. Une finalité claire

Les données doivent être collectées pour un objectif précis et ne pas être réutilisées pour autre chose. Un numéro de téléphone recueilli pour ouvrir un compte n'a pas vocation à se retrouver dans un prompt pour tester un nouvel outil.

2. Les formalités auprès de la CDP

Selon leur nature, les traitements doivent être déclarés à la CDP ou autorisés par elle. Un usage de l'IA qui porte sur des données de clients ou de salariés doit être pris en compte dans ces formalités, au même titre qu'un nouveau logiciel métier.

3. La sécurité et la confidentialité

Le responsable de traitement doit prendre les mesures nécessaires pour empêcher que les données soient divulguées à des tiers non autorisés. Laisser chaque collaborateur envoyer librement des données sensibles à un service externe va à l'encontre de cette exigence.

4. Les transferts hors du Sénégal

C'est le point le plus sensible. Un transfert vers un pays tiers n'est possible que si ce pays assure un niveau de protection suffisant, ou dans les conditions fixées par la CDP. La grande majorité des assistants IA grand public traitent les données hors du continent. Sans précaution, chaque prompt contenant des données personnelles peut constituer un transfert irrégulier.

Pour une vue d'ensemble des lois de la région, lisez notre article IA générative en Afrique de l'Ouest : protéger vos données sensibles.

Cinq situations courantes dans les entreprises sénégalaises

• Banque et microfinance : un conseiller colle l'historique d'un client pour rédiger une réponse à une réclamation.

• Télécoms et mobile money : un agent envoie un export de transactions pour comprendre une anomalie.

• Assurance et santé : un gestionnaire résume un dossier médical avec un assistant IA.

• Ressources humaines : une chargée de recrutement compare des CV complets avec numéros de pièce d'identité.

• PME et commerce : un commercial importe tout son fichier de prospects pour générer des emails personnalisés.

Dans chacun de ces cas, l'intention est bonne et le gain de temps réel. Le problème vient de la donnée qui part avec la demande. Ce phénomène, souvent invisible pour la direction, porte un nom : le Shadow AI. Nous en avons chiffré l'impact dans Le vrai coût du Shadow AI en 2026.

Interdire ne suffit pas

Face au risque, certaines entreprises bloquent les sites d'IA sur le réseau. Le résultat est rarement celui attendu. Les collaborateurs passent par leur téléphone personnel et la direction perd toute visibilité. La formation seule ne suffit pas non plus : sous la pression d'un dossier urgent, les bonnes résolutions s'effacent vite. Nous expliquons pourquoi dans Pourquoi la formation à la sécurité IA ne fonctionne pas.

La bonne approche consiste à laisser les équipes utiliser l'IA, tout en contrôlant ce qui sort de l'entreprise.

Plan d'action en six étapes

1. Cartographier les usages. Identifiez les outils d'IA réellement utilisés et les services concernés.

2. Classer les données. Listez ce qui ne doit jamais partir vers une IA externe : identité, données bancaires, santé, données de salariés, secrets techniques.

3. Mettre à jour vos formalités CDP. Intégrez les usages de l'IA dans vos déclarations et votre registre de traitements.

4. Rédiger une charte simple. Une page suffit, avec des exemples concrets de ce qui est permis et de ce qui ne l'est pas.

5. Protéger à la source. Détectez et anonymisez automatiquement les données sensibles avant qu'elles n'atteignent l'IA. Voir notre article sur l'anonymisation qui préserve le format.

6. Garder des preuves. Conservez la trace des incidents évités. En cas de contrôle de la CDP, c'est votre meilleur argument.

Pour la mise en œuvre pas à pas, suivez notre guide de déploiement en 90 jours.

Comment ZeusLock aide les entreprises sénégalaises

ZeusLock s'installe sur les postes et les navigateurs de vos équipes. La solution repère en temps réel les données sensibles dans les prompts et les fichiers envoyés aux assistants IA, y compris les numéros de téléphone sénégalais, les numéros de carte d'identité CEDEAO et les identifiants mobile money. Selon vos règles, elle anonymise, alerte ou bloque. Chaque événement est journalisé pour alimenter votre conformité.

Vos collaborateurs gardent leurs outils. Vous gardez la maîtrise de vos données.

En résumé

Le Sénégal mise sur le numérique et l'IA, et c'est une excellente chose. La loi 2008-12 n'empêche pas d'utiliser ces outils. Elle demande simplement de savoir quelles données partent, où elles vont et comment elles sont protégées. Les entreprises qui s'organisent dès maintenant prendront de l'avance, auprès de leurs clients comme auprès du régulateur.

Vous voulez mesurer l'exposition de votre entreprise ? Demandez une démo de ZeusLock.