Mali : loi 2013-015, APDP et souveraineté des données face à l'IA

À Bamako, dans une société de services, un cabinet ou une direction administrative, les assistants d'IA sont désormais à portée de clic. On s'en sert pour rédiger un courrier, résumer un rapport, traduire un document ou préparer une présentation. L'outil est gratuit, rapide et disponible sur n'importe quel téléphone.

Ce qui se voit moins, c'est le trajet des données. Un texte collé dans ChatGPT ou Gemini ne reste pas au Mali : il est traité sur des serveurs situés à l'étranger, selon les règles du fournisseur. Pour une organisation malienne, c'est une question de conformité, mais aussi de souveraineté sur ses propres informations.

Le cadre légal : la loi n° 2013-015

Au Mali, la protection des données personnelles repose sur la loi n° 2013-015 du 21 mai 2013, modifiée par la loi n° 2017-070 du 18 décembre 2017, qui a notamment précisé le fonctionnement de l'autorité de contrôle. Le texte s'applique à toute personne, entreprise ou administration qui traite des informations permettant d'identifier une personne.

La loi a créé l'Autorité de Protection des Données à caractère Personnel (APDP), une autorité administrative indépendante. L'APDP reçoit les déclarations, rend des avis, contrôle les organismes et peut prononcer des sanctions.

Une autorité active sur le terrain

L'APDP ne se contente pas de publier des recommandations. En 2025, elle a infligé une amende de 5 millions de francs CFA à une clinique de Bamako qui avait fait obstacle à une mission de contrôle portant sur une vidéosurveillance non déclarée. Plus d'une centaine d'entreprises ont par ailleurs reçu des mises en demeure pour non conformité.

En octobre 2025, l'autorité a ouvert une session extraordinaire consacrée à l'examen d'environ 2 000 dossiers de déclaration. Les commissaires y vérifient la conformité juridique, la sécurité des systèmes d'information, les durées de conservation et le respect des droits des personnes. La loi prévoit en outre une amende de 5 à 20 millions de francs CFA en cas d'entrave à l'action de l'autorité.

Le message est simple : les formalités et les contrôles sont une réalité, y compris pour les usages numériques les plus récents.

Les données qui sortent du pays

La loi malienne encadre strictement les transferts. Un responsable de traitement ne peut transférer des données personnelles vers un autre pays que si celui-ci assure un niveau de protection suffisant de la vie privée et des libertés des personnes.

Or la plupart des services d'IA générative grand public hébergent et traitent les données hors d'Afrique. Quand un collaborateur colle un fichier de clients, une liste d'agents ou un dossier administratif dans un assistant en ligne, il réalise de fait un transfert international. Sans cadre ni contrôle, l'organisation ne sait plus où se trouvent ses données ni qui peut y accéder.

Administrations : une vigilance particulière

Le secteur public est directement concerné. La loi impose que les traitements réalisés pour le compte de l'État fassent l'objet d'un avis motivé préalable de l'APDP. Un service public qui laisse ses agents utiliser librement des outils d'IA externes sur des dossiers de citoyens s'expose donc à un double risque : une fuite d'informations sensibles et un traitement qui n'a jamais été soumis à l'autorité.

Les cas les plus fréquents sont très concrets :

• un agent qui fait résumer un dossier d'état civil ou foncier ;

• un service RH qui reformule des évaluations nominatives ;

• une direction financière qui analyse des tableaux de paiements ;

• un service informatique qui envoie un extrait de base de données pour corriger une erreur.

L'IA progresse au Mali

Le pays s'intéresse de près à l'intelligence artificielle. Le Mali dispose d'un Centre d'intelligence artificielle et de robotique, et le Conseil des ministres du 23 avril 2026 a annoncé l'organisation d'un forum national annuel consacré à l'IA, avec des conférences, des expositions de prototypes et des compétitions de robotique.

Cette dynamique est positive. Elle rend aussi plus urgente une question pratique : comment profiter de ces outils sans exporter, sans le savoir, les données des clients, des salariés ou des usagers ? Les enjeux de souveraineté dépassent d'ailleurs le continent, comme nous l'expliquons dans IA souveraine : ce que doivent savoir les RSSI.

Garder la maîtrise de ses données

Pour une entreprise ou une administration malienne, une démarche raisonnable tient en quelques étapes :

1. Faire l'inventaire des outils d'IA utilisés, officiellement ou non.

2. Classer les informations qui ne doivent jamais sortir : identité, données de santé, données financières, dossiers administratifs, secrets professionnels.

3. Vérifier vos formalités auprès de l'APDP, en y intégrant les nouveaux usages.

4. Protéger les données à la source, avant qu'elles ne quittent le poste de travail.

5. Documenter chaque incident évité pour pouvoir répondre à un contrôle.

Pour comprendre comment une fuite se produit concrètement, lisez Anatomie d'une fuite de données par l'IA. Pour la mise en œuvre, notre playbook de déploiement en 90 jours détaille chaque étape. Et pour une vue régionale, consultez notre article sur l'IA générative en Afrique de l'Ouest.

Le rôle de ZeusLock

ZeusLock agit directement sur les postes et les navigateurs. Avant qu'un prompt ou un fichier ne parte vers ChatGPT, Copilot, Gemini ou Claude, il repère les données sensibles. Selon les règles que vous fixez, il les anonymise en conservant leur format, avertit l'utilisateur ou bloque l'envoi. Les informations réelles restent dans votre organisation, et chaque événement est journalisé pour vos audits et vos échanges avec l'APDP.

En résumé

Au Mali, la loi 2013-015 et l'APDP fixent un cadre clair : formalités, avis préalable pour les traitements publics, transferts limités aux pays offrant une protection suffisante. L'IA générative entre dans ce cadre. Garder la maîtrise de ses données, c'est à la fois respecter la loi et préserver sa souveraineté numérique.

Vous voulez voir comment protéger vos données sans freiner vos équipes ? Demandez une démo de ZeusLock.