Mauritanie : loi 2017-020, APD et risques de l'IA en entreprise

À Nouakchott, les entreprises travaillent souvent en deux langues. Un contrat arrive en arabe, une note technique en français, un rapport doit être traduit avant le comité de direction. Les assistants d'IA générative rendent ces tâches beaucoup plus rapides, et de nombreux salariés les utilisent déjà au quotidien.

Le revers est connu : ce qu'on colle dans un outil d'IA part vers des serveurs étrangers. En Mauritanie, ces usages sont encadrés par une loi précise, la loi n° 2017-020 relative à la protection des données à caractère personnel, et par une autorité qui s'affirme de plus en plus.

La loi n° 2017-020 : ce qu'elle couvre

Adoptée en 2017, la loi n° 2017-020 fixe les règles applicables à toute collecte et à toute utilisation d'informations permettant d'identifier une personne. Elle concerne les entreprises privées comme les organismes publics. Elle impose notamment de traiter les données pour une finalité déterminée, de les protéger contre les accès non autorisés et de respecter les droits des personnes concernées.

La loi encadre aussi les transferts de données vers l'étranger, qui ne sont possibles que vers des pays offrant un niveau de protection adéquat. C'est un point central pour l'IA générative, puisque la plupart des assistants grand public traitent les données hors du pays.

Une autorité désormais active

La loi a prévu une Autorité de Protection des Données à caractère Personnel (APD). Elle est aujourd'hui en activité. En janvier 2026, l'APD, présidée par Mohamed Lemine Ould Sidi, a signé à Marrakech un accord de coopération avec la CNDP, son homologue marocaine, au terme de près de deux ans de discussions.

Cet accord porte sur la conformité, le contrôle des traitements, le traitement des plaintes et la diffusion d'une culture de protection des données auprès des administrations et des acteurs privés. Pour les entreprises mauritaniennes, le signal est clair : la loi de 2017 n'est plus un texte théorique, et l'autorité se structure pour l'appliquer.

Une stratégie numérique ambitieuse

Le pays a engagé une transformation numérique de fond. L'Agenda national de transformation numérique 2022-2025 a fixé le cap, et le ministère de la Transformation numérique, de l'Innovation et de la Modernisation de l'administration a élaboré une stratégie nationale d'intelligence artificielle pour la période 2024-2029.

Cette stratégie fait une place explicite à la gouvernance des données et à l'éthique de l'IA, y compris au respect des règles de protection des données. Elle vise aussi des usages sectoriels dans la santé, l'éducation, l'agriculture, la pêche, les transports ou l'énergie. Autrement dit, l'État encourage l'IA, mais dans un cadre maîtrisé.

Mines, banques, télécoms : des secteurs exposés

Trois secteurs méritent une attention particulière, car ils concentrent des données sensibles et adoptent vite les outils numériques :

• Mines et énergie : le fer, l'or et le gaz pèsent lourd dans l'économie. Rapports géologiques, données de production, contrats avec des partenaires étrangers et dossiers du personnel sont autant d'informations stratégiques qu'un ingénieur peut être tenté de faire résumer ou traduire par une IA.

• Banques et finance : numéros de compte, historiques de transactions et dossiers de crédit sont à la fois des données personnelles et des informations couvertes par la confidentialité bancaire.

• Télécoms : les opérateurs gèrent des fichiers d'abonnés, des données de localisation et des historiques d'appels, parmi les plus sensibles qui soient.

Dans ces secteurs, les équipes techniques utilisent aussi des assistants de code et des outils en ligne de commande. Ces outils peuvent emporter des clés d'accès ou des fichiers de configuration sans que personne ne s'en rende compte, comme nous l'expliquons dans Agents CLI d'IA : comment ils font fuiter vos secrets.

Les risques concrets de l'IA au travail

Les incidents les plus courants n'ont rien de spectaculaire. Une assistante de direction fait traduire un contrat avec les coordonnées d'un partenaire. Un chargé de clientèle colle une réclamation avec le numéro de compte du client. Un responsable RH fait reformuler une évaluation nominative. Chaque fois, l'information quitte l'entreprise et le pays.

Le coût de ces fuites invisibles est rarement mesuré, alors qu'il peut être élevé. Nous l'avons chiffré dans Le vrai coût du Shadow AI en 2026. Quant à la sensibilisation seule, elle montre vite ses limites, comme le détaille notre article Pourquoi la formation à la sécurité IA ne fonctionne pas.

Comment s'organiser

1. Identifier les usages réels de l'IA dans chaque direction, y compris sur les téléphones.

2. Lister les données à ne jamais partager : identité, données bancaires, données d'abonnés, données de production, contrats, secrets techniques.

3. Se rapprocher de l'APD pour vérifier les formalités applicables à vos traitements, notamment aux transferts vers l'étranger.

4. Protéger les données automatiquement, avant leur envoi, plutôt que de compter sur la mémoire de chacun.

5. Garder des traces pour démontrer votre conformité.

Pour une vue d'ensemble des cadres juridiques voisins, lisez notre article sur l'IA générative et la protection des données en Afrique de l'Ouest.

Ce que fait ZeusLock

ZeusLock s'installe sur les postes et les navigateurs. Il analyse en temps réel les prompts et les fichiers envoyés à ChatGPT, Copilot, Gemini ou Claude et repère les données sensibles. Selon vos règles, il les anonymise en conservant leur format, alerte l'utilisateur ou bloque l'envoi. Chaque événement est journalisé pour vos audits.

En résumé

En Mauritanie, la loi n° 2017-020 s'applique pleinement à l'IA générative, et l'APD se donne les moyens de la faire respecter. Avec une stratégie nationale d'IA tournée vers la gouvernance des données, le cap est fixé. Les entreprises des mines, de la banque et des télécoms ont tout intérêt à encadrer dès maintenant l'usage de ces outils.

Vous souhaitez voir ZeusLock en action dans votre environnement ? Demandez une démo.