Nigeria : assistants IA de code, clés API et NDPA dans les startups

Il est une heure du matin à Yaba. Un développeur d'une startup de paiement bloque sur un bug d'intégration. Il colle dans son assistant IA le fichier de configuration, un extrait de logs et le jeu de données qui sert aux tests. La réponse arrive vite. Avec elle, une clé API de production et une centaine de vrais BVN copiés un jour depuis la base client sont partis vers un service externe.

Personne ne l'a fait exprès. C'est le quotidien de nombreuses équipes techniques à Lagos, où les assistants de code font désormais partie des outils de travail. La loi nigériane, elle, ne prévoit aucune exception pour les développeurs.

Lagos code désormais avec l'IA

De Yaba à Lekki, les startups fintech, logistique ou e-commerce livrent vite, avec des équipes réduites. Les assistants IA intégrés à l'éditeur, les outils en ligne de commande et les chatbots généralistes aident à écrire des tests, expliquer une erreur ou migrer un service.

L'État pousse dans le même sens. La Stratégie nationale d'intelligence artificielle 2025-2029, publiée en septembre 2025 par le ministère fédéral des Communications, de l'Innovation et de l'Économie numérique, mise sur l'adoption de l'IA, et le programme de formation 3MTT forme des milliers de jeunes développeurs. Plus d'IA dans le code, c'est aussi plus de données sensibles qui transitent par ces outils.

Trois fuites qu'on retrouve partout

Les secrets

Clés d'API de passerelles de paiement, jetons d'accès au cloud, mots de passe de base de données : ils vivent dans les fichiers .env, les scripts de déploiement et les messages d'erreur. Un simple copier-coller suffit à les exposer.

Les données de test qui n'en sont pas

Pour aller vite, une équipe copie un extrait de la base de production dans ses fixtures. Les noms, numéros de téléphone, BVN et NIN sont alors bien réels. Quand ce fichier part dans un prompt, ce sont des données de clients qui quittent l'entreprise.

Le code source

Règles antifraude, modèles de scoring, logique de rapprochement : pour une fintech, le code est souvent la propriété intellectuelle la plus précieuse. L'envoyer à un outil grand public sans contrat ni contrôle, c'est perdre la main dessus.

Ce que la NDPA 2023 change pour une équipe technique

La Nigeria Data Protection Act de 2023 s'applique à tout traitement de données personnelles, y compris un dump de base envoyé à un assistant IA. Un BVN, lié aux données biométriques du client, ou un NIN délivré par la NIMC, ne deviennent pas anodins parce qu'ils sont dans un fichier de test.

• La loi impose des mesures de sécurité adaptées au risque, ce qui inclut les outils utilisés par les développeurs.

• La directive d'application générale (GAID) de la NDPC, en vigueur depuis septembre 2025, exige une analyse d'impact avant tout déploiement d'IA.

• Une violation de données doit être notifiée à la NDPC dans les 72 heures.

• Pour les organisations d'importance majeure, l'amende peut atteindre 10 millions de nairas ou 2 % du chiffre d'affaires annuel, le montant le plus élevé étant retenu.

Nous détaillons ce cadre dans notre article sur la NDPA 2023 et l'IA générative dans la fintech.

Les agents en ligne de commande, un cas à part

Un chatbot ne voit que ce qu'on lui colle. Un agent IA lancé dans un terminal, lui, peut lire tout le dépôt : fichiers de configuration, historique des commandes, variables d'environnement, parfois les clés SSH. Il exécute des commandes et envoie leur résultat au modèle.

Le risque change d'échelle. Un développeur qui demande à l'agent de « réparer les tests » peut, sans le savoir, lui faire lire un fichier .env de production. Nous décrivons ces scénarios dans notre analyse sur les fuites de secrets par les agents CLI.

Des règles simples pour l'équipe

Inutile d'interdire les assistants : les développeurs passeraient sur leurs comptes personnels. Mieux vaut quelques règles claires, inscrites dans le guide de contribution.

1. Zéro donnée réelle dans les tests. Générer des BVN et NIN fictifs de 11 chiffres, des noms et des numéros inventés.

2. Secrets hors du code. Un gestionnaire de secrets, des clés distinctes par environnement, une rotation immédiate en cas de doute.

3. Contexte limité. Exclure les fichiers .env, les dumps et les dossiers sensibles de ce que lisent les outils IA.

4. Outils validés. Une courte liste d'assistants autorisés, avec des comptes entreprise.

5. Analyse d'impact. Documenter l'usage des assistants de code dans l'analyse exigée par la GAID, signée par le DPO.

Contrôler au moment où la donnée part

Les règles ne suffisent pas à une heure du matin, quand la mise en production presse. Le contrôle doit se faire sur le poste, au moment où le texte est envoyé à l'IA.

Concrètement, l'outil repère une clé API, un BVN ou un numéro de compte dans le prompt ou le fichier joint. Il peut alors avertir, bloquer, ou remplacer la valeur par une fausse valeur au même format. Le modèle continue de comprendre le code, sans jamais voir la vraie donnée. Notre guide sur l'anonymisation qui préserve le format explique la méthode. Chaque incident évité est journalisé, ce qui alimente l'audit annuel et l'analyse d'impact. Ces enjeux dépassent le Nigeria, comme le montre notre dossier sur l'IA générative et la protection des données en Afrique de l'Ouest.

L'essentiel

• Les assistants IA de code exposent trois choses : les secrets, les données réelles cachées dans les tests et le code source.

• La NDPA 2023 et la GAID s'appliquent aussi aux équipes techniques.

• Les agents en ligne de commande lisent bien plus que ce qu'on leur montre.

• Des règles simples et un contrôle sur le poste réduisent le risque sans freiner les développeurs.

ZeusLock repère les clés API, les BVN et les autres données sensibles avant qu'elles n'atteignent ChatGPT, Copilot, Claude ou Gemini, et garde la trace des incidents évités. Demandez une démo pour protéger vos équipes techniques.