Nigeria, NDPA 2023 et IA générative : ce que la fintech doit savoir

À Lagos, une analyste conformité d'une fintech colle dans ChatGPT un export de transactions pour comprendre une série de rejets de paiement. Dans le tableau, il y a des noms, des numéros de compte et des BVN. La réponse arrive en quelques secondes. Les données, elles, viennent de quitter l'entreprise sans aucune trace.

Ce geste banal est désormais encadré de près. Depuis le Nigeria Data Protection Act de 2023 et l'entrée en vigueur de la directive d'application GAID en septembre 2025, la Nigeria Data Protection Commission (NDPC) attend des entreprises qu'elles prouvent la maîtrise de leurs traitements, y compris quand un salarié utilise un assistant d'IA.

Le cadre : NDPA 2023, NDPC et directive GAID

Le Nigeria Data Protection Act a été promulgué en juin 2023. Il a créé la NDPC, autorité indépendante chargée de faire appliquer la loi, et remplacé l'ancien régime fondé sur la NDPR de 2019.

En mars 2025, la NDPC a publié la General Application and Implementation Directive (GAID), entrée en vigueur le 19 septembre 2025. Elle précise la façon d'appliquer la loi au quotidien : registre des responsables de traitement, audits annuels, analyses d'impact, rôle du DPO. Avec ce texte, la NDPR et son cadre de mise en oeuvre de 2020 cessent d'être les références réglementaires.

BVN et NIN : des identifiants à traiter avec soin

Deux identifiants reviennent dans presque tous les dossiers clients au Nigeria. Le BVN (Bank Verification Number) relie chaque client bancaire à ses données biométriques. Le NIN (National Identification Number), délivré par la NIMC, sert de clé d'identité pour l'ouverture de comptes, les cartes SIM et de nombreux services publics.

Ces numéros donnent accès à une identité complète. Une fuite ouvre la porte à l'usurpation et à la fraude. La NDPA classe les données biométriques parmi les données sensibles, qui demandent des garanties renforcées. En pratique, un BVN ou un NIN dans un prompt doit être traité comme une donnée à haut risque, au même titre qu'un relevé médical.

Or ces identifiants circulent partout : tickets de support, exports KYC, rapports de fraude. C'est exactement ce que les équipes ont envie de résumer avec un assistant d'IA.

Ce que la GAID change pour l'IA

La GAID est l'un des rares textes africains à viser directement les technologies émergentes. Avant de déployer de l'IA, de l'Internet des objets ou de la blockchain, l'organisation doit réaliser une analyse d'impact relative à la protection des données (DPIA). Le profilage, la décision automatisée et la surveillance systématique figurent parmi les déclencheurs.

Cette analyse doit couvrir la protection dès la conception, la sécurité, la transparence et les mesures de réduction des risques. Elle doit être examinée par un DPO et versée au rapport d'audit. Concrètement, une fintech qui laisse ses équipes utiliser ChatGPT, Copilot ou Gemini sur des données clients doit pouvoir montrer qu'elle a évalué ce risque et mis des garde-fous en place.

Registre, audits et sanctions

Les organisations qualifiées de data controllers and processors of major importance doivent s'enregistrer auprès de la NDPC et, selon leur niveau, déposer chaque année un rapport d'audit de conformité (Compliance Audit Return) avant le 31 mars, par l'intermédiaire d'un organisme agréé. Elles doivent aussi désigner un DPO.

Les sanctions ne sont pas théoriques. La loi prévoit pour ces organisations une amende pouvant atteindre le montant le plus élevé entre 10 millions de nairas et 2 % du chiffre d'affaires annuel brut. La NDPC a déjà annoncé des amendes importantes, dont 555,8 millions de nairas visant Fidelity Bank en 2024, que la banque a contestée, et 766 millions de nairas visant MultiChoice en 2025.

Une violation de données doit en outre être notifiée à la Commission dans les 72 heures. Un salarié qui colle des BVN dans un outil d'IA public peut déclencher cette obligation sans que personne ne le sache.

Pourquoi les outils classiques ne suffisent pas

Beaucoup de banques nigérianes disposent déjà d'un DLP sur la messagerie ou le réseau. Ces outils voient mal ce qui se passe dans une fenêtre de navigateur chiffrée, où l'utilisateur tape ou colle du texte. Nous avons détaillé ce point dans notre article sur l'anatomie d'une fuite de données vers l'IA.

Interdire ChatGPT ne règle rien non plus. Les équipes passent alors par leur téléphone ou un compte personnel, et l'entreprise perd toute visibilité. C'est le phénomène de l'IA fantôme, dont nous avons chiffré le coût réel pour les entreprises. Le même constat vaut dans toute la région, comme le montre notre panorama sur l'IA générative et la protection des données en Afrique de l'Ouest.

Une démarche en cinq étapes pour une fintech

1. Cartographier les usages : quels outils d'IA sont utilisés, par quelles équipes, sur quels types de données.

2. Classer les identifiants : BVN, NIN, numéros de compte, numéros de carte et données biométriques en catégorie maximale.

3. Réaliser la DPIA exigée par la GAID pour les usages d'IA, avec validation du DPO.

4. Protéger au niveau du poste : détecter et anonymiser les données sensibles avant l'envoi du prompt, avertir l'utilisateur ou bloquer selon le cas.

5. Garder des preuves : journaliser les incidents pour nourrir le rapport d'audit annuel et répondre à la NDPC.

L'anonymisation est souvent la meilleure option, car elle laisse travailler les équipes. Remplacer un BVN par une valeur fictive de même format permet à l'IA d'analyser le tableau sans jamais voir le vrai numéro. Notre guide sur l'anonymisation préservant le format explique le principe.

À retenir

• La NDPA 2023 et la GAID, en vigueur depuis septembre 2025, forment le cadre de référence au Nigeria.

• La GAID impose une DPIA avant tout déploiement d'IA.

• BVN et NIN doivent être protégés comme des données à haut risque.

• Les amendes de la NDPC et l'obligation de notification en 72 heures rendent la prévention indispensable.

ZeusLock détecte et anonymise BVN, NIN et autres données sensibles directement sur le poste, avant qu'elles n'atteignent ChatGPT, Copilot ou Gemini, et conserve les preuves pour vos audits. Demandez une démo pour voir comment l'appliquer à vos équipes.