Loi ougandaise de 2019 et IA : le guide de conformité PDPO

À Kampala, l'IA générative est déjà entrée dans les bureaux. Un analyste de banque demande à ChatGPT de résumer un dossier de crédit, une chargée de clientèle télécom fait reformuler une réponse à une réclamation, un responsable RH compare des candidatures avec Copilot. Le gain de temps est réel.

Le problème, c'est ce qui part avec la demande. Un numéro d'identification national, un numéro de téléphone lié à un compte mobile money, un relevé de salaire. En Ouganda, ces informations sont protégées par une loi précise, la Data Protection and Privacy Act de 2019, et un régulateur qui attend des entreprises qu'elles soient enregistrées et capables de rendre des comptes.

Un cadre légal en place depuis 2019

La Data Protection and Privacy Act est entrée en vigueur le 3 mai 2019. Elle prolonge l'article 27 de la Constitution ougandaise, qui protège déjà la vie privée. Son règlement d'application, les Data Protection and Privacy Regulations, est en vigueur depuis le 12 mars 2021.

La loi s'applique à toute personne ou organisation qui collecte, traite, détient ou utilise des données personnelles en Ouganda. Elle vise aussi les acteurs établis à l'étranger qui traitent les données de citoyens ougandais.

Le PDPO et l'obligation d'enregistrement

Le régulateur s'appelle le Personal Data Protection Office, ou PDPO. Il a été créé par la loi et fonctionne au sein de la National Information Technology Authority, la NITA-U. Il tient le registre national de la protection des données, reçoit les plaintes et peut ordonner des mesures correctives.

Le point qui surprend souvent les entreprises étrangères est l'obligation d'enregistrement. Le règlement de 2021 impose à chaque collecteur, responsable de traitement ou sous-traitant de s'enregistrer auprès du PDPO. Cette obligation concerne aussi les organisations hors d'Ouganda qui traitent des données de citoyens ougandais. Une entreprise qui utilise l'IA sur des données de clients doit donc d'abord vérifier qu'elle figure bien au registre.

NIN et mobile money : des données au cœur de la vie quotidienne

En Ouganda, deux types de données circulent partout dans les systèmes d'information.

• Le NIN, numéro d'identification national délivré par la NIRA. Il est demandé pour ouvrir un compte bancaire, enregistrer une carte SIM ou accéder à de nombreux services publics.

• Les identifiants mobile money, souvent un simple numéro de téléphone, associés à un historique de transactions. MTN MoMo et Airtel Money font partie du quotidien de millions d'Ougandais.

• Les données financières et de santé, que la loi classe parmi les données personnelles spéciales, avec les convictions religieuses ou philosophiques, les opinions politiques et la vie sexuelle.

Un export de transactions mobile money collé dans un assistant IA pour « comprendre une anomalie » contient presque toujours plusieurs de ces éléments. C'est exactement le type de fuite silencieuse que nous décrivons dans l'anatomie d'une fuite de données par l'IA.

Ce que la loi exige quand vos équipes utilisent l'IA

Des transferts encadrés

La plupart des assistants IA grand public traitent les données hors d'Ouganda. Or la loi n'autorise le traitement ou le stockage à l'étranger que si le pays de destination offre un niveau de protection adéquat, ou si la personne concernée a donné son consentement. Le règlement interdit aussi le transfert ultérieur vers un pays tiers sans consentement. Un prompt contenant des données de clients peut donc devenir un transfert irrégulier.

La notification des violations

Lorsqu'une personne non autorisée a pu accéder à des données personnelles, l'entreprise doit prévenir le PDPO immédiatement. Le régulateur décide ensuite s'il faut informer les personnes concernées. Les entités enregistrées remettent aussi un rapport annuel sur leurs incidents.

Des sanctions qui visent aussi les dirigeants

Un tribunal peut condamner une entreprise à une amende allant jusqu'à 2 % de son chiffre d'affaires annuel brut. Certaines infractions prévoient des peines de prison pouvant atteindre dix ans.

L'IA, prochaine étape de la politique numérique ougandaise

Le ministère des TIC et de l'Orientation nationale prépare une stratégie nationale pour les technologies émergentes, dont l'IA. Annoncée pour mi-2026, elle doit comporter un chapitre sur l'éthique et la gouvernance aligné sur la loi de 2019.

Les entreprises n'ont donc pas besoin d'attendre une loi spécifique à l'IA. Les règles qui s'appliquent à leurs prompts sont déjà là. Le coût d'une adoption non maîtrisée est détaillé dans le vrai coût du Shadow AI en 2026.

Plan d'action en cinq étapes

1. Vérifier votre enregistrement auprès du PDPO, y compris pour les entités du groupe situées hors d'Ouganda.

2. Cartographier les usages de l'IA par service : banque, service client, RH, finance.

3. Lister les données interdites dans les prompts : NIN, numéros mobile money, données de santé, salaires.

4. Anonymiser à la source plutôt que bloquer. Notre article sur l'anonymisation qui préserve le format explique comment garder des réponses utiles.

5. Conserver des preuves des incidents évités pour votre rapport annuel et vos échanges avec le régulateur.

Comment ZeusLock aide les entreprises en Ouganda

ZeusLock fonctionne directement sur les postes et navigateurs de vos collaborateurs. Avant qu'un prompt ou un fichier n'atteigne ChatGPT, Copilot, Gemini ou Claude, la solution détecte les données sensibles, dont les NIN, les numéros de téléphone ougandais et les identifiants de paiement. Selon vos règles, elle les anonymise en conservant leur format, alerte l'utilisateur ou bloque l'envoi. Chaque événement est journalisé pour constituer une preuve de conformité.

En résumé

L'Ouganda dispose d'une loi de protection des données complète, d'un régulateur actif et d'une obligation d'enregistrement que beaucoup sous-estiment. L'IA générative ne change pas ces règles, elle multiplie les occasions de les enfreindre. Les entreprises qui protègent leurs prompts dès aujourd'hui pourront adopter l'IA sans crainte.

Vous voulez voir comment protéger les données de vos clients ougandais ? Demandez une démo de ZeusLock.