ONG en Ouganda : protéger les données des bénéficiaires face à l'IA

Dans un bureau de terrain à Arua ou à Kyangwali, une chargée de protection doit rédiger son rapport hebdomadaire avant le soir. Elle colle ses notes d'entretien dans ChatGPT pour obtenir une synthèse propre. Dans ces notes figurent des noms, des numéros d'enregistrement, une adresse dans le camp et le récit d'une violence subie. La synthèse arrive en dix secondes. Les données, elles, sont parties sur un serveur à l'étranger.

Ce scénario n'a rien d'exceptionnel. Les ONG et les agences humanitaires en Ouganda travaillent sous pression, avec des équipes réduites, et l'IA générative les aide vraiment. Mais elles manipulent aussi certaines des données les plus sensibles qui existent : celles de personnes qui ont fui leur pays. La loi ougandaise s'applique à ces données, et le PDPO a déjà rappelé aux ONG qu'elles n'étaient pas exemptées.

L'Ouganda, premier pays d'accueil de réfugiés en Afrique

Selon le HCR, l'Ouganda accueillait environ 1,93 million de réfugiés à l'été 2025, plus que tout autre pays africain. Plus d'un million d'entre eux ont moins de 18 ans. Les arrivées viennent surtout du Soudan du Sud, de la République démocratique du Congo et du Soudan.

Autour de cette population s'est construit un écosystème dense : agences des Nations unies, grandes ONG internationales, associations locales, partenaires de mise en œuvre, prestataires de transferts monétaires. Chacun collecte, partage et analyse des données de bénéficiaires, souvent dans des tableurs qui passent de main en main.

Les ONG ne sont pas exemptées de la loi de 2019

La Data Protection and Privacy Act de 2019 s'applique à toute organisation qui collecte ou traite des données personnelles en Ouganda. Le statut associatif ou humanitaire ne change rien. En octobre 2022, le National Bureau for Non-Governmental Organisations a d'ailleurs publié une circulaire demandant aux ONG de s'enregistrer auprès du Personal Data Protection Office, le PDPO, rattaché à la NITA-U.

Le dossier d'enregistrement demande notamment :

• la nature et les catégories de données personnelles traitées ;

• les coordonnées du délégué à la protection des données ;

• les transferts de données hors d'Ouganda ;

• les mesures de sécurité mises en place.

Les deux derniers points concernent directement l'IA. Un assistant grand public hébergé hors du pays est un transfert. Et une organisation qui ne sait pas ce que ses équipes envoient à ces outils aura du mal à décrire ses mesures de sécurité. Nous avons détaillé le cadre général, l'enregistrement et les sanctions dans notre guide de conformité PDPO.

Des données de bénéficiaires particulièrement exposées

Dans le travail humanitaire, une fuite ne se mesure pas seulement en amendes. Une liste de bénéficiaires avec leur origine, leur appartenance ethnique ou leur affiliation politique supposée peut mettre des vies en danger, en Ouganda comme dans le pays d'origine. La loi de 2019 classe d'ailleurs les opinions politiques, les convictions religieuses, la santé et la vie sexuelle parmi les données personnelles spéciales.

Les situations à risque reviennent souvent :

• des notes de gestion de cas sur des violences basées sur le genre, reformulées par un chatbot ;

• des listes de distribution ou de transferts monétaires avec numéros de téléphone et montants, analysées dans un assistant IA ;

• des données de santé issues de cliniques mobiles, résumées pour un rapport bailleur ;

• des propositions de financement rédigées à partir de vraies études de cas, avec des noms non retirés.

Pourquoi l'IA s'est installée sans règles dans les ONG

Les budgets humanitaires ont été fortement réduits en 2025, et le HCR a alerté sur les coupes dans les services en Ouganda. Moins de personnel, plus de rapports à produire, des bailleurs exigeants : l'IA gratuite devient un réflexe. Elle s'installe rarement par une décision de la direction. Elle arrive par un collègue qui montre l'outil à un autre.

Le résultat est un usage invisible, ce que l'on appelle le Shadow AI. Ses coûts réels sont détaillés dans le vrai coût du Shadow AI en 2026. Dans une ONG, le risque est aggravé par la rotation du personnel, les volontaires et les ordinateurs partagés.

Former les équipes ne suffit pas

La plupart des organisations humanitaires ont déjà des formations sur la protection des données et le principe « ne pas nuire ». Le Manuel sur la protection des données dans l'action humanitaire du CICR est une référence dans le secteur. Ces documents restent indispensables, mais ils ne sont pas consultés au moment où une employée fatiguée colle un tableau dans un chatbot à 22 heures. Nous expliquons pourquoi dans pourquoi la formation à la sécurité IA ne fonctionne pas.

Ce qui marche mieux

1. Autoriser des outils précis plutôt que tout interdire, pour éviter les contournements.

2. Définir les données à ne jamais envoyer : numéros d'enregistrement, téléphones, données de santé, notes de cas.

3. Remplacer automatiquement ces données par des valeurs fictives au même format avant l'envoi, comme le décrit notre article sur l'anonymisation qui préserve le format.

4. Garder une trace des incidents évités, utile pour le PDPO comme pour les audits des bailleurs.

Comment ZeusLock aide les organisations humanitaires

ZeusLock s'installe sur les postes et navigateurs des équipes, au siège de Kampala comme dans les bureaux de terrain. Avant qu'un prompt ou un fichier ne parte vers ChatGPT, Copilot, Gemini ou Claude, il repère les données sensibles : noms, numéros de téléphone ougandais, NIN, identifiants de bénéficiaires, termes liés à la santé. Selon vos règles, il les anonymise, avertit l'utilisateur ou bloque l'envoi. Chaque événement est journalisé, ce qui vous donne des preuves concrètes à présenter au régulateur ou à vos bailleurs.

En résumé

Les ONG en Ouganda gèrent des données de personnes vulnérables, à grande échelle, avec des moyens qui diminuent. La loi de 2019 s'applique pleinement à elles, transferts à l'étranger compris. L'IA peut alléger leur charge de travail, à condition que les données des bénéficiaires restent là où elles doivent rester.

Vous travaillez pour une ONG ou une agence humanitaire en Ouganda ? Demandez une démo de ZeusLock et voyez comment protéger vos données de bénéficiaires.