RDC, Code du numérique 2023 et IA : les règles sur les données personnelles

À Kinshasa, une équipe du service client d'un opérateur télécom reçoit chaque jour des centaines de réclamations liées au mobile money. Pour aller plus vite, un agent copie l'historique d'un abonné dans un assistant d'IA et demande un projet de réponse. Le numéro de téléphone, le nom et les montants des transactions partent avec.

En République démocratique du Congo, ce geste n'est plus hors de tout cadre. Depuis 2023, le Code du numérique contient un véritable régime de protection des données personnelles. Il reste en partie à mettre en oeuvre, mais ses principes s'appliquent déjà aux entreprises qui adoptent l'IA générative.

Le Code du numérique de 2023

L'ordonnance-loi n° 23/010 du 13 mars 2023 portant Code du numérique rassemble dans un même texte les règles sur les communications électroniques, la confiance numérique, la cybersécurité et la protection des données à caractère personnel. C'est la première fois que la RDC se dote d'un cadre aussi complet.

Le Code définit largement la donnée personnelle : identité, coordonnées, données professionnelles, bancaires, de facturation, familiales ou issues de décisions de justice. Plusieurs décrets d'application sont encore attendus, mais les obligations de base sont en vigueur.

Consentement et données sensibles

Le principe posé par le Code est strict. La collecte et le traitement de données personnelles exigent le consentement préalable et explicite de la personne, qui doit pouvoir être prouvé et retiré à tout moment, sauf exceptions prévues par la loi.

Certaines données sont en principe interdites de traitement : origine raciale ou ethnique, opinions politiques, convictions religieuses, santé. Des exceptions existent, par exemple avec un consentement explicite pour une finalité précise.

Le Code prévoit aussi un régime de déclaration pour les traitements, et un régime d'autorisation pour les plus sensibles, comme ceux qui portent sur les numéros d'identification nationaux, les données génétiques ou les antécédents judiciaires, ainsi que pour les transferts vers des pays tiers.

Une autorité encore en construction

Le texte prévoit une Autorité de protection des données (APD), dont la création relève d'un décret du Premier ministre. À ce jour, elle n'a pas encore été mise en place. En août 2024, un arrêté ministériel a confié ses missions à titre provisoire à l'ARPTIC, le régulateur des postes, des télécommunications et des technologies de l'information, une solution discutée par une partie des juristes.

En mars 2026, le ministère de l'Économie numérique a lancé à Kinshasa un réseau national des délégués à la protection des données, présenté comme une étape avant la création de l'autorité. Le signal est clair : l'État prépare l'application du Code, et les entreprises ont intérêt à s'organiser avant les premiers contrôles.

Trois secteurs en première ligne

Télécoms

Les opérateurs gèrent des dizaines de millions d'abonnés, avec leurs identités, leurs localisations et leurs communications. Leurs centres d'appels et équipes marketing sont souvent les premiers à tester l'IA générative pour trier les tickets ou rédiger des campagnes.

Mobile money

Le paiement mobile est devenu un service essentiel pour une grande partie de la population. Un historique de transactions révèle des revenus, des habitudes et des relations familiales. Le coller dans un chatbot revient à exposer une donnée financière sans aucune garantie.

Mines

Dans le Haut-Katanga et le Lualaba, autour de Lubumbashi et Kolwezi, les sociétés minières traitent des dossiers du personnel, des données médicales et des rapports de sécurité. Beaucoup travaillent avec des maisons mères à l'étranger, et leurs équipes utilisent l'IA pour traduire ou résumer des documents.

Ce que l'IA générative change concrètement

Un prompt contenant des données personnelles est un traitement au sens du Code. Comme la plupart des assistants d'IA sont hébergés à l'étranger, c'est aussi un transfert hors de la RDC, que le Code n'autorise que vers un pays offrant une protection équivalente ou supérieure.

Dans la pratique, ces envois se font sans consentement, sans déclaration et sans trace. Nous avons décrit ce mécanisme dans notre article sur l'anatomie d'une fuite de données vers l'IA. Le risque est d'autant plus fort que les équipes travaillent en français, en lingala ou en swahili et utilisent l'IA pour passer d'une langue à l'autre.

Se préparer avant l'arrivée de l'autorité

1. Nommer un délégué à la protection des données, même si le Code ne l'impose que de façon générale, et l'inscrire dans le nouveau réseau national.

2. Recenser les usages de l'IA dans le service client, les finances, les ressources humaines et la sécurité.

3. Fixer des règles simples : aucun numéro d'abonné, numéro de compte ou dossier médical dans un outil d'IA public.

4. Protéger à la source en anonymisant automatiquement les données sensibles avant l'envoi du prompt.

5. Conserver des preuves des incidents évités, utiles face au futur régulateur.

L'anonymisation préservant le format permet de garder un texte exploitable pour l'IA tout en remplaçant les vraies valeurs, comme l'explique notre guide sur l'anonymisation préservant le format. Pour planifier le chantier, notre plan de déploiement en 90 jours donne un cadre réaliste. Les entreprises présentes dans plusieurs pays francophones peuvent aussi comparer avec notre guide sur la loi 2008-12 au Sénégal.

À retenir

• L'ordonnance-loi 23/010 de 2023 pose un vrai régime de protection des données en RDC.

• Le consentement explicite est la règle, et les transferts à l'étranger sont encadrés.

• L'autorité de protection des données reste à créer, mais l'État prépare son arrivée.

• Télécoms, mobile money et mines sont les plus exposés face à l'IA générative.

ZeusLock repère et anonymise les données personnelles directement sur le poste, avant qu'elles n'atteignent ChatGPT, Copilot ou Gemini, et garde la trace des incidents. Demandez une démo pour préparer vos équipes au Code du numérique.