RDC, cuivre et cobalt : la traçabilité minière face à l'IA générative

À Kolwezi, une analyste conformité d'un négociant en cobalt doit rendre pour le soir un rapport de devoir de vigilance destiné à un acheteur européen. Elle a trois cents pages : audits de sites, listes de fournisseurs, photos, comptes rendus de visites. Elle colle le tout dans un assistant IA pour obtenir une synthèse. Le rapport est prêt à temps. Les noms des fournisseurs, les volumes et les constats d'audit sont désormais hors de l'entreprise.

La scène est banale, et c'est bien le problème. Plus les exigences de traçabilité augmentent, plus les équipes produisent de documents sensibles, et plus elles sont tentées de les confier à l'IA pour suivre le rythme.

La RDC au cœur des chaînes de batteries

La République démocratique du Congo est le premier producteur mondial de cobalt et l'un des grands producteurs de cuivre. L'essentiel se joue dans le Lualaba et le Haut-Katanga, autour de Kolwezi et de Lubumbashi, avant un long trajet routier vers les ports de l'océan Indien et de l'Atlantique.

Le secteur est régi par le Code minier, révisé par la loi n° 18/001 du 9 mars 2018. L'État a aussi resserré son contrôle sur le cobalt : exportations suspendues en février 2025, puis remplacées par un système de quotas fixé par l'ARECOMS, l'autorité de régulation des substances minérales stratégiques, à partir d'octobre 2025. Chaque tonne exportée laisse donc une trace administrative et commerciale précise.

Le devoir de vigilance produit beaucoup de données

Les acheteurs internationaux appliquent le guide de l'OCDE sur le devoir de diligence pour des chaînes d'approvisionnement responsables en minerais. En Europe, le règlement sur les batteries prévoit ses propres obligations de vigilance, dont l'entrée en application a été repoussée à 2027. Pour y répondre, les entreprises congolaises et leurs partenaires constituent des dossiers volumineux :

• cartographie des fournisseurs, des sites et des intermédiaires ;

• rapports d'audit, constats de non-conformité et plans d'action ;

• registres de creuseurs artisanaux, avec noms, pièces d'identité et parfois photos ;

• signalements reçus par les mécanismes de plainte ;

• tonnages, teneurs, prix, contrats d'enlèvement et documents d'exportation.

Ce que ces données valent, et pour qui

Une liste de fournisseurs avec leurs volumes et leurs prix intéresse directement un concurrent. Un constat d'audit négatif, sorti de son contexte, peut nuire à un partenaire ou à une coopérative. Un registre de creuseurs contient des données personnelles de personnes souvent vulnérables, et un signalement mal protégé peut exposer celui qui l'a fait.

Ces informations sont aussi au cœur des relations avec l'État. Quotas, déclarations et documents d'export engagent l'entreprise auprès de l'administration. Les laisser circuler dans des outils non maîtrisés, c'est prendre un risque juridique et commercial à la fois.

Le cadre congolais sur les données personnelles

Depuis l'ordonnance-loi n° 23/010 du 13 mars 2023 portant Code du numérique, la RDC dispose d'un régime complet de protection des données. Le consentement explicite est la règle, les numéros d'identification relèvent d'un régime d'autorisation et les transferts hors du pays sont encadrés. L'Autorité de protection des données prévue par le Code n'est pas encore créée, mais l'ARPTIC exerce ses missions à titre transitoire. Nous détaillons ces règles dans notre article sur le Code du numérique 2023 et l'IA.

Pour un registre de creuseurs ou un rapport de plainte envoyé à un assistant IA hébergé à l'étranger, la question n'est donc pas théorique. Les acheteurs européens, de leur côté, sont soumis au RGPD et attendent des garanties comparables, comme le rappelle notre checklist sur le règlement IA et l'article 32 du RGPD.

Où l'IA entre dans la chaîne

1. Synthèse de rapports d'audit ou de visite, souvent longs et en plusieurs langues.

2. Traduction entre le français, l'anglais, le chinois et le swahili, selon les partenaires.

3. Réponses aux questionnaires des acheteurs et des auditeurs, avec copier-coller de documents internes.

4. Analyse de tableaux de tonnages, de prix ou de quotas pour préparer une réunion.

Aucun de ces usages n'est malveillant. Ils répondent à une vraie pression : des délais serrés, des documents longs et des interlocuteurs qui parlent plusieurs langues. C'est pour cela qu'une simple interdiction échoue presque toujours : les équipes passent par leur téléphone ou un compte personnel, et l'entreprise perd toute visibilité.

Protéger sans ralentir la conformité

L'objectif n'est pas d'interdire l'IA aux équipes conformité, qui en ont besoin pour tenir les délais. Il s'agit de laisser passer le travail et de retenir les données qui ne doivent pas sortir.

• Classer les dossiers de vigilance comme confidentiels par défaut.

• Définir les outils autorisés et les données interdites : identités de creuseurs, auteurs de signalements, prix, contrats.

• Contrôler sur le poste, au moment du prompt, et anonymiser les noms, numéros et montants en gardant leur format, comme l'explique notre guide sur l'anonymisation qui préserve le format.

• Journaliser les incidents évités, utiles face à un auditeur, un acheteur ou une autorité.

Pour organiser ce chantier, notre plan de déploiement en 90 jours propose un calendrier réaliste.

L'essentiel

• La traçabilité du cuivre et du cobalt congolais produit des données très sensibles.

• Ces dossiers sont souvent confiés à l'IA pour gagner du temps.

• Le Code du numérique 2023 et les exigences des acheteurs s'appliquent ensemble.

• Un contrôle sur le poste permet d'utiliser l'IA sans exposer fournisseurs, creuseurs ni contrats.

ZeusLock détecte et anonymise les données sensibles directement sur le poste, avant leur envoi à ChatGPT, Copilot ou Gemini, et garde la trace des incidents. Demandez une démo pour protéger vos données de traçabilité minière.