Tanzanie : loi de 2022 sur les données, PDPC et IA en entreprise

À Dar es Salaam comme à Arusha, les assistants IA font désormais partie des outils de travail. Un transitaire du port fait traduire un échange avec un client chinois, une agence de safari prépare ses devis avec ChatGPT, une équipe de crédit d'une banque résume des dossiers clients avec Copilot. Le gain est concret, surtout dans un pays où l'on travaille entre le swahili et l'anglais.

Mais chacun de ces usages fait sortir des données de l'entreprise. Depuis l'entrée en vigueur de la Personal Data Protection Act de 2022, la Tanzanie dispose d'un cadre clair pour encadrer ces flux, avec une autorité dédiée et des obligations précises. Voici ce que les entreprises doivent savoir.

La loi de 2022 et la Commission de protection des données

Adoptée par le Parlement le 1er novembre 2022, la Personal Data Protection Act (loi n° 11 de 2022) est entrée en vigueur le 1er mai 2023. Elle crée la Personal Data Protection Commission, la PDPC, chargée de veiller à son application. Deux règlements de 2023 la complètent : l'un porte sur la collecte et le traitement des données, l'autre sur le traitement des plaintes.

La loi s'applique aux organisations publiques comme privées. Elle définit aussi une liste large de données personnelles sensibles : données génétiques et biométriques, données relatives aux enfants, informations sur les transactions financières, données de santé, appartenance ethnique ou tribale, opinions politiques, convictions religieuses ou philosophiques, affiliation syndicale.

L'enregistrement obligatoire auprès de la PDPC

C'est l'obligation la plus visible du texte. Toute personne qui entend collecter ou traiter des données personnelles en Tanzanie doit être enregistrée auprès de la Commission. Le certificat est valable cinq ans, et son renouvellement doit être demandé trois mois avant l'échéance. La PDPC a repoussé plusieurs fois la date limite d'enregistrement, avant de fixer une échéance finale au 30 avril 2025.

Pour une entreprise qui déploie l'IA, l'enregistrement n'est pas un détail administratif. Il décrit les traitements effectués. Si vos équipes utilisent des assistants IA sur des données de clients ou de salariés, ces usages doivent être cohérents avec ce que vous avez déclaré.

Les sanctions ne sont pas symboliques. Pour une personne morale, la divulgation de données sans consentement peut entraîner une amende allant jusqu'à 5 milliards de shillings tanzaniens. Les dirigeants qui ont autorisé ou laissé commettre l'infraction peuvent aussi être poursuivis personnellement.

Transferts hors de Tanzanie : le vrai sujet de l'IA

La quasi-totalité des assistants IA grand public traitent les données sur des serveurs situés hors de Tanzanie. Chaque prompt qui contient des données personnelles devient donc, en pratique, un transfert international.

La loi n'interdit pas ces transferts, mais elle les encadre. Ils sont possibles lorsque le pays de destination offre une protection adéquate ou que des garanties appropriées sont en place. La Commission peut aussi restreindre les transferts vers certains pays, et tout transfert contraire à la loi est interdit. Des formalités supplémentaires peuvent s'appliquer auprès de la Commission : il faut les vérifier avant d'ouvrir un outil d'IA externe à des données réelles.

Bloquer l'accès réseau aux outils d'IA ne règle pas la question, comme nous l'expliquons dans pourquoi la DLP réseau échoue face à ChatGPT.

IA et décisions automatisées : ce que prévoit déjà la loi

La Tanzanie n'a pas encore de loi spécifique sur l'IA. En septembre 2025, le ministère de la Communication et des Technologies de l'information a indiqué finaliser une ligne directrice nationale pour un usage responsable de l'IA. Mais la loi de 2022 contient déjà une règle très concrète : toute personne a le droit de ne pas faire l'objet d'une décision fondée uniquement sur un traitement automatisé.

Pour une banque qui teste l'IA dans l'octroi de crédit, ou un service RH qui trie des candidatures, ce droit impose de garder une intervention humaine réelle. Il impose aussi de savoir quelles données ont été utilisées par l'outil.

La loi reconnaît également le droit d'être informé de la collecte et de sa finalité, d'accéder à ses données et de les faire rectifier. L'entreprise doit pouvoir répondre clairement à ces demandes, y compris lorsqu'un outil d'IA est intervenu.

Les situations à risque dans les entreprises tanzaniennes

• Banque et mobile money : un relevé de transactions copié dans un assistant pour expliquer un litige.

• Logistique et port : des manifestes et listes de destinataires avec noms, téléphones et numéros d'identité.

• Tourisme : des copies de passeports et des informations médicales de voyageurs envoyées pour rédiger des itinéraires.

• Santé : des comptes rendus de patients résumés par une IA dans une clinique privée.

• Ressources humaines : des CV et numéros d'identité nationale NIDA comparés en masse.

Le coût de ces usages invisibles est détaillé dans le vrai coût du Shadow AI en 2026.

Plan d'action pour se mettre en conformité

1. Confirmer votre certificat PDPC et vérifier que les usages de l'IA correspondent aux traitements déclarés.

2. Recenser les outils d'IA utilisés, par service et par type de données.

3. Documenter vos transferts hors de Tanzanie et les garanties qui les encadrent.

4. Garder un humain dans la boucle pour toute décision qui touche un client ou un salarié.

5. Filtrer les données à la source, avant qu'elles ne quittent le poste de travail.

Pour structurer le déploiement, appuyez-vous sur notre guide de déploiement en 90 jours.

En résumé

La Tanzanie a fait le choix d'une loi moderne, avec un enregistrement obligatoire, un encadrement strict des transferts et un droit explicite face aux décisions automatisées. ZeusLock aide les entreprises à respecter ces règles sans renoncer à l'IA : installé sur les postes et navigateurs, il détecte les données sensibles dans les prompts et fichiers, les anonymise en conservant leur format, alerte ou bloque, puis journalise chaque événement comme preuve de conformité.

Vous voulez voir comment cela fonctionne pour vos équipes en Tanzanie ? Demandez une démo de ZeusLock.