Loi 2019-014 au Togo et IA : ce que l'IPDCP attend des entreprises

Le Togo s'est forgé en quelques années une réputation sérieuse en cybersécurité. Une loi dédiée depuis 2018, une agence nationale, un centre de réponse aux incidents. Depuis mars 2025, le pays a aussi une autorité de protection des données en activité : l'IPDCP.

Pour les entreprises de Lomé et d'ailleurs, cela change la donne. La loi n° 2019-014 n'est plus un texte qui attend son régulateur. Et la question de l'intelligence artificielle se pose désormais très concrètement : que peut-on envoyer à ChatGPT, Copilot ou Gemini sans enfreindre la loi ?

La loi n° 2019-014 en bref

La loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel fixe les règles de base. Elle ne cite pas l'IA, mais elle s'applique dès qu'une information permet d'identifier une personne.

• Déclaration préalable. Les traitements doivent être déclarés à l'avance à l'IPDCP, qui délivre un récépissé dans un délai d'un mois au plus.

• Autorisation pour les données sensibles. Les données génétiques, de santé, biométriques et celles relatives aux infractions exigent une autorisation préalable.

• Principes classiques. Finalité déterminée, pertinence, durée de conservation limitée, exactitude et transparence.

• Sécurité. Le responsable du traitement doit garantir la confidentialité et la sécurité des données.

• Droits des personnes. Information, accès, opposition, rectification et effacement.

L'IPDCP : une autorité désormais opérationnelle

L'Instance de protection des données à caractère personnel (IPDCP), autorité administrative indépendante créée par la loi de 2019, a officiellement lancé ses activités le 28 mars 2025 à Lomé. Sa première priorité est la sensibilisation des médias, des administrations, des entreprises et du grand public. Les sanctions viendront ensuite.

Son plan d'action prévoit notamment une académie numérique, un réseau de points focaux, des baromètres sectoriels, des indicateurs de maturité et une certification des organismes les plus avancés. Autrement dit, l'IPDCP va mesurer qui est en règle.

Pour les entreprises, cette certification annoncée est aussi une opportunité. Dans les appels d'offres publics comme face aux partenaires étrangers, pouvoir montrer que l'on maîtrise ses données devient un argument commercial. Mieux vaut s'y préparer tôt, d'autant que l'IA générative multiplie les flux de données difficiles à suivre.

La loi lui donne de vrais pouvoirs : contrôles sur pièces et sur place, retrait provisoire puis définitif d'une autorisation, amendes administratives pouvant aller jusqu'à 100 millions de francs CFA. Certaines infractions, comme le défaut de formalités préalables, sont aussi passibles de sanctions pénales.

Un pays qui a misé sur la cybersécurité

Le cadre de protection des données s'inscrit dans un ensemble plus large :

• la loi n° 2018-026 sur la cybersécurité et la lutte contre la cybercriminalité ;

• l'Agence nationale de la cybersécurité (ANCy), créée en 2019, chargée de définir et d'appliquer la politique nationale ;

• le CERT.tg, centre national de réponse aux incidents ;

• Cyber Defense Africa, coentreprise créée en 2019 avec le groupe polonais Asseco Data Systems.

Le Togo n'est pas non plus étranger à l'usage des données à grande échelle. Pendant la pandémie de Covid-19, le programme de transferts monétaires Novissi a utilisé des données de téléphonie mobile et des images satellites pour cibler les ménages. La culture de la donnée existe. Celle de sa protection doit suivre le même rythme.

Ce que la loi change pour l'usage de l'IA

Chaque usage d'IA avec des données personnelles est un traitement

Quand un conseiller d'un centre d'appels colle l'historique d'un abonné dans un chatbot, il effectue un traitement. Celui-ci doit avoir une finalité claire et entrer dans le périmètre déclaré à l'IPDCP.

Les données sensibles demandent une vigilance maximale

Un compte rendu médical, une donnée biométrique ou un casier judiciaire ne devraient jamais partir vers un assistant IA grand public. Leur traitement est soumis à autorisation, et le simple fait de les transmettre peut poser problème.

La sécurité n'est pas déléguée à l'éditeur de l'IA

Le responsable du traitement reste l'entreprise. Si un salarié expose des données via un outil externe, c'est elle qui devra s'expliquer. Nous détaillons ce scénario dans l'anatomie d'une fuite de données par l'IA.

Les agents IA élargissent la surface de risque

Les assistants connectés aux messageries, aux bases clients ou aux outils internes peuvent être détournés par des instructions cachées. Voir notre analyse des schémas d'attaque par prompt injection.

Se préparer avant les premiers contrôles

Cinq étapes suffisent pour traiter l'essentiel des risques :

1. Recenser les outils d'IA utilisés et les données qui y transitent.

2. Mettre à jour les déclarations auprès de l'IPDCP pour couvrir ces usages.

3. Interdire l'envoi de données sensibles vers des outils externes, et le contrôler techniquement.

4. Anonymiser automatiquement les données personnelles avant tout envoi.

5. Conserver un journal des incidents évités, utile lors d'un contrôle ou d'une démarche de certification.

Pour replacer le Togo dans son contexte régional, lisez notre article sur l'IA générative et la protection des données en Afrique de l'Ouest.

Le rôle de ZeusLock

ZeusLock agit sur les postes et navigateurs des salariés. Il détecte en temps réel les données personnelles et sensibles dans les prompts et les fichiers envoyés aux assistants IA, puis les anonymise en conservant leur format, avertit l'utilisateur ou bloque l'envoi selon vos règles. Chaque événement est journalisé : vous disposez ainsi de preuves concrètes à présenter à l'IPDCP.

En résumé

Avec une loi de 2019, une autorité active depuis 2025 et un écosystème cyber structuré, le Togo entre dans une phase d'application. L'IPDCP commence par la pédagogie, mais elle mesurera bientôt la maturité des organisations. Les entreprises qui encadrent dès maintenant leur usage de l'IA seront en position de force.

Vous voulez mesurer l'exposition de vos équipes ? Demandez une démo de ZeusLock.