Tunisie, loi 2004-63 et IA : le défi des développeurs offshore

À Tunis, Sousse ou Sfax, de nombreux développeurs travaillent chaque jour sur le code de banques, d'assureurs ou d'éditeurs européens. Depuis deux ans, leur poste a changé : un assistant de code IA complète les fonctions, un agent en ligne de commande lance les tests, un chatbot explique une erreur de production. Les gains de productivité sont réels, et les clients les attendent.

Mais un dépôt de code contient bien plus que du code. On y trouve des clés d'API, des chaînes de connexion, des jeux de données de test copiés de la production. Quand ces éléments partent vers un modèle d'IA, ils quittent le périmètre prévu par le contrat. En Tunisie, cette question se pose à la croisée de deux textes : la loi organique n° 2004-63 et le RGPD des clients européens.

Un modèle offshore bâti sur la confiance

La Tunisie s'est imposée comme une destination de nearshore pour l'Europe francophone. Beaucoup d'entreprises françaises y ont des équipes ou des filiales, souvent dans le développement logiciel, la maintenance applicative, les tests ou la cybersécurité. La proximité horaire, la langue et la qualité des ingénieurs formés localement font la force du pays. Pour une ESN, perdre la confiance d'un grand compte après un incident coûte bien plus cher que n'importe quel outil.

Ce modèle repose sur une promesse : les données du client restent maîtrisées. Or les outils d'IA de développement se sont installés plus vite que les politiques de sécurité. Un développeur peut connecter un agent à un dépôt entier en quelques minutes, sans que le responsable de la sécurité du client ne le sache.

Ce que dit la loi organique 2004-63

La Tunisie s'est dotée très tôt d'une loi sur les données personnelles. La loi organique n° 2004-63 du 27 juillet 2004 confie le contrôle à l'Instance nationale de protection des données personnelles (INPDP). Pour une entreprise, plusieurs obligations sont directement concernées par l'IA :

• la déclaration préalable de tout traitement de données personnelles auprès de l'INPDP ;

• l'autorisation pour certaines données sensibles, comme les données de santé ;

• l'interdiction de communiquer des données à des tiers sans consentement ;

• le transfert vers l'étranger, soumis à l'autorisation de l'Instance et interdit s'il peut porter atteinte à la sécurité publique.

Les sanctions ne sont pas théoriques. La loi prévoit des peines d'emprisonnement et des amendes, et la presse tunisienne a rapporté qu'en juillet 2023, l'Instance avait transmis une trentaine de dossiers au parquet pour défaut de déclaration.

Une réforme en discussion au Parlement

La loi de 2004 montre ses limites, notamment face à l'IA. Une proposition de loi organique de 132 articles est en cours d'examen à l'Assemblée des représentants du peuple. Le 17 février 2026, la commission des droits et des libertés a auditionné ses auteurs. Le texte prévoit l'encadrement de l'usage de l'IA, le droit de ne pas faire l'objet d'une décision entièrement automatisée, des analyses d'impact pour les traitements à risque, un délégué à la protection des données et des sanctions financières plus dissuasives.

Le texte n'est pas encore adopté, et son contenu peut évoluer. Mais la direction est claire : les entreprises qui documentent dès maintenant leurs usages de l'IA prendront de l'avance. Rappelons aussi que la Tunisie a adhéré en 2017 à la Convention 108 du Conseil de l'Europe sur la protection des données.

Le RGPD s'invite par les contrats

La Tunisie ne bénéficie pas d'une décision d'adéquation de la Commission européenne. Les clients européens encadrent donc leurs prestataires tunisiens par des clauses contractuelles types et des accords de sous-traitance. Ces contrats listent les outils et sous-traitants autorisés. Un assistant IA non validé, branché sur un dépôt contenant des données personnelles, crée un écart que l'auditeur du client trouvera tôt ou tard. Notre checklist RGPD article 32 et règlement IA résume ce que ces audits vérifient.

Où fuient les données dans une équipe de développement

Les risques sont propres au métier. Les plus fréquents :

1. un fichier de configuration avec des clés d'API ou des mots de passe lu par un agent en ligne de commande ;

2. un extrait de base de production, avec noms et numéros de compte, collé pour déboguer une requête ;

3. des logs applicatifs contenant des adresses e-mail envoyés à un chatbot pour analyser une erreur ;

4. un serveur MCP qui donne à l'agent un accès large aux outils internes du client.

Nous avons détaillé ces scénarios dans les agents IA en ligne de commande et la fuite de secrets et dans pourquoi le MCP a besoin de sa propre couche DLP. Les outils réseau classiques ne voient pas ces flux, comme l'explique notre article sur l'échec du DLP réseau face à ChatGPT.

Ce que les ESN tunisiennes peuvent faire

• dresser la liste des assistants et agents IA réellement utilisés par projet ;

• aligner ces usages avec chaque client et les inscrire dans les contrats ;

• déclarer à l'INPDP les traitements concernés et vérifier le régime applicable aux transferts ;

• détecter et masquer les secrets et données personnelles avant qu'ils ne partent vers un modèle ;

• garder un journal des incidents, utile pour les clients comme pour l'Instance.

Ces mesures ne ralentissent pas les équipes. Elles permettent de répondre sereinement aux questionnaires de sécurité des clients, de plus en plus précis sur l'IA, et de faire de la conformité un argument commercial face aux autres destinations offshore.

En résumé

Le secteur offshore tunisien vit de la confiance de ses clients. La loi 2004-63 et l'INPDP encadrent déjà les traitements et les transferts, une réforme plus exigeante est en discussion, et le RGPD s'applique par les contrats. Les assistants de code IA sont là pour rester : il faut simplement qu'ils ne voient que ce qu'ils doivent voir.

ZeusLock détecte et anonymise les secrets et données personnelles dans les prompts, les fichiers et les outils IA, directement sur le poste du développeur, et garde la trace de chaque incident. Demandez une démo pour protéger vos équipes de développement.