IA au Sénégal : protéger les données personnelles en PME

Un assistant IA peut aider vos équipes à répondre aux demandes, retrouver une procédure ou préparer un document. Mais dès qu’il consulte une conversation client, un dossier salarié ou une pièce justificative, la protection des données personnelles devient un sujet de direction. Elle ne se limite pas au choix d’une solution informatique.

Au Sénégal, Seneweb rappelle que la loi n° 2008-12 encadre l’utilisation des données personnelles. Son analyse souligne un point essentiel : posséder un fichier client ne donne pas une liberté totale sur son utilisation. Confier ce fichier à un assistant IA demande donc de vérifier ce que vous pouvez en faire.

Pour une PME, une banque ou une assurance à Dakar, la bonne approche consiste à cadrer l’usage avant de connecter les données. Voici les questions à traiter avec vos équipes métier, informatique et conformité. Ces repères ne remplacent pas un avis juridique adapté à votre activité.

Comprendre ce que votre assistant IA va traiter

Repérer les données derrière chaque tâche

Une donnée personnelle permet d’identifier une personne, directement ou indirectement. Le nom et le numéro de téléphone sont des exemples évidents. Une voix, une image ou des informations croisées dans un dossier peuvent également permettre cette identification.

Commencez par décrire la tâche attendue. Votre assistant doit-il expliquer une procédure publique, résumer une réclamation ou consulter un dossier individuel ? Ces usages ne présentent pas les mêmes risques. Un service qui répond sur vos horaires n’a pas besoin des pièces justificatives de vos clients.

Dressez ensuite la liste des informations accessibles :

• Les messages reçus et leurs pièces jointes.
• Les documents que l’assistant peut consulter.
• Les réponses produites et enregistrées.
• Les traces techniques qui conservent des échanges.
• Les informations accessibles aux personnes chargées du support.

Incluez les données des prospects, des salariés et des partenaires. La réflexion ne doit pas s’arrêter au fichier commercial. Pour clarifier les capacités envisagées, consultez notre guide sur le rôle d’un agent IA en entreprise.

Définir un objectif précis et limité

Écrivez l’objectif dans une phrase simple. Par exemple : aider un conseiller à retrouver une procédure validée. Cette formulation permet de décider quels documents sont utiles et lesquels doivent rester hors du périmètre.

Évitez les objectifs vagues comme améliorer tous les services. Ils rendent difficile le contrôle des accès et des usages. Si vous souhaitez ensuite analyser les conversations pour une autre raison, faites réexaminer cette nouvelle utilisation avant de l’activer.

Clarifier les obligations et les démarches auprès de la CDP

Ne pas réduire la conformité au consentement

La présentation de Seneweb distingue plusieurs fondements possibles selon la nature et l’objectif du traitement. Le consentement n’est donc pas une réponse universelle. À l’inverse, une relation commerciale ne justifie pas automatiquement tous les usages possibles des informations collectées.

Demandez à votre responsable conformité ou à votre conseil juridique de déterminer le fondement applicable à chaque usage. Faites aussi vérifier les obligations propres à votre secteur, notamment pour les établissements financiers et les assurances.

Préparez une information compréhensible pour les personnes concernées. Selon les éléments rappelés par Seneweb, elle doit notamment couvrir l’identité du responsable, l’objectif poursuivi, les catégories de données, leurs destinataires, leur durée de conservation et les éventuels transferts à l’étranger.

En pratique, évitez une mention générale enfouie dans des conditions difficiles à lire. Prévoyez une explication accessible au moment pertinent, ainsi qu’un contact capable de traiter les demandes. Organisez l’accès aux données et leur correction, ainsi que l’opposition ou la suppression lorsque les conditions légales le permettent.

Vérifier la formalité adaptée avant la mise en service

Le site officiel de la Commission de Protection des Données Personnelles propose des entrées dédiées aux obligations des organismes, aux déclarations et aux autorisations. C’est un point de départ pour identifier les démarches à examiner avec votre conseil.

Seneweb rappelle que certains traitements peuvent relever d’une déclaration, tandis que d’autres nécessitent une autorisation préalable. Les données de santé, la biométrie, certaines mises en relation de fichiers et certains transferts internationaux demandent une attention particulière.

Ne partez pas du principe qu’une démarche ancienne couvre automatiquement votre nouvel assistant. Faites vérifier si son objectif, ses destinataires et ses accès restent dans le périmètre déjà examiné. La formalité applicable doit être confirmée pour votre situation, et non déduite du seul fait que le service utilise de l’IA.

Maîtriser les accès, la conservation et les transferts

Donner uniquement les accès nécessaires

Un assistant destiné au service commercial ne devrait pas pouvoir parcourir librement les dossiers du personnel. Séparez les espaces documentaires et limitez les droits selon les tâches. Désignez une personne chargée de valider toute extension du périmètre.

Pour les premiers essais, privilégiez des documents publics ou des données fictives sans lien avec des personnes réelles. Retirer uniquement les noms ne suffit pas toujours : une fonction rare, une adresse ou le récit détaillé d’un événement peuvent permettre de reconnaître quelqu’un.

La rubrique consacrée à l’intelligence artificielle de la CNIL présente notamment des ressources sur l’anonymisation et la sensibilisation à la vie privée. Elles peuvent nourrir votre réflexion pratique. Elles ne remplacent toutefois ni le droit sénégalais ni les indications de la CDP.

Prévoyez aussi une validation humaine pour les réponses sensibles. Dans une banque ou une assurance, recommandez que l’assistant prépare une réponse sans décider seul d’une issue défavorable pour le client. Cette limite doit être concrète dans les droits accordés, pas seulement écrite dans une consigne.

Savoir où circulent les informations

Un assistant utilisé depuis Dakar peut faire intervenir des systèmes situés ailleurs. L’emplacement visible du service ne suffit donc pas à connaître le parcours réel des données.

Avant tout engagement, demandez des réponses écrites sur les points suivants :

• Les pays où les données sont traitées et conservées.
• Les organismes qui peuvent y accéder.
• L’usage éventuel des échanges pour améliorer le service.
• Les conditions de conservation, de restitution et de suppression.
• Les engagements de confidentialité et de sécurité.
• La procédure prévue en cas d’incident.

Seneweb souligne que certains transferts vers des pays tiers relèvent d’une procédure d’autorisation. Faites examiner les flux réels, y compris les accès de maintenance à distance. Si votre activité couvre l’Afrique de l’Ouest, ne supposez pas qu’une démarche au Sénégal règle les obligations dans chaque pays concerné.

Définissez enfin une durée de conservation justifiée par l’usage. Vérifiez ce qu’il advient des copies, des sauvegardes et des échanges enregistrés lorsque cette durée prend fin.

Préparer vos équipes aux erreurs et aux usages frauduleux

Protéger aussi la voix et l’image

La sécurité ne concerne pas uniquement les fichiers transmis à votre assistant. Dans son article sur les escroqueries par IA au Sénégal, Le Quotidien relaie l’alerte de la CDP sur l’imitation de voix et d’images. Le journal rapporte notamment la recommandation de rappeler une personne par ses coordonnées habituelles lorsqu’une demande semble suspecte.

Pour un dirigeant, la conséquence pratique est claire : une voix familière ne doit pas suffire à autoriser la transmission d’un dossier confidentiel. Intégrez une vérification par un canal connu pour les demandes inhabituelles. L’urgence invoquée doit renforcer la vigilance, pas contourner les contrôles.

Cette précaution vaut aussi pour les documents reçus. Demandez aux équipes de vérifier l’expéditeur et le besoin réel avant de transmettre des informations personnelles, même si le message paraît crédible.

Écrire une règle d’usage facile à appliquer

Préparez une charte courte, reliée aux tâches quotidiennes. Elle doit expliquer quels documents peuvent être utilisés, lesquels sont exclus et quand solliciter un responsable. Précisez également comment signaler une réponse erronée ou une information affichée au mauvais destinataire.

Organisez un exercice avant l’ouverture du service. Testez une demande de dossier sans autorisation, une question contenant des informations médicales et une tentative d’obtenir des données sur un autre client. L’objectif est de vérifier les protections, pas seulement la qualité des réponses.

Préparez enfin une procédure d’incident : suspendre les accès concernés, conserver les éléments utiles, identifier les données touchées et faire évaluer les suites nécessaires par les responsables compétents. Les démarches éventuelles auprès de l’autorité ou des personnes doivent être appréciées selon les obligations applicables.

Conclusion : avancer avec un périmètre maîtrisé

Décider sur des éléments vérifiables

Vous n’avez pas besoin de connecter tous vos dossiers pour commencer. Choisissez un usage limité, utile aux équipes et compatible avec les protections disponibles. Notre guide pour démarrer un agent IA dans une PME au Sénégal vous aide à structurer cette réflexion.

Avant la mise en service, rassemblez une fiche de décision : objectif, données nécessaires, accès autorisés, formalités examinées, conservation, transferts et responsable du suivi. Si une question importante reste sans réponse, réduisez le périmètre ou reportez la connexion des données concernées.

Core Agence accompagne les entreprises à Dakar dans le cadrage et la mise en place d’assistants IA. Vous pouvez consulter nos réalisations, puis réserver votre diagnostic gratuit pour examiner votre besoin et les précautions à prévoir. Ce cadrage opérationnel complète le travail de votre responsable conformité ou de votre conseil juridique, sans s’y substituer.