L'objection revient à chaque réunion : « il n'y a pas encore de loi sur l'IA chez nous ». C'est exact, au Sénégal comme au Gabon, et c'est sans portée. Le droit n'a pas attendu un texte spécial pour saisir l'usage que fait une entreprise d'un outil automatisé. Il le saisit par les règles qui existent déjà.
1. Les données personnelles : deux lois, la même logique
Les deux pays se sont dotés très tôt d'une loi sur les données personnelles : le Sénégal avec la loi n° 2008-12 du 25 janvier 2008, l'une des plus anciennes du continent, et le Gabon avec la loi n° 001/2011. Chacune a son autorité de contrôle, la Commission de protection des données personnelles à Dakar, la Commission nationale pour la protection des données à caractère personnel à Libreville. Aucune des deux ne mentionne l'intelligence artificielle, et aucune n'a besoin de le faire : elles s'appliquent à tout traitement.
Les articles cités ci-dessous sont ceux de la loi sénégalaise. La loi gabonaise suit la même architecture, formalités préalables auprès de l'autorité et encadrement des transferts hors du pays, ses articles 94 et 95 soumettant le transfert vers un pays tiers à l'autorisation de la CNPDCP.
Les formalités préalables. Le principe est la déclaration auprès de la Commission de protection des données personnelles (article 18). L'autorisation préalable est exigée pour les catégories les plus sensibles visées à l'article 20, parmi lesquelles les données biométriques, les données génétiques, les données relatives aux infractions, l'interconnexion de fichiers et l'usage du numéro d'identification national.
Le transfert hors du Sénégal. C'est le point que presque personne n'anticipe. L'article 49 pose que le responsable d'un traitement ne peut transférer des données à caractère personnel vers un pays tiers que si cet État assure un niveau de protection suffisant. L'article 51 permet à la Commission d'autoriser un transfert lorsque des garanties suffisantes sont offertes, et l'article 50 ménage des exceptions étroites, notamment le transfert ponctuel et non massif avec consentement exprès, ou l'exécution d'un contrat.
Le Gabon retient la même exigence d'autorisation préalable pour un transfert vers un pays tiers. Or déposer un dossier client, un fichier de paie ou un lot de curriculum vitae dans un service d'intelligence artificielle hébergé à l'étranger est un transfert, dans un pays comme dans l'autre. La qualification ne dépend pas de l'intention, ni du fait que l'opération prenne trois secondes dans un navigateur.
2. Le secret et la confidentialité contractuelle
Une clause de confidentialité vous interdit de communiquer l'information à un tiers. Un fournisseur d'intelligence artificielle est un tiers. Le simple fait de coller un contrat en cours de négociation dans un outil grand public peut donc constituer, à lui seul, un manquement contractuel, indépendamment de toute question de données personnelles et sans qu'aucune fuite n'ait eu lieu.
Le réflexe à installer est inverse de l'intuition : la question n'est pas « l'outil est il fiable », mais « ai je le droit de sortir cette information de l'entreprise ».
3. La propriété intellectuelle : qui est l'auteur d'un texte produit par une machine
Au Sénégal, la loi n° 2008-09 du 25 janvier 2008 sur le droit d'auteur et les droits voisins fait naître le droit du seul fait de la création, et désigne comme auteur la personne physique qui a créé l'œuvre (article 12). Le Gabon, membre de l'OAPI comme le Sénégal, applique la même logique d'un auteur personne physique : sur ce point les deux droits ne s'écartent pas.
Deux conséquences pratiques, symétriques et également désagréables. Une production purement machinale s'accommode mal de cette définition : vous ne pouvez pas tenir pour acquis que vous en détenez les droits, ni les céder à un client avec la même assurance que pour un texte rédigé par vos équipes. Et à l'inverse, rien ne garantit qu'une production restituée par un modèle ne reprenne pas une œuvre protégée appartenant à un tiers.
D'où deux clauses à négocier dans tout contrat d'intégration : la titularité des productions, et la garantie d'éviction du fournisseur.
4. La responsabilité : la machine n'est pas un moyen de défense
Aucun texte sénégalais ne permet à une entreprise de s'exonérer en invoquant l'outil qu'elle a choisi d'utiliser. Une clause contractuelle erronée, un calcul d'indemnité faux, une décision de recrutement discriminatoire : l'engagement pèse sur celui qui signe. La traçabilité de la relecture humaine n'est pas une précaution de confort, c'est votre dossier de preuve.
5. Le règlement européen peut vous atteindre depuis Dakar
Le règlement européen sur l'intelligence artificielle retient un champ d'application extraterritorial. Son article 2, paragraphe 1, point c, vise les fournisseurs et les déployeurs établis dans un pays tiers lorsque le résultat produit par le système est utilisé dans l'Union. Le critère n'est ni le lieu d'établissement, ni la nationalité : c'est la destination du résultat.
Le calendrier a bougé cet été. Le paquet dit « digital omnibus », entré en vigueur fin juillet 2026, a reporté au 2 décembre 2027 les obligations relatives aux systèmes à haut risque de l'annexe III, et au 2 août 2028 celles de l'annexe I. En revanche, les obligations de transparence de l'article 50 sont applicables depuis le 2 août 2026, et la période de grâce accordée aux systèmes déjà sur le marché expire le 2 décembre 2026. Ces obligations imposent notamment de signaler qu'un contenu a été généré ou manipulé artificiellement.
Concrètement, sont concernées l'entreprise de Dakar ou de Libreville qui trie des candidatures pour un donneur d'ordre européen, celle qui intègre une fonction d'intelligence artificielle dans un produit vendu en Europe, et le prestataire dont la sortie du modèle est exploitée dans l'Union. Le report de 2027 leur laisse du temps sur le volet haut risque ; il ne leur en laisse aucun sur la transparence.
Ce qui se prépare dans la région
Le Sénégal s'est doté dès 2023 d'une stratégie nationale d'intelligence artificielle, à horizon 2028, l'une des premières du continent. Une stratégie n'est pas une loi et ne crée pas d'obligation directe pour les entreprises, mais elle indique la direction : encadrement éthique, protection des données, souveraineté. Le mouvement est continental, porté par l'Union africaine, et il va dans le même sens partout. Anticiper coûte moins cher que se mettre en conformité sous contrainte.
Cinq mesures à prendre maintenant
- Cartographier les usages réels, y compris ceux que personne n'a autorisés. Dans la plupart des entreprises, l'intelligence artificielle est déjà entrée par les usages individuels.
- Écrire une charte interne : ce qui peut être soumis à un outil, ce qui ne le peut jamais, qui décide des cas limites.
- Distinguer les outils selon qu'ils traitent ou non des données personnelles et des informations couvertes par une obligation de confidentialité.
- Traiter la clause d'intelligence artificielle comme une clause à part entière dans les contrats fournisseurs et clients : localisation des données, réutilisation pour l'entraînement, titularité, garantie.
- Documenter la relecture humaine sur tout ce qui produit un effet juridique, contrat, décision salariale, courrier d'engagement.
Textes cités. Sénégal : loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel, articles 18, 20, 49, 50 et 51 ; loi n° 2008-09 du 25 janvier 2008 sur le droit d'auteur et les droits voisins, article 12. Gabon : loi n° 001/2011 relative à la protection des données à caractère personnel, articles 94 et 95. Union européenne : règlement (UE) 2024/1689 sur l'intelligence artificielle, articles 2 et 50, tel que modifié par le paquet « digital omnibus » de juillet 2026.
Cet article présente des principes généraux et ne constitue pas une consultation. Chaque situation appelle un examen propre.