Brancher une IA sur vos conversations clients : le volet données personnelles, pays par pays

Sommaire

1. Le socle commun : la Convention de Malabo, et une règle qui vise directement l'IA
2. Où en est votre pays, concrètement
3. Les cinq vérifications à faire avant de signer avec un prestataire
4. Ce que cela donne dans un outil de conversation
5. Le calendrier réaliste d'une mise en conformité
6. Questions fréquentes

La question arrive toujours dans le même ordre. D'abord « est-ce que ça marche ? », puis « combien de temps ça me fait gagner ? », et enfin, souvent trop tard : « au fait, où partent les messages de mes clients ? ». Cette troisième question est la seule que votre autorité de protection des données vous posera, et c'est aussi la seule que vos clients grands comptes — banques, groupes miniers, ONG internationales — vous poseront par écrit avant de renouveler.

Brancher une IA sur une messagerie client, ce n'est pas ajouter une fonctionnalité : c'est créer un nouveau traitement de données personnelles, avec un nouveau destinataire et souvent un nouveau pays. Voici ce qu'il faut avoir vérifié avant, en Afrique francophone, où les textes existent mais ne se ressemblent pas tous.

Le socle commun : la Convention de Malabo, et une règle qui vise directement l'IA

La Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel, dite Convention de Malabo, adoptée en 2014, est entrée en vigueur le 8 juin 2023 après la quinzième ratification. Elle ne s'applique pas directement dans votre cabinet — ce sont les lois nationales qui vous obligent — mais elle donne la trame que la plupart de ces lois reprennent.

Un de ses principes concerne frontalement l'usage que vous envisagez : une décision produisant des effets juridiques à l'égard d'une personne, ou l'appréciation de son comportement, ne doit pas reposer sur le seul fondement d'un traitement automatisé destiné à définir son profil. Traduit en langage de cabinet : un score calculé par une machine peut vous aider à hiérarchiser vos rappels ; il ne peut pas décider seul qu'un client n'aura pas de proposition de renouvellement, ou que sa demande est irrecevable. Il faut un humain dans la boucle sur tout ce qui a une conséquence pour l'assuré.

C'est une contrainte moins lourde qu'il n'y paraît, parce qu'elle correspond à ce qu'un courtier sérieux fait déjà. Elle devient un problème le jour où l'on automatise sans y penser : refus automatique, clôture automatique de dossier, arbitrage automatique entre deux clients.

Où en est votre pays, concrètement

Les régimes diffèrent sur trois points qui changent tout : faut-il une déclaration ou une autorisation préalable, l'autorité est-elle réellement opérationnelle, et le transfert hors du territoire est-il encadré par une formalité spécifique.

Pays	Texte de référence	Autorité	Point d'attention pour une IA
Sénégal	Loi n° 2008-12 du 25 janvier 2008	CDP	Déclaration du traitement ; autorisation préalable pour les catégories sensibles, dont la santé
Côte d'Ivoire	Loi n° 2013-450 du 19 juin 2013	Autorité de protection (ex-ARTCI)	L'autorité publie des décisions individuelles autorisant des transferts de données vers l'étranger
Bénin	Code du numérique	APDP	Autorité active et coutumière des contrôles ; formalités par type de traitement
Togo	Loi sur la protection des données	IPDCP	Formalités préalables à documenter avant la mise en service
Burkina Faso	Loi sur la protection des données	CIL	Régime déclaratif, contrôle sur pièces fréquent
Maroc	Loi n° 09-08	CNDP	Le transfert vers un pays n'assurant pas un niveau adéquat suppose l'accord de la CNDP
RDC	Ordonnance-loi n° 23/010 (Code du numérique)	Autorité prévue, non encore installée	Le texte s'applique même si l'autorité n'est pas opérationnelle : documentez sans attendre

Cette diversité a une conséquence pratique : un cabinet présent dans deux pays ne peut pas se contenter d'un dossier unique. Le détail des formalités et des régimes d'autorisation est traité dans notre article sur les formalités de déclaration du fichier clients.

Les cinq vérifications à faire avant de signer avec un prestataire

1. Le rôle de chacun. Vous êtes responsable de traitement, votre outil de conversation est sous-traitant, et le fournisseur du modèle est le sous-traitant de votre sous-traitant. Cette chaîne doit être écrite dans le contrat, avec le nom des acteurs. « Nous utilisons une IA de dernière génération » n'est pas une réponse : demandez qui, et où.
2. Le pays de traitement. Les grands modèles tournent aujourd'hui presque tous hors du continent. Ce n'est pas interdit, mais cela déclenche les règles de transfert international de votre loi nationale — parfois une simple information, parfois une autorisation formelle, comme au Maroc. Faites préciser la région de traitement par écrit, pas au téléphone.
3. La réutilisation pour l'entraînement. C'est le point qui fâche les clients corporate. Exigez une clause disant que vos conversations ne servent pas à entraîner un modèle, et une durée de conservation chez le fournisseur. La plupart des offres professionnelles le prévoient déjà ; encore faut-il le lire.
4. Le sort des données de santé. Dès que votre IA lit des messages contenant une ordonnance, une prise en charge ou un motif d'hospitalisation, vous manipulez des données sensibles. Au Sénégal et dans plusieurs pays voisins, cela fait basculer le traitement du régime déclaratif vers l'autorisation préalable. Le réflexe le plus simple : exclure la santé du périmètre de l'IA au démarrage, et ne l'y ramener qu'après avoir traité la formalité.
5. La preuve. Un journal des accès et des actions automatiques, conservé, exportable. Le jour où un assuré conteste une réponse partie sous votre nom, c'est ce journal qui départage.

Ce que cela donne dans un outil de conversation

Dans ORIS, l'IA lit les messages entrants, les classe (opportunité, risque de départ, neutre), met à jour le score de risque et prépare des brouillons de réponse. L'envoi automatique n'existe que sous des règles posées par le cabinet, avec temporisation et plafond par client ; un message au ton négatif reste toujours un brouillon soumis à un collaborateur. Le texte écrit par le client est isolé avant d'entrer dans le prompt, précisément pour qu'une phrase glissée dans un message ne soit pas lue comme une instruction. L'opposition d'un client — « STOP » écrit ou bouton d'opt-out — coupe aussi les messages déjà en file et les parcours en cours, ce qui est la traduction technique du droit d'opposition de votre loi nationale.

Deux limites à connaître, parce qu'elles évitent des promesses intenables : il n'y a pas de connexion native à votre logiciel de gestion — l'export se fait en CSV — et l'IA ne « décide » rien seule sur un dossier. C'est une architecture qui colle à la règle de Malabo : la machine trie et propose, l'humain arbitre.

Le calendrier réaliste d'une mise en conformité

Comptez trois temps. D'abord l'inventaire : quelles conversations, quelles catégories de données, quel pays de traitement, quelle durée de conservation. Ensuite les formalités : mise à jour ou dépôt du dossier auprès de votre autorité, avenant de sous-traitance signé, mention d'information ajoutée à votre message d'accueil et à votre lien d'inscription WhatsApp. Enfin la mise en service progressive, en commençant par le classement et les brouillons — l'IA lit, elle n'écrit à personne — avant d'ouvrir l'envoi automatique sur un périmètre étroit. Le protocole détaillé figure dans notre pilote de six semaines.

Un cabinet qui suit cet ordre peut répondre en une page à un appel d'offres corporate. Un cabinet qui a branché l'IA d'abord passera les mêmes semaines à reconstituer a posteriori ce qu'il aurait pu écrire en amont.

Questions fréquentes

Faut-il prévenir les clients qu'une IA lit leurs messages ?

Oui, et c'est peu coûteux : une phrase dans le message d'accueil et dans la page d'inscription suffit à couvrir l'obligation d'information sur les destinataires et la finalité du traitement. Elle est indispensable si des réponses partent automatiquement, et de toute façon plus confortable que de l'expliquer après coup.

Le fait que mon prestataire soit à l'étranger m'interdit-il d'utiliser l'IA ?

Non. Aucune loi de la zone n'interdit le recours à un prestataire étranger ; elles encadrent le transfert. Selon votre pays, cela va de l'information de la personne concernée à une autorisation formelle de l'autorité, comme la CNDP au Maroc. La faute n'est pas de transférer, elle est de transférer sans formalité ni contrat.

Un score de risque calculé par l'IA est-il une décision automatisée ?

Le score en lui-même est une aide à la décision, pas une décision. Il le devient si vous en tirez un effet automatique pour le client — clôture, refus, arrêt des relances. Gardez une action humaine entre le score et l'effet, et tracez-la : c'est exactement ce que vise la règle reprise de la Convention de Malabo.

Et si mon pays n'a pas encore d'autorité opérationnelle ?

La loi s'applique quand même, et l'autorité finira par être installée — le cas de la RDC est explicite, le Code du numérique prévoit une autorité qui n'est pas encore en place. Constituez le dossier maintenant : registre, contrats de sous-traitance, mentions d'information. Il sera opposable le jour venu, et il est déjà exigé par vos clients internationaux.

Peut-on utiliser l'IA sur les conversations d'un contrat santé collectif ?

C'est possible, mais c'est le cas qui demande le plus de préparation, car les messages contiennent des données de santé des salariés. Vérifiez le régime applicable dans votre pays — l'autorisation préalable est fréquente — et cloisonnez : un périmètre séparé, des accès restreints, et pas d'envoi automatique sur ces fils. Nos autres publications sont regroupées dans la rubrique consacrée à l'IA.