L’une des premières lois de protection des données du continent — et c’est précisément ce qui la rend exigeante.
Le Sénégal légifère sur les données à caractère personnel depuis 2008, bien avant que l’IA générative n’existe sous sa forme actuelle. Le texte ne mentionne donc jamais l’intelligence artificielle. Cela ne veut pas dire qu’il ne s’y applique pas : un outil d’IA qui traite des données personnelles est un traitement de données personnelles, et la loi s’applique au traitement, pas à la technologie.
Le régime sénégalais repose sur la déclaration préalable. Autrement dit, les formalités viennent avant la mise en service de l’outil, pas après. C’est l’inverse de l’habitude prise par beaucoup d’équipes, qui testent d’abord et régularisent ensuite.
Un traitement de données à caractère personnel doit être déclaré à la CDP avant son démarrage. Cela concerne un nouvel outil d’IA au même titre qu’un nouveau fichier clients.
Les données de santé, les données biométriques et les autres catégories sensibles ne relèvent pas de la simple déclaration : elles exigent une autorisation préalable. Le seuil est plus élevé, et le délai plus long.
Les transferts de données vers l’étranger sont encadrés. C’est le point le plus souvent négligé : saisir les données du personnel ou des clients dans un outil d’IA hébergé à l’étranger constitue un transfert, même si personne n’a eu le sentiment d’exporter quoi que ce soit.
Ce que cela change concrètement. Un outil d’IA hébergé hors du Sénégal dans lequel vos équipes saisissent des données clients est un transfert transfrontalier doublé d’un traitement non déclaré. Deux manquements, un seul geste, répété chaque jour.
Nous préférons nommer nos incertitudes plutôt que de les combler. Les points suivants doivent être validés par un juriste sénégalais avant que ce contenu n’entre dans le programme :
Ces informations sont fournies à titre pédagogique et ne constituent pas un conseil juridique.
Un texte de référence ancien ne veut pas dire un pays immobile. Voici ce qui a bougé récemment, et ce que cela change pour vous.
Le 20 août 2026, l’Assemblée nationale a adopté à l’unanimité le projet de loi n° 25/2026 relatif à la protection des infrastructures d’information critiques et à la sécurité numérique, qui prévoit une Autorité nationale de Cybersécurité. Ce texte porte sur la cybersécurité, et non sur les données à caractère personnel : il s’ajoute à la loi de 2008, il ne la remplace pas.
Une réforme est engagée depuis 2017. Un projet a reçu un avis favorable de la Cour suprême en 2022, mais il n’a pas été adopté à ce jour. La loi n° 2008-12 reste donc le texte applicable, et plusieurs juristes sénégalais la jugent désormais mal adaptée à l’IA générative.
Lancé le 24 février 2025, c’est la stratégie numérique nationale du Sénégal, dont l’intelligence artificielle est l’un des piliers. L’ambition publique sur l’IA est donc forte, ce qui rend l’écart avec un cadre de protection des données de 2008 d’autant plus visible.
Informations vérifiées le 21 octobre 2026. Le droit évolue : nous datons ce que nous affirmons.
Le cadre juridique ne fait pas l’objet d’un module isolé que l’on pourrait sauter. Il traverse le parcours : la vérification au Module 4, la responsabilité et la gouvernance au Module 5, et le parcours sectoriel au Module 7, où les obligations prennent un sens différent selon que vous travaillez dans la banque, la santé ou le secteur public.
Les études de cas sont ancrées dans la région. Un exemple situé à Dakar enseigne mieux qu’un exemple situé à Londres, parce que les conditions opérationnelles, les données disponibles et les contraintes réglementaires y sont les vôtres.
Dites-nous combien de personnes sont concernées et ce que votre équipe fait déjà avec l’IA. Vous recevrez un devis écrit, en français.
Demander un devis →