AfriqueCadres nationaux et régionauxMis à jour le 2026-04-18
Afrique francophone
Une vue d’ensemble des cadres de protection des données et d’IA dans les principaux pays francophones d’Afrique, pour poser les bons réflexes.
Les pays francophones d’Afrique ont mis en place, ces quinze dernières années, des cadres de protection des données personnelles inspirés du RGPD. Les autorités sont inégalement dotées selon les pays, mais le mouvement général est à la structuration. Au niveau régional, la Convention de Malabo (2014) pose un cadre continental que certains pays ont ratifié. Les cadres sectoriels (CEDEAO, CEMAC) complètent les régimes nationaux. L’exposition au RGPD et à l’AI Act reste indirecte, par le biais des relations commerciales avec l’UE ou le Canada. Cette fiche présente un panorama, les spécificités nationales restent à vérifier au cas par cas.
CHAMP D'APPLICATION
À qui ça s'applique, à qui ça ne s'applique pas.
Ça s'applique à toi si
+Les entreprises établies dans un pays francophone d’Afrique et soumises à son cadre national.
+Les entreprises étrangères qui traitent des données personnelles de personnes dans ces pays.
+Les entreprises africaines qui ont des clients en UE ou au Canada : double cadre applicable.
Ça ne s'applique pas à
−Les pays francophones sans cadre national de protection des données (situation rare en 2026 mais persistante dans certains pays).
−Les données anonymisées de manière irréversible, dans la plupart des cadres nationaux.
POINTS CLÉS
5 points à retenir.
01
Autorités nationales, panorama
Maroc : Commission nationale de contrôle de la protection des données personnelles (CNDP). Tunisie : Instance nationale de protection des données personnelles (INPDP). Sénégal : Commission de protection des données personnelles (CDP). Côte d’Ivoire : Autorité de régulation des télécommunications et TIC (ARTCI). D’autres pays ont des autorités en formation ou en cours d’institutionnalisation.
02
Convention de Malabo (2014)
Convention de l’Union africaine sur la cybersécurité et la protection des données personnelles. Pose un cadre continental. Ratifiée par une minorité de pays à ce jour, mais influence les législations nationales. Entrée en vigueur effective en 2023 avec les quinze ratifications requises.
03
Cadres régionaux : CEDEAO et CEMAC
Acte additionnel A/SA.1/01/10 de la CEDEAO (2010) pour la zone ouest-africaine, règlement CEMAC pour l’Afrique centrale. Ces actes harmonisent partiellement les règles entre États membres. Application concrète variable selon les pays.
04
Exposition indirecte au RGPD et à l’AI Act
Toute entreprise africaine qui cible des clients en UE, ou qui traite des données de personnes résidant en UE, est soumise au RGPD. Toute entreprise qui fournit un système d’IA accessible à des utilisateurs en UE est soumise à l’AI Act. En pratique, les entreprises africaines tournées vers l’export adoptent souvent les standards européens comme socle, même pour leur marché intérieur.
05
Secteurs régulés : banque, télécoms, santé
Dans la plupart des pays, les secteurs de la banque (supervisés par la banque centrale), des télécommunications et de la santé ont des exigences spécifiques de protection des données. Pour ces secteurs, le cadre national général est complété par des règlements sectoriels qui peuvent imposer des contrôles renforcés sur l’usage d’outils IA.
DÉTAILS
Ce qu'il faut savoir.
Situation du Maroc
Loi 09-08 sur la protection des données personnelles, adoptée en 2009 et modernisée ces dernières années, proche du cadre européen sur les principes (finalité, proportionnalité, transparence). La CNDP reçoit les notifications, instruit les plaintes, publie des lignes directrices sectorielles notamment sur les outils cloud et les transferts vers l’étranger. Décret d’application de 2019 qui détaille les modalités. Le Maroc n’a pas encore de cadre dédié à l’IA mais la CNDP a publié des premières recommandations sur l’IA générative en 2025.
Situation de la Tunisie
Loi organique 2004-63 sur la protection des données, modifiée à plusieurs reprises. L’INPDP est active avec une jurisprudence administrative dense. Un projet de loi en discussion vise à moderniser le cadre pour s’aligner davantage sur le RGPD, avec notamment des amendes administratives renforcées et un volet IA. Calendrier d’adoption non arrêté à la date de cette fiche.
Situation du Sénégal
Loi 2008-12 sur la protection des données, modernisée par la loi 2016-12 et réglementations subséquentes. La CDP a un rôle actif, publie des avis sectoriels, délivre des autorisations pour certains traitements. Le Sénégal est souvent cité comme un des pays les plus structurés d’Afrique de l’Ouest sur ces sujets. Un cadre IA est à l’étude.
Situation de la Côte d’Ivoire
Loi 2013-450 sur la protection des données personnelles. L’ARTCI est l’autorité compétente, intégrée au régulateur télécoms. Registre des traitements, autorisation préalable pour certains traitements sensibles, sanctions prévues mais rarement appliquées en pratique. La Côte d’Ivoire a signé mais pas ratifié la Convention de Malabo à la date de cette fiche.
Autres pays francophones
Burkina Faso, Bénin, Togo, Niger, Mali, Tchad, République centrafricaine, République démocratique du Congo, Gabon, Cameroun, République du Congo, Madagascar, Comores : cadres nationaux en place ou en cours d’adoption, avec maturité variable. Il est recommandé de vérifier au cas par cas l’existence d’une autorité opérationnelle et d’un cadre applicable. Les cadres régionaux CEDEAO et CEMAC apportent une base minimale.
Transferts internationaux
Les transferts de données hors du pays sont souvent encadrés, avec des formalités préalables (autorisation ou notification à l’autorité). Vers l’UE, des mécanismes de reconnaissance sont en cours de discussion dans plusieurs pays. Vers les États-Unis, la prudence est de mise et une évaluation des risques de l’outil est souvent attendue par les autorités.
Cette fiche présente un panorama synthétique. Les cadres africains évoluent rapidement et de manière inégale. Pour toute activité sérieuse dans un pays donné, un accompagnement par un juriste local est recommandé, notamment pour les secteurs régulés, les traitements à grande échelle, et les transferts internationaux. Le site compagnon enrichira cette fiche au fil des retours de lecteurs et des évolutions nationales.