Articles
L'intelligence artificielle en RDC : enjeux et perspectives juridiques
La République démocratique du Congo présente un paradoxe juridique remarquable : elle dispose, depuis l'ordonnance-loi n°23/010 du 13 mars 2023 portant Code du numérique, de l'un des cadres législatifs numériques les plus complets d'Afrique centrale, plus récent et plus intégré que celui de bien des voisins. Mais les institutions que ce Code institue, à commencer par l'Autorité de protection des données, n'existent toujours pas sur le terrain. Et le pays vient de franchir une étape symbolique : le 4 août 2026, Kinshasa a validé sa toute première Stratégie nationale de l'intelligence artificielle (SNIA), aux côtés de la Politique sectorielle de l'économie numérique, avec un horizon fixé à 2030.
Entre un Code ambitieux mais partiellement inappliqué, une stratégie toute neuve, un ancrage régional multiple (OHADA, EAC, SADC, COMESA, CEEAC) et l'extraterritorialité de l'AI Act européen, le droit congolais de l'IA se construit sur un terrain mouvant. Cet article cartographie ce qui existe, identifie ce qui manque, et propose une lecture critique des frictions juridiques que l'IA fait remonter dans le système congolais.
1. Le Code du numérique de 2023 : un socle moderne, des institutions en attente
Aucun texte congolais ne régit spécifiquement les systèmes d'intelligence artificielle. Mais contrairement à d'autres États de la région qui composent avec des textes épars, la RDC a fait le choix de la codification : l'ordonnance-loi n°23/010 du 13 mars 2023, publiée au Journal officiel le 11 avril 2023, rassemble en un Code unique les activités et services numériques, les écrits et services de confiance (signature électronique, certification), la protection des données à caractère personnel (Livre III), les contenus numériques, la cybersécurité et un volet pénal.
Le Code institue une architecture institutionnelle complète : Autorité de régulation du numérique, Autorité nationale de certification électronique, Agence nationale de cybersécurité, Conseil national du numérique et, aux articles 262 et suivants, une Autorité de protection des données (APD) conçue comme autorité administrative indépendante. C'est là que le bât blesse : les décrets du Premier ministre devant organiser ces institutions n'ont pas été pris. À la mi-2026, l'APD n'est pas opérationnelle. Un arrêté ministériel du 17 août 2024 a confié, à titre transitoire, l'ensemble de ces missions au régulateur des télécommunications, l'ARPTC, « en attendant leur création effective ». La doctrine congolaise a souligné la fragilité de ce montage : confier par simple arrêté des missions que l'ordonnance-loi réserve à des autorités indépendantes interroge la hiérarchie des normes, et un contentieux fondé sur les décisions « données personnelles » de l'ARPTC n'est pas à exclure.
Autour de ce Code gravitent les autres pièces du dispositif applicable à l'IA :
Le droit commun : Code civil pour la responsabilité, Code pénal, droit du travail, auxquels le juge devra adosser les premiers contentieux algorithmiques.
Le droit OHADA, applicable depuis le 12 septembre 2012 : actes uniformes sur le droit commercial, les sociétés, les sûretés, qui saisissent les acteurs de l'IA en tant qu'opérateurs économiques.
La propriété intellectuelle nationale : la RDC n'est pas membre de l'OAPI et conserve son propre droit de la propriété industrielle et du droit d'auteur, antérieur à l'ère numérique, ce qui la singularise de la quasi-totalité de l'Afrique francophone.
La Convention de Malabo, sur la cybersécurité et la protection des données : après l'autorisation interne donnée par l'ordonnance-loi n°23/008 du 10 mars 2023, la RDC a ratifié la convention le 6 mars 2025 et déposé son instrument auprès de l'Union africaine le 27 juin 2025. Le pays est donc partie au cadre continental, entré en vigueur le 8 juin 2023, ce qui rend d'autant plus pressante la mise en place d'une autorité de protection des données opérationnelle.
L'enjeu, pour les juristes et les responsables conformité, n'est donc pas de chercher une « loi sur l'IA » qui n'existe pas, mais de mesurer ce que le Code du numérique permet déjà d'exiger, et ce que l'absence d'institutions opérationnelles empêche concrètement d'obtenir.
2. La SNIA 2030 : quatre piliers, un financement massif, peu de droit
La séquence stratégique congolaise s'est accélérée en dix mois. Le 8 octobre 2025, le ministre de l'Économie numérique Augustin Kibassa Maliba lançait la rédaction simultanée du Plan National du Numérique 2026-2030 et de la première SNIA, confiée à une commission interinstitutionnelle appuyée par l'ARPTC et l'Agence de développement du numérique, avec une enveloppe annoncée d'environ 1,5 milliard de dollars (1 milliard du Trésor public, plus de 500 millions d'appuis internationaux, Banque mondiale et AFD en tête). La démarche s'appuyait sur le rapport national d'évaluation de l'état de préparation à l'IA, conduit selon la méthodologie de l'UNESCO et validé à Kinshasa le 19 juin 2025. Après une validation technique fin juillet 2026, la SNIA et la Politique sectorielle de l'économie numérique ont été validées officiellement le 4 août 2026.
La stratégie repose sur quatre piliers : gouvernance, éthique, confiance et régulation ; données, infrastructures numériques et énergétiques ; capital humain, recherche et innovation ; industrialisation et création de valeur. Elle s'aligne sur la Recommandation de l'UNESCO de 2021 sur l'éthique de l'IA et met en avant l'éducation, la santé, les services publics et l'innovation entrepreneuriale. Le chef de l'État a par ailleurs instruit d'ériger le capital humain en priorité, avec le projet d'une Académie congolaise de l'intelligence artificielle, à la fois centre de formation, incubateur et pôle de recherche appliquée.
Mais une stratégie n'est pas un cadre juridique, et le précédent du Plan National du Numérique Horizon 2025 invite à la prudence : son taux de réalisation était de 58 % fin 2024 selon l'évaluation de l'Agence de développement du numérique. Trois angles morts ressortent de la lecture de la SNIA :
Le pilier « gouvernance, éthique, confiance et régulation » reste programmatique. La validation du 4 août 2026 est celle d'un document d'orientation : aucun acte juridique d'adoption, décret ou loi de programmation n'a suivi à ce jour, et aucune disposition contraignante n'encadre l'évaluation des risques, l'audit algorithmique ou la responsabilité des fournisseurs et déployeurs.
La stratégie présuppose des institutions qui n'existent pas encore. Réguler l'IA suppose un régulateur des données opérationnel. Tant que l'APD, l'Autorité de régulation du numérique et l'Agence nationale de cybersécurité restent sur le papier, la gouvernance de l'IA congolaise repose sur un régulateur télécoms investi à titre transitoire, ce qui n'est ni pérenne ni juridiquement sûr.
La place du citoyen face à l'algorithme n'est pas abordée. Identification numérique, état civil numérisé, e-gouvernement : les chantiers du PNN mettent déjà les données des Congolais au cœur de systèmes d'information massifs. Lorsqu'un système d'IA s'y greffera pour trancher des situations individuelles, attribution d'un document d'identité, d'une prestation, d'un crédit, quelles seront les obligations de transparence, de motivation, de contestation ? La SNIA ne le dit pas.
3. Les frictions juridiques que l'IA fait remonter dans le droit existant
3.1. Protection des données personnelles : un droit substantiel sans gardien
Le Livre III du Code du numérique dote la RDC d'un régime de protection des données d'inspiration contemporaine : principes de licéité et de finalité, droits des personnes, obligations des responsables de traitement, encadrement de la sécurité. Sur le papier, l'entraînement d'un modèle d'IA sur des données de Congolais, le scoring, la biométrie sont saisis par le texte. En pratique, quatre difficultés se dressent :
L'absence d'autorité opérationnelle. Sans APD installée, pas de doctrine, pas de formalités stabilisées, pas de jurisprudence administrative. Les opérateurs sérieux se retrouvent à construire leur conformité « à blanc », sur le modèle des standards internationaux, sans interlocuteur national de référence.
L'entraînement des modèles. La constitution de jeux de données massifs, par scraping, licence ou collecte directe, implique presque toujours des données personnelles dont la base légale doit être identifiée avant tout traitement. Le Code pose les principes, mais sans lignes directrices sur les traitements d'apprentissage automatique.
Les transferts internationaux. L'IA générative s'appuie majoritairement sur des infrastructures situées hors d'Afrique. L'ouverture du datacenter Raxio de Kinshasa en août 2024, certifié Tier III, crée une option d'hébergement local, mais la qualification juridique des flux transfrontières reste à outiller.
Les décisions automatisées. Le Code du numérique n'organise ni analyse d'impact obligatoire, ni droit à l'explication, ni garantie d'intervention humaine pour les décisions individuelles automatisées, l'outillage que le RGPD et l'AI Act ont généralisé en Europe.
3.2. Responsabilité civile et pénale : un vide qui dure
La question, qui est responsable quand un système d'IA cause un dommage ? n'a aucune réponse spécifique en droit congolais. Les mécanismes mobilisables relèvent du droit commun : responsabilité du fait des choses, qui suppose d'identifier un gardien alors que la chaîne de l'IA se répartit entre fournisseur, intégrateur, déployeur et utilisateur ; responsabilité contractuelle, tributaire de stipulations souvent déséquilibrées au profit du fournisseur ; responsabilité pénale, qui bute sur l'élément intentionnel. Le volet pénal du Code du numérique réprime les atteintes aux systèmes et aux données, mais ne dit rien du dommage causé par un système d'IA défaillant. Dans les secteurs où l'IA arrive vite en RDC, fintech et mobile money, mines et logistique, santé, le juge devra composer à droit constant.
3.3. Discrimination algorithmique : un sujet non encore juridicisé
La Constitution congolaise garantit l'égalité et la non-discrimination. Mais aucun texte ne définit la discrimination algorithmique, n'impose de tests d'équité, ni n'organise la charge de la preuve dans un contentieux où la victime n'a aucun accès au modèle. Les terrains sont pourtant identifiables : scoring de crédit dans un écosystème de mobile money très développé, présélection au recrutement, tarification assurantielle, et demain les services publics numérisés du PNN. L'AI Act européen classe ces usages parmi les systèmes à haut risque et impose gouvernance des données d'entraînement, documentation et supervision humaine. Le droit congolais n'a, à ce jour, aucun équivalent.
3.4. Propriété intellectuelle et IA générative : l'exception congolaise
La RDC est l'un des rares États d'Afrique francophone à ne pas relever de l'OAPI : sa propriété intellectuelle est régie par un droit national dont les textes fondateurs datent d'avant l'informatique grand public. Ni la titularité des œuvres générées par IA, ni le statut des données d'entraînement au regard du droit d'auteur n'y trouvent de réponse. Une œuvre générée par un modèle peut-elle être protégée alors que l'originalité s'entend de l'empreinte de la personnalité d'un auteur ? L'entraînement sur des œuvres protégées sans autorisation relève-t-il d'une exception ou exige-t-il une licence ? Pour un pays dont les industries culturelles, musique, arts visuels, comptent parmi les plus influentes du continent, l'enjeu de la protection des créateurs face à l'IA générative est loin d'être théorique, et la modernisation du droit de la PI devrait accompagner la SNIA.
3.5. Deepfakes, désinformation, intégrité de l'information
Le Code du numérique et le droit pénal permettent de réprimer une partie du contentieux des hypertrucages : fausses informations, atteinte à l'honneur, usurpation d'identité numérique. Mais le droit congolais ne dispose d'aucun des outils techniques que l'AI Act européen impose à compter d'août 2026 : étiquetage des contenus synthétiques, marquage, traçabilité. Dans un pays confronté à des dynamiques de conflit dans l'Est et où la désinformation circule massivement sur les réseaux sociaux, la capacité à qualifier et tracer les contenus générés par IA est un enjeu de stabilité autant que de droit. Le forum consacré au journalisme face à l'IA, tenu à Kinshasa en mai 2025, a montré que la profession s'en est saisie ; le législateur pas encore.
4. L'extraterritorialité de l'AI Act : une contrainte directe pour les acteurs congolais
Le règlement (UE) 2024/1689, l'AI Act, s'applique à tout fournisseur ou déployeur de systèmes d'IA dont les résultats sont utilisés dans l'Union européenne, indépendamment du lieu d'établissement. Pour les opérateurs congolais, cela signifie concrètement :
Une startup de Kinshasa ou de Lubumbashi qui propose un service d'IA accessible à des utilisateurs européens entre dans le champ du règlement ;
Un cabinet ou un éditeur SaaS qui sert des clients européens via un système d'IA est concerné ;
Une filiale congolaise d'un groupe européen, configuration fréquente dans les mines, la banque et les télécoms, voit la conformité AI Act remonter par contrat.
Les obligations s'échelonnent selon le risque : pratiques interdites depuis février 2025, modèles d'usage général depuis août 2025, systèmes à haut risque et transparence des contenus générés à compter d'août 2026. Les entreprises congolaises tournées vers l'international doivent donc déjà construire leur conformité sur un double standard, Code du numérique plus AI Act, quitte à être plus exigeantes que ce que le droit national leur impose. C'est précisément ce double référentiel qui constitue, à notre lecture, le levier de modernisation le plus puissant pour le tissu économique congolais : la conformité externe tire la conformité interne, plus vite que la mise en place des institutions nationales.
5. Un ancrage continental et régional à clarifier
La RDC part de loin dans les classements internationaux : le Government AI Readiness Index 2025 d'Oxford Insights la situe au 144e rang sur 195 pays, avec des scores faibles en adoption par le secteur public et en infrastructure, mais un score de gouvernance déjà plus honorable, reflet du Code du numérique. La trajectoire compte davantage que la photographie : en trois ans, le pays s'est doté d'un code intégré, d'un régulateur de fait, d'un datacenter certifié et d'une stratégie IA.
Son positionnement régional est en revanche unique et complexe. Membre de l'OHADA depuis 2012, de la SADC, du COMESA, de la CEEAC et, depuis juillet 2022, de la Communauté d'Afrique de l'Est, la RDC se trouve au carrefour de plusieurs espaces normatifs dont aucun n'a encore produit de régime contraignant sur l'IA. La Stratégie continentale de l'Union africaine sur l'IA, adoptée à Accra en juillet 2024, fournit le cadre d'ensemble ; encore faut-il que Kinshasa achève sa propre séquence : après le dépôt de la ratification de la Convention de Malabo en juin 2025, prendre les décrets créant l'APD, l'Autorité de régulation du numérique et l'Agence nationale de cybersécurité, puis traduire la SNIA en textes. À défaut, la RDC restera dans la situation actuelle : un droit écrit ambitieux, une application en pointillé.
Ce qu'il faut retenir, pour les juristes et les responsables conformité
La RDC n'est pas dans un vide juridique : le Code du numérique de 2023 fournit un socle substantiel que beaucoup de pays de la région n'ont pas. Elle est dans un entre-deux institutionnel, où le droit existe mais où ses gardiens n'ont pas encore pris leurs fonctions. Pour un opérateur économique qui développe ou déploie de l'IA en RDC, trois priorités s'imposent dès aujourd'hui :
Construire la conformité sur le Livre III du Code du numérique sans attendre l'APD : cartographie des traitements, bases légales documentées, sécurité, encadrement contractuel des sous-traitants et des transferts. Le jour où l'autorité s'installera, les opérateurs conformes auront une longueur d'avance ; les autres découvriront un stock d'obligations rétroactivement exigibles.
Cartographier ses systèmes d'IA et leur niveau de risque au sens de l'AI Act, même sans obligation locale équivalente. C'est l'investissement de conformité qui dégage le plus de valeur sur la durée, en particulier pour les groupes exposés à l'Europe.
Suivre la mise en œuvre de la SNIA et les décrets d'application du Code : la création effective de l'APD et de l'Agence nationale de cybersécurité, les obligations découlant de la Convention de Malabo désormais ratifiée et les premiers textes sectoriels détermineront le cadre réel des prochaines années.
Pour les juristes, le terrain est ouvert. La doctrine congolaise du numérique est déjà active autour du Code de 2023 ; celle de l'IA reste à écrire, et les premiers contentieux, décision de l'ARPTC contestée sur le fondement du Livre III, dommage causé par un système automatisé, hypertrucage en période sensible, façonneront un droit qu'aucun texte ne préfigure encore.
Suivre ce droit en train de se faire
Le droit congolais de l'IA n'existe pas encore comme corpus autonome. Il se construit à la jonction du Code du numérique et de ses textes d'application attendus, du droit commun, du droit OHADA, des instruments régionaux (SADC, COMESA, EAC, CEEAC) et continentaux (Union africaine, Convention de Malabo), de la SNIA et des positions du régulateur transitoire, l'ARPTC. Pour un juriste, un responsable conformité ou un dirigeant qui doit décider aujourd'hui, le défi n'est pas conceptuel, il est documentaire : trouver le bon texte, dans la bonne version, au bon moment.
C'est précisément ce que Maathis résout. La plateforme agrège la législation, la jurisprudence et la doctrine de l'ensemble des pays d'Afrique francophone, droit national congolais, Code du numérique, actes uniformes et jurisprudence OHADA, instruments de l'Union africaine, dans un moteur de recherche unique, mis à jour en continu et conçu pour le travail des praticiens. Vous y retrouvez l'ordonnance-loi n°23/010 dans son intégralité, les textes de régulation des télécommunications, les décisions des juridictions nationales et régionales, la doctrine francophone africaine, et, au fur et à mesure de leur adoption, les décrets d'application et les futurs textes issus de la SNIA, croisés avec la jurisprudence et la doctrine afférentes.
Si vous travaillez la conformité numérique, le contentieux technologique ou la stratégie réglementaire dans cet espace, arrêtez de perdre du temps à reconstituer le corpus à la main. Créez votre compte sur Maathis, l'outil est conçu pour ceux qui n'ont pas trois heures à passer pour ouvrir un texte qui devrait s'ouvrir en trois clics.
