Articles
L'intelligence artificielle au Sénégal : enjeux et perspectives juridiques
Le Sénégal occupe une position singulière dans le paysage africain de l'intelligence artificielle : classé parmi les tout premiers pays d'Afrique subsaharienne pour la maturité de sa politique publique en la matière, doté d'une Stratégie nationale de développement de l'intelligence artificielle (SNDIA) depuis septembre 2023 et d'une ambitieuse feuille de route numérique, le New Deal Technologique, lancée le 24 février 2025, il continue pourtant de faire reposer toute la conformité algorithmique sur une loi de protection des données adoptée en 2008, avant l'iPhone 3G. C'est ce décalage entre l'ambition technologique et le socle juridique qui structure les enjeux actuels.
L'actualité législative s'accélère : un projet de loi relatif à la protection des infrastructures d'information critiques et à la sécurité numérique (projet de loi n°25/2026), adopté en Conseil des ministres le 17 juin 2026, a été adopté en commission à l'Assemblée nationale le 13 août 2026. Parallèlement, l'AI Act européen déploie ses effets extraterritoriaux sur tout opérateur sénégalais qui sert le marché de l'Union. Cet article cartographie ce qui existe, identifie ce qui manque, et propose une lecture critique des frictions juridiques que l'IA fait remonter dans le système sénégalais.
1. Un cadre normatif dense mais vieillissant, sans loi spécifique sur l'IA
Aucun texte sénégalais ne régit aujourd'hui spécifiquement les systèmes d'intelligence artificielle. Le dispositif applicable se reconstitue par addition de textes, dont le cœur date de la même journée législative, le 25 janvier 2008 :
La loi n°2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, qui encadre la collecte, le traitement, la conservation et le transfert des données, et institue la Commission de protection des données personnelles (CDP), autorité administrative indépendante dotée de pouvoirs d'avertissement, de mise en demeure et de sanction. C'est le principal point d'ancrage de la conformité algorithmique au Sénégal.
La loi n°2008-11 du 25 janvier 2008 relative à la cybercriminalité, qui a introduit dans le Code pénal un titre dédié (articles 431-7 à 431-65) réprimant l'accès frauduleux aux systèmes, les atteintes aux données et la fraude informatique.
La loi n°2008-08 du 25 janvier 2008 sur les transactions électroniques, socle de la preuve et de la signature électroniques et du commerce en ligne.
La loi n°2018-28 du 12 décembre 2018 portant Code des communications électroniques, qui intègre les exigences communautaires de la CEDEAO et de l'UEMOA.
La Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel (Convention de Malabo), que le Sénégal a ratifiée dès 2016 et qui est entrée en vigueur le 8 juin 2023. S'y ajoute, dans l'espace ouest-africain, l'Acte additionnel A/SA.1/01/10 de la CEDEAO du 16 février 2010 relatif à la protection des données personnelles.
Les textes sectoriels et de droit commun : Code des obligations civiles et commerciales pour la responsabilité, Code pénal, Accord de Bangui révisé pour la propriété intellectuelle (OAPI), actes uniformes OHADA pour le droit des affaires, réglementation BCEAO pour les services financiers, dont le cadre d'agrément des fintechs entré en vigueur le 23 janvier 2024.
Le projet de loi n°25/2026 sur la protection des infrastructures d'information critiques et la sécurité numérique, en cours d'adoption au moment où nous écrivons, complétera ce socle : recensement des infrastructures critiques, analyses de risques obligatoires, chiffrement, tests de résilience, création d'une Autorité nationale de cybersécurité adossée à un CERT national et à des CERT sectoriels, et surtout obligation d'héberger et de traiter sur le territoire national les données produites, collectées ou détenues par les services de l'État. La souveraineté de la donnée publique, jusqu'ici affaire de doctrine administrative autour du datacenter de Diamniadio, devient une obligation légale.
L'enjeu, pour les juristes et les responsables conformité, n'est donc pas de chercher une « loi sur l'IA » qui n'existe pas, mais d'identifier comment chaque système algorithmique est saisi par cet ensemble de textes, et où sont les zones d'angle mort.
2. SNDIA et New Deal Technologique : une politique publique ambitieuse, peu de droit
La Stratégie nationale de développement de l'intelligence artificielle, présentée en septembre 2023 avec un horizon 2028, a été élaborée avec l'appui méthodologique de l'UNESCO. Elle s'articule autour de six orientations : capital humain, transfert « Lab to Market », constitution d'un Cluster Sénégal IA, positionnement en hub régional ouest-africain, appropriation citoyenne (« l'IA l'affaire de tous ») et gouvernance d'une IA de confiance. Son objectif chiffré central : former environ 90 000 Sénégalais à la science des données et à l'IA d'ici 2028. Elle prévoit expressément des bacs à sable réglementaires et des évaluations d'impact des systèmes d'IA.
Le New Deal Technologique, lancé le 24 février 2025 par le président Bassirou Diomaye Faye et inscrit dans l'agenda Sénégal 2050, a englobé cette dynamique dans une stratégie numérique nationale : douze programmes prioritaires, cinquante projets, dont un programme « IA & Digital Factory » visant à produire, utiliser et exporter des technologies d'IA. Les objectifs à l'horizon 2034 donnent la mesure de l'ambition : porter la contribution du numérique à 15 % du PIB, former 100 000 professionnels, héberger localement 100 % des données sensibles, dématérialiser 90 % des démarches administratives en y intégrant l'IA. Sur le terrain, les réalisations sont tangibles : supercalculateur Taouey (537,6 téraflops) à la Cité du Savoir de Diamniadio, datacenter national, certification de plus de 3 500 enseignants à l'IA début 2026 avant généralisation au corps enseignant, chantier d'un « blueprint » national des cas d'usage des données et de l'IA engagé en juillet 2026 avec Smart Africa.
Mais une stratégie n'est pas un cadre juridique. La SNDIA et le New Deal fixent des objectifs de politique publique ; ils ne créent ni droits, ni obligations, ni mécanismes de recours. Trois angles morts ressortent à la lecture :
La « gouvernance d'une IA de confiance » reste programmatique. Les bacs à sable réglementaires et les évaluations d'impact annoncés par la SNDIA n'ont pas encore de support normatif : aucun texte ne définit qui les conduit, selon quel référentiel, avec quelles conséquences juridiques. Une sandbox sans référentiel de sortie est une expérimentation, pas un cadre.
La souveraineté de la donnée progresse plus vite que la protection de la donnée. Le projet de loi n°25/2026 impose l'hébergement local des données de l'État, mais la loi qui protège les personnes concernées, la loi 2008-12, reste celle de 2008. Concentrer les données publiques dans des infrastructures nationales sans moderniser en parallèle le régime des droits des personnes et des obligations des responsables de traitement, c'est traiter le contenant avant le contenu.
La place du citoyen face à l'algorithme n'est pas abordée. L'administration prédictive, les tuteurs pédagogiques IA en langues locales, l'analytique de santé figurent parmi les cas d'usage mis en avant. Mais lorsqu'un système d'IA prendra une décision affectant les droits d'un citoyen sénégalais, refus d'un crédit, attribution d'une prestation, orientation scolaire, quelles seront les obligations de transparence, de motivation, de contestation ? Ni la SNDIA ni le New Deal ne le disent.
3. Les frictions juridiques que l'IA fait remonter dans le droit existant
3.1. Protection des données personnelles : une loi de 2008 face aux systèmes de 2026
La loi n°2008-12 a été pionnière en Afrique de l'Ouest. Mais elle a été conçue pour un monde de fichiers et de formulaires, pas pour l'apprentissage automatique. La CDP en a fait le constat public : un avant-projet de révision existe depuis 2019, retravaillé en atelier avec le ministère chargé du Numérique en octobre 2024, précisément pour saisir la biométrie, le big data et l'IA. À la mi-2026, cette réforme n'est toujours pas adoptée, et la loi de 2008 demeure le droit positif.
L'IA met ce texte à l'épreuve sur quatre points :
L'entraînement des modèles. La constitution de jeux de données massifs, par scraping, licence ou collecte directe, implique presque toujours des données personnelles. La loi de 2008 raisonne en déclarations et autorisations préalables auprès de la CDP, un schéma pensé pour des traitements stables et délimités, difficilement transposable à des modèles entraînés sur des corpus évolutifs.
Les décisions automatisées. La loi ne comporte pas l'outillage procédural que le RGPD a généralisé : pas d'analyse d'impact obligatoire pour les traitements à haut risque, pas d'obligation d'expliquer la logique d'un traitement algorithmique, pas de droit spécifique à l'intervention humaine.
La biométrie et la surveillance. L'activité récente de la CDP est éloquente : sur les 283 récépissés délivrés au premier trimestre 2026, plus de 75 % concernaient la vidéosurveillance, et la Commission a publiquement alerté sur la montée de la biométrie, refusant notamment un dispositif de caméras embarquées filmant la voie publique. Le contentieux de demain se noue là : vidéosurveillance algorithmique, reconnaissance faciale, scoring.
Les transferts internationaux. L'IA générative s'appuie majoritairement sur des infrastructures situées hors d'Afrique. Tout déploiement d'un service d'IA grand public au Sénégal implique de qualifier ces flux au regard de la loi 2008-12 et, pour les données de l'État, de la future obligation d'hébergement local.
3.2. Responsabilité civile et pénale : un vide qui dure
La question, qui est responsable quand un système d'IA cause un dommage ? n'a aucune réponse spécifique en droit sénégalais. Les mécanismes mobilisables relèvent du droit commun du Code des obligations civiles et commerciales : responsabilité du fait des choses, qui suppose d'identifier un gardien alors que la chaîne de l'IA dilue cette qualification entre fournisseur, intégrateur, déployeur et utilisateur ; responsabilité contractuelle, tributaire de stipulations souvent déséquilibrées au profit du fournisseur ; responsabilité pénale, qui bute sur l'exigence d'un élément intentionnel difficile à imputer quand la décision procède d'un système probabiliste. Le juge sénégalais devra, à droit constant, adapter ces catégories aux dommages algorithmiques : erreur d'un système d'aide au diagnostic, refus de crédit automatisé, accident impliquant un système autonome.
3.3. Discrimination algorithmique : un sujet non encore juridicisé
La Constitution sénégalaise garantit l'égalité devant la loi et la non-discrimination. Mais aucun texte ne définit la discrimination algorithmique, n'impose de tests d'équité, ni n'organise la charge de la preuve dans un contentieux où la victime n'a aucun accès au modèle. Or les terrains sont déjà là : scoring de crédit dans un écosystème fintech en pleine structuration sous l'agrément BCEAO, présélection au recrutement, ciblage publicitaire, et demain l'administration prédictive annoncée par le New Deal. L'AI Act européen classe ces usages parmi les systèmes à haut risque et impose gouvernance des données d'entraînement, documentation et supervision humaine. Le droit sénégalais n'a, à ce jour, aucun équivalent.
3.4. Propriété intellectuelle et IA générative : l'enjeu OAPI
Le Sénégal est membre de l'Organisation africaine de la propriété intellectuelle. L'Accord de Bangui révisé en 2015, en vigueur depuis novembre 2020, ne traite ni de la titularité des œuvres générées par IA, ni du statut des données d'entraînement au regard du droit d'auteur. Une œuvre générée par un modèle peut-elle être protégée alors que l'originalité s'entend de l'empreinte de la personnalité d'un auteur ? L'entraînement sur des œuvres protégées sans autorisation relève-t-il d'une exception ou exige-t-il une licence ? Le droit OAPI n'a pas encore de réponse explicite, alors même que la SNDIA ambitionne de faire émerger une filière créative et technologique nationale dont les productions auront besoin d'un statut juridique clair.
3.5. Deepfakes, désinformation, intégrité de l'information
La loi n°2008-11 et le Code pénal permettent de réprimer une partie du contentieux des hypertrucages : diffusion de fausses nouvelles, atteinte à l'honneur, usurpation d'identité numérique, que la CDP voit d'ailleurs remonter dans ses réclamations. Mais le droit sénégalais ne dispose d'aucun des outils techniques que l'AI Act européen impose à compter d'août 2026 : étiquetage des contenus synthétiques, marquage, traçabilité. Dans un pays où le débat public est intense et fortement numérisé, cette dissymétrie entre la sophistication des outils de génération et l'outillage du droit est un risque démocratique autant que juridique.
4. L'extraterritorialité de l'AI Act : une contrainte directe pour les acteurs sénégalais
Le règlement (UE) 2024/1689, l'AI Act, s'applique à tout fournisseur ou déployeur de systèmes d'IA dont les résultats sont utilisés dans l'Union européenne, indépendamment du lieu d'établissement. Pour l'écosystème sénégalais, dont la stratégie revendique explicitement une vocation exportatrice, la conséquence est directe :
Une startup dakaroise qui propose un service d'IA accessible à des utilisateurs européens entre dans le champ du règlement ;
Un éditeur SaaS ou un cabinet servant des clients européens via un système d'IA est concerné ;
Une filiale sénégalaise d'un groupe européen voit la conformité AI Act remonter par contrat.
Les obligations s'échelonnent selon le risque : pratiques interdites depuis février 2025, modèles d'usage général depuis août 2025, systèmes à haut risque et transparence des contenus générés à compter d'août 2026. Les entreprises sénégalaises qui visent le marché européen doivent donc déjà construire leur conformité sur un double standard, loi 2008-12 plus AI Act, quitte à être plus exigeantes que ce que le droit national leur impose. C'est précisément ce double référentiel qui constitue, à notre lecture, le levier de modernisation le plus puissant pour l'écosystème local : la conformité externe tire la conformité interne, plus vite que le législateur.
5. Une position continentale forte, une articulation régionale à construire
Le Sénégal figure parmi les pays africains les mieux positionnés sur l'IA. Le Government AI Readiness Index 2024 d'Oxford Insights le classait quatrième d'Afrique subsaharienne (score de 42,58), derrière Maurice, l'Afrique du Sud et le Rwanda, et l'AI Investment Potential Index publié par l'Agence française de développement le range parmi les neuf pays africains du groupe le plus avancé, au potentiel d'investissement supérieur à la moyenne mondiale. L'édition 2025 de l'indice d'Oxford Insights nuance toutefois le tableau : le Sénégal y recule dans le peloton continental, dépassé notamment par le Kenya, le Nigeria, le Ghana et le Bénin. L'avance stratégique ne dure que si elle se traduit en textes et en réalisations. Cette crédibilité s'inscrit dans le cadre posé par la Stratégie continentale de l'Union africaine sur l'IA, adoptée à Accra en juillet 2024, dont le Sénégal épouse les axes : maximiser les bénéfices de l'IA pour le développement, renforcer les capacités, atténuer les risques, stimuler l'investissement et la coopération.
Reste l'opérationnalisation. La Convention de Malabo, que Dakar a ratifiée dès 2016, a mis neuf ans à entrer en vigueur. Pour que le leadership stratégique du Sénégal se traduise en leadership normatif, trois chantiers législatifs s'imposent dans le prolongement de la SNDIA :
Achever la refonte de la loi sur les données personnelles, en dotant la CDP d'outils adaptés à l'IA (analyses d'impact, encadrement des décisions automatisées, biométrie) ;
Donner un support normatif aux bacs à sable et aux évaluations d'impact annoncés par la SNDIA, avec un référentiel de sortie opposable ;
Articuler la future Autorité nationale de cybersécurité, la CDP, l'ARTP et les régulateurs sectoriels autour d'une doctrine commune des systèmes d'IA à haut risque (santé, finance, justice, éducation, RH).
Ce qu'il faut retenir, pour les juristes et les responsables conformité
Le Sénégal offre un cas d'école : une politique publique de l'IA parmi les plus abouties du continent, adossée à un socle législatif dont la pièce maîtresse a dix-huit ans. Pour un opérateur économique qui développe ou déploie de l'IA au Sénégal, trois priorités s'imposent dès aujourd'hui :
Cartographier ses systèmes d'IA et leur niveau de risque au sens de l'AI Act, même sans obligation locale équivalente. C'est l'investissement de conformité qui dégage le plus de valeur sur la durée, et il sera réutilisable le jour où la réforme sénégalaise aboutira.
Construire la conformité sur la loi 2008-12 telle qu'elle est, sans attendre sa révision : formalités préalables auprès de la CDP, registre des traitements, sécurité, encadrement des transferts. La CDP est active, ses avis trimestriels le montrent, et la vidéosurveillance comme la biométrie sont déjà dans son viseur.
Suivre la séquence législative en cours : le projet de loi n°25/2026 sur les infrastructures critiques et la sécurité numérique, l'avant-projet de réforme des données personnelles et les textes d'application du New Deal Technologique dessineront, dans les prochains mois, le cadre dans lequel opéreront tous les déployeurs d'IA au Sénégal.
Pour les juristes, le terrain est ouvert. La doctrine sénégalaise sur l'IA en est à ses débuts, et les premiers contentieux, décision automatisée contestée, biométrie illicite, hypertrucage en période électorale, façonneront un droit qu'aucun texte ne préfigure encore.
Suivre ce droit en train de se faire
Le droit sénégalais de l'IA n'existe pas encore comme corpus autonome. Il se construit à la jonction de textes dispersés, lois de 2008, Code des communications électroniques, Convention de Malabo, Acte additionnel CEDEAO, projet de loi n°25/2026, AI Act européen, de stratégies (SNDIA, New Deal Technologique) et de positions de régulateurs (CDP, ARTP, BCEAO, future Autorité nationale de cybersécurité). Pour un juriste, un responsable conformité ou un dirigeant qui doit décider aujourd'hui, le défi n'est pas conceptuel, il est documentaire : trouver le bon texte, dans la bonne version, au bon moment.
C'est précisément ce que Maathis résout. La plateforme agrège la législation, la jurisprudence et la doctrine de l'ensemble des pays d'Afrique francophone, droit national sénégalais, textes UEMOA et CEDEAO, actes uniformes et jurisprudence OHADA, Convention de Malabo, instruments de l'Union africaine, dans un moteur de recherche unique, mis à jour en continu et conçu pour le travail des praticiens. Vous y retrouvez les lois de 2008 dans leur version en vigueur, le Code des communications électroniques, les décisions des juridictions nationales et régionales, la doctrine francophone africaine, et, au fur et à mesure de leur adoption, les textes issus de la séquence législative en cours, croisés avec la jurisprudence et la doctrine afférentes.
Si vous travaillez la conformité numérique, le contentieux technologique ou la stratégie réglementaire dans cet espace, arrêtez de perdre du temps à reconstituer le corpus à la main. Créez votre compte sur Maathis, l'outil est conçu pour ceux qui n'ont pas trois heures à passer pour ouvrir un texte qui devrait s'ouvrir en trois clics.
