La mobilisation du secteur privé en 2026
La CGECI Academy 2026, programmée les 29 et 30 octobre, retient le thème « Capital humain, levier stratégique pour l’Afrique ». Le programme publié comprend une table ronde sur les effets de l’intelligence artificielle sur le capital humain et des échanges sur la connaissance et les compétences. [, ]
La deuxième CGECI Data Day, organisée le 10 septembre 2026 selon le compte rendu du patronat, traite de la stratégie de données et de l’usage de l’IA dans la décision des dirigeants. La CGECI documente également, avec le soutien du FDFP, un projet de formation à l’IA et au Big Data ayant formé 276 auditeurs de 44 entreprises. Le projet visait 62 entreprises ; le bilan publié fait état de 44 entreprises représentées. [, ]
Ces initiatives témoignent d’une mobilisation sur les compétences et la gouvernance des données. Elles ne mesurent pas, en revanche, le taux national d’adoption de l’IA ni le rendement moyen des projets. Les recommandations qui suivent sont donc à adapter au diagnostic de chaque entreprise.
La portée de la stratégie nationale de l’IA
La Stratégie nationale de l’intelligence artificielle à l’horizon 2030 s’organise autour de l’investissement, de l’inclusion et de la gouvernance. Elle propose notamment des actions sur les compétences, les infrastructures, la qualité des données et le cadre juridique. Elle envisage un cloud souverain et l’élaboration d’un dispositif spécifique à l’IA. Les actions proposées doivent être distinguées des mesures effectivement adoptées et des services disponibles. []
Ni la stratégie nationale ni les initiatives citées ne créent, pour les entreprises privées, d’obligation générale de migrer vers un cloud local ou d’acquérir une solution de cybersécurité fondée sur l’IA. L’entreprise doit examiner ses obligations de sécurité, les traitements et transferts de données, les règles de son secteur et les exigences contractuelles. Un hébergement local peut répondre à un besoin précis ; sa localisation ne suffit pas à démontrer la conformité du service. [, , ]
Recommandation : vérifier le texte applicable à chaque exigence annoncée par un fournisseur. Une certification commerciale, une orientation nationale ou une participation à un événement ne remplace pas une autorisation de traitement, un agrément sectoriel ou une preuve de sécurité.
Qualifier les risques et protéger les données
Les usages d’IA non approuvés, parfois désignés par « Shadow AI », doivent être recherchés dans l’inventaire des outils et des flux. Leur ampleur dans les entreprises ivoiriennes n’est pas mesurée à ce jour. Leur risque doit être évalué à partir des usages réels : documents transmis, catégories de personnes, conservation, réutilisation par le fournisseur et accès des sous-traitants.
La loi n° 2013-450 reste pertinente dès qu’un outil d’IA traite des données personnelles. Le projet doit être rattaché à une finalité, à une justification de licéité, aux formalités applicables et aux mesures de sécurité. L’analyse inclut l’information des personnes, leurs droits, la durée de conservation et les transferts éventuels. Un outil déjà utilisé pour une tâche ne peut être étendu sans examen à un autre objectif, comme la notation des salariés. [, ]
Le profil de gestion des risques de l’IA générative du NIST, publié en juillet 2024, décrit notamment les erreurs produites avec assurance, les atteintes à la vie privée, les risques de sécurité et les dépendances aux composants et fournisseurs. Il constitue une référence technique volontaire, sans créer à lui seul une obligation ivoirienne. []
Recommandation : autoriser une liste d’outils et de cas d’usage, définir les données admissibles et vérifier les paramètres de conservation et d’entraînement. Exiger une validation avant de connecter un assistant à la messagerie, aux fichiers partagés ou aux logiciels métiers. Pour un agent capable d’agir, limiter les droits et les opérations, tester les résultats et maintenir une possibilité d’arrêt et de reprise humaine. Les secrets professionnels et données sensibles demandent un examen spécifique avant toute transmission.
Choisir et tester des cas d’usage
Les cas ci-dessous sont des exemples à évaluer. Ils ne constituent ni une mesure de la demande nationale ni une promesse de gains.
| Usage envisagé | Vérification avant le pilote | Preuve à conserver |
|---|---|---|
| Assistant documentaire interne | Droits sur les documents et accès selon le métier | Liste des sources autorisées et tests de restitution |
| Réponses au service client | Exactitude des réponses et recours à un interlocuteur humain | Scénarios de test et validation des messages |
| Détection d’anomalies ou de fraude | Qualité des données et conséquences des faux positifs | Mesures de performance et décisions de revue humaine |
| Aide à la gestion des ressources humaines | Pertinence des critères et effets sur les personnes | Analyse juridique et procédure de contestation |
| Agent de traitement de tâches | Permissions et opérations nécessitant une approbation | Journal des actions et test de retour au fonctionnement antérieur |
Recommandation : définir avant le pilote une situation de référence, le gain attendu et les critères d’arrêt. Mesurer le temps réellement économisé après contrôle humain, le taux d’erreur et le coût total, y compris l’intégration, les abonnements et la maintenance. Un résultat de démonstration doit être confirmé sur des cas représentatifs avant une extension.
Interpréter les chiffres de cybercriminalité
Une communication gouvernementale du 15 juillet 2025, rapportant les données présentées par l’ANSSI, indique 12 100 dossiers enregistrés en 2024, contre 8 132 en 2023 et 6 579 en 2022. La hausse sur deux ans est d’environ 84 %. Le chiffre concerne des dossiers couvrant plusieurs catégories de victimes et d’infractions ; il ne correspond ni à 12 100 entreprises attaquées, ni à des incidents causés par l’IA. []
L’ANSSI cite notamment le hameçonnage, les rançongiciels, les compromissions de comptes et les fuites de données dans son panorama des menaces. Ces risques justifient une préparation adaptée à l’activité. Les dossiers enregistrés reflètent aussi les signalements et ne constituent pas, à eux seuls, une mesure exhaustive de la fréquence des attaques. []
Organiser la sécurité et les responsabilités
Recommandation : traiter d’abord les accès, l’authentification, les mises à jour, les sauvegardes testées et les procédures de réaction. Les alertes automatisées doivent parvenir à une personne ou à un prestataire identifié, avec une capacité d’intervention définie. Une surveillance continue peut être pertinente selon la criticité, mais l’achat d’un outil présenté comme intelligent ne démontre pas l’existence d’un service opérationnel.
Pour les systèmes soumis au RGSSI ou à l’audit réglementaire, les mesures et preuves doivent être rattachées au périmètre et aux exigences applicables, comme indiqué aux chapitres 5 et 6. Le recours à l’IA ne remplace ni les audits requis ni le traitement des incidents. Les journaux de sécurité contenant des données personnelles doivent eux-mêmes être encadrés. [, , ]
Recommandation : faire approuver les usages importants par la direction avec le métier, l’informatique et le juridique. Former les utilisateurs à vérifier les réponses et à signaler les erreurs, les envois de données non autorisés et les messages suspects. La charte doit décrire les outils permis, les restrictions et le circuit d’assistance dans un langage accessible.
Le dossier du projet devrait réunir la décision de lancement, la description des flux, les formalités, le contrat fournisseur, les tests, les habilitations et le plan de réaction. Prévoir une réévaluation lorsqu’un modèle, une fonction, un fournisseur ou une catégorie de données change. Les annexes B et C peuvent servir au suivi des actions et des preuves.