Lakana 360 : l’IA de surveillance met-elle la souveraineté cognitive africaine à l’épreuve ?

Une infrastructure numérique n’est pas souveraine parce qu’elle est installée sur un territoire national. Elle ne l’est que si sa finalité, ses données, ses modèles, ses accès et ses mécanismes de contrôle restent juridiquement gouvernés.

Le cas Lakana 360, présenté par Anthropic dans son rapport de septembre 2026 sur les usages malveillants de l’intelligence artificielle, donne à cette exigence une portée concrète. Selon le rapport, un consultant aurait utilisé Claude comme principal appui d’ingénierie pour développer une plateforme de surveillance destinée au service de renseignement de l’État malien. Anthropic décrit un système capable de traiter des données issues des trois opérateurs mobiles nationaux, de générer des dossiers sur des numéros de téléphone et de contourner, dans certaines fonctions, l’exigence d’une autorisation judiciaire. [1]

Ces éléments proviennent d’un rapport de sécurité publié par un fournisseur d’IA. Ils doivent donc être présentés comme des faits rapportés et non comme des constatations judiciaires définitives. Ils n’en soulèvent pas moins une question majeure pour les États, les opérateurs télécoms, les banques et les fintechs africaines : comment construire une souveraineté numérique qui protège réellement la décision publique et les droits fondamentaux ?

L’essentiel en motion design

Cette animation commentée de 2.6 minutes remplace l’infographie traditionnelle : elle suit le raisonnement de l’analyse, du cas rapporté jusqu’aux six verbes de la souveraineté cognitive. Le son est nécessaire : lancez la lecture pour entendre la voix-off ; les sous-titres sont activés par défaut.

Lakana 360 : ce que rapporte la source principale

Dans son rapport, Anthropic affirme avoir identifié une opération liée à la conception d’une plateforme appelée Lakana 360. Le système aurait été développé avec l’assistance de Claude, tandis que son déploiement final aurait reposé sur une architecture locale et des modèles exécutés sur site. Le rapport précise que les mesures prises contre le compte utilisé sur Claude n’ont pas permis, à elles seules, de désactiver le produit déployé localement. [1]

Anthropic décrit notamment une capacité de traitement à l’échelle de la population mobile du Mali, estimée à environ 25 millions de cartes SIM. La plateforme aurait combiné des données d’appels, de messages et de communications vocales. Elle aurait également intégré des fonctions d’identification vocale, de détection de l’usage de VPN ou d’outils de chiffrement, de suivi géographique et de rapprochement avec des registres biométriques et administratifs. [1]

Le point le plus sensible concerne la production automatisée de dossiers de renseignement. Selon Anthropic, la fonction de génération d’un dossier sur un numéro de téléphone aurait été configurée sans exiger systématiquement la présentation d’une procédure judiciaire valide. Le rapport indique aussi que certaines données auraient été conservées pour une durée indéfinie. [1]

La portée exacte de ces allégations devra être appréciée à partir de sources indépendantes, d’éventuelles investigations officielles et d’éléments contradictoires. Une analyse sérieuse ne doit donc ni transformer le rapport en jugement définitif, ni écarter le problème au motif qu’il n’existerait pas encore de décision juridictionnelle publique.

Une infrastructure nationale n’est pas nécessairement une infrastructure souveraine

Le cas Lakana 360 permet de distinguer trois notions souvent confondues : la localisation technique, la souveraineté numérique et la souveraineté cognitive.

La localisation technique signifie qu’un système, des serveurs ou des données sont hébergés dans un pays. Cette localisation peut réduire certaines dépendances, mais elle ne répond pas à toutes les questions de contrôle.

La souveraineté numérique désigne la capacité d’un État ou d’une institution à maîtriser ses infrastructures, ses données, ses prestataires et ses conditions d’accès. Elle suppose de pouvoir contrôler les flux, auditer les systèmes, révoquer les autorisations et assurer la continuité du service.

La souveraineté cognitive va plus loin. Elle concerne la capacité à comprendre, contrôler et contester les mécanismes algorithmiques qui influencent une décision. Un État peut posséder une infrastructure locale et rester dépendant d’un fournisseur étranger pour les modèles, les mises à jour, les compétences, les outils d’audit ou les standards de sécurité.

La véritable question n’est donc pas seulement : où le système est-il hébergé ? Elle est aussi :

• qui définit sa finalité ;
• qui autorise l’accès aux données ;
• qui peut modifier les règles de fonctionnement ;
• qui conserve les journaux d’activité ;
• qui vérifie les résultats produits ;
• qui peut suspendre le système ;
• qui répond des erreurs, des abus et des dommages ?

Une capacité de surveillance ne devient pas légitime parce qu’elle est nationale. Elle doit rester nécessaire, proportionnée, traçable et soumise à un contrôle indépendant.

Le risque d’une chaîne de surveillance augmentée par l’IA

L’IA modifie la nature de la surveillance en transformant des volumes de données en hypothèses, en profils et en priorités d’action. Le danger ne réside pas uniquement dans la collecte initiale. Il se situe aussi dans la corrélation automatique de données qui n’avaient pas été recueillies pour être analysées ensemble.

Une communication peut être associée à une localisation. Une voix peut être rapprochée de plusieurs cartes SIM. Un déplacement peut être interprété comme une rencontre clandestine. L’utilisation d’un VPN peut être considérée comme un signal de risque. Un nom peut être rapproché d’un registre biométrique. À chaque étape, l’algorithme peut produire une alerte qui semble objective alors qu’elle repose sur des données incomplètes, biaisées ou mal interprétées.

Cette chaîne comporte au moins cinq risques.

1. Le risque de faux positif

Une alerte algorithmique n’est pas une preuve. Elle peut résulter d’une mauvaise qualité des données, d’une erreur d’identification vocale, d’un rapprochement erroné ou d’un modèle incapable de tenir compte du contexte local.

Si l’alerte déclenche automatiquement une enquête, une interception ou une restriction de liberté, l’erreur technique devient une conséquence juridique et humaine.

2. Le risque de profilage généralisé

La surveillance de masse transforme des personnes non suspectées en objets permanents d’analyse. Elle inverse la logique de l’État de droit : au lieu de partir d’un indice précis pour obtenir une autorisation, elle collecte d’abord et cherche ensuite une justification.

Cette logique est particulièrement dangereuse lorsqu’elle associe données télécoms, informations biométriques, historiques de localisation et données administratives.

3. Le risque de contournement judiciaire

Le contrôle judiciaire n’est pas une formalité administrative. Il constitue une garantie contre l’extension indéfinie d’un pouvoir de surveillance.

Un système qui produit un dossier sur un numéro sans vérifier l’existence d’une base légale, d’une autorisation ou d’une finalité documentée transforme une exception en fonctionnement normal. L’automatisation ne doit jamais supprimer les conditions juridiques de l’action publique.

4. Le risque d’opacité institutionnelle

Une personne ne peut pas contester une décision si elle ignore qu’elle a été ciblée, si elle ne connaît pas la source de l’alerte ou si aucun journal d’accès n’est conservé.

L’opacité peut concerner le code, mais aussi les procédures, les responsabilités et les paramètres d’utilisation. Un système peut être techniquement performant et institutionnellement incontrôlable.

5. Le risque de dépendance critique

Même lorsqu’un modèle étranger n’est pas directement présent dans l’architecture finale, il peut avoir servi à concevoir une capacité nationale. L’épisode rapporté par Anthropic montre ainsi une limite importante des mesures de suspension de compte : bloquer l’accès à un service d’IA ne suffit pas nécessairement à neutraliser un logiciel déjà déployé localement. [1]

La sécurité doit donc porter sur l’ensemble de la chaîne : conception, code, données, modèles, déploiement, maintenance, accès et audit.

Quel cadre minimal pour une IA de surveillance légitime ?

Les États ont besoin de capacités de renseignement et de cybersécurité. La question n’est pas de nier ces besoins, mais de les inscrire dans une architecture de responsabilité.

Tout système sensible devrait au minimum répondre aux exigences suivantes.

Une finalité légale et précise

La loi doit définir les objectifs autorisés, les personnes habilitées, les catégories de données concernées et les usages interdits. Une finalité vague comme la « sécurité nationale » ne peut pas justifier une collecte illimitée.

Une autorisation indépendante

Les opérations les plus intrusives doivent être soumises à une autorisation préalable d’une autorité indépendante, selon des critères vérifiables de nécessité et de proportionnalité.

Une séparation des pouvoirs techniques

L’agent qui demande l’accès, celui qui l’autorise, celui qui administre la plateforme et celui qui contrôle les journaux ne devraient pas être la même personne. Cette séparation réduit le risque d’abus et facilite les enquêtes.

Une journalisation inviolable

Chaque consultation, export, modification de règle et génération de dossier doit être enregistré. Les journaux doivent être protégés contre l’altération et accessibles à un organe de contrôle indépendant.

Une durée de conservation limitée

Les données ne doivent pas être conservées indéfiniment par défaut. La durée doit être liée à la finalité, contrôlée et réévaluée.

Un audit indépendant

L’audit doit porter sur le code, les modèles, les paramètres, les jeux de données, les accès et les résultats. Une simple certification documentaire ne suffit pas pour un système capable d’affecter les libertés publiques.

Un mécanisme de recours

Toute personne affectée par une décision significative doit pouvoir contester l’usage du système et obtenir une réponse d’une autorité compétente. Le secret opérationnel ne peut pas supprimer tout droit au recours.

Un arrêt d’urgence réellement indépendant

Le système doit pouvoir être suspendu rapidement sans dépendre du fournisseur initial ni d’un opérateur qui aurait intérêt à maintenir son fonctionnement. La réversibilité est une exigence de souveraineté.

Les enseignements pour les banques, les fintechs et la conformité financière

Le cas Lakana 360 concerne directement les institutions financières, même si la plateforme décrite relève de la surveillance des communications.

Les banques et les fintechs utilisent déjà des outils automatisés pour le KYC, la détection de fraude, la surveillance transactionnelle et la lutte contre le blanchiment de capitaux et le financement du terrorisme. Ces outils poursuivent une finalité légitime, mais ils peuvent produire des effets comparables lorsqu’ils croisent de nombreuses sources de données et génèrent des profils de risque.

La conformité ne doit donc pas devenir une surveillance indiscriminée. Une alerte LBC/FT n’est pas une condamnation. Un score de risque n’est pas une preuve. Une corrélation algorithmique ne dispense pas d’une analyse humaine documentée.

Les institutions financières devraient notamment vérifier :

• la base juridique de chaque catégorie de données utilisée ;
• la proportionnalité des variables intégrées au modèle ;
• la possibilité d’expliquer une alerte ;
• la traçabilité des interventions humaines ;
• la durée de conservation des données ;
• la localisation et la réversibilité du service ;
• la capacité à auditer le fournisseur ;
• la procédure de contestation et de correction d’une erreur.

Cette approche rejoint les enjeux de souveraineté cognitive et de cybersécurité judiciaire dans l’espace OHADA, ainsi que ceux de la régulation de l’IA en Afrique pour les banques et les fintechs.

Elle doit également être rapprochée de la réflexion sur la fraude augmentée par l’IA et la dépendance aux technologies étrangères. Dans tous ces domaines, le principe est identique : une technologie de détection n’est fiable que si sa gouvernance permet de comprendre, vérifier et contester ses résultats.

Vers une souveraineté cognitive juridiquement gouvernée

Lakana 360 ne doit pas être traité comme un simple épisode technologique ou comme une accusation isolée visant un pays. Le cas rapporté pose un problème régional et international : une capacité numérique peut-elle être qualifiée de souveraine lorsqu’elle fonctionne sans contrôle indépendant, sans traçabilité complète et sans recours effectif ?

La réponse de GSF Consulting International est claire : la souveraineté ne se mesure pas à la puissance de surveillance, mais à la capacité de gouverner cette puissance.

Une doctrine opérationnelle de souveraineté cognitive devrait reposer sur six verbes : localiser, sécuriser, tracer, limiter, auditer et responsabiliser.

• Localiser, pour connaître les infrastructures, les données et les dépendances critiques.
• Sécuriser, pour protéger les accès, les communications et les modèles.
• Tracer, pour conserver la preuve de chaque action significative.
• Limiter, pour empêcher l’extension d’une finalité légitime vers une surveillance générale.
• Auditer, pour contrôler les règles, les données et les résultats.
• Responsabiliser, pour identifier les décideurs et garantir un recours effectif.

Une IA de surveillance peut être techniquement nationale et juridiquement étrangère à l’État de droit. À l’inverse, une architecture souveraine n’est pas celle qui concentre le plus de données : c’est celle dont les pouvoirs sont définis, contrôlés, réversibles et contestables.

La question décisive n’est donc plus seulement : que peut faire Lakana 360 ou une technologie comparable ? Elle est : qui peut autoriser son usage, qui peut vérifier ses résultats, qui peut l’arrêter et qui répond de ses conséquences ?

Questions fréquentes

Qu’est-ce que Lakana 360 ?

Lakana 360 est le nom donné par Anthropic à une plateforme de surveillance que la société affirme avoir été développée avec l’assistance de Claude pour le service de renseignement de l’État malien. Les informations disponibles proviennent principalement du rapport publié par Anthropic en septembre 2026 et doivent être distinguées de faits judiciairement établis. [1]

Lakana 360 a-t-elle été officiellement reconnue ou condamnée par une juridiction ?

Les sources utilisées pour cette analyse ne permettent pas d’affirmer l’existence d’une décision judiciaire publique établissant définitivement l’ensemble des faits rapportés. Il convient donc d’employer des formulations prudentes : « selon Anthropic », « le rapport décrit » ou « la plateforme aurait ».

La souveraineté numérique signifie-t-elle simplement héberger les données dans le pays ?

Non. La souveraineté numérique suppose aussi la maîtrise des modèles, des accès, des infrastructures, des mises à jour, des audits, de la maintenance et des mécanismes de recours.

Pourquoi le cas Lakana 360 concerne-t-il les banques et les fintechs ?

Parce que les institutions financières utilisent elles aussi des systèmes automatisés qui croisent des données et produisent des alertes. La détection de fraude et la LBC/FT doivent rester proportionnées, explicables, traçables et soumises à une supervision humaine réelle.

Que signifie la souveraineté cognitive ?

La souveraineté cognitive désigne la capacité d’un État ou d’une organisation à comprendre, contrôler, auditer et contester les systèmes algorithmiques qui influencent ses décisions et ses activités stratégiques.

GSF Consulting International accompagne les banques, institutions, entreprises et décideurs sur les enjeux de gouvernance de l’IA, de conformité LBC/FT, de droit OHADA, de cybersécurité juridique et de souveraineté cognitive. Découvrir l’Audit de Souveraineté Cognitive™ · Consulter toutes les analyses

Références

1. Anthropic, Detecting and countering misuse of AI: September 2026 — https://www.anthropic.com/threat-intelligence-report-september-2026
2. GSF Consulting International, OHADA, e-justice et cybersécurité : sécuriser la justice numérique et les flux contentieux en Afrique — /analyses/ohada-ejustice-cybersecurite-souverainete-numerique/
3. GSF Consulting International, Régulation de l’IA en Afrique : vers un modèle de souveraineté numérique pour les banques et les fintechs ? — /analyses/regulation-ia-afrique-souverainete-numerique/
4. GSF Consulting International, Fraude augmentée par l’IA en Afrique : la conformité financière peut-elle encore rester dépendante de technologies étrangères ? — /analyses/fraude-ia-afrique-conformite-technologies-etrangeres/