Algerien, Gesetz 18-07 und generative KI: Was die ANPDP von Firmen erwartet

In vielen algerischen Unternehmen ist generative KI durch die Hintertür gekommen. Ein Kundenberater formuliert damit Briefe, eine Personalreferentin sortiert Lebensläufe, ein Buchhalter analysiert eine Excel-Tabelle. Niemand hat das wirklich entschieden, und kaum jemand hat es gemeldet.

Das Problem: Algerien hat einen der strengsten Datenschutzrahmen der Region. Das Gesetz Nr. 18-07 vom 10. Juni 2018, geändert durch das Gesetz Nr. 25-11 vom 24. Juli 2025, schreibt Formalitäten vor der Verarbeitung und eine strenge Kontrolle von Übermittlungen ins Ausland vor. Wer Kundendaten in einen im Ausland gehosteten KI-Assistenten kopiert, berührt genau diese Regeln.

KI ist längst da, nur unsichtbar

Offizielle Zahlen zur KI-Nutzung in algerischen Unternehmen gibt es nicht. Eine Studie des Beraters Arnault Chatel, über die Maghreb Émergent im September 2026 berichtete, stellt fest, dass weder Banken noch Energieunternehmen noch der Handel sich dazu geäußert haben. Sie zitiert aber den KI-Verbreitungsbericht von Microsoft: 13,2 % der Algerier zwischen 15 und 64 Jahren nutzten im ersten Quartal 2026 ein Werkzeug für generative KI.

Der Autor geht davon aus, dass KI in den Büros bereits weit verbreitet ist, nur unsichtbar: Beschäftigte nutzen Verbraucher-Tools ohne Schulung und ohne Aufsicht, oft ohne Wissen ihrer Vorgesetzten. Genau dieses Szenario macht das Gesetz 18-07 riskant.

Dabei geht es oft um die sensibelsten Daten des Unternehmens: Kundenlisten, Gehälter, Akten der Arbeitsmedizin, Verträge mit ausländischen Lieferanten. Sind sie einmal an einen externen Dienst geschickt, hat das Unternehmen keinen Einfluss mehr darauf, wie lange sie gespeichert und wofür sie weiterverwendet werden.

Die ANPDP ist eine echte Aufsichtsbehörde

Die Nationale Behörde für den Schutz personenbezogener Daten (ANPDP) ist seit August 2023 voll arbeitsfähig. Sie existiert nicht nur, sie entscheidet auch. Seit Ende 2025 hat sie unter anderem Regeln zur Benennung von Datenschutzbeauftragten, zu Gesundheitsdaten, zur Videoüberwachung am Arbeitsplatz und zur biometrischen Zeiterfassung erlassen.

Ende Dezember 2025 legte die ANPDP fest, wie Datenschutzbeauftragte zu benennen sind, die nun für öffentliche und private Stellen Pflicht sind. Der DSB berät die Geschäftsleitung, begleitet Folgenabschätzungen und informiert bei einer Datenpanne die Behörde und die Betroffenen. Er wird damit zum natürlichen Ansprechpartner für jede KI-Frage, und seine Meinung sollte vor jeder Einführung eines KI-Assistenten im Unternehmen eingeholt werden.

Meldung, Genehmigung, Übermittlung: drei Schlösser

Das Gesetz 18-07 beruht auf einem einfachen Gedanken: Die ANPDP soll wissen, was Sie mit personenbezogenen Daten tun, bevor Sie es tun. Drei Mechanismen betreffen KI direkt:

1. Vorabmeldung: Jede Verarbeitung muss der ANPDP gemeldet werden. KI-Nutzung mit Kunden- oder Mitarbeiterdaten ist eine eigenständige Verarbeitung.

2. Vorabgenehmigung: Verarbeitungen mit offensichtlichen Risiken für Privatsphäre und Grundfreiheiten brauchen eine Genehmigung. Profiling oder die Analyse sensibler Daten mit KI kann darunter fallen.

3. Übermittlung ins Ausland: Sie bedarf grundsätzlich einer Genehmigung der ANPDP, sofern keine gesetzliche Ausnahme greift. Die großen KI-Assistenten verarbeiten Daten aber auf Servern außerhalb Algeriens.

Anders gesagt: Wer die Liste offener Forderungen einer Filiale in ChatGPT einfügt, nimmt mit einem einzigen Klick eine nicht gemeldete Verarbeitung und eine nicht genehmigte Übermittlung vor. Je nach Verstoß drohen bis zu fünf Jahre Haft und Geldstrafen von bis zu 500.000 Dinar.

Was das Gesetz 25-11 ändert

Die Reform vom Juli 2025 hat den Rahmen verschärft. Sie führt die Begriffe biometrische Daten, Profiling, Pseudonymisierung und Datenpanne ein. Außerdem verlangt sie ein Verzeichnis der Verarbeitungstätigkeiten und eine automatische Protokollierung der Vorgänge, die die ANPDP einsehen kann. Für Unternehmen ist das auch eine gute Gelegenheit, im eigenen Umgang mit Daten wieder Ordnung zu schaffen.

Gerade die Protokollierung ist für KI wichtig. Bei einer Prüfung muss das Unternehmen zeigen, was verarbeitet wurde, von wem und wohin. Ohne ein Werkzeug, das den Austausch mit KI-Assistenten nachverfolgt, ist das unmöglich. Unsere Anatomie eines KI-Datenlecks zeigt, wie solche Abflüsse monatelang unbemerkt bleiben.

Ein realistischer Fahrplan

Ein KI-Verbot ist weder wünschenswert noch wirksam. Algerische Unternehmen fahren besser, wenn sie die Nutzung Schritt für Schritt regeln:

• die tatsächlich genutzten KI-Werkzeuge erfassen, auch in privaten Browsern;

• den DSB einbinden und zugelassene Anwendungen im Verarbeitungsverzeichnis eintragen;

• die betroffenen Verarbeitungen melden und nötige Genehmigungen beantragen, vor allem für Übermittlungen;

• technisch verhindern, dass personenbezogene Daten das Gerät unkontrolliert verlassen, indem sie vor dem Versand anonymisiert werden;

• Vorfälle dokumentieren, um Anfragen der ANPDP beantworten zu können.

Sensibilisierung allein reicht nicht, wie wir in warum KI-Sicherheitsschulungen nicht funktionieren erklären. Es braucht eine Schutzschicht genau in dem Moment, in dem jemand seinen Prompt eingibt. Die formatbewahrende Anonymisierung erhält den Nutzen der KI und entfernt Namen, Kontonummern oder Ausweisnummern. Für die Einführung bietet unser 90-Tage-Rollout-Playbook einen konkreten Zeitplan.

Kurz gesagt

In Algerien machen das Gesetz 18-07 und das Gesetz 25-11 generative KI zu einem echten Compliance-Thema. Die ANPDP ist aktiv, der Datenschutzbeauftragte ist Pflicht, und Datenübermittlungen ins Ausland brauchen eine Genehmigung. Wer seine Beschäftigten KI ohne Kontrolle nutzen lässt, geht ein Risiko ein, das er nicht einmal messen kann.

ZeusLock erkennt sensible Daten in Prompts und Dateien, die an KI-Assistenten gehen, anonymisiert sie, warnt oder blockiert und führt ein Protokoll, auf das Sie sich bei einer Prüfung stützen können. Fordern Sie eine Demo an und sprechen Sie mit unserem Team.