Banken und Fintechs in Senegal: Generative KI und Bankgeheimnis

In einer Bankfiliale in Dakar muss ein Berater auf die Beschwerde eines verärgerten Kunden antworten. Er öffnet ChatGPT, fügt den Kontoverlauf, den Namen des Kunden und die strittigen Buchungen ein und bittet um eine höfliche Antwort. Das Problem: Informationen, die unter das Berufsgeheimnis fallen, haben soeben die Bank verlassen.

Banken, Mikrofinanzinstitute, E-Geld-Emittenten und Fintechs: In Senegal entdeckt die gesamte Finanzbranche die generative KI. Sie tut das unter einer Bedingung, die nur wenige Branchen kennen, denn sie muss zugleich die Bankenregeln der UMOA und das Gesetz Nr. 2008-12 über personenbezogene Daten einhalten.

Eine Branche, in der Vertraulichkeit Pflicht ist

In der UMOA-Zone ist das Bankgeheimnis mehr als eine gute Gewohnheit. Das einheitliche Gesetz über die Bankenregulierung, das der Ministerrat der Union im Juni 2023 verabschiedet hat und das jeder Mitgliedstaat in ein eigenes Gesetz überführt, widmet ihm einen ganzen Artikel. Es gilt für Führungskräfte, Beschäftigte und alle Personen mit Zugang zu Informationen des Instituts. Der Text stellt sogar klar, dass die Pflicht auch nach dem Ausscheiden fortbesteht.

Das Geheimnis darf nur in eng begrenzten Fällen gelüftet werden: gegenüber der Bankenkommission, der BCEAO, der Strafjustiz oder bestimmten gesetzlich vorgesehenen Partnern. Ein öffentlicher KI-Assistent gehört offensichtlich nicht dazu.

Das Gesetz 2008-12 als zweite Ebene

Hinzu kommt das Gesetz Nr. 2008-12 zum Schutz personenbezogener Daten, über das die Datenschutzkommission CDP (Commission de protection des Données Personnelles) wacht. Eine Bank oder ein Fintech, das Kundendaten an einen KI-Dienst sendet, führt eine Verarbeitung durch und meist auch eine Übermittlung aus Senegal heraus. Beides muss den Formalitäten und Garantien des Gesetzes entsprechen.

Die CDP beobachtet die Branche genau. Im Juli 2023 forderte sie mehrere Banken des Landes öffentlich auf, ihre Verarbeitungen rund um die Verknüpfung von Bankkonten und Mobile-Money-Diensten anzumelden. Alle Pflichten im Detail finden Sie in unserem Leitfaden zum Gesetz 2008-12 und generativer KI.

Mobile Money und Fintech: riesige Datenmengen

Senegal gehört zu den aktivsten Märkten für mobiles Bezahlen in der Region. E-Geld-Emittenten, die der Instruktion Nr. 008-05-2015 der BCEAO unterliegen, verarbeiten täglich eine sehr große Zahl von Telefonnummern, Kontoständen und Transaktionsverläufen. Gerade Produkt-, Betrugs- und Kundenservice-Teams setzen KI-Werkzeuge am schnellsten ein.

Genau diese Daten landen in Prompts: ein Transaktionsexport, um eine Auffälligkeit zu verstehen, eine Liste von Agenten für einen Bericht, ein Kundengespräch für eine Standardantwort.

Die häufigsten riskanten Nutzungen

In einer Bank, einem Mikrofinanzinstitut oder einem Fintech sind die heikelsten Situationen oft alltäglich:

• Kundenservice: eine vollständige Beschwerde mit Name, Kontonummer und Beträgen einfügen.

• Kreditvergabe: eine Kreditakte mit Einkommen, Sicherheiten und Ausweisdokumenten zusammenfassen lassen.

• Compliance und Geldwäschebekämpfung: eine KI eine Liste verdächtiger Transaktionen analysieren lassen.

• IT: einen Datenbankauszug oder eine Konfigurationsdatei zur Fehlersuche hochladen.

• Management und Finanzen: einen internen Bericht vor einem Gremium oder einer Prüfung der Bankenkommission umformulieren lassen.

Keine dieser Handlungen ist böswillig. Doch jede kann zugleich das Berufsgeheimnis verletzen und eine unkontrollierte Datenübermittlung darstellen. Wie das abläuft, zeigen wir in Anatomie eines KI-Datenlecks.

Warum Sperren nichts lösen

Viele Institute haben KI-Websites im internen Netz gesperrt. Das Ergebnis ist bekannt: Die Beschäftigten weichen auf ihr privates Smartphone aus, mit derselben Datei und noch weniger Kontrolle. Die Bank verliert jeden Überblick. Zudem lässt sich so kein einziger Vorfall nachweisen oder auswerten. Diese Schatten-KI hat echte Kosten, die wir in Die realen Kosten von Schatten-KI 2026 beziffert haben.

Die Teams werden KI ohnehin nutzen. Es bleibt, die Bedingungen festzulegen.

Ein Vorgehen für Finanzakteure

1. Die tatsächlich genutzten Werkzeuge erfassen, Abteilung für Abteilung, auch auf dem Smartphone.

2. Festlegen, welche Daten nie in einen Prompt gehören: Kontonummern, Bankverbindungen, Kontostände, Ausweise, Kreditdaten, Verdachtsmeldungen.

3. Die Formalitäten bei der CDP aktualisieren für KI-Nutzungen mit Kundendaten.

4. Compliance und interne Kontrolle einbinden, denn auch das Bankgeheimnis fällt in ihren Bereich.

5. An der Quelle anonymisieren: sensible Daten vor dem Versand automatisch ersetzen, ohne den Sinn der Anfrage zu zerstören.

6. Nachweise aufbewahren für die CDP, die Bankenkommission und die Prüfer.

Was ZeusLock Banken und Fintechs bietet

ZeusLock läuft direkt auf den Geräten und Browsern der Beschäftigten. Es erkennt in Echtzeit sensible Daten in Prompts und Dateien, die an ChatGPT, Copilot, Gemini oder Claude gehen. Je nach Ihren Regeln werden sie formatbewahrend anonymisiert, es erscheint eine Warnung oder der Versand wird blockiert. Der Berater erhält seine Antwort, aber die echte Kontonummer verlässt die Bank nie. Wie das technisch funktioniert, lesen Sie in unserem Beitrag zur formatbewahrenden Anonymisierung.

Jeder verhinderte Vorfall wird protokolliert. So haben Sie bei einer Prüfung konkrete Nachweise in der Hand.

Zusammenfassung

Ein Finanzakteur in Senegal, der generative KI nutzt, muss zwei Anforderungen erfüllen: das Berufsgeheimnis nach der Bankenregulierung der UMOA und das Gesetz 2008-12 unter Aufsicht der CDP. Ein KI-Verbot funktioniert nicht. Die richtige Antwort besteht darin zu wissen, was hinausgeht, Daten vor dem Versand zu schützen und jede Entscheidung zu dokumentieren.

Sie leiten eine Bank, ein Mikrofinanzinstitut oder ein Fintech in Senegal? Fordern Sie eine Demo von ZeusLock an und sehen Sie, wie Ihre Teams KI nutzen können, ohne Ihre Kunden zu gefährden.