Banken und Mikrofinanz in Mali: KI nutzen, ohne Kunden preiszugeben

In einer Mikrofinanzkasse in Bamako bereitet ein Kreditberater die Akte einer Händlerin vor, die einen Kredit für den Ausbau ihres Marktstands beantragt. Er hat ihre Sparauszüge, eine Kopie ihres Ausweises und die Stellungnahme ihrer Solidargruppe. Um schneller zu sein, fügt er alles in einen KI-Assistenten ein und bittet um eine Zusammenfassung für den Kreditausschuss. Er spart zwanzig Minuten. Doch die Daten der Kundin haben gerade Mali verlassen.

Banken und dezentrale Finanzsysteme (SFD, die Mikrofinanzinstitute der Region) beginnen, generative KI zu nutzen, oft ohne jeden Rahmen. Dieser Artikel schlägt ein praktisches Vorgehen vor, das zu ihrer Realität und zu den für sie geltenden Regeln passt.

Eine Branche im Zentrum der finanziellen Inklusion

Mikrofinanz spielt in Mali eine zentrale Rolle. Nach Angaben des Berufsverbands der malischen SFD (Apsfd-Mali) gab es zum 31. Dezember 2024 im Land 116 SFD mit rund 1,58 Millionen Kunden, 158 Milliarden CFA-Franc an Einlagen und 191 Milliarden an Krediten. Im September 2025 kündigte das Ministerium für Wirtschaft und Finanzen ein neues Gesetz an, das Einleger besser schützen soll.

Die Banken wiederum bedienen Unternehmen, Beamte und einen wachsenden Teil der Privatkunden. In beiden Fällen verfügen die Institute über sehr sensible Informationen zu ihren Kunden: Einkommen, Ersparnisse, Schulden, Sicherheiten, Familie.

Drei Ebenen von Regeln

Ein malisches Finanzinstitut, das KI nutzt, muss drei Rahmen beachten:

• Die Regulierung der UMOA unter Aufsicht der BCEAO und der Bankenkommission, die unter anderem Banken und ihren Mitarbeitern das Berufsgeheimnis auferlegt.

• Die Regulierung der SFD, die eigene Regeln für Führung und Kontrolle in der Mikrofinanz festlegt.

• Das Gesetz Nr. 2013-015 vom 21. Mai 2013, 2017 geändert, das personenbezogene Daten schützt und die Aufsicht der Autorité de Protection des Données à caractère Personnel (APDP) überträgt.

Dieses Gesetz erlaubt Datenübermittlungen in ein anderes Land nur, wenn dieses ein ausreichendes Schutzniveau bietet. Die meisten KI-Assistenten für Endverbraucher verarbeiten Daten jedoch außerhalb Afrikas. Mehr zum Rahmen und zu Fragen der Souveränität lesen Sie in unserem Artikel über das Gesetz 2013-015, die APDP und Datensouveränität.

Eine Behörde, die prüft

Die APDP ist keine Behörde auf dem Papier. 2025 verhängte sie gegen eine Klinik in Bamako eine Geldbuße von 5 Millionen CFA-Franc, weil diese eine Prüfung behindert hatte. Im Oktober 2025 eröffnete sie eine Sondersitzung zur Prüfung von rund 2.000 Meldeakten und kontrollierte dabei insbesondere die Sicherheit der Informationssysteme. Für eine Bank oder ein SFD gehört die KI-Nutzung mit Kundendaten also zu den Themen, die eine Prüfung aufgreifen kann.

Riskante Gewohnheiten am Schalter und in der Zentrale

In einer Bank oder einem Mikrofinanzinstitut sind die riskantesten Nutzungen selten exotisch:

• eine Kreditakte mit Identität, Einkommen und Sicherheiten zusammenfassen;

• ein Mahnschreiben an einen Kunden mit Zahlungsrückstand formulieren;

• ein aus Excel exportiertes Kreditportfolio für einen Bericht analysieren;

• eine interne Richtlinie übersetzen, die Kundennamen als Beispiele enthält;

• eine Liste verdächtiger Transaktionen für eine Compliance-Notiz einreichen.

Jede dieser Handlungen kann das Berufsgeheimnis verletzen und zugleich eine Datenübermittlung ins Ausland darstellen. Den Ablauf erklären wir in Anatomie eines KI-Datenlecks.

Das Vorgehen in fünf Schritten

1. Beobachten: zwei bis drei Wochen lang erfassen, welche KI-Tools tatsächlich genutzt werden, Filiale für Filiale, auch auf Handys.

2. Einstufen: Daten in drei Stufen einteilen, frei (öffentliche Texte, leere Vorlagen), zu anonymisieren (Namen, Beträge, Kontonummern), verboten (Ausweise, Verdachtsmeldungen, Gesundheitsdaten).

3. Eine einseitige Regel schreiben, von Leitung und Compliance freigegeben, und sie in Filialbesprechungen erklären statt nur per E-Mail.

4. Meldungen aktualisieren bei der APDP für Verarbeitungen mit KI-Bezug und den Verwaltungsrat informieren.

5. Daten automatisch schützen, bevor sie versendet werden, und verhinderte Vorfälle dokumentieren.

Wichtig ist, klein anzufangen und die Regeln nach den ersten Wochen anzupassen. Für die zeitliche Planung bietet unser 90-Tage-Rollout-Playbook einen Wochenplan.

Auch kleine Institute

Eine ländliche Sparkasse mit drei Mitarbeitern hat keinen Sicherheitsverantwortlichen. Genau dort ist das Risiko am größten, weil kostenlose Tools die einfachste Lösung sind. Für solche Institute reicht Sensibilisierung allein nicht aus, wie wir in Warum KI-Sicherheitsschulungen nicht funktionieren erklären. Sie brauchen eine Schutzvorrichtung, die im Moment des Versands greift, ohne vom Mitarbeiter technisches Wissen zu verlangen.

Was ZeusLock bietet

ZeusLock läuft auf den Rechnern und Browsern der Mitarbeiter, in der Zentrale wie in den Filialen. Es erkennt in Echtzeit Namen, Kontonummern, Beträge und Ausweisdaten in Prompts und Dateien, die an ChatGPT, Copilot, Gemini oder Claude gehen. Je nach Ihren Regeln anonymisiert es sie unter Beibehaltung des Formats, warnt den Nutzer oder blockiert den Versand. Der Kreditberater bekommt seine Zusammenfassung, aber die echte Identität der Kundin bleibt im Institut. Jedes Ereignis wird für die APDP, die Bankenkommission und die Prüfer protokolliert.

Zusammenfassung

In Mali verfügen Banken und SFD über Daten, die zugleich dem Berufsgeheimnis der UMOA und dem Gesetz 2013-015 unterliegen. Generative KI kann wertvolle Zeit sparen, sofern man weiß, was hinausgeht, und die Daten vor dem Versand schützt. Ein einfaches Vorgehen in fünf Schritten genügt für den Anfang.

Sie leiten eine Bank oder ein Mikrofinanzinstitut in Mali? Fordern Sie eine Demo von ZeusLock an.