Benin: digitale Verwaltung, Bürgerdaten und souveräne KI

In Benin kann man heute eine Identifikationsbescheinigung, ein Führungszeugnis oder viele andere Behördendokumente beantragen, ohne an einem Schalter anzustehen. Hinter diesen Online-Diensten stehen Millionen Datensätze über Bürgerinnen und Bürger: Namen, Geburtsdaten, persönliche Identifikationsnummern, Adressen, Familienstand.

Mit generativer KI in Behörden und bei deren Dienstleistern stellt sich eine einfache Frage. Was geschieht mit diesen Daten, wenn ein Beamter oder ein Berater sie in ChatGPT einfügt, um Zeit zu sparen? Für ein Land, das seinen digitalen Staat sorgfältig aufgebaut hat, ist das eine Frage der Souveränität ebenso wie der Compliance.

Ein digitaler Staat, Schritt für Schritt aufgebaut

Benin hat seit Jahren klare Entscheidungen getroffen. Das nationale Portal für öffentliche Dienste, service-public.bj, ging 2020 als zentraler Einstieg zu Verwaltungsverfahren online. Es stützt sich auf eine Plattform für den sicheren Datenaustausch zwischen Behörden, entwickelt mit der estnischen e-Governance Academy und dem Unternehmen Cybernetica.

2022 bündelte die Regierung mehrere Stellen in der Agentur für Informationssysteme und Digitales (ASIN), die viele dieser Projekte steuert. Im selben Jahr stellte die nationale Identifizierungsagentur ANIP in weniger als einem Jahr über eine Million persönliche Identifikationsbescheinigungen online aus. 2023 verabschiedete der Ministerrat die Nationale Strategie für künstliche Intelligenz und Big Data (SNIAM) für 2023 bis 2027.

Bürgerdaten als nationales Gut

Ein digitaler Staat bündelt hochsensible Daten. Die persönliche Identifikationsnummer (NPI) verknüpft eine Person mit ihrem Personenstand, ihren Sozialleistungen und manchmal ihrem Zugang zu Krediten. Steuer-, Gesundheits- und Bildungsdatenbanken sagen viel über das Leben der Menschen aus.

Diese Daten wurden für bestimmte Zwecke erhoben, auf Grundlage des Gesetzes Nr. 2017-20 über das Digitalgesetzbuch, geändert 2020. Buch V des Gesetzbuchs regelt ihre Verarbeitung, und die Datenschutzbehörde APDP überwacht die Einhaltung. Diese Regeln haben wir in unserer KI-Checkliste für Unternehmen in Benin beschrieben.

Der Grundsatz ist klar: Daten, die zur Ausstellung eines Dokuments erhoben wurden, sollen nicht unkontrolliert auf den Servern eines KI-Anbieters im Ausland landen.

Wo KI im öffentlichen Dienst Risiken schafft

Verlockende Anwendungen gibt es viele, und meist sind sie gut gemeint:

• ein Beamter fasst einen Stapel Bürgerbeschwerden mit einem frei verfügbaren KI-Assistenten zusammen;

• ein IT-Dienstleister fügt einen Datenbankauszug in ein KI-Tool ein, um eine Abfrage zu korrigieren;

• eine Pressereferentin lässt eine persönliche Antwort an einen Bürger schreiben, mit Name und NPI;

• ein Berater analysiert für einen Bericht eine Tabelle mit Begünstigten eines Sozialprogramms.

In jedem dieser Fälle verlassen personenbezogene Daten die kontrollierte Umgebung der Verwaltung. Das Digitalgesetzbuch verlangt für Übermittlungen in Länder ohne angemessenes Schutzniveau Garantien, die von der APDP genehmigt werden. Ein Kopieren und Einfügen in einen Chatbot bietet keine davon.

Souveränität jenseits von Schlagworten

Digitale Souveränität heißt nicht nur, Server im eigenen Land zu betreiben. Sie bedeutet zu wissen, wohin Daten fließen, wer darauf zugreifen kann und welcher Rechtsrahmen gilt. Ein Land kann in nationale Rechenzentren investieren und trotzdem durch ein paar alltägliche Gewohnheiten die Kontrolle über seine Informationen verlieren.

Die europäische Debatte dazu ist hilfreich, auch wenn der Kontext anders ist. Wir haben sie im Artikel über souveräne KI aus Sicht europäischer CISOs zusammengefasst. Für die Region gibt es zudem unseren Überblick zu generativer KI und Datenschutz in Westafrika.

Für Benin ist die Schlussfolgerung praktisch: KI kann der Verwaltung dienen, solange die Bürgerdaten unter Kontrolle bleiben.

Konkrete Maßnahmen für Behörden und Dienstleister

Das können öffentliche Stellen und die für sie tätigen Unternehmen umsetzen:

1. Eine schriftliche Regel. Welche Daten nie in ein externes KI-Tool gehören: NPI, Gesundheitsdaten, Personenstandsdaten, Steuerdaten.

2. Freigegebene Tools. Eine geprüfte Lösung anbieten statt alles zu verbieten, sonst weichen Beschäftigte aufs Handy aus.

3. Automatische Anonymisierung. Namen und Kennungen vor dem Senden durch fiktive Werte im gleichen Format ersetzen. Die Methode erklären wir in formatbewahrende Anonymisierung.

4. Vertragsklauseln. Öffentliche IT-Aufträge sollten festlegen, wie der Dienstleister KI nutzen darf.

5. Nachvollziehbarkeit. Ein Vorfallprotokoll führen, um der APDP oder einem Prüfer antworten zu können.

Worauf sich Dienstleister einstellen sollten

Integratoren, Softwarehersteller und Beratungsfirmen, die die digitale Transformation des Staates begleiten, stehen in der ersten Reihe. Sie arbeiten bei Migrationen, Tests und Support mit echten Daten. Und sie nutzen intensiv Assistenten zum Programmieren und Schreiben.

Ein typisches Beispiel: Ein Entwickler soll einen Fehler im Antragsmodul eines Online-Dienstes beheben. Um schneller zu sein, kopiert er echte Datensätze samt Namen und NPI in einen Code-Assistenten. Der Fehler ist in fünf Minuten gefunden, doch die Daten haben das Land verlassen, ohne dass jemand es bemerkt hat.

Wer zeigen kann, dass er diese Datenflüsse im Griff hat, punktet bei öffentlichen Ausschreibungen. Umgekehrt kann ein Vorfall mit Bürgerdaten einen Auftrag kosten, zusätzlich zu den Bußgeldern des Digitalgesetzbuchs.

Zusammenfassung

Benin hat einen soliden digitalen Staat aufgebaut, mit einem zentralen Portal, einer Plattform für sicheren Datenaustausch und einer KI-Strategie. Die Bürgerdaten in diesen Systemen sind ein gemeinsames Gut. Sie vor generativer KI zu schützen, erfordert einfache Regeln, freigegebene Tools und eine Kontrolle in dem Moment, in dem Daten den Bildschirm verlassen.

ZeusLock erkennt und anonymisiert personenbezogene Daten, bevor sie einen KI-Assistenten erreichen, und protokolliert jeden Vorfall. Fordern Sie eine ZeusLock-Demo an, um die Daten Ihrer Nutzer zu schützen.