Gabun, Gesetz 001/2011 und KI: Wohin gehen die Daten Ihrer Teams wirklich?

In Port-Gentil bittet ein Ingenieur eines Ölfelddienstleisters ChatGPT, einen Störfallbericht zusammenzufassen. Das Dokument enthält die Namen der Techniker vor Ort, ihre Telefonnummern und Auszüge aus Krankenakten. In einer Sekunde sind diese Informationen auf Servern Tausende Kilometer von Gabun entfernt.

Dieser unsichtbare Weg wirft eine einfache Frage auf: Wer kontrolliert die Daten der Gabuner, wenn sie über einen KI-Assistenten laufen? Das Gesetz Nr. 001/2011 zum Schutz personenbezogener Daten, 2023 geändert, und die zuständige Behörde geben eine klare Antwort, die in vielen Unternehmen noch kaum bekannt ist.

Ein frühes Gesetz, 2023 verschärft

Gabun gehörte zu den ersten Ländern Zentralafrikas mit einem Datenschutzgesetz. Das Gesetz Nr. 001/2011 schuf die Nationale Kommission für den Schutz personenbezogener Daten (CNPDCP).

2023 änderte eine Reform durch das Gesetz Nr. 025/2023 diesen Text und wandelte die Kommission in die Behörde für den Schutz personenbezogener Daten und der Privatsphäre (APDPVP) mit erweiterten Befugnissen um. Seitdem tritt die Behörde sichtbarer auf, etwa als sie die Kandidaten der Präsidentschaftswahl 2025 wegen der Nutzung von Wählerdaten vorlud oder als sie mit dem Ministerium für digitale Wirtschaft im Projekt Gabon Digital zusammenarbeitete.

Zudem verabschiedete das Land 2023 ein Gesetz über Cybersicherheit und Cyberkriminalität und ratifizierte im Oktober 2024 das Übereinkommen der Afrikanischen Union über Cybersicherheit und den Schutz personenbezogener Daten, die sogenannte Malabo-Konvention.

Übermittlungen aus Gabun: die Grundregel

Für generative KI ist die internationale Übermittlung der Kernpunkt. Grundsätzlich dürfen personenbezogene Daten Gabun nur in ein Land verlassen, das ein angemessenes Schutzniveau bietet. Andernfalls ist eine Übermittlung nur in engen Fällen erlaubt: ausdrückliche Einwilligung der Person, Vertragserfüllung, Schutz des Lebens, öffentliches Interesse oder Verteidigung von Rechtsansprüchen.

Die meisten frei verfügbaren KI-Assistenten verarbeiten Daten außerhalb des Kontinents. Wenn ein Mitarbeiter eine Kundenliste in einen Chatbot kopiert, nimmt er eine internationale Übermittlung vor, ohne Rechtsgrundlage, ohne Information der Betroffenen und ohne Eintrag im Verzeichnis des Unternehmens.

Daten, die eine Genehmigung erfordern

Das gabunische Recht unterscheidet zwischen meldepflichtigen Verarbeitungen und solchen, die eine vorherige Genehmigung der APDPVP brauchen. Zur zweiten Gruppe gehören:

• biometrische Daten zur Identitätsprüfung;

• nationale Identifikationsnummern wie die NIP;

• Daten zu Straftaten und Verurteilungen;

• genetische Daten außerhalb der medizinischen Versorgung;

• bestimmte Formen des Profilings.

Ein Unternehmen kann solche Daten nicht frei in KI-Tools fließen lassen, wenn schon ihre normale Verarbeitung die Zustimmung der Behörde verlangt.

Auch die Rechte der Betroffenen spielen eine Rolle. Ein Kunde oder Mitarbeiter kann fragen, welche seiner Daten verarbeitet wurden und von wem. Sind seine Informationen ohne Wissen des Unternehmens durch ein KI-Tool gelaufen, kann es keine korrekte Auskunft geben. Das Problem ist also nicht nur juristisch, es betrifft die Fähigkeit der Organisation, Rechenschaft abzulegen.

Öl, Banken, öffentlicher Sektor: drei Risikoprofile

Die Ölbranche

Betreiber und Dienstleister in Port-Gentil und Libreville verarbeiten Personalakten, arbeitsmedizinische Daten und sensible Verträge. Viele Teams arbeiten mit ausländischen Muttergesellschaften, was die Datenflüsse ins Ausland vervielfacht. Hinzu kommen Angaben zu Subunternehmern und Zeitarbeitskräften, die oft per E-Mail und Tabelle weitergegeben werden.

Banken

Gabunische Banken verwalten Identitäten, Einkommen und Transaktionshistorien. Ein Kreditanalyst, der eine KI einen Kreditantrag zusammenfassen lässt, legt genau die Informationen offen, deren Schutz Kunden erwarten.

Verwaltung

Öffentliche Stellen müssen einen Datenschutzbeauftragten benennen. Mit der Digitalisierung der Verwaltung und der Einführung der NIP verarbeiten Beamte immer mehr Personenstandsdaten. Eine unkontrollierte KI-Nutzung in diesen Diensten würde das Vertrauen der Bürger direkt treffen, gerade in einer Phase, in der der Staat die Bevölkerung von digitalen Angeboten überzeugen will.

Souveränität entscheidet sich am Arbeitsplatz

Souveränität wird oft mit nationalen Rechenzentren gleichgesetzt. Das ist sinnvoll, reicht aber nicht. Daten verlassen das Unternehmen zuerst über den Browser, in dem Moment, in dem jemand Text tippt oder einfügt. Genau dort muss die Kontrolle ansetzen, und zwar so, dass die Arbeit nicht ausgebremst wird.

Der richtige Ansatz: personenbezogene Daten vor dem Absenden des Prompts erkennen und durch fiktive Werte im selben Format ersetzen. Die KI erhält brauchbaren Text, aber keine echten Daten verlassen Gabun. Unser Beitrag zur formatbewahrenden Anonymisierung erklärt die Methode, und unsere Analyse zu souveräner KI aus Sicht der CISOs zeigt, warum Hosting allein nicht alles löst.

Wo man anfangen sollte

1. KI-Tools erfassen, die tatsächlich genutzt werden, auch über private Konten.

2. Genehmigungspflichtige Daten bestimmen und aus Prompts heraushalten.

3. Übermittlungen dokumentieren, die an KI-Anbieter gehen, samt Rechtsgrundlage.

4. Teams schulen mit konkreten Beispielen aus ihrem Arbeitsalltag.

5. Kontrolle am Endgerät einführen, die warnt, anonymisiert oder blockiert und Nachweise für die APDPVP speichert.

Für die zeitliche Planung bietet unser 90-Tage-Rollout-Playbook einen realistischen Ablauf. Die Herausforderungen ähneln denen der Nachbarregion, die wir in unserem Dossier zu generativer KI in Westafrika beschreiben.

Das Wichtigste

• Das 2023 geänderte Gesetz 001/2011 regelt den Datenschutz in Gabun unter Aufsicht der APDPVP.

• Ein Prompt an eine im Ausland gehostete KI ist eine internationale Übermittlung.

• Nationale Kennungen und biometrische Daten brauchen eine vorherige Genehmigung.

• Echte Souveränität beginnt am Arbeitsplatz, vor dem Absenden.

ZeusLock erkennt und anonymisiert personenbezogene Daten direkt im Browser, bevor sie Gabun in Richtung ChatGPT, Copilot oder Gemini verlassen. Demo anfragen und die Kontrolle über Ihre Daten behalten.