Guinea Gesetz L/2016/037: KI-Governance vor dem Regulierer aufbauen

Ob in Conakry, Boké oder Kamsar: Künstliche Intelligenz ist in den Büros längst angekommen. Ein Ingenieur lässt ChatGPT einen Produktionsbericht zusammenfassen. Eine Juristin prüft einen Vertrag mit Copilot. Ein Kundenberater eines Telekommunikationsanbieters formuliert seine Antworten mit Gemini. Niemand hat auf eine Anweisung der Geschäftsleitung gewartet.

Der Rechtsrahmen kommt langsamer voran. Guinea hat seit 2016 ein Datenschutzgesetz, doch die Behörde, die es durchsetzen soll, ist noch nicht vollständig eingerichtet. Für Unternehmen ist diese Lücke kein Grund zum Abwarten. Im Gegenteil: Jetzt ist der richtige Zeitpunkt, eigene Regeln aufzustellen.

Gesetz L/2016/037/AN: was es tatsächlich regelt

Das Gesetz Nr. L/2016/037/AN vom 28. Juli 2016 über Cybersicherheit und den Schutz personenbezogener Daten ist der maßgebliche Text. Es erwähnt Künstliche Intelligenz nicht, erfasst aber jeden Umgang mit Informationen, die eine Person identifizierbar machen. Wer eine Kundendatei in einen KI-Assistenten kopiert, verarbeitet Daten. Wer sie auf Server außerhalb des Landes schickt, überträgt sie ins Ausland.

Für den Einsatz von KI sind drei Punkte besonders wichtig:

• Vorherige Formalitäten. Das Gesetz verlangt vor Beginn einer Verarbeitung eine Meldung oder einen Antrag auf Genehmigung. Gesundheitsdaten, biometrische und genetische Daten, nationale Identifikationsnummern sowie Daten zu Straftaten sind genehmigungspflichtig.

• Übermittlungen ins Ausland. Sie sind nur in Länder erlaubt, die ein gleichwertiges oder höheres Schutzniveau bieten, und unterliegen der Kontrolle der Behörde.

• Sicherheit. Der Verantwortliche muss die Daten vor jeder Offenlegung an unbefugte Dritte schützen.

Eine Behörde auf dem Papier, noch nicht voll arbeitsfähig

Das Gesetz sieht eine Datenschutzbehörde vor, deren Organisation per Verordnung festgelegt werden soll. Nach den verfügbaren juristischen Analysen ist diese Behörde noch nicht vollständig arbeitsfähig, und die Dekrete zu den Meldeverfahren stehen noch aus.

In der Praxis gibt es also noch keine Stelle, bei der Meldungen eingereicht werden können, und keine Leitlinien zur KI. Das Gesetz gilt aber. Sicherheitspflichten und Regeln zur Datenübermittlung sind bereits anwendbar, und zivil- oder strafrechtliche Verfahren können sich darauf stützen. Sobald die Behörde ihre Arbeit aufnimmt, wird sie auch prüfen, was Unternehmen vorher getan haben.

Der Staat setzt auf KI, die Unternehmen ziehen mit

Das politische Signal ist eindeutig. Im Dezember 2025 hat das für Informationstechnologie zuständige Ministerium gemeinsam mit dem UNDP einen nationalen KI-Fahrplan für die Jahre 2026 bis 2035 verabschiedet. Er stützt sich auf eine nationale Bestandsaufnahme und beginnt mit institutionellen, rechtlichen und technischen Grundlagen, bevor KI in öffentliche Dienste einzieht. 2025 hat das Land außerdem sein erstes nationales, nach Tier 3 zertifiziertes Rechenzentrum in Betrieb genommen.

In der Privatwirtschaft stehen zwei Branchen in der ersten Reihe:

• Bergbau. Guinea verfügt über die größten Bauxitreserven der Welt. Bergbaukonzerne und ihre Subunternehmer verarbeiten geologische Daten, Verträge, Informationen über die Anwohnergemeinden und Personalakten von Tausenden Beschäftigten. Viele arbeiten mit Muttergesellschaften im Ausland und englischsprachigen Tools, in denen KI längst Standard ist.

• Telekommunikation und Mobile Money. Telefonnummern, Transaktionsverläufe, eingescannte Ausweise: genau die Daten, die ein gestresster Mitarbeiter in einen Chatbot kopiert, um eine Reklamation zu verstehen.

Warum Sie Ihre Governance vor dem Regulierer aufbauen sollten

Auf die Regeln der Behörde zu warten, mag vorsichtig wirken. Tatsächlich ist es riskant, aus drei Gründen.

Erstens kündigen sich Datenlecks nicht an. Ist ein Minenplan, eine Mitarbeiterliste oder ein Konzessionsvertrag erst einmal bei einem externen Dienst gelandet, lässt er sich nicht zurückholen. Wie das abläuft, zeigen wir in der Anatomie eines KI-Datenlecks.

Zweitens warten Ihre Partner auch nicht. Internationale Konzerne, Geldgeber und Banken verlangen schon heute von ihren guineischen Zulieferern Nachweise über den Umgang mit Daten.

Drittens ist unkontrollierte Nutzung auch ohne Bußgeld teuer: verlorene Zeit, nachverhandelte Verträge, beschädigtes Vertrauen. Wir haben das in den realen Kosten von Schatten-KI beziffert.

Fünf Baustellen für eine belastbare KI-Governance

1. Bestandsaufnahme. Welche KI-Tools werden genutzt, in welchen Abteilungen, mit welchen Daten? Eine interne Umfrage über zwei Wochen reicht für den Anfang.

2. Daten klassifizieren. Geologische Daten, Verträge, Personalakten, Kundendaten: Legen Sie fest, was das Unternehmen nie verlassen darf.

3. Verantwortliche benennen. Eine Ansprechperson für Daten aus Recht oder Sicherheit, die ein Verarbeitungsverzeichnis führt, auch bevor die Behörde ihre Türen öffnet.

4. Eine einfache Regel schreiben. Eine Seite auf Französisch, mit Beispielen aus dem eigenen Geschäft. Was erlaubt ist und was nicht.

5. An der Quelle schützen. Sensible Daten erkennen und anonymisieren, bevor sie die KI erreichen, und verhinderte Vorfälle dokumentieren.

Den regionalen Zusammenhang erklärt unser Artikel über generative KI und Datenschutz in Westafrika.

Was ZeusLock beiträgt

ZeusLock läuft auf den Geräten und Browsern Ihrer Teams. Es erkennt in Echtzeit sensible Daten in Prompts und Dateien, die an KI-Assistenten gehen: Namen, Telefonnummern, Ausweisdokumente, Finanzdaten, technische Informationen. Je nach Ihren Regeln anonymisiert es unter Beibehaltung des Formats, warnt den Nutzer oder blockiert die Anfrage. Jedes Ereignis wird protokolliert, sodass Sie konkrete Nachweise haben, wenn die Behörde oder ein Partner danach fragt.

Das Wichtigste in Kürze

Guinea hat seit 2016 ein Gesetz, seit Ende 2025 einen KI-Fahrplan und eine Behörde, die noch im Aufbau ist. Bergbau-, Telekommunikations- und Dienstleistungsunternehmen, die ihre KI-Nutzung jetzt ordnen, verschaffen sich einen Vorsprung. Sie sind bereit, wenn der Regulierer kommt, und haben ihre Daten in der Zwischenzeit geschützt.

Sie möchten wissen, welche Daten Ihre Teams schon heute an KI senden? Fordern Sie eine ZeusLock-Demo an.