KI und Mitarbeitende in Guinea: warum Schulungen nicht reichen

Es ist 18 Uhr im Büro einer NGO in Kaloum. Eine Programmreferentin muss am nächsten Morgen einen Bericht an die Geldgeber schicken. Sie öffnet ChatGPT, fügt die Liste der Begünstigten mit Namen, Dörfern und Telefonnummern ein und bittet um eine saubere Zusammenfassung. Nach zehn Minuten ist der Bericht fertig. Die Daten liegen inzwischen auf einem Server im Ausland.

Diese Szene wiederholt sich jeden Tag in Conakry, in Banken, Bergbauunternehmen, Telekommunikationsfirmen und humanitären Organisationen. Niemand handelt böswillig. Die Menschen wollen ihre Arbeit gut und schnell erledigen. Genau deshalb ist das Problem zuerst eine Frage des Verhaltens und erst danach eine Frage der Technik.

Wie guineische Teams KI wirklich nutzen

In den meisten Organisationen kam generative KI durch die Hintertür. Eine Kollegin zeigt das Tool einem Kollegen, es landet auf dem Handy, und man nutzt es für einen Brief auf Französisch oder um ein Dokument für einen Partner ins Englische zu übersetzen. Schnell kommen weitere Anwendungen hinzu:

• eine E-Mail an einen verärgerten Kunden umformulieren, samt Name und Kontonummer;

• einen Subunternehmervertrag im Bergbau oder ein Sitzungsprotokoll zusammenfassen;

• eine Gehaltsliste oder eine Datenbank mit Begünstigten bereinigen;

• ein Angebot für eine Ausschreibung mit internen Zahlen vorbereiten.

Viele Beschäftigte nutzen ihr kostenloses privates Konto, oft auf dem eigenen Handy und über mobile Daten. Der Arbeitgeber sieht davon nichts. Wir haben dieses Muster und seine Kosten im Artikel über die realen Kosten von Schatten-KI beschrieben.

Was das Gesetz L/2016/037 verlangt, auch ohne aktive Aufsicht

Das Gesetz Nr. L/2016/037/AN über Cybersicherheit und den Schutz personenbezogener Daten verpflichtet den Verantwortlichen, Daten vor jeder unbefugten Offenlegung zu schützen. Es regelt außerdem Übermittlungen ins Ausland. Wer eine Liste von Begünstigten in einen im Ausland betriebenen Assistenten einfügt, berührt also beide Regeln zugleich.

Die im Gesetz vorgesehene Behörde ist noch nicht vollständig eingerichtet. An der Verantwortung der Organisation ändert das nichts. Kommt es zu einem Datenleck, muss der Arbeitgeber erklären, welche Maßnahmen er getroffen hatte. Den rechtlichen Rahmen beschreiben wir in unserem Leitfaden zu Gesetz L/2016/037 und KI-Governance.

Warum Schulungen allein nicht reichen

Die übliche Antwort ist eine Sensibilisierungsveranstaltung. Ein halber Tag, ein paar Folien, eine Anwesenheitsliste. Die Teilnehmenden gehen überzeugt nach Hause. Drei Wochen später, unter Termindruck, tun sie genau dasselbe wieder.

Das ist kein Fehler guineischer Beschäftigter, sondern menschlich. Dafür gibt es mehrere Gründe:

• Vergessen. Eine im Seminar gelernte Regel verblasst schnell, wenn niemand im richtigen Moment daran erinnert.

• Zeitdruck. Wenn der Direktor auf ein Dokument wartet, tritt Compliance in den Hintergrund.

• Unsichtbares Risiko. Beim Einfügen sensibler Daten passiert auf dem Bildschirm nichts. Keine Warnung, keine unmittelbare Folge.

• Schwer erkennbare Daten. Eine Telefonnummer, eine Passnummer oder eine Orange-Money-Kennung wirken nicht immer wie ein Geheimnis.

Mehr dazu lesen Sie in warum KI-Sicherheitsschulungen nicht funktionieren. Schulungen bleiben sinnvoll, aber allein tragen sie nicht.

Der Hinweis im Moment des Risikos

Die Idee ist einfach: genau in dem Moment eingreifen, in dem jemand sensible Daten absenden will, und nicht drei Wochen vorher. Im Browser erscheint eine kurze Meldung: „Dieser Text enthält Telefonnummern und Namen von Begünstigten. Möchten Sie sie vor dem Senden anonymisieren?“

Diese kleine Erinnerung verändert das Verhalten weit stärker als ein langer Kurs. Sie bringt drei Dinge:

1. Sofortiges Bewusstsein, im Augenblick der Entscheidung.

2. Einen praktischen Ausweg statt eines bloßen Verbots: Der Text geht raus, aber ohne personenbezogene Daten.

3. Lernen durch Wiederholung: Nach einigen Hinweisen entfernt die Person Namen schon vor dem Einfügen, ganz von selbst.

Der Ton ist entscheidend. Eine Meldung, die Schuld zuweist, treibt Menschen dazu, das Tool zu umgehen, etwa über das private Handy. Eine hilfreiche Meldung in einfachem Französisch wird akzeptiert.

Den Ansatz an Guinea anpassen

Einige lokale Gegebenheiten sollten die Einführung prägen:

• Sprache. Meldungen gehören in klares Französisch. Viele Teams sprechen im Alltag auch Susu, Pular oder Maninka, mündliche Erklärungen der Vorgesetzten wirken in diesen Sprachen besser.

• Das Handy. Eine Richtlinie, die nur Bürorechner abdeckt, verfehlt einen großen Teil der tatsächlichen Nutzung.

• Geldgeber und Partner. NGOs und Bergbaufirmen berichten an ausländische Partner, die immer öfter nach Datenschutz fragen.

• Teams vor Ort. In Boké, Kamsar oder Nzérékoré haben Beschäftigte oft weniger Zugang zu Schulungen. Ein automatischer Hinweis erreicht sie ebenso wie die Zentrale.

Verhaltensänderung messen

Ein gutes System liefert einfache Kennzahlen: Hinweise pro Woche, Anteil anonymisierter Eingaben, am stärksten betroffene Abteilungen, häufigste Datentypen. Nach einigen Wochen sollte die Kurve sinken. Sinkt sie in einer Abteilung nicht, ist das das Signal, dort hinzugehen, zu reden und manchmal die bereitgestellten Werkzeuge zu überdenken.

Diese Protokolle dienen auch als Nachweis. Sobald die guineische Datenschutzbehörde arbeitet oder ein Geldgeber ein Audit verlangt, kann die Organisation zeigen, was sie getan hat. Wie ein Leck konkret entsteht, zeigt die Anatomie eines KI-Datenlecks.

Zusammenfassung

In Guinea entstehen Datenlecks über KI selten durch Angriffe. Sie entstehen durch eilige Beschäftigte, die alles richtig machen wollen. Schulungen legen die Grundlage, doch erst ein hilfreicher Hinweis im Moment des Risikos verändert Gewohnheiten wirklich. Das Gesetz L/2016/037 gilt bereits, deshalb lohnt es sich, diese Reflexe jetzt aufzubauen.

ZeusLock erkennt sensible Daten in Prompts und Dateien, bietet Anonymisierung per Klick und protokolliert jeden Vorfall. Fordern Sie eine ZeusLock-Demo an und sehen Sie, wie Sie Ihre Teams unterstützen, ohne sie zu bremsen.