Kongo-Brazzaville: Banken, Kundendaten und KI in der CEMAC-Zone

In Brazzaville bereitet ein Kundenbetreuer eine Kreditkomiteesitzung für ein kleines Unternehmen vor. Er hat die Bilanzen, drei Monate Kontoauszüge, den Ausweis des Geschäftsführers und eine interne Notiz zu früheren Zahlungsstörungen vor sich. Um Zeit zu sparen, lässt er einen KI-Assistenten die Zusammenfassung schreiben. Die Akte ist sauber und übersichtlich. Sie hat die Bank aber auch verlassen.

In den Filialen wie in der Zentrale wird dieser Handgriff zur Routine. Dabei unterliegt eine kongolesische Bank gleich zwei Regelwerken: dem nationalen Datenschutzgesetz und den gemeinsamen Bankvorschriften der CEMAC-Zone. Beide haben zu diesem Prompt etwas zu sagen.

Ein regionaler Bankensektor

Die Republik Kongo gehört zur Zentralafrikanischen Wirtschafts- und Währungsgemeinschaft (CEMAC), zusammen mit Kamerun, Gabun, Tschad, der Zentralafrikanischen Republik und Äquatorialguinea. Für Währung und Geldpolitik ist die Bank der Zentralafrikanischen Staaten (BEAC) zuständig. Die Bankenaufsicht übt die Zentralafrikanische Bankenkommission (COBAC) aus.

Viele Banken in Brazzaville und Pointe-Noire gehören zu regionalen oder internationalen Gruppen. Ihre Teams teilen Tools, Verfahren und manchmal Server mit anderen Ländern. Eine unklare KI-Richtlinie auf Gruppenebene kommt daher schnell in den kongolesischen Filialen an. Umgekehrt gilt auch: Eine gute Gruppenrichtlinie kann die lokalen Teams vom ersten Tag an schützen.

Was die COBAC bei der internen Kontrolle erwartet

Die COBAC-Verordnung R-2016/04 vom 16. September 2016 über die interne Kontrolle von Kreditinstituten verlangt ein Kontrollsystem, das alle Risiken abdeckt, auch die aus ausgelagerten Tätigkeiten. Generative KI wird darin nicht erwähnt, ihre Logik gilt aber auch hier.

Ein frei zugänglicher KI-Assistent, der Kundenakten verarbeitet, ähnelt stark einem nicht gemeldeten externen Dienstleister: Er erhält Daten und verarbeitet sie außerhalb der Bank, ohne ausgehandelten Vertrag und ohne Aufsicht. Für die Bankenaufsicht wie für die interne Revision wird die Frage einfach lauten: Wusste die Bank, dass ihre Daten abflossen, und was hat sie dagegen getan?

Das Gesetz 29-2019 und Kundendaten

Das Gesetz Nr. 29-2019 vom 10. Oktober 2019 über den Schutz personenbezogener Daten gilt uneingeschränkt für Banken. Seine Grundsätze stellen wir in unserem Artikel über das Gesetz 29-2019 und KI-Governance vor. Für ein Kreditinstitut sind drei Punkte besonders wichtig:

• Daten müssen für einen festgelegten Zweck verarbeitet und durch angemessene Sicherheitsmaßnahmen geschützt werden;

• eine Übermittlung aus Kongo heraus ist nur in ein Land mit vergleichbarem Schutz zulässig, nach vorheriger Information der künftigen Kommission;

• eine Datenschutzverletzung muss innerhalb von 72 Stunden gemeldet werden.

Eine Kreditakte, die an eine im Ausland gehostete KI geht, kann alle drei Punkte auf einmal berühren.

Riskante Nutzungen in einer Bank

Die Risiken entstehen nicht nur im Kreditgeschäft. Sie finden sich in fast allen Bereichen:

1. Kredit: Zusammenfassungen von Akten, Bilanzanalysen, Komiteevorlagen.

2. Compliance: Kundenprüfungen, Geldwäsche-Warnmeldungen, Verdachtsmeldungen.

3. Kundenservice: Antworten auf Beschwerden mit Kontoverlauf.

4. Personalwesen: Beurteilungen, Gehälter, Disziplinarakten.

Verdachtsmeldungen verdienen besondere Aufmerksamkeit: Ihre Vertraulichkeit ist entscheidend, und ihr Inhalt darf niemals in einem externen Tool landen.

Konkrete Kontrollen

Die klassischen Sicherheitstools einer Bank sehen wenig von dem, was in einer verschlüsselten Browsersitzung geschieht. Warum das so ist, erklären wir in unserem Artikel darüber, warum Netzwerk-DLP an ChatGPT scheitert. Gehandelt werden muss daher so nah wie möglich am Nutzer.

1. Bestandsaufnahme der genutzten KI-Tools, auch auf Telefonen und privaten Konten.

2. Eine kurze Regel festlegen: keine Ausweise, keine Kontonummern und keine Verdachtsmeldungen in einem öffentlichen Tool.

3. KI wie eine Auslagerung behandeln, im Rahmen der internen Kontrolle und mit einer verantwortlichen Person.

4. Auf dem Gerät kontrollieren: sensible Daten im Moment des Prompts erkennen, dann warnen, blockieren oder anonymisieren.

5. Nachweise sichern für die interne Revision, die COBAC und die künftige Datenschutzkommission.

Schulungen bleiben sinnvoll, reichen aber nicht aus, wie unsere Analyse zeigt, warum KI-Sicherheitsschulungen nicht funktionieren. Anonymisierung dagegen erhält den Nutzen der KI: Ein Name, eine Kontonummer oder ein Betrag wird durch einen fiktiven Wert im gleichen Format ersetzt, und die Zusammenfassung bleibt brauchbar. Unser Leitfaden zur formatbewahrenden Anonymisierung erklärt die Methode im Detail.

Womit Sie diese Woche beginnen können

Es braucht kein großes Projekt, um anzufangen. Ein erstes Treffen zwischen dem CISO, der Compliance-Leitung und einer Vertretung der Fachbereiche genügt, um die bekannten Nutzungen aufzulisten. Gleich danach kann die Geschäftsleitung die oben beschriebene kurze Regel verbreiten. Die Kontrolle auf dem Gerät wird dann zuerst in den Kredit- und Compliance-Teams eingeführt, die am stärksten exponiert sind, und anschließend auf die Filialen und den Kundenservice ausgeweitet. Nach wenigen Wochen hat die Bank ein klares Bild der tatsächlichen KI-Nutzung und erste Nachweise für die Revision. Wer so vorgeht, kann auch gegenüber der COBAC und der künftigen Datenschutzkommission zeigen, dass die Risiken erkannt und aktiv gesteuert werden, statt sie nur in einer Richtlinie zu beschreiben.

Das Wichtigste

• Kongolesische Banken unterliegen sowohl dem Gesetz 29-2019 als auch den Vorschriften der COBAC.

• Ein unkontrollierter KI-Assistent gleicht einer nicht überwachten Auslagerung.

• Kredit, Compliance und Kundenservice sind am stärksten betroffen.

• Kontrollen auf dem Gerät und Nachweise über verhinderte Vorfälle stärken die interne Kontrolle.

ZeusLock erkennt und anonymisiert Kundendaten direkt auf dem Gerät, bevor sie an ChatGPT, Copilot oder Gemini gehen, und protokolliert jeden Vorfall für Ihre Audits. Demo anfragen und den KI-Einsatz in Ihrer Bank absichern.