Kongo-Brazzaville, Gesetz 29-2019 und KI: eine tragfähige Governance

In Pointe-Noire nutzt die Verwaltungsleiterin eines Hafenlogistikers ChatGPT, um Kundenbriefe zu entwerfen und Versanddossiers zusammenzufassen. In Brazzaville macht ein Bankangestellter dasselbe mit seinen Kreditvermerken. Niemand hat ihnen gesagt, was sie dort eingeben dürfen und was besser im Haus bleibt.

So geht es vielen Organisationen in der Republik Kongo. Generative KI ist schneller in den Büros angekommen als interne Regeln. Dabei hat das Land seit 2019 ein Datenschutzgesetz, das eine solide Grundlage bietet, um diese Nutzung zu ordnen.

Gesetz 29-2019, das Fundament des kongolesischen Rahmens

Das Gesetz Nr. 29-2019 vom 10. Oktober 2019 zum Schutz personenbezogener Daten legt die Regeln für jede Organisation fest, die im Kongo Daten über Personen erhebt oder verarbeitet. Es beruht auf bekannten Grundsätzen: vorherige und ausdrückliche Einwilligung, sofern keine Ausnahme greift, festgelegter Zweck, Sicherheit und Vertraulichkeit.

Der Text ist recht detailliert. Er verlangt die vorherige Meldung von Verarbeitungen, eine Genehmigung für bestimmte sensible Daten, in mehreren Fällen die Benennung eines Datenschutzbeauftragten und die Meldung von Datenschutzverletzungen innerhalb von 72 Stunden.

Eine Behörde angekündigt, die Pflichten gelten schon

Die Aufsicht liegt laut Gesetz bei einer nationalen Kommission für den Schutz personenbezogener Daten. Im Juli 2024 verabschiedete der Ministerrat einen Vorentwurf für ein Gesetz zur Gründung dieser Kommission, ein notwendiger Schritt, um sie arbeitsfähig zu machen.

Diese Verzögerung setzt das Gesetz nicht aus. Die Pflichten zu Sicherheit, Vertraulichkeit und begrenzten Übermittlungen gelten, ebenso die vorgesehenen strafrechtlichen Sanktionen. Wer mit der Organisation wartet, bis die Kommission steht, geht ein Risiko ein: Dann muss alles in Eile umgesetzt werden, unter den Augen einer ganz neuen Aufsicht.

Warum generative KI eine Governance-Frage ist

Das erste Problem ist nicht technisch, sondern organisatorisch. In den meisten Unternehmen ist niemand klar für die KI-Nutzung zuständig. Die Teams wählen ihre Tools selbst, oft über private Konten. Die Folgen dieser Schatten-KI beziffern wir in unserem Beitrag über die realen Kosten von Schatten-KI.

Zudem regelt das Gesetz 29-2019 Übermittlungen streng: Daten dürfen den Kongo nur in ein Land mit vergleichbarem Schutz verlassen, und die Kommission muss vorab informiert werden. Für Teams, die täglich mit Partnern im Ausland arbeiten, ist das eine zentrale Regel. Ein Prompt an einen im Ausland gehosteten Assistenten fällt genau darunter.

Ohne gemeinsame Regeln setzt jedes Team eigene Grenzen, oder gar keine. Die Rechtsabteilung weiß nicht, welche Tools im Einsatz sind, die IT sieht die Datenflüsse nicht, und die Geschäftsleitung erfährt vom Problem erst am Tag eines Vorfalls. Eine klare Governance dient zuallererst dazu, Rollen und Verantwortung zu verteilen.

Der Kontext in Brazzaville und Pointe-Noire

Die beiden Wirtschaftszentren des Landes haben nicht ganz dieselben Herausforderungen.

• Brazzaville beherbergt die Verwaltung, die Zentralen der Banken und die Telekommunikationsanbieter. Dort geht es vor allem um Akten von Kunden, Bürgern und Beamten.

• Pointe-Noire lebt von Öl, Hafen und Logistik. Hier fallen Personaldaten, arbeitsmedizinische Daten, Verträge und Versanddokumente an, die oft mit ausländischen Partnern, Reedereien und Muttergesellschaften geteilt werden.

In beiden Städten wechseln die Teams zwischen Französisch, Lingala und Kituba und nutzen KI zum Übersetzen oder Umformulieren. Dadurch werden noch mehr interne Dokumente in Chatbots kopiert, häufig unter Zeitdruck und ohne dass jemand prüft, welche Namen, Nummern oder Gesundheitsangaben darin stehen.

Fünf Säulen einer KI-Governance

1. Eine benannte verantwortliche Person. Der Datenschutzbeauftragte, ersatzweise der IT-Leiter, verantwortet die KI-Richtlinie und berichtet an die Geschäftsleitung.

2. Eine kurze schriftliche Richtlinie. Welche Tools erlaubt sind, wofür, und welche Daten nie eingegeben werden dürfen: Identitäten, Kontonummern, Krankenakten, Daten von Beamten.

3. Eine Übersicht der Verarbeitungen. Jede regelmäßige KI-Nutzung kommt ins Verzeichnis, mit Rechtsgrundlage und möglichen Übermittlungen aus dem Kongo.

4. Technische Kontrolle am Endgerät. Schulungen allein reichen nicht, wie wir in warum KI-Sicherheitsschulungen nicht funktionieren zeigen. Nötig ist ein Werkzeug, das sensible Daten im Moment des Prompts erkennt und sie anonymisiert oder das Absenden blockiert.

5. Nachweise und Kennzahlen. Verhinderte Vorfälle, genutzte Tools, betroffene Teams. Diese Angaben zählen gegenüber der künftigen Kommission und wenn eine Verletzung gemeldet werden muss.

Ein realistischer Zeitplan

Es muss nicht alles gleichzeitig passieren, und ein perfekter Plan ist kein Muss für den Start. Ein erster Monat kann genügen, um eine verantwortliche Person zu benennen, eine Richtlinie zu veröffentlichen und die Bestandsaufnahme zu starten. Die beiden folgenden Monate dienen dazu, die Kontrolle auf den am stärksten exponierten Geräten einzuführen und dann auszuweiten. Unser 90-Tage-Rollout-Playbook beschreibt diesen Ablauf im Detail. Zum Vergleich mit einem französischsprachigen Land, dessen Aufsicht bereits aktiv ist, empfehlen wir unseren Leitfaden zum senegalesischen Gesetz 2008-12.

Das Wichtigste

• Das Gesetz 29-2019 regelt die Nutzung personenbezogener Daten im Kongo bereits heute, auch in KI-Tools.

• Die nationale Kommission wird gerade geschaffen, die Pflichten gelten aber schon jetzt.

• Ein Prompt an eine im Ausland gehostete KI ist eine Übermittlung im Sinne des Gesetzes.

• Gute Governance verbindet eine verantwortliche Person, eine Richtlinie, ein Verzeichnis, Kontrolle am Endgerät und Nachweise.

ZeusLock liefert die Kontrolle am Endgerät: Es erkennt und anonymisiert sensible Daten, bevor sie an ChatGPT, Copilot oder Gemini gehen, und protokolliert Vorfälle für Ihre Audits. Demo anfragen und Ihre KI-Governance aufbauen.