Mali: Gesetz 2013-015, APDP und Datensouveränität im KI-Zeitalter

In Bamako, ob in einem Dienstleistungsunternehmen, einer Kanzlei oder einer Behörde, sind KI-Assistenten heute nur einen Klick entfernt. Man nutzt sie, um einen Brief zu schreiben, einen Bericht zusammenzufassen, ein Dokument zu übersetzen oder eine Präsentation vorzubereiten. Das Werkzeug ist kostenlos, schnell und auf jedem Telefon verfügbar.

Weniger sichtbar ist der Weg der Daten. Ein Text, der in ChatGPT oder Gemini eingefügt wird, bleibt nicht in Mali: Er wird auf Servern im Ausland verarbeitet, nach den Regeln des Anbieters. Für eine malische Organisation ist das eine Frage der Compliance, aber auch der Souveränität über die eigenen Informationen.

Der Rechtsrahmen: Gesetz Nr. 2013-015

In Mali beruht der Schutz personenbezogener Daten auf dem Gesetz Nr. 2013-015 vom 21. Mai 2013, geändert durch das Gesetz Nr. 2017-070 vom 18. Dezember 2017, das vor allem die Arbeitsweise der Aufsichtsbehörde präzisiert hat. Es gilt für alle Personen, Unternehmen und Verwaltungen, die Informationen verarbeiten, mit denen sich eine Person identifizieren lässt.

Das Gesetz schuf die Datenschutzbehörde APDP (Autorité de Protection des Données à caractère Personnel), eine unabhängige Verwaltungsbehörde. Die APDP nimmt Meldungen entgegen, gibt Stellungnahmen ab, kontrolliert Organisationen und kann Sanktionen verhängen.

Eine Behörde, die vor Ort handelt

Die APDP veröffentlicht nicht nur Empfehlungen. 2025 verhängte sie gegen eine Klinik in Bamako eine Geldbuße von 5 Millionen CFA-Francs, weil diese eine Kontrolle zu einer nicht gemeldeten Videoüberwachung behindert hatte. Zudem erhielten mehr als hundert Unternehmen förmliche Aufforderungen wegen Verstößen.

Im Oktober 2025 eröffnete die Behörde eine Sondersitzung zur Prüfung von rund 2.000 Meldeakten. Die Kommissare prüfen dabei die rechtliche Konformität, die Sicherheit der Informationssysteme, die Aufbewahrungsfristen und die Wahrung der Rechte der Betroffenen. Das Gesetz sieht außerdem eine Geldbuße von 5 bis 20 Millionen CFA-Francs vor, wenn die Arbeit der Behörde behindert wird.

Die Botschaft ist klar: Formalitäten und Kontrollen sind Realität, auch bei den neuesten digitalen Anwendungen.

Daten, die das Land verlassen

Das malische Recht regelt Übermittlungen streng. Ein Verantwortlicher darf personenbezogene Daten nur dann in ein anderes Land übermitteln, wenn dieses ein ausreichendes Schutzniveau für die Privatsphäre und die Freiheiten der Betroffenen gewährleistet.

Die meisten öffentlichen Dienste für generative KI speichern und verarbeiten Daten jedoch außerhalb Afrikas. Wenn ein Mitarbeiter eine Kundendatei, eine Personalliste oder eine Verwaltungsakte in einen Online-Assistenten einfügt, nimmt er faktisch eine internationale Übermittlung vor. Ohne Regeln und Kontrolle weiß die Organisation nicht mehr, wo ihre Daten liegen und wer darauf zugreifen kann.

Verwaltungen: besondere Wachsamkeit

Der öffentliche Sektor ist direkt betroffen. Das Gesetz schreibt vor, dass Verarbeitungen im Auftrag des Staates vorab eine begründete Stellungnahme der APDP erhalten. Eine Behörde, die ihre Beschäftigten externe KI-Werkzeuge frei mit Bürgerakten nutzen lässt, geht daher ein doppeltes Risiko ein: den Abfluss sensibler Informationen und eine Verarbeitung, die der Aufsicht nie vorgelegt wurde.

Die häufigsten Fälle sind sehr konkret:

• ein Sachbearbeiter lässt eine Personenstands- oder Grundbuchakte zusammenfassen;

• die Personalabteilung formuliert namentliche Beurteilungen um;

• die Finanzabteilung analysiert Zahlungstabellen;

• die IT schickt einen Datenbankauszug, um einen Fehler zu beheben.

KI gewinnt in Mali an Bedeutung

Das Land verfolgt die Entwicklung der künstlichen Intelligenz aufmerksam. Mali verfügt über ein Zentrum für künstliche Intelligenz und Robotik, und der Ministerrat vom 23. April 2026 kündigte ein jährliches nationales KI-Forum mit Vorträgen, Prototyp-Ausstellungen und Robotik-Wettbewerben an.

Diese Dynamik ist positiv. Sie macht aber eine praktische Frage dringlicher: Wie lassen sich diese Werkzeuge nutzen, ohne unbemerkt die Daten von Kunden, Beschäftigten oder Bürgern zu exportieren? Souveränitätsfragen reichen dabei weit über den Kontinent hinaus, wie wir in Souveräne KI: was CISOs wissen müssen zeigen.

Die Kontrolle über die eigenen Daten behalten

Für ein malisches Unternehmen oder eine Behörde lässt sich ein vernünftiges Vorgehen in wenigen Schritten zusammenfassen:

1. Bestandsaufnahme der genutzten KI-Werkzeuge, offiziell oder nicht.

2. Informationen einstufen, die nie hinausgehen dürfen: Identität, Gesundheitsdaten, Finanzdaten, Verwaltungsakten, Geschäftsgeheimnisse.

3. Formalitäten bei der APDP prüfen und die neuen Nutzungen aufnehmen.

4. Daten an der Quelle schützen, bevor sie den Arbeitsplatz verlassen.

5. Jeden verhinderten Vorfall dokumentieren, um bei einer Kontrolle antworten zu können.

Wie ein Datenleck konkret entsteht, lesen Sie in Anatomie eines KI-Datenlecks. Für die Umsetzung beschreibt unser 90-Tage-Rollout-Playbook jeden Schritt. Einen regionalen Überblick bietet unser Beitrag zu generativer KI in Westafrika.

Die Rolle von ZeusLock

ZeusLock arbeitet direkt auf den Geräten und in den Browsern. Bevor ein Prompt oder eine Datei an ChatGPT, Copilot, Gemini oder Claude geht, erkennt es sensible Daten. Je nach den von Ihnen festgelegten Regeln werden sie formatbewahrend anonymisiert, der Nutzer wird gewarnt oder der Versand blockiert. Die echten Informationen bleiben in Ihrer Organisation, und jedes Ereignis wird für Audits und den Austausch mit der APDP protokolliert.

Zusammenfassung

In Mali setzen das Gesetz 2013-015 und die APDP einen klaren Rahmen: Formalitäten, eine vorherige Stellungnahme bei Verarbeitungen des Staates und Übermittlungen nur in Länder mit ausreichendem Schutz. Generative KI fällt unter diesen Rahmen. Wer die Kontrolle über seine Daten behält, hält das Gesetz ein und wahrt zugleich seine digitale Souveränität.

Sie möchten sehen, wie Sie Ihre Daten schützen, ohne Ihre Teams auszubremsen? Fordern Sie eine Demo von ZeusLock an.