Mauretanien: Gesetz 2017-020, APD und Risiken generativer KI

In Nouakchott arbeiten Unternehmen oft in zwei Sprachen. Ein Vertrag kommt auf Arabisch, eine technische Notiz auf Französisch, ein Bericht muss vor der Geschäftsleitungssitzung übersetzt werden. Generative KI-Assistenten erledigen solche Aufgaben deutlich schneller, und viele Beschäftigte nutzen sie bereits täglich.

Die Kehrseite ist bekannt: Was in ein KI-Werkzeug eingefügt wird, landet auf ausländischen Servern. In Mauretanien regelt ein konkretes Gesetz diese Nutzungen, das Gesetz Nr. 2017-020 zum Schutz personenbezogener Daten, und eine Behörde, die zunehmend sichtbar wird.

Das Gesetz Nr. 2017-020: was es abdeckt

Das 2017 verabschiedete Gesetz Nr. 2017-020 legt die Regeln für jede Erhebung und Nutzung von Informationen fest, mit denen sich eine Person identifizieren lässt. Es gilt für private Unternehmen ebenso wie für öffentliche Stellen. Unter anderem verlangt es, Daten für einen festgelegten Zweck zu verarbeiten, sie vor unbefugtem Zugriff zu schützen und die Rechte der Betroffenen zu achten.

Das Gesetz regelt auch die Übermittlung von Daten ins Ausland, die nur in Länder mit angemessenem Schutzniveau erlaubt ist. Für generative KI ist das ein zentraler Punkt, denn die meisten öffentlichen Assistenten verarbeiten Daten außerhalb des Landes.

Eine Behörde, die inzwischen arbeitet

Das Gesetz sah eine Datenschutzbehörde vor, die Autorité de Protection des Données à caractère Personnel (APD). Sie ist heute aktiv. Im Januar 2026 unterzeichnete die APD unter ihrem Präsidenten Mohamed Lemine Ould Sidi in Marrakesch nach fast zweijährigen Gesprächen ein Kooperationsabkommen mit der CNDP, ihrem marokkanischen Pendant.

Das Abkommen betrifft Compliance, die Aufsicht über Verarbeitungen, die Bearbeitung von Beschwerden und den Aufbau einer Datenschutzkultur in Verwaltungen und Unternehmen. Für mauretanische Firmen ist das Signal eindeutig: Das Gesetz von 2017 ist kein theoretischer Text mehr, und die Behörde stellt sich auf, um es durchzusetzen.

Eine ehrgeizige Digitalstrategie

Das Land hat eine tiefgreifende digitale Transformation eingeleitet. Die Nationale Agenda für digitale Transformation 2022-2025 hat die Richtung vorgegeben, und das Ministerium für digitale Transformation, Innovation und Modernisierung der Verwaltung hat eine nationale KI-Strategie für den Zeitraum 2024-2029 erarbeitet.

Diese Strategie räumt der Daten-Governance und der KI-Ethik ausdrücklich einen Platz ein, einschließlich der Einhaltung von Datenschutzregeln. Sie zielt außerdem auf Anwendungen in Gesundheit, Bildung, Landwirtschaft, Fischerei, Verkehr und Energie. Der Staat fördert KI also, aber in einem kontrollierten Rahmen.

Bergbau, Banken, Telekommunikation: exponierte Branchen

Drei Branchen verdienen besondere Aufmerksamkeit, weil sie sensible Daten bündeln und digitale Werkzeuge schnell übernehmen:

• Bergbau und Energie: Eisenerz, Gold und Gas haben großes Gewicht in der Wirtschaft. Geologische Berichte, Produktionsdaten, Verträge mit ausländischen Partnern und Personalakten sind strategische Informationen, die ein Ingenieur womöglich von einer KI zusammenfassen oder übersetzen lässt.

• Banken und Finanzen: Kontonummern, Transaktionsverläufe und Kreditakten sind zugleich personenbezogene Daten und Informationen unter dem Schutz der Bankvertraulichkeit.

• Telekommunikation: Die Betreiber verwalten Teilnehmerdateien, Standortdaten und Verbindungsdaten, die zu den sensibelsten überhaupt gehören.

In diesen Branchen nutzen technische Teams außerdem Coding-Assistenten und Kommandozeilen-Werkzeuge. Diese können Zugangsschlüssel oder Konfigurationsdateien mitnehmen, ohne dass es jemand merkt, wie wir in CLI-KI-Tools: wie Secrets durchsickern zeigen.

Die konkreten Risiken von KI im Arbeitsalltag

Die häufigsten Vorfälle sind alles andere als spektakulär. Eine Assistentin der Geschäftsleitung lässt einen Vertrag mit den Kontaktdaten eines Partners übersetzen. Ein Kundenberater fügt eine Beschwerde mit der Kontonummer des Kunden ein. Ein Personalverantwortlicher lässt eine namentliche Beurteilung umformulieren. Jedes Mal verlässt die Information das Unternehmen und das Land. Meist geschieht das in gutem Glauben und unter Zeitdruck, ohne dass die Geschäftsleitung davon erfährt.

Die Kosten dieser unsichtbaren Lecks werden selten gemessen, obwohl sie hoch sein können. Wir haben sie in Die realen Kosten von Schatten-KI 2026 beziffert. Sensibilisierung allein stößt schnell an Grenzen, wie unser Beitrag Warum KI-Sicherheitsschulungen nicht funktionieren erklärt.

So gehen Sie vor

1. Die tatsächlichen KI-Nutzungen erfassen, in jeder Abteilung, auch auf Smartphones.

2. Festlegen, welche Daten nie geteilt werden: Identität, Bankdaten, Teilnehmerdaten, Produktionsdaten, Verträge, technische Geheimnisse.

3. Kontakt mit der APD aufnehmen, um die für Ihre Verarbeitungen geltenden Formalitäten zu prüfen, vor allem bei Übermittlungen ins Ausland.

4. Daten automatisch schützen, vor dem Versand, statt sich auf das Gedächtnis jedes Einzelnen zu verlassen.

5. Nachweise aufbewahren, um Ihre Compliance belegen zu können.

Einen Überblick über die Rechtsrahmen der Nachbarländer gibt unser Beitrag zu generativer KI und Datenschutz in Westafrika.

Was ZeusLock leistet

ZeusLock wird auf Geräten und in Browsern installiert. Es analysiert in Echtzeit Prompts und Dateien, die an ChatGPT, Copilot, Gemini oder Claude gehen, und erkennt sensible Daten. Je nach Ihren Regeln werden sie formatbewahrend anonymisiert, der Nutzer wird gewarnt oder der Versand blockiert. Jedes Ereignis wird für Ihre Audits protokolliert. Die Beschäftigten behalten ihre gewohnten Werkzeuge, und die Organisation behält die Kontrolle über ihre Daten.

Zusammenfassung

In Mauretanien gilt das Gesetz Nr. 2017-020 uneingeschränkt für generative KI, und die APD schafft sich die Mittel, es durchzusetzen. Mit einer nationalen KI-Strategie, die auf Daten-Governance setzt, ist die Richtung klar. Unternehmen aus Bergbau, Bankwesen und Telekommunikation sollten die Nutzung dieser Werkzeuge jetzt regeln.

Sie möchten ZeusLock in Ihrer Umgebung erleben? Fordern Sie eine Demo an.