Nigeria, NDPA 2023 und generative KI: was Fintechs jetzt wissen müssen

In Lagos kopiert eine Compliance-Analystin eines Fintechs einen Transaktionsexport in ChatGPT, um eine Reihe abgelehnter Zahlungen zu verstehen. Die Tabelle enthält Namen, Kontonummern und BVNs. Die Antwort kommt in Sekunden. Die Daten haben das Unternehmen verlassen, und nichts hält das fest.

Dieser alltägliche Vorgang ist inzwischen streng geregelt. Seit dem Nigeria Data Protection Act von 2023 und der Durchführungsrichtlinie GAID, die seit September 2025 gilt, erwartet die Nigeria Data Protection Commission (NDPC), dass Unternehmen die Kontrolle über ihre Verarbeitungen nachweisen, auch wenn ein Mitarbeiter einen KI-Assistenten nutzt.

Der Rahmen: NDPA 2023, NDPC und GAID

Der Nigeria Data Protection Act wurde im Juni 2023 in Kraft gesetzt. Er schuf die NDPC als unabhängige Aufsichtsbehörde und löste das frühere Regime auf Basis der NDPR von 2019 ab.

Im März 2025 veröffentlichte die NDPC die General Application and Implementation Directive (GAID), die am 19. September 2025 wirksam wurde. Sie regelt die Anwendung des Gesetzes im Alltag: Registrierung von Verantwortlichen, jährliche Audits, Folgenabschätzungen und die Rolle des Datenschutzbeauftragten. Damit sind die NDPR und ihr Umsetzungsrahmen von 2020 nicht mehr die regulatorische Referenz.

BVN und NIN: Kennungen mit besonderem Schutzbedarf

Zwei Kennungen tauchen in fast jeder Kundenakte in Nigeria auf. Die BVN (Bank Verification Number) verknüpft jeden Bankkunden mit seinen biometrischen Daten. Die NIN (National Identification Number) der Behörde NIMC ist der Identitätsschlüssel für Kontoeröffnungen, SIM-Registrierungen und viele öffentliche Dienste.

Diese Nummern öffnen den Zugang zu einer vollständigen Identität, ein Leck ermöglicht Identitätsdiebstahl und Betrug. Der NDPA zählt biometrische Daten zu den sensiblen Daten, die besondere Schutzmaßnahmen verlangen. In der Praxis sollte eine BVN oder NIN in einem Prompt wie ein Hochrisikodatum behandelt werden, genau wie ein medizinischer Befund.

Trotzdem sind diese Kennungen überall: in Support-Tickets, KYC-Exporten und Betrugsberichten. Genau solche Inhalte möchten Teams mit einem KI-Assistenten zusammenfassen.

Was die GAID für KI bedeutet

Die GAID gehört zu den wenigen afrikanischen Texten, die neue Technologien direkt adressieren. Bevor eine Organisation KI, Internet der Dinge oder Blockchain einsetzt, muss sie eine Datenschutz-Folgenabschätzung (DPIA) durchführen. Profiling, automatisierte Entscheidungen und systematische Überwachung zählen zu den Auslösern.

Die Abschätzung muss Datenschutz durch Technikgestaltung, Sicherheit, Transparenz und Risikominderung abdecken. Ein Datenschutzbeauftragter muss sie prüfen, und sie gehört in den Auditbericht. Konkret: Ein Fintech, das ChatGPT, Copilot oder Gemini mit Kundendaten zulässt, muss zeigen können, dass es dieses Risiko bewertet und Schutzmaßnahmen eingeführt hat.

Registrierung, Audits und Sanktionen

Organisationen, die als data controllers and processors of major importance gelten, müssen sich bei der NDPC registrieren und je nach Stufe bis zum 31. März einen jährlichen Compliance Audit Return über eine zugelassene Prüforganisation einreichen. Außerdem müssen sie einen Datenschutzbeauftragten benennen.

Die Sanktionen sind real. Für diese Organisationen sieht das Gesetz eine Geldbuße bis zum höheren Betrag aus 10 Millionen Naira oder 2 % des jährlichen Bruttoumsatzes vor. Die NDPC hat bereits hohe Bußgelder angekündigt, darunter 555,8 Millionen Naira gegen Fidelity Bank im Jahr 2024, die die Bank anfocht, und 766 Millionen Naira gegen MultiChoice im Jahr 2025.

Zudem muss eine Datenschutzverletzung der Kommission innerhalb von 72 Stunden gemeldet werden. Ein Mitarbeiter, der BVNs in ein öffentliches KI-Tool kopiert, kann diese Pflicht auslösen, ohne dass es jemand merkt.

Warum klassische Werkzeuge nicht reichen

Viele nigerianische Banken betreiben bereits DLP für E-Mail oder Netzwerk. Diese Werkzeuge sehen kaum, was in einem verschlüsselten Browserfenster passiert, in das Nutzer Text tippen oder einfügen. Mehr dazu in unserem Beitrag zur Anatomie eines KI-Datenlecks.

Ein Verbot von ChatGPT löst das Problem ebenfalls nicht. Die Teams weichen auf ihr Handy oder private Konten aus, und das Unternehmen verliert jede Sicht. Das ist Schatten-KI, deren reale Kosten für Unternehmen wir beziffert haben. Dasselbe Muster zeigt sich in der ganzen Region, wie unser Überblick zu generativer KI und Datenschutz in Westafrika zeigt.

Fünf Schritte für ein Fintech

1. Nutzung erfassen: welche KI-Tools von welchen Teams mit welchen Datenarten genutzt werden.

2. Kennungen einstufen: BVN, NIN, Kontonummern, Kartennummern und biometrische Daten in die höchste Kategorie.

3. DPIA durchführen, wie die GAID sie für KI verlangt, mit Freigabe durch den Datenschutzbeauftragten.

4. Am Endgerät schützen: sensible Daten vor dem Absenden des Prompts erkennen und anonymisieren, je nach Fall warnen oder blockieren.

5. Nachweise sichern: Vorfälle protokollieren, um den jährlichen Auditbericht zu füttern und der NDPC zu antworten.

Anonymisierung ist oft die beste Wahl, weil die Teams weiterarbeiten können. Wird eine BVN durch einen fiktiven Wert im selben Format ersetzt, kann die KI die Tabelle auswerten, ohne je die echte Nummer zu sehen. Unser Leitfaden zur formatbewahrenden Anonymisierung erklärt das Prinzip.

Das Wichtigste

• NDPA 2023 und GAID, gültig seit September 2025, bilden den Referenzrahmen in Nigeria.

• Die GAID verlangt vor jedem KI-Einsatz eine DPIA.

• BVN und NIN müssen als Hochrisikodaten geschützt werden.

• Bußgelder der NDPC und die 72-Stunden-Meldepflicht machen Prävention unverzichtbar.

ZeusLock erkennt und anonymisiert BVNs, NINs und andere sensible Daten direkt auf dem Gerät, bevor sie ChatGPT, Copilot oder Gemini erreichen, und speichert die Nachweise für Ihre Audits. Demo anfragen und sehen, wie es zu Ihren Teams passt.