Senegals Gesetz 2008-12 und generative KI: Compliance-Leitfaden für Unternehmen

Seit dem Start des New Deal Technologique im Februar 2025 verfolgt Senegal ein klares Ziel: ein führender digitaler Standort in Afrika zu werden. In den Unternehmen ist dieses Ziel bereits Alltag. Teams nutzen ChatGPT, Copilot oder Gemini, um Briefe zu schreiben, Tabellen auszuwerten, Angebote vorzubereiten oder Verträge zu übersetzen.

Diese Entwicklung ist erfreulich. Sie wirft aber eine Frage auf, die viele Führungskräfte noch nicht geklärt haben: Was passiert mit den personenbezogenen Daten Ihrer Kunden und Mitarbeitenden, wenn sie in einen KI-Assistenten eingefügt werden? In Senegal steht die Antwort in einem konkreten Text, dem Gesetz Nr. 2008-12 zum Schutz personenbezogener Daten.

Das Gesetz 2008-12 gilt auch für KI

Das Gesetz erwähnt künstliche Intelligenz nicht, da es aus dem Jahr 2008 stammt. Trotzdem gilt es uneingeschränkt. Sobald ein Unternehmen mit Sitz in Senegal Informationen verarbeitet, mit denen sich eine Person identifizieren lässt, ist es Verantwortlicher der Verarbeitung. Eine Kundendatei in ein KI-Tool zu kopieren, ist eine Verarbeitung. Sie an Server im Ausland zu senden, ist eine Übermittlung.

Die Commission de protection des Données Personnelles (CDP) überwacht die Einhaltung dieses Gesetzes. Sie nimmt Beschwerden entgegen, veröffentlicht regelmäßig Stellungnahmen und kann Sanktionen verhängen. Das Thema ist also alles andere als theoretisch.

Vier Pflichten, die Sie kennen sollten

1. Ein klarer Zweck

Daten müssen für einen bestimmten Zweck erhoben und dürfen nicht für etwas anderes weiterverwendet werden. Eine Telefonnummer, die zur Kontoeröffnung erfasst wurde, gehört nicht in einen Prompt, mit dem ein neues Tool getestet wird.

2. Formalitäten bei der CDP

Je nach Art müssen Verarbeitungen bei der CDP angemeldet oder von ihr genehmigt werden. Jede KI-Nutzung mit Kunden- oder Mitarbeiterdaten sollte in diesen Formalitäten berücksichtigt werden, genau wie eine neue Fachanwendung.

3. Sicherheit und Vertraulichkeit

Der Verantwortliche muss die notwendigen Maßnahmen treffen, damit Daten nicht an unbefugte Dritte gelangen. Wenn jeder Mitarbeitende sensible Daten frei an einen externen Dienst senden kann, widerspricht das dieser Pflicht.

4. Übermittlungen außerhalb Senegals

Das ist der heikelste Punkt. Eine Übermittlung in ein Drittland ist nur zulässig, wenn dieses Land ein angemessenes Schutzniveau gewährleistet, oder unter den von der CDP festgelegten Bedingungen. Die meisten KI-Assistenten für Endnutzer verarbeiten Daten außerhalb des Kontinents. Ohne Vorkehrungen kann jeder Prompt mit personenbezogenen Daten eine unzulässige Übermittlung darstellen.

Einen Überblick über die Gesetze der Region gibt unser Artikel Generative KI in Westafrika: So schützen Sie Ihre sensiblen Daten.

Fünf typische Situationen in senegalesischen Unternehmen

• Banken und Mikrofinanz: Ein Berater fügt den Verlauf eines Kunden ein, um eine Antwort auf eine Beschwerde zu verfassen.

• Telekommunikation und Mobile Money: Ein Mitarbeiter sendet einen Transaktionsexport, um eine Unregelmäßigkeit zu verstehen.

• Versicherung und Gesundheit: Ein Sachbearbeiter fasst eine Krankenakte mit einem KI-Assistenten zusammen.

• Personalwesen: Eine Recruiterin vergleicht vollständige Lebensläufe mit Ausweisnummern.

• KMU und Handel: Ein Vertriebsmitarbeiter lädt seine gesamte Interessentenliste hoch, um personalisierte E-Mails zu erstellen.

In jedem Fall ist die Absicht gut und die Zeitersparnis echt. Das Problem sind die Daten, die mit der Anfrage mitreisen. Dieses Phänomen, für die Geschäftsleitung oft unsichtbar, hat einen Namen: Shadow AI. Seine Auswirkungen haben wir in Die wahren Kosten von Shadow AI im Jahr 2026 beziffert.

Verbieten reicht nicht

Manche Unternehmen sperren angesichts des Risikos KI-Websites im Firmennetz. Das Ergebnis ist selten das gewünschte. Die Mitarbeitenden weichen auf ihr privates Smartphone aus, und die Geschäftsleitung verliert jede Transparenz. Schulungen allein genügen ebenfalls nicht: Unter dem Druck eines dringenden Vorgangs sind gute Vorsätze schnell vergessen. Warum, erklären wir in Warum KI-Sicherheitsschulungen nicht funktionieren.

Der richtige Weg ist, den Teams die Nutzung von KI zu erlauben und gleichzeitig zu kontrollieren, was das Unternehmen verlässt.

Aktionsplan in sechs Schritten

1. Nutzung erfassen. Ermitteln Sie, welche KI-Tools tatsächlich genutzt werden und in welchen Abteilungen.

2. Daten klassifizieren. Legen Sie fest, was niemals an eine externe KI gehen darf: Identitätsdaten, Bankdaten, Gesundheitsdaten, Mitarbeiterdaten, technische Geheimnisse.

3. CDP-Formalitäten aktualisieren. Nehmen Sie die KI-Nutzung in Ihre Meldungen und Ihr Verarbeitungsverzeichnis auf.

4. Eine einfache Richtlinie schreiben. Eine Seite genügt, mit konkreten Beispielen, was erlaubt ist und was nicht.

5. An der Quelle schützen. Erkennen und anonymisieren Sie sensible Daten automatisch, bevor sie die KI erreichen. Mehr dazu in unserem Artikel über formaterhaltende Anonymisierung.

6. Nachweise sichern. Protokollieren Sie verhinderte Vorfälle. Bei einer Prüfung durch die CDP ist das Ihr stärkstes Argument.

Für die schrittweise Umsetzung folgen Sie unserem 90-Tage-Leitfaden für die Einführung.

Wie ZeusLock senegalesischen Unternehmen hilft

ZeusLock läuft auf den Geräten und Browsern Ihrer Teams. Die Lösung erkennt in Echtzeit sensible Daten in Prompts und Dateien, die an KI-Assistenten gesendet werden, darunter senegalesische Telefonnummern, Nummern des ECOWAS-Personalausweises und Mobile-Money-Kennungen. Je nach Ihren Regeln wird anonymisiert, gewarnt oder blockiert. Jedes Ereignis wird protokolliert und unterstützt Ihre Compliance.

Ihre Mitarbeitenden behalten ihre Werkzeuge. Sie behalten die Kontrolle über Ihre Daten.

Fazit

Senegal setzt auf Digitalisierung und KI, und das ist eine sehr gute Nachricht. Das Gesetz 2008-12 verbietet die Nutzung dieser Tools nicht. Es verlangt lediglich, dass Sie wissen, welche Daten hinausgehen, wohin sie gehen und wie sie geschützt sind. Unternehmen, die sich jetzt aufstellen, verschaffen sich einen Vorsprung, bei ihren Kunden ebenso wie beim Regulierer.

Möchten Sie die Gefährdung Ihres Unternehmens messen? Fordern Sie eine ZeusLock-Demo an.