Togo Gesetz 2019-014 und KI: was die IPDCP von Unternehmen erwartet

Togo hat sich in wenigen Jahren einen ernstzunehmenden Ruf in der Cybersicherheit erarbeitet. Ein eigenes Gesetz seit 2018, eine nationale Agentur, ein Zentrum für die Reaktion auf Sicherheitsvorfälle. Seit März 2025 verfügt das Land zudem über eine arbeitende Datenschutzbehörde: die IPDCP.

Für Unternehmen in Lomé und im ganzen Land ändert das einiges. Das Gesetz Nr. 2019-014 ist kein Text mehr, der auf seine Aufsicht wartet. Und die Frage nach Künstlicher Intelligenz stellt sich jetzt ganz konkret: Was darf an ChatGPT, Copilot oder Gemini gehen, ohne gegen das Gesetz zu verstoßen?

Gesetz Nr. 2019-014 im Überblick

Das Gesetz Nr. 2019-014 vom 29. Oktober 2019 über den Schutz personenbezogener Daten legt die Grundregeln fest. KI wird darin nicht erwähnt, doch es gilt, sobald eine Information eine Person identifizierbar macht.

• Vorherige Meldung. Verarbeitungen müssen der IPDCP im Voraus gemeldet werden. Die Behörde stellt innerhalb von höchstens einem Monat eine Empfangsbestätigung aus.

• Genehmigung für sensible Daten. Genetische, gesundheitsbezogene und biometrische Daten sowie Daten zu Straftaten erfordern eine vorherige Genehmigung.

• Klassische Grundsätze. Festgelegter Zweck, Erheblichkeit, begrenzte Speicherdauer, Richtigkeit und Transparenz.

• Sicherheit. Der Verantwortliche muss Vertraulichkeit und Sicherheit der Daten gewährleisten.

• Rechte der Betroffenen. Information, Auskunft, Widerspruch, Berichtigung und Löschung.

Die IPDCP: eine Behörde, die jetzt arbeitet

Die Datenschutzbehörde IPDCP (Instance de protection des données à caractère personnel), eine unabhängige Verwaltungsbehörde auf Grundlage des Gesetzes von 2019, hat ihre Tätigkeit am 28. März 2025 in Lomé offiziell aufgenommen. Ihre erste Priorität ist die Sensibilisierung von Medien, Verwaltungen, Unternehmen und Öffentlichkeit. Sanktionen sollen später folgen.

Ihr Aktionsplan umfasst unter anderem eine digitale Akademie, ein Netz von Ansprechpartnern, Branchenbarometer, Reifegradindikatoren und eine Zertifizierung für besonders weit entwickelte Organisationen. Mit anderen Worten: Die IPDCP wird messen, wer die Regeln einhält.

Für Unternehmen ist die angekündigte Zertifizierung auch eine Chance. Bei öffentlichen Ausschreibungen wie gegenüber ausländischen Partnern wird der Nachweis, dass man seine Daten im Griff hat, zum Verkaufsargument. Es lohnt sich, früh damit anzufangen, zumal generative KI immer mehr Datenflüsse erzeugt, die schwer nachzuverfolgen sind.

Das Gesetz gibt ihr echte Befugnisse: Prüfungen nach Aktenlage und vor Ort, vorläufiger und dann endgültiger Entzug einer Genehmigung sowie Verwaltungsbußgelder von bis zu 100 Millionen CFA-Franc. Manche Verstöße, etwa das Versäumen der vorherigen Formalitäten, sind zudem strafbar.

Ein Land, das auf Cybersicherheit gesetzt hat

Der Datenschutzrahmen ist Teil eines größeren Ganzen:

• das Gesetz Nr. 2018-026 über Cybersicherheit und die Bekämpfung der Cyberkriminalität;

• die Nationale Agentur für Cybersicherheit (ANCy), gegründet 2019, die die nationale Politik festlegt und umsetzt;

• das CERT.tg, das nationale Zentrum für die Reaktion auf Sicherheitsvorfälle;

• Cyber Defense Africa, ein 2019 gegründetes Gemeinschaftsunternehmen mit der polnischen Gruppe Asseco Data Systems.

Auch mit der Nutzung großer Datenmengen hat Togo Erfahrung. Während der Covid-19-Pandemie nutzte das Bargeldtransferprogramm Novissi Mobilfunkdaten und Satellitenbilder, um bedürftige Haushalte auszuwählen. Eine Datenkultur ist also vorhanden. Die Kultur des Datenschutzes muss Schritt halten.

Was das Gesetz für den KI-Einsatz bedeutet

Jede KI-Nutzung mit personenbezogenen Daten ist eine Verarbeitung

Wenn ein Callcenter-Mitarbeiter den Verlauf eines Kunden in einen Chatbot kopiert, verarbeitet er Daten. Diese Verarbeitung braucht einen klaren Zweck und muss von der Meldung an die IPDCP abgedeckt sein.

Sensible Daten verlangen höchste Vorsicht

Ein ärztlicher Befund, biometrische Daten oder ein Strafregisterauszug sollten nie an einen frei verfügbaren KI-Assistenten gehen. Ihre Verarbeitung ist genehmigungspflichtig, und schon die Weitergabe kann problematisch sein.

Sicherheit lässt sich nicht an den KI-Anbieter abgeben

Verantwortlich bleibt das Unternehmen. Legt ein Mitarbeiter über ein externes Tool Daten offen, muss das Unternehmen dafür geradestehen. Dieses Szenario beschreiben wir in der Anatomie eines KI-Datenlecks.

KI-Agenten vergrößern die Angriffsfläche

Assistenten, die mit E-Mail, Kundendatenbanken oder internen Tools verbunden sind, lassen sich über versteckte Anweisungen manipulieren. Siehe unsere Analyse der Prompt-Injection-Angriffsmuster.

Vorbereitung vor den ersten Prüfungen

Fünf Schritte genügen, um die wichtigsten Risiken in den Griff zu bekommen. Sie lassen sich in wenigen Wochen umsetzen, auch ohne großes Budget:

1. Genutzte KI-Tools und die darüber fließenden Daten erfassen.

2. Die Meldungen an die IPDCP aktualisieren, damit sie diese Nutzungen abdecken.

3. Das Senden sensibler Daten an externe Tools verbieten und technisch durchsetzen.

4. Personenbezogene Daten vor jedem Versand automatisch anonymisieren.

5. Ein Protokoll verhinderter Vorfälle führen, das bei einer Prüfung oder Zertifizierung hilft.

Den regionalen Zusammenhang erklärt unser Artikel über generative KI und Datenschutz in Westafrika.

Die Rolle von ZeusLock

ZeusLock arbeitet auf den Geräten und Browsern der Mitarbeitenden. Es erkennt in Echtzeit personenbezogene und sensible Daten in Prompts und Dateien, die an KI-Assistenten gehen, und anonymisiert sie formatbewahrend, warnt den Nutzer oder blockiert den Versand, je nach Ihren Regeln. Jedes Ereignis wird protokolliert, sodass Sie der IPDCP konkrete Nachweise vorlegen können.

Das Wichtigste in Kürze

Mit einem Gesetz von 2019, einer seit 2025 aktiven Behörde und einem strukturierten Cyber-Ökosystem tritt Togo in die Phase der Durchsetzung ein. Die IPDCP setzt zunächst auf Aufklärung, wird aber bald den Reifegrad der Organisationen messen. Unternehmen, die ihre KI-Nutzung jetzt regeln, sind klar im Vorteil.

Sie möchten die Exposition Ihrer Teams messen? Fordern Sie eine ZeusLock-Demo an.