Banken und Versicherer in Tunesien: generative KI in der Praxis steuern

In einer Bankfiliale in Sfax stellt ein Berater eine Baufinanzierungsakte zusammen. In der Zentrale eines Versicherers in Tunis formuliert eine Schadenbearbeiterin ein Ablehnungsschreiben. In der Compliance-Abteilung fasst ein Analyst einen Prüfbericht zusammen. Alle drei haben einen KI-Assistenten im Browser geöffnet, und alle drei arbeiten mit Daten, die das Gesetz doppelt schützt: als personenbezogene Daten und als Berufsgeheimnis.

Für tunesische Banken und Versicherer ist nicht mehr die Frage, ob ihre Teams generative KI nutzen. Die Frage ist, wie man sie in der Praxis steuert, ohne auf die nächste Reform oder den nächsten Vorfall zu warten.

KI ist in der tunesischen Finanzbranche angekommen

Die Branche zeigt offenes Interesse. Im Mai 2024 widmete der tunesische Verband der Versicherungsgesellschaften seine Rendez-vous de Carthage der künstlichen Intelligenz, vor allem für Schadenbearbeitung und Betrugsbekämpfung. Im September 2025 kündigte MAE Assurances einen KI-basierten Chatbot an, der als Premiere für die Versicherungsbranche in Tunesien vorgestellt wurde.

Solche Projekte sind kontrolliert. Das eigentliche Risiko liegt in der informellen Nutzung: Ein Mitarbeiter kopiert einen Kontoauszug, ein Gutachten oder eine Kundenliste in ein öffentliches Tool, um Zeit zu sparen.

Drei Texte, die man kennen muss

Ein tunesisches Finanzinstitut, das KI steuern will, muss drei Quellen zusammenführen:

• Das Organgesetz Nr. 2004-63 über personenbezogene Daten unter Aufsicht der INPDP: Verarbeitungen sind anzumelden, Daten dürfen nicht ohne Rechtsgrundlage an Dritte gehen, und Übermittlungen ins Ausland brauchen eine Genehmigung. Wir haben es in unserem Artikel über das Gesetz 2004-63 und Offshore-Entwickler beschrieben.

• Das Gesetz Nr. 2016-48 über Banken und Finanzinstitute. Artikel 61 verpflichtet Leitung und Personal zum Berufsgeheimnis. Artikel 81 regelt das Outsourcing: schriftlicher Vertrag, vorherige Information der Banque Centrale de Tunisie und Einhaltung des Gesetzes 2004-63.

• Das BCT-Rundschreiben Nr. 2021-05 vom 19. August 2021 zur Governance von Banken und Finanzinstituten. Es verlangt vom Verwaltungsrat, die personenbezogenen Daten von Einlegern und Kunden zu schützen, und von der Geschäftsleitung, entsprechende Schutzmechanismen einzurichten.

Für Versicherer ist das Comité général des assurances (CGA) die Aufsicht, und das Gesetz 2004-63 gilt ebenso für Schadenakten und Gesundheitsdaten.

Ein KI-Tool ist ein Dienstleister wie jeder andere

Ein Punkt wird oft übersehen. Wenn ein Online-KI-Dienst Kundendaten im Auftrag einer Bank verarbeitet, handelt er als externer Dienstleister. Nach dem Gesetz 2016-48 setzt Outsourcing einen schriftlichen Vertrag und die vorherige Information der BCT voraus. Ein Abonnement, das eine Abteilung mit der Firmenkarte abschließt, erfüllt keine dieser Bedingungen. Hinzu kommt die Frage der Übermittlung: Die meisten öffentlichen KI-Assistenten verarbeiten Daten auf Servern außerhalb Tunesiens. Nach dem Gesetz 2004-63 braucht eine solche Übermittlung grundsätzlich eine Genehmigung der INPDP, die niemand beantragt hat, als sich das Tool informell im Arbeitsalltag eingenistet hat. Für die Compliance-Abteilung ist das eine Lücke, die bei der nächsten Prüfung auffallen kann.

Die BCT selbst baut ihre Sicherheit aus: Im Juli 2026 schrieb sie den Aufbau eines Security Operations Center aus, das ihre digitale Umgebung rund um die Uhr überwachen soll. Das Signal an den Finanzplatz ist eindeutig.

Die riskantesten Anwendungsfälle

In Banken und Versicherungen folgen Datenabflüsse meist denselben Mustern:

1. ein Kontoauszug oder Tilgungsplan, eingefügt, um eine Berechnung zu prüfen;

2. eine Kfz- oder Krankenschadenakte, vor einer Ausschusssitzung zusammengefasst;

3. ein Beschwerdebrief, aus dem Arabischen ins Französische übersetzt, samt Bankverbindung des Kunden;

4. eine Interessentenliste, hochgeladen, um eine Vertriebskampagne vorzubereiten;

5. eine Geldwäsche-Warnung, umformuliert, mit den Namen der betroffenen Personen.

Der letzte Fall ist besonders heikel: Eine Verdachtsmeldung ist ihrem Wesen nach vertraulich, und ihre Offenlegung kann ein weit ernsteres Problem verursachen als eine gewöhnliche Datenpanne.

Eine Methode in fünf Schritten

Um vom pauschalen Verbot zu einer kontrollierten Nutzung zu kommen, kann ein Institut:

• die genutzten KI-Tools nach Geschäftsbereich und Filiale erfassen;

• ein oder zwei Tools freigeben, mit einem Vertrag nach Artikel 81 und einer Prüfung der Datenübermittlung nach dem Gesetz 2004-63;

• verbotene Daten festlegen: Bankverbindungen, Kontonummern, Ausweisnummern, Gesundheitsdaten, Informationen zur Geldwäschebekämpfung;

• Prompts und Dateien am Arbeitsplatz prüfen und anonymisieren, was anonymisiert werden muss;

• ein Vorfallprotokoll für interne Revision, Risikoausschuss und BCT-Prüfungen führen.

Die formatbewahrende Anonymisierung erhält den Nutzen des Tools: fiktive, aber gültige Bankdaten, ein Name durch einen anderen ersetzt, der Betrag unverändert. Schulungen bleiben sinnvoll, reichen aber nicht aus, wie wir in warum KI-Sicherheitsschulungen nicht funktionieren erklären.

Reform und europäische Erwartungen vorwegnehmen

Das Parlament prüft einen Entwurf für ein neues Organgesetz zum Datenschutz. Er sieht unter anderem Regeln für KI, Folgenabschätzungen und einen Datenschutzbeauftragten vor. Tunesische Banken, die zu europäischen Gruppen gehören, kennen diese Anforderungen bereits. Sie ähneln denen in unserer Checkliste zu KI-Verordnung und DSGVO Artikel 32.

Zusammenfassung

Tunesische Banken und Versicherer haben bereits einen klaren Rahmen: Gesetz 2004-63, Bankengesetz 2016-48 und BCT-Rundschreiben 2021-05. Auf KI angewandt heißt das: jedes Tool als Dienstleister behandeln, das Berufsgeheimnis wahren und nachweisen können, was das Haus verlässt. Das ist ein operatives Projekt, nicht nur ein juristisches.

ZeusLock erkennt Bankverbindungen, Kontonummern, Ausweisnummern und Gesundheitsdaten in Prompts und Dateien, anonymisiert oder blockiert sie am Arbeitsplatz und protokolliert jeden Vorfall. Demo anfragen und sehen, wie es zu Ihrem Institut passt.