Tunesien, Gesetz 2004-63 und KI: Herausforderung für Offshore-Entwickler

In Tunis, Sousse oder Sfax arbeiten viele Entwicklerinnen und Entwickler täglich am Code europäischer Banken, Versicherer und Softwarehäuser. In den letzten zwei Jahren hat sich ihr Arbeitsplatz verändert: Ein KI-Codeassistent ergänzt Funktionen, ein Agent in der Kommandozeile startet die Tests, ein Chatbot erklärt einen Fehler in der Produktion. Die Produktivitätsgewinne sind echt, und die Kunden erwarten sie.

Doch ein Repository enthält weit mehr als Code. Dort liegen API-Schlüssel, Verbindungszeichenfolgen und Testdaten, die aus der Produktion kopiert wurden. Gelangen sie an ein KI-Modell, verlassen sie den Rahmen, den der Vertrag vorsieht. In Tunesien stellt sich die Frage an der Schnittstelle zweier Regelwerke: des Organgesetzes Nr. 2004-63 und der DSGVO, an die europäische Kunden gebunden sind.

Ein Offshore-Modell, das auf Vertrauen beruht

Tunesien hat sich als Nearshore-Standort für das französischsprachige Europa etabliert. Viele französische Unternehmen haben dort Teams oder Tochtergesellschaften, oft in der Softwareentwicklung, der Anwendungswartung, im Testing oder in der Cybersicherheit. Geringe Zeitverschiebung, gemeinsame Sprache und gut ausgebildete Ingenieure aus dem eigenen Land sind die Stärken des Landes. Für einen IT-Dienstleister kostet der Vertrauensverlust bei einem Großkunden nach einem Vorfall weit mehr als jedes Werkzeug.

Das Modell beruht auf einem Versprechen: Die Daten des Kunden bleiben unter Kontrolle. Doch KI-Werkzeuge für die Entwicklung haben sich schneller verbreitet als die Sicherheitsrichtlinien. Ein Entwickler kann einen Agenten in wenigen Minuten mit einem ganzen Repository verbinden, ohne dass der Sicherheitsverantwortliche des Kunden davon erfährt.

Was das Organgesetz 2004-63 vorsieht

Tunesien hat sich sehr früh ein Datenschutzgesetz gegeben. Das Organgesetz Nr. 2004-63 vom 27. Juli 2004 überträgt die Aufsicht der Nationalen Instanz für den Schutz personenbezogener Daten (INPDP). Mehrere Pflichten betreffen den KI-Einsatz direkt:

• Vorabmeldung jeder Verarbeitung personenbezogener Daten bei der INPDP;

• Genehmigung für bestimmte sensible Daten wie Gesundheitsdaten;

• Verbot der Weitergabe von Daten an Dritte ohne Einwilligung;

• Übermittlung ins Ausland, die eine Genehmigung der Instanz erfordert und verboten ist, wenn sie die öffentliche Sicherheit gefährden kann.

Die Sanktionen sind nicht nur theoretisch. Das Gesetz sieht Freiheits- und Geldstrafen vor, und die tunesische Presse berichtete, dass die Instanz im Juli 2023 rund dreißig Fälle wegen fehlender Meldung an die Staatsanwaltschaft weitergeleitet hat.

Eine Reform in der parlamentarischen Debatte

Das Gesetz von 2004 stößt an seine Grenzen, gerade bei KI. Ein Entwurf für ein Organgesetz mit 132 Artikeln wird in der Versammlung der Volksvertreter beraten. Am 17. Februar 2026 hörte der Ausschuss für Rechte und Freiheiten die Initiatoren an. Der Text sieht Regeln für den Einsatz von KI vor, das Recht, keiner rein automatisierten Entscheidung unterworfen zu werden, Folgenabschätzungen für risikoreiche Verarbeitungen, einen Datenschutzbeauftragten und abschreckendere Geldbußen.

Der Entwurf ist noch nicht verabschiedet, und sein Inhalt kann sich ändern. Die Richtung ist aber klar: Unternehmen, die ihre KI-Nutzung schon jetzt dokumentieren, verschaffen sich einen Vorsprung. Zudem ist Tunesien 2017 der Konvention 108 des Europarats zum Datenschutz beigetreten.

Die DSGVO kommt über die Verträge

Für Tunesien gibt es keinen Angemessenheitsbeschluss der Europäischen Kommission. Europäische Kunden binden ihre tunesischen Dienstleister daher über Standardvertragsklauseln und Auftragsverarbeitungsverträge. Diese Verträge nennen die zugelassenen Werkzeuge und Unterauftragsverarbeiter. Ein nicht genehmigter KI-Assistent, der an ein Repository mit personenbezogenen Daten angeschlossen ist, schafft eine Lücke, die der Prüfer des Kunden früher oder später findet. Unsere Checkliste zu KI-VO und DSGVO Artikel 32 fasst zusammen, was solche Audits prüfen.

Wo Daten in einem Entwicklerteam abfließen

Die Risiken sind typisch für den Beruf. Die häufigsten:

1. eine Konfigurationsdatei mit API-Schlüsseln oder Passwörtern, die ein Kommandozeilen-Agent ausliest;

2. ein Auszug aus der Produktionsdatenbank mit Namen und Kontonummern, eingefügt, um eine Abfrage zu debuggen;

3. Anwendungslogs mit E-Mail-Adressen, die an einen Chatbot gehen, um einen Fehler zu analysieren;

4. ein MCP-Server, der dem Agenten weitreichenden Zugriff auf interne Werkzeuge des Kunden gibt.

Diese Szenarien beschreiben wir in wie CLI-KI-Tools Secrets preisgeben und in warum MCP eine eigene DLP-Schicht braucht. Klassische Netzwerk-Tools sehen diese Datenflüsse nicht, wie unser Artikel warum Netzwerk-DLP an ChatGPT scheitert zeigt.

Was tunesische IT-Dienstleister tun können

• die tatsächlich genutzten KI-Assistenten und Agenten pro Projekt erfassen;

• diese Nutzung mit jedem Kunden abstimmen und vertraglich festhalten;

• die betroffenen Verarbeitungen bei der INPDP melden und die Regeln für Übermittlungen prüfen;

• Secrets und personenbezogene Daten erkennen und maskieren, bevor sie ein Modell erreichen;

• ein Vorfallprotokoll führen, das Kunden wie der Instanz dient.

Diese Maßnahmen bremsen die Teams nicht aus. Im Gegenteil: Sie helfen, die immer detaillierteren Sicherheitsfragebögen der Kunden zum Thema KI gelassen zu beantworten, und sie machen Compliance zu einem echten Verkaufsargument gegenüber anderen Offshore-Standorten. Wer nachweisen kann, dass keine Kundendaten in fremde KI-Modelle gelangen, gewinnt bei Ausschreibungen einen klaren Vorteil.

Zusammengefasst

Der tunesische Offshore-Sektor lebt vom Vertrauen seiner Kunden. Das Gesetz 2004-63 und die INPDP regeln bereits Verarbeitungen und Übermittlungen, eine strengere Reform wird beraten, und die DSGVO wirkt über die Verträge. KI-Codeassistenten werden bleiben. Sie dürfen nur nicht mehr sehen, als sie sehen sollen.

ZeusLock erkennt und anonymisiert Secrets und personenbezogene Daten in Prompts, Dateien und KI-Werkzeugen, direkt auf dem Rechner der Entwickler, und dokumentiert jeden Vorfall. Fordern Sie eine Demo an und schützen Sie Ihre Entwicklerteams.