NGOs in Uganda: Daten von Begünstigten vor KI-Tools schützen

In einem Feldbüro in Arua oder Kyangwali muss eine Schutzbeauftragte ihren Wochenbericht vor Feierabend fertigstellen. Sie kopiert ihre Gesprächsnotizen in ChatGPT, um eine saubere Zusammenfassung zu bekommen. In den Notizen stehen Namen, Registrierungsnummern, ein Wohnort in der Siedlung und die Schilderung eines Übergriffs. Die Zusammenfassung kommt nach zehn Sekunden. Die Daten liegen da schon auf einem Server im Ausland.

Diese Szene ist kein Einzelfall. NGOs und humanitäre Organisationen in Uganda arbeiten unter Druck und mit kleinen Teams, und generative KI hilft ihnen tatsächlich. Gleichzeitig verwalten sie einige der sensibelsten Daten überhaupt: Informationen über Menschen, die aus ihrem Land geflohen sind. Das ugandische Gesetz gilt für diese Daten, und das PDPO hat NGOs bereits daran erinnert, dass sie nicht ausgenommen sind.

Uganda, das größte Aufnahmeland für Geflüchtete in Afrika

Nach Angaben des UNHCR beherbergte Uganda Mitte 2025 rund 1,93 Millionen Geflüchtete, mehr als jedes andere afrikanische Land. Über eine Million von ihnen sind jünger als 18 Jahre. Die meisten Neuankömmlinge stammen aus dem Südsudan, der Demokratischen Republik Kongo und dem Sudan.

Rund um diese Bevölkerung ist ein dichtes Netz entstanden: UN-Organisationen, große internationale NGOs, lokale Vereine, Umsetzungspartner und Anbieter von Bargeldtransfers. Alle erheben, teilen und analysieren Daten von Begünstigten, oft in Tabellen, die von Hand zu Hand gehen.

NGOs sind vom Gesetz von 2019 nicht ausgenommen

Der Data Protection and Privacy Act von 2019 gilt für jede Organisation, die in Uganda personenbezogene Daten erhebt oder verarbeitet. Ob gemeinnützig oder humanitär, spielt keine Rolle. Im Oktober 2022 veröffentlichte das National Bureau for Non-Governmental Organisations ein Rundschreiben, das NGOs zur Registrierung beim Personal Data Protection Office, dem PDPO innerhalb der NITA-U, aufforderte.

Der Registrierungsantrag verlangt unter anderem:

• Art und Kategorien der verarbeiteten personenbezogenen Daten;

• die Kontaktdaten des Datenschutzbeauftragten;

• alle Datenübermittlungen aus Uganda heraus;

• die getroffenen Sicherheitsmaßnahmen.

Die letzten beiden Punkte betreffen KI direkt. Ein Verbraucher-Assistent, der im Ausland gehostet wird, ist eine Übermittlung. Und eine Organisation, die nicht weiß, was ihre Mitarbeitenden an diese Tools schicken, wird ihre Sicherheitsmaßnahmen kaum beschreiben können. Den allgemeinen Rahmen, die Registrierung und die Sanktionen erklären wir in unserem Compliance-Leitfaden zum PDPO.

Daten von Begünstigten sind besonders gefährdet

In der humanitären Arbeit misst man ein Datenleck nicht nur in Bußgeldern. Eine Liste von Begünstigten mit Herkunft, ethnischer Zugehörigkeit oder vermuteter politischer Haltung kann Leben gefährden, in Uganda wie im Herkunftsland. Das Gesetz von 2019 zählt politische Meinungen, religiöse Überzeugungen, Gesundheit und Sexualleben zu den besonderen personenbezogenen Daten.

Die riskanten Situationen ähneln sich:

• Fallnotizen zu geschlechtsspezifischer Gewalt, die ein Chatbot umformuliert;

• Verteil- oder Bargeldlisten mit Telefonnummern und Beträgen, die in einem KI-Assistenten ausgewertet werden;

• Gesundheitsdaten aus mobilen Kliniken, zusammengefasst für einen Geberbericht;

• Förderanträge, die auf echten Fallbeispielen beruhen und noch Namen enthalten.

Warum sich KI in NGOs ohne Regeln verbreitet hat

Die humanitären Budgets wurden 2025 stark gekürzt, und der UNHCR warnte vor eingeschränkten Leistungen in Uganda. Weniger Personal, mehr Berichte, anspruchsvolle Geber: Kostenlose KI wird zum Reflex. Sie kommt selten durch eine Entscheidung der Leitung. Sie kommt, wenn eine Kollegin das Tool einem Kollegen zeigt.

Das Ergebnis ist eine unsichtbare Nutzung, die sogenannte Schatten-KI. Ihre tatsächlichen Kosten beschreiben wir in die realen Kosten der Schatten-KI 2026. In NGOs verschärfen Personalwechsel, Freiwillige und gemeinsam genutzte Laptops das Risiko.

Schulungen allein reichen nicht

Die meisten humanitären Organisationen schulen ihre Teams bereits zu Datenschutz und zum Grundsatz "do no harm". Das Handbuch des IKRK zum Datenschutz in der humanitären Hilfe gilt in der Branche als Referenz. Diese Unterlagen bleiben wichtig, aber niemand schlägt sie nach, wenn eine müde Mitarbeiterin um 22 Uhr eine Tabelle in einen Chatbot kopiert. Warum das so ist, erklären wir in warum KI-Sicherheitsschulungen nicht funktionieren.

Was besser funktioniert

1. Bestimmte Tools freigeben, statt alles zu verbieten, damit niemand nach Umwegen sucht.

2. Festlegen, welche Daten nie verschickt werden: Registrierungsnummern, Telefonnummern, Gesundheitsdaten, Fallnotizen.

3. Diese Daten automatisch ersetzen, durch fiktive Werte im gleichen Format, bevor sie das Gerät verlassen. Mehr dazu in unserem Artikel über formatbewahrende Anonymisierung.

4. Verhinderte Vorfälle dokumentieren, nützlich für das PDPO und für Prüfungen durch Geber.

Wie ZeusLock humanitären Organisationen hilft

ZeusLock läuft auf den Geräten und Browsern Ihrer Teams, in der Zentrale in Kampala ebenso wie in den Feldbüros. Bevor ein Prompt oder eine Datei ChatGPT, Copilot, Gemini oder Claude erreicht, erkennt ZeusLock sensible Daten: Namen, ugandische Telefonnummern, NINs, Kennungen von Begünstigten, Gesundheitsbegriffe. Je nach Ihren Regeln werden sie anonymisiert, der Nutzer gewarnt oder die Anfrage blockiert. Jedes Ereignis wird protokolliert, sodass Sie dem Regulator oder Ihren Gebern konkrete Nachweise vorlegen können.

Zusammenfassung

NGOs in Uganda verwalten Daten schutzbedürftiger Menschen, in großem Umfang und mit schrumpfenden Mitteln. Das Gesetz von 2019 gilt für sie vollständig, auch für Übermittlungen ins Ausland. KI kann ihre Arbeit erleichtern, solange die Daten der Begünstigten dort bleiben, wo sie hingehören.

Sie arbeiten für eine NGO oder humanitäre Organisation in Uganda? Fordern Sie eine ZeusLock-Demo an und sehen Sie, wie Sie die Daten Ihrer Begünstigten schützen.