KI-Regulierung in Ruanda: Die Nationale KI-Politik, Datenschutz und Vorschriften für Rechenzentren

Die KI-Regulierung in Ruanda entwickelt sich rasch von politischen Leitlinien hin zu Institutionen, und Unternehmen, die künstliche Intelligenz entwickeln, erwerben oder hosten, sehen sich nun einem Geflecht aus verbindlichen Datenschutzvorschriften, sektoraler Lizenzierung und einer sich schnell entwickelnden Regierungspolitik gegenüber. Ein eigenständiges KI-Gesetz gibt es noch nicht, doch das bedeutet nicht, dass KI unreguliert ist. Dieser Leitfaden erläutert die bereits geltenden Regeln, die Verpflichtungen der Regierung aus der Nationalen KI-Politik, die Lizenzierung von Rechenzentren und die künftige Entwicklung des Rechts. Für Unterstützung bei Transaktionen und Projekten siehe unsere Rechtsdienstleistungen für KI und Rechenzentren in Ruanda.

Wie die KI-Regulierung in Ruanda heute funktioniert

Ruanda reguliert KI nicht durch ein eigenes Gesetz, sondern auf drei Ebenen:

• Politik: Die Nationale Politik für Künstliche Intelligenz, entwickelt vom Ministerium für IKT und Innovation (MINICT) und der Regulierungsbehörde für öffentliche Versorgungsleistungen Ruandas (RURA), legt die Ausrichtung der Regierung und ihren Umsetzungsplan fest.
• Verbindliches Recht: Das Gesetz Nº 058/2021 vom 13/10/2021 über den Schutz personenbezogener Daten und der Privatsphäre gilt für jedes KI-System, das personenbezogene Daten verarbeitet. Die Aufsicht obliegt der Nationalen Cyber-Sicherheitsbehörde (NCSA).
• Sektorale Regulierung: Die RURA lizenziert Rechenzentren und Cloud-Infrastruktur im Rahmen des IKT-Rechtsrahmens, und die Sektorregulierungsbehörden bleiben für den Einsatz von KI in ihren Branchen zuständig.

Auch das institutionelle Gefüge verändert sich. Im März 2025 signalisierte die Regierung Pläne, KI in den IKT-Rechtsrahmen einzubeziehen, und im Juni 2026 genehmigte das Kabinett die Errichtung einer Nationalen Agentur für Künstliche Intelligenz. Zum Zeitpunkt der Abfassung waren die Rechtsgrundlage, die Befugnisse und der Zeitplan der Agentur noch nicht veröffentlicht, und wir haben kein verabschiedetes KI-spezifisches Gesetz ermittelt. Unternehmen sollten daher die heute geltenden Vorschriften einhalten und sich zugleich auf detailliertere Anforderungen vorbereiten.

Was die Nationale KI-Politik Ruandas verlangt

Der Die vom MINICT veröffentlichte Nationale KI-Politik zielt darauf ab, Ruanda zu einem globalen Zentrum für KI-Forschung und -Innovation zu machen. Sie legt sechs Schwerpunktbereiche und 14 zentrale politische Empfehlungen fest. Die sechs Bereiche sind:

• Kompetenzen des 21. Jahrhunderts und eine hohe KI-Kompetenz;
• zuverlässige Infrastruktur und Rechenkapazität;
• eine belastbare Datenstrategie;
• vertrauenswürdiger KI-Einsatz im öffentlichen Sektor;
• breit nutzbringender KI-Einsatz in der Privatwirtschaft; und
• praxisnahe Leitlinien zur KI-Ethik.

Eine Politik ist kein Gesetz, doch das vollständige Strategiedokument und der Umsetzungsplan zeigen, wohin sich die Regulierung entwickelt. Für Unternehmen unmittelbar relevant sind unter anderem:

• Ethikleitlinien: Die Leitlinien der RURA zur ethischen Entwicklung und Implementierung künstlicher Intelligenz sollen in der gesamten KI-Gemeinschaft gefördert werden, ergänzt durch ein Forum zur Erörterung sektorspezifischer KI-Ethikleitlinien.
• Regulatorische Sandboxes: Der Plan beauftragt die RURA, KI-Sandbox-Projekte zu initiieren, um innovative Lösungen in einem kontrollierten Umfeld zu erproben.
• Aufsicht über Cloud-Anbieter: Vorgesehen ist die Registrierung lokaler und ausländischer Cloud-Dienstleister bei der NCSA, wie es das Datenschutzgesetz verlangt, gefolgt von Compliance-Audits.
• Institutionen: Vorgeschlagen wurde ein Büro für verantwortungsvolle KI innerhalb des MINICT, das die Umsetzung leiten soll.

In der Praxis sollten Organisationen die Ethikleitlinien schon heute als Erwartungen der Regulierungsbehörde behandeln, auch wenn sie als Orientierungshilfe formuliert sind. Es ist ratsam zu dokumentieren, wie ein KI-Produkt diese Leitlinien erfüllt, bevor man mit Kunden aus dem öffentlichen Sektor oder mit Regulierungsbehörden in Kontakt tritt.

Datenschutzvorschriften für KI-Systeme

Für die meisten KI-Projekte ist das Datenschutzgesetz die wichtigste verbindliche Quelle von Pflichten. Es gilt für Verantwortliche und Auftragsverarbeiter mit Sitz in Ruanda sowie für solche außerhalb Ruandas, die personenbezogene Daten von in Ruanda befindlichen betroffenen Personen verarbeiten. Wesentliche Bestimmungen für KI sind:

• Registrierung: Wer als Verantwortlicher oder Auftragsverarbeiter tätig werden will, muss sich bei der Aufsichtsbehörde registrieren, die innerhalb von 30 Arbeitstagen nach Eingang eines vollständigen Antrags ein Zertifikat ausstellt (Artikel 29 bis 31).
• Automatisierte Entscheidungen: Betroffene Personen haben das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die rechtliche oder ähnlich erhebliche Folgen hat, vorbehaltlich eng begrenzter Ausnahmen wie ausdrücklicher Einwilligung oder vertraglicher Erforderlichkeit (Artikel 21).
• Folgenabschätzungen: Für Verarbeitungen mit hohem Risiko ist eine Datenschutz-Folgenabschätzung erforderlich, insbesondere bei systematischer und umfassender Bewertung von Personen auf der Grundlage automatisierter Verarbeitung und Profiling (Artikel 38).
• Meldung von Datenschutzverletzungen: Ein Verantwortlicher muss die Aufsichtsbehörde innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, benachrichtigen und innerhalb von 72 Stunden einen vollständigen Bericht vorlegen (Artikel 43 und 44).

Die Durchsetzung ist real. Im Sanktionskapitel des Gesetzesist vorgesehen, dass Verwaltungsverstöße wie der Betrieb ohne Registrierungszertifikat oder die unterlassene Meldung einer Datenschutzverletzung mit einer Geldbuße von RWF 2,000,000 bis RWF 5,000,000 oder 1% des weltweiten Umsatzes des vorangegangenen Geschäftsjahres geahndet werden. Die unrechtmäßige Nutzung oder Offenlegung personenbezogener Daten ist eine Straftat. Unser Team für Datenschutz und Cybersicherheit unterstützt bei Registrierung, Folgenabschätzungen und der Reaktion auf Datenschutzverletzungen.

Rechenzentren in Ruanda: Lizenzierung und Datenlokalisierung

Die Nationale KI-Politik stellt die Infrastruktur in den Mittelpunkt. Ihr Umsetzungsplan enthält ein Konzept für ein kontinentales, KI-fähiges Hyperscale-Rechenzentrum in Ruanda und beauftragt das Rwanda Development Board (RDB), strategische Flächen für Rechenzentren bereitzustellen. Für Investoren stehen drei Rechtsfragen im Vordergrund.

1. Wo müssen Daten gespeichert werden?

Nach Artikel 50 des Datenschutzgesetzes speichern Verantwortliche und Auftragsverarbeiter personenbezogene Daten in Ruanda. Eine Speicherung außerhalb Ruandas ist nur mit einem gültigen Registrierungszertifikat der Aufsichtsbehörde zulässig, das dies gestattet. Übermittlungen an Dritte im Ausland sind gesondert in Artikel 48 geregelt, der Übermittlungen unter anderem auf Grundlage einer Genehmigung der NCSA mit geeigneten Garantien, der Einwilligung der betroffenen Person oder vertraglicher Erforderlichkeit zulässt. Der vollständige Wortlaut der Artikel 48 bis 52 wird vom Datenschutzbüro (Data Protection and Privacy Office) der NCSA veröffentlicht, das außerdem ein Antragsformular für die Genehmigung zur Speicherung von Daten außerhalb Ruandasbereitstellt. Dieser Lokalisierungsgrundsatz ist ein Wettbewerbsvorteil für lokale Rechenzentren und ein Compliance-Thema für jedes Unternehmen, das ausländische Cloud-Dienste nutzt. Für den regionalen Gesamtzusammenhang lesen Sie unsere Analyse zum Thema grenzüberschreitende Datenströme in Afrika.

2. Welche Lizenz benötigt ein Rechenzentrum?

Rechenzentrumsdienste werden von der RURA über ihr Lizenzportal lizenziert, auf Grundlage des Gesetzes N° 24/2016 über Informations- und Kommunikationstechnologien sowie der Lizenzierungsverordnung der RURA für elektronische Kommunikation. Eine auf diesem Portal veröffentlichte Tier-III-Rechenzentrumslizenz veranschaulicht, mit welchen Auflagen Betreiber rechnen sollten, darunter:

• Fortbestand als nach ruandischem Recht gegründete Gesellschaft, deren Geschäfte von Ruanda aus geführt werden;
• direkte oder indirekte Zusammenschaltung mit dem Rwanda Internet Exchange Point;
• Echtzeitüberwachung von Stromversorgung, Kühlung, Netzwerk, Rechenleistung und Sicherheitssystemen, wobei kritische Vorfälle der RURA innerhalb von 15 Minuten zu melden sind;
• eine jährliche Regulierungsgebühr in Höhe von 1% des Jahresumsatzes sowie ein Beitrag zum Universal Access Fund; und
• Pflichten im Bereich Umwelt- und Elektroschrottmanagement.

Diese Lizenz umfasst ausdrücklich KI-Rechenzentrumsinfrastruktur, Hochleistungsrechnen sowie Training und Inferenz von KI-Modellen. Die Auflagen für ein konkretes Projekt werden in dessen eigener Lizenz festgelegt und sollten daher vor dem Financial Close verhandelt und geprüft werden.

3. Welche Anreize gibt es?

Die IKT-Investitionsseite des RDB nennt einen Körperschaftsteuersatz von 15% für registrierte IKT-Unternehmen, mögliche Steuerbefreiungen von bis zu sieben Jahren für bedeutende Investitionen, Mehrwertsteuerbefreiungen für bestimmte IT-Ausrüstung sowie Erleichterungen bei der Einwanderung von Fachkräften. Die Förderfähigkeit hängt von den Voraussetzungen des Investitionsrahmens ab, die wir in unserem Leitfaden Investitionsanreize in Ruandaerläutern. Projekte mit staatlichem Vertragspartner eignen sich zudem für eine Strukturierung als öffentlich-private Partnerschaften.

Praktische Schritte für Unternehmen, die KI nutzen oder hosten

• Erfassen Sie Ihre Daten: Ermitteln Sie, welche Datensätze personenbezogen oder sensibel sind, wo sie gespeichert werden und welche Cloud- oder KI-Anbieter darauf zugreifen können.
• Registrieren und dokumentieren: Bestätigen Sie Ihre Registrierung bei der NCSA als Verantwortlicher oder Auftragsverarbeiter, führen Sie Verarbeitungsverzeichnisse und erstellen Sie Folgenabschätzungen für Profiling oder automatisierte Entscheidungsfindung.
• Lokalisierung einplanen: Werden Daten im Ausland gespeichert oder dorthin übermittelt, holen Sie die entsprechende Genehmigung der NCSA vor der Inbetriebnahme ein, nicht danach.
• Sorgfältig vertraglich gestalten: KI- und Hosting-Verträge sollten Datenschutzpflichten, Sicherheitsstandards, Meldung von Vorfällen und Haftung regeln. Siehe unseren Leitfaden Handelsverträge in Ruanda , der die Grundlagen behandelt.
• Ergebnisse und Trainingsdaten schützen: Klären Sie die Inhaberschaft an Modellen, Datensätzen und Ergebnissen mithilfe unserer Beratung zum geistigen Eigentum in Ruanda.
• Die KI-Agentur beobachten: Verfolgen Sie den Errichtungsakt der Nationalen KI-Agentur und alle von ihr erlassenen Vorschriften, da diese neue Pflichten begründen können.

Häufig gestellte Fragen

Hat Ruanda ein KI-Gesetz?

Noch nicht. KI unterliegt der Nationalen KI-Politik, den KI-Ethikleitlinien der RURA, dem Datenschutzgesetz und der sektoralen Lizenzierung. Die Regierung hat angekündigt, KI im IKT-Rechtsrahmen zu regeln, und das Kabinett hat im Juni 2026 eine Nationale KI-Agentur genehmigt.

Wer reguliert KI in Ruanda?

Die Zuständigkeit ist geteilt. Das MINICT verantwortet die Politik, die RURA hat die KI-Ethikleitlinien herausgegeben und reguliert die IKT-Infrastruktur, und die NCSA beaufsichtigt die Verarbeitung personenbezogener Daten. Die neue Nationale KI-Agentur soll nach Formalisierung ihres Mandats eine zentrale koordinierende Rolle übernehmen.

Müssen personenbezogene Daten in Ruanda gespeichert werden?

Grundsätzlich ja. Artikel 50 des Gesetzes Nº 058/2021 verlangt die Speicherung personenbezogener Daten in Ruanda, es sei denn, der Verantwortliche oder Auftragsverarbeiter verfügt über ein Registrierungszertifikat der Aufsichtsbehörde, das die Speicherung im Ausland gestattet.

Benötige ich eine Lizenz für den Betrieb eines Rechenzentrums in Ruanda?

Ja, Rechenzentrumsdienste für Kunden werden von der RURA nach dem IKT-Gesetz lizenziert. Die Lizenz legt technische, Berichts- und Gebührenpflichten fest und sollte daher frühzeitig in der Projektplanung geprüft werden.

Darf KI in Ruanda automatisierte Entscheidungen über Kunden treffen?

Nur in Grenzen. Personen haben das Recht, keinen ausschließlich automatisierten Entscheidungen mit rechtlicher oder erheblicher Wirkung unterworfen zu werden, sofern keine Ausnahme greift, etwa ausdrückliche Einwilligung, vertragliche Erforderlichkeit oder eine gesetzliche Erlaubnis mit geeigneten Garantien.

Abschluss

Die KI-Regulierung in Ruanda hat durch Datenschutz- und Lizenzvorschriften bereits Biss, und die neue Nationale KI-Agentur zeigt, dass eine detailliertere Governance bevorsteht. Unternehmen, die ihre Daten erfassen, Lokalisierungs- und Lizenzfragen frühzeitig klären und Verträge sorgfältig gestalten, sind am besten aufgestellt, um von Ruandas Ambition zu profitieren, ein führender KI-Standort zu werden.

Sprechen Sie mit WAYAN über unsere Rechtsdienstleistungen für KI und Rechenzentren, oder vereinbaren Sie eine Beratung mit unserem Team , um Ihr KI-Projekt oder Ihre Rechenzentrumsinvestition in Ruanda prüfen zu lassen.