Réglementation de l'IA au Rwanda : la Politique nationale d'IA, la protection des données et les règles applicables aux centres de données

La réglementation de l'IA au Rwanda passe rapidement du stade de la politique à celui des institutions, et les entreprises qui développent, achètent ou hébergent des systèmes d'intelligence artificielle sont désormais confrontées à un ensemble de règles contraignantes de protection des données, de licences sectorielles et d'une politique publique en évolution rapide. Il n'existe pas encore de loi spécifique sur l'IA, mais cela ne signifie pas que l'IA n'est pas réglementée. Ce guide présente les règles déjà applicables, les engagements pris par le gouvernement dans la Politique nationale d'IA, le régime de licence des centres de données et l'orientation future du droit. Pour un accompagnement sur vos transactions et projets, consultez nos services juridiques en matière d'IA et de centres de données au Rwanda.

Comment l'IA est réglementée aujourd'hui au Rwanda

Le Rwanda encadre l'IA au moyen de trois niveaux de règles plutôt que d'une loi unique :

• Politique : la Politique nationale d'intelligence artificielle, élaborée par le ministère des TIC et de l'Innovation (MINICT) et l'Autorité rwandaise de régulation des services publics (RURA), fixe l'orientation du gouvernement et son plan de mise en œuvre.
• Droit contraignant : la loi Nº 058/2021 du 13/10/2021 relative à la protection des données à caractère personnel et de la vie privée régit tout système d'IA qui traite des données personnelles. Son application est contrôlée par l'Autorité nationale de cybersécurité (NCSA).
• Régulation sectorielle : la RURA délivre les licences des centres de données et des infrastructures cloud dans le cadre juridique des TIC, et les régulateurs sectoriels restent compétents pour l'IA utilisée dans leurs secteurs.

Le paysage institutionnel évolue également. En mars 2025, le gouvernement a annoncé son intention d'intégrer l'IA dans le cadre juridique des TIC, et en juin 2026, le Conseil des ministres a approuvé la création d'une Agence nationale de l'intelligence artificielle. À la date de rédaction, l'instrument juridique, les pouvoirs et le calendrier de cette agence n'ont pas été publiés, et nous n'avons identifié aucune loi spécifique à l'IA adoptée. Les entreprises doivent donc respecter les règles en vigueur aujourd'hui tout en se préparant à des exigences plus détaillées.

Ce qu'exige la Politique nationale d'IA du Rwanda

Le La Politique nationale d'IA publiée par le MINICT vise à faire du Rwanda un centre mondial de recherche et d'innovation en IA. Elle définit six domaines prioritaires et 14 recommandations clés. Ces six domaines sont :

• les compétences du 21e siècle et une solide culture de l'IA ;
• des infrastructures fiables et une capacité de calcul suffisante ;
• une stratégie robuste en matière de données ;
• une adoption fiable de l'IA dans le secteur public ;
• une adoption de l'IA largement bénéfique dans le secteur privé ; et
• des lignes directrices pratiques en matière d'éthique de l'IA.

Une politique n'est pas une loi, mais le document de politique complet et son plan de mise en œuvre indiquent l'orientation de la future réglementation. Parmi les points qui intéressent directement les entreprises :

• Lignes directrices éthiques : les Lignes directrices de la RURA sur le développement et la mise en œuvre éthiques de l'intelligence artificielle doivent être promues auprès de l'ensemble de la communauté de l'IA, avec un forum consacré aux lignes directrices éthiques sectorielles.
• Bacs à sable réglementaires : le plan charge la RURA de lancer des projets de bacs à sable en matière d'IA afin de tester des solutions innovantes dans un environnement contrôlé.
• Supervision des fournisseurs cloud : il prévoit l'enregistrement des fournisseurs de services cloud locaux et étrangers auprès de la NCSA, comme l'exige la loi sur la protection des données, suivi d'audits de conformité.
• Institutions : il a proposé la création d'un Bureau de l'IA responsable au sein du MINICT pour piloter la mise en œuvre.

En pratique, les organisations devraient considérer dès à présent les lignes directrices éthiques comme l'expression des attentes du régulateur, même si elles sont présentées comme de simples orientations. Documenter la manière dont un produit d'IA les respecte est une démarche judicieuse avant de traiter avec des clients du secteur public ou des régulateurs.

Règles de protection des données applicables aux systèmes d'IA

Pour la plupart des projets d'IA, la loi sur la protection des données constitue la principale source d'obligations contraignantes. Elle s'applique aux responsables du traitement et aux sous-traitants établis au Rwanda, ainsi qu'à ceux établis hors du Rwanda qui traitent des données personnelles de personnes concernées se trouvant au Rwanda. Les principales dispositions pertinentes pour l'IA sont les suivantes :

• Enregistrement : toute personne qui entend agir en qualité de responsable du traitement ou de sous-traitant doit s'enregistrer auprès de l'autorité de contrôle, qui délivre un certificat dans un délai de 30 jours ouvrables à compter de la réception d'un dossier complet (articles 29 à 31).
• Décisions automatisées : les personnes concernées ont le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou des effets similaires significatifs, sous réserve d'exceptions limitées telles que le consentement explicite ou la nécessité contractuelle (article 21).
• Analyses d'impact : une analyse d'impact relative à la protection des données est requise pour les traitements à haut risque, notamment l'évaluation systématique et approfondie de personnes fondée sur un traitement automatisé et le profilage (article 38).
• Notification des violations : le responsable du traitement doit notifier l'autorité de contrôle dans les 48 heures après avoir pris connaissance d'une violation de données personnelles et soumettre un rapport complet dans les 72 heures (articles 43 et 44).

Les sanctions sont bien réelles. En vertu du chapitre de la loi consacré aux sanctions, les manquements administratifs tels que l'exercice d'une activité sans certificat d'enregistrement ou le défaut de notification d'une violation sont passibles d'une amende de RWF 2,000,000 à RWF 5,000,000 ou de 1% du chiffre d'affaires mondial de l'exercice précédent. L'utilisation ou la divulgation illicite de données personnelles constitue une infraction pénale. Notre équipe protection des données et cybersécurité accompagne l'enregistrement, les analyses d'impact et la gestion des violations.

Centres de données au Rwanda : licences et localisation des données

La Politique nationale d'IA place les infrastructures au cœur de son dispositif. Son plan de mise en œuvre prévoit un projet de centre de données hyperscale continental adapté à l'IA au Rwanda et charge le Rwanda Development Board (RDB) d'attribuer des terrains stratégiques aux centres de données. Pour les investisseurs, trois questions juridiques prédominent.

1. Où les données doivent-elles être stockées ?

L'article 50 de la loi sur la protection des données prévoit que les responsables du traitement et les sous-traitants stockent les données personnelles au Rwanda. Le stockage hors du Rwanda n'est autorisé qu'avec un certificat d'enregistrement valide de l'autorité de contrôle l'autorisant. Les transferts vers des tiers à l'étranger sont régis séparément par l'article 48, qui les autorise notamment sur la base d'une autorisation de la NCSA assortie de garanties appropriées, du consentement de la personne concernée ou de la nécessité contractuelle. Le texte intégral des articles 48 à 52 est publié par le Bureau de la protection des données et de la vie privée de la NCSA, qui met également à disposition un formulaire de demande d'autorisation de stockage des données hors du Rwanda. Ce principe de localisation constitue un avantage commercial pour les centres de données locaux et un point de vigilance en matière de conformité pour toute entreprise recourant à des services cloud étrangers. Pour une vue d'ensemble régionale, lisez notre analyse des flux de données transfrontaliers en Afrique.

2. Quelle licence un centre de données doit-il obtenir ?

Les services de centres de données font l'objet d'une licence délivrée par la RURA via son portail des licences en application de la loi N° 24/2016 régissant les technologies de l'information et de la communication et du règlement de la RURA sur les licences de communications électroniques. Une licence de centre de données Tier III publiée sur ce portail illustre le type de conditions auxquelles les exploitants doivent s'attendre, notamment :

• demeurer une société constituée selon le droit rwandais, dont les activités sont gérées depuis le Rwanda ;
• être interconnecté, directement ou indirectement, au point d'échange Internet du Rwanda ;
• assurer une surveillance en temps réel des systèmes d'alimentation électrique, de refroidissement, de réseau, de calcul et de sécurité, les incidents critiques devant être notifiés à la RURA dans un délai de 15 minutes ;
• acquitter une redevance réglementaire annuelle égale à 1% du chiffre d'affaires annuel et contribuer au Fonds d'accès universel ; et
• respecter des obligations de gestion environnementale et des déchets électroniques.

Cette licence couvre expressément les infrastructures de centres de données dédiées à l'IA, le calcul haute performance ainsi que l'entraînement et l'inférence de modèles d'IA. Les conditions applicables à chaque projet sont fixées dans sa propre licence ; elles doivent donc être négociées et examinées avant le bouclage financier.

3. Quelles incitations sont disponibles ?

La page consacrée aux investissements dans les TIC du RDB mentionne un taux d'impôt sur les sociétés de 15% pour les entreprises TIC enregistrées, d'éventuelles exonérations fiscales temporaires pouvant aller jusqu'à sept ans pour les investissements importants, des exonérations de TVA sur certains équipements informatiques et des facilités d'immigration pour le personnel spécialisé. L'éligibilité dépend des conditions prévues par le cadre d'investissement, que nous expliquons dans notre guide sur les incitations à l’investissement au Rwanda. Les projets impliquant une contrepartie publique peuvent également être structurés sous forme de partenariats public-privé.

Mesures pratiques pour les entreprises qui utilisent ou hébergent de l'IA

• Cartographiez vos données : identifiez les jeux de données personnels ou sensibles, leur lieu de stockage et les fournisseurs de cloud ou d'IA qui peuvent y accéder.
• Enregistrez et documentez : confirmez votre enregistrement auprès de la NCSA en tant que responsable du traitement ou sous-traitant, tenez des registres des traitements et réalisez des analyses d'impact pour le profilage ou la prise de décision automatisée.
• Anticipez la localisation : lorsque des données sont stockées ou transférées à l'étranger, obtenez l'autorisation pertinente de la NCSA avant la mise en service, et non après.
• Contractez avec soin : les contrats d'IA et d'hébergement doivent répartir les obligations de protection des données, les normes de sécurité, le signalement des incidents et la responsabilité. Notre guide sur les contrats commerciaux au Rwanda en présente les fondamentaux.
• Protégez les résultats et les données d'entraînement : clarifiez la titularité des modèles, des jeux de données et des résultats grâce à nos conseils en propriété intellectuelle au Rwanda.
• Suivez l'Agence de l'IA : suivez l'instrument portant création de l'Agence nationale de l'IA et toute règle qu'elle édictera, car ceux-ci pourraient ajouter de nouvelles obligations.

Foire aux questions

Le Rwanda dispose-t-il d'une loi sur l'IA ?

Pas encore. L'IA est régie par la Politique nationale d'IA, les lignes directrices de la RURA sur l'éthique de l'IA, la loi sur la protection des données et les licences sectorielles. Le gouvernement a annoncé son intention d'encadrer l'IA dans le cadre juridique des TIC, et le Conseil des ministres a approuvé la création d'une Agence nationale de l'IA en juin 2026.

Qui réglemente l'IA au Rwanda ?

La responsabilité est partagée. Le MINICT pilote la politique, la RURA a publié les lignes directrices sur l'éthique de l'IA et régule les infrastructures TIC, et la NCSA contrôle le traitement des données personnelles. La nouvelle Agence nationale de l'IA devrait jouer un rôle central de coordination une fois son mandat formalisé.

Les données personnelles doivent-elles être stockées au Rwanda ?

Par principe, oui. L'article 50 de la loi Nº 058/2021 exige que les données personnelles soient stockées au Rwanda, sauf si le responsable du traitement ou le sous-traitant détient un certificat d'enregistrement de l'autorité de contrôle autorisant le stockage à l'étranger.

Faut-il une licence pour exploiter un centre de données au Rwanda ?

Oui, les services de centres de données proposés à des clients font l'objet d'une licence délivrée par la RURA en vertu de la loi sur les TIC. La licence fixe des obligations techniques, de reporting et de redevances ; elle doit donc être examinée dès le début de la planification du projet.

L'IA peut-elle prendre des décisions automatisées concernant des clients au Rwanda ?

Seulement dans certaines limites. Les personnes ont le droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs, sauf exception applicable, telle que le consentement explicite, la nécessité contractuelle ou une autorisation légale assortie de garanties appropriées.

Conclusion

La réglementation de l'IA au Rwanda dispose déjà de moyens contraignants grâce aux règles de protection des données et de licence, et la nouvelle Agence nationale de l'IA annonce une gouvernance plus détaillée. Les entreprises qui cartographient leurs données, règlent tôt les questions de localisation et de licence et contractent avec soin seront les mieux placées pour tirer parti de l'ambition du Rwanda de devenir un pôle de premier plan en matière d'IA.

Parlez à WAYAN de nos services juridiques en matière d'IA et de centres de données, ou prenez rendez-vous avec notre équipe pour faire examiner votre projet d'IA ou votre investissement dans un centre de données au Rwanda.