AI-regulering in Rwanda: het Nationaal AI-beleid, gegevensbescherming en regels voor datacenters

AI-regulering in Rwanda ontwikkelt zich snel van beleid naar instellingen, en bedrijven die kunstmatige intelligentie bouwen, aanschaffen of hosten, krijgen nu te maken met een combinatie van bindende regels inzake gegevensbescherming, sectorale vergunningen en snel evoluerend overheidsbeleid. Er is nog geen afzonderlijke AI-wet, maar dat betekent niet dat AI ongereguleerd is. Deze gids legt uit welke regels al gelden, waartoe het Nationaal AI-beleid de overheid verplicht, hoe datacenters worden vergund en waar het recht naartoe gaat. Zie voor ondersteuning bij transacties en projecten onze juridische diensten op het gebied van AI en datacenters in Rwanda.

Hoe AI-regulering in Rwanda vandaag werkt

Rwanda reguleert AI niet via één specifieke wet, maar via drie lagen:

• Beleid: het Nationaal Beleid inzake Kunstmatige Intelligentie, ontwikkeld door het Ministerie van ICT en Innovatie (MINICT) en de Rwandese toezichthouder voor nutsvoorzieningen (RURA), bepaalt de koers van de overheid en het uitvoeringsplan.
• Bindend recht: Wet Nº 058/2021 van 13/10/2021 betreffende de bescherming van persoonsgegevens en de privacy is van toepassing op elk AI-systeem dat persoonsgegevens verwerkt. Het toezicht ligt bij de Nationale Cyberveiligheidsautoriteit (NCSA).
• Sectorale regulering: RURA verleent vergunningen voor datacenters en cloudinfrastructuur binnen het ICT-kader, en sectorale toezichthouders blijven verantwoordelijk voor AI die in hun sector wordt gebruikt.

Ook het institutionele landschap verandert. In maart 2025 kondigde de overheid plannen aan om AI onder het juridisch kader voor ICT te brengen, en in juni 2026 keurde het kabinet de oprichting van een Nationaal Agentschap voor Kunstmatige Intelligentie goed. Op het moment van schrijven zijn het juridische instrument, de bevoegdheden en het tijdschema van het agentschap niet gepubliceerd, en hebben wij geen aangenomen AI-specifieke wet aangetroffen. Bedrijven moeten daarom de vandaag geldende regels naleven en zich tegelijk voorbereiden op meer gedetailleerde vereisten.

Wat het Nationaal AI-beleid van Rwanda vereist

De Het door MINICT gepubliceerde Nationaal AI-beleid heeft tot doel Rwanda tot een mondiaal centrum voor AI-onderzoek en -innovatie te maken. Het omvat zes prioritaire gebieden en 14 belangrijke beleidsaanbevelingen. De zes gebieden zijn:

• vaardigheden voor de 21e eeuw en een hoge AI-geletterdheid;
• betrouwbare infrastructuur en rekencapaciteit;
• een robuuste datastrategie;
• betrouwbare toepassing van AI in de publieke sector;
• breed gedragen, nuttige toepassing van AI in de private sector; en
• praktische richtlijnen voor AI-ethiek.

Beleid is geen wet, maar het volledige beleidsdocument en het uitvoeringsplan laten zien waar de regelgeving naartoe gaat. Punten die bedrijven direct aangaan zijn onder meer:

• Ethische richtlijnen: de Richtlijnen van RURA voor de ethische ontwikkeling en implementatie van kunstmatige intelligentie moeten binnen de hele AI-gemeenschap worden gepromoot, met een forum om sectorspecifieke AI-ethiekrichtlijnen te bespreken.
• Regulatoire sandboxes: het plan geeft RURA de opdracht AI-sandboxprojecten op te zetten om innovatieve oplossingen in een gecontroleerde omgeving te testen.
• Toezicht op cloudaanbieders: het voorziet in de registratie van lokale en buitenlandse cloudaanbieders bij de NCSA, zoals vereist door de wet op gegevensbescherming, gevolgd door nalevingsaudits.
• Instellingen: het stelde een Bureau voor Verantwoorde AI binnen MINICT voor om de uitvoering te leiden.

In de praktijk doen organisaties er goed aan de ethische richtlijnen nu al te beschouwen als de verwachtingen van de toezichthouder, ook al zijn ze als leidraad geformuleerd. Vastleggen hoe een AI-product eraan voldoet, is een verstandige stap voordat u zaken doet met klanten uit de publieke sector of met toezichthouders.

Regels inzake gegevensbescherming die gelden voor AI-systemen

Voor de meeste AI-projecten is de wet op gegevensbescherming de belangrijkste bron van bindende verplichtingen. De wet is van toepassing op verwerkingsverantwoordelijken en verwerkers die in Rwanda zijn gevestigd, en ook op partijen buiten Rwanda die persoonsgegevens verwerken van betrokkenen die zich in Rwanda bevinden. Belangrijke bepalingen voor AI zijn onder meer:

• Registratie: wie als verwerkingsverantwoordelijke of verwerker wil optreden, moet zich registreren bij de toezichthoudende autoriteit, die binnen 30 werkdagen na ontvangst van een volledige aanvraag een certificaat afgeeft (artikelen 29 tot en met 31).
• Geautomatiseerde besluiten: betrokkenen hebben het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit dat rechtsgevolgen of vergelijkbare aanzienlijke gevolgen heeft, behoudens beperkte uitzonderingen zoals uitdrukkelijke toestemming of contractuele noodzaak (artikel 21).
• Effectbeoordelingen: een gegevensbeschermingseffectbeoordeling is vereist voor verwerking met een hoog risico, waaronder de systematische en uitgebreide beoordeling van personen op basis van geautomatiseerde verwerking en profilering (artikel 38).
• Melding van inbreuken: een verwerkingsverantwoordelijke moet de toezichthoudende autoriteit binnen 48 uur nadat hij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens op de hoogte stellen en binnen 72 uur een volledig rapport indienen (artikelen 43 en 44).

De handhaving is reëel. Volgens het sanctiehoofdstuk van de wetworden administratieve overtredingen, zoals actief zijn zonder registratiecertificaat of het niet melden van een inbreuk, bestraft met een geldboete van RWF 2,000,000 tot RWF 5,000,000 of 1% van de wereldwijde omzet van het voorgaande boekjaar. Onrechtmatig gebruik of onrechtmatige openbaarmaking van persoonsgegevens is een strafbaar feit. Ons team voor gegevensbescherming en cyberbeveiliging ondersteunt bij registratie, effectbeoordelingen en de aanpak van datalekken.

Datacenters in Rwanda: vergunningen en datalokalisatie

Het Nationaal AI-beleid plaatst infrastructuur centraal. Het uitvoeringsplan omvat een blauwdruk voor een continentaal, AI-gereed hyperscale datacenter in Rwanda en geeft de Rwanda Development Board (RDB) de opdracht strategische grond voor datacenters toe te wijzen. Voor investeerders staan drie juridische vragen centraal.

1. Waar moeten gegevens worden opgeslagen?

Artikel 50 van de wet op gegevensbescherming bepaalt dat verwerkingsverantwoordelijken en verwerkers persoonsgegevens in Rwanda opslaan. Opslag buiten Rwanda is alleen toegestaan met een geldig registratiecertificaat van de toezichthoudende autoriteit dat dit toestaat. Doorgiften aan derden in het buitenland worden afzonderlijk geregeld door artikel 48, dat doorgiften toestaat op gronden zoals toestemming van de NCSA met passende waarborgen, toestemming van de betrokkene of contractuele noodzaak. De volledige tekst van de artikelen 48 tot en met 52 wordt gepubliceerd door het Data Protection and Privacy Office van de NCSA, dat ook een aanvraagformulier voor toestemming om gegevens buiten Rwanda op te slaanbeschikbaar stelt. Deze standaardregel van lokalisatie is een commercieel voordeel voor lokale datacenters en een nalevingspunt voor elk bedrijf dat gebruikmaakt van buitenlandse clouddiensten. Lees voor het bredere regionale beeld onze analyse van grensoverschrijdende gegevensstromen in Afrika.

2. Welke vergunning heeft een datacenter nodig?

Datacenterdiensten worden door RURA vergund via haar vergunningenportaal op grond van Wet N° 24/2016 betreffende informatie- en communicatietechnologieën en de RURA-regeling inzake vergunningen voor elektronische communicatie. Een op dat portaal gepubliceerde Tier III-datacentervergunning illustreert welk soort voorwaarden exploitanten kunnen verwachten, waaronder:

• een vennootschap blijven die naar Rwandees recht is opgericht en waarvan de activiteiten vanuit Rwanda worden geleid;
• directe of indirecte interconnectie met het Rwanda Internet Exchange Point;
• realtime monitoring van stroomvoorziening, koeling, netwerk, rekencapaciteit en beveiligingssystemen, waarbij kritieke incidenten binnen 15 minuten aan RURA moeten worden gemeld;
• een jaarlijkse toezichtsheffing van 1% van de jaaromzet en een bijdrage aan het Universal Access Fund; en
• verplichtingen op het gebied van milieubeheer en e-afvalbeheer.

Die vergunning dekt uitdrukkelijk AI-datacenterinfrastructuur, high-performance computing en het trainen van en inferentie met AI-modellen. De voorwaarden voor een specifiek project worden in de eigen vergunning van dat project vastgelegd en moeten dus vóór de financial close worden onderhandeld en beoordeeld.

3. Welke stimulansen zijn beschikbaar?

Op de ICT-investeringspagina van RDB worden een vennootschapsbelastingtarief van 15% voor geregistreerde ICT-bedrijven genoemd, mogelijke belastingvakanties tot zeven jaar voor aanzienlijke investeringen, btw-vrijstellingen voor bepaalde IT-apparatuur en faciliteiten op het gebied van immigratie voor gespecialiseerd personeel. Of men in aanmerking komt, hangt af van de voorwaarden in het investeringskader, die wij toelichten in onze gids over investeringsstimulansen in Rwanda. Projecten met een overheidspartij kunnen ook worden gestructureerd als publiek-private samenwerkingen.

Praktische stappen voor bedrijven die AI gebruiken of hosten

• Breng uw gegevens in kaart: stel vast welke datasets persoonlijk of gevoelig zijn, waar ze zijn opgeslagen en welke cloud- of AI-leveranciers er toegang toe hebben.
• Registreer en documenteer: bevestig de registratie bij de NCSA als verwerkingsverantwoordelijke of verwerker, houd verwerkingsregisters bij en voer effectbeoordelingen uit voor profilering of geautomatiseerde besluitvorming.
• Plan voor lokalisatie: wanneer gegevens in het buitenland worden opgeslagen of daarheen worden doorgegeven, verkrijg dan de relevante toestemming van de NCSA vóór de ingebruikname, niet erna.
• Contracteer zorgvuldig: AI- en hostingovereenkomsten moeten verplichtingen inzake gegevensbescherming, beveiligingsnormen, incidentmelding en aansprakelijkheid verdelen. Onze gids over commerciële contracten in Rwanda behandelt de basisprincipes.
• Bescherm output en trainingsdata: verduidelijk het eigendom van modellen, datasets en output met advies over intellectueel eigendom in Rwanda.
• Volg het AI-agentschap: volg het oprichtingsinstrument van het Nationaal AI-agentschap en alle regels die het uitvaardigt, aangezien deze nieuwe verplichtingen kunnen meebrengen.

Veelgestelde vragen

Heeft Rwanda een AI-wet?

Nog niet. AI wordt beheerst door het Nationaal AI-beleid, de AI-ethiekrichtlijnen van RURA, de wet op gegevensbescherming en sectorale vergunningen. De overheid heeft aangekondigd AI in het juridisch kader voor ICT te willen regelen, en het kabinet heeft in juni 2026 een Nationaal AI-agentschap goedgekeurd.

Wie reguleert AI in Rwanda?

De verantwoordelijkheid is gedeeld. MINICT leidt het beleid, RURA heeft de AI-ethiekrichtlijnen uitgevaardigd en reguleert de ICT-infrastructuur, en de NCSA houdt toezicht op de verwerking van persoonsgegevens. Het nieuwe Nationaal AI-agentschap zal naar verwachting een centrale coördinerende rol spelen zodra zijn mandaat is geformaliseerd.

Moeten persoonsgegevens in Rwanda worden opgeslagen?

In beginsel wel. Artikel 50 van Wet Nº 058/2021 vereist dat persoonsgegevens in Rwanda worden opgeslagen, tenzij de verwerkingsverantwoordelijke of verwerker beschikt over een registratiecertificaat van de toezichthoudende autoriteit dat opslag in het buitenland toestaat.

Heb ik een vergunning nodig om een datacenter in Rwanda te exploiteren?

Ja, datacenterdiensten die aan klanten worden aangeboden, worden door RURA vergund op grond van de ICT-wet. De vergunning legt technische, rapportage- en heffingsverplichtingen op en moet daarom vroeg in de projectplanning worden beoordeeld.

Mag AI in Rwanda geautomatiseerde besluiten over klanten nemen?

Alleen binnen grenzen. Personen hebben het recht niet te worden onderworpen aan uitsluitend geautomatiseerde besluiten met rechtsgevolgen of aanzienlijke gevolgen, tenzij een uitzondering van toepassing is, zoals uitdrukkelijke toestemming, contractuele noodzaak of een wettelijke grondslag met passende waarborgen.

Conclusie

AI-regulering in Rwanda heeft via de regels inzake gegevensbescherming en vergunningen al tanden, en het nieuwe Nationaal AI-agentschap geeft aan dat gedetailleerder toezicht in aantocht is. Bedrijven die hun gegevens in kaart brengen, lokalisatie- en vergunningskwesties tijdig regelen en zorgvuldig contracteren, zijn het best geplaatst om te profiteren van de ambitie van Rwanda om een toonaangevende AI-hub te worden.

Spreek met WAYAN over onze juridische diensten voor AI en datacenters, of plan een consult met ons team om uw AI-project of datacenterinvestering in Rwanda te laten beoordelen.