Regulação da AI no Ruanda: A Política Nacional de AI, a Proteção de Dados e as Regras sobre Centros de Dados

A regulação da AI no Ruanda está a passar rapidamente da política às instituições, e as empresas que desenvolvem, adquirem ou alojam inteligência artificial enfrentam agora uma combinação de regras vinculativas de proteção de dados, licenciamento setorial e uma política governamental em rápida evolução. Ainda não existe uma lei autónoma sobre AI, mas isso não significa que a AI não esteja regulada. Este guia explica as regras que já se aplicam, os compromissos que a Política Nacional de AI impõe ao Governo, o modo como os centros de dados são licenciados e o rumo da legislação. Para apoio em transações e projetos, consulte os nossos serviços jurídicos de AI e centros de dados no Ruanda.

Como Funciona Hoje a Regulação da AI no Ruanda

O Ruanda regula a AI através de três camadas, e não de uma única lei específica:

• Política: a Política Nacional de Inteligência Artificial, elaborada pelo Ministério das TIC e da Inovação (MINICT) e pela Autoridade Reguladora de Serviços Públicos do Ruanda (RURA), define a orientação do Governo e o seu plano de implementação.
• Lei vinculativa: a Lei Nº 058/2021 de 13/10/2021 relativa à proteção dos dados pessoais e da privacidade rege qualquer sistema de AI que trate dados pessoais. A sua supervisão cabe à Autoridade Nacional de Cibersegurança (NCSA).
• Regulação setorial: a RURA licencia os centros de dados e as infraestruturas de nuvem ao abrigo do quadro das TIC, e os reguladores setoriais continuam a ser responsáveis pela AI utilizada nos respetivos setores.

O panorama institucional também está a mudar. Em março de 2025 o Governo anunciou a intenção de integrar a AI no quadro jurídico das TICe, em junho de 2026, o Conselho de Ministros aprovou a criação de uma Agência Nacional de Inteligência Artificial. À data da redação, o instrumento jurídico, os poderes e o calendário da agência não tinham sido publicados, e não identificámos nenhuma lei específica sobre AI já promulgada. Por conseguinte, as empresas devem cumprir as regras hoje em vigor enquanto se preparam para requisitos mais detalhados.

O Que Exige a Política Nacional de AI do Ruanda

O documento da Política Nacional de AI publicado pelo MINICT pretende fazer do Ruanda um centro mundial de investigação e inovação em AI. Estabelece seis áreas prioritárias e 14 recomendações políticas fundamentais. As seis áreas são:

• competências do século 21 e elevada literacia em AI;
• infraestruturas fiáveis e capacidade de computação;
• uma estratégia de dados sólida;
• adoção de AI fiável no setor público;
• adoção de AI amplamente benéfica no setor privado; e
• diretrizes práticas de ética em AI.

Uma política não é uma lei, mas o documento integral da política e o plano de implementação mostram para onde caminha a regulação. Os pontos de interesse direto para as empresas incluem:

• Diretrizes éticas: as Diretrizes da RURA sobre o Desenvolvimento e a Implementação Éticos da Inteligência Artificial devem ser promovidas junto da comunidade de AI, com um fórum para debater diretrizes éticas de AI específicas de cada setor.
• Sandboxes regulatórias: o plano incumbe a RURA de lançar projetos de sandbox de AI para testar soluções inovadoras num ambiente controlado.
• Supervisão dos prestadores de nuvem: prevê o registo dos prestadores de serviços de nuvem locais e estrangeiros junto da NCSA, tal como exigido pela lei de proteção de dados, seguido de auditorias de conformidade.
• Instituições: propôs a criação de um Gabinete de AI Responsável no MINICT para liderar a implementação.

Na prática, as organizações devem encarar desde já as diretrizes éticas como as expectativas do regulador, ainda que estejam formuladas como orientações. Documentar a forma como um produto de AI as cumpre é um passo sensato antes de trabalhar com clientes do setor público ou com reguladores.

Regras de Proteção de Dados Aplicáveis aos Sistemas de AI

Na maioria dos projetos de AI, a lei de proteção de dados é a fonte de obrigações vinculativas mais importante. Aplica-se aos responsáveis pelo tratamento e subcontratantes estabelecidos no Ruanda e também aos que, fora do Ruanda, tratam dados pessoais de titulares localizados no Ruanda. As principais disposições relevantes para a AI incluem:

• Registo: quem pretenda ser responsável pelo tratamento ou subcontratante deve registar-se junto da autoridade de controlo, que emite um certificado no prazo de 30 dias úteis a contar da receção de um pedido completo (artigos 29 a 31).
• Decisões automatizadas: os titulares dos dados têm o direito de não ficar sujeitos a uma decisão tomada exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, que produza efeitos jurídicos ou consequências igualmente significativas, salvo exceções limitadas, como o consentimento explícito ou a necessidade contratual (artigo 21).
• Avaliações de impacto: é obrigatória uma avaliação de impacto sobre a proteção de dados para tratamentos de alto risco, incluindo a avaliação sistemática e extensiva de pessoas com base em tratamento automatizado e definição de perfis (artigo 38).
• Notificação de violações: o responsável pelo tratamento deve notificar a autoridade de controlo no prazo de 48 horas após tomar conhecimento de uma violação de dados pessoais e apresentar um relatório completo no prazo de 72 horas (artigos 43 e 44).

A aplicação da lei é efetiva. Nos termos do capítulo das sançõesda lei, as infrações administrativas, como operar sem certificado de registo ou não notificar uma violação, são punidas com coima de RWF 2,000,000 a RWF 5,000,000 ou de 1% do volume de negócios mundial do exercício anterior. A utilização ou divulgação ilícita de dados pessoais constitui crime. A nossa equipa de proteção de dados e cibersegurança apoia o registo, as avaliações de impacto e a resposta a violações.

Centros de Dados no Ruanda: Licenciamento e Localização de Dados

A Política Nacional de AI coloca as infraestruturas no seu centro. O seu plano de implementação inclui um projeto para um centro de dados de hiperescala preparado para AI de dimensão continental no Ruanda e incumbe o Conselho de Desenvolvimento do Ruanda (RDB) de atribuir terrenos estratégicos para centros de dados. Para os investidores, dominam três questões jurídicas.

1. Onde devem ser armazenados os dados?

O artigo 50 da lei de proteção de dados estabelece que os responsáveis pelo tratamento e os subcontratantes armazenam os dados pessoais no Ruanda. O armazenamento fora do Ruanda só é permitido mediante um certificado de registo válido da autoridade de controlo que o autorize. As transferências para terceiros no estrangeiro regem-se separadamente pelo artigo 48, que as permite com fundamentos como a autorização da NCSA com garantias adequadas, o consentimento do titular dos dados ou a necessidade contratual. O texto integral dos artigos 48 a 52 é publicado pelo Gabinete de Proteção de Dados e Privacidade da NCSA, que disponibiliza também um formulário de pedido de autorização para armazenar dados fora do Ruanda. Esta regra de localização por defeito constitui uma vantagem comercial para os centros de dados locais e um ponto de conformidade para qualquer empresa que dependa de serviços de nuvem no estrangeiro. Para o panorama regional mais amplo, leia a nossa análise sobre fluxos transfronteiriços de dados em África.

2. Que licença necessita um centro de dados?

Os serviços de centros de dados são licenciados pela RURA através do seu portal de licenciamento ao abrigo da Lei N° 24/2016 que rege as tecnologias de informação e comunicação e do regulamento da RURA sobre o licenciamento das comunicações eletrónicas. Uma licença de centro de dados Tier III publicada nesse portal ilustra o tipo de condições que os operadores devem esperar, incluindo:

• manter-se como sociedade constituída ao abrigo do direito ruandês, com a atividade gerida a partir do Ruanda;
• interligar-se direta ou indiretamente com o Ponto de Troca de Internet do Ruanda;
• monitorização em tempo real dos sistemas de energia, refrigeração, rede, computação e segurança, com notificação dos incidentes críticos à RURA no prazo de 15 minutos;
• uma taxa regulatória anual equivalente a 1% do volume de negócios anual e uma contribuição para o Fundo de Acesso Universal; e
• obrigações de gestão ambiental e de resíduos eletrónicos.

Essa licença abrange expressamente infraestruturas de centros de dados de AI, computação de alto desempenho e treino e inferência de modelos de AI. As condições de cada projeto são fixadas na respetiva licença, pelo que devem ser negociadas e analisadas antes do fecho financeiro.

3. Que incentivos estão disponíveis?

O RDB, na sua página de investimento em TIC , indica uma taxa de imposto sobre o rendimento das pessoas coletivas de 15% para empresas de TIC registadas, possíveis isenções fiscais temporárias até sete anos para investimentos significativos, isenções de IVA sobre determinados equipamentos informáticos e facilidades de imigração para pessoal especializado. A elegibilidade depende das condições do quadro de investimento, que explicamos no nosso guia sobre incentivos ao investimento no Ruanda. Os projetos com uma contraparte governamental podem também ser estruturados como parcerias público-privadas.

Passos Práticos para Empresas que Utilizam ou Alojam AI

• Mapeie os seus dados: identifique quais os conjuntos de dados pessoais ou sensíveis, onde estão armazenados e que fornecedores de nuvem ou de AI lhes podem aceder.
• Registe e documente: confirme o registo na NCSA como responsável pelo tratamento ou subcontratante, mantenha registos das atividades de tratamento e realize avaliações de impacto para a definição de perfis ou a tomada de decisões automatizadas.
• Planeie a localização: quando os dados forem armazenados ou transferidos para o estrangeiro, obtenha a autorização pertinente da NCSA antes da entrada em funcionamento, e não depois.
• Contrate com cuidado: os contratos de AI e de alojamento devem repartir as obrigações de proteção de dados, as normas de segurança, a comunicação de incidentes e a responsabilidade. O nosso guia sobre contratos comerciais no Ruanda aborda os aspetos fundamentais.
• Proteja os resultados e os dados de treino: clarifique a titularidade dos modelos, conjuntos de dados e resultados com assessoria em propriedade intelectual no Ruanda.
• Acompanhe a Agência de AI: acompanhe o instrumento constitutivo da Agência Nacional de AI e quaisquer regras que esta venha a emitir, pois podem acrescentar novas obrigações.

Perguntas frequentes

O Ruanda tem uma lei sobre AI?

Ainda não. A AI é regida pela Política Nacional de AI, pelas diretrizes éticas de AI da RURA, pela lei de proteção de dados e pelo licenciamento setorial. O Governo anunciou a intenção de tratar a AI no quadro jurídico das TIC, e o Conselho de Ministros aprovou uma Agência Nacional de AI em junho de 2026.

Quem regula a AI no Ruanda?

A responsabilidade é partilhada. O MINICT lidera a política, a RURA emitiu as diretrizes éticas de AI e regula as infraestruturas de TIC, e a NCSA supervisiona o tratamento de dados pessoais. Espera-se que a nova Agência Nacional de AI desempenhe um papel central de coordenação assim que o seu mandato for formalizado.

Os dados pessoais têm de ser armazenados no Ruanda?

Por regra, sim. O artigo 50 da Lei Nº 058/2021 exige que os dados pessoais sejam armazenados no Ruanda, a menos que o responsável pelo tratamento ou o subcontratante disponha de um certificado de registo da autoridade de controlo que autorize o armazenamento no estrangeiro.

Preciso de uma licença para operar um centro de dados no Ruanda?

Sim, os serviços de centros de dados prestados a clientes são licenciados pela RURA ao abrigo da lei das TIC. A licença fixa obrigações técnicas, de reporte e de taxas, pelo que deve ser analisada logo no início do planeamento do projeto.

A AI pode tomar decisões automatizadas sobre clientes no Ruanda?

Apenas dentro de certos limites. As pessoas têm o direito de não ficar sujeitas a decisões exclusivamente automatizadas com efeitos jurídicos ou significativos, salvo se se aplicar uma exceção, como o consentimento explícito, a necessidade contratual ou a autorização legal com garantias adequadas.

Conclusão

A regulação da AI no Ruanda já tem força através das regras de proteção de dados e de licenciamento, e a nova Agência Nacional de AI indica que está a caminho uma governação mais detalhada. As empresas que mapeiem os seus dados, resolvam cedo as questões de localização e licenciamento e contratem com cuidado estarão mais bem posicionadas para beneficiar da ambição do Ruanda de se tornar um polo de referência em AI.

Fale com a WAYAN sobre os nossos serviços jurídicos de AI e centros de dadosou marque uma consulta com a nossa equipa para analisar o seu projeto de AI ou investimento em centros de dados no Ruanda.