Регулирование AI в Руанде: Национальная политика в области AI, защита данных и правила для центров обработки данных

Регулирование AI в Руанде быстро переходит от уровня политики к уровню институтов, и компании, которые разрабатывают, приобретают или размещают системы искусственного интеллекта, сегодня сталкиваются с сочетанием обязательных правил о защите данных, отраслевого лицензирования и быстро развивающейся государственной политики. Отдельного закона об AI пока нет, но это не означает, что AI не регулируется. В настоящем руководстве разъясняются уже действующие правила, обязательства, которые Национальная политика в области AI возлагает на правительство, порядок лицензирования центров обработки данных и направления развития законодательства. О сопровождении сделок и проектов см. наши юридические услуги в сфере AI и центров обработки данных в Руанде.

Как сегодня работает регулирование AI в Руанде

Руанда регулирует AI не одним специальным законом, а на трёх уровнях:

• Политика: Национальная политика в области искусственного интеллекта, разработанная Министерством ИКТ и инноваций (MINICT) и Управлением по регулированию коммунальных услуг Руанды (RURA), определяет курс правительства и план его реализации.
• Обязательное право: Закон Nº 058/2021 от 13/10/2021 о защите персональных данных и неприкосновенности частной жизни распространяется на любую систему AI, обрабатывающую персональные данные. Надзор за его соблюдением осуществляет Национальное управление кибербезопасности (NCSA).
• Отраслевое регулирование: RURA лицензирует центры обработки данных и облачную инфраструктуру в рамках законодательства об ИКТ, а отраслевые регуляторы по-прежнему отвечают за AI, применяемый в их отраслях.

Институциональная картина также меняется. В марте 2025 г. правительство заявило о планах включить AI в правовую базу в сфере ИКТ, а в июне 2026 г. Кабинет министров одобрил создание Национального агентства по искусственному интеллекту. На момент подготовки материала правовой акт об агентстве, его полномочия и сроки не опубликованы, и мы не выявили принятого закона, специально посвящённого AI. Поэтому компаниям следует соблюдать действующие сегодня правила, одновременно готовясь к более детальным требованиям.

Что требует Национальная политика Руанды в области AI

​ Национальная политика в области AI, опубликованная MINICT, призвана превратить Руанду в мировой центр исследований и инноваций в сфере AI. В ней определены шесть приоритетных направлений и 14 ключевых рекомендаций. Шесть направлений:

• навыки 21 века и высокий уровень грамотности в сфере AI;
• надёжная инфраструктура и вычислительные мощности;
• продуманная стратегия в области данных;
• внедрение надёжного AI в государственном секторе;
• внедрение AI с широкой общественной пользой в частном секторе; и
• практические руководящие принципы этики AI.

Политика не является законом, однако полный текст политики и план её реализации показывают, куда движется регулирование. К вопросам, представляющим непосредственный интерес для бизнеса, относятся:

• Этические принципы: Руководящие принципы RURA по этичной разработке и внедрению искусственного интеллекта предполагается продвигать в сообществе AI, а для обсуждения отраслевых этических принципов AI будет создан форум.
• Регуляторные «песочницы»: план поручает RURA запустить пилотные проекты регуляторных «песочниц» для AI, чтобы тестировать инновационные решения в контролируемой среде.
• Надзор за облачными провайдерами: предусмотрена регистрация местных и иностранных поставщиков облачных услуг в NCSA, как того требует закон о защите данных, с последующими проверками соблюдения требований.
• Институты: предложено создать в MINICT Управление по ответственному AI для руководства реализацией политики.

На практике организациям следует уже сейчас рассматривать этические принципы как ожидания регулятора, даже если они сформулированы как рекомендации. Документальное подтверждение того, как продукт на основе AI им соответствует, — разумный шаг перед работой с клиентами из государственного сектора или с регуляторами.

Правила защиты данных, применимые к системам AI

Для большинства проектов в сфере AI закон о защите данных является важнейшим источником обязательных требований. Он распространяется на контролёров и обработчиков данных, учреждённых в Руанде, а также на лиц за пределами Руанды, которые обрабатывают персональные данные субъектов, находящихся в Руанде. Ключевые положения для AI:

• Регистрация: лицо, намеревающееся выступать контролёром или обработчиком данных, обязано зарегистрироваться в надзорном органе, который выдаёт свидетельство в течение 30 рабочих дней с момента получения полного комплекта документов (статьи 29–31).
• Автоматизированные решения: субъекты данных вправе не подвергаться решению, основанному исключительно на автоматизированной обработке, включая профилирование, которое порождает правовые или сходные по значимости последствия, за ограниченными исключениями, такими как явно выраженное согласие или договорная необходимость (статья 21).
• Оценка воздействия: оценка воздействия на защиту данных обязательна для обработки с высоким уровнем риска, включая систематическую и масштабную оценку физических лиц на основе автоматизированной обработки и профилирования (статья 38).
• Уведомление о нарушениях: контролёр обязан уведомить надзорный орган в течение 48 часов с момента, когда ему стало известно о нарушении безопасности персональных данных, и представить полный отчёт в течение 72 часов (статьи 43 и 44).

Ответственность вполне реальна. Согласно главе о санкцияхзакона, административные нарушения, такие как деятельность без свидетельства о регистрации или неуведомление о нарушении, влекут штраф от RWF 2,000,000 до RWF 5,000,000 или в размере 1% мирового оборота за предыдущий финансовый год. Незаконное использование или раскрытие персональных данных является уголовным преступлением. Наша команда по защите данных и кибербезопасности оказывает поддержку в вопросах регистрации, оценки воздействия и реагирования на нарушения.

Центры обработки данных в Руанде: лицензирование и локализация данных

Национальная политика в области AI ставит инфраструктуру во главу угла. План её реализации включает проект континентального гипермасштабного центра обработки данных для AI в Руанде и поручает Совету по развитию Руанды (RDB) выделить стратегические земельные участки под центры обработки данных. Для инвесторов ключевыми являются три правовых вопроса.

1. Где должны храниться данные?

Статья 50 закона о защите данных устанавливает, что контролёры и обработчики хранят персональные данные в Руанде. Хранение за пределами Руанды допускается только при наличии действительного свидетельства о регистрации надзорного органа, разрешающего такое хранение. Передача данных третьим лицам за рубежом отдельно регулируется статьёй 48, которая допускает её, в частности, на основании разрешения NCSA при наличии надлежащих гарантий, согласия субъекта данных или договорной необходимости. Полный текст статей 48–52 опубликован Управлением NCSA по защите данных и конфиденциальности, которое также предоставляет форму заявления о разрешении на хранение данных за пределами Руанды. Такая локализация по умолчанию даёт коммерческое преимущество местным центрам обработки данных и является вопросом соблюдения требований для любой компании, использующей зарубежные облачные сервисы. О ситуации в регионе в целом читайте в нашем анализе трансграничных потоков данных в Африке.

2. Какая лицензия нужна центру обработки данных?

Услуги центров обработки данных лицензируются RURA через её портал лицензирования в соответствии с Законом N° 24/2016 об информационно-коммуникационных технологиях и положением RURA о лицензировании электронных коммуникаций. Лицензия на центр обработки данных уровня Tier III, опубликованная на этом портале, показывает, каких условий следует ожидать операторам, в том числе:

• сохранение статуса компании, учреждённой по праву Руанды, с управлением бизнесом из Руанды;
• прямое или опосредованное подключение к Руандийской точке обмена интернет-трафиком;
• мониторинг систем электропитания, охлаждения, сети, вычислений и безопасности в режиме реального времени с уведомлением RURA о критических инцидентах в течение 15 минут;
• ежегодный регуляторный сбор в размере 1% годового оборота и взнос в Фонд универсального доступа; и
• обязательства в области охраны окружающей среды и обращения с электронными отходами.

Эта лицензия прямо охватывает инфраструктуру центров обработки данных для AI, высокопроизводительные вычисления, а также обучение и инференс моделей AI. Условия для каждого конкретного проекта устанавливаются в его собственной лицензии, поэтому их следует согласовать и проверить до финансового закрытия.

3. Какие стимулы доступны?

На странице RDB «Инвестиции в ИКТ» указаны ставка корпоративного подоходного налога 15% для зарегистрированных ИКТ-компаний, возможные налоговые каникулы сроком до семи лет для значительных инвестиций, освобождение от НДС для отдельных видов ИТ-оборудования и иммиграционные льготы для профильных специалистов. Право на них зависит от условий инвестиционного законодательства, которые мы разъясняем в нашем руководстве по теме инвестиционные стимулы в Руанде. Проекты с государственным контрагентом также могут быть структурированы как государственно-частные партнёрства.

Практические шаги для компаний, использующих или размещающих AI

• Проведите инвентаризацию данных: определите, какие наборы данных являются персональными или чувствительными, где они хранятся и какие поставщики облачных услуг или AI имеют к ним доступ.
• Зарегистрируйтесь и документируйте: подтвердите регистрацию в NCSA в качестве контролёра или обработчика, ведите реестр операций обработки и проводите оценку воздействия при профилировании или автоматизированном принятии решений.
• Спланируйте локализацию: если данные хранятся или передаются за рубеж, получите соответствующее разрешение NCSA до запуска, а не после.
• Тщательно составляйте договоры: договоры в сфере AI и хостинга должны распределять обязанности по защите данных, стандарты безопасности, порядок сообщения об инцидентах и ответственность. Наше руководство по теме коммерческие договоры в Руанде освещает основные вопросы.
• Защитите результаты и обучающие данные: закрепите права на модели, наборы данных и результаты, воспользовавшись консультациями по интеллектуальной собственности в Руанде.
• Следите за Агентством по AI: отслеживайте учредительный акт Национального агентства по AI и любые издаваемые им правила, поскольку они могут установить новые обязательства.

Часто задаваемые вопросы

Есть ли в Руанде закон об AI?

Пока нет. AI регулируется Национальной политикой в области AI, этическими принципами RURA в отношении AI, законом о защите данных и отраслевым лицензированием. Правительство заявило о планах урегулировать AI в рамках правовой базы в сфере ИКТ, а в июне 2026 г. Кабинет министров одобрил создание Национального агентства по AI.

Кто регулирует AI в Руанде?

Ответственность распределена. MINICT руководит политикой, RURA выпустило этические принципы в отношении AI и регулирует ИКТ-инфраструктуру, а NCSA осуществляет надзор за обработкой персональных данных. Ожидается, что новое Национальное агентство по AI будет играть центральную координирующую роль после официального закрепления его мандата.

Должны ли персональные данные храниться в Руанде?

По общему правилу — да. Статья 50 Закона Nº 058/2021 требует хранить персональные данные в Руанде, если только контролёр или обработчик не имеет свидетельства о регистрации надзорного органа, разрешающего хранение за рубежом.

Нужна ли лицензия для эксплуатации центра обработки данных в Руанде?

Да, услуги центров обработки данных, предоставляемые клиентам, лицензируются RURA в соответствии с законом об ИКТ. Лицензия устанавливает технические обязательства, обязательства по отчётности и уплате сборов, поэтому её следует изучить на раннем этапе планирования проекта.

Может ли AI принимать автоматизированные решения в отношении клиентов в Руанде?

Только в определённых пределах. Физические лица вправе не подвергаться решениям, основанным исключительно на автоматизированной обработке и влекущим правовые или значимые последствия, если не применяется исключение, например явно выраженное согласие, договорная необходимость или разрешение закона при наличии надлежащих гарантий.

Заключение

Регулирование AI в Руанде уже имеет реальную силу благодаря правилам о защите данных и лицензированию, а создание Национального агентства по AI свидетельствует о приближении более детального регулирования. Компании, которые проведут инвентаризацию данных, заблаговременно решат вопросы локализации и лицензирования и тщательно составят договоры, окажутся в лучшем положении, чтобы воспользоваться стремлением Руанды стать ведущим центром AI.

Обратитесь в WAYAN по поводу наших юридических услуг в сфере AI и центров обработки данныхили запишитесь на консультацию к нашей команде для анализа вашего проекта в сфере AI или инвестиций в центр обработки данных в Руанде.