Ruanda'da AI Düzenlemesi: Ulusal AI Politikası, Veri Koruma ve Veri Merkezi Kuralları

Ruanda'da AI düzenlemesi politika aşamasından kurumsal yapılanma aşamasına hızla geçiyor ve yapay zekâ geliştiren, satın alan veya barındıran işletmeler artık bağlayıcı veri koruma kuralları, sektörel lisanslama ve hızla gelişen hükümet politikasının bir bileşimiyle karşı karşıya. Henüz müstakil bir AI kanunu bulunmuyor; ancak bu, AI alanının düzenlenmediği anlamına gelmiyor. Bu rehber, halihazırda uygulanan kuralları, Ulusal AI Politikası'nın hükümete yüklediği taahhütleri, veri merkezlerinin nasıl lisanslandığını ve mevzuatın hangi yöne ilerlediğini açıklamaktadır. İşlem ve proje desteği için bkz.: Ruanda'daki AI ve veri merkezi hukuki hizmetlerimiz.

Ruanda'da AI Düzenlemesi Bugün Nasıl İşliyor?

Ruanda, AI alanını tek bir özel kanunla değil, üç katmanlı bir yapıyla düzenlemektedir:

• Politika: Bilgi ve İletişim Teknolojileri ve İnovasyon Bakanlığı (MINICT) ile Ruanda Kamu Hizmetleri Düzenleme Kurumu (RURA) tarafından hazırlanan Ulusal Yapay Zekâ Politikası, hükümetin yönelimini ve uygulama planını belirler.
• Bağlayıcı mevzuat: Kişisel verilerin ve mahremiyetin korunmasına ilişkin 13/10/2021 tarihli ve Nº 058/2021 sayılı Kanun, kişisel veri işleyen her AI sistemini kapsar. Kanunun denetimi Ulusal Siber Güvenlik Otoritesi (NCSA) tarafından yürütülür.
• Sektörel düzenleme: RURA, veri merkezlerini ve bulut altyapısını BİT mevzuatı çerçevesinde lisanslar; sektörel düzenleyiciler ise kendi sektörlerinde kullanılan AI uygulamalarından sorumlu olmaya devam eder.

Kurumsal tablo da değişiyor. Mart 2025'te hükümet, yapay zekâyı (AI) BİT hukuki çerçevesine dâhil etme planlarını duyurdu, Haziran 2026'da ise Bakanlar Kurulu Ulusal Yapay Zekâ Ajansı'nın kurulmasını onayladı. Bu yazının kaleme alındığı tarih itibarıyla ajansın hukuki dayanağı, yetkileri ve takvimi yayımlanmamıştır ve yürürlüğe girmiş AI'ya özgü bir kanun tespit etmedik. Bu nedenle işletmeler, daha ayrıntılı gerekliliklere hazırlanırken bugün yürürlükte olan kurallara uymalıdır.

Ruanda Ulusal AI Politikası Neleri Gerektiriyor?

​ MINICT tarafından yayımlanan Ulusal AI Politikası, Ruanda'yı AI araştırma ve inovasyonunda küresel bir merkez hâline getirmeyi amaçlamaktadır. Politika, altı öncelikli alan ve 14 temel politika önerisi ortaya koymaktadır. Altı alan şunlardır:

• 21. yüzyıl becerileri ve yüksek AI okuryazarlığı;
• güvenilir altyapı ve hesaplama kapasitesi;
• sağlam bir veri stratejisi;
• kamu sektöründe güvenilir AI kullanımı;
• özel sektörde geniş fayda sağlayan AI kullanımı; ve
• uygulamaya dönük AI etiği yönergeleri.

Politika bir kanun değildir; ancak politika belgesinin tam metni ve uygulama planı düzenlemenin hangi yöne ilerlediğini göstermektedir. İşletmeleri doğrudan ilgilendiren hususlar şunlardır:

• Etik yönergeleri: RURA'nın Yapay Zekânın Etik Geliştirilmesi ve Uygulanmasına İlişkin Yönergeleri, AI topluluğu genelinde yaygınlaştırılacak ve sektöre özgü AI etiği yönergelerinin tartışılacağı bir forum oluşturulacaktır.
• Düzenleyici deneme alanları: plan, yenilikçi çözümlerin kontrollü bir ortamda test edilmesi için RURA'yı AI düzenleyici deneme alanı (sandbox) projeleri başlatmakla görevlendirmektedir.
• Bulut sağlayıcılarının gözetimi: veri koruma kanununun gerektirdiği şekilde yerli ve yabancı bulut hizmeti sağlayıcılarının NCSA'ya kaydedilmesi ve ardından uyum denetimleri yapılması öngörülmektedir.
• Kurumlar: uygulamaya öncülük etmek üzere MINICT bünyesinde bir Sorumlu AI Ofisi kurulması önerilmiştir.

Uygulamada kuruluşlar, rehber niteliğinde kaleme alınmış olsalar da etik yönergelerini şimdiden düzenleyicinin beklentileri olarak görmelidir. Bir AI ürününün bu yönergeleri nasıl karşıladığını belgelemek, kamu sektörü müşterileri veya düzenleyicilerle temas kurmadan önce atılması gereken akıllıca bir adımdır.

AI Sistemlerine Uygulanan Veri Koruma Kuralları

AI projelerinin çoğu için veri koruma kanunu, bağlayıcı yükümlülüklerin en önemli kaynağıdır. Kanun, Ruanda'da yerleşik veri sorumluları ve veri işleyenlerin yanı sıra Ruanda dışında olup Ruanda'da bulunan ilgili kişilerin kişisel verilerini işleyenlere de uygulanır. AI açısından temel hükümler şunlardır:

• Kayıt: veri sorumlusu veya veri işleyen olmak isteyen kişi denetim makamına kayıt yaptırmalıdır; makam, eksiksiz başvurunun alınmasından itibaren 30 iş günü içinde bir sertifika düzenler (Madde 29 ila 31).
• Otomatik kararlar: ilgili kişiler, açık rıza veya sözleşmesel zorunluluk gibi sınırlı istisnalar saklı kalmak kaydıyla, profilleme dâhil yalnızca otomatik işlemeye dayanan ve hukuki ya da benzer ölçüde önemli sonuçlar doğuran bir karara tabi olmama hakkına sahiptir (Madde 21).
• Etki değerlendirmeleri: otomatik işleme ve profillemeye dayalı olarak kişilerin sistematik ve kapsamlı biçimde değerlendirilmesi dâhil, yüksek riskli işleme faaliyetleri için veri koruma etki değerlendirmesi zorunludur (Madde 38).
• İhlal bildirimi: veri sorumlusu, kişisel veri ihlalini öğrendiği andan itibaren 48 saat içinde denetim makamına bildirimde bulunmalı ve 72 saat içinde eksiksiz bir rapor sunmalıdır (Madde 43 ve 44).

Yaptırımlar gerçektir. Kanunun yaptırımlar bölümüuyarınca, kayıt sertifikası olmadan faaliyet göstermek veya bir ihlali bildirmemek gibi idari kusurlar RWF 2,000,000 ile RWF 5,000,000 arasında ya da önceki mali yılın küresel cirosunun %1'i oranında para cezası gerektirir. Kişisel verilerin hukuka aykırı kullanımı veya ifşası suç teşkil eder. Veri koruma ve siber güvenlik ekibimiz kayıt, etki değerlendirmeleri ve ihlal müdahalesi konularında destek sağlar.

Ruanda'da Veri Merkezleri: Lisanslama ve Veri Yerelleştirme

Ulusal AI Politikası altyapıyı merkezine almaktadır. Uygulama planı, Ruanda'da kıta ölçeğinde AI'ya hazır bir hiper ölçekli veri merkezi için bir yol haritası içermekte ve Ruanda Kalkınma Kurulu'nu (RDB) veri merkezleri için stratejik arazi tahsis etmekle görevlendirmektedir. Yatırımcılar açısından üç hukuki soru öne çıkmaktadır.

1. Veriler nerede saklanmalıdır?

Veri koruma kanununun 50. maddesi, veri sorumlularının ve veri işleyenlerin kişisel verileri Ruanda'da saklayacağını öngörür. Ruanda dışında saklamaya ancak denetim makamının buna izin veren geçerli bir kayıt sertifikasıyla izin verilir. Yurt dışındaki üçüncü kişilere aktarımlar ayrıca 48. madde ile düzenlenmiştir; bu madde, uygun güvenceler eşliğinde NCSA izni, ilgili kişinin rızası veya sözleşmesel zorunluluk gibi gerekçelerle aktarıma izin verir. Madde 48 ila 52'nin tam metni , NCSA Veri Koruma ve Gizlilik Ofisi tarafından yayımlanmaktadır; Ofis ayrıca bir Ruanda dışında veri saklama izni başvuru formude sunmaktadır. Bu varsayılan yerelleştirme kuralı, yerel veri merkezleri için ticari bir avantaj, yurt dışı bulut hizmetlerine dayanan her işletme için ise bir uyum konusudur. Bölgesel tablonun geneli için şu konudaki analizimizi okuyun: Afrika’da sınır ötesi veri akışları.

2. Bir veri merkezi hangi lisansa ihtiyaç duyar?

Veri merkezi hizmetleri, RURA tarafından kurumun lisanslama portalı aracılığıyla, bilgi ve iletişim teknolojilerini düzenleyen N° 24/2016 sayılı Kanun ve RURA'nın elektronik haberleşme lisanslama yönetmeliği uyarınca lisanslanır. Bu portalda yayımlanan bir Tier III veri merkezi lisansı, operatörlerin bekleyebileceği koşulların türünü göstermektedir; bu koşullar arasında şunlar yer alır:

• Ruanda hukukuna göre kurulmuş bir şirket olarak kalmak ve işletmeyi Ruanda'dan yönetmek;
• Ruanda İnternet Değişim Noktası ile doğrudan veya dolaylı olarak bağlantı kurmak;
• enerji, soğutma, ağ, hesaplama ve güvenlik sistemlerini gerçek zamanlı izlemek ve kritik olayları 15 dakika içinde RURA'ya bildirmek;
• yıllık cironun %1'i tutarında yıllık düzenleyici ücret ve Evrensel Erişim Fonu'na katkı; ve
• çevre ve elektronik atık yönetimi yükümlülükleri.

Söz konusu lisans; AI veri merkezi altyapısını, yüksek başarımlı hesaplamayı ve AI modellerinin eğitimi ile çıkarımını açıkça kapsamaktadır. Her projeye ilişkin koşullar kendi lisansında belirlendiğinden, bu koşullar finansal kapanıştan önce müzakere edilmeli ve incelenmelidir.

3. Hangi teşvikler mevcuttur?

RDB'nin BİT yatırım sayfası , kayıtlı BİT şirketleri için %15 kurumlar vergisi oranını, önemli yatırımlar için yedi yıla kadar olası vergi muafiyetlerini, belirli BT ekipmanlarında KDV istisnalarını ve uzman personel için göç kolaylıklarını belirtmektedir. Uygunluk, yatırım çerçevesindeki koşullara bağlıdır; bu koşulları şu rehberimizde açıklıyoruz: Ruanda’daki yatırım teşvikleri. Kamu kurumunun karşı taraf olduğu projeler ayrıca şu modelle de yapılandırılabilir: kamu-özel ortaklıkları.

AI Kullanan veya Barındıran İşletmeler İçin Pratik Adımlar

• Verilerinizin haritasını çıkarın: hangi veri setlerinin kişisel veya hassas nitelikte olduğunu, nerede saklandığını ve hangi bulut ya da AI tedarikçilerinin bunlara erişebildiğini belirleyin.
• Kayıt yaptırın ve belgeleyin: veri sorumlusu veya veri işleyen olarak NCSA kaydınızı teyit edin, işleme kayıtlarını tutun ve profilleme ya da otomatik karar alma için etki değerlendirmelerini tamamlayın.
• Yerelleştirmeyi planlayın: verilerin yurt dışında saklandığı veya yurt dışına aktarıldığı durumlarda, ilgili NCSA iznini sonra değil, faaliyete geçmeden önce alın.
• Sözleşmeleri özenle hazırlayın: AI ve barındırma sözleşmeleri veri koruma yükümlülüklerini, güvenlik standartlarını, olay bildirimini ve sorumluluğu taraflar arasında paylaştırmalıdır. Ruanda'daki ticari sözleşmeler konulu rehberimiz temel hususları ele almaktadır.
• Çıktıları ve eğitim verilerini koruyun: modellerin, veri setlerinin ve çıktıların mülkiyetini netleştirin; bu konuda bkz.: Ruanda'da fikri mülkiyet danışmanlığı.
• AI Ajansı'nı takip edin: Ulusal AI Ajansı'nın kuruluş belgesini ve çıkaracağı kuralları takip edin; bunlar yeni yükümlülükler getirebilir.

Sıkça Sorulan Sorular

Ruanda'da bir AI kanunu var mı?

Henüz yok. AI alanı Ulusal AI Politikası, RURA'nın AI etiği yönergeleri, veri koruma kanunu ve sektörel lisanslama ile yönetilmektedir. Hükümet, AI konusunu BİT hukuki çerçevesinde ele alma planlarını duyurmuş, Bakanlar Kurulu da Haziran 2026'da bir Ulusal AI Ajansı kurulmasını onaylamıştır.

Ruanda'da AI alanını kim düzenliyor?

Sorumluluk paylaşılmıştır. Politikaya MINICT öncülük eder; RURA AI etiği yönergelerini yayımlamış olup BİT altyapısını düzenler; NCSA ise kişisel veri işlemeyi denetler. Yeni Ulusal AI Ajansı'nın, görev tanımı resmîleştiğinde merkezi bir koordinasyon rolü üstlenmesi beklenmektedir.

Kişisel veriler Ruanda'da mı saklanmalıdır?

Kural olarak evet. Nº 058/2021 sayılı Kanun'un 50. maddesi, veri sorumlusu veya veri işleyen yurt dışında saklamaya izin veren bir denetim makamı kayıt sertifikasına sahip olmadıkça kişisel verilerin Ruanda'da saklanmasını zorunlu kılar.

Ruanda'da bir veri merkezi işletmek için lisans gerekir mi?

Evet; müşterilere sunulan veri merkezi hizmetleri BİT kanunu uyarınca RURA tarafından lisanslanır. Lisans teknik, raporlama ve ücret yükümlülükleri belirlediğinden, proje planlamasının erken bir aşamasında incelenmelidir.

AI, Ruanda'da müşteriler hakkında otomatik kararlar verebilir mi?

Yalnızca belirli sınırlar içinde. Kişiler, açık rıza, sözleşmesel zorunluluk veya uygun güvencelerle kanunla verilmiş yetki gibi bir istisna uygulanmadıkça, hukuki veya önemli sonuçlar doğuran yalnızca otomatik kararlara tabi olmama hakkına sahiptir.

Sonuç

Ruanda'da AI düzenlemesi, veri koruma ve lisanslama kuralları aracılığıyla şimdiden yaptırım gücüne sahiptir; yeni Ulusal AI Ajansı ise daha ayrıntılı bir yönetişimin yolda olduğuna işaret etmektedir. Verilerinin haritasını çıkaran, yerelleştirme ve lisanslama konularını erkenden çözen ve sözleşmelerini özenle hazırlayan işletmeler, Ruanda'nın önde gelen bir AI merkezi olma hedefinden en iyi şekilde yararlanacak konumda olacaktır.

WAYAN ile şu konuda görüşün: AI ve veri merkezi hukuki hizmetlerimizveya ekibimizle bir görüşme planlayın ve Ruanda'daki AI projenizi ya da veri merkezi yatırımınızı birlikte değerlendirelim.