卢旺达人工智能监管：《国家人工智能政策》、数据保护与数据中心规则

卢旺达人工智能监管 正迅速从政策层面走向机构建设。开发、采购或托管人工智能的企业，如今面临具有约束力的数据保护规则、行业许可以及快速发展的政府政策等多重要求。卢旺达目前尚无专门的人工智能法律，但这并不意味着人工智能不受监管。本指南将说明已适用的规则、《国家人工智能政策》对政府的承诺、数据中心的许可方式以及法律的发展方向。如需交易和项目方面的支持，请参阅我们的 卢旺达人工智能与数据中心法律服务.

卢旺达人工智能监管的现行运作方式

卢旺达并非通过一部专门法律，而是通过以下三个层面对人工智能进行监管：

• 政策： 由信息通信技术与创新部（MINICT）和卢旺达公用事业监管局（RURA）制定的《国家人工智能政策》，确定了政府的方向和实施计划。
• 具有约束力的法律： 关于保护个人数据和隐私的第 Nº 058/2021 号法律（13/10/2021）适用于任何处理个人数据的人工智能系统，由国家网络安全局（NCSA）负责监管。
• 行业监管： RURA 依据信息通信技术监管框架对数据中心和云基础设施进行许可，各行业监管机构仍负责其所在行业中人工智能的使用。

机构格局也在发生变化。2025 年 3 月， 政府表示计划将人工智能纳入信息通信技术法律框架；2026 年 6 月， 内阁批准设立国家人工智能局。截至本文撰写时，该机构的设立文书、职权和时间表尚未公布，我们也未发现已颁布的人工智能专门法律。因此，企业应在遵守现行规则的同时，为更详细的要求做好准备。

卢旺达《国家人工智能政策》的要求

这 MINICT 发布的《国家人工智能政策》 旨在使卢旺达成为全球人工智能研究与创新中心。该政策确定了六个优先领域和 14 项关键政策建议。这六个领域是：

• 21 世纪技能和较高的人工智能素养；
• 可靠的基础设施和算力；
• 稳健的数据战略；
• 公共部门可信赖的人工智能应用；
• 私营部门广泛受益的人工智能应用；以及
• 切实可行的人工智能伦理准则。

政策并非成文法，但 完整的政策文件和实施计划 显示了监管的走向。与企业直接相关的要点包括：

• 伦理准则： RURA 的《人工智能伦理开发与实施准则》将在人工智能领域推广，并设立论坛讨论特定行业的人工智能伦理准则。
• 监管沙盒： 该计划责成 RURA 启动人工智能沙盒项目，在受控环境中测试创新解决方案。
• 云服务提供商监督： 该计划拟按照数据保护法的要求，由 NCSA 对本地和外国云服务提供商进行登记，随后开展合规审计。
• 机构设置： 该计划提议在 MINICT 内设立负责任人工智能办公室，牵头推进实施。

在实践中，尽管伦理准则以指导形式发布，组织仍应将其视为监管机构当前的期望。在与公共部门客户或监管机构接触之前，记录人工智能产品如何满足这些准则是一项明智之举。

适用于人工智能系统的数据保护规则

对于大多数人工智能项目而言，数据保护法是最重要的具有约束力的义务来源。该法适用于在卢旺达设立的数据控制者和处理者，也适用于在卢旺达境外处理位于卢旺达的数据主体之个人数据的控制者和处理者。与人工智能相关的关键条款包括：

• 登记： 拟成为数据控制者或数据处理者的人员必须向监管机构登记，监管机构在收到完整申请后 30 个工作日内颁发证书（第 29 条至第 31 条).
• 自动化决策： 数据主体有权不受仅基于自动化处理（包括画像）作出、并产生法律后果或类似重大影响的决定的约束，但明确同意或合同必要等有限例外情形除外（第 21 条）。
• 影响评估： 高风险处理须进行数据保护影响评估，包括基于自动化处理和画像对个人进行系统而广泛的评价（第 38 条）。
• 泄露通知： 控制者必须在知悉个人数据泄露后 48 小时内通知监管机构，并在 72 小时内提交完整报告（第 43 条和第 44 条）。

执法确有实效。根据该法的 制裁章节，无登记证书经营或未通报数据泄露等行政违规行为，将被处以 RWF 2,000,000 至 RWF 5,000,000 的罚款，或上一财政年度全球营业额 1% 的罚款。非法使用或披露个人数据属于刑事犯罪。我们的 数据保护与网络安全团队 可为登记、影响评估和泄露应对提供支持。

卢旺达数据中心：许可与数据本地化

《国家人工智能政策》将基础设施置于核心地位。其实施计划包括在卢旺达建设面向全非洲、支持人工智能的超大规模数据中心的蓝图，并责成卢旺达发展委员会（RDB）为数据中心划拨战略用地。对投资者而言，以下三个法律问题最为关键。

1. 数据必须存储在哪里？

数据保护法第 50 条规定，控制者和处理者应将个人数据存储在卢旺达境内。只有持有监管机构授权的有效登记证书，方可在卢旺达境外存储。向境外第三方传输数据则另由第 48 条规范，该条允许基于以下理由进行传输：经 NCSA 授权并具备适当保障措施、数据主体同意或合同必要。 第 48 条至第 52 条全文 由 NCSA 的数据保护与隐私办公室发布，该办公室还提供 在卢旺达境外存储数据的授权申请表。这一本地化默认规则对本地数据中心而言是一项商业优势，对依赖境外云服务的企业而言则是一项合规要点。如需了解更广泛的区域情况，请阅读我们关于以下主题的分析： 非洲跨境数据流动.

2. 数据中心需要哪种许可证？

数据中心服务由 RURA 通过其 许可门户 ，依据关于信息和通信技术的第 N° 24/2016 号法律及 RURA 的电子通信许可条例进行许可。该门户上公布的一份 Tier III 数据中心许可证，说明了运营者应预期的条件类型，包括：

• 始终保持为依据卢旺达法律设立的公司，并在卢旺达管理业务；
• 直接或间接与卢旺达互联网交换中心互联；
• 对电力、制冷、网络、算力和安全系统进行实时监控，重大事件须在 15 分钟内通报 RURA；
• 缴纳相当于年营业额 1% 的年度监管费，并向普遍接入基金缴款；以及
• 环境和电子废弃物管理义务。

该许可证明确涵盖人工智能数据中心基础设施、高性能计算以及人工智能模型训练与推理。具体项目的条件由其自身的许可证规定，因此应在融资交割前进行谈判和审查。

3. 有哪些激励措施？

RDB 的 信息通信技术投资页面 列出了以下优惠：已登记的信息通信技术企业适用 15% 的企业所得税税率，重大投资可能享受最长七年的免税期，部分 IT 设备免征增值税（VAT），以及为专业人员提供移民便利。资格取决于投资框架中的条件，我们在以下指南中对此进行了说明： 卢旺达的投资激励措施。涉及政府相对方的项目也可采用 公私合作伙伴关系模式.

使用或托管人工智能的企业应采取的实际步骤

• 梳理您的数据： 识别哪些数据集属于个人数据或敏感数据、存储在何处，以及哪些云服务或人工智能供应商可以访问这些数据。
• 登记并做好记录： 确认已作为控制者或处理者在 NCSA 登记，保存处理记录，并针对画像或自动化决策完成影响评估。
• 规划本地化： 如数据在境外存储或向境外传输，应在上线之前而非之后取得相应的 NCSA 授权。
• 审慎订立合同： 人工智能和托管协议应明确分配数据保护义务、安全标准、事件报告和责任。我们关于 卢旺达的商业合同 的指南介绍了基本要点。
• 保护输出成果和训练数据： 明确模型、数据集和输出成果的归属，可借助 卢旺达知识产权法律咨询.
• 关注国家人工智能局： 跟踪国家人工智能局的设立文书及其发布的任何规则，因为这些可能带来新的义务。

常见问题

卢旺达是否有人工智能法律？

目前还没有。人工智能受《国家人工智能政策》、RURA 的人工智能伦理准则、数据保护法和行业许可的规范。政府已表示计划在信息通信技术法律框架中对人工智能作出规定，内阁并于 2026 年 6 月批准设立国家人工智能局。

卢旺达由谁监管人工智能？

监管职责由多方分担。MINICT 主导政策制定，RURA 发布了人工智能伦理准则并监管信息通信技术基础设施，NCSA 则监督个人数据处理。新设立的国家人工智能局在其职能正式确定后，预计将发挥核心协调作用。

个人数据必须存储在卢旺达吗？

原则上是的。第 Nº 058/2021 号法律第 50 条要求个人数据存储在卢旺达境内，除非控制者或处理者持有监管机构授权在境外存储的登记证书。

在卢旺达运营数据中心需要许可证吗？

需要。向客户提供的数据中心服务由 RURA 依据信息通信技术法进行许可。许可证规定了技术、报告和收费方面的义务，因此应在项目规划初期进行审查。

人工智能能否在卢旺达对客户作出自动化决策？

仅限于一定范围内。个人有权不受仅基于自动化处理、产生法律后果或重大影响的决定的约束，除非适用例外情形，例如明确同意、合同必要，或经法律授权并具备适当保障措施。

结语

卢旺达的人工智能监管已通过数据保护和许可规则具备了实际约束力，而新设立的国家人工智能局则表明更为细致的治理即将到来。梳理数据、及早解决本地化和许可问题并审慎订立合同的企业，将最有能力从卢旺达成为领先人工智能中心的雄心中获益。

欢迎联系 WAYAN，咨询我们的 人工智能与数据中心法律服务，或 预约与我们团队的咨询 ，以审查您在卢旺达的人工智能项目或数据中心投资。