Tanzania: ley de protección de datos 2022, PDPC e IA en la empresa

Tanto en Dar es Salaam como en Arusha, los asistentes de IA ya forman parte de las herramientas de trabajo. Un transitario del puerto traduce un intercambio con un cliente chino, una agencia de safaris prepara presupuestos con ChatGPT, el equipo de crédito de un banco resume expedientes de clientes con Copilot. El beneficio es concreto, sobre todo en un país donde se trabaja entre el suajili y el inglés.

Pero cada uno de estos usos saca datos de la empresa. Desde la entrada en vigor de la Personal Data Protection Act de 2022, Tanzania cuenta con un marco claro para estos flujos, con una autoridad propia y obligaciones precisas. Esto es lo que las empresas deben saber.

La ley de 2022 y la Comisión de Protección de Datos

Aprobada por el Parlamento el 1 de noviembre de 2022, la Personal Data Protection Act (Ley n.º 11 de 2022) entró en vigor el 1 de mayo de 2023. Crea la Personal Data Protection Commission, la PDPC, encargada de velar por su aplicación. Dos reglamentos de 2023 la completan: uno sobre la recogida y el tratamiento de datos, otro sobre la tramitación de quejas.

La ley se aplica tanto a organizaciones públicas como privadas. Además, define una lista amplia de datos personales sensibles: datos genéticos y biométricos, datos de menores, información sobre transacciones financieras, datos de salud, origen étnico o tribal, opiniones políticas, creencias religiosas o filosóficas y afiliación sindical.

El registro obligatorio ante la PDPC

Es la obligación más visible de la ley. Toda persona que pretenda recoger o tratar datos personales en Tanzania debe estar registrada ante la Comisión. El certificado es válido durante cinco años y su renovación debe solicitarse tres meses antes del vencimiento. La PDPC aplazó varias veces el plazo de registro antes de fijar una fecha final el 30 de abril de 2025.

Para una empresa que despliega IA, el registro no es un mero trámite. Describe los tratamientos que realiza. Si sus equipos usan asistentes de IA con datos de clientes o empleados, ese uso debe ser coherente con lo declarado.

Las sanciones no son simbólicas. Para una persona jurídica, revelar datos sin consentimiento puede suponer una multa de hasta 5.000 millones de chelines tanzanos. Los directivos que autorizaron o permitieron la infracción también pueden responder personalmente.

Transferencias fuera de Tanzania: el verdadero reto de la IA

Casi todos los asistentes de IA de uso general tratan los datos en servidores situados fuera de Tanzania. En la práctica, cada prompt con datos personales se convierte en una transferencia internacional.

La ley no prohíbe estas transferencias, pero las regula. Son posibles cuando el país de destino ofrece una protección adecuada o existen garantías apropiadas. La Comisión también puede restringir las transferencias a determinados países, y cualquier transferencia contraria a la ley está prohibida. Pueden aplicarse trámites adicionales ante la Comisión: conviene comprobarlos antes de abrir una herramienta de IA externa a datos reales.

Bloquear el acceso de red a las herramientas de IA no resuelve el problema, como explicamos en por qué la DLP de red falla con ChatGPT.

IA y decisiones automatizadas: lo que ya dice la ley

Tanzania aún no tiene una ley específica sobre IA. En septiembre de 2025, el Ministerio de Comunicación y Tecnologías de la Información indicó que estaba ultimando una guía nacional para un uso responsable de la IA. Pero la ley de 2022 ya incluye una regla muy concreta: toda persona tiene derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado.

Para un banco que prueba la IA en la concesión de créditos, o un departamento de RR. HH. que filtra candidaturas, este derecho obliga a mantener una intervención humana real. También obliga a saber qué datos ha utilizado la herramienta.

La ley reconoce además el derecho a ser informado de la recogida y su finalidad, a acceder a los propios datos y a rectificarlos. La empresa debe poder responder con claridad a estas solicitudes, también cuando ha intervenido una herramienta de IA.

Situaciones de riesgo en las empresas tanzanas

• Banca y dinero móvil: un extracto de transacciones pegado en un asistente para explicar una disputa.

• Logística y puerto: manifiestos y listas de destinatarios con nombres, teléfonos y números de identidad.

• Turismo: copias de pasaportes y datos médicos de viajeros enviados para redactar itinerarios.

• Salud: informes de pacientes resumidos por una IA en una clínica privada.

• Recursos humanos: CV y números de identidad nacional NIDA comparados de forma masiva.

El coste de estos usos invisibles se detalla en el coste real de la IA en la sombra en 2026.

Plan de acción para cumplir

1. Confirmar su certificado PDPC y comprobar que el uso de la IA coincide con los tratamientos declarados.

2. Inventariar las herramientas de IA utilizadas, por departamento y tipo de datos.

3. Documentar sus transferencias fuera de Tanzania y las garantías que las cubren.

4. Mantener a una persona en el proceso para cualquier decisión que afecte a un cliente o empleado.

5. Filtrar los datos en origen, antes de que salgan del puesto de trabajo.

Para estructurar el despliegue, apóyese en nuestro manual de despliegue en 90 días.

En resumen

Tanzania ha optado por una ley moderna, con registro obligatorio, reglas estrictas para las transferencias y un derecho explícito frente a las decisiones automatizadas. ZeusLock ayuda a las empresas a cumplir estas reglas sin renunciar a la IA: instalado en equipos y navegadores, detecta los datos sensibles en prompts y archivos, los anonimiza conservando su formato, avisa o bloquea, y registra cada evento como prueba de cumplimiento.

¿Quiere ver cómo funciona para sus equipos en Tanzania? Solicite una demo de ZeusLock.