Ley de protección de datos de Uganda 2019 e IA: guía PDPO
NIN, dinero móvil, ChatGPT: lo que la Data Protection and Privacy Act 2019 y la PDPO exigen a las empresas en Uganda que usan IA generativa en el trabajo.
En Kampala, la IA generativa ya forma parte del trabajo diario. Un analista bancario pide a ChatGPT que resuma un expediente de crédito, una agente de atención al cliente de una operadora reformula la respuesta a una reclamación, un responsable de RR. HH. compara candidaturas con Copilot. El ahorro de tiempo es real.
El problema es lo que viaja con la petición. Un número de identificación nacional, un teléfono vinculado a una cuenta de dinero móvil, una nómina. En Uganda, estos datos están protegidos por una ley concreta, la Data Protection and Privacy Act de 2019, y por un regulador que espera que las empresas estén registradas y puedan rendir cuentas.
Un marco legal vigente desde 2019
La Data Protection and Privacy Act entró en vigor el 3 de mayo de 2019. Desarrolla el artículo 27 de la Constitución de Uganda, que ya protege la privacidad. Su reglamento de aplicación, las Data Protection and Privacy Regulations, se aplica desde el 12 de marzo de 2021.
La ley afecta a cualquier persona u organización que recoja, trate, conserve o utilice datos personales en Uganda. También alcanza a las organizaciones situadas en el extranjero que tratan datos de ciudadanos ugandeses.
La PDPO y la obligación de registro
El regulador es la Personal Data Protection Office, o PDPO. Fue creada por la ley y funciona dentro de la National Information Technology Authority, la NITA-U. Gestiona el registro nacional de protección de datos, recibe quejas y puede ordenar medidas correctoras.
Lo que suele sorprender a las empresas extranjeras es la obligación de registro. El reglamento de 2021 exige que todo recopilador, responsable o encargado del tratamiento se registre ante la PDPO. La obligación incluye a las organizaciones fuera de Uganda que tratan datos de ciudadanos ugandeses. Una empresa que usa IA con datos de clientes debe comprobar primero que figura en el registro.
NIN y dinero móvil: datos en el centro de la vida cotidiana
En Uganda, dos tipos de datos circulan por casi todos los sistemas de información.
El NIN, número de identificación nacional expedido por la NIRA. Se pide para abrir una cuenta bancaria, registrar una tarjeta SIM o acceder a muchos servicios públicos.
Los identificadores de dinero móvil, a menudo un simple número de teléfono, asociados a un historial de transacciones. MTN MoMo y Airtel Money forman parte del día a día de millones de ugandeses.
Los datos financieros y de salud, que la ley considera datos personales especiales, junto con las creencias religiosas o filosóficas, las opiniones políticas y la vida sexual.
Una exportación de transacciones de dinero móvil pegada en un asistente de IA para «entender una anomalía» contiene casi siempre varios de estos elementos. Es justo el tipo de fuga silenciosa que describimos en la anatomía de una fuga de datos por IA.
Lo que exige la ley cuando sus equipos usan IA
Transferencias controladas
La mayoría de los asistentes de IA de uso general tratan los datos fuera de Uganda. La ley solo permite el tratamiento o almacenamiento en el extranjero si el país de destino ofrece una protección adecuada, o si el interesado ha dado su consentimiento. El reglamento prohíbe además la transferencia posterior a un tercer país sin consentimiento. Un prompt con datos de clientes puede convertirse así en una transferencia ilícita.
Notificación de brechas
Cuando una persona no autorizada ha podido acceder a datos personales, la organización debe avisar a la PDPO de inmediato. El regulador decide después si hay que informar a los afectados. Las entidades registradas presentan además un informe anual sobre sus incidentes.
Sanciones que también alcanzan a la dirección
Un tribunal puede imponer a una empresa una multa de hasta el 2 % de su facturación bruta anual. Algunas infracciones prevén penas de prisión de hasta diez años.
La IA, próximo paso de la política digital de Uganda
El Ministerio de TIC y Orientación Nacional prepara una estrategia nacional de tecnologías emergentes que incluye la IA. Anunciada para mediados de 2026, debe incorporar un capítulo de ética y gobernanza alineado con la ley de 2019.
Las empresas no necesitan esperar una ley específica sobre IA. Las normas que se aplican a sus prompts ya existen. El coste de una adopción sin control se detalla en el coste real de la IA en la sombra en 2026.
Plan de acción en cinco pasos
Verificar su registro ante la PDPO, también para las entidades del grupo situadas fuera de Uganda.
Mapear el uso de la IA por departamento: banca, atención al cliente, RR. HH., finanzas.
Definir los datos prohibidos en los prompts: NIN, números de dinero móvil, datos de salud, salarios.
Anonimizar en origen en lugar de bloquear. Nuestro artículo sobre la anonimización que preserva el formato explica cómo mantener respuestas útiles.
Guardar pruebas de los incidentes evitados para su informe anual y su relación con el regulador.
Cómo ayuda ZeusLock a las empresas en Uganda
ZeusLock funciona directamente en los equipos y navegadores de sus empleados. Antes de que un prompt o un archivo llegue a ChatGPT, Copilot, Gemini o Claude, detecta los datos sensibles, como los NIN, los teléfonos ugandeses y los identificadores de pago. Según sus reglas, los anonimiza conservando su formato, avisa al usuario o bloquea el envío. Cada evento queda registrado como prueba de cumplimiento.
En resumen
Uganda cuenta con una ley de protección de datos completa, un regulador activo y una obligación de registro que muchos subestiman. La IA generativa no cambia estas reglas, pero multiplica las ocasiones de incumplirlas. Las empresas que protejan sus prompts desde hoy podrán adoptar la IA con tranquilidad.
¿Quiere ver cómo proteger los datos de sus clientes en Uganda? Solicite una demo de ZeusLock.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
