¿Qué es la regulación de la IA en Kenia?
Regulación de la IA: países y regiones
Kenia no cuenta todavía con un AI Act integral y en vigor. Actualmente, la IA se rige principalmente a través de la legislación existente, en especial la Ley de Protección de Datos de 2019 y sus reglamentos, junto con la supervisión sectorial, la actividad de normalización oficial y la Estrategia de Inteligencia Artificial de Kenia 2025-2030. Dicha estrategia es una base de gobernanza oficial, no un estatuto. Se está elaborando una política separada sobre IA y Tecnologías Emergentes, y un Proyecto de Ley de Inteligencia Artificial del Senado se encontraba aún en Segunda Lectura en junio de 2026.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En Kenia, la "regulación de la IA" implica actualmente una combinación de legislación vinculante, organismos reguladores, trabajo de normalización y política nacional. El país no dispone todavía de un estatuto de IA consolidado similar al EU AI Act. Las organizaciones deben interpretar la IA a través de la legislación keniana vigente, especialmente en materia de privacidad y protección de datos, y a través de las competencias de los reguladores sectoriales.
El principal punto de presión jurídica hoy no es si un producto se denomina a sí mismo IA. Lo relevante es si el sistema trata datos personales, elabora perfiles de personas, utiliza datos biométricos, afecta al acceso al crédito, la salud, la educación o los servicios públicos, o transfiere datos fuera de Kenia. La Estrategia Nacional de IA añade la orientación política sobre lo que el gobierno quiere a continuación: ecosistemas de datos de confianza, relevancia local, seguridad, inclusión y despliegue responsable.
Esto significa que la posición actual de Kenia es práctica más que abstracta. Algunas obligaciones ya son aplicables. Otras normas se están construyendo a través del trabajo político, la actividad de normalización y un proyecto de ley pendiente.
Por qué es importante
Para fundadores, operadores, compradores y asesores, Kenia no es una jurisdicción de "esperar al AI Act". Si un sistema de IA maneja datos personales, toma decisiones automatizadas significativas, utiliza datos de salud o biométricos, o presta soporte a servicios regulados, la legislación keniana vigente ya puede ser aplicable.
La estrategia también importa porque señala hacia dónde se dirigen la supervisión, las expectativas de contratación pública y la futura legislación. Incluso antes de que llegue una ley específica de IA, las organizaciones pueden ver la dirección del cambio: una gobernanza de datos más sólida, controles de riesgo y seguridad más formales, mayor relevancia de datos y lenguaje locales, y una responsabilidad más clara para los sistemas que afectan a las personas de manera significativa.
Cómo funciona
Kenia utiliza un modelo por capas, no un código único de IA
El marco actual de IA de Kenia se entiende mejor como un modelo por capas. A nivel político, el gobierno lanzó la Estrategia de Inteligencia Artificial de Kenia 2025-2030 en marzo de 2025. El propio resumen del ministerio presenta la estrategia en torno a tres pilares: Infraestructura Digital de IA, Datos y Gobernanza de la IA, e Investigación, Innovación y Comercialización de la IA.
Esto es relevante, pero la estrategia no es en sí misma un estatuto completo con sanciones directas, requisitos de licencia o un sistema de clasificación de riesgos definitivo. Es una hoja de ruta gubernamental. Apunta a instrumentos futuros, incluida una política nacional de IA y Tecnologías Emergentes y marcos de riesgo y seguridad de la IA. En otras palabras, la estrategia marca la dirección, mientras que las obligaciones ejecutables actuales siguen procediendo principalmente de otras leyes.
A junio de 2026, este sigue siendo un régimen emergente, no consolidado. El ministerio ya ha pasado de la estrategia al desarrollo de políticas, y el Parlamento está considerando un Proyecto de Ley de Inteligencia Artificial separado. Hasta que eso cambie, las organizaciones deben tratar la postura de Kenia en materia de IA como en parte jurídica y en parte en desarrollo.
La Ley de Protección de Datos es la principal norma vinculante para muchos usos de la IA
Para la mayoría de las organizaciones, la primera cuestión jurídica seria es la de los datos personales. La Ley de Protección de Datos de Kenia de 2019 ya cubre el tratamiento automatizado, la elaboración de perfiles, los datos personales sensibles, los roles de responsable y encargado del tratamiento, y las transferencias de datos personales fuera de Kenia.
Esto hace que la Ley sea central para los sistemas de IA utilizados en contratación, préstamos, salud, educación, publicidad dirigida, análisis de clientes, verificación de identidad, monitoreo de fraudes y muchas formas de herramientas generativas o predictivas. Si el sistema utiliza datos de personas identificables, o ayuda a evaluarlas, clasificarlas, predecirlas o categorizarlas, el régimen de protección de datos probablemente sea aplicable, independientemente de si el producto se comercializa como IA.
Esto es especialmente importante cuando los sistemas de IA tratan datos de mayor riesgo. La legislación keniana trata con mayor rigor los datos de salud, biométricos, genéticos y otros datos sensibles. Las transferencias transfronterizas también requieren garantías, y las transferencias de datos personales sensibles fuera de Kenia exigen tanto el consentimiento como la confirmación de garantías adecuadas. Así, un modelo alojado en la nube, un flujo de trabajo de anotación en el extranjero o un proveedor de modelo fundacional en el exterior pueden generar preguntas de cumplimiento inmediatas, incluso antes de que llegue cualquier ley específica de IA.
Las decisiones automatizadas significativas ya generan obligaciones adicionales
Kenia ya cuenta con una de las normas actuales más claras relacionadas con la IA en su régimen de protección de datos: el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, cuando dicha decisión tenga efectos jurídicos o afecte significativamente a la persona. Existen excepciones, pero son limitadas: principalmente la necesidad contractual, un marco legal habilitante o el consentimiento.
El efecto práctico es importante. Si una organización utiliza IA para tomar o impulsar decisiones significativas, puede necesitar notificar a la persona, permitir la reconsideración, ofrecer una vía hacia una decisión no automatizada y documentar cómo se tomó la decisión. El Reglamento General va más lejos al exigir información significativa sobre la lógica aplicada, la explicación de la importancia y los efectos esperados del tratamiento, medidas técnicas y organizativas para prevenir errores, y pasos para reducir los efectos discriminatorios y los sesgos. También exige la posibilidad de que la persona obtenga intervención humana y exprese su punto de vista.
Aquí es donde la gobernanza de la IA y el cumplimiento ordinario de la privacidad comienzan a solaparse. Cuando el tratamiento pueda crear un alto riesgo para los derechos y libertades, se requiere una evaluación de impacto sobre la protección de datos antes de que comience el tratamiento. En Kenia, eso no es solo un trámite interno de documentación. La Ley y los reglamentos contemplan la consulta previa con la Oficina del Comisionado de Protección de Datos, y los reglamentos consideran la toma de decisiones automatizada con efectos jurídicos o igualmente significativos, la reutilización a gran escala, los datos biométricos o genéticos, el tratamiento de datos de menores y la combinación de conjuntos de datos de distintas fuentes como ejemplos de tratamiento de alto riesgo.
El registro y la supervisión institucional ya son relevantes
El panorama de la gobernanza de la IA en Kenia también está configurado por las instituciones, no solo por principios abstractos. El Ministerio de Información, Comunicaciones y Economía Digital lidera la estrategia nacional de IA y la siguiente fase política. La Oficina del Comisionado de Protección de Datos es el principal regulador en materia de privacidad, registro, consulta de evaluaciones de impacto y disputas relacionadas con el tratamiento de datos personales. El Parlamento es donde se encuentra el Proyecto de Ley de IA propuesto. La Oficina de Normas de Kenia está construyendo la capa de normalización.
Para muchos operadores, el registro ante la ODPC es una cuestión práctica e inmediata. El Reglamento de Registro establece que todo responsable y encargado del tratamiento de datos debe registrarse, con sujeción a las exenciones previstas. Las entidades más pequeñas pueden estar exentas si tienen una facturación o ingresos anuales inferiores a KES 5 millones y menos de 10 empleados. Pero esa exención no se aplica de forma generalizada. Los reglamentos incluyen algunas actividades específicas en el registro obligatorio incluso para operadores más pequeños, entre ellas: gestión de instituciones educativas, administración sanitaria y atención al paciente, servicios financieros, telecomunicaciones, marketing directo, servicios de transporte incluida la contratación de pasajeros en línea, y el tratamiento de datos genéticos.
Esto es relevante para las empresas emergentes de IA y los equipos de contratación pública, porque muchos operadores "pequeños" asumen que son demasiado incipientes para enfrentarse a puntos de contacto regulatorios formales. En Kenia, eso puede ser un error. Un operador modesto de tecnología sanitaria, educativa o financiera puede ya estar dentro de un marco de registro y privacidad con obligaciones procedimentales reales.
La estrategia y la normalización están configurando la próxima capa de gobernanza
La estrategia importa porque cubre lagunas que la legislación vinculante actual no aborda plenamente todavía. Impulsa un ecosistema de datos keniano más sólido para la IA, el desarrollo de fuentes de datos locales y laboratorios de datos, modelos con relevancia local, y mecanismos de gobernanza adaptados a los idiomas, prioridades e instituciones de Kenia. También apunta hacia futuros instrumentos de política, legales y de seguridad en materia de IA, en lugar de pretender que ya existen.
Paralelamente, la infraestructura de normalización de Kenia está avanzando. La Oficina de Normas de Kenia ya incluye material relacionado con la IA en su catálogo, incluido un código de práctica para aplicaciones de IA. Eso no significa que Kenia cuente ahora con un régimen de normalización de IA plenamente maduro, ni convierte una norma en algo equivalente a la legislación. Pero sí demuestra que las organizaciones ya no pueden afirmar que no existe ningún punto de referencia local formal. En la contratación pública, la gobernanza interna y el trabajo de garantía de proveedores, la actividad de normalización puede convertirse en un referente práctico antes de que llegue un regulador específico de IA.
Así pues, el panorama operativo en Kenia es el siguiente: la legislación de privacidad vinculante se aplica ahora, la orientación política se está aclarando, las normas están emergiendo y un régimen más completo específico para la IA puede llegar más adelante.
El siguiente paso sigue siendo política y jurídicamente abierto
El ministerio comenzó a trabajar en una política de IA y Tecnologías Emergentes a finales de 2025 y había avanzado hacia la participación pública en marzo de 2026. Al mismo tiempo, el Senado seguía considerando el Proyecto de Ley de Inteligencia Artificial en junio de 2026. Esto significa que la dirección del cambio es visible, pero la arquitectura jurídica definitiva no está fijada.
Para las organizaciones, la respuesta adecuada no es esperar a tener certeza. Es separar lo que ya es vinculante de lo que todavía es una propuesta. Hoy, el núcleo vinculante es principalmente la protección de datos y la legislación sectorial. La estrategia, el trabajo de normalización y el proyecto de ley pendiente indican qué puede endurecerse a continuación.
Ejemplos
Si un ministerio, un gobierno de condado o un proveedor sigue el caso de uso de servicio público de la estrategia consistente en un chatbot multilingüe o asistente virtual, la primera pregunta no es simplemente si la herramienta es útil. Es si solo responde preguntas rutinarias o si comienza a filtrar personas, priorizar solicitudes o tomar decisiones significativas de elegibilidad utilizando datos personales. En cuanto aparece la segunda categoría, las normas de toma de decisiones automatizada de Kenia, las obligaciones de transparencia y los requisitos de evaluación de impacto se vuelven mucho más difíciles de ignorar.
Si una empresa de tecnología agrícola desarrolla el tipo de servicio de recomendación de fertilizantes basado en IA destacado en la estrategia, debe mapear exactamente qué datos utiliza y por qué. Los registros de explotaciones, números de teléfono, datos de ubicación e historiales de uso pueden convertir un sistema aparentemente técnico en un flujo de trabajo de datos personales regulado. El proveedor debe entonces considerar la base jurídica, la limitación de la finalidad, los controles de seguridad, si se está elaborando un perfil de las personas y si algún dato sale de Kenia durante el alojamiento, el entrenamiento o el ajuste del modelo.
Si un pequeño servicio de triaje de tecnología sanitaria o una plataforma educativa asume que es demasiado pequeño para registrarse ante la ODPC, esa suposición puede ser errónea. Las normas de registro de Kenia mencionan específicamente la administración sanitaria, la atención al paciente y las instituciones educativas entre las actividades que pueden seguir requiriendo registro. Si la misma herramienta utiliza datos sensibles, biométricos o puntuaciones automatizadas significativas, la organización puede también necesitar un proceso de gobernanza mucho más formal antes del lanzamiento.
Malentendidos frecuentes
Kenia no tiene regulación de IA hasta que el Parlamento apruebe una ley de IA. Eso es incorrecto. Las normas de privacidad y sectoriales existentes ya se aplican a muchos usos de la IA.
La Estrategia Nacional de IA es en sí misma un estatuto de IA vinculante. No lo es. Es una hoja de ruta oficial y una base de gobernanza, no un régimen de sanciones y licencias definitivo.
Solo las grandes empresas tecnológicas deben preocuparse. No es así. Los operadores más pequeños pueden igualmente quedar sujetos al registro obligatorio o a las obligaciones de evaluación de impacto, especialmente en los sectores enumerados o cuando se tratan datos personales sensibles.
Si un sistema es "de apoyo" en lugar de completamente automatizado, la ley no es aplicable. Puede serlo igualmente. La elaboración de perfiles, la clasificación, la recomendación y el apoyo a la toma de decisiones pueden plantear cuestiones de protección de datos.
Una entidad pequeña siempre está exenta del registro ante la ODPC. No siempre. La exención tiene umbrales, y algunas actividades enumeradas siguen requiriendo registro incluso cuando la empresa es relativamente pequeña.
Riesgos y límites
El modelo actual de Kenia tiene límites reales. La estrategia es importante, pero por sí sola no crea un régimen completo de clasificación de riesgos, un sistema de licencias de IA dedicado ni un supervisor nacional de IA consolidado. Si se busca una respuesta keniana única sobre transparencia de modelos, seguridad de modelos de frontera, IA de propósito general, datos de entrenamiento con derechos de autor, distribución de modelos abiertos o notificación de incidentes, con frecuencia se comprobará que la arquitectura sigue siendo incompleta.
También existe un problema de delimitación. No todo problema de IA en Kenia es principalmente un problema de privacidad. La protección de datos es la base jurídica presente más sólida, pero no sustituye a la ciberseguridad, la regulación sectorial, los controles contractuales, las normas de contratación pública, el derecho laboral, las cuestiones de propiedad intelectual ni la protección del consumidor. Algunos despliegues de IA se situarán simultáneamente en varios de esos ámbitos.
Por último, el panorama jurídico puede seguir cambiando. El trabajo sobre la política de IA y Tecnologías Emergentes está en curso, y el Proyecto de Ley de Inteligencia Artificial no se había convertido en ley a principios de junio de 2026. Por ello, las organizaciones deben describir la situación actual con precisión: Kenia cuenta con un marco de gobernanza de la IA emergente, no con un régimen estatutario de IA consolidado.
Qué hacer a continuación
En primer lugar, conviene elaborar un inventario de cualquier sistema de IA que afecte a personas en Kenia, conjuntos de datos kenianos o servicios regulados en Kenia. A continuación, hay que separar el uso experimental de bajo riesgo de los sistemas que elaboran perfiles de personas, utilizan datos sensibles o biométricos, apoyan flujos de trabajo de salud o educación, o influyen en decisiones significativas. Ese ejercicio de clasificación generalmente indicará si se está ante una cuestión rutinaria de software o ante un problema de gobernanza que requiere atención a nivel directivo.
En segundo lugar, conviene establecer los controles que el marco actual de Kenia ya señala: un análisis claro de responsable o encargado del tratamiento, el registro ante la ODPC cuando sea necesario, avisos de privacidad que se ajusten al flujo de trabajo real, una base jurídica documentada, una vía para la revisión humana de decisiones significativas, comprobaciones de sesgos y errores, y una evaluación de impacto cuando el riesgo sea elevado. No hay que esperar al proyecto de ley.
En tercer lugar, hay que seguir la capa en movimiento. Conviene monitorear el trabajo del ministerio sobre la política de IA y Tecnologías Emergentes, la actividad de normalización de KEBS y la tramitación parlamentaria del proyecto de ley pendiente. En Kenia, el enfoque más resiliente es cumplir con las normas de datos ejecutables de hoy mientras se prepara para el régimen de gobernanza de la IA más explícito de mañana.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Kenia ya un AI Act dedicado y en vigor?
No. Kenia no cuenta todavía con un AI Act integral y en vigor. El marco actual se basa principalmente en la legislación existente, especialmente la protección de datos, junto con la Estrategia Nacional de IA y otros trabajos de política emergentes.
¿Es jurídicamente vinculante la Estrategia de IA de Kenia?
No de la misma manera que una ley o un reglamento. Es una estrategia gubernamental oficial que establece la dirección, las prioridades y las expectativas de gobernanza, pero no equivale a un régimen estatutario completo.
¿Qué legislación keniana es prioritaria si mi sistema de IA utiliza datos personales?
Generalmente, la Ley de Protección de Datos de 2019 y sus reglamentos. Constituyen la base ejecutable principal para la elaboración de perfiles, las decisiones automatizadas, los datos sensibles, las transferencias transfronterizas y las evaluaciones de impacto.
¿Pueden las personas en Kenia impugnar decisiones tomadas únicamente por IA?
Sí, en determinadas circunstancias. La legislación keniana reconoce el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, cuando dicha decisión tenga efectos jurídicos o igualmente significativos, con sujeción a excepciones limitadas.
¿Necesitan las empresas emergentes registrarse ante la ODPC?
En algunos casos. Las entidades pequeñas pueden acogerse a una exención, pero esta no cubre todas las actividades. La salud, la educación, los servicios financieros, las telecomunicaciones, el marketing directo y algunas otras actividades enumeradas pueden seguir activando el registro obligatorio.
¿Existen normas de IA en Kenia aunque no haya un AI Act?
Sí, la actividad de normalización está en marcha. KEBS ya incluye material relacionado con la IA en su catálogo, incluido un código de práctica para aplicaciones de IA. Esas normas no sustituyen a la legislación, pero pueden orientar las expectativas de gobernanza y contratación pública.
¿Cuál es el estado del Proyecto de Ley de Inteligencia Artificial?
A 4 de junio de 2026, seguía figurando para Segunda Lectura en el Senado. Por tanto, debe tratarse como una propuesta, no como legislación vigente.
¿Cuál es la diferencia práctica entre política de IA y regulación de IA en Kenia?
La política establece la dirección y señala la intención. La regulación crea obligaciones ejecutables y sanciones. En Kenia hoy, la estrategia es política, mientras que los principales anclajes jurídicos actuales para la IA se encuentran en la protección de datos y la legislación sectorial existente.