¿Qué es la regulación de la IA en Santo Tomé y Príncipe?
Regulación de la IA: países y regiones
A junio de 2026, Santo Tomé y Príncipe no cuenta con una ley específica de IA ni con una estrategia nacional de IA formalmente adoptada. La IA se regula principalmente a través de la legislación vigente en materia de privacidad, protección de datos personales, ciberdelincuencia y administración pública digital, en especial la ley de protección de datos personales de 2016 y la autoridad nacional de protección de datos. El trabajo del Gobierno y de UNESCO ha producido un informe de preparación para la IA y una hoja de ruta de reformas, mientras que los instrumentos de la Unión Africana marcan la principal orientación regional.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
La regulación de la IA en Santo Tomé y Príncipe se traduce actualmente en las normas que ya rigen la protección de datos personales, la toma de decisiones automatizada, las transferencias transfronterizas, la ciberseguridad y la digitalización de los servicios públicos. Todavía no existe una ley de IA independiente con sus propios niveles de riesgo, prácticas prohibidas o un régimen central de licencias de IA.
El instrumento práctico más importante es la ley de protección de datos personales. Si una herramienta de IA trata datos personales, elabora perfiles de personas, apoya decisiones de contratación o crédito, utiliza datos biométricos o de vigilancia, o transfiere información al extranjero, el marco vigente ya empieza a aplicarse. En torno a esa capa de derecho positivo existe una capa de política más flexible: el informe de preparación de UNESCO de 2025, un borrador de estrategia de gobernanza de datos y la estrategia continental de IA de la Unión Africana.
Por tanto, el país no carece de regulación. Se describe mejor como una jurisdicción en fase inicial: ya existen algunas obligaciones legales reales, y se está preparando un régimen de IA más explícito que aún no ha entrado en vigor.
Por qué es importante
Para las organizaciones, la ausencia de una ley específica de IA no elimina las obligaciones de cumplimiento. La pregunta clave es si el uso de IA afecta a datos personales, decisiones individuales significativas, conjuntos de datos gubernamentales, tratamiento transfronterizo o infraestructura digital crítica. Si es así, las leyes e instituciones vigentes de Santo Tomé y Príncipe ya pueden exigir notificación, autorización, controles de seguridad, revisión humana, garantías contractuales y comunicación con la autoridad de protección de datos.
Esto afecta especialmente a empleadores, entidades de crédito, operadores de telecomunicaciones, organismos públicos, centros educativos y sanitarios, y cualquier empresa que utilice proveedores de IA en el extranjero. El país se encuentra además en una fase de construcción de políticas. Los equipos que documenten ahora las fuentes de datos, los puntos de decisión, la supervisión y las rutas de transferencia estarán mejor preparados si más adelante se aprueba una estrategia nacional de IA dedicada o nueva legislación.
Cómo funciona
El modelo actual se basa en marcos normativos generales, no en normas específicas de IA
A junio de 2026, los materiales oficiales revisados no muestran ningún estatuto de IA dedicado en vigor, ninguna estrategia nacional de IA formalmente adoptada en vigor ni ninguna comisión nacional de ética de la IA. El principal documento público específico sobre IA es la evaluación de preparación de UNESCO alojada en el portal del INIC. Ese informe describe a Santo Tomé y Príncipe como un país en una etapa inicial y principalmente de "consumo" de IA, más que como una jurisdicción con un sector doméstico maduro de desarrollo de IA.
Esto sitúa al país más cerca de un modelo de gobernanza horizontal que de un AI Act clásico basado en riesgos. En la práctica, la IA se rige por la legislación vigente sobre protección de datos personales, la arquitectura de gobierno digital, la ciberseguridad y la legislación sectorial ordinaria cuando resulta pertinente. La capa de derecho positivo ya es real. La capa específica de IA sigue siendo en su mayor parte una hoja de ruta.
La legislación vigente ya alcanza muchos usos de la IA
El centro de gravedad actual es la ley de protección de datos personales de 2016. Se aplica al tratamiento de datos personales realizado en Santo Tomé y Príncipe, al tratamiento por entidades establecidas allí aunque parte de la actividad tenga lugar en otro lugar, y a ciertos tratamientos fuera del país cuando se utilizan medios locales o alojamiento situado localmente. En este último caso, el responsable extranjero debe designar un representante establecido en Santo Tomé y Príncipe.
Esto es relevante porque muchas herramientas de IA se basan en tratamientos parcial o totalmente automatizados. Con arreglo a la ley, los responsables o sus representantes deben notificar a la ANPDP por escrito ocho días antes de iniciar una operación de tratamiento total o parcialmente automatizada, salvo que se aplique una exención o simplificación. Algunas categorías requieren autorización previa, en especial los datos sensibles, los datos de crédito y solvencia, la interconexión de conjuntos de datos y los usos de datos para fines distintos de los determinantes de la recogida. Estas categorías son directamente relevantes para los sistemas de IA utilizados en elaboración de perfiles, puntuación, detección de fraude, contratación, préstamos y cotejo de datos en el sector público.
La ley también otorga a las personas derechos prácticos muy relevantes para la gobernanza de la IA. Entre ellos figuran los derechos de información y acceso, rectificación y bloqueo, y el derecho a conocer la lógica o los motivos subyacentes al tratamiento automatizado que les concierne. Lo más importante es que toda persona tiene derecho a no ser objeto de una decisión que le afecte significativamente y que se adopte exclusivamente sobre la base de un tratamiento automatizado que evalúe aspectos como la capacidad profesional, la solvencia, la fiabilidad o el comportamiento, salvo que un contrato o una ley establezca garantías.
Las normas sobre transferencias transfronterizas también son relevantes. Los datos personales solo pueden transferirse al extranjero cuando el destino ofrezca una protección adecuada, cuando se aplique una derogación o cuando la ANPDP autorice la transferencia sobre la base de garantías suficientes, como protecciones contractuales. Para los equipos que utilizan proveedores extranjeros de nube o IA, esto convierte el mapeo de datos y la revisión de contratos en parte de la gobernanza de la IA, no en un complemento opcional.
La capa de aplicación no es meramente simbólica. La ley prevé sanciones administrativas, faculta a la ANPDP para imponerlas y tipifica infracciones penales por conductas como el incumplimiento intencionado de la obligación de notificar o solicitar autorización, la interconexión ilícita, el acceso ilícito, la destrucción de datos, la negativa a cumplir las instrucciones del regulador y la vulneración de las obligaciones de secreto. Por tanto, incluso sin una ley de IA, ya existen sanciones en torno al tratamiento de datos en el ámbito de la IA.
Las instituciones relevantes hoy
El principal regulador para la gobernanza de la IA en la actualidad es la ANPDP, la Agencia Nacional de Proteccao de Dados Pessoais. Su ley fundacional de 2017 la configura como una autoridad administrativa independiente que actúa junto a la Asamblea Nacional. Tiene poderes de investigación e inspección, puede acceder a los datos pertinentes para sus funciones de control, puede ordenar el bloqueo, la supresión o la destrucción de datos, puede prohibir el tratamiento de forma temporal o permanente, puede autorizar o registrar tratamientos cuando la ley lo exige, puede autorizar transferencias transfronterizas en los casos requeridos, puede tramitar reclamaciones y puede imponer multas.
Esto significa que la ANPDP no es un mero órgano consultivo. Es la institución con la que las organizaciones deben contar en primer lugar cuando el tratamiento de IA implica datos personales, decisiones automatizadas, transferencias internacionales o interconexión de datos.
La segunda institución clave es el INIC, el Instituto de Inovacao e Conhecimento, que ocupa un lugar central en la maquinaria de gobierno digital del Estado. En el marco de la gobernanza digital, el INIC actúa como brazo de implementación y coordinación de las TIC del organismo público y sirve como órgano consultivo del Comité de Gobernanza Digital. El informe de preparación de UNESCO considera al INIC el lugar natural para implementar cualquier futura estrategia nacional de IA, especialmente en materia de capacidad, ética, concienciación pública y coordinación.
También existen instituciones adyacentes. El Comité de Gobernanza Digital, creado por la Resolución n.º 35/2020, supervisa y garantiza la ejecución de la estrategia nacional de gobernanza digital, establece prioridades en toda la administración pública y emite deliberaciones vinculantes para la administración. La AGER es relevante en el ámbito de las telecomunicaciones, y la arquitectura nacional de ciberseguridad es importante cuando los despliegues de IA dependen de redes resilientes, alojamiento en el sector público o infraestructura de información crítica.
Los proyectos de IA en el sector público ya se enmarcan en las normas de gobernanza digital
Para los organismos públicos, la gobernanza de la IA no parte de cero. La Resolución n.º 35/2020 aprobó la estrategia nacional de gobernanza digital y creó el Comité de Gobernanza Digital. La estrategia es amplia y no específica de la IA, pero es importante porque trata el intercambio de datos, la identidad digital, la interoperabilidad, los servicios digitales públicos y la legislación de apoyo como prioridades del Estado. En otras palabras, crea la infraestructura administrativa en la que tendría que encajar la IA del sector público.
Esa infraestructura se concretó con la Ley n.º 01/2024 sobre el Marco Nacional de Interoperabilidad. La ley se aplica a todas las instituciones públicas y crea un comité de coordinación y gestión y un comité técnico de interoperabilidad. Establece un marco común de políticas y especificaciones técnicas para la interoperabilidad del gobierno electrónico y dispone que los elementos obligatorios deben adoptarse en los nuevos productos y proyectos informáticos del gobierno. Un sistema de IA utilizado dentro de la administración pública, especialmente si está conectado a bases de datos estatales o portales de servicios, tendría que ajustarse a esta arquitectura de interoperabilidad incluso antes de que aparezca cualquier ley específica de IA.
La implicación es práctica. Los organismos públicos que deseen desplegar IA en servicios orientados a la ciudadanía, sistemas de gestión de expedientes, flujos de identidad o entornos de intercambio de datos no deben considerar ese trabajo como un experimento aislado. Ya se enmarca en normas estatales más amplias sobre gobernanza digital, interoperabilidad, privacidad y ciberseguridad.
Los instrumentos regionales e internacionales marcan la dirección de avance
La orientación de la política de IA de Santo Tomé y Príncipe está fuertemente condicionada por los marcos de la Unión Africana y de UNESCO. A nivel continental, la UA adoptó la Estrategia Continental de Inteligencia Artificial en julio de 2024. La estrategia insta a los Estados miembros a incorporar el enfoque continental a través de estrategias nacionales y marcos de gobernanza, con un período de implementación que va de 2025 a 2030. Para los Estados más pequeños y con menor madurez digital, esto es relevante porque crea una plantilla regional incluso cuando la legislación doméstica de IA es todavía escasa.
Santo Tomé y Príncipe también ha firmado, ratificado y depositado la Convención de la UA sobre Ciberseguridad y Protección de Datos Personales, conocida habitualmente como la Convención de Malabo. Esto no crea por sí mismo un código doméstico de IA, pero sí refuerza la posición del país dentro de un marco jurídico continental construido en torno a la protección de datos, la ciberseguridad y la confianza digital.
A nivel mundial, la Recomendación de UNESCO sobre la Ética de la Inteligencia Artificial es un sólido ancla de política. El informe de preparación señala que la implementación de la Recomendación de UNESCO figura en la agenda del gobierno, aunque el informe también recoge que las medidas domésticas concretas no se habían finalizado en el momento de la evaluación. En la práctica, esto significa que la gobernanza actual combina el derecho interno con orientaciones de derecho indicativo sobre ética, derechos, inclusión, responsabilidad y desarrollo de capacidades.
Qué se propone a continuación y qué sigue pendiente
El informe de preparación de UNESCO traza una hoja de ruta de reforma bastante clara. Recomienda actualizar la ley de la ANPDP para que la autoridad pueda supervisar el ciclo de vida completo de la IA y su impacto ético, actualizar el marco del INIC para que pueda implementar una futura estrategia de IA, actualizar la estrategia de gobernanza digital para que la IA quede expresamente cubierta, reforzar el instituto nacional de estadística, e integrar la IA y la ética de forma más clara en la educación, la concienciación y el desarrollo de las telecomunicaciones.
El informe va más allá y recomienda la adopción de una estrategia nacional de IA mediante ley. Su propia hoja de ruta sitúa ese paso después de las primeras reformas institucionales, apuntando a una construcción por fases en lugar de una promulgación inmediata. Esta secuenciación es importante: el informe sugiere que Santo Tomé y Príncipe debería primero reforzar las instituciones y la gobernanza de datos, y luego legislar de forma más directa sobre IA.
El portal oficial del INIC también aloja una "versión para debate" de julio de 2025 de una estrategia de gobernanza de datos y una hoja de ruta de implementación. Ese borrador reconoce abiertamente que la llegada de la IA requiere un marco jurídico que permita un mejor uso de la IA sin menoscabar la protección de datos y la privacidad. También identifica los silos, la débil coordinación, las escasas competencias en datos y la ausencia de normas de interoperabilidad y seguridad como obstáculos prácticos. Pero el borrador sigue siendo eso, un documento de debate, no una ley promulgada.
El panorama a corto plazo es, por tanto, suficientemente claro. Existe una dirección de reforma. Los candidatos institucionales son visibles. Los marcos regionales e internacionales están en vigor. Lo que aún falta es el paso doméstico definitivo de la recomendación y el borrador de estrategia a una ley específica de IA vinculante o a una política nacional de IA formalmente adoptada.
Ejemplos
Uso de IA para contratación o puntuación crediticia. Si un empleador, un banco o un proveedor de microfinanzas utiliza un modelo para clasificar a personas y desencadenar decisiones que les afectan significativamente, la ley de protección de datos se convierte en el elemento central. Una persona tiene protección frente a decisiones adoptadas exclusivamente mediante tratamiento automatizado cuando esa decisión afecta significativamente a su esfera jurídica. Si el sistema utiliza datos de crédito o solvencia, la autorización previa de la ANPDP también forma parte del panorama legal.
Envío de datos de clientes o ciudadanos a un proveedor de IA en el extranjero. Si se exportan datos personales desde Santo Tomé y Príncipe a un servicio de nube o IA extranjero, se aplican las normas sobre transferencias. El destino debe ofrecer una protección adecuada, o puede ser necesaria otra vía lícita y garantías ante el regulador. Aquí es donde la diligencia debida con los proveedores, el mapeo de transferencias y el control contractual pasan a formar parte de la gobernanza de la IA en lugar de ser meros trámites de contratación rutinarios.
Incorporación de IA a un servicio digital gubernamental. Un ministerio que desee utilizar IA en un portal público, un flujo de gestión de expedientes o un entorno de intercambio de datos no espera a una futura ley de IA para realizar el trabajo de gobernanza. El proyecto ya se enmarca en la ley de protección de datos personales, las competencias de la ANPDP, el sistema de gobernanza digital, la ley de interoperabilidad y el marco nacional de ciberseguridad. En términos prácticos, el equipo necesita revisión jurídica, alineación técnica, supervisión humana y una base clara para cualquier intercambio de datos.
Malentendidos frecuentes
Malentendido: "Sin ley de IA no hay regulación de la IA." Corrección: La legislación vigente sobre protección de datos personales, decisiones automatizadas, transferencias transfronterizas, ciberseguridad y administración pública digital ya regula muchos usos de la IA.
Malentendido: "Solo las empresas locales deben preocuparse." Corrección: La ley de protección de datos contiene vínculos territoriales que pueden alcanzar a actores extranjeros que utilicen medios locales o alojamiento local, y restringe las exportaciones de datos personales al extranjero.
Malentendido: "La ANPDP es solo una oficina consultiva." Corrección: Es una autoridad independiente con poderes de investigación, autorización y sanción.
Malentendido: "Los textos de la UA o de UNESCO equivalen a una ley doméstica." Corrección: Orientan la dirección de la política y el diseño de las reformas, pero las obligaciones actualmente exigibles provienen principalmente de las propias leyes de Santo Tomé y Príncipe.
Malentendido: "El consentimiento por sí solo hace lícita cualquier puntuación mediante IA." Corrección: Las decisiones individuales significativas adoptadas exclusivamente mediante automatización siguen sujetas a restricciones específicas y requisitos de garantías.
Riesgos y límites
El marco actual tiene límites claros. No existe una definición legal única de IA para todos los sectores, ninguna lista nacional de prácticas de IA prohibidas, ningún sistema de clasificación de alto riesgo, ninguna obligación específica de documentación de modelos de IA, ningún régimen de evaluación de la conformidad específico para la IA y ningún regulador exclusivo de IA. Si se espera un AI Act al estilo europeo, Santo Tomé y Príncipe aún no ha llegado a ese punto.
La base de fuentes oficiales también es relativamente escasa. Varios textos importantes son instrumentos de política o borradores en lugar de leyes promulgadas, incluido el borrador de estrategia de gobernanza de datos de julio de 2025 y gran parte de la hoja de ruta de reformas de UNESCO. Esto significa que la dirección de la política es visible, pero la secuenciación y el calendario siguen siendo abiertos. También pueden aplicarse obligaciones sectoriales específicas en ámbitos como las finanzas, las telecomunicaciones, las elecciones, la educación, la salud o la contratación pública, pero no se identificó ninguna norma sectorial específica de IA en el material oficial revisado para este artículo.
El límite que conviene tener presente es sencillo: no todo problema de IA es un problema de protección de datos, pero muchos de los problemas operativos de IA más importantes en Santo Tomé y Príncipe pasan actualmente por el marco de protección de datos, porque es ahí donde ya existen los controles de derecho positivo más sólidos del país.
Qué hacer a continuación
Comenzar con un inventario de los casos de uso de IA, las fuentes de datos y los puntos de decisión. Identificar cualquier sistema que utilice datos personales, elabore perfiles de personas, afecte al crédito, la contratación, menores, material biométrico o de vigilancia, o exporte datos al extranjero. Incorporar la notificación a la ANPDP y, cuando proceda, la autorización previa al plan del proyecto, en lugar de tratarlos como comprobaciones de último momento.
Para los organismos públicos, alinear el trabajo de IA desde el principio con el INIC, el comité de gobernanza digital y el marco de interoperabilidad antes de la contratación o la integración. Para los operadores privados, reforzar los contratos con proveedores de IA en el extranjero, documentar las garantías de transferencia, mantener una vía de revisión humana para las decisiones significativas y vigilar si la hoja de ruta de UNESCO se convierte en estatuto o en una estrategia nacional de IA formal. En esta jurisdicción, una gobernanza disciplinada importa más que esperar pasivamente a una futura ley de IA.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Santo Tomé y Príncipe un AI Act?
No. Los materiales oficiales revisados hasta junio de 2026 no muestran ningún estatuto de IA dedicado en vigor.
¿Existe una estrategia nacional de IA en vigor?
Todavía no. El principal documento público específico sobre IA es el informe de preparación de 2025, que recomienda una futura estrategia y un paquete legislativo, pero no equivale a una estrategia nacional adoptada con fuerza vinculante.
¿Qué autoridad es más relevante hoy para la IA?
Para la mayoría de los usos de IA que implican datos personales, la ANPDP es la autoridad clave. El INIC y el Comité de Gobernanza Digital son relevantes para la arquitectura digital del sector público, y los reguladores sectoriales ordinarios conservan sus competencias habituales.
¿Pueden las organizaciones utilizar IA generativa ahora?
Sí, no existe ninguna prohibición general. Pero las cuestiones relativas a datos personales, confidencialidad, ciberseguridad, toma de decisiones automatizada y exportación de datos siguen requiriendo verificación antes del despliegue.
¿Están permitidas las decisiones exclusivamente automatizadas?
Solo dentro de ciertos límites. La ley de protección de datos protege a las personas frente a decisiones con efectos jurídicos o igualmente significativos adoptadas exclusivamente mediante tratamiento automatizado, salvo que un contrato o una ley establezca garantías.
¿Quedan los proveedores de IA en el extranjero fuera del ámbito de aplicación?
No. La ley de protección de datos contiene vínculos territoriales, y las transferencias internacionales de datos personales están restringidas salvo que exista una protección adecuada u otra base jurídica lícita.
¿Cuál es el próximo paso de política más probable?
La dirección oficial de reforma apunta a una gobernanza de datos más sólida, actualizaciones de los marcos de la ANPDP y del INIC, y eventualmente una estrategia nacional de IA adoptada en un instrumento jurídico más formal.