¿Qué es la regulación de la IA en Sudán?
Regulación de la IA: países y regiones
Sudán no parece contar actualmente con una ley específica sobre IA ni con una estrategia nacional de IA independiente y claramente publicada en las fuentes oficiales públicas consultadas. En cambio, la IA se rige mediante una combinación en desarrollo de políticas de transformación digital, instituciones de ciberseguridad, legislación sobre transacciones electrónicas, normas de telecomunicaciones y ciberdelincuencia, y supervisión sectorial, especialmente en banca y servicios digitales públicos. Desde finales de 2025, Sudán también ha comenzado a crear instituciones estatales centradas en la IA, en particular una nueva autoridad de datos e IA.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En Sudán, la regulación de la IA aún está tomando forma. El país no opera todavía con un único reglamento integral de IA como el que existe en algunas otras jurisdicciones. El panorama oficial se aproxima más a un modelo institucional y sectorial: se están construyendo autoridades digitales, la ciberseguridad ha cobrado mayor relevancia, y las leyes más antiguas sobre transacciones electrónicas, telecomunicaciones y delitos informáticos siguen realizando gran parte del trabajo práctico.
Esto significa que las organizaciones que utilizan IA en Sudán suelen necesitar plantearse una pregunta más concreta que "¿cuál es la ley de IA?". La pregunta más adecuada es: "¿qué normas sudanesas se aplican a este uso de la IA?". Un chatbot en un servicio público, un modelo antifraude en banca, un flujo de identidad digital, una herramienta de análisis alojada en la nube y una función de IA dentro de una aplicación de telecomunicaciones pueden activar distintos reguladores, aprobaciones, obligaciones de confidencialidad, controles de seguridad o requisitos de conservación de registros.
No obstante, la dirección que toma Sudán es más clara que hace unos años. Desde 2025, el gobierno ha vinculado públicamente la IA a la reconstrucción digital, la gobernanza de datos, la ciberseguridad, la educación y la modernización de los servicios públicos. Por tanto, el sistema jurídico no ignora la IA, pero aún no ha consolidado esas líneas en un régimen específico dedicado a ella.
Por qué es importante
Es importante porque la ausencia de una AI Act única no implica un vacío regulatorio. Si se despliega IA en Sudán, la carga de cumplimiento real suele recaer en normas e instituciones adyacentes: licencias de telecomunicaciones, autenticación electrónica, seguridad de la información, gestión de datos del sector público, supervisión bancaria, protección al cliente y posibles expectativas de localización o soberanía en torno a datos sensibles.
Para fundadores, proveedores y compradores, esto supone un reto práctico. El riesgo legal no consiste tanto en infringir una "ley de IA" nominada como en pasar por alto las normas sectoriales que ya se aplican al sistema que rodea a la IA. En Sudán, esto es especialmente relevante para los servicios digitales públicos, la identidad digital, las finanzas, los pagos, la infraestructura de telecomunicaciones y cualquier flujo de trabajo que gestione información personal sensible o información estratégica del Estado.
El momento también importa. Las instituciones públicas de Sudán están siendo activamente reconstruidas y reorganizadas. Una empresa que entre en el mercado ahora puede encontrar que la situación actual depende de una combinación de leyes vigentes e instituciones en rápida maduración, con una gobernanza de la IA más formal que probablemente se desarrollará más adelante.
Cómo funciona
Aún no existe una ley específica sobre IA
Las fuentes públicas oficiales consultadas para este artículo no muestran ninguna AI Act sudanesa en vigor, ni publican claramente una estrategia nacional de IA independiente equivalente a un código de IA de alcance económico general. Ese es el punto de partida. Sudán no utiliza todavía un único estatuto horizontal de IA con prácticas prohibidas definidas, niveles de riesgo, obligaciones de evaluación de la conformidad ni normas de vigilancia del mercado.
Lo que sí existe es un desarrollo de políticas y gobernanza en torno a la transformación digital. En el material gubernamental oficial, la IA aparece como área prioritaria dentro de la modernización estatal más amplia, y no aún como un campo jurídico autónomo. Eso sitúa a Sudán, al menos por ahora, más cerca de un modelo sectorial e institucional que de un código de IA por niveles de riesgo.
Ya es visible una arquitectura institucional emergente
El cambio reciente más importante es de carácter institucional. En noviembre de 2025, un anuncio oficial del gobierno indicó que el Primer Ministro había creado tres organismos nacionales bajo el ministerio responsable de la transformación digital y las comunicaciones: una Autoridad de Transformación Digital, una Autoridad Sudanesa de Datos e IA, y una Autoridad Sudanesa de Ciberseguridad.
Esto es relevante porque el nuevo organismo de datos e IA se describe no solo como una unidad técnica, sino como la institución responsable de regular la gestión nacional de datos, reforzar la gobernanza y permitir al Estado utilizar la IA para el apoyo a la toma de decisiones y el desarrollo de los servicios públicos. En otras palabras, Sudán ha comenzado a crear un marco formal para la gobernanza de la IA, aunque todavía no exista una ley específica al respecto.
El mismo anuncio oficial también enmarca este cambio institucional en términos de soberanía digital, reforma de la administración pública, política nacional compartida y uso más seguro de los datos y la información. Para los lectores prácticos, eso indica dónde es probable que se sitúe la futura gobernanza de la IA en Sudán: no solo en los tribunales y las leyes, sino también en organismos administrativos centrales que controlan la infraestructura pública, las prácticas de datos del Estado y los sistemas digitales gubernamentales.
La legislación digital existente sigue realizando la mayor parte del trabajo jurídico
Al no existir un código específico de IA, la legislación digital vigente de Sudán sigue siendo la principal base jurídica.
La Ley de Transacciones Electrónicas es una de las piezas más importantes. Otorga efecto jurídico a partes del marco de transacciones digitales de Sudán y respalda las firmas electrónicas, la certificación y los registros electrónicos de confianza. El material oficial sudanés vinculado a la Ley también establece que los datos de firma, los soportes electrónicos y la información presentada para la certificación electrónica son confidenciales, y que los proveedores de servicios que gestionan sistemas de tratamiento de datos deben adoptar medidas para proteger y asegurar la información. Para la gobernanza de la IA, esto es significativo porque muchos despliegues de IA se integran en documentos firmados digitalmente, flujos de trabajo automatizados, verificaciones de identidad o transacciones en plataformas, y no en productos de IA independientes.
Sudán también sigue apoyándose en las normas de telecomunicaciones y delitos informáticos. La Autoridad Reguladora de Telecomunicaciones y Correos indica que es el regulador legal de los servicios de telecomunicaciones y correos en virtud de la ley de 2018 que sustituyó a la antigua ley de telecomunicaciones de 2001. Los materiales de servicio público de la autoridad muestran que Sudán no solo otorga licencias para actividades clásicas de telecomunicaciones, sino también para aplicaciones de internet, servicios digitales, servicios de pago digital, centros de datos, servicios de computación en la nube y aplicaciones de IoT. Esto hace que la regulación de las telecomunicaciones sea relevante para muchos despliegues de IA que dependen del alojamiento, la conectividad, la distribución digital o las funciones de comunicaciones integradas.
La legislación sobre ciberdelincuencia y delitos informáticos también sigue siendo relevante. El material oficial público muestra que Sudán ha mantenido durante mucho tiempo un marco sobre delitos informáticos, y el Ministerio de Justicia describió públicamente la enmienda de 2020 como orientada en parte a proteger los derechos y la privacidad de los usuarios. Esto no es específico de la IA, pero forma parte del entorno de cumplimiento real para los sistemas de IA utilizados en servicios en línea, herramientas de comunicación y plataformas digitales.
La ciberseguridad y la identidad digital son centrales, no periféricas
Las fuentes públicas de Sudán sitúan ahora la ciberseguridad cerca del centro de la gobernanza digital. La Autoridad Sudanesa de Ciberseguridad se describe a sí misma como la máxima referencia nacional y único organismo regulador en materia de ciberseguridad, con funciones que incluyen marcos y controles nacionales, evaluación del cumplimiento, licencias y acreditación, respuesta a incidentes, informática forense digital y sensibilización.
Esto es relevante para la IA porque muchas cuestiones prácticas de gobernanza en Sudán probablemente se abordarán como problemas de ciberseguridad, autenticación o confianza digital antes de tratarse como cuestiones de "ley de IA". Si un sistema de IA depende de la verificación de identidad, el acceso privilegiado, la integración con el sector público o datos sensibles de ciudadanos, es probable que quede dentro de este perímetro de gobernanza cibernética.
Un ejemplo concreto es SUDAPASS, la plataforma nacional de identidad digital lanzada en 2026. El material oficial la presenta como un proyecto de confianza y seguridad de la identidad, en el que la protección de datos personales, la autenticación multifactor, la biometría, los controles criptográficos y la soberanía digital nacional se tratan como características de diseño fundamentales. La Autoridad de Ciberseguridad también declaró en un comunicado de prensa de 2026 que todos los datos de identidad digital están sujetos a la soberanía digital sudanesa y a la gobernanza nacional, que las claves y los certificados digitales se gestionan a través de la Autoridad Nacional de Certificación Electrónica, y que el sistema se somete a revisiones y pruebas de seguridad periódicas. Esto no es regulación de la IA en sentido estricto, pero es exactamente el tipo de infraestructura de gobernanza que determina cómo puede desplegarse la IA en los servicios públicos.
Los reguladores sectoriales pueden imponer las normas operativas reales
En Sudán, las obligaciones más concretas para muchos sistemas de IA provienen actualmente de los reguladores sectoriales y no de una autoridad general de IA.
La banca es el ejemplo más claro. En marzo de 2026, el Banco Central de Sudán emitió controles detallados para los servicios financieros basados en USSD. Esos controles exigen aprobación previa al lanzamiento, pruebas técnicas, planificación de riesgos y recuperación ante desastres, procedimientos de diligencia debida con el cliente, avisos claros al usuario, enmascaramiento de datos sensibles de cuentas, gestión de reclamaciones, registro de transacciones, conservación de registros y acceso regulatorio a datos e informes. Para cualquier proceso de pagos habilitado por IA, herramienta de puntuación, filtro antifraude o capa de atención al cliente que opere sobre este canal, esas normas forman parte de la base de gobernanza real.
Este es un patrón más amplio. Si el caso de uso de IA se sitúa en finanzas, telecomunicaciones, administración pública o identidad digital, el regulador sudanés pertinente puede ya tener competencias sobre el canal, la infraestructura, el flujo de datos o la relación con el cliente. La pregunta práctica no es solo si el modelo es lícito, sino si el servicio que lo rodea cuenta con licencia, supervisión, seguridad y gobernabilidad.
La protección de datos es la parte menos clara del panorama de fuentes públicas
La posición de las fuentes públicas sobre una ley general sudanesa de protección de datos es inusualmente difícil de precisar.
Los documentos bancarios oficiales recientes utilizan claramente el lenguaje de una "ley de protección de datos". Por ejemplo, los controles USSD del Banco Central de 2026 definen los datos personales por referencia a dicha ley. Sin embargo, encuestas jurídicas regionales de alta calidad más antiguas describían a Sudán como carente de un estatuto integral de protección de datos y de una autoridad de protección de datos dedicada. En los repositorios oficiales de acceso público consultados para este artículo, no fue fácil verificar una ley de protección de datos de alcance económico general claramente publicada y actualizada, ni una autoridad nacional dedicada a la protección de datos.
La lectura más prudente es, por tanto, cautelosa. Las organizaciones no deben asumir que Sudán carece por completo de legislación sobre privacidad, ni tampoco que existe un régimen integral de protección de datos de alcance económico general claramente establecido y fácil de acreditar a partir de fuentes oficiales públicas. Por ahora, la posición práctica más sólida es tratar la privacidad, la confidencialidad, la seguridad de la información y las obligaciones de gestión de datos como derivadas de una combinación de principios constitucionales, normas sobre transacciones electrónicas, legislación sobre ciberdelincuencia y delitos informáticos, regulación de telecomunicaciones, gobernanza de la información del sector público y supervisión sectorial, especialmente en el ámbito financiero.
La alineación regional es más sólida que la codificación interna
La alineación más clara de Sudán en materia de IA proviene actualmente de la capa de la Unión Africana. La Estrategia Continental de IA de la UA, respaldada en julio de 2024, espera que los Estados miembros desarrollen e implementen estrategias nacionales de IA y marcos de gobernanza como parte de la ventana de implementación 2025-2030. La reciente creación por parte de Sudán de una autoridad de datos e IA y su agenda más amplia de reconstrucción digital encajan en esa dirección continental, aunque la codificación interna siga siendo limitada.
Sudán también ha firmado, aunque aún no ratificado, la Convención de la Unión Africana sobre Ciberseguridad y Protección de Datos Personales, conocida habitualmente como la Convención de Malabo. Según la lista de estado de la UA con fecha de febrero de 2026, Sudán firmó la convención el 15 de marzo de 2023, sin que conste ratificación ni depósito. Eso significa que la convención es una señal regional importante, pero aún no un atajo jurídico interno. La firma indica una intención política; no crea por sí misma un régimen sudanés de IA o protección de datos plenamente operativo.
Para los lectores prácticos, el punto clave es que la gobernanza de la IA en Sudán probablemente se desarrollará en diálogo con las normas de la UA sobre IA, ciberseguridad y gobernanza de datos. Eso no hace que los textos de la UA sean directamente aplicables dentro de Sudán, pero ofrece una indicación sólida del lenguaje institucional y político que las autoridades sudanesas probablemente utilizarán.
Ejemplos
Un banco, una fintech o un proveedor de pagos que desee añadir verificaciones antifraude o atención al cliente asistidas por IA a un servicio financiero USSD no puede tratar la capa de IA como jurídicamente separada del propio servicio. Los controles USSD del Banco Central de 2026 exigen aprobación previa al lanzamiento, pruebas técnicas, procedimientos de diligencia debida con el cliente, enmascaramiento de datos sensibles de cuentas, gestión de reclamaciones, informes mensuales y conservación de registros de transacciones. En la práctica, la función de IA debe integrarse dentro de ese marco de pagos supervisado.
Un ministerio, un servicio orientado a los tribunales, un registro o una empresa privada que desee automatizar la gestión documental puede apoyarse en la infraestructura de transacciones electrónicas y certificación de Sudán, sin necesidad de esperar a una nueva ley de IA. La Ley de Transacciones Electrónicas ya proporciona una base jurídica para las firmas electrónicas y las obligaciones de confidencialidad, y el Ministerio de Justicia anunció públicamente en 2022 que había puesto en marcha el primer despliegue de firma electrónica en Sudán utilizando la infraestructura nacional de certificación.
Un servicio digital público que se conecte a la identidad nacional se enfrentará a cuestiones de gobernanza que tienen que ver realmente con el tratamiento soberano de datos, la autenticación y la ciberseguridad. Los materiales de SUDAPASS de 2026 lo ilustran claramente: los datos de identidad se tratan como gobernados a nivel nacional, las claves criptográficas y los certificados se gestionan a través de la autoridad nacional de certificación, y la plataforma está vinculada a la verificación multifactor y biométrica. Un servicio público habilitado por IA construido sobre esa infraestructura tendría que respetar esos controles de confianza y seguridad desde el primer día.
Malentendidos frecuentes
"Sudán no tiene ley de IA, por lo que la IA no está regulada." Incorrecto. Sudán utiliza las normas digitales, de telecomunicaciones, cibernéticas, financieras y del sector público existentes para regular gran parte de la actividad en torno a la IA.
"Sudán ya tiene una AI Act." Las fuentes oficiales públicas consultadas para este artículo no muestran ninguna en vigor.
"La nueva autoridad de datos e IA significa que Sudán ya cuenta con un régimen completo de IA." Todavía no. La arquitectura institucional está avanzando más rápido que la arquitectura normativa.
"Firmar la Convención de Malabo significa que Sudán ha implementado plenamente las normas continentales sobre ciberseguridad y datos." No. La firma es un paso político y diplomático. La ratificación y la implementación interna son procesos separados.
"Si un proveedor está establecido fuera de Sudán, las normas sudanesas no le son aplicables." No necesariamente. En sectores regulados como las telecomunicaciones, la identidad digital y las finanzas, las exigencias de licencia local, el acceso de supervisión, los controles de seguridad y las expectativas contractuales de localización pueden seguir siendo aplicables.
Riesgos y límites
La situación actual de Sudán tiene límites claros. No es, por el momento, un régimen de IA maduro con clasificaciones detalladas de sistemas de alto riesgo, modelos fundacionales, IA biométrica o prácticas prohibidas. Tampoco es un régimen en el que un único regulador gestione claramente todos los asuntos relacionados con la IA. La gobernanza está distribuida y, en ocasiones, es fragmentaria.
Eso genera incertidumbre. El panorama institucional ha ganado claridad desde 2025, pero el panorama normativo sigue siendo escaso. Los materiales bancarios oficiales recientes hacen referencia a una "ley de protección de datos", pero la posición jurídica de las fuentes públicas sobre un estatuto general nacional de protección de datos sigue siendo difícil de verificar con claridad a partir de los repositorios oficiales accesibles. Las organizaciones deben tratar, por tanto, la privacidad y la gobernanza de datos como una tarea de verificación activa, no como una suposición consolidada.
También existen límites operativos. Gran parte de la gobernanza digital actual de Sudán se está construyendo en un contexto de disrupciones por conflictos, reconstrucción institucional y presión sobre la infraestructura. Por ello, la brecha entre la arquitectura formal y la implementación cotidiana puede ser mayor que en jurisdicciones administrativamente más estables.
Por último, no se identificó en las fuentes consultadas ninguna norma sudanesa explícita de IA con un alcance extraterritorial claro. Es más probable que el efecto transfronterizo surja a través de la supervisión sectorial, las condiciones de contratación pública, la integración de la identidad digital, los controles de ciberseguridad y las expectativas de gestión de datos, que a través de una ley de IA nominada que alcance a los proveedores extranjeros por sus propios términos.
Qué hacer a continuación
Comience por mapear el caso de uso, no la etiqueta del modelo. Identifique si su despliegue de IA afecta a servicios públicos, canales de telecomunicaciones, identidad digital, pagos, infraestructura de nube o centros de datos, o datos de clientes regulados. A continuación, identifique el regulador que controla esa capa, que puede ser el ministerio de transformación digital, la autoridad de datos e IA a medida que madure, la autoridad de ciberseguridad, la TPRA, el Banco Central o un titular del sector público.
Establezca ahora una base de gobernanza adaptada a Sudán. Utilice revisión humana para las decisiones relevantes, documente el propósito y los límites del modelo, aplique controles de acceso, mantenga registros, asegure los flujos de identidad y establezca contractualmente la notificación de incidentes y la cooperación regulatoria. Si el sistema gestiona datos sensibles de ciudadanos, clientes o del Estado, asuma que necesitará controles más estrictos de los que sugeriría una política genérica de IA.
No haga suposiciones sobre el estado de la privacidad. Consulte la última gaceta oficial, las circulares sectoriales y las instrucciones de los reguladores, y obtenga asesoramiento jurídico local actualizado cuando la posición de las fuentes públicas no sea clara. En Sudán, el problema de cumplimiento más difícil hoy en día no suele ser el riesgo del modelo en abstracto, sino la incertidumbre sobre qué normas de datos y servicios digitales adyacentes están actualmente en vigor y cómo se están operacionalizando.
Por último, siga de cerca el desarrollo institucional. La creación en 2025 de una autoridad sudanesa de datos e IA es la señal más clara de que podría seguir un régimen de gobernanza de la IA más explícito. Si Sudán publica una estrategia nacional de IA, una ley de datos o instrucciones específicas sobre IA, quienes hayan actuado con antelación y cuenten con una gobernanza documentada tendrán una adaptación mucho más sencilla.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Sudán una AI Act?
No se identificó ninguna AI Act sudanesa específica en las fuentes públicas oficiales consultadas para este artículo.
¿Tiene Sudán una estrategia nacional de IA?
No existe una claramente publicada de forma independiente. La IA aparece en la planificación más amplia de transformación digital y reconstrucción, y en la creación de una nueva autoridad de datos e IA.
¿Qué institución tiene más probabilidades de liderar la política de IA en Sudán?
El centro de gravedad emergente es la Autoridad Sudanesa de Datos e IA, bajo el ministerio responsable de la transformación digital y las comunicaciones, aunque los reguladores de ciberseguridad, telecomunicaciones, justicia y finanzas también son relevantes.
¿Qué leyes se aplican a la IA en Sudán hoy?
Principalmente leyes y normas adyacentes, en especial las relativas a transacciones electrónicas, regulación de telecomunicaciones, normas sobre delitos informáticos, gobernanza de ciberseguridad, controles de identidad digital pública y supervisión sectorial, como las normas del Banco Central para las finanzas digitales.
¿Es clara la posición de Sudán en materia de protección de datos?
No del todo. Los documentos bancarios oficiales recientes hacen referencia a una ley de protección de datos, pero un estatuto general actualizado y una autoridad nacional dedicada no fueron fáciles de verificar en los repositorios oficiales accesibles consultados.
¿Ha adoptado Sudán la convención de la UA sobre ciberseguridad y datos?
Sudán ha firmado la Convención de Malabo, pero la lista de estado de la UA consultada para este artículo no mostraba ratificación ni depósito a fecha de febrero de 2026.
¿Están los proveedores extranjeros de IA fuera del alcance de Sudán?
No automáticamente. Si prestan servicios a sectores regulados sudaneses, se integran con sistemas digitales nacionales o gestionan flujos de datos regulados, las normas locales pueden seguir afectarles a través de licencias, supervisión, contratos y requisitos de seguridad.