¿Qué es la regulación de la IA en Togo?
Regulación de la IA: países y regiones
Togo aún no cuenta con una ley específica sobre IA, y en las fuentes oficiales consultadas hasta el 8 de junio de 2026 no se identificó ninguna estrategia nacional de IA formalmente adoptada. En la práctica, la IA se rige por normas horizontales y sectoriales vigentes, en especial la ley de protección de datos personales de 2019, la ley de ciberseguridad, el marco de identificación biométrica y las normas sobre registros públicos y servicios digitales. Las instituciones clave son la autoridad de protección de datos, el ministerio responsable de la transformación digital y los organismos especializados en ciberseguridad, prestación de servicios digitales e identificación.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
El modelo actual de Togo se entiende mejor como sectorial y horizontal, no específico para la IA. Esto significa que no existe un único "AI Act" togolés que establezca un reglamento único para todos los sistemas de IA. En cambio, si un uso de IA está permitido, restringido o requiere aprobación previa depende del tipo de datos involucrados, el sector, la institución que lo utiliza y si el sistema afecta a servicios públicos, biometría, infraestructura crítica o flujos de datos transfronterizos.
Por eso, la pregunta práctica en Togo no suele ser "¿Es legal la IA?", sino "¿Qué leyes vigentes ya se aplican a este uso de IA?". Si un sistema utiliza datos personales, el eje central es la ley de protección de datos y la autoridad que la hace cumplir. Si se enmarca en la administración pública, la identidad biométrica, la asistencia social o la infraestructura conectada, también son relevantes las normas adicionales del sector público, de identificación y de ciberseguridad.
Por qué importa
Esto importa porque las organizaciones no pueden esperar a que exista una futura ley de IA para establecer controles. Un equipo de producto, un comprador, un ministerio, un banco, un operador de telecomunicaciones, un hospital, una escuela o un proveedor que opere en Togo ya tiene exposición al cumplimiento normativo si un sistema de IA maneja datos personales, elabora perfiles de personas, se basa en verificación biométrica, comparte datos entre fronteras o se conecta a un registro público o servicio esencial.
En la práctica, el marco togolés actual afecta a los contratos con proveedores, el mapeo de datos, la contratación pública, los plazos de conservación, los controles de seguridad, las autorizaciones del sector público y el uso de infraestructura de procesamiento de datos local o extranjera. También afecta a los plazos. Algunos usos pueden proceder tras una declaración, otros pueden requerir autorización previa, y ciertos tratamientos automatizados del sector público deben estar respaldados por un acto reglamentario tras un dictamen motivado de la autoridad de protección de datos. Para los responsables, esto significa que la gobernanza de la IA en Togo ya es una cuestión operativa, incluso antes de que llegue cualquier ley específica sobre IA.
Cómo funciona
Sin ley específica de IA, pero con una orientación política nacional en desarrollo
Togo ha manifestado públicamente su interés en la IA, pero el material oficial consultado no muestra ningún estatuto autónomo de IA ni una estrategia nacional de IA formalmente adoptada y en vigor. En cambio, las comunicaciones oficiales sitúan la IA como parte de una agenda más amplia de transformación digital. Declaraciones gubernamentales de 2025 indicaban que Togo estaba preparando activamente una estrategia nacional de IA, un Data Lab internacional y una "Maison de l'Intelligence Artificielle". Los mensajes presidenciales oficiales en la Cumbre Mundial de IA sobre África celebrada en Kigali también enmarcaron el enfoque del país como selectivo, estratégico y pragmático, con sectores prioritarios como la salud, la educación y la agricultura.
Esto importa porque muestra la dirección de avance. Togo no trata la IA como una cuestión aislada, sino como parte de un proyecto nacional más amplio en torno al gobierno digital, el uso de datos, la conectividad, la capacidad de innovación y la modernización del sector público. Sin embargo, las normas vinculantes siguen procediendo principalmente del derecho positivo vigente, no de un nuevo marco exclusivo para la IA.
La principal capa vinculante es la ley de protección de datos personales
Para la mayoría de los despliegues reales de IA, el instrumento jurídico togolés más importante es la Ley N.° 2019-014 de 29 de octubre de 2019 sobre la protección de datos personales. Su ámbito de aplicación es amplio: abarca la recopilación, el tratamiento, la transmisión, el almacenamiento y el uso de datos personales tanto por actores públicos como privados. También tiene una forma de alcance territorial cuando el tratamiento utiliza medios ubicados en territorio togolés, salvo el mero tránsito.
Para la gobernanza de la IA, las características más relevantes de esa ley son prácticas, no retóricas. Exige una base jurídica para el tratamiento, establece principios de equidad, limitación de la finalidad, pertinencia, confidencialidad, seguridad y conservación, y reconoce a las personas derechos directamente aplicables a los sistemas de IA, incluidos el acceso, la rectificación, la oposición y la supresión, así como el derecho al olvido digital. También obliga a los responsables a elegir encargados que ofrezcan garantías suficientes y a vincularlos mediante condiciones escritas. Esto es inmediatamente relevante para las organizaciones que adquieren o integran servicios de IA de terceros.
La ley no regula la "IA" como categoría. Pero cuando un sistema de IA trata datos personales, se convierte de facto en el marco de gobernanza por defecto. En otras palabras, Togo ya regula muchas prácticas concretas de IA al regular el tratamiento de datos subyacente y las responsabilidades del responsable y del encargado.
Algunos usos de IA activan formalidades previas o controles más estrictos
Una característica clave de la ley de 2019 es que no trata todos los usos de datos de la misma manera, sino que establece distintas vías de formalidad previa.
El tratamiento ordinario generalmente se encuadra en un régimen de declaración. La autoridad recibe la declaración y emite un acuse de recibo, tras lo cual puede procederse a la implementación. La ley también permite a la autoridad publicar normas simplificadas para tratamientos comunes de menor riesgo y eximir a algunas categorías de la declaración.
Los usos más sensibles pasan a la autorización previa. La ley sitúa expresamente este régimen más estricto en el tratamiento de datos genéticos, investigación sanitaria, infracciones penales o sanciones, interconexión de ficheros, número de identificación nacional u otro identificador general, datos biométricos y ciertos tratamientos de interés público como los usos históricos, estadísticos o científicos.
Esta arquitectura es relevante para la IA porque muchos sistemas de IA de mayor impacto se basan precisamente en esas categorías. El reconocimiento facial, la identificación por voz, el control de asistencia biométrico, la detección de fraude vinculada a identificadores nacionales, el análisis de datos de salud y las bases de datos públicas interconectadas pueden ir más allá del cumplimiento rutinario y entrar en una vía de aprobación más estricta.
La ley también contiene una norma específica para el tratamiento automatizado realizado para el Estado, una institución pública, una autoridad local o un organismo privado que gestione un servicio público. En esos casos, el tratamiento automatizado debe crearse mediante acto reglamentario tras un dictamen motivado de la autoridad de protección de datos. Para la IA del sector público, este es uno de los anclajes jurídicos actuales más importantes en Togo.
Las instituciones comparten el trabajo en lugar de que un único regulador de IA lo asuma todo
Togo no cuenta actualmente con un único regulador de IA para toda la economía. La gobernanza está repartida entre varias instituciones.
La Instance de Protection des Donnees a Caractere Personnel, habitualmente denominada IPDCP, es la autoridad central cuando los usos de IA implican datos personales. Sus misiones oficiales incluyen recibir las formalidades previas, gestionar reclamaciones y peticiones, informar a las personas y a los responsables sobre sus derechos y obligaciones, realizar controles, emitir dictámenes, sancionar a los responsables, autorizar las transferencias transfronterizas y cooperar a nivel internacional.
La IPDCP es especialmente importante porque convierte la ley de 2019 en un sistema de cumplimiento activo, no en un simple reglamento sobre papel. Su actividad reciente muestra que la capacidad de tramitación se está volviendo más práctica y visible. En 2026 lanzó una plataforma de declaración en línea para sistemas de videovigilancia y videoprotección y comenzó a emitir los primeros acuses de recibo y pictogramas reglamentarios a través de esa vía. Esto no crea una ley específica de IA, pero evidencia la construcción institucional en torno al cumplimiento digital.
Junto a la IPDCP, el ministerio responsable de la transformación digital impulsa el diseño de políticas y programas. La Agence Togo Digital apoya la digitalización de los procedimientos administrativos y los procesos de los servicios públicos. La Agence Nationale de la Cybersecurite, o ANCy, lidera la política de ciberseguridad, las normas, las auditorías de los operadores de servicios esenciales y la respuesta nacional a incidentes. La Agence Nationale d'Identification, o ANID, gestiona el marco de identificación biométrica. En la práctica, un sistema de IA puede por tanto afectar a varias autoridades simultáneamente.
Las normas sectoriales son importantes cuando la IA está integrada en sistemas estatales
Dado que Togo aún no ha aprobado un marco exclusivo para la IA, el derecho sectorial asume gran parte del trabajo.
La identidad biométrica es un ejemplo claro. El marco del documento de identidad electrónico de Togo y los textos que crean la ANID establecen una arquitectura jurídica específica para los sistemas de identificación. Los textos de implementación oficiales también indican que la ANID opera de conformidad con las normas sobre protección de datos personales. Por tanto, si la IA se utiliza en la verificación de identidad, la deduplicación, la detección de fraude o la verificación biométrica, el análisis no parte de una futura ley de IA, sino del marco vigente de identificación biométrica y protección de datos.
Otro ejemplo es la protección social y los registros públicos. En septiembre de 2024, Togo adoptó una orden sobre las condiciones de acceso y uso compartido de los datos del Registro Social de Personas y Hogares. Ese texto vincula expresamente el registro a la ley cibernética, la ley de datos personales, el marco de identificación biométrica y el decreto que crea el propio registro. Establece una vía jurídica para el acceso y el intercambio de datos en programas de ayuda pública y añade principios como la integridad al tratamiento de los datos del registro.
Este es un buen ejemplo del modelo togolés. Cuando la IA se utiliza dentro de un sistema gubernamental, la gobernanza suele derivar de la combinación de la ley horizontal más los textos de implementación sectoriales específicos. Esto hace que el régimen sea más concreto y práctico que un documento amplio de principios sobre IA, pero también más fragmentado.
La ciberseguridad y la resiliencia operativa también importan
La capa del ciberespacio no debe ignorarse. La ley cibernética de Togo y el trabajo de ANCy no son leyes de IA, pero son relevantes siempre que la IA se despliega en servicios públicos conectados, operadores esenciales o infraestructura digital. La misión publicada de ANCy incluye establecer normas de ciberseguridad, auditar a los operadores de servicios esenciales, gestionar el CERT y el SOC nacionales a través de estructuras delegadas y emitir autorizaciones en el ecosistema de ciberseguridad. ANCy también publicó una Estrategia Nacional de Ciberseguridad para 2024-2028.
Para la gobernanza de la IA, la lección práctica es clara. Un modelo que sea lícito desde la perspectiva de los datos puede seguir siendo débil desde la perspectiva cibernética. Por ello, la IA en el sector público y en sectores críticos necesita tanto gobernanza de datos como resiliencia cibernética, especialmente cuando los sistemas se utilizan para servicios públicos, identidad, vigilancia o infraestructura digital esencial.
Los instrumentos regionales orientan la dirección de la futura legislación
A nivel regional, Togo no opera en el vacío. El Consejo Ejecutivo de la Unión Africana respaldó la Estrategia Continental de Inteligencia Artificial en julio de 2024. Esa estrategia promueve un enfoque centrado en África y orientado al desarrollo, basado en la ética, la inclusión, los derechos, la equidad y la capacidad institucional. No se convierte automáticamente en derecho interno en Togo, pero ofrece a los responsables políticos un marco continental claro sobre cómo podrían construirse la futura estrategia, gobernanza y estándares de IA.
Togo también ha ratificado la Convención de la Unión Africana sobre Ciberseguridad y Protección de Datos Personales, conocida habitualmente como la Convención de Malabo. Esto es relevante porque sitúa a Togo dentro de un marco de tratado continental sobre ciberseguridad y protección de datos personales, que son las dos áreas jurídicas que ya realizan la mayor parte del trabajo actual en torno a la gobernanza de la IA dentro del país.
Así pues, el panorama togolés actual es el siguiente: el derecho positivo se encuentra principalmente en las normas de protección de datos, ciberseguridad y sectoriales; el derecho indicativo y la orientación política son cada vez más visibles a través del trabajo estratégico de la UA y las declaraciones de política nacional; y una ley específica de IA sigue siendo una posibilidad futura, no la arquitectura presente.
Ejemplos
El primer ejemplo es la focalización y el análisis en el sector público. El material oficial de Togo sobre el Togo Data Lab indica que el laboratorio tiene como objetivo construir una capacidad estatal duradera para utilizar nuevas fuentes de datos y ciencia de datos en la elaboración de políticas. Ese mismo material oficial vincula el laboratorio a la experiencia de Novissi, donde durante el período de la Covid se utilizaron registros de llamadas, imágenes satelitales y aprendizaje automático para extender el apoyo a personas vulnerables. Con el marco actual, cualquier programa similar se encuadraría en el régimen de protección de datos vigente, y si fuera operado para el Estado sobre personas identificadas también activaría las normas sobre tratamiento automatizado en el sector público y, cuando proceda, las normas del registro social.
El segundo ejemplo es la identidad biométrica. El marco de identificación biométrica de Togo y los textos que rigen la ANID crean una base jurídica sectorial específica para el sistema nacional de identificación electrónica, vinculando al mismo tiempo su funcionamiento a la ley de protección de datos personales. Si la IA se utiliza para la verificación de identidad, la deduplicación o la detección de anomalías en ese entorno, las normas más estrictas sobre datos biométricos e identificadores generales ya son relevantes, incluso sin un estatuto específico de IA.
El tercer ejemplo es la videovigilancia inteligente. En marzo y abril de 2026, la IPDCP lanzó y puso en funcionamiento un sistema de declaración en línea para la videovigilancia y la videoprotección, y emitió los primeros acuses de recibo y pictogramas reglamentarios. Esto significa que una organización que utilice sistemas de cámaras en Togo ya dispone de una vía de cumplimiento activa. Si dicho sistema incorpora posteriormente análisis de IA, eso no elimina las obligaciones de base, sino que puede incrementarlas, especialmente cuando el sistema comienza a identificar personas o a tratar datos biométricos.
Malentendidos frecuentes
"La IA no está regulada en Togo porque no existe una ley de IA." Esto es incorrecto. Muchos usos de IA ya están regulados a través de las normas sobre datos personales, ciberseguridad, identificación biométrica y normas sectoriales.
"Togo está esperando a una futura estrategia de IA para que empiece el cumplimiento normativo." También es incorrecto. El marco actual ya afecta al despliegue, la contratación, la gestión de proveedores y las decisiones de diseño en el sector público.
"La autoridad de datos solo importa cuando algo sale mal." No exactamente. La ley incluye formalidades previas, dictámenes, autorizaciones y controles de transferencia, por lo que la autoridad puede ser relevante antes del lanzamiento.
"La IA en el sector público puede implantarse como una actualización de software ordinaria." No de forma segura. El tratamiento automatizado en el sector público sobre personas identificadas puede activar pasos jurídicos adicionales y no debe tratarse como una actualización informática ordinaria.
"Una estrategia de IA y una ley de IA son lo mismo." No lo son. Una estrategia establece la dirección y las prioridades. Una ley crea obligaciones, poderes y sanciones exigibles.
Riesgos y límites
El límite más importante es que el marco de Togo sigue siendo incompleto si se busca un régimen moderno de IA en un único texto. No existe ninguna ley nacional de IA identificada con listas de usos prohibidos, obligaciones por nivel de modelo, clasificaciones de riesgo del sistema, evaluaciones de la conformidad o normas específicas para IA de uso general. Esto significa que algunas cuestiones de gobernanza, como los umbrales de explicabilidad, las expectativas de prueba, los criterios de referencia en contratación o la documentación de modelos, no tienen respuesta en un único lugar.
Un segundo límite es la madurez institucional. La IPDCP es ahora visiblemente operativa y ha comenzado a digitalizar los canales de cumplimiento, pero el registro público sigue sugiriendo un sistema en construcción más que un ecosistema de supervisión de IA consolidado. Las organizaciones deben evitar dos errores opuestos: asumir que no existe riesgo de aplicación de la ley, o asumir que Togo ya opera un modelo de supervisión de IA al estilo de la UE.
Un tercer límite es la incertidumbre jurídica en torno a la política futura. Las comunicaciones oficiales del gobierno indican que se está preparando una estrategia nacional de IA, pero en las fuentes oficiales consultadas no se identificó ningún texto de estrategia adoptado. Esto significa que la arquitectura puede cambiar. Los equipos deben tratar el derecho vigente como la línea de base inmediata y hacer seguimiento de las nuevas publicaciones oficiales, en lugar de basarse únicamente en señales de conferencias.
Por último, esta área es fácil de aplicar incorrectamente. El marco actual no significa que cada uso de IA necesite una aprobación específica de IA. Del mismo modo, la ausencia de una ley específica de IA no significa que cualquier uso de IA sea aceptable. La respuesta jurídica depende del caso de uso, los datos, el sector y la institución implicada.
Qué hacer a continuación
Conviene comenzar clasificando cada caso de uso de IA, no por el nombre del modelo, sino por lo que realmente hace en Togo. Hay que plantearse cuatro preguntas desde el principio: ¿trata datos personales?, ¿implica biometría o un identificador general?, ¿se utiliza para un servicio público o dentro de un conjunto de datos estatal regulado?, ¿y los datos cruzarán fronteras? Esas respuestas generalmente indicarán qué normas togolesas son prioritarias.
A continuación, conviene construir un conjunto de controles prácticos en torno al marco actual. Hay que mapear los datos, definir la base jurídica y la finalidad, verificar los plazos de conservación, establecer la responsabilidad humana, revisar los términos con los proveedores, documentar las medidas de seguridad y determinar si el uso corresponde a la vía de declaración, autorización o dictamen del sector público. Si el despliegue afecta a la identidad digital, los registros sociales, la vigilancia o los sistemas críticos, conviene involucrar a la autoridad competente desde el principio, en lugar de intentar adaptar el cumplimiento tras el lanzamiento.
Por último, es importante seguir de cerca el desarrollo de las políticas. Togo está claramente desarrollando capacidad en IA y señalando trabajo estratégico. Los responsables que hagan seguimiento de las publicaciones oficiales del ministerio digital, la IPDCP, ANCy, ANID y la Unión Africana estarán mejor posicionados para adaptarse cuando el país pase de una gobernanza preparada para la IA a normas más explícitas y específicas sobre IA.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Togo ya una ley de IA?
En las fuentes oficiales consultadas hasta el 8 de junio de 2026 no se identificó ninguna ley específica de IA. La IA está actualmente regulada principalmente a través de la protección de datos, la ciberseguridad, la identificación biométrica y las normas sectoriales específicas.
¿Existe una estrategia nacional de IA en vigor en Togo?
Las comunicaciones oficiales del gobierno indican que se está preparando una estrategia nacional de IA, pero en los materiales oficiales consultados no se identificó ningún texto de estrategia adoptado.
¿Qué autoridad es más relevante para el cumplimiento en materia de IA?
Si el sistema de IA utiliza datos personales, la IPDCP es la autoridad central. Según el caso de uso, también pueden ser relevantes el ministerio digital, ANCy, ANID y otros organismos sectoriales.
¿Los sistemas biométricos o de reconocimiento facial están sujetos a normas más estrictas?
Sí. La ley togolesa sitúa el tratamiento biométrico y el tratamiento que implica identificadores nacionales en una vía de autorización más estricta, en lugar de tratarlos como tratamiento de datos rutinario.
¿En qué se diferencia la IA del sector público de la del sector privado en Togo?
El tratamiento automatizado en el sector público sobre personas identificadas está sujeto a una norma especial en virtud de la ley de protección de datos. Debe crearse mediante acto reglamentario tras un dictamen motivado de la autoridad de protección de datos.
¿Los proveedores de IA transfronterizos deben prestar atención a la ley togolesa?
Sí, potencialmente. La ley de datos personales tiene alcance territorial cuando el tratamiento utiliza medios en territorio togolés, y las transferencias transfronterizas están sujetas a normas de adecuación o aprobación de la autoridad.
¿Qué papel desempeña la Unión Africana?
La UA proporciona la principal orientación política regional. La Estrategia Continental de IA ofrece un marco de gobernanza continental, y Togo también ha ratificado la Convención de Malabo sobre ciberseguridad y protección de datos personales.
¿Cuál es el primer paso más práctico para una organización que despliega IA en Togo?
Conviene abordar el proyecto ante todo como una cuestión de datos, sector e institución. Hay que mapear los datos, identificar si intervienen funciones biométricas o de servicio público, y verificar si se necesitan declaraciones, autorizaciones u otros pasos formales antes del lanzamiento.