¿Qué es la regulación de la IA en Malaui?
Regulación de la IA: países y regiones
Malaui no cuenta con una ley específica de inteligencia artificial ni con una estrategia nacional de IA adoptada a mediados de 2026. La IA se regula de forma indirecta, principalmente a través de la Ley de Protección de Datos de 2024, administrada por la Autoridad Reguladora de Comunicaciones de Malaui (MACRA) en su calidad de autoridad de protección de datos designada. Un borrador de Estrategia Nacional de Inteligencia Artificial y un borrador de Estrategia Nacional de Transformación Digital estaban en proceso de validación a principios de 2026, pero no habían sido adoptados formalmente.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Malaui no regula la IA como materia específica. No existe ninguna ley que defina un sistema de IA, que clasifique la IA por riesgo ni que cree un regulador de IA. Quienes desarrollan o despliegan IA en Malaui quedan sujetos a las leyes generales que resultan aplicables, sobre todo la Ley de Protección de Datos de 2024, que regula el tratamiento de datos personales, incluido el realizado por medios automatizados.
La Ley de Protección de Datos entró en vigor el 3 de junio de 2024 y designa a MACRA, el regulador de comunicaciones, como la autoridad de protección de datos. La Ley reconoce a las personas derechos sobre sus datos personales, impone obligaciones a las organizaciones y contiene disposiciones directamente relevantes para la IA: el derecho a no ser objeto de ciertas decisiones basadas exclusivamente en el tratamiento automatizado, y la obligación de realizar evaluaciones de impacto en materia de protección de datos para tratamientos de alto riesgo que incluyan el tratamiento automatizado y la elaboración de perfiles.
A nivel de política pública, Malaui ha manifestado intenciones en lugar de aprobar normas. La Política Nacional de Digitalización 2023-2028 marca la dirección digital, y el gobierno ha estado desarrollando un borrador de Estrategia Nacional de Inteligencia Artificial con el apoyo de las Naciones Unidas. Hasta que esa estrategia se finalice y se apruebe cualquier legislación específica sobre IA, la arquitectura duradera de la gobernanza de la IA en Malaui descansa sobre la protección de datos, las comunicaciones y la legislación sobre ciberdelincuencia.
Por qué importa
Para las organizaciones, la ausencia de una ley específica de IA no implica la ausencia de obligaciones. Si su sistema de IA trata datos personales de personas en Malaui, la Ley de Protección de Datos se aplica independientemente de dónde esté establecida su organización. Esto conlleva obligaciones concretas: bases jurídicas para el tratamiento, transparencia, minimización de datos, notificación de brechas a MACRA en un plazo de 72 horas, restricciones a la transferencia de datos fuera de Malaui, y el nombramiento de un delegado de protección de datos cuando se realice un tratamiento a gran escala o de datos sensibles.
Dos obligaciones son especialmente relevantes para quienes desarrollan IA. En primer lugar, el tratamiento de alto riesgo, que incluye expresamente el uso de sistemas de tratamiento automatizado y la elaboración de perfiles a gran escala, exige una evaluación de impacto en materia de protección de datos que debe presentarse a MACRA antes de que comience el tratamiento. En segundo lugar, las personas tienen derecho a no ser objeto de decisiones basadas exclusivamente en el tratamiento automatizado que produzcan efectos jurídicos o igualmente significativos. Incumplir estas obligaciones conlleva medidas regulatorias y daños reputacionales; tratarlas como base de cumplimiento normativo significa estar alineado con la dirección que está tomando Malaui y la Unión Africana en su conjunto.
Cómo funciona
Sin ley ni regulador específico de IA
No existe ninguna ley de IA, ningún proyecto de ley de IA ni ninguna autoridad de IA en Malaui. Este es el punto de partida honesto. La IA solo se regula en la medida en que las leyes generales le resultan aplicables. La más importante es la ley de protección de datos, respaldada por la legislación sobre comunicaciones y ciberdelincuencia. Afirmar que Malaui cuenta con un régimen regulatorio de IA sobreestima la situación: lo que existe es un régimen de protección de datos que abarca muchos casos de uso de la IA, más un trabajo de política pública que aún está en borrador.
La Ley de Protección de Datos de 2024 y MACRA
La Ley de Protección de Datos de 2024 (Ley n.º 3 de 2024) fue aprobada por el Parlamento y entró en vigor el 3 de junio de 2024 mediante aviso de entrada en vigor. Designa a la Autoridad Reguladora de Comunicaciones de Malaui, creada en virtud de la Ley de Comunicaciones, como la autoridad de protección de datos responsable de la aplicación y el cumplimiento. La Ley sustituyó a la Parte IV de la Ley de Transacciones Electrónicas y Ciberseguridad como principal regulación de protección de datos y da efecto al derecho a la privacidad reconocido en la Constitución.
La Ley establece principios de tratamiento (licitud, lealtad y transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, e integridad y confidencialidad) y bases jurídicas para el tratamiento. Reconoce a los interesados derechos de acceso, rectificación, supresión, limitación, portabilidad, oposición y un derecho relativo a la toma de decisiones automatizada. Impone obligaciones a los responsables y encargados del tratamiento: llevar registros de las actividades de tratamiento, realizar evaluaciones de impacto en materia de protección de datos para tratamientos de alto riesgo, nombrar un delegado de protección de datos en los casos definidos, notificar las brechas a MACRA en un plazo de 72 horas, y registrarse ante MACRA cuando sean responsables o encargados de importancia significativa (aquellos que traten datos de más de 10.000 interesados en Malaui, o datos de importancia para la economía, la sociedad o la seguridad de Malaui).
Las disposiciones que inciden en la IA
Dos disposiciones constituyen el núcleo práctico de la gobernanza de la IA en Malaui hoy en día. La disposición sobre toma de decisiones automatizada reconoce a las personas el derecho a no ser objeto de una decisión basada exclusivamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o igualmente significativos, con sujeción a excepciones. La obligación de realizar una evaluación de impacto en materia de protección de datos se aplica cuando el tratamiento pueda generar un alto riesgo, y la Ley enumera supuestos desencadenantes que parecen describir la IA: el uso de sistemas de tratamiento automatizado, la elaboración de perfiles, el tratamiento a gran escala de datos sensibles o de condenas penales, y la vigilancia a gran escala de zonas de acceso público. Dichas evaluaciones deben presentarse a MACRA antes del inicio del tratamiento.
Períodos de transición
La Ley establece un cumplimiento progresivo. Los responsables y encargados de importancia significativa dispusieron de seis meses desde la entrada en vigor para cumplir. Los responsables y encargados ordinarios contaron con un plazo más amplio de 24 meses desde la entrada en vigor. Las organizaciones deben considerar estos períodos de transición como vencidos o próximos a vencer y actuar como si se exigiera el cumplimiento pleno.
Legislación sobre comunicaciones y ciberdelincuencia
El mandato principal de MACRA proviene de la Ley de Comunicaciones de 2016, que la convierte en el regulador de las comunicaciones electrónicas, la radiodifusión y los servicios postales, con competencias para otorgar licencias a los proveedores, proteger a los consumidores y establecer estándares. Por su parte, la Ley de Transacciones Electrónicas y Ciberseguridad de 2016 (Ley n.º 33 de 2016) regula las transacciones electrónicas y la prueba electrónica, crea el Equipo de Respuesta a Emergencias Informáticas de Malaui y tipifica una serie de delitos informáticos. Ninguna de estas leyes regula la IA como tal, pero conforman el entorno jurídico en el que operan los servicios de IA, por ejemplo cuando un producto de IA se presta como servicio de comunicaciones electrónicas o trata datos que se convierten en prueba electrónica.
Política y estrategia: aún en borrador
La Política Nacional de Digitalización 2023-2028 sustituyó a la Política Nacional de TIC de 2013 y es el marco de política digital vigente, alineado con la visión a largo plazo Malawi 2063 y su Primer Plan de Implementación de 10 años, así como con la Estrategia de Transformación Digital de la Unión Africana para África 2020-2030. Sobre esta base, el Ministerio de Información y Digitalización, a través de su Departamento de Gobierno Electrónico y en colaboración con el Programa de las Naciones Unidas para el Desarrollo, ha estado elaborando un borrador de Estrategia Nacional de Inteligencia Artificial junto con un borrador de Estrategia Nacional de Transformación Digital. Estos documentos estaban en proceso de validación a principios de 2026 y no habían sido adoptados formalmente. Malaui también ha participado en el trabajo de la Metodología de Evaluación de la Preparación para la IA de UNESCO en el sur de África, siendo Malaui uno de los primeros países piloto.
Contexto regional y continental
Malaui se inscribe en varios marcos superpuestos. La Unión Africana adoptó su Estrategia Continental de Inteligencia Artificial en la 45.ª Sesión Ordinaria de su Consejo Ejecutivo, celebrada los días 18 y 19 de julio de 2024 en Accra, Ghana; se trata de un marco de orientación no vinculante que alienta a los estados miembros a desarrollar estrategias nacionales y a reforzar la gobernanza de datos como requisito previo para una IA responsable, con una fase preparatoria en 2024 y un horizonte de implementación de 2025 a 2030. A nivel de la Comunidad de África Meridional para el Desarrollo (SADC), se elaboró una Ley Modelo de la SADC sobre Protección de Datos en el marco del proyecto HIPSSA de la UIT y la Comisión Europea para fomentar la armonización de la protección de datos en la región. La Convención de la Unión Africana sobre Ciberseguridad y Protección de Datos Personales, conocida como la Convención de Malabo (adoptada el 27 de junio de 2014 en Malabo), entró en vigor el 8 de junio de 2023 tras la decimoquinta ratificación, pero Malaui no figura entre los estados que la han ratificado.
Ejemplos
Una entidad de crédito fintech en Lilongwe desea utilizar un modelo de aprendizaje automático para aprobar o rechazar préstamos de forma automática. Dado que el modelo trata datos personales y puede tomar decisiones basadas exclusivamente en el tratamiento automatizado con efectos significativos, la entidad debe tener en cuenta el derecho a la toma de decisiones automatizada, incorporar revisión humana u otra base jurídica, y realizar una evaluación de impacto en materia de protección de datos que se presente a MACRA antes de la puesta en marcha.
Un programa de salud despliega una herramienta de triaje basada en IA que trata datos de salud de pacientes a gran escala. Los datos de salud son datos sensibles en virtud de la Ley, por lo que el tratamiento a gran escala activa la obligación de evaluación de alto riesgo y probablemente exige el nombramiento de un delegado de protección de datos. El programa también debe estar preparado para notificar a MACRA cualquier brecha que afecte a esos datos en un plazo de 72 horas.
Un minorista establecido fuera de Malaui gestiona un motor de recomendación basado en IA dirigido a compradores en Malaui. Dado que la Ley se aplica al tratamiento dirigido a personas en Malaui independientemente de dónde esté establecida la organización, el minorista debe cumplir los principios de la Ley, respetar los derechos de los interesados y garantizar que cualquier transferencia de datos personales fuera de Malaui se ampare en una salvaguarda aprobada.
Malentendidos frecuentes
"Malaui tiene una ley de IA." No es así. No existe ninguna ley de IA ni ningún regulador de IA. La IA se regula de forma indirecta a través de la legislación sobre protección de datos, comunicaciones y ciberdelincuencia.
"Todavía no hay nada que cumplir." Incorrecto. La Ley de Protección de Datos de 2024 está en vigor y sus disposiciones sobre toma de decisiones automatizada y evaluación de impacto se aplican directamente a muchos sistemas de IA en la actualidad.
"Una autoridad de protección de datos independiente del regulador de telecomunicaciones gestiona esto." El regulador de comunicaciones, MACRA, es la autoridad de protección de datos designada. No existe ninguna comisión independiente de IA o privacidad con su propio estatuto.
"La estrategia nacional de IA ya es ley." Una Estrategia Nacional de Inteligencia Artificial estaba en borrador y en proceso de validación a principios de 2026; una estrategia es política pública, no legislación, y no había sido adoptada.
"Malaui está vinculado por las normas de IA de la Unión Africana y la SADC." La Estrategia Continental de IA es una orientación no vinculante, el instrumento de la SADC es una ley modelo, y Malaui no ha ratificado la Convención de Malabo.
Riesgos y límites
Este artículo describe un marco en rápida evolución pero aún incipiente. Lo que está confirmado: la Ley de Protección de Datos de 2024 está en vigor, MACRA es la autoridad de protección de datos, y la Ley contiene disposiciones sobre toma de decisiones automatizada y evaluación de impacto que alcanzan a la IA. Lo que está pendiente o es incierto: la Estrategia Nacional de Inteligencia Artificial y la Estrategia Nacional de Transformación Digital eran borradores en proceso de validación a principios de 2026 y pueden cambiar en contenido, denominación o calendario antes de su adopción; se han anunciado revisiones de la legislación sobre comunicaciones y ciberdelincuencia, pero deben verificarse en el boletín oficial antes de ser invocadas. Lo que esto no es: no es un régimen regulatorio específico de IA, ni constituye asesoramiento jurídico. La capacidad de aplicación práctica está aún en desarrollo, y el estado preciso del proceso de registro de MACRA y sus orientaciones deben verificarse directamente con MACRA. Cuando una fecha o un detalle institucional sea relevante para una decisión, conviene verificarlo en la Ley, el aviso de entrada en vigor y las publicaciones propias de MACRA, en lugar de recurrir a resúmenes secundarios.
Qué hacer a continuación
Tratar la Ley de Protección de Datos de 2024 como el reglamento operativo de IA en Malaui. Identificar dónde los sistemas de IA tratan datos personales de personas en Malaui y confirmar una base jurídica para cada uso.
Realizar una evaluación de impacto en materia de protección de datos para cualquier IA que implique tratamiento automatizado, elaboración de perfiles, datos sensibles a gran escala o vigilancia de espacios públicos, y estar preparado para presentarla a MACRA antes del inicio del tratamiento.
Incorporar revisión humana en cualquier sistema que tome decisiones significativas sobre personas exclusivamente por medios automatizados, a fin de poder respetar el derecho a la toma de decisiones automatizada.
Verificar si se es responsable o encargado de importancia significativa (por ejemplo, si se tratan datos de más de 10.000 personas en Malaui) y, en ese caso, completar el registro ante MACRA y nombrar un delegado de protección de datos.
Establecer mecanismos de detección de brechas y un proceso de notificación en 72 horas, y documentar las salvaguardas para las transferencias internacionales de cualquier dato que salga de Malaui.
Seguir el borrador de la Estrategia Nacional de Inteligencia Artificial y cualquier revisión legislativa. Utilizar la Estrategia Continental de IA de la Unión Africana y las prácticas reconocidas de evaluación de impacto como referencia prospectiva, dado que la dirección de Malaui se alinea con el fortalecimiento de la gobernanza de datos como base para la IA.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Malaui una ley específica de IA?
No. A mediados de 2026 no existe ninguna ley de IA ni ningún regulador de IA. La IA se regula de forma indirecta, principalmente a través de la Ley de Protección de Datos de 2024.
¿Quién regula la protección de datos en Malaui?
La Autoridad Reguladora de Comunicaciones de Malaui (MACRA), que está designada como autoridad de protección de datos en virtud de la Ley de Protección de Datos de 2024 y actúa también como regulador de comunicaciones.
¿Cuándo entró en vigor la Ley de Protección de Datos?
Entró en vigor el 3 de junio de 2024 mediante un aviso de entrada en vigor, tras ser aprobada por el Parlamento y publicada en el boletín oficial.
¿Qué dice la Ley sobre las decisiones automatizadas?
Reconoce a las personas el derecho a no ser objeto de una decisión basada exclusivamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o igualmente significativos, con sujeción a excepciones.
¿Cuándo debo realizar una evaluación de impacto en materia de protección de datos?
Cuando el tratamiento pueda suponer un alto riesgo, lo que según la Ley incluye el uso de sistemas de tratamiento automatizado, la elaboración de perfiles, el tratamiento a gran escala de datos sensibles o de condenas penales, y la vigilancia a gran escala de zonas públicas. La evaluación se presenta a MACRA antes del inicio del tratamiento.
¿Existe una estrategia nacional de IA?
Un borrador de Estrategia Nacional de Inteligencia Artificial y un borrador de Estrategia Nacional de Transformación Digital estaban en proceso de validación a principios de 2026, liderados por el Ministerio de Información y Digitalización con el apoyo del PNUD, pero no habían sido adoptados formalmente.
¿Se aplica la ley a organizaciones establecidas fuera de Malaui?
Sí. Si trata datos personales en Malaui o dirige sus actividades a personas en Malaui, la Ley se aplica independientemente de dónde esté establecida su organización.
¿Ha ratificado Malaui la Convención de Malabo de la Unión Africana?
No. La Convención de Malabo entró en vigor el 8 de junio de 2023, pero Malaui no figura entre los estados que la han ratificado.