¿Qué es la regulación de la IA en Malasia?
Regulación de la IA: países y regiones
Malasia no cuenta todavía con un AI Act único en vigor. En cambio, la regulación de la IA en Malasia es un marco de política pública articulado en torno al National AI Roadmap 2021-2025, las Directrices Nacionales voluntarias sobre Gobernanza y Ética de la IA, el papel coordinador de la Oficina Nacional de IA, las orientaciones para la adopción de IA en el sector público, y leyes vigentes en materia de protección de datos personales, consumo, empleo, comunicaciones y seguridad. En la práctica, las organizaciones deben gestionar la IA a través de estas obligaciones superpuestas, en lugar de un único estatuto dedicado.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Cuando se pregunta por la regulación de la IA en Malasia, a menudo se están planteando dos cuestiones distintas: la política nacional de IA y las obligaciones jurídicas vinculantes. Malasia cuenta actualmente con mucho más de lo primero que de lo segundo. Su modelo se basa en una hoja de ruta, orientaciones sobre ética y gobernanza, coordinación central a través de la Oficina Nacional de IA, y leyes vigentes que ya se aplican cuando se utiliza la IA.
Por eso la pregunta práctica no suele ser "¿Existe una ley de IA?", sino "¿Qué obligaciones actuales se aplican a este caso de uso de IA?". Si una organización utiliza datos personales, datos biométricos, herramientas de toma de decisiones automatizada o IA en servicios públicos, sanidad, contratación u otros entornos sensibles, los marcos jurídicos y de gobernanza vigentes en Malasia ya son relevantes.
Por qué es importante
Esto importa porque las organizaciones pueden malinterpretar la situación de Malasia en ambos sentidos. Algunas asumen que no existe regulación de la IA porque no hay un estatuto dedicado a ella, y actúan con demasiada rapidez en el uso de datos, las decisiones automatizadas, la contratación pública o el despliegue de sistemas. Otras se centran únicamente en las futuras normas de IA y pasan por alto que las obligaciones actuales ya están presentes en la protección de datos personales, la ética profesional, las orientaciones para el sector público y el derecho general.
Para fundadores, operadores, compradores, asesores y responsables de gobernanza, el modelo de Malasia hace que las evidencias sólidas sean más importantes que los eslóganes. Es necesario demostrar cómo se evaluó el riesgo, quién es responsable, qué datos se utilizan, cómo funciona la supervisión humana, cómo se gestionan los avisos y la documentación, y si el despliegue se ajusta a los principios de AIGE. Eso es relevante para la confianza, las licitaciones, la supervisión del consejo de administración, las contrapartes y el escrutinio regulatorio.
Cómo funciona
El modelo actual está orientado por políticas, no por estatutos
Malasia no cuenta actualmente con un estatuto de IA intersectorial dedicado en vigor. Los materiales oficiales siguen describiendo la arquitectura de IA del país a través del National AI Roadmap 2021-2025, las Directrices Nacionales voluntarias sobre Gobernanza y Ética de la IA, y el papel coordinador más reciente de la Oficina Nacional de IA. Esos mismos materiales oficiales también describen instrumentos posteriores, como el Plan de Acción de Tecnología de IA 2026-2030, el Marco Regulatorio de Adopción de IA y el Código de Ética de IA, como entregables en desarrollo o en proceso de avance, no como un régimen jurídico completo ya en vigor.
Esa distinción es importante. AIGE no crea por sí mismo un nuevo delito, un régimen de registro ni un regulador autónomo de IA con un código estatutario fijo. Conviene entenderlo como una orientación nacional que marca la dirección para una IA responsable, mientras que las obligaciones vinculantes siguen derivando principalmente de las leyes vigentes y de los instrumentos sectoriales específicos.
La hoja de ruta y AIGE marcan la dirección nacional
El National AI Roadmap 2021-2025 de Malasia es el documento de política de referencia para la adopción de la IA y el desarrollo de capacidades nacionales. Las fuentes gubernamentales siguen tratándolo como punto de partida para integrar la IA en áreas prioritarias y para desarrollar el ecosistema de IA más amplio del país. AIGE se creó en consonancia con esa hoja de ruta y está expresamente concebido para apoyar su implementación.
AIGE establece siete principios para una IA responsable: equidad; fiabilidad, seguridad y control; privacidad y seguridad; inclusión; transparencia; responsabilidad; y búsqueda del beneficio y la felicidad humanos. También señala que las orientaciones son voluntarias, deben revisarse y actualizarse con el tiempo, y deben servir como llamada a la acción para que los distintos sectores desarrollen sus propias orientaciones de implementación más específicas. En otras palabras, el nivel nacional de Malasia no pretende resolver todos los problemas por sí solo, sino proporcionar un marco común sobre el que puedan construir otras partes del sistema.
NAIO coordina ahora la agenda, mientras los organismos especializados mantienen sus propios roles
Los trabajos anteriores sobre la hoja de ruta y AIGE se canalizaron a través de MOSTI. El centro de gravedad actual para la coordinación nacional de la IA recae en el Ministerio de Digital a través de la Oficina Nacional de IA, o NAIO, incubada bajo MyDIGITAL y descrita por los materiales oficiales como la autoridad central para impulsar la agenda de IA de Malasia.
Eso no significa que NAIO actúe ya como un regulador clásico de tema único respaldado por un estatuto de IA completo. Su función publicada es estratégica y coordinadora: impulsar el próximo plan de acción nacional, dar forma al previsto Marco Regulatorio de Adopción de IA, trabajar en un Código de Ética de IA, estudiar el impacto de la IA en el gobierno, apoyar la adopción sectorial y desarrollar la capacidad nacional. Otros organismos siguen siendo importantes. El Departamento Digital Nacional es el principal organismo de implementación del sector público para las orientaciones de adopción de IA. El Comisionado de Protección de Datos Personales sigue siendo central cuando los sistemas de IA comerciales tratan datos personales. Los organismos profesionales y sectoriales también pueden emitir sus propias orientaciones cuando la IA modifica la práctica en un ámbito sensible.
Las obligaciones vinculantes ya surgen a través de la protección de datos personales y el derecho conexo
Las obligaciones vinculantes más claras relacionadas con la IA se encuentran actualmente en la ley de protección de datos personales, cuando los sistemas de IA tratan datos personales en transacciones comerciales. La Ley de Modificación de Protección de Datos Personales de 2024 introdujo cambios directamente relevantes para la gobernanza de la IA, entre ellos: delegados de protección de datos obligatorios, notificación de brechas de datos, portabilidad de datos, obligaciones de seguridad directas ampliadas para los encargados del tratamiento, e inclusión de los datos biométricos dentro de los datos personales sensibles. Esos cambios entraron en vigor de forma escalonada el 1 de enero de 2025, el 1 de abril de 2025 y el 1 de junio de 2025.
La Directriz de Toma de Decisiones Automatizada y Elaboración de Perfiles de Malasia hace explícita la conexión con la IA. Señala que la Ley 709 no regula todavía de forma específica la toma de decisiones automatizada y la elaboración de perfiles como concepto autónomo, pero que esas actividades deben cumplir igualmente los principios de la Ley. La directriz define la toma de decisiones automatizada y la elaboración de perfiles, indica que el DPO debe participar desde la fase más temprana, y establece que la implementación debe comenzar con una DPIA. También ofrece ejemplos prácticos en préstamos, comercio electrónico, contratación y sanidad, especialmente cuando las decisiones automatizadas pueden tener efectos jurídicos o afectar significativamente a una persona.
A nivel de gobernanza más amplio, AIGE también mapea una serie de leyes malayas vigentes que pueden ser relevantes según el contexto, incluidas las relativas a protección de datos, protección del consumidor, empleo, comunicaciones, anticorrupción, telemedicina e instrumentos relacionados con los derechos humanos. Por tanto, incluso sin un AI Act, Malasia no es un entorno sin normas.
La IA en el sector público, los estándares y la garantía práctica añaden otra capa
Para el uso gubernamental, Malasia está desarrollando la gobernanza de la IA a través de herramientas de administración pública además de la política general. La guía de adopción de IA en el sector público del Departamento Digital Nacional abarca el cumplimiento de las leyes y políticas malayas, los siete principios éticos, los roles y responsabilidades de los actores de la IA, los procedimientos de adopción, la gestión de riesgos de IA, los casos de uso en el sector público y una herramienta de autoevaluación ética. Se trata de una guía operativa práctica para los organismos, aunque no equivale a un estatuto general de IA.
AIGE también orienta a las organizaciones hacia estándares y garantías. Destaca estándares internacionales como ISO/IEC 42001 sobre sistemas de gestión de IA e ISO/IEC 23894 sobre gestión de riesgos de IA, y señala la participación de Malasia en los trabajos internacionales de normalización de IA a través del Departamento de Normas de Malasia y las estructuras de comités relacionadas. Esos estándares no sustituyen a la ley, pero son útiles para convertir principios amplios en artefactos concretos como registros de gobernanza, marcos de control, registros de auditoría, pasos de validación y ciclos de revisión.
Las orientaciones sectoriales específicas empiezan a aparecer
Malasia también está comenzando a superponer una gobernanza de IA específica por sector y profesión sobre el marco nacional. Un buen ejemplo es la directriz ética de 2025 del Consejo Médico de Malasia para los médicos registrados. Establece que los clínicos siguen vinculados por la ética profesional vigente, deben utilizar únicamente herramientas de IA que cumplan estándares de confianza razonable, deben proteger el consentimiento y la confidencialidad, deben mantener la supervisión humana, y deben tratar la IA como apoyo al juicio clínico y no como sustituto del mismo.
Esa es una señal clara sobre la probable dirección de Malasia. En lugar de un estatuto de IA ómnibus inmediato que intente resolver todos los problemas a la vez, el país avanza a través de un modelo por capas: principios nacionales, coordinación central, derecho vigente, orientaciones operativas para el sector público, estándares y normas específicas por profesión o sector donde el riesgo de despliegue real es mayor.
Ejemplos
Una entidad financiera utiliza una puntuación totalmente automatizada para rechazar solicitudes de préstamo. Las orientaciones ADMP de Malasia tratan eso como una cuestión de gobernanza activa, no como algo ajeno a la regulación por no existir un AI Act. La organización debe involucrar a su DPO desde el principio, realizar una DPIA, revisar si la decisión tiene efectos jurídicos o significativos, documentar cómo funciona la elaboración de perfiles y asegurarse de que el sistema se rige por el marco de protección de datos personales.
Un organismo público desea introducir un asistente de IA o una herramienta de apoyo a la decisión. La guía del sector público del Departamento Digital Nacional exige que el organismo verifique el cumplimiento de las leyes y políticas malayas, defina los roles de los actores de IA implicados, siga los procedimientos de adopción, gestione el riesgo y complete la autoevaluación ética. Esa es la vía operativa oficial más clara para el despliegue gubernamental en la actualidad.
Un médico o una clínica desea utilizar diagnósticos asistidos por IA. El Consejo Médico de Malasia establece que los médicos siguen vinculados por la ética profesional vigente, deben utilizar únicamente herramientas que cumplan estándares de confianza razonable, deben informar a los pacientes cuando proceda, deben proteger la confidencialidad y deben mantener la supervisión humana. En la práctica, la IA puede apoyar al clínico, pero no asume la responsabilidad de este.
Malentendidos frecuentes
"Malasia ya tiene un AI Act."
No en el sentido que la mayoría de los lectores entienden. Malasia cuenta con una hoja de ruta de IA, orientaciones nacionales voluntarias, una oficina coordinadora de IA, orientaciones de IA para el sector público y leyes vigentes que se aplican a los usos de la IA.
"Si AIGE es voluntario, puede ignorarse."
AIGE no es en sí mismo un estatuto con sanciones, pero sigue siendo relevante. Es el punto de referencia nacional para una IA responsable y coexiste con obligaciones vinculantes derivadas de otras leyes e instrumentos sectoriales específicos.
"Si hay una persona en algún punto del proceso, no es toma de decisiones automatizada."
No necesariamente. Las orientaciones ADMP de Malasia señalan que una influencia humana mínima puede seguir considerándose toma de decisiones automatizada.
"La IA en el sector público y en el sector privado puede gobernarse con la misma lista de verificación."
No del todo. Malasia cuenta con orientaciones dedicadas para la adopción de IA en el sector público, y determinados sectores o profesiones pueden añadir su propia capa.
"Solo los desarrolladores de IA necesitan preocuparse."
No. Compradores, desplegadores, empleadores, hospitales, ministerios y proveedores de servicios generan riesgos de gobernanza y legales cuando utilizan IA.
Riesgos y límites
El marco de Malasia sigue siendo incompleto por diseño. AIGE es voluntario, y los materiales oficiales de NAIO siguen describiendo el Plan de Acción de Tecnología de IA 2026-2030, el Marco Regulatorio de Adopción de IA y el Código de Ética de IA como trabajos en desarrollo o en proceso de avance. La arquitectura es real, pero algunos detalles vinculantes futuros están aún pendientes.
El principal límite es que Malasia no es todavía una jurisdicción de IA con un único reglamento. Las obligaciones dependen en gran medida del caso de uso: los datos personales, los datos biométricos, las decisiones automatizadas, la administración pública, la contratación, la sanidad y otros contextos sensibles modifican el análisis. AIGE es útil, pero no constituye un puerto seguro. Debe tratarse como una referencia de gobernanza nacional, no como prueba de que todas las cuestiones jurídicas han quedado resueltas.
También conviene seguir de cerca ciertos movimientos institucionales. La agenda de IA de Malasia ha pasado de la fase anterior liderada por MOSTI a un modelo de coordinación liderado por el Ministerio de Digital y NAIO, con apoyo de implementación en el sector público por parte de JDN y con obligaciones vinculantes que siguen aplicándose principalmente a través de los canales jurídicos existentes. Eso convierte este tema en uno de evolución gradual, pero no estático.
Qué hacer a continuación
Comience por mapear todos los sistemas de IA que su organización desarrolla, adquiere, despliega o utiliza. Registre su finalidad, los datos que emplea, si simplemente asiste a una persona o toma una decisión, y quién se ve afectado por esa decisión.
A continuación, identifique qué sistemas tratan datos personales, datos biométricos, elaboración de perfiles o decisiones que puedan afectar materialmente a las personas. Esos sistemas deben activar medidas de responsabilidad tempranas, en particular la participación del DPO, la asignación documentada de la titularidad de la gobernanza y un proceso documentado de evaluación de impacto.
Después, utilice los siete principios de AIGE como lenguaje de gobernanza de referencia y conviértalos en evidencias: avisos, mapas de datos, documentación de modelos, registros de validación, comprobaciones de equidad, controles de acceso, registros, puntos de revisión humana, gestión de incidentes y condiciones con proveedores. Si opera en el sector público o en una profesión regulada, añada las orientaciones específicas que se apliquen sobre el nivel nacional.
Por último, mantenga un seguimiento de los próximos instrumentos de NAIO y de cualquier orientación sectorial específica. La tarea práctica en Malasia no es esperar a que exista una ley de IA perfecta, sino construir ahora una estructura de gobernanza sólida y actualizarla a medida que el marco se consolide.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Malasia un AI Act dedicado?
No hay ningún AI Act intersectorial dedicado actualmente en vigor. Malasia se apoya en el National AI Roadmap, AIGE, la coordinación de NAIO, las orientaciones para el sector público y las leyes vigentes que se aplican a usos específicos de la IA.
¿Es AIGE jurídicamente vinculante?
No. AIGE es una orientación nacional voluntaria. Sin embargo, sigue siendo relevante porque establece la referencia nacional de IA responsable y puede influir en la contratación pública, las expectativas de gobernanza y los controles internos.
¿Quién es la principal autoridad de IA en Malasia?
NAIO es la principal oficina nacional de coordinación para la política de IA y la dirección de gobernanza. No sustituye a los reguladores especializados ni a los organismos sectoriales o profesionales.
¿Qué ley vigente es más relevante para el uso comercial de la IA?
La ley de protección de datos personales es la fuente actual más clara de obligaciones vinculantes relacionadas con la IA cuando se tratan datos personales en transacciones comerciales, especialmente tras las modificaciones de 2024 y las orientaciones ADMP.
¿Aborda ya Malasia la toma de decisiones automatizada?
Sí, a través de orientaciones en el marco de protección de datos personales. La directriz ADMP explica cómo debe gobernarse la toma de decisiones automatizada y la elaboración de perfiles, aunque todavía no existe una ley de IA autónoma sobre el tema.
¿Qué regula el uso de la IA en el sector público?
El Departamento Digital Nacional ha publicado una guía dedicada de adopción de IA en el sector público que abarca el cumplimiento legal, los principios éticos, los roles, los procedimientos, la gestión de riesgos, los casos de uso y una herramienta de autoevaluación ética.
¿Qué es probable que cambie próximamente?
Los materiales oficiales apuntan a trabajos adicionales sobre el Plan de Acción de Tecnología de IA 2026-2030, el Marco Regulatorio de Adopción de IA y el Código de Ética de IA. El calendario, la forma jurídica y el alcance sectorial de esos instrumentos pueden aún cambiar.