La Ley de IA de la UE en Malta: la MDIA, su aplicación y lo que deben hacer las empresas
Malta designó a la MDIA como autoridad de vigilancia del mercado por LN 226/2025. Funciones de MDIA e IDPC, sanciones y el plazo de diciembre de 2027.
Malta ha hecho lo que muchos Estados miembros pequeños no han hecho: ha designado formalmente a sus autoridades de la Ley de IA de la UE. Mediante el Aviso Legal 226 de 2025, en vigor desde el 10 de octubre de 2025, Malta nombró a la Autoridad de Innovación Digital de Malta (MDIA) como su principal autoridad de vigilancia del mercado y punto de contacto único, con el comisario de protección de datos coactuando como supervisor de los sistemas sensibles para los derechos. Si has leído que Malta "ya certifica la IA", ten cuidado: eso se refiere a un esquema de garantía voluntario de la MDIA que es muy anterior a la Ley y es algo distinto de esta nueva función de aplicación obligatoria. Esta guía mantiene ambas cosas claramente separadas.
La Ley de IA de la UE, el Reglamento (UE) 2024/1689, se aplica directamente en Malta. A continuación: las autoridades designadas, el calendario tras el Digital Omnibus, las sanciones y lo que deberían hacer los proveedores y responsables del despliegue malteses.
Un reglamento, no una directiva: aplicación directa
La Ley de IA de la UE es un reglamento. Entró en vigor el 1 de agosto de 2024 y se aplica directamente en Malta en virtud del artículo 288 del Tratado de Funcionamiento de la Unión Europea. Las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025, la alfabetización en IA del artículo 4 desde esa misma fecha, y las obligaciones de GPAI del capítulo V desde el 2 de agosto de 2025.
Lo que Malta ha añadido encima es la designación nacional y una capa interna de aplicación, recogidas en dos avisos legales de octubre de 2025. La mayor parte de la aplicación sustantiva surte efecto desde el 2 de agosto de 2026 (sujeto al Digital Omnibus), pero las autoridades en sí ya están designadas y en vigor.
¿Quién aplica la Ley de IA de la UE en Malta?
Malta adoptó un modelo de doble autoridad mediante dos instrumentos publicados el 10 de octubre de 2025.
| Función bajo la Ley de IA | Organismo maltés | Instrumento |
|---|---|---|
| Autoridad principal de vigilancia del mercado + punto de contacto único + autoridad notificante | Autoridad de Innovación Digital de Malta (MDIA) | Aviso Legal 226 de 2025 |
| Autoridad nacional competente para el espacio controlado de pruebas (sandbox regulatorio) de IA | MDIA | Aviso Legal 226 de 2025 |
| Evaluación de los organismos de evaluación de la conformidad (artículo 28(1)) | Consejo Nacional de Acreditación (Malta) | Aviso Legal 226 de 2025 |
| Vigilancia del mercado de biometría, garantía del cumplimiento del Derecho, migración/fronteras, justicia, procesos democráticos y ciertas prácticas prohibidas | Comisario de Información y Protección de Datos (IDPC) | Aviso Legal 227 de 2025 |
La MDIA: autoridad principal
El Aviso Legal 226 de 2025 —el Reglamento de Inteligencia Artificial de 2025, dictado al amparo de la Ley de la Autoridad de Innovación Digital de Malta— designa a la MDIA como la principal autoridad de vigilancia del mercado de Malta, el punto de contacto único del artículo 70, la autoridad notificante y la autoridad nacional competente para el espacio controlado de pruebas (sandbox regulatorio) de IA. La única excepción: la evaluación y el seguimiento de los organismos de evaluación de la conformidad en virtud del artículo 28(1) corresponden al Consejo Nacional de Acreditación. Para la mayoría de las empresas maltesas, la MDIA es la autoridad que hay que conocer.
No confundas los dos sombreros de la MDIA
Esta es la trampa en Malta. Desde aproximadamente 2019, la MDIA gestiona una vía voluntaria de garantía y certificación tecnológica para los "Acuerdos de Tecnología Innovadora" —incluida la IA—, ahora bajo su Marco de Reconocimiento de Evaluación Tecnológica. Se trata de un esquema nacional de garantía de adhesión voluntaria, útil para señalar calidad, pero que no es la maquinaria obligatoria de evaluación de la conformidad de la Ley de IA de la UE. La designación de vigilancia del mercado del artículo 70 creada por el Aviso Legal 226 de 2025 es una función jurídica nueva y distinta. Obtener un certificado voluntario de la MDIA no equivale a cumplir las obligaciones de alto riesgo de la Ley, y las obligaciones de la Ley se aplican tanto si una empresa ha recurrido al esquema voluntario como si no.
El IDPC: cosupervisor de los sistemas sensibles para los derechos
El Aviso Legal 227 de 2025, dictado al amparo de la Ley de Protección de Datos, convierte al Comisario de Información y Protección de Datos (IDPC) en la autoridad de vigilancia del mercado para los ámbitos de alto riesgo más sensibles para los derechos —biometría, gestión de llamadas de emergencia, garantía del cumplimiento del Derecho, migración y control de fronteras, y la administración de justicia y los procesos democráticos—, además de la aplicación de ciertas prácticas prohibidas. Así pues, una empresa maltesa en esos ámbitos trata con el IDPC, no con la MDIA, en materia de vigilancia del mercado de la Ley de IA.
La GPAI se supervisa desde Bruselas
Como en toda la UE, los proveedores de modelos de IA de uso general son supervisados directamente por la Oficina de IA de la UE en Bruselas, no por la MDIA ni el IDPC. Los desarrolladores malteses de modelos fundacionales deberían participar en el proceso de códigos de buenas prácticas de la Oficina de IA.
Estrategia nacional
Malta lanzó su estrategia nacional de IA, "Malta — The Ultimate AI Launchpad: A Strategy and Vision for Artificial Intelligence in Malta 2030", en octubre de 2019 —una de las primeras estrategias nacionales de IA de la UE—, gobernada a través de la MDIA. Se está reorientando hacia un enfoque de bienestar social y sostenibilidad. La estrategia es política, no ley; la designación para la aplicación son los avisos legales anteriores.
El calendario de la Ley de IA de la UE tal como se aplica en Malta
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas del artículo 5 y alfabetización en IA del artículo 4 — en vigor, exigibles ahora |
| 2 de agosto de 2025 | Obligaciones de GPAI (capítulo V), gobernanza, Oficina de IA, sanciones del artículo 99 |
| 2 de agosto de 2026 | Aplicación general, incluida la transparencia de riesgo limitado del artículo 50 (chatbots, ultrafalsificaciones) |
| 2 de diciembre de 2026 | Nuevo: prohibición de CSAM/"desnudadores" y marcado de contenido sintético del artículo 50 |
| 2 de diciembre de 2027 | Sistemas de IA de alto riesgo autónomos (anexo III) — aplazamiento adoptado (Digital Omnibus) |
| 2 de agosto de 2028 | IA de alto riesgo como componentes de seguridad de productos regulados del anexo I — aplazamiento adoptado |
Dos puntos para las empresas maltesas.
Primero, el plazo de alto riesgo ya no es el 2 de agosto de 2026. Bajo el Digital Omnibus —el paquete de modificaciones de la Comisión, con acuerdo político entre el Parlamento y el Consejo el 6 y 7 de mayo de 2026—, los sistemas autónomos de alto riesgo del anexo III se aplazan al 2 de diciembre de 2027 y los sistemas integrados en productos al 2 de agosto de 2028. El Digital Omnibus ya está adoptado: el pleno del Parlamento lo votó el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, para su entrada en vigor. Las fechas ya están asentadas: 2 de diciembre de 2027 para los sistemas autónomos de alto riesgo del anexo III.
Segundo, aunque las autoridades de Malta están designadas, la mayor parte de las disposiciones locales surten efecto junto con la aplicación general de la Ley desde el 2 de agosto de 2026. Las autoridades son reales ahora; el grueso de la aplicación de alto riesgo surte efecto entonces.
Sanciones: a qué se enfrentan las empresas maltesas
En Malta operan dos capas, y conviene ser preciso.
Los límites máximos principales proceden del artículo 99 del Reglamento —directamente aplicable, tres niveles, sin variación nacional en las cifras—:
- 35.000.000 € o el 7 % del volumen de negocios anual total a escala mundial (lo que sea mayor) — por las prohibiciones del artículo 5. Art. 99(3).
- 15.000.000 € o el 3 % — por la mayoría de las demás obligaciones: requisitos de alto riesgo (artículos 9 a 15), obligaciones del proveedor (artículo 16), obligaciones del responsable del despliegue (artículo 26) y transparencia del artículo 50. Art. 99(4).
- 7.500.000 € o el 1 % — por facilitar información incorrecta, incompleta o engañosa a las autoridades o a los organismos notificados. Art. 99(5).
Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa al importe menor entre la suma fija y el porcentaje. El tercer nivel es el 1 %, nunca el 1,5 %.
Además de estos, el Aviso Legal 226 de 2025 añade una capa interna de sanciones administrativas al amparo de la Ley de la MDIA: multas administrativas de hasta 350.000 € o el 1 % del volumen de negocios anual mundial (lo que sea mayor), más sanciones diarias de hasta 12.000 € por infracciones continuadas. Es un mecanismo interno de aplicación más ligero que coexiste con los límites máximos del artículo 99 de la UE, no los sustituye. Los proveedores de modelos de GPAI se enfrentan además a un instrumento distinto: hasta 15 millones de euros o el 3 % en virtud del artículo 101, impuesto por la Comisión.
Ejemplo práctico: un responsable del despliegue maltés de tecnología de selección de personal
Imagina Valletta Talent Ltd, una empresa ficticia maltesa de tecnología de RR. HH. —unos 45 empleados, ~6 millones de euros de facturación— que despliega una herramienta de IA para clasificar a los candidatos a un empleo para empresas clientes.
La clasificación de currículums para la selección de personal es un caso de uso de empleo del anexo III. Valletta Talent es un responsable del despliegue según el artículo 26: supervisión humana según el artículo 14, cumplimiento de las instrucciones del proveedor, registro de actividad y —dado que la herramienta elabora perfiles de los candidatos— sin escapatoria a través del filtro del artículo 6(3), ya que la elaboración de perfiles de personas físicas siempre es de alto riesgo. En Malta, la autoridad de vigilancia del mercado pertinente en este caso es la MDIA, no el IDPC (la IA de selección de personal no está en el ámbito biométrico/de garantía del cumplimiento del Derecho/de justicia del IDPC). Dos notas prácticas: un certificado tecnológico voluntario de la MDIA no sustituiría al cumplimiento de estas obligaciones de alto riesgo; y si Valletta Talent personalizara la herramienta de forma sustancial con sus propios datos y entrara en el terreno de la modificación sustancial, podría pasar a las obligaciones de proveedor en virtud del artículo 25. La clasificación del artículo 6 y el análisis de la función son lo primero que hay que definir.
Cómo ayuda Confir
Los equipos malteses tienen autoridades designadas y una capa interna de sanciones que vigilar, además del conjunto de obligaciones de la UE. Confir es una herramienta de cumplimiento alojada en la UE creada para este trabajo. Su motor de clasificación es determinista y basado en reglas: codifica los artículos 5 y 6 con la lógica del anexo III como reglas explícitas, de modo que la misma entrada produce el mismo resultado con una explicación legible por humanos de qué regla se activó. Construye el inventario de IA, deriva la función de proveedor/responsable del despliegue, genera la documentación técnica del anexo IV y la EIDF del artículo 27, y ejecuta una evaluación estructurada a lo largo de la clasificación de riesgos, la robustez de los datos, la transparencia y la supervisión humana, y el seguimiento posterior a la comercialización, para que una empresa maltesa pueda mostrar su expediente a la MDIA o al IDPC, según cuál esté en juego.
Qué deberían hacer ahora las empresas maltesas
De inmediato: Audita las prácticas prohibidas del artículo 5 —puntuación social, extracción no selectiva de imágenes faciales, categorización biométrica por rasgos sensibles, reconocimiento de emociones en el trabajo o en la educación—. Estas obligan hoy; la capa de GPAI se aplica desde Bruselas.
Antes del 2 de agosto de 2026: Prepárate para la transparencia del artículo 50 —etiqueta los chatbots, marca el contenido sintético, revela las ultrafalsificaciones—. Esta fecha no se aplazó, y la mayoría de las disposiciones locales de Malta surten efecto aquí.
A lo largo de 2026-2027: Construye el inventario de IA, clasifica cada sistema, aplica el filtro del artículo 6(3), asigna funciones e inicia la documentación de alto riesgo. Planifica con vistas al 2 de agosto de 2026 hasta que el aplazamiento del Omnibus sea ley; trata el 2 de diciembre de 2027 como el objetivo acordado. Para los sistemas de biometría, garantía del cumplimiento del Derecho, migración o justicia, el IDPC es tu autoridad de vigilancia del mercado; para todo lo demás, la MDIA.
De forma continua: Sigue las orientaciones de la MDIA sobre la Ley de IA y el espacio controlado de pruebas (sandbox regulatorio), y mantén el esquema de certificación voluntario mentalmente separado de tus obligaciones obligatorias.
Guías relacionadas
- Fundamentos de la Ley de IA de la UE
- Cumplimiento para pequeñas empresas
- Artículo 5: prácticas prohibidas
- Sanciones del artículo 99 explicadas
- Espacios controlados de pruebas explicados
- El Digital Omnibus, definido
- Autoridad de vigilancia del mercado, definida
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →