Malasia prohíbe a los proveedores de IA del Gobierno entrenar modelos con datos públicos

Los contratos públicos prohíben entrenar modelos de IA y exigen eliminar los datos

Malasia prohíbe a las empresas que prestan servicios de inteligencia artificial al Gobierno utilizar datos gubernamentales o públicos para entrenar sus modelos, afirmó el ministro de Asuntos Digitales, Gobind Singh Deo, en una respuesta parlamentaria por escrito del 20 de octubre de 2026. La restricción figura en todos los contratos públicos de adquisición de servicios de IA, que también obligan a los proveedores a eliminar los datos después de procesarlos.

Gobind respondía a Ahmad Fadhli Shaari, miembro del Parlamento por Pasir Mas y representante de Perikatan Nasional, quien preguntó cómo se mantiene bajo control de Malasia la información gestionada por empresas de servicios en la nube y de IA, incluidos proveedores extranjeros. En su respuesta, detalló controles sobre los lugares de almacenamiento, el cifrado, el acceso a los sistemas gubernamentales y la reutilización de información por parte de los proveedores de IA.

La diferencia práctica está entre utilizar información para completar una tarea del Gobierno y emplearla para desarrollar el modelo de IA de un proveedor. Una entidad puede necesitar un sistema de IA para procesar información destinada a un servicio específico. Según la restricción contractual descrita por Gobind, el proveedor no puede utilizar después esa información para entrenar sus modelos ni conservarla una vez finalizado el procesamiento.

El entrenamiento es el proceso por el cual un modelo de IA aprende patrones a partir de ejemplos. El procesamiento consiste en utilizar un sistema para realizar una tarea con la información que recibe. Mantener separadas estas actividades ofrece a las entidades una base contractual para controlar qué sucede con la información después de enviarla a un proveedor.

Gobind también afirmó que el Ministerio de Asuntos Digitales está redactando un proyecto de ley de gobernanza de la IA para abordar la rendición de cuentas durante todo el ciclo de vida de un sistema de IA. Las medidas ya descritas se aplican mediante contratos públicos, directivas de seguridad y directrices para el sector público, mientras que la legislación propuesta establecería un marco más amplio de responsabilidades.

Adónde puede ir cada categoría de datos gubernamentales

Las normas de almacenamiento de Malasia dependen del grado de sensibilidad de la información. Gobind afirmó que el material clasificado como secreto o ultrasecreto debe permanecer en centros de datos gubernamentales. La información confidencial y restringida solo puede almacenarse en entornos de nube privada o híbrida ubicados en Malasia. Únicamente los datos gubernamentales abiertos y no sensibles pueden almacenarse en servicios de nube en el extranjero.

Un servicio de nube almacena o procesa información en una infraestructura informática a la que se accede a través de una red. Una nube privada está reservada para una organización concreta, mientras que una nube híbrida combina distintos entornos informáticos. Según las disposiciones descritas por Gobind, la clasificación de un registro gubernamental determina qué opciones de almacenamiento puede utilizar una entidad.

• Información secreta y ultrasecreta: centros de datos gubernamentales, en lugar de servicios de nube.
• Información confidencial y restringida: entornos de nube privada o híbrida ubicados en Malasia.
• Información abierta y no sensible: puede almacenarse en entornos de nube en el extranjero.

Por tanto, la primera decisión de una entidad al elegir un proveedor se refiere a la propia información. La capacidad de un proveedor para procesar datos no determina dónde pueden alojarse. Antes de utilizar el servicio, la entidad debe adaptar las opciones de almacenamiento a la clasificación de seguridad.

Las claves de cifrado permanecen bajo control del Gobierno

Los datos gubernamentales deben cifrarse tanto durante su almacenamiento como al circular entre sistemas, de conformidad con la Política Nacional de Criptografía, afirmó Gobind. Estas protecciones suelen denominarse cifrado en reposo y cifrado en tránsito.

El cifrado convierte la información legible en contenido codificado. Una clave criptográfica permite recuperar la versión legible. Gobind afirmó que, en el caso de los sistemas y datos clasificados, el Gobierno es propietario de esas claves y las controla, con el objetivo de impedir que un proveedor extranjero de servicios pueda leer por su cuenta el contenido, incluso en respuesta a una solicitud de las autoridades de otro país.

Las normas de almacenamiento y los controles sobre las claves abordan distintas partes de un mismo problema. Las normas de almacenamiento determinan dónde puede residir la información. La titularidad de las claves determina quién dispone de los medios para leer el contenido cifrado. En el caso de la información clasificada, el Gobierno afirma que conserva ese control junto con las restricciones sobre los lugares de alojamiento.

¿Quién puede acceder a los sistemas gubernamentales?

Las empresas designadas para prestar servicios al Gobierno deben someterse a controles de seguridad. Gobind afirmó que el acceso a los sistemas gubernamentales se asigna según la función de cada persona, requiere autenticación mediante más de un factor y queda registrado para las auditorías.

El acceso basado en funciones significa que los permisos de una persona dependen del trabajo que está autorizada a realizar. La autenticación mediante varios factores exige algo más que una contraseña, como una comprobación de seguridad adicional. Los registros de auditoría permiten consultar posteriormente quién accedió al sistema.

Estos requisitos amplían la protección más allá de la ubicación de un servidor. Incluso si un sistema está alojado en Malasia, se necesitan controles sobre quién puede acceder a él, a qué información puede acceder y qué registro queda de su actividad. La selección de proveedores, la limitación de permisos y los registros de acceso forman parte de las condiciones del Gobierno para gestionar sus datos.

Las entidades deben reducir los datos antes de procesarlos con IA

Las Directrices de adopción de IA para el sector público, conocidas como GPAISA, exigen a las entidades reducir al mínimo la cantidad de datos utilizada y ocultar o anonimizar la información antes de procesarla con sistemas de IA, afirmó Gobind. Minimizar los datos significa utilizar solo lo necesario para la tarea. Ocultar o anonimizar los datos reduce la exposición de información que podría identificar a una persona.

Las directrices de IA para el sector público del Departamento Nacional Digital abarcan el cumplimiento de las leyes y políticas de Malasia, siete principios de ética en IA, las responsabilidades de las personas y organizaciones que participan en el uso de la IA, los procedimientos de adopción y la gestión de riesgos. Sus anexos incluyen casos de uso del sector público de Malasia y otros países, además de una autoevaluación del cumplimiento ético.

El informe sobre iniciativas de IA del departamento describe las GPAISA como una referencia para que las entidades del sector público garanticen un uso ético, transparente y responsable de la IA. Afirma que las directrices se centran en mejorar la prestación de servicios, reforzar las operaciones gubernamentales y fomentar la innovación basada en nuevas tecnologías. Durante 2025, el departamento brindó 40 servicios de asesoría técnica a entidades gubernamentales para ayudar a coordinar políticas y prácticas de IA.

El marco asigna responsabilidades tanto a las entidades como a los proveedores. Antes de enviar información a un servicio de IA, una entidad debe evaluar cuántos datos requiere la tarea y cómo proteger los detalles que permiten identificar a las personas. Después, el contrato regula el uso y la eliminación de la información recibida por el proveedor.

Las secciones sobre evaluación ética y gestión de riesgos también sitúan el tratamiento de datos en el contexto más amplio de la decisión sobre si conviene utilizar un sistema de IA y cómo hacerlo. La adquisición es una etapa de esa decisión; preparar la información y asumir la responsabilidad por el servicio resultante también forman parte del trabajo de la entidad.

Un marco presentado en febrero de 2025

El comunicado del Ministerio de Asuntos Digitales sobre la presentación de las directrices señala que las GPAISA se presentaron el 27 de febrero de 2025 en el hotel Le Meridien de Putrajaya. El Departamento Nacional Digital elaboró las directrices junto con la Corporación para la Economía Digital de Malasia como referencia específica para las entidades públicas.

Gobind presidió el acto junto con el subdirector general de Servicio Público para Operaciones, Dato' Mohd Shaiful bin Ibrahim. El evento reunió a responsables de departamentos gubernamentales, directores de asuntos digitales, gestores de tecnología del sector público y representantes de la industria, y contó con sesiones sobre casos de uso de la IA en el Gobierno, ética y gobernanza.

Las directrices constan de seis capítulos y tres anexos. Su publicación precedió a la explicación parlamentaria de octubre de 2026 sobre las restricciones contractuales y la redacción de la propuesta de ley sobre IA. Las fechas principales son:

• 2024: Enmiendas a la Ley de Protección de Datos Personales de 2010, citadas por Gobind al explicar las transferencias de datos personales al extranjero.
• 27 de febrero de 2025: Presentación en Putrajaya de las directrices de IA para el sector público.
• 20 de octubre de 2026: La respuesta parlamentaria por escrito de Gobind detalla las condiciones de los contratos gubernamentales de IA, las normas de almacenamiento y el trabajo para elaborar un proyecto de ley de gobernanza de la IA.

Las transferencias del sector privado siguen otra vía legal

En cuanto a los datos personales tratados por empresas privadas, Gobind se refirió al artículo 129 de la Ley de Protección de Datos Personales de 2010, modificada en 2024. Explicó que los requisitos para transferir datos al extranjero incluyen el consentimiento de la persona interesada y la existencia, en la jurisdicción receptora, de leyes comparables a la ley malasia de protección de datos personales.

Una transferencia transfronteriza puede producirse cuando una empresa envía información personal a un servicio de nube ubicado en otro país. La explicación de Gobind sitúa esas transferencias dentro del marco de protección de datos personales, mientras que la información gubernamental está sujeta por separado a las clasificaciones de almacenamiento y los controles de seguridad que describió.

La diferencia es importante para las personas cuya información gestionan tanto entidades públicas como empresas. Las condiciones de adquisición del Gobierno rigen a los proveedores que trabajan en sus contratos de IA. Las empresas privadas que manejan información personal deben tener en cuenta las normas de la ley de protección de datos personales al transferir esa información a otro país.

Qué abarcaría la propuesta de ley sobre IA

El Ministerio de Asuntos Digitales está redactando un proyecto de ley de gobernanza de la IA destinado a exigir responsabilidades a los proveedores de tecnología durante todo el ciclo de vida de un sistema de IA, afirmó Gobind. Señaló que la iniciativa abordaría aspectos como la calidad de los datos, la transparencia y la explicabilidad. No se indicó una fecha para presentar el proyecto ante el Parlamento, y la respuesta no detalló posibles sanciones ni una estructura de aplicación de la ley.

La calidad de los datos se refiere a la información utilizada por un sistema, incluida su exactitud y pertinencia para la tarea. La transparencia tiene que ver con la claridad sobre cómo se desarrolla y utiliza un sistema. La explicabilidad consiste en hacer comprensibles sus resultados o decisiones. Estos temas amplían la rendición de cuentas más allá de la compra inicial de un servicio de IA.

Los controles se plantean mientras Malasia amplía su infraestructura informática. La reconversión de terrenos de plantaciones para construir centros de datos y parques solares ha impulsado la entrada de grandes grupos del sector del aceite de palma. Cifras anteriores situaban la demanda potencial de electricidad de los centros de datos en al menos cinco gigavatios para 2035, cerca del 20 % de la capacidad de generación del país en ese momento, junto con el objetivo gubernamental de tener 81 centros de datos en funcionamiento para 2035.

Para las entidades y los proveedores, esa expansión hace concretas las normas sobre los usos permitidos. Ampliar la capacidad para almacenar y procesar información crea más opciones para los servicios digitales. Los contratos gubernamentales, las clasificaciones de datos, las claves de cifrado y los controles de acceso determinan cuáles de esas opciones pueden utilizar las entidades y qué pueden hacer los proveedores con la información.

Puntos clave

• Los contratos gubernamentales de IA prohíben a los proveedores utilizar datos gubernamentales o públicos para entrenar modelos y exigen eliminarlos después del procesamiento.
• La información secreta y ultrasecreta debe permanecer en centros de datos gubernamentales. La información confidencial y restringida puede almacenarse en nubes privadas o híbridas dentro del país.
• Solo los datos gubernamentales abiertos y no sensibles pueden almacenarse en entornos de nube en el extranjero.
• El Gobierno controla las claves de cifrado de los sistemas y datos clasificados, mientras que los proveedores deben someterse a controles de seguridad y de acceso.
• Según las GPAISA, las entidades públicas deben reducir al mínimo los datos y ocultarlos o anonimizarlos antes de procesarlos con IA.
• Se está redactando un proyecto de ley de gobernanza de la IA para abordar la rendición de cuentas, la calidad de los datos, la transparencia y la explicabilidad.