Le gouvernement maltais a désigné le Commissaire à l'information et à la protection des données (IDPC) comme autorité de surveillance du marché pour certains systèmes d'intelligence artificielle à haut risque, en vertu de l'Avis juridique 227 de 2025.

Cet avis, publié le 10 octobre 2025 en application de la loi maltaise sur la protection des données, confère à l'IDPC la surveillance de systèmes listés à l'annexe III du Règlement (UE) 2024/1689. Sont concernés les systèmes biométriques et ceux utilisés pour l'application de la loi, la gestion des frontières, la migration, l'asile, la justice, les processus démocratiques et la gestion des appels d'urgence. L'utilisation de systèmes d'identification biométrique à distance en temps réel dans des espaces publics pour l'application de la loi est soumise à une autorisation préalable d'un magistrat et à une notification au Commissaire, sans inclure de données opérationnelles sensibles. Cette exigence d'autorisation s'applique également à l'identification biométrique à distance a posteriori.

En tant qu'autorité de surveillance, le Commissaire peut prendre des mesures coercitives contre les opérateurs en infraction avec le Règlement (UE) 2024/1689, incluant des avertissements, des mesures non pécuniaires et des sanctions administratives. L'avis juridique habilite également le Commissaire à infliger aux autorités ou organismes publics une sanction administrative pouvant atteindre 50 000 € par infraction, assortie d'une astreinte journalière de 50 € pour chaque jour de persistance du manquement.