Ipinagbabawal ng Malaysia sa mga AI vendor ng gobyerno ang pagsasanay ng mga modelo gamit ang pampublikong datos

Ipinagbabawal ng mga kontrata ng gobyerno ang pagsasanay ng AI at inaatasan ang pagbura ng datos

Ipinagbabawal ng Malaysia sa mga kumpanyang nagbibigay ng serbisyo ng artificial intelligence sa gobyerno ang paggamit ng datos ng gobyerno o publiko upang sanayin ang kanilang mga modelo, ayon kay Digital Minister Gobind Singh Deo sa nakasulat na sagot sa Parlamento noong Oktubre 20, 2026. Nakatala ang paghihigpit sa lahat ng kontrata ng gobyerno para sa pagkuha ng mga serbisyong AI, na nag-aatas din sa mga provider na burahin ang datos matapos itong iproseso.

Tumutugon si Gobind kay Ahmad Fadhli Shaari, mambabatas ng Perikatan Nasional para sa Pasir Mas, na nagtanong kung paano nananatiling nasa kontrol ng Malaysia ang impormasyong pinangangasiwaan ng mga cloud at AI company, kabilang ang mga dayuhang provider. Inilahad sa sagot niya ang mga kontrol sa lokasyon ng imbakan, encryption, pag-access sa mga sistema ng gobyerno at muling paggamit ng impormasyon ng mga supplier ng AI.

Ang praktikal na pagkakaiba ay nasa pagitan ng paggamit ng impormasyon upang tapusin ang isang gawain ng gobyerno at paggamit nito upang paunlarin ang AI model ng isang supplier. Maaaring kailanganin ng isang ahensya ang AI system upang magproseso ng impormasyon para sa isang partikular na serbisyo. Sa ilalim ng paghihigpit sa kontrata na inilarawan ni Gobind, hindi maaaring gamitin ng provider ang impormasyong iyon bilang materyal sa pagsasanay ng mga modelo nito o itago ito kapag natapos na ang pagproseso.

Ang pagsasanay ay proseso kung saan natututo ang isang AI model ng mga padron mula sa mga halimbawa. Ang pagproseso naman ay paggamit ng isang sistema upang magsagawa ng gawain gamit ang impormasyong natatanggap nito. Sa paghihiwalay sa dalawang aktibidad na ito, nagkakaroon ang mga ahensya ng batayan sa kontrata upang kontrolin ang mangyayari sa impormasyon matapos nila itong ipadala sa isang provider.

Sinabi rin ni Gobind na bumubuo ang Digital Ministry ng AI Governance Bill upang tugunan ang pananagutan sa buong buhay ng isang AI system. Ipinatutupad ang mga hakbang na nailahad na sa pamamagitan ng mga kontrata ng gobyerno, direktiba sa seguridad at mga alituntunin para sa pampublikong sektor, samantalang magtatatag naman ng mas malawak na balangkas ng pananagutan ang iminumungkahing batas.

Saan maaaring ilagay ang bawat kategorya ng datos ng gobyerno

Nakabatay sa pagiging sensitibo ng impormasyon ang mga tuntunin ng Malaysia sa pag-iimbak. Sinabi ni Gobind na dapat manatili sa mga data center ng gobyerno ang impormasyong classified bilang secret o top secret. Maaari lamang itago sa mga pribado o hybrid cloud environment na nasa Malaysia ang confidential at restricted na impormasyon. Tanging ang bukas at hindi sensitibong datos ng gobyerno ang maaaring itago sa mga cloud service sa ibang bansa.

Nag-iimbak o nagpoproseso ang cloud service ng impormasyon sa imprastraktura ng kompyuter na naa-access sa pamamagitan ng network. Nakalaan ang pribadong cloud para sa isang partikular na organisasyon, samantalang pinagsasama naman ng hybrid cloud ang magkakahiwalay na computing environment. Sa mga kaayusan na inilarawan ni Gobind, tinutukoy ng klasipikasyon ng rekord ng gobyerno kung aling mga opsyon sa pag-iimbak ang maaaring gamitin ng isang ahensya.

• Secret at top secret na impormasyon: mga data center ng gobyerno, sa halip na mga cloud service.
• Confidential at restricted na impormasyon: mga pribado o hybrid cloud environment na matatagpuan sa Malaysia.
• Bukas at hindi sensitibong impormasyon: maaaring itago sa mga cloud environment sa ibang bansa.

Samakatuwid, ang unang pagpapasya ng ahensyang pumipili ng provider ay tungkol sa mismong impormasyon. Hindi sapat na malaman na kayang iproseso ng supplier ang datos upang matukoy kung saan ito maaaring ilagay. Dapat iayon ng ahensya ang mga kaayusan sa pag-iimbak sa klasipikasyon ng seguridad bago gamitin ang serbisyo.

Nananatili sa kontrol ng gobyerno ang mga encryption key

Dapat i-encrypt ang datos ng gobyerno habang nakaimbak at habang inililipat sa pagitan ng mga sistema, alinsunod sa National Cryptography Policy, ayon kay Gobind. Karaniwang tinatawag na encryption at rest at encryption in transit ang mga proteksiyong ito.

Ginagawang naka-code na nilalaman ng encryption ang impormasyong nababasa. Nagbibigay ang cryptographic key ng paraan upang maibalik ito sa nababasang anyo. Para sa mga classified system at datos, sinabi ni Gobind na pag-aari at kontrolado ng gobyerno ang mga key na ito, upang hindi mabasa nang mag-isa ng dayuhang service provider ang nilalaman, kabilang na bilang tugon sa kahilingan ng mga awtoridad ng ibang bansa.

Magkakaibang bahagi ng iisang suliranin ang tinutugunan ng mga tuntunin sa pag-iimbak at mga kontrol sa key. Tinutukoy ng mga tuntunin sa pag-iimbak kung saan maaaring ilagay ang impormasyon. Tinutukoy naman ng pagmamay-ari sa key kung sino ang may kakayahang magbasa ng naka-encrypt na nilalaman. Para sa classified na impormasyon, sinasabi ng gobyerno na nananatili sa kanila ang kontrol na ito, kasabay ng mga paghihigpit sa lokasyon ng pagho-host.

Sino ang maaaring makapasok sa mga sistema ng gobyerno?

Dapat sumailalim sa pagsusuri sa seguridad ang mga kumpanyang itinalagang magbigay ng serbisyo sa gobyerno. Sinabi ni Gobind na itinatalaga ang pag-access sa mga sistema ng gobyerno batay sa tungkulin ng isang tao, nangangailangan ng pagpapatunay gamit ang mahigit sa isang salik at itinatala para sa mga audit.

Nangangahulugan ang pag-access batay sa tungkulin na nakadepende sa awtorisadong gawain ng isang tao ang mga pahintulot niya. Nangangailangan ang pagpapatunay gamit ang maraming salik ng higit pa sa password, gaya ng karagdagang pagsusuri sa seguridad. Lumilikha naman ang mga audit log ng talaan ng pag-access na maaaring suriin sa hinaharap.

Higit pa sa lokasyon ng server ang saklaw ng mga kinakailangang ito. Kailangan pa rin ng mga kontrol sa mga taong makapapasok sa isang sistemang naka-host sa Malaysia, sa impormasyong maaabot nila at sa talaan ng kanilang mga aktibidad. Bahagi ng mga kondisyon ng gobyerno sa pangangasiwa ng datos nito ang pagsusuri sa mga vendor, paglilimita sa mga pahintulot at pagtatala ng pag-access.

Dapat bawasan ng mga ahensya ang datos bago iproseso ito ng AI

Inaatasan ng Public Sector AI Adoption Guidelines, na kilala bilang GPAISA, ang mga ahensya na bawasan ang dami ng datos na ginagamit at itago o gawing anonymous ang impormasyon bago ito iproseso ng mga AI system, ayon kay Gobind. Nangangahulugan ang pagliit ng datos na gamitin lamang ang kailangan para sa gawain. Binabawasan naman ng pagtatago o pag-anonymize ng datos ang pagkakalantad ng impormasyong maaaring tumukoy sa isang tao.

Saklaw ng mga alituntunin para sa AI sa pampublikong sektor ng National Digital Department ang pagsunod sa mga batas at patakaran ng Malaysia, pitong prinsipyo ng etika sa AI, mga pananagutan ng mga taong at organisasyong kasangkot sa AI, mga pamamaraan sa paggamit nito at pamamahala ng panganib. Kabilang sa mga apendise nito ang mga halimbawa ng paggamit sa pampublikong sektor mula sa Malaysia at ibang bansa, kasama ang sariling pagsusuri para sa pagsunod sa etika.

Inilalarawan sa ulat ng mga inisyatiba sa AI ng kagawaran ang GPAISA bilang sanggunian para sa mga ahensya ng pampublikong sektor upang matiyak na ginagamit ang AI nang etikal, malinaw at responsable. Ayon dito, nakatuon ang mga alituntunin sa pagpapahusay ng paghahatid ng serbisyo, pagpapalakas ng mga operasyon ng gobyerno at paghikayat sa inobasyong nakabatay sa mga bagong teknolohiya. Noong 2025, nagbigay ang kagawaran ng 40 serbisyong teknikal na pagpapayo sa mga ahensya ng gobyerno upang makatulong sa pag-uugnay ng mga patakaran at gawain kaugnay ng AI.

Nagbibigay ang balangkas ng mga pananagutan sa mga ahensya gayundin sa mga supplier. Bago makarating ang impormasyon sa isang serbisyo ng AI, dapat isaalang-alang ng ahensya kung gaano karaming datos ang kailangan sa gawain at kung paano poprotektahan ang mga detalyeng maaaring tumukoy sa isang tao. Pagkatapos, itinatakda ng kontrata kung paano gagamitin at buburahin ng supplier ang impormasyong natanggap nito.

Inilalagay rin ng mga bahagi tungkol sa pagsusuri sa etika at pamamahala ng panganib ang pangangasiwa ng datos sa mas malawak na pagpapasya kung gagamit ng AI system at kung paano ito gagamitin. Isa lamang ang pagkuha ng serbisyo sa mga yugto ng pagpapasyang iyon; bahagi pa rin ng gawain ng ahensya ang paghahanda ng impormasyon at pananagutan sa serbisyong magmumula rito.

Inilunsad ang balangkas noong Pebrero 2025

Nakatala sa pahayag ng Digital Ministry tungkol sa paglulunsad ng mga alituntunin na inilunsad ang GPAISA noong Pebrero 27, 2025, sa Hotel Le Meridien sa Putrajaya. Binuo ng National Digital Department ang mga alituntunin kasama ang Malaysia Digital Economy Corporation bilang nakalaang sanggunian para sa mga ahensya ng gobyerno.

Pinangunahan ni Gobind ang paglulunsad kasama si Deputy Director General of Public Service for Operations Dato' Mohd Shaiful bin Ibrahim. Dinaluhan ang pagtitipon ng mga pinuno ng departamento ng gobyerno, mga chief digital officer, mga tagapamahala ng teknolohiya sa pampublikong sektor at mga kinatawan ng industriya. Tinalakay sa mga sesyon ang mga halimbawa ng paggamit ng AI sa gobyerno, etika at pamamahala.

Binubuo ang mga alituntunin ng anim na kabanata at tatlong apendise. Nailathala ang mga ito bago ang paliwanag sa Parlamento noong Oktubre 2026 tungkol sa mga paghihigpit sa kontrata at sa pagbuo ng panukalang batas sa AI. Ang mahahalagang petsa ay:

• 2024: Mga susog sa Personal Data Protection Act 2010, na binanggit ni Gobind sa pagpapaliwanag sa paglilipat ng personal na datos sa ibang bansa.
• Pebrero 27, 2025: Paglulunsad sa Putrajaya ng mga alituntunin para sa AI sa pampublikong sektor.
• Oktubre 20, 2026: Ipinaliwanag sa nakasulat na sagot ni Gobind sa Parlamento ang mga kondisyon sa kontrata ng gobyerno para sa AI, mga tuntunin sa pag-iimbak at ang ginagawa kaugnay ng AI Governance Bill.

Magkahiwalay ang legal na proseso para sa paglilipat ng datos ng pribadong sektor

Para sa personal na datos na pinangangasiwaan ng mga pribadong negosyo, itinuro ni Gobind ang Seksyon 129 ng Personal Data Protection Act 2010, na sinususugan noong 2024. Ayon sa kanya, kabilang sa mga kinakailangan sa paglilipat sa ibang bansa ang pahintulot ng taong kinauukulan at pagkakaroon sa hurisdiksyon na tatanggap ng datos ng mga batas na maihahambing sa PDPA ng Malaysia.

Maaaring mangyari ang paglilipat sa ibayong hangganan kapag nagpadala ang isang negosyo ng personal na impormasyon sa isang cloud service na nasa ibang bansa. Iniuugnay ng paliwanag ni Gobind ang mga paglilipat na ito sa balangkas ng proteksiyon sa personal na datos, samantalang saklaw naman ang impormasyon ng gobyerno ng mga klasipikasyon sa pag-iimbak at mga kontrol sa seguridad na hiwalay niyang inilahad.

Mahalaga ang pagkakaibang ito para sa mga taong pinangangasiwaan ang impormasyon ng mga ahensya ng gobyerno at negosyo. Namamahala ang mga kondisyon sa pagkuha ng serbisyo ng gobyerno sa mga supplier na nagtatrabaho sa mga kontrata nito para sa AI. Dapat isaalang-alang ng mga pribadong negosyong nangangasiwa ng personal na impormasyon ang mga tuntunin ng PDPA sa paglilipat nito sa ibang bansa.

Saklaw ng iminumungkahing batas sa AI

Bumubuo ang Digital Ministry ng AI Governance Bill na nilalayong panagutin ang mga technology provider sa buong siklo ng buhay ng isang AI system, ayon kay Gobind. Kabilang sa mga tinukoy niyang saklaw nito ang kalidad ng datos, transparency at pagpapaliwanag. Walang ibinigay na petsa kung kailan ihaharap ang panukalang batas sa Parlamento, at walang detalyadong parusa o istruktura ng pagpapatupad na inilatag sa sagot.

Tumutukoy ang kalidad ng datos sa impormasyong ginagamit ng isang sistema, kabilang kung tumpak ito at angkop sa gawain. Tumutukoy ang transparency sa pagkakaroon ng kaalaman tungkol sa kung paano binuo at ginagamit ang isang sistema. Tumutukoy naman ang pagpapaliwanag sa kakayahang maunawaan ng mga tao ang mga output o desisyon nito. Pinalalawak ng mga paksang ito ang pananagutan lampas sa paunang pagbili ng serbisyo ng AI.

Ipinatutupad ang mga kontrol habang pinalalawak ng Malaysia ang imprastraktura nito sa computing. Dahil sa muling pagpapaunlad ng lupang taniman para sa mga data center at solar park, pumasok sa sektor ang malalaking grupo ng palm oil. Sa mga naunang tantiya, aabot sa hindi bababa sa limang gigawatt pagsapit ng 2035 ang posibleng pangangailangan ng mga data center sa kuryente, halos 20 porsiyento ng kapasidad sa paglikha ng kuryente ng bansa noong panahong iyon. Kasabay nito ang target ng gobyerno na magkaroon ng 81 gumaganang data center pagsapit ng 2035.

Ginagawang kongkreto ng paglawak na ito ang mga tuntunin sa mga pinapahintulutang paggamit para sa mga ahensya at supplier. Nagbibigay ng mas maraming opsyon para sa mga serbisyong digital ang pagtatayo ng kapasidad na mag-imbak at magproseso ng impormasyon. Tinutukoy ng mga kontrata ng gobyerno, klasipikasyon ng datos, encryption key at kontrol sa pag-access kung aling mga opsyon ang magagamit ng mga ahensya at kung ano ang maaaring gawin ng mga provider sa impormasyon.

Mahahalagang Punto

• Ipinagbabawal ng mga kontrata ng gobyerno para sa AI sa mga provider ang paggamit ng datos ng gobyerno o publiko upang sanayin ang mga modelo, at inaatasan silang burahin ito matapos iproseso.
• Dapat manatili sa mga data center ng gobyerno ang secret at top secret na impormasyon. Maaaring gumamit ng mga pribado o hybrid cloud sa loob ng bansa para sa confidential at restricted na impormasyon.
• Tanging ang bukas at hindi sensitibong datos ng gobyerno ang maaaring itago sa mga cloud environment sa ibang bansa.
• Kontrolado ng gobyerno ang mga encryption key para sa mga classified system at datos, habang sumasailalim sa pagsusuri sa seguridad at mga kontrol sa pag-access ang mga vendor.
• Dapat bawasan ng mga ahensya ng pampublikong sektor ang datos at itago o gawing anonymous ito bago iproseso ng AI sa ilalim ng GPAISA.
• Bumubuo ng AI Governance Bill upang tugunan ang pananagutan, kalidad ng datos, transparency at pagpapaliwanag.