Malaysia Larang Vendor AI Kerajaan Melatih Model Menggunakan Data Awam

Kontrak kerajaan melarang latihan AI dan mewajibkan pemadaman data

Malaysia melarang syarikat yang menyediakan perkhidmatan kecerdasan buatan kepada kerajaan daripada menggunakan data kerajaan atau data awam untuk melatih model mereka, kata Menteri Digital Gobind Singh Deo dalam jawapan bertulis di Parlimen pada 20 Oktober 2026. Sekatan itu dinyatakan dalam semua kontrak perolehan AI kerajaan, yang turut mewajibkan penyedia memadamkan data selepas pemprosesan.

Gobind menjawab soalan Ahmad Fadhli Shaari, Ahli Parlimen Perikatan Nasional bagi Pasir Mas, yang bertanya bagaimana maklumat yang dikendalikan syarikat awan dan AI, termasuk penyedia asing, kekal di bawah kawalan Malaysia. Jawapannya menggariskan kawalan meliputi lokasi penyimpanan, penyulitan, akses kepada sistem kerajaan dan penggunaan semula maklumat oleh pembekal AI.

Perbezaan praktikalnya ialah antara menggunakan maklumat untuk menyelesaikan tugasan kerajaan dengan menggunakannya untuk membangunkan model AI milik pembekal. Agensi mungkin memerlukan sistem AI untuk memproses maklumat bagi perkhidmatan tertentu. Di bawah sekatan kontrak yang dihuraikan Gobind, penyedia tidak boleh kemudian menggunakan maklumat itu sebagai bahan untuk melatih modelnya atau menyimpannya selepas pemprosesan selesai.

Latihan ialah proses yang membolehkan model AI mempelajari corak daripada contoh. Pemprosesan pula ialah penggunaan sistem untuk melaksanakan tugasan menggunakan maklumat yang diterimanya. Pengasingan kedua-dua aktiviti ini memberi agensi asas kontrak untuk mengawal apa yang berlaku kepada maklumat selepas dihantar kepada penyedia.

Gobind turut berkata Kementerian Digital sedang merangka Rang Undang-Undang Tadbir Urus AI bagi menangani akauntabiliti sepanjang kitar hayat sistem AI. Langkah yang telah dihuraikan berkuat kuasa melalui kontrak kerajaan, arahan keselamatan dan garis panduan sektor awam, manakala undang-undang yang dicadangkan itu akan mewujudkan kerangka tanggungjawab yang lebih luas.

Lokasi penyimpanan bagi setiap kategori data kerajaan

Peraturan penyimpanan Malaysia bergantung pada tahap sensitiviti maklumat. Gobind berkata bahan yang diklasifikasikan sebagai rahsia atau rahsia besar mesti kekal di pusat data kerajaan. Maklumat sulit dan terhad hanya boleh disimpan dalam persekitaran awan persendirian atau hibrid yang berpangkalan di Malaysia. Hanya data kerajaan terbuka yang tidak sensitif boleh disimpan dalam perkhidmatan awan di luar negara.

Perkhidmatan awan menyimpan atau memproses maklumat pada infrastruktur pengkomputeran yang boleh diakses melalui rangkaian. Awan persendirian dikhaskan untuk organisasi tertentu, manakala awan hibrid menggabungkan persekitaran pengkomputeran yang berasingan. Di bawah aturan yang dihuraikan Gobind, pengelasan rekod kerajaan menentukan pilihan penyimpanan yang boleh digunakan oleh agensi.

• Maklumat rahsia dan rahsia besar: pusat data kerajaan, bukan perkhidmatan awan.
• Maklumat sulit dan terhad: persekitaran awan persendirian atau hibrid yang terletak di Malaysia.
• Maklumat terbuka yang tidak sensitif: layak disimpan dalam persekitaran awan di luar negara.

Bagi agensi yang memilih penyedia, keputusan pertama adalah tentang maklumat itu sendiri. Keupayaan pembekal memproses data tidak menentukan lokasi data itu boleh dihoskan. Agensi mesti menyelaraskan aturan penyimpanannya dengan klasifikasi keselamatan sebelum menggunakan perkhidmatan tersebut.

Kunci penyulitan kekal di bawah kawalan kerajaan

Data kerajaan mesti disulitkan semasa disimpan dan ketika dipindahkan antara sistem, selaras dengan Dasar Kriptografi Negara, kata Gobind. Perlindungan ini lazimnya disebut sebagai penyulitan semasa disimpan dan penyulitan semasa penghantaran.

Penyulitan menukar maklumat yang boleh dibaca menjadi kandungan berkod. Kunci kriptografi membolehkan kandungan itu dipulihkan kepada bentuk yang boleh dibaca. Bagi sistem dan data terperingkat, Gobind berkata kerajaan memiliki dan mengawal kunci tersebut, dengan tujuan menghalang penyedia perkhidmatan asing daripada membaca kandungannya secara sendiri, termasuk sebagai tindak balas kepada permintaan pihak berkuasa negara lain.

Peraturan penyimpanan dan kawalan kunci menangani bahagian berlainan dalam masalah yang sama. Peraturan penyimpanan menentukan lokasi maklumat boleh disimpan. Pemilikan kunci menentukan pihak yang mempunyai kaedah untuk membaca kandungan yang disulitkan. Bagi maklumat terperingkat, kerajaan berkata kawalan itu kekal di tangannya, di samping sekatan terhadap lokasi hos.

Siapa yang boleh mengakses sistem kerajaan?

Syarikat yang dilantik untuk menyediakan perkhidmatan kerajaan mesti menjalani tapisan keselamatan. Gobind berkata akses kepada sistem kerajaan diberikan mengikut peranan seseorang, memerlukan pengesahan menggunakan lebih daripada satu faktor dan direkodkan untuk tujuan audit.

Akses berasaskan peranan bermaksud kebenaran seseorang bergantung pada tugas yang dibenarkan untuk dilakukannya. Pengesahan berbilang faktor memerlukan lebih daripada kata laluan sahaja, seperti pemeriksaan keselamatan tambahan. Log audit merekodkan akses untuk disemak kemudian.

Keperluan ini meluaskan perlindungan melangkaui lokasi pelayan. Sistem yang dihoskan di Malaysia tetap memerlukan kawalan terhadap individu yang boleh mengaksesnya, maklumat yang boleh dicapai dan rekod aktiviti mereka. Tapisan vendor, kebenaran akses terhad dan log akses merupakan sebahagian daripada syarat kerajaan bagi pengendalian datanya.

Agensi mesti mengurangkan data sebelum pemprosesan AI

Garis Panduan Penggunaan AI Sektor Awam, yang dikenali sebagai GPAISA, mewajibkan agensi meminimumkan jumlah data yang digunakan serta menyembunyikan atau menganonimkan maklumat sebelum diproses oleh sistem AI, kata Gobind. Peminimuman data bermaksud hanya menggunakan maklumat yang diperlukan untuk tugasan itu. Menyembunyikan atau menganonimkan data mengurangkan pendedahan maklumat yang boleh mengenal pasti seseorang.

Garis panduan AI sektor awam Jabatan Digital Negara merangkumi pematuhan kepada undang-undang dan dasar Malaysia, tujuh prinsip etika AI, tanggungjawab individu dan organisasi yang terlibat dalam AI, prosedur penggunaan serta pengurusan risiko. Lampirannya merangkumi kes penggunaan sektor awam dari Malaysia dan luar negara, bersama penilaian kendiri bagi pematuhan etika.

Laporan inisiatif AI jabatan itu menyifatkan GPAISA sebagai rujukan untuk agensi sektor awam memastikan AI digunakan secara beretika, telus dan bertanggungjawab. Menurut laporan itu, garis panduan berkenaan memberi tumpuan pada penambahbaikan penyampaian perkhidmatan, pengukuhan operasi kerajaan dan galakan terhadap inovasi berasaskan teknologi baharu. Sepanjang 2025, jabatan itu menyediakan 40 khidmat nasihat teknikal kepada agensi kerajaan bagi membantu menyelaraskan dasar dan amalan AI.

Kerangka itu menetapkan tanggungjawab kepada agensi serta pembekal. Sebelum maklumat sampai kepada perkhidmatan AI, agensi mesti mempertimbangkan jumlah data yang diperlukan untuk tugasan itu dan cara melindungi butiran yang boleh mengenal pasti seseorang. Kontrak kemudian mengawal penggunaan dan pemadaman maklumat yang diterima oleh pembekal.

Bahagian penilaian etika dan pengurusan risiko turut meletakkan pengendalian data dalam pertimbangan lebih luas tentang sama ada dan bagaimana sistem AI patut digunakan. Perolehan ialah satu peringkat dalam keputusan itu; penyediaan maklumat dan tanggungjawab terhadap perkhidmatan yang terhasil kekal sebagai sebahagian daripada tugas agensi.

Kerangka dilancarkan pada Februari 2025

Kenyataan pelancaran garis panduan Kementerian Digital merekodkan bahawa GPAISA dilancarkan pada 27 Februari 2025 di Hotel Le Meridien, Putrajaya. Jabatan Digital Negara membangunkan garis panduan itu bersama Perbadanan Ekonomi Digital Malaysia sebagai rujukan khusus untuk agensi awam.

Gobind merasmikan pelancaran itu bersama Timbalan Ketua Pengarah Perkhidmatan Awam (Operasi), Dato' Mohd Shaiful bin Ibrahim. Acara itu menghimpunkan ketua jabatan kerajaan, ketua pegawai digital, pengurus teknologi sektor awam dan peserta industri, dengan sesi mengenai kes penggunaan AI kerajaan, etika dan tadbir urus.

Garis panduan itu mengandungi enam bab dan tiga lampiran. Penerbitannya mendahului penjelasan Parlimen pada Oktober 2026 mengenai sekatan kontrak dan penggubalan undang-undang AI yang dicadangkan. Tarikh utama ialah:

• 2024: Pindaan kepada Akta Perlindungan Data Peribadi 2010, yang dirujuk Gobind ketika menjelaskan pemindahan data peribadi ke luar negara.
• 27 Februari 2025: Pelancaran garis panduan AI sektor awam di Putrajaya.
• 20 Oktober 2026: Jawapan bertulis Gobind di Parlimen menjelaskan syarat kontrak AI kerajaan, peraturan penyimpanan dan usaha merangka Rang Undang-Undang Tadbir Urus AI.

Pemindahan sektor swasta tertakluk pada laluan undang-undang berasingan

Bagi data peribadi yang dikendalikan perniagaan swasta, Gobind merujuk Seksyen 129 Akta Perlindungan Data Peribadi 2010, seperti yang dipinda pada 2024. Beliau berkata keperluan bagi pemindahan ke luar negara termasuk persetujuan individu berkenaan dan undang-undang dalam bidang kuasa penerima yang setanding dengan PDPA Malaysia.

Pemindahan rentas sempadan boleh berlaku apabila perniagaan menghantar maklumat peribadi kepada perkhidmatan awan yang terletak di luar negara. Penjelasan Gobind meletakkan pemindahan sedemikian di bawah kerangka perlindungan data peribadi, manakala maklumat kerajaan tertakluk pada klasifikasi penyimpanan dan kawalan keselamatan yang dihuraikannya secara berasingan.

Perbezaan ini penting bagi individu yang maklumatnya dikendalikan oleh agensi awam dan perniagaan. Syarat perolehan kerajaan mengawal pembekal yang menjalankan kontrak AI kerajaan. Perniagaan swasta yang mengendalikan maklumat peribadi perlu mempertimbangkan peraturan PDPA bagi pemindahan maklumat itu ke negara lain.

Perkara yang akan diliputi undang-undang AI yang dicadangkan

Kementerian Digital sedang merangka Rang Undang-Undang Tadbir Urus AI yang bertujuan memastikan penyedia teknologi bertanggungjawab sepanjang kitar hayat sistem AI, kata Gobind. Beliau menyenaraikan kualiti data, ketelusan dan kebolehjelasan antara perkara yang akan ditangani. Tiada tarikh diberikan untuk membentangkan rang undang-undang itu di Parlimen, dan jawapan tersebut tidak memperincikan hukuman yang dicadangkan atau struktur penguatkuasaan.

Kualiti data berkaitan dengan maklumat yang digunakan oleh sistem, termasuk sama ada maklumat itu tepat dan sesuai untuk tugasan berkenaan. Ketelusan berkaitan dengan sejauh mana proses pembangunan dan penggunaan sistem dapat dilihat. Kebolehjelasan pula berkaitan dengan usaha menjadikan output atau keputusan sistem dapat difahami oleh orang ramai. Perkara-perkara ini meluaskan akauntabiliti melangkaui pembelian awal perkhidmatan AI.

Kawalan ini diperkenalkan ketika Malaysia mengembangkan infrastruktur pengkomputerannya. Pembangunan semula tanah perladangan untuk pusat data dan taman solar telah menarik kumpulan besar minyak sawit ke sektor itu. Angka terdahulu meletakkan potensi permintaan elektrik pusat data sekurang-kurangnya pada lima gigawatt menjelang 2035, hampir 20 peratus daripada kapasiti penjanaan negara ketika itu, di samping sasaran kerajaan untuk mempunyai 81 pusat data beroperasi menjelang 2035.

Bagi agensi dan pembekal, pengembangan itu menjadikan peraturan mengenai penggunaan yang dibenarkan lebih jelas. Pembinaan kapasiti untuk menyimpan dan memproses maklumat mewujudkan lebih banyak pilihan bagi perkhidmatan digital. Kontrak kerajaan, klasifikasi data, kunci penyulitan dan kawalan akses menentukan pilihan yang boleh digunakan oleh agensi serta perkara yang boleh dilakukan penyedia terhadap maklumat tersebut.

Perkara Utama

• Kontrak AI kerajaan melarang penyedia menggunakan data kerajaan atau data awam untuk melatih model dan mewajibkan data dipadamkan selepas pemprosesan.
• Maklumat rahsia dan rahsia besar mesti kekal di pusat data kerajaan. Maklumat sulit dan terhad boleh disimpan dalam awan persendirian atau hibrid dalam negara.
• Hanya data kerajaan terbuka yang tidak sensitif boleh disimpan dalam persekitaran awan di luar negara.
• Kerajaan mengawal kunci penyulitan bagi sistem dan data terperingkat, manakala vendor tertakluk pada tapisan keselamatan dan kawalan akses.
• Agensi awam mesti meminimumkan data serta menyembunyikan atau menganonimkannya sebelum pemprosesan AI di bawah GPAISA.
• Rang Undang-Undang Tadbir Urus AI sedang dirangka untuk menangani akauntabiliti, kualiti data, ketelusan dan kebolehjelasan.