Apa yang terjadi
Pada 5 Oktober 2026, Jabatan Perlindungan Data Peribadi Malaysia (JPDP) menerbitkan Kertas Konsultasi Publik No. 1/2026 yang memuat draf Versi 1.0 Kerangka Kerja AI dan Perlindungan Data Peribadi berdasarkan seksyen 48(g) Akta Perlindungan Data Peribadi 2010 (Akta 709). Draf yang terdiri daripada 43 seksyen dan 10 bahagian (Bahagian A-J) ini merupakan 'dokumen rujukan utama' bagi pengawal data yang merangkumi keseluruhan kitaran hayat AI: asas undang-undang/notis/keizinan, pembangunan dan ujian (perlindungan data melalui reka bentuk), penggunaan/pengoperasian/pemantauan/latihan semula/penyahaktifan, perolehan sistem AI luaran dan pemindahan rentas sempadan, hak subjek data, keadilan/keselamatan/insiden/ketepatan, tadbir urus/risiko/ketelusan, serta dokumentasi/audit. Skopnya secara eksplisit merangkumi AI dalaman, AI yang diperoleh/di luar rak/sumber terbuka, dan AI yang tertanam dalam platform SaaS/awan/API, termasuk model AI tujuan umum yang memproses data peribadi. JPDP telah menanda aras draf ini terhadap perundangan AI EU, prinsip AI OECD, dan panduan DPA HK/PH/SG/UK. Penyerahan bertulis diterima sehingga 23 Oktober 2026 melalui Platform Konsultasi Awam Bersepadu atau borang Google rasmi; teks akhir, tarikh penerbitan dan tempoh peralihan belum ditetapkan.
Mengapa penting
Ini merupakan kerangka kerja AI-perlindungan data nasional yang komprehensif pertama daripada pengawal selia data Malaysia, menambah gelombang ASEAN/APAC yang semakin berkembang dalam tadbir urus keselamatan dan privasi AI (bersama PDPC Singapura, PCPD HK, KISA v2.0). Memandangkan ia merangkumi sistem AI yang diperoleh/dari vendor dan model tujuan umum yang tertanam dalam platform SaaS/API, ia menjangkau hampir setiap organisasi yang memproses data peribadi di Malaysia melalui AI — mengenakan kewajipan merentas kitaran hayat: perlindungan data melalui reka bentuk, had tujuan untuk data latihan, pendedahan AI dalam notis privasi, ujian/pengesahan sebelum penggunaan, pemantauan sistem AI, kawalan perolehan untuk AI luaran, serta dokumentasi/audit untuk menunjukkan pematuhan. Bagi syarikat multinasional yang beroperasi di Malaysia, ini menandakan jangkaan pematuhan jangka pendek yang perlu direka bentuk mulai sekarang.
Tindakan yang diperlukan
Pengawal data/pemproses yang beroperasi di Malaysia harus menyemak kerangka kerja 10 bahagian dalam draf ini terhadap inventori AI mereka, dan menyerahkan komen kepada JPDP sebelum tarikh akhir 23 Oktober 2026 (melalui Platform Konsultasi Awam Bersepadu atau borang Google rasmi). Organisasi harus mula memetakan aliran data AI sedia ada, perolehan dan dokumentasi model terhadap kewajipan Bahagian D-I supaya mereka bersedia menghadapi garis panduan akhir tanpa mengira bagaimana maklum balas konsultasi membentuknya.