무슨 일이 있었나
2026년 10월 5일, 말레이시아 개인정보 보호국(JPDP, Jabatan Perlindungan Data Peribadi)은 2010년 개인정보 보호법(법률 제709호) 제48조(g)항에 따른 AI 및 개인정보 보호 프레임워크의 버전 1.0 초안을 담은 공개 협의 문서 제1/2026호를 발표하였다. 43개 조항, 10개 부분(파트 A-J)으로 구성된 이 초안은 데이터 컨트롤러를 위한 '1차 참고 문서'로서 AI 전체 수명주기를涵盖한다: 법적 근거/고지/동의, 개발 및 테스트(설계에 의한 개인정보 보호), 배포/사용/모니터링/재훈련/폐기, 외부 AI 시스템 조달 및 국경 간 이전, 정보주체 권리, 공정성/보안/침해/정확성, 거버넌스/위험/투명성, 문서화/감사. 적용 범위에는 자체 개발 AI, 조달/기성품/오픈소스 AI, SaaS/클라우드/API 플랫폼에 내장된 AI, 그리고 개인정보를 처리하는 범용 AI 모델이 명시적으로 포함된다. JPDP는 EU AI 법안, OECD AI 원칙, 홍콩/필리핀/싱가포르/영국 개인정보보호기관의 지침을 기준으로 초안을 벤치마킹하였다. 서면 의견은 2026년 10월 23일까지 통합 공개 협의 플랫폼 또는 공식 Google 양식을 통해 접수된다. 최종 본문, 발행일 및 전환 기간은 아직 확정되지 않았다.
왜 중요한가
이는 말레이시아 데이터 규제기관이 발표한 최초의 포괄적인 국가 AI-데이터 보호 프레임워크로서, 성장하는 ASEAN/APAC 지역의 AI 보안 및 프라이버시 거버넌스 물결(싱가포르 PDPC, 홍콩 PCPD, KISA v2.0과 함께)에 합류하는 것이다. 조달된/벤더 AI 시스템과 SaaS/API 플랫폼에 내장된 범용 모델을 포괄하기 때문에, 말레이시아에서 AI를 통해 개인정보를 처리하는 사실상 모든 조직에 영향을 미친다 — 수명주기 전반에 걸친 의무를 부과한다: 설계에 의한 개인정보 보호, 훈련 데이터의 목적 제한, 개인정보 고지 내 AI 공개, 배포 전 테스트/검증, AI 시스템 모니터링, 외부 AI 조달 통제, 그리고 규정 준수 입증을 위한 문서화/감사. 말레이시아에서 사업을 운영하는 다국적 기업에게는 지금부터 설계에 반영해야 할 단기적 준수 기대치를 시사한다.
필요한 조치
말레이시아에서 운영되는 데이터 컨트롤러/프로세서는 자사의 AI 인벤토리와 초안의 10개 부분 프레임워크를 대조 검토하고, 2026년 10월 23일 마감일까지(통합 공개 협의 플랫폼 또는 공식 Google 양식을 통해) JPDP에 의견을 제출해야 한다. 조직은 협의 피드백이 최종 지침을 어떻게 형성하든 관계없이 최종 지침에 대비할 수 있도록 파트 D-I 의무에 맞춰 기존 AI 데이터 흐름, 조달 및 모델 문서화를 매핑하기 시작해야 한다.